자신감 넘치는 사람들의 보안 습관

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

2017년 애플리케이션 딜리버리 현황에서 얻은 인사이트

경영진과 보안 전문가 모두 적어도 애플리케이션 계층 공격을 견뎌낼 수 있다는 자신감에 있어서는 현실적인 편입니다.

흥미롭게도 두 그룹 모두 이러한 공격을 막아낼 가능성을 비관하는 편은 아니었습니다. 애플리케이션 딜리버리 현황 설문조사에서 조직이 애플리케이션 계층 공격을 견뎌낼 수 있다고 전혀 확신하지 못한 응답자는 각 그룹에서 5%에 불과했습니다. 그렇다고 해서 이들이 그 가능성을 낙관한다는 뜻도 아닙니다. 악의적인 공격자들과 맞서 애플리케이션 보안 경쟁에서 승리할 수 있다고 강하게 확신한 응답자는 보안 전문가의 10%, 경영진의 13%에 그쳤습니다.

실제로 그들의 견해는 실용주의(현실주의)가 자리한 중간 지점에 훨씬 더 무게가 실려 있었습니다.

보안 담당자의 40%는 확신이 더 커지지도 작아지지도 않은 채 중립적인 입장을 보였습니다. 경영진도 비슷한 비율(37%)로 이에 동의했습니다. 요즘 같은 때에는 합리적인 태도로 보입니다. 현재 알려진 위협은 충분히 막아낼 수 있다고 자신할 수도 있습니다. 하지만 보안의 문제는 바로 여기에 있습니다. 아직 알려지지 않은 것이 곧 위협이 될 수 있기 때문입니다.

그렇다면 보안 전문가와 경영진 중 약 10%는 무엇 때문에 자사 조직의 보안 태세에 그토록 강한 자신감을 보이는 걸까요? 이들은 다른 사람들이 모르는 무엇을 알고 있는 걸까요?

이를 알아보기 위해 데이터를 다양한 방식으로 세분화해 분석하기 시작했습니다. 전체 보고서에서 언급했듯이, 웹 애플리케이션 방화벽의 도입과 그보다는 영향이 적지만 DDoS 방어의 도입이 애플리케이션 계층 공격을 견딜 수 있다는 응답자들의 자신감에 기여한 것으로 나타났습니다. 물론 이용 가능한 보안 서비스가 이 두 가지뿐인 것은 아닙니다. 현재 저희는 총 8가지 보안 서비스를 추적하고 있습니다.

그렇다면 다른 보안 애플리케이션 서비스도 조직의 보안 태세에 대한 사람들의 신뢰도에 영향을 미칠 수 있다고 보는 것이 합리적일 것입니다. 데이터를 간단히 살펴본 결과, 실제로 그럴 가능성이 있는 것으로 나타났습니다.

추적 중인 8가지 보안 서비스 모두에서, 보안 태세에 대한 확신이 가장 높은 응답자일수록 서비스를 배포한 비율이 더 높았습니다. 각 서비스의 배포 현황은 확신 수준에 따라 대체로 큰 차이를 보였습니다. 평균적으로 확신이 가장 낮은 응답자들은 앱 보안 서비스의 전반적인 배포율이 24% 더 낮았습니다. 보안 서비스가 적을수록 확신도 낮았습니다. 우연일까요? 그렇지는 않은 것 같습니다.

하지만 애플리케이션 계층 공격을 견딜 수 있다는 자신감에 긍정적(또는 부정적)으로 영향을 미치는 요인은 보안 서비스를 배포하는 것만이 아닙니다. 애플리케이션 보안을 위해 이러한 애플리케이션 서비스를 어떻게 활용하는지도 중요합니다.

매년 우리는 사람들이 애플리케이션을 어떻게 보호하고 있는지 물어왔습니다. 보호가 필요한 주요 공격 표면으로 클라이언트, 요청, 응답의 세 가지를 꼽습니다. 각 표면은 서로 다른 보안 전술(따라서 서비스)을 적용할 수 있는 고유한 시점을 제공하여 애플리케이션과 그 안의 중요한 데이터를 더욱 안전하게 보호하고 방어할 수 있기 때문입니다. 응답자들에게 이 세 가지 표면 각각에 보안 정책을 얼마나 일관되게 적용하는지, 즉 항상, 전혀 적용하지 않음, 또는 가끔 적용하는지 설명해 달라고 요청했습니다. 이제 자신감이 가장 높은 사람들은 세 가지 표면을 항상 모두 보호한다는 사실에 놀랄 사람은 없을 것입니다. 반대로 자신감이 가장 낮은 사람들은 어떤 표면도 전혀 보호하지 않는 경향이 있습니다.

물론 이것이 신뢰 수준에 영향을 미치는 유일한 요인은 아닙니다. 신뢰 수준이 가장 낮은 사람들 중에서도 소수는 이러한 공격 표면을 항상 보호합니다. 반대로 신뢰 수준이 가장 높은 사람들 중 일부는 이러한 표면을 전혀 보호하지 않습니다. 신뢰 수준이 가장 낮은 사람들이 이러한 표면을 간헐적으로 보호한다는 사실은 이것이 신뢰 수준에 영향을 미치는 요인임을 보여 주지만, 유일한 요인은 분명 아닙니다. 그렇지 않다면 표면을 전혀 보호하지 않는 것과 가장 낮은 신뢰 수준 사이에 더 높은 상관관계가 나타났을 것입니다.

그럼에도 신뢰도가 가장 높은 응답자 중 절반 이상은 클라이언트(60%), 요청(61%), 응답(57%)을 항상 보호합니다.

우연일까요? 다시 말하지만, 저는 그렇게 생각하지 않습니다.

물론 보안 앱 서비스의 배포 및 적용과 신뢰도 사이에 인과관계가 있다고 단정할 수는 없지만, 둘 사이에 상관관계가 있다는 점은 분명히 확인할 수 있습니다.

애플리케이션 계층 공격을 견뎌낼 역량에 대해 가장 높은 자신감을 보이는 IT 전문가들은 상대적으로 비관적인 전문가들보다 보안 애플리케이션 서비스를 도입하고 세 가지 공격 표면을 모두 선제적으로 보호할 가능성이 더 높습니다. 내일 어떤 위협이 닥치든 방어해 낼 가능성에 대해 다소 미적지근한 생각이 든다면 한번 고려해 볼 만한 점입니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물