F5 Advanced WAF로 SAP Fiori HTTP 일괄 요청(OData) 보호

F5 에코시스템 | 2021년 8월 30일

HTTP 프로토콜은 사실상 웹을 구동합니다. 인터넷 트래픽의 대부분을 처리하는 통신 프로토콜이기도 합니다. UDP 또는 TCP를 통해 암호화되거나 인코딩된 형태, 혹은 일반 텍스트 형태로 인터넷 통신을 네트워크 차원에서 최적화하는 새로운 방식들이 등장하고 있습니다. 그중 하나는 여러 HTTP 요청을 하나의 요청으로 묶어 전송하는 기능입니다. 여러 HTTP 요청을 일괄 처리하면 페이로드 오버헤드와 새 요청의 왕복 시간(RTT)을 줄일 수 있어 시간과 비용을 절약할 수 있습니다.

여러 HTTP 요청을 일괄 처리하는 방식은 주로 다양한 프로토콜과 공급업체의 여러 REST(Representational State Transfer) API 호출을 하나로 묶는 데 사용되며, 그중 하나가 OData(Open Data Protocol)입니다. 상호 운용 및 쿼리가 가능한 REST API를 간편하게 생성하고 사용할 수 있도록 지원하는 개방형 표준인 OData 프로토콜은 2007년 Microsoft에서 개발했으며 Microsoft, SAP 및 기타 공급업체의 애플리케이션에서 활용되고 있습니다.

OData 사양의 일부로, HTTP를 통한 여러 REST API 호출을 하나의 HTTP 요청으로 일괄 처리할 수 있습니다. 이를 통해 귀중하고 비용이 많이 드는 네트워크 시간을 절약하고 애플리케이션이 할당된 대역폭을 더 효율적으로 활용할 수 있습니다.

HTTP 요청을 일괄 처리하는 애플리케이션의 보안을 강화할 때 공격 시그니처를 적용하는 데 어려움이 발생합니다.

공격 시그니처는 요청에서 적용되는 부분에 따라 세 가지 유형으로 나뉩니다:

헤더 시그니처
URL 시그니처
페이로드 서명

다음은 이러한 요청의 예시입니다:

첫 번째 요청에는 헤더와 URL을 포함한 다른 HTTP 요청이 들어 있습니다.

하지만 웹 애플리케이션 방화벽(WAF)이 페이로드의 일부로 여러 개의 일괄 처리된 요청이 포함된 HTTP 요청을 처리할 때는 일괄 처리된 모든 요청을 하나의 페이로드로 간주합니다. 따라서 페이로드 관련 시그니처만 사용하게 되며, 이로 인해 오탐이 발생하거나 공격을 탐지하지 못할 수 있습니다.

F5 Advanced WAF v16.1에는 HTTP 일괄 요청에 대한 네이티브 구문 분석 및 지원 기능이 추가되었습니다. 이를 통해 Advanced WAF는 HTTP 요청을 일괄적으로 처리하지 않고 각각 개별적으로 구분하여, 각 요청의 적절한 부분에 올바른 시그니처를 적용할 수 있습니다.

F5 Advanced WAF는 공격을 놓치거나 오탐이 다수 발생할 위험 없이 HTTP 일괄 요청을 사용하는 모든 OData 및 기타 트래픽을 보호합니다.

SAP는 OData 프로토콜을 활용하여 SAP 제품이 아닌 모든 애플리케이션, 소프트웨어 또는 장치와 통신하고 상호 운용합니다. OData는 HTTPS를 기반으로 하므로 모든 프로그래밍 언어는 물론 모든 개발자가 OData 메시지를 사용하고 이를 통해 통신할 수 있습니다. OData 인터페이스는 XML 또는 JSON을 기반으로 하므로 SAP 제품이 아닌 모든 제품이 HTTPS를 사용하여 SAP에 연결할 수 있습니다.

SAP Fiori는 디자이너와 개발자가 플랫폼 전반에서 일관되고 혁신적인 사용자 경험을 제공하는 네이티브 모바일 및 웹 앱을 제작하고 최적화할 수 있도록 지원하는 도구를 제공합니다. SAP Fiori는 모든 디바이스와 모든 사용자에게 현대적인 사용자 경험을 제공합니다. SAP Fiori를 통해 사용자는 어디서나 간편하고 생산적으로 업무를 수행할 수 있습니다. OData를 사용하면 SAP 이외의 앱을 SAP Fiori로 구축된 환경에 통합하고 상호 운용할 수 있습니다.

상호 운용성과 원활한 통신도 중요하지만 보안 역시 중요합니다. 특히 인터넷에 연결되어 분석 애플리케이션을 사용하거나 인터넷 검색 기능을 이용하는 SAP Fiori 배포 환경에서는 더욱 그렇습니다.

SAP가 게시한 블로그인 “인터넷에 노출되는 Fiori 앱을 위한 고려 사항 및 권장 사항”에서는 WAF를 “SAP Web Dispatcher 앞에 배치하여 들어오는 모든 HTTP 요청을 모니터링하고 제어해야 하며”, “신뢰할 수 있는 내부 네트워크와 신뢰할 수 없는 인터넷 사이에” 배포해야 한다고 설명합니다. 또한 이 블로그에서는 WAF가 제공하는 보안 기능 중 하나로 분산 서비스 거부(DDoS) 공격을 차단해야 하며, 특히 “공격이 SAP S/4HANA 시스템에 도달하지 못하도록” 해야 한다고 강조합니다.

F5 Advanced WAF의 OData 프로토콜 지원을 통해 고객은 오탐을 줄이면서 SAP 애플리케이션을 더욱 효과적으로 보호할 수 있습니다.

SAP Fiori 및 S/4 HANA용 F5 솔루션에 대한 자세한 내용은 다음을 참조하십시오.

빠르고 안전하게: SAP 클라우드 마이그레이션(F5.com)
미션 크리티컬 SAP 애플리케이션을 대상으로 한 실제 사이버 공격 완화 | DevCentral(f5.com)

SAP Fiori와 WAF 적용을 통해 보안을 강화하고 SAP Fiori의 OData 및 HTTP 배치 요청 사용과 관련된 오탐을 줄이는 방법에 대한 자세한 내용은 다음 자료를 참조하십시오: 인터넷에 공개되는 Fiori 앱을 위한 고려 사항 및 권장 사항 | SAP 블로그
인트라넷 또는 인터넷에 배포 | SAP 도움말 포털