모바일 사용자가 휴대폰으로 쇼핑하고, 은행 업무를 보고, 건강 상태를 확인하는 등 다양한 활동을 하는 가운데, 모바일 멀웨어와 기타 악성 활동은 계속해서 이들을 위협하고 있습니다. 최종 사용자도 공격의 피해를 입지 않도록 주의해야 하지만, 모바일 환경의 안전을 보장할 궁극적인 책임은 제품팀, 운영팀, 개인정보 보호 및 보안팀 등 앱 제공업체에 있습니다. 또한 이러한 모바일 앱을 통해 전송되는 민감한 데이터가 권한 없는 자에게 노출되지 않도록 보호해야 합니다.
모바일 위험은 조금 다릅니다
조직들이 클라우드, 네트워크 및 웹 애플리케이션 보호에 대한 투자를 확대해 왔지만, 여전히 많은 조직이 모바일 애플리케이션을 회사 소유 기기와 BYOD를 포함한 데스크톱 및 노트북 같은 기존 엔드포인트와 동일한 방식으로 취급하고 있습니다.
그러나 모바일 환경에는 고유한 문제가 발생할 수 있으며, 이로 인해 이러한 시스템이 침해에 노출될 수 있습니다. 예를 들어 공격자는 디바이스를 침해하고, 데이터를 탈취하고, 권한 있는 액세스 권한을 획득하고, 애플리케이션을 악용하기 위해 흔히 다음과 같은 방법을 사용합니다:
- 모바일 앱 리패키징
- 멀웨어 삽입
- 후킹 프레임워크 하이재킹
- 오버레이 공격 수행
악의적인 공격자가 모바일 앱을 장악하면 모바일 측 애플리케이션을 발판으로 자동화된 공격을 통해 서버 측 애플리케이션에 대한 공격을 시작할 수 있습니다. 이 과정에서 크리덴셜 스터핑, 계정 탈취, 스크래핑 등 다양한 악성 봇 공격을 수행할 수 있습니다.
모든 보안 프로그램의 주요 목표는 환경이 침해되지 않도록 보호하는 것이지만, 이러한 최종 목표는 대개 다음과 같은 규정 준수 표준을 충족해야 할 필요성에서 비롯됩니다:
- 개인정보 보호: GDPR, CCPA
- 결제: EMVCo SBMP, PCI-DSS 및 PSD2
- 의료 기록: HIPAA
이러한 현실을 고려해 Google Cloud와 F5의 전문가들은 웨비나를 공동 개최하여 관련 과제를 논의하고, 클라우드 엔지니어링 담당자, 앱 개발자, 운영팀 및 보안 전문가가 협력해 각자의 DevSecOps 프로그램 전반에서 모바일 앱 보안을 충분히 관리할 수 있도록 앞으로 나아갈 방향을 제시했습니다.
여기서 큰 그림의 일부는 오늘날의 현대적이고 적응형인 모바일 앱이 요구하는 사항을 지원하면서도 사용자 경험에 영향을 주지 않고 최종 사용자에게 보안과 개인정보 보호를 원활하게 제공할 수 있는 적절한 인프라를 선택하는 것입니다. 이와 마찬가지로 중요한 것은 CI/CD 파이프라인의 배포 프로세스를 중단과 지연으로부터 보호하는 것입니다.
다양한 관점이 중요합니다
웨비나에서 Jess Steinbach ActualTech Media 진행자는 Joshua Haslett Google Cloud 전략적 기술 파트너 관리자와 Peter Zavlaris F5 사이버 보안 에반젤리스트와 함께 여러 시나리오를 살펴보았습니다.
비즈니스 리더십
조직이 하나 이상의 규정이나 표준을 준수한다고 해서 모바일 앱의 위험과 법적 영향이 사라지는 것은 아닙니다. 마찬가지로 모바일 앱의 위험 프로필은 기존 웹 앱과는 다른 관점에서 살펴봐야 하지만, 동시에 더 큰 위험 관리 체계에 통합해야 합니다.
패널은 또한 모바일 앱이 악의적인 공격자에게 장악될 가능성이 있을 때 비즈니스 리더가 적극적으로 나서서 기업의 위험이 어떻게 변화하는지 파악하고 산정하는 데 기여할 수 있는 방안에 대해서도 논의했습니다.
IT 및 보안 운영
IT 및 보안 팀은 모바일 앱 보안을 개발 및 배포 수명 주기에 성공적으로 통합하기 위해 인프라에 적용해야 할 몇 가지 변화에 더 잘 대비할 수 있도록 협업할 기회가 있습니다.
물론 목표는 도구, 배포, 팀 구조 또는 운영에 큰 영향을 주지 않으면서 이를 수행하는 것입니다. 패널은 모바일 앱 보안을 배포하고 구성하기 위한 로우코드 기술의 활용과 이전 침투 테스트 또는 감사 결과를 바탕으로 모바일 앱을 포함하는 더욱 강력한 AppSec 프로그램의 전략, 계획 및 커뮤니케이션을 수립하는 방법에 대해 논의했습니다.
엔지니어링 및 개발자 운영
이 그룹이 자신들이 개발 중인 모바일 앱이 어떻게 침해될 수 있는지 더 잘 이해할 수 있도록, 패널은 앱 리패키징 및 후킹 공격의 작동 방식을 설명하고 엔지니어링팀과 운영팀이 이러한 위협으로부터 앱을 더욱 효과적으로 보호하기 위해 어떻게 협력할 수 있는지에 대한 현장 경험을 공유했습니다.
긍정적인 측면에서, 패널은 엔지니어링 팀이 모바일 앱의 보안 위험을 명확히 파악하고 이에 대응할 계획을 수립함으로써 CI/CD 파이프라인에서 숨겨진 이점을 발견할 수 있는 방법도 소개했습니다. 때로 보안은 단순한 위험 완화를 넘어설 수 있습니다. 이 경우에는 프로세스와 성과까지 개선할 수 있습니다.
실제 사례가 보여주는 행동의 가치
또한 이 그룹은 더 광범위한 CI/CD 및 DevSecOps 프로세스에 모바일을 통합해야 할 필요성을 보여 주는 데 도움이 되는 몇 가지 실제 사례를 논의했습니다:
- 규정 준수 유지: 팀은 모바일 앱의 배포 및 유지 관리에 거의 또는 전혀 영향을 주지 않으면서 GDPR 및 HIPAA와 같은 규제 요건을 충족할 수 있습니다.
- 운영 간소화: IT 운영팀은 팀원들의 번아웃을 방지하면서 증가하는 모바일 위협에 더욱 효과적으로 대응하고, 팀 내부 및 경영진과의 커뮤니케이션 모범 사례를 활용할 수 있습니다.
- 인앱 위협 방어: DevOps 팀은 AppSec 보안 태세를 지속적으로 모니터링하고 평가하여 런타임 중 앱을 노리는 위협을 효과적으로 방어할 수 있으며, SecOps 팀과 핵심 정보를 공유해 최상의 대응을 이끌어낼 수 있습니다.
모바일 공격의 광풍을 막으세요
모바일 앱 보안 프로그램이 이러한 시스템을 노리는 실시간 런타임 위협에 얼마나 잘 대응하고 있는지 궁금하다면, 온디맨드 웨비나인 악의적 공격자의 모바일 앱 공격 차단을 확인해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.