2022년 애플리케이션 전략 현황: 보안의 중심이 ID로 이동하다

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

애플리케이션 전략 현황 보고서로 발전한 연례 조사를 처음 시작한 이후 8년 동안, 보안이 애플리케이션 보안 및 전송 서비스 스택의 최상위로 꾸준히 부상하는 모습을 지켜봐 왔습니다.

로드 밸런싱, 캐싱, CDN과 같은 기술을 아우르는 일반적인 범주인 가용성이 최우선 순위를 유지한 기간은 2003년 당시 새로 가동된 웹 서버가 인터넷에서 아무런 공격도 받지 않고 버틸 수 있었던 시간과 비슷했습니다. 잘 모르는 분들을 위해 덧붙이자면, 그리 긴 시간은 아니었습니다.

보안은 거의 즉시 최우선 순위로 올라섰으며, 2017년경부터 지금까지 그 자리를 굳건히 지키고 있습니다.

지금까지는 그랬습니다.

올해 처음으로 핵심 보안 서비스가 아닌 서비스가 ‘가장 많이 배포된’ 서비스 1위에 올랐습니다. 바로 ID 관리입니다.

하지만 단순히 ID 및 액세스 기술이 가장 널리 도입된 기술로 부상했다는 점만이 아닙니다. 당사의 연구 전반에서 ID 기반 보안으로의 중대한 전환을 보여주는 충분한 증거가 확인됩니다.

API 보안을 예로 들어 보겠습니다. 실제로 많은 조직이 이를 도입하고 있습니다. 하지만 저희는 세부 사항을 더 깊이 살펴보고, 응답자들이 가치 있다고 생각하는 구체적인 보호 조치 유형을 물었습니다. 이를 크게 세 가지 범주로 분류했습니다:

1. 전통적 보호. 이러한 보호 기능은 오랫동안 웹 애플리케이션 방화벽에 포함되어 온 웹 기반 보호 기능에서 주로 비롯되었습니다. 속도 제한, OWASP 10대 보안 위험, 그리고 물론 암호화/복호화가 이에 해당합니다.
2. 현대적 보호. 이러한 보호 기능은 지난 몇 년 사이에 등장하여 API 보안의 중요한 요소로 자리 잡았습니다. 여기에는 멀웨어 및 악성 콘텐츠 탐지와 같은 페이로드(콘텐츠) 검사와 인증/권한 부여가 포함됩니다. 미리 말씀드리자면, 바로 이 부분이 ID와 관련된 영역입니다.
3. 적응형. 적응형 보호는 AI와 머신 러닝을 활용해 행동 분석을 수행하고 사람 사용자와 비인간 사용자를 구분할 수 있게 되면서 등장한 새로운 범주입니다. 이러한 기술은 사기 방지 및 봇 보호 서비스의 기반이 되는 경우가 많습니다.

응답자들에게 이 목록에서 가장 ‘가치 있다’고 생각하는 보호 조치가 무엇인지 물었습니다. 그 결과, 특히 지난 1년 동안 실제로 API 보호 조치를 구현한 응답자들 사이에서 보안에 대한 높은 수준의 전문성이 나타났습니다. 서비스 배포와 마찬가지로, ID 및 액세스 관리는 API를 위한 가장 가치 있는 보호 조치 목록에서 가장 높은 순위를 차지했습니다.

적응형 방식이 높은 가치를 인정받고 있다는 점은 고무적입니다. 보안 서비스를 강화하기 위해 AI와 머신 러닝을 적극적으로 도입하고 있다는 점을 고려하면 전혀 놀라운 일은 아닙니다. 방대한 데이터의 양과 공격을 놓쳤을 때의 영향을 감안하면, 인프라부터 애플리케이션, 비즈니스 자체에 이르기까지 모든 것을 보호하기 위해 업계 전체가 더욱 발전된 적응형 보안 방식으로 전환하고 있는 것도 당연합니다.

ID 및 행동 분석은 모두 포괄적인 보안 전략의 중요한 요소이며, 디지털 경제를 뒷받침하는 데 API가 점점 더 큰 역할을 하고 있다는 점에서 API 보안에 특히 중요합니다. 또한 많은 공격, 특히 멀웨어와 악성 콘텐츠는 API 트랜잭션의 페이로드와 대조할 수 있는 고유한 시그니처를 통해 쉽게 식별되는 경우가 많으므로 검사 역시 여전히 핵심입니다. 잠재적인 공격을 식별할 때는 식별의 정확성만큼 속도도 중요하며, 검사는 악성 콘텐츠를 식별하는 빠르고 신뢰할 수 있는 방법으로 여전히 유효합니다.

마지막으로, 코로나19로 가속화된 디지털 혁신의 결과로 ID 관련 기술이 도입되고 있습니다. 응답자들에게 코로나19 이후 보안 전략에 어떤 변화가 있었는지 물었습니다. 4분의 1 이상(26%)이 크리덴셜 스터핑 방지 솔루션을 도입했으며, 34%는 API 보안 프레임워크를 구현했습니다.

이 주제와 관련이 있는 것은 첫 번째 수치입니다. 크리덴셜 스터핑은 디지털 세상에서 사람들의 신원 정보(자격 증명)를 보호하는 것과 직결되기 때문입니다. 팬데믹 기간 동안 모든 업종에서 디지털 선택지가 폭발적으로 늘어난 점을 고려하면, 적어도 일부 기업이 신원 정보를 보호할 책임을 진지하게 받아들이고 있다는 사실은 고무적입니다.

이는 보안 분야에서 비교적 빠르게 변화하는 추세이며, 조직들이 디지털 경제에서 입지를 더욱 확대함에 따라 앞으로도 계속 확산될 것으로 예상됩니다. 자동화, 클라우드 네이티브 애플리케이션 아키텍처, 디지털 생태계, 그리고 물론 IoT에서 API의 중요성이 커지면서 API의 ‘사용자’를 더욱 정확하게 식별해야 할 필요성도 대두되고 있습니다. 디지털 경제에서 API를 보호하는 것은 단순한 기술적 문제가 아니라 비즈니스 차원의 문제이기도 합니다.

하지만 이러한 추세는 디지털 세계에서 ID가 얼마나 중요한지를 보여 주며, 2022년에 ID 관련 서비스가 가장 많이 도입된 애플리케이션 보안 및 전송 기술 중 최상위에 오른 것이 그다지 놀랍지만은 않은 이유를 설명해 줍니다.

This shift toward identity revealed by 당사의 연구에서 드러난 이러한 ID 중심으로의 전환은 시장이 제로 트러스트를 보안의 기본 접근 방식으로 받아들이고 있다는 점에서도 중요합니다. 응답자의 40%는 제로 트러스트를 ‘가장 흥미로운’ 트렌드 또는 기술로 꼽았습니다. 아키텍처 모델로서 제로 트러스트는 애플리케이션과 인프라의 보안 및 보호에 중점을 두며 안전한 마이크로 경계를 갖춘 네트워크를 설계하고 사용자 권한과 액세스를 제한하여 위험을 줄입니다.

제로 트러스트의 핵심에는 간단한 질문이 있습니다. 즉, 누가 리소스에 액세스할 수 있어야 하는가입니다. 물론 이 질문에 답하고 그에 따른 정책을 코어, 클라우드 및 엣지 전반에 적용하려면 훨씬 더 많은 요소를 고려해야 하지만, ID가 없다면 이 접근 방식 전체가 무너집니다.

ID가 계속해서 최우선 고려 사항으로 남을지는 지켜봐야 하겠지만, Web3와 같은 새로운 트렌드 역시 ID를 핵심 구성 요소로 크게 강조하고 있다는 점을 고려하면 보안의 중심이 ID로 이동하는 변화는 이제 막 시작되었을 가능성이 높다고 생각합니다.

선별된 주제를 더 자세히 알아보려면 다음 블로그도 확인해 보세요:

2022년 애플리케이션 전략 현황: 8년간의 트렌드 분석 ›

2022년 애플리케이션 전략 현황: 앱과 데이터로 확장되는 엣지 워크로드 ›

2022년 애플리케이션 전략 현황: 디지털 혁신 기업들이 강조하는 현대화의 중요성 ›

2022년 애플리케이션 전략 현황: 멀티 클라우드의 복잡성은 계속된다 ›

2022년 애플리케이션 전략 현황: 성능 동향 ›

애플리케이션 전략 현황 2022: 운영 현대화의 시기 ›

애플리케이션 전략 현황 2022: 비즈니스의 미래는 적응력에 달려 있습니다 ›

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물