웹 애플리케이션 방화벽으로 보안과 성능의 균형 맞추기

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

• 보안도 중요하지만 성능도 중요합니다.
• 조직의 절반 이상(57%)이 클라우드 및 온프레미스의 애플리케이션을 보호하기 위해 웹 애플리케이션 방화벽을 사용합니다(State of Application Delivery 2018).
• 아웃바운드 응답을 검사하는 것은 진행 중인 침해를 탐지하고 차단할 수 있는 마지막 기회 중 하나입니다.
• “좋은 것도 지나치면 해가 될 수 있습니다.” 보안과 성능을 모두 최적화할 수 있도록 두 요소 간의 균형을 신중하게 고려하세요.

우리 모두는 디지털 비즈니스가 지속적으로 성공하는 데 성능이 얼마나 중요한지 잘 알고 있습니다. 전화 접속과 몇 시간씩 걸리는 다운로드에 익숙한 세대는 성능 문제에 비교적 관대한 편이지만, 디지털 네이티브인 우리 자녀 세대는 그렇지 않습니다. 이들은 즉각적인 응답과 빠른 다운로드를 기대합니다.

우리가 얼마나 참을성이 없는지는 수치로 드러납니다. 80% 이상이 성능이 좋지 않다는 이유로 애플리케이션을 삭제한 적이 있습니다. 심지어 열 명 중 세 명은 앱을 번개처럼 빠르게 사용할 수 있다면 기꺼이 비용을 지불할 의향이 있습니다.

하지만 우리가 어느 기술 세대에 속하든 만족시키기란 쉽지 않습니다. 앱 속도를 높이면서 보안을 소홀히 할 생각은 하지 마세요. 그렇게 했다가 우리 데이터가 유출되면, 우리는 단순히 앱을 삭제하는 데서 그치지 않을 것입니다.

따라서 성능에 대한 요구와 보안의 필요성 사이에서 균형을 맞추는 일은 IT 전문가, 특히 보안 실무자의 몫입니다. 앱은 빠르면서도 동시에 안전해야 합니다.

절반이 넘는 조직이 애플리케이션의 보안을 강화하기 위해 사용하는 방법 중 하나는 웹 애플리케이션 방화벽(WAF)을 비롯한 애플리케이션 서비스를 활용하여 애플리케이션을 공격으로부터 보호하는 것입니다. 이를 위해 다음 두 가지 방식을 사용합니다:

첫째, 악의적인 활동을 탐지하기 위해 인바운드 요청을 검사합니다. 둘째, 아웃바운드 응답을 점검합니다. 이러한 보안 전술을 항상 적용하는 조직이 애플리케이션 공격을 방어할 수 있다는 확신이 가장 높은 조직에 속하는 것은 놀라운 일이 아닙니다.

WAF를 사용하면 요청과 응답의 모든 세부 내용을 검사할 수 있습니다. 콘텐츠를 원하는 대로 구문 분석하고, 분해하고, 변형하고, 수정할 수 있습니다.

하지만 할 수 있다고 해서 꼭 해야 하는 것은 아닙니다.

보안에는 비용이 따릅니다. 공격이나 침해의 증거를 찾아내는 데 필요한 수준으로 애플리케이션 트래픽을 면밀히 검사하려면 CPU 처리 능력과 메모리가 필요합니다.

따라서 보안과 성능 간의 균형을 유지하는 것이 중요합니다. 검사나 필터링에 1마이크로초가 더 걸릴 때마다 사용자가 응답을 기다리는 시간도 그만큼 늘어납니다.

그리고 이런 지연은 쌓이게 됩니다.

결국 패킷이 네트워크를 왕복하는 데 수 마이크로초가 걸리는 것은 물리 법칙상 어쩔 수 없는 일입니다. 연결을 설정하는 데도 몇 마이크로초가 더 걸리고, 처리하는 데도 또 몇 마이크로초가 걸립니다… 무슨 말인지 아시겠죠. 모든 작업에는 시간이 걸리며, 시간이 오래 걸릴수록 사용자의 조바심은 커집니다.

이러한 상충 문제를 해결할 때 일부는 전통적으로 빈대 잡으려다 초가삼간 태우는 식의 접근을 해왔습니다. 성능이 만족스러운 수준에 이를 때까지 보안 기능을 꺼버리는 것입니다. 하지만 이는 올바른 해결책이 아닙니다. 보안의 필요성과 성능에 대한 요구를 모두 충족할 수 있는 균형점이 있습니다.

요청에 대해서는 프로토콜 수준의 구문 분석과 검증을 수행해도 좋습니다. 페이로드를 검사하여 공격의 징후가 있는지 찾아보세요. 서명 기반 검사를 먼저 수행하고, 텍스트 기반 비교는 그다음에 수행하세요. 가능하면 서명 기반 검사를 사용하면 구문을 분석하고 비교할 필요가 없으므로 보안 성능이 향상됩니다. 단순히 바로 비교하기만 하면 되므로 처리 속도가 상당히 빠릅니다.

응답에 대해서는 콘텐츠를 파싱해 샅샅이 분석하고 싶은 유혹에 빠지지 마세요. 여기서는 JSON의 형식이 올바르거나 XML이 적절한 스키마를 따른다는 점에 대해 개발자를 어느 정도 신뢰해야 합니다. 현실적으로 프로토콜이나 형식에 오류가 있다면 사용자가 이를 알아차리게 됩니다. 이는 개발자가 신경 써야 할 문제이지, 일반적으로 보안 위험은 아닙니다.

보안 위험이 되는 것은 신용카드 번호나 계좌번호, 사회보장번호, 이메일 주소와 같은 민감한 데이터가 포함되는 경우입니다. 패턴이 명확한 숫자와 데이터는 빠르게 검색해 데이터 내에서 가릴 수 있습니다. 시그니처 기반 검사와 마찬가지로 여기서도 패턴 매칭을 수행하며, 보안 서비스는 이를 최대한 빠르게 처리하는 데 정말 능숙해졌습니다.

가능하다면 콘텐츠 길이도 확인하는 것이 좋습니다. 세간의 이목을 끈 여러 익스플로잇은 반환된 콘텐츠의 양만으로도 식별할 수 있었습니다. 특정 요청이 약 1KB의 데이터만 반환해야 한다는 것을 알고 있다면, 4KB의 응답이 왔을 때는 어딘가에서 경고가 울려야 합니다. 이는 데이터를 파싱하고 레코드 수를 세는 것보다 훨씬 적은 시간이 드는 간단한 검사입니다.

일반적으로 요청을 처리할 때는 항상 보안 규칙 제0조를 준수하고, 사용자 입력이 포함되어 있다면 확인할 수 있는 모든 것을 검사하는 것이 좋습니다. 응답을 내보낼 때는 진행 중인 침해의 징후를 살피고 민감한 데이터를 난독화하되, 데이터 형식이나 스키마 준수 여부까지 신경 쓰느라 시간을 낭비하지 마세요. 응답 형식이 올바른지는 개발자가 신경 쓸 일입니다. 그것은 개발자의 영역이지 여러분의 영역이 아닙니다.

보안과 성능은 어느 한쪽을 위해 다른 한쪽을 희생하지 않는 한 균형을 이룰 수 있습니다. 이는 양방향 모두에 해당합니다. 성능을 위해 보안을 포기해서도 안 되지만, (불필요할 수도 있는) 보안을 위해 성능을 희생해서도 안 됩니다.

보안을 전략적으로 활용해 악용을 방지하고 침해를 탐지하면, 사용자의 만족도를 유지하면서 데이터와 애플리케이션을 안전하게 보호하는 데 필요한 성능과 보안의 균형을 달성할 수 있습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물