완벽하게 균형 잡힌 세상이라면 가용성과 보안은 동등하게 중요할 것입니다. 애플리케이션 사용자들은 데이터에 접근할 수 있는지 여부만큼이나 데이터 보안에도 관심을 기울일 것입니다.
우리 모두 너무나 잘 알고 있듯이, 이 세상은 완벽하게 균형 잡힌 곳이 아닙니다. 사용자는 데이터 유출뿐만 아니라 가용성 및 성능 문제 때문에도 앱을 삭제하고 브랜드를 떠날 가능성이 높으며, 어쩌면 그 가능성이 더 클 수도 있습니다.
물론 침해 사고가 발생하면 사용자들은 여전히 거세게 항의합니다. 하지만 대개 기업이 잃는 것은 충성도 높은 사용자가 아니라 금전입니다.
이러한 이분법은 보안 전문가들이 F5 Labs의 2018년 애플리케이션 보호 보고서에서 밝힌 우선순위에도 반영되어 있습니다. CISO들의 가장 큰 관심사는 직책을 보면 짐작할 수 있는 보안이 아닙니다. 이전에 CISO를 대상으로 진행한 연구인 "CISO 역할의 진화와 비즈니스에서의 중요성"에서 대다수의 CISO는 가장 큰 관심사가 가용성이며, 애플리케이션의 다운타임을 방지하는 것이 조직의 최우선 과제라고 밝혔습니다.
이러한 경향은 곧 발간될 네트워크 자동화 현황 보고서에도 반영되었습니다. 개인 및 팀 차원의 성과를 측정하는 데 어떤 지표를 사용하는지 묻자, 보안 실무자의 59%가 "네트워크 가동 시간"을 꼽아 가장 높은 비율을 차지했으며, "애플리케이션 가동 시간"이 보안 응답자의 절반에 가까운 49%로 근소한 차이로 그 뒤를 이었습니다.
가용성이라는 용어에는 성능도 포함됩니다. 속도는 가용성의 한 요소로 간주되며, 실제 피해를 일으키는 공격을 탐지하는 과정에서 보안이 희생양이 되는 경우가 많습니다. 악성 코드와 데이터를 탐지하는 데 필수적인 데이터 검사는 비용이 많이 들고 지연을 유발하기 때문에, 이러한 검사를 수행하는 것이 오히려 역효과를 낳는다고 여겨지곤 합니다.
가용성에 중점을 두는 것은 공격자에게 유리하게 작용합니다. 공격 대상이 가용성을 우선시한다는 점을 알고 있는 공격자들에 대해 F5 Labs 보고서는 다음과 같이 지적합니다. "공격자들은 관리자들의 주의를 분산시키는 동안 데이터 탈취와 사기 공격을 동시에 감행하고 이를 은폐하기 위한 교란 수단으로 DDoS 공격의 시점까지 조율하고 있습니다." 이른바 "연막"으로 알려진 이 기법은 전혀 새로운 것이 아닙니다. 2017년에 언급했듯이, 공격자들의 진짜 의도를 숨기기 위한 대규모 트래픽 기반 DDoS 공격을 받는 조직이 점점 늘고 있습니다.
그리고 그 대가는 소비자들이 치르고 있습니다.
주의를 돌리기 위한 가용성
공격자들은 점점 더 가용성에 쏠린 우리의 관심을 주의 분산 수단으로 이용하고 있습니다. 이는 우려스러운 일입니다. 공격자들이 수법을 고도화하고 동원할 수 있는 모든 도구를 활용해 네트워크, 인프라, 애플리케이션을 뚫고 그 관문 너머에 있는 보물, 즉 데이터에 접근할 경로를 찾고 있기 때문입니다. 문제는 공격자들이 자신들과 목표 사이에 있는 사용자와 시스템만 이용하는 것이 아니라는 점입니다. 이제는 데이터 자체도 이용합니다.
F5 Labs의 2018년 애플리케이션 보호 보고서에서 연구진은 다양한 출처의 침해 및 공격 데이터를 분석했습니다. 그 결과는 예상 밖은 아니었지만 우려스러웠습니다.
2018년 1분기에 분석된 침해 기록 중 70%는 웹 인젝션 공격이 근본 원인인 것으로 나타났습니다. 지금까지의 흐름을 지켜봤다면 놀라운 결과는 아닙니다. 지난 10년간 전체 침해 기록의 23%에서 최초 공격 벡터가 SQL 인젝션인 것으로 나타났습니다. 이 공격은 매우 광범위하게 발생하여 2017년 OWASP Top 10에서 1위에 올랐습니다.
실제로 PHP 기반 웹 앱을 대상으로 한 공격의 거의 절반(46%)이 인젝션 공격이었습니다. 보안 전문가들은 PHP가 어디에나 사용된다는 점에 주목해야 합니다. Builtwith.com은 인터넷을 구성하는 앱을 구축하는 데 사용된 기술을 추적하는 사이트로, 상위 100만 개 웹사이트 중 43%가 PHP로 구축되었다고 밝히고 있습니다. 미국에는 이러한 사이트가 약 1,800만 개 호스팅되어 있으며, 상위 1만 개 사이트 중 거의 절반(47%)이 PHP를 사용합니다.
이는 공격자가 표적을 선택할 수 있고 실제로도 선택하는 광범위한 영역입니다. 보고서에 따르면 공격이 수행된 21,000개 이상의 고유 네트워크 중 58%가 PHP 기반 사이트를 표적으로 삼았습니다.
데이터는 점점 더 커지는 수익성 높은 공격 표적입니다
사용된 언어를 탓하기에 앞서, F5 Labs의 연구원들 역시 역직렬화 공격을 주시해야 한다고 경고한다는 점에 유의해야 합니다. 이러한 공격은 특정 언어에 국한되지 않으며 데이터 자체를 노립니다. 보고서의 내용은 다음과 같습니다:
"직렬화는 애플리케이션이 데이터를 전송 가능한 형식(일반적으로 바이너리)으로 변환할 때 이루어지며, 보통 서버에서 웹 브라우저로, 웹 브라우저에서 서버로, 또는 API를 통해 시스템 간에 데이터를 전송하는 데 사용됩니다."
데이터 스트림에 명령을 삽입하거나 매개변수를 조작하면 공격이 필터링되지 않은 채 애플리케이션 내부로 바로 유입되는 경우가 많습니다. Apache Struts 사례처럼 데이터를 필터링하거나 정제하지 않는 애플리케이션 또는 애플리케이션 구성 요소는 취약점 공격에 노출될 수 있습니다. 역직렬화 공격은 OWASP가 지난해 10대 보안 위험 목록에 포함했을 만큼 심각한 위협으로 간주됩니다. 바로 이러한 취약점으로 미국인 1억 4,800만 명과 영국인 1,520만 명이 피해를 입었다는 점을 고려하면, 실제 공격에서 비교적 드물게 사용된다는 이유로 충분한 주목을 받지 못하고 있는 역직렬화 공격에 더 큰 관심을 기울여야 합니다.
이 두 가지 위협에서 주목할 점은 공통된 주제를 따른다는 것입니다. 즉, 데이터 역시 신뢰할 수 없다는 것입니다. 의도적으로 변조되었든 정상적인 요청에 편승했든, 공격은 점점 더 데이터 스트림 속에 숨겨지고 있습니다.
하지만 앱과 그 데이터에만 지나치게 집중한 나머지, 스택의 나머지 부분도 그에 못지않게 취약하며 공격 대상이 될 가능성이 높다는 사실을 간과해서는 안 됩니다. 이미 사용이 중단된 SSL 및 TLS 1.0과 같은 취약한 암호화 방식에 계속 의존하는 것은 우려스러운 일입니다. 이러한 방식은 보안 취약점이 많고, 접근 권한을 노리는 공격에 악용되기 쉽기 때문에 사용이 중단되었습니다.
보고서에서 언급했듯이, "새롭게 명명된 TLS 프로토콜 취약점은 1년에 약 두 차례 공개됩니다. 그러나 Heartbleed를 제외하면, 이름이 붙은 TLS 프로토콜 취약점 대부분은 학술적 성격에 그치며 실제 침해 사고에 악용되는 경우는 드뭅니다. 가장 큰 사례 중 하나는 2014년에 발생한 Community Health Systems(CHS) 침해 사고입니다. 공격자가 Heartbleed 취약점을 악용하면서 CHS는 약 500만 건의 사회보장번호를 유출당했습니다."
위협 가능성은 낮지만 위험은 큽니다. 누구도 그 드문 사례의 당사자가 되고 싶어 하지 않지만, 결국 누군가는 그렇게 됩니다.
보안과 가용성은 모두 동등하게 중요하게 다뤄져야 합니다
현실적으로 우리는 이제 아무도 신뢰하지 않는 것만으로는 충분하지 않은 시대에 접어들고 있습니다. 앱과 데이터를 보호하기 위해 마련된 보호 조치를 무력화하고 우회하도록 설계된 공격을 찾아내려면 스택을 더 깊이 살펴봐야 합니다. 애플리케이션 보호를 네트워크부터 인프라, 서비스에 이르는 전체 애플리케이션 스택의 상태를 지속적으로 평가하는 연속적인 과정으로 바라봐야 합니다. 즉, 데이터를 전달하는 속도만큼이나 데이터의 안전성도 중요하게 여겨야 합니다.
보안 규칙 제0조를 기억해야 합니다. 사용자 입력은 절대 신뢰하지 마십시오. 또한 사용자 입력에는 데이터도 포함된다는 점을 명심해야 합니다. 즉, 수신 데이터를 검사하도록 보안을 강화하고 성능과 가용성에 미칠 수 있는 잠재적 영향을 상쇄할 방법을 찾아야 합니다.
이는 가용성이 때로는 단지 주의를 돌리기 위한 수단일 뿐이며, 우리가 그 함정에 빠져서는 안 된다는 점을 인식하는 것을 의미합니다. 보안은 가용성 및 성능과 동등하게 중요하게 다뤄져야 하며, 반드시 그래야 합니다. CISO의 최우선 과제는 가용성이 아니라 보안이어야 합니다.
CISO가 보안을 위해 나서지 않는다면, 과연 누가 나서겠습니까?
더 많은 인사이트와 분석은 F5 Labs의 2018 애플리케이션 보호 보고서에서 확인할 수 있으며, 전체 애플리케이션 스택에 존재하는 공격과 보호 대책에 관한 유용한 지침도 제공합니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.