PHP 공격자의 시선으로 찾고,
PHP 개발자의 손으로 고칩니다.

// ✗ PHP 문자열 결합: SQL Injection
$sql = "SELECT * FROM member WHERE id='{$_GET['id']}'";

// ✓ PHP PDO 파라미터 바인딩
$st = $pdo->prepare('SELECT * FROM member WHERE id = :id');
$st->execute(['id' => $_GET['id']]);

// ✗ PHP 소유권 검증 없음: IDOR
$order = getOrder($_GET['orderNo']);

// ✓ PHP 로그인 사용자 소유 여부 확인
$order = getOrder($orderNo, $_SESSION['uid'])
    ?? throw new RuntimeException('403');

// ✓ PHP 출력 인코딩 (XSS)
echo htmlspecialchars($name, ENT_QUOTES, 'UTF-8');

<!-- 이 사이트에도 실제로 적용된 설정입니다 -->
<httpProtocol>
  <customHeaders>
    <remove name="X-Powered-By" />
    <add name="X-Content-Type-Options" value="nosniff" />
    <add name="X-Frame-Options" value="DENY" />
    <add name="Referrer-Policy"
         value="strict-origin-when-cross-origin" />
  </customHeaders>
</httpProtocol>
<security>
  <requestFiltering allowDoubleEscaping="false">
    <fileExtensions allowUnlisted="true">
      <add fileExtension=".bak" allowed="false" />
      <add fileExtension=".config" allowed="false" />
    </fileExtensions>
  </requestFiltering>
</security>
<directoryBrowse enabled="false" />

-- 위험 기능 비활성화
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 0; RECONFIGURE;

-- 애플리케이션 전용 역할: 프로시저 실행만 허용
CREATE ROLE app_exec;
GRANT EXECUTE ON SCHEMA::svc TO app_exec;
DENY SELECT ON SCHEMA::dbo TO app_exec;
ALTER ROLE app_exec ADD MEMBER app_user;

-- 개인정보 테이블 조회 감사
CREATE DATABASE AUDIT SPECIFICATION pii_read
  FOR SERVER AUDIT audit_main
  ADD (SELECT ON dbo.customer BY public)
  WITH (STATE = ON);

[✓] OS 누적 보안 업데이트 적용
[✓] 런타임·라이브러리 신규 CVE 영향도 검토
[✓] 개인정보처리시스템 접속기록 점검
[✓] 관리자 계정·권한 변경 이력 검토
[✓] 백업 복구 테스트 (샘플 복원)
[✓] 인증서 만료일 · 도메인 갱신 확인
[✓] 외부 노출 포트 · 서비스 재스캔
[!] 이상 징후 발견 시 즉시 보고 · 조치
→ 월간 보안 운영 보고서 발송