우리 모두 온라인 통신을 보호하는 필수 암호화 기술인 SSL에 대해 잘 알고 있습니다. SSL은 우리가 사용하는 웹 브라우저와 이 웹사이트 같은 사이트가 호스팅되는 서버 간의 통신을 보호합니다. 자물쇠 아이콘이나 주소의 HTTPS 표시를 통해 보안 웹사이트임을 확인할 수 있습니다.
그리고 일반적으로 SSL은 유용한 기술입니다. 은행 업무나 온라인 쇼핑처럼 금융 정보가 오가는 모든 거래에서는 SSL을 사용해 사용자의 정보를 비공개로 보호합니다. 하지만 최근에는 사용자 이름/비밀번호 조합이나 금융 데이터가 포함된 트래픽뿐만 아니라 모든 인터넷 트래픽을 보호하려는 움직임이 확산되고 있습니다. 에드워드 스노든의 전 세계적 대규모 감시 폭로처럼 세간의 이목을 끄는 뉴스로 인해 온라인 암호화를 요구하는 사용자가 늘고 있으며, 서비스 제공업체들도 기꺼이 이에 부응하고 있습니다.
이러한 이유로 SSL 사용이 증가하고 있습니다. Google, Amazon, Facebook 등 세계에서 가장 인기 있는 웹사이트 대부분은 이제 모든 트래픽에 SSL 암호화를 제공하는 HTTPS를 기본으로 적용하고 있습니다. 2015년 말까지 전 세계 인터넷 트래픽의 절반 이상이 암호화될 것으로 추정됩니다. (이는 주로 인터넷 트래픽에서 막대한 비중을 차지하는 Netflix가 HTTPS로 전환하고 있기 때문입니다.)
하지만 인터넷 트래픽을 암호화하면 민감한 데이터를 더 안전하게 보호할 수 있다는 점은 분명하지만, 실제로 기업의 위험은 더 커질 수 있습니다. 많은 기업용 보안 장비가 암호화된 트래픽의 내용을 확인하지 못하기 때문에 멀웨어가 탐지되지 않은 채 침투할 수 있기 때문입니다.
방화벽, 웹 게이트웨이, 침입 방지 시스템을 비롯한 여러 보안 솔루션은 암호화된 트래픽을 통해 유입되는 멀웨어를 탐지하는 데 어려움을 겪을 수 있습니다. 사이버 범죄자가 안전해 보이는 통신 안에 멀웨어를 숨길 수 있다면 기업에는 악몽과도 같은 상황이 될 수 있습니다. 게다가 이는 양방향으로 이루어집니다. 멀웨어가 탐지되지 않은 채 유입될 수 있을 뿐만 아니라, 대부분의 보안 도구가 포착하지 못하는 암호화된 통신을 통해 민감한 정보를 제어 서버로 다시 전송할 수도 있습니다.
그 한 가지 예가 바로 Dyre 뱅킹 악성코드입니다. 보도에 따르면, 이 악성코드는 암호화가 시작되기 전에 정보를 탈취한 뒤, 정상적인 암호화 트래픽으로 위장해 명령 및 제어 서버로 전송할 수 있었습니다. 특히 자물쇠 아이콘이 표시되기 때문에 세션이 안전해 보이지만, 실제로는 보이지 않는 곳에서 민감한 데이터가 대량으로 탈취되고 있습니다.
실제로 의심스러운 웹사이트라면 어디든 드라이브 바이 방식으로 악성코드를 유포할 수 있으며, 세션이 암호화되어 있으면 보안 도구는 해당 트래픽의 실제 내용이나 전송 위치를 파악할 수 없습니다. 프록시 서버나 URL 필터링 게이트웨이 같은 장비는 이를 전혀 탐지하지 못합니다.
이는 기업들이 직면하고 있는 매우 현실적인 문제입니다. Gartner의 자료에 따르면 방화벽, IPS 또는 UTM을 사용하는 조직 중 SSL 트래픽을 복호화하는 곳은 20% 미만이며, 이는 SSL 트래픽에 숨겨진 악성코드가 이러한 보안 플랫폼을 우회할 수 있음을 의미합니다. Gartner는 또한 2017년까지 기업을 표적으로 삼는 네트워크 공격의 50% 이상이 보안을 우회하기 위해 SSL을 사용할 것이라고 주장합니다.
기업은 암호화된 트래픽에 숨어 있는 악성코드로 인한 피해를 어떻게 방지할 수 있을까요? 간단한 해답은 해당 트래픽을 복호화하는 것이지만, 문제는 개인정보를 침해하거나 민감한 데이터를 공격에 노출하지 않으면서 이를 수행하는 방법입니다.
따라서 어떤 트래픽을 복호화해야 하는지 파악하는 것이 관건입니다. 기업이 외부 사용자에게 콘텐츠를 제공하는 경우, 일종의 장치를 사용해 서버의 SSL 트래픽 처리를 대신하고 트래픽 흐름에 보안 기능을 적용해야 합니다. 이렇게 하면 SSL 연결을 해제하게 되지만, 지능적인 방식으로 처리할 수 있습니다. 예를 들어 인터넷 뱅킹 세션은 복호화하지 않되 Facebook 세션은 복호화하는 식입니다.
보안 시스템은 트래픽이 어디로 향하는지 파악하고, 이를 복호화할지 아니면 그대로 둘지 판단할 수 있는 지능을 갖춰야 합니다. 즉, 안전하고 지능적인 방식으로 SSL 암호화를 해제하는 것입니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.