F5 분산 클라우드 서비스로 SAP Customer Data Cloud 보호

온라인에는 소매 및 전자상거래 사이트부터 금융 서비스, 여행 및 숙박, 디지털 서비스 등 다양한 산업의 수많은 온라인 제공업체에 이르기까지 온갖 규모와 형태의 기업-소비자 간 거래(B2C) 판매자가 존재합니다. 거의 모든 온라인 B2C 기업의 공통점 중 하나는 ‘고객을 이해하고자’ 한다는 것입니다. 소비자 대상 서비스나 제품을 제공하는 온라인 기업은 단순히 가치와 혜택을 판매하는 데 그치지 않고 소비자와 정서적 유대감을 형성해야 하는 경우가 많습니다. 고객은 저마다 다르므로, 정서적 유대감을 형성하려면 먼저 개인화된 경험을 제공해야 합니다.

B2C 기업이 고객을 파악하려면 먼저 개별 방문자를 식별해야 하며, 이를 위해서는 강력한 ID 및 액세스 관리(IAM) 솔루션이 필요합니다. SAP는 고객 IAM(CIAM)과 B2C 기업을 위한 전반적인 상거래 제품 및 서비스 분야에서 잘 알려진 선도 기업입니다. 이 사용 사례에서는 이러한 기업이 보안 체계에 F5 Distributed Cloud Services를 도입하여 SAP에 대한 투자를 최적화하고 안전하면서도 원활한 고객 경험을 제공하는 방법을 살펴봅니다.

B2C 비즈니스를 위한 SAP

SAP Customer Data Cloud(CDC)는 소비자 프로필을 저장하고 관리할 수 있는 멀티테넌트 SaaS 솔루션입니다. SAP는 약 700곳에 달하며 계속 증가 중인 고객사를 위해 14억 개 이상의 소비자 ID를 호스팅하고, 매월 16억 건의 동의 트랜잭션을 저장하며(GDPR, CCPA, LGPD와 같은 지역 데이터 보호법의 요구 사항 충족), 40억 대의 소비자 기기에 대한 통합을 제공하고, 매월 약 180억 건의 API 호출을 처리합니다. 많은 온라인 B2C 기업에서 SAP CDC 솔루션은 SAP Commerce Cloud도 포함하는 전반적인 SAP Customer Experience Solutions의 일부입니다. SAP CDC는 다음을 비롯한 다양한 기능을 제공합니다:

• 고객 ID 및 액세스 관리(CIAM): 서비스형 등록, 소셜 로그인, ID 페더레이션/SSO(통합 인증) 포함
• 고객 동의: 소비자 프로필 데이터에 대한 액세스 제어, 내보내기, 삭제 기능 등 GDPR의 모든 측면을 지원하는 동의 관리
• 고객 프로필: 동의 및 기타 기본 설정 기록, 오케스트레이션 및 거버넌스, 데이터 분석, 보고서 포함

봇 및 사기 방지를 위한 Distributed Cloud Bot Defense

B2C 웹사이트의 일일 로그인 시도 중 90% 이상이 사람이 아닌 방문자에 의해 이루어지는 경우는 드물지 않습니다. 안타깝게도 여기서 사람이 아닌 방문자는 대개 봇 기반의 공격 트래픽을 의미합니다. 저렴하고 단순한 이러한 봇은 이미 유출되어 인터넷에 떠도는 수백만 건의 도난·유출 계정 정보를 하나씩 끊임없이 대입하며, 그중 극히 일부라도 성공하기를 바라면서 커머스 사이트에 사용자 이름과 비밀번호 조합을 반복적으로 시도합니다.

이는 크리덴셜 스터핑이라고 알려진 수법으로, 상당한 비용을 초래할 수 있습니다. 이러한 자동 로그인 시도는 대역폭과 서버 리소스를 지속적으로 소모하며, 봇 중 하나가 탈취한 인증 정보로 로그인에 성공하면 상황은 더욱 악화될 수 있습니다.

F5 Distributed Cloud Bot Defense는 봇이 유발하는 모든 유형의 유해한 네트워크 트래픽을 식별하고, 이러한 트래픽이 리소스를 소모하거나 더 심각한 문제를 일으키기 전에 차단합니다.

Distributed Cloud Bot Defense 배포는 관찰 모드와 완화 모드의 두 단계로 이루어집니다. 관찰 모드에서 Distributed Cloud Bot Defense는 애플리케이션으로 들어오는 모든 요청의 로그를 분석하여 위협을 식별하고 맞춤형 방어 대책을 마련합니다.

그림 1: 모니터링을 통해 Distributed Cloud Bot Defense는 로그인 트래픽의 90%가 봇 공격에서 발생한 것임을 확인했습니다.

그림 2: 배포 후 Distributed Cloud Bot Defense는 봇 공격으로 인한 로그인 트래픽을 90% 줄였습니다.

악성 로그인 트래픽과 정상 로그인 트래픽을 구분하기 위해 로그를 분석하는 동시에, Distributed Cloud Bot Defense는 요청을 공격 캠페인별로 분류하여 분석할 수도 있습니다. 공격 캠페인이 어떤 방식으로든 도구를 재정비하여(일반적으로 소프트웨어를 업데이트하거나 새로운 프록시를 활용하는 방식) F5를 우회하려고 하더라도, Distributed Cloud Bot Defense는 수백 가지의 다른 신호를 기반으로 해당 캠페인을 계속 식별할 수 있습니다.

F5와 고객이 정상적인 사용자 트래픽에 영향이 없을 것이라고 확신하면 완화 모드를 활성화할 수 있습니다. 이후 애플리케이션 요청이 사기성 소스에서 발생한 것으로 실시간 판단되면 해당 소스는 즉시 차단됩니다. 이 모든 과정은 정상적인 사용자에게 다단계 인증이나 CAPTCHA 등을 요구하는 불편을 전혀 초래하지 않습니다.

요약

온라인 사기는 현실적으로 증가하고 있는 위협이므로 B2C 기업은 고객을 보호해야 합니다. 하지만 이러한 보호 조치로 인해 사용자 경험에 불편이 발생하면 오히려 고객을 잃을 수 있습니다. SAP가 익명 사용자를 식별된 충성 고객으로 전환하도록 지원하는 한편, F5 Distributed Cloud Bot Defense는 백그라운드에서 자동화된 사기성 봇 공격 트래픽에 대한 노출을 대폭 줄이고 SAP 서비스의 보안을 강화하며 사용자 경험의 불편을 해소합니다.

F5 Distributed Cloud Bot Defense에 대한 자세한 내용은 f5.com/cloud/products/bot-defense에서 확인하세요.

봇 및 기타 자동화 공격으로부터 보호

Distributed Cloud Bot Defense는 가장 정교한 크리덴셜 스터핑 및 계정 탈취 공격, 카딩을 비롯해 그 밖의 OWASP 웹 애플리케이션 자동화 위협으로부터 보호합니다. 여기에는 다음이 포함됩니다:

• 계정 탈취: 사기범이 로그인 애플리케이션에서 도난당한 자격 증명을 빠르게 테스트하지 못하도록 차단하여 계정 탈취를 사전에 방지합니다.
• 스크래핑: 스크래퍼와 애그리게이터가 웹사이트에서 데이터를 수집하는 방식을 제어하여 민감한 데이터를 보호하고 인프라 비용을 관리할 수 있습니다.
• 카딩: 범죄자가 결제 페이지를 이용해 도난당한 신용 카드의 유효성을 확인하지 못하도록 방지합니다.
• 기프트 카드 공격: 기프트 카드 잔액, 로열티 포인트 및 기타 저장된 가치를 고객이 안전하게 보유할 수 있도록 보호하세요.
• 재고 사재기: 캠페인 상품과 수요가 가장 높은 상품이 되팔이 업자가 아닌 고객에게 직접 판매되도록 하세요.
• 마케팅 사기: 비즈니스 분석과 마케팅 비용이 봇이 배제된 데이터를 기반으로 이루어지도록 하세요.

추가 링크

Dev Central 블로그 - 분산 클라우드 서비스로 SAP CIAM 보호하기

F5 Distributed Cloud Bot Defense 솔루션 개요

사례 연구: 한 소매업체가 신발 구매 봇의 급증 문제를 해결하고 사기, 고객 불편 및 가짜 주문을 방지한 방법