블로그 3/3 (이전 블로그)
앞선 두 편의 블로그에서는 인프라와 소프트웨어 애플리케이션의 역사를 모놀리식 중앙 집중형 구조에서 세분화되고 분산된 구조로 변화해 온 여정으로 살펴보았습니다. 그 과정에서 인프라와 애플리케이션을 보호하는 데 사용되는 도구와 프로세스도 발전해 왔지만, 그 속도와 포괄성은 충분하지 않았습니다. 새로운 공격과 취약점에 대응하기 위해 애플리케이션 보안이 발전함에 따라 위협 환경도 진화하고 새로운 사이버 위험이 등장하면서, 사이버 범죄자와 보안 팀 간의 군비 경쟁은 갈수록 치열해지고 있습니다.
AI의 등장으로 이러한 혁신 경쟁은 새로운 차원에 접어들었습니다. 방어자가 복원력을 유지하기 위해 AI 기반의 자동화된 보호 기능을 활용할 수 있는 것처럼, 악의적 행위자들도 공격 캠페인을 강화하기 위해 AI를 적극적으로 도입하고 있습니다.
오늘날 애플리케이션 환경은 갈수록 긴밀하게 연결되는 동시에 분산되고 있으며, 이로 인해 기술적 복잡성과 광범위한 공격 표면이 발생해 현행 보안 솔루션의 산발적인 보호 체계로는 효과적으로 대응하기 어렵습니다. 또한 애플리케이션 보안 기능이 점점 더 정교해지는 위협에 대응하기 위해 계속 발전하고 있지만, 과거의 익스플로잇은 사라지지 않고 진화하며 새로운 표적을 찾아 최신 방어 체계에 적응합니다. 애플리케이션은 끊임없이 이어지는 다양한 위협에 노출되어 있으므로, 강력한 애플리케이션 보안 기능과 탁월한 안정성을 갖춘 애플리케이션 전송 컨트롤러(ADC) 서비스를 하나의 통합 플랫폼으로 결합하는 일원화된 접근 방식이 필요합니다. 이를 통해 다양한 IT 환경 전반에서 더욱 완벽한 보호와 더 간편하고 통합된 관리를 제공할 수 있습니다.
인프라와 애플리케이션의 변화, 그리고 끊임없이 진화하는 위협에 대응해 애플리케이션 보안이 어떻게 발전해 왔는지 살펴보겠습니다.
애플리케이션 보안 1.0: 경계 방어 및 방화벽
디지털 시대 초기에는 레거시 모놀리식 애플리케이션이 데이터 센터에서 호스팅되었고, 방화벽이 이러한 환경의 경계를 보호했습니다. 보호해야 할 모든 것이 한곳에 있었으며, 애플리케이션 보안의 역할은 악의적인 공격자의 침입과 혼란 유발을 막는 것이었습니다.
인터넷이 널리 사용되면서 경계의 개념이 변화했고, 애플리케이션 보안은 외부 네트워크에서 발생하는 새로운 위협에 대응해야 했습니다. 경계 보안은 신뢰할 수 있는 내부 네트워크와 인터넷과 같이 신뢰할 수 없는 외부 네트워크 사이를 보호하는 장벽으로 확장되었습니다.
네트워크 방화벽은 내부 네트워크를 무단 액세스, 멀웨어 및 외부 침입으로부터 보호하기 위해 인바운드 및 아웃바운드 네트워크 트래픽을 모니터링하고 제어하는 1차 방어선이 되었습니다. 또한 악성 패턴을 탐지하기 위해 HTTP/HTTPS 트래픽을 필터링하고 검사하여 레이어 7 또는 애플리케이션 계층 공격으로부터 웹을 보호하는 새로운 유형의 방화벽인 웹 애플리케이션 방화벽(WAF)이 개발되었습니다.
애플리케이션 보안 2.0: 분산 클라우드와 WAAP
21세기로 접어들면서 애플리케이션 환경에 큰 변화가 일어났고, 이에 따라 애플리케이션 보안도 발전했습니다. 웹에서 사용할 수 있는 애플리케이션이 급증했으며, 온프레미스 데이터 센터의 애플리케이션에 더해 분산 인프라의 클라우드 기반 애플리케이션이 활용되기 시작했습니다.
다시 말해, 신뢰할 수 있는 영역과 신뢰할 수 없는 영역, 즉 내부와 외부를 구분하는 경계 역할을 해왔던 보호된 경계망은 더 이상 최전선의 방어선이 아니게 되었습니다. 클라우드 및 분산형 애플리케이션으로 인해 경계 기반 보안의 효과가 떨어졌으며, 많은 경우 혁신을 저해하기도 했습니다. 또한 여러 개별 영역에 초점을 맞춘 보호 솔루션에 의존하는 방식으로는 효과적으로 관리할 수 있는 일관되고 통합된 보안을 제공하지 못했습니다.
이러한 클라우드 혁신의 일환으로 코드는 더욱 모듈화되고 분산되었으며, 서드 파티 라이브러리에서 제공되는 마이크로서비스로 작성되거나 분할된 후 경계 보안에서 멀리 떨어진 클라우드 기반 컨테이너에 조합되었습니다. API는 클라우드 애플리케이션을 연결하는 핵심 요소가 되어, 분산된 서비스와 애플리케이션이 서로 다른 시스템에 연결하고 통신할 수 있게 했습니다. 또한 API를 통해 서로 다른 앱 간에 데이터를 교환할 수 있습니다. 예를 들어 소매 앱이 API를 사용해 PayPal과 같은 온라인 결제 시스템에 결제 금액을 전달하면, 해당 시스템이 결제 확인 정보를 다시 보내는 방식입니다.
같은 시기에 봇도 급부상했습니다. 크리덴셜 스터핑과 같은 일반적인 봇 기반 공격에서 봇은 도난당한 사용자 이름과 비밀번호를 사용해 온라인 계정을 탈취하며, 이는 종종 사기로 이어집니다. 봇넷이라고 불리는 악성 봇 군단은 분산 서비스 거부(DDoS) 공격을 일으킵니다. 범죄자가 서로 연결된 여러 기기에서 수많은 봇을 조종해 웹사이트, 서버 또는 네트워크에 과도한 트래픽을 유발하면 정상적이고 합법적인 트래픽에 대한 서비스가 거부되어 전체 온라인 사용자층이 영향을 받게 됩니다.
분산형 클라우드 기반 애플리케이션과 API 인터페이스, 봇의 확산으로 인해 새로운 보안 위협이 등장하면서 조직은 애플리케이션과 데이터를 보호하는 방식을 재고해야 했습니다. WAF는 더 광범위한 런타임 공격을 방어하도록 설계된 웹 애플리케이션 및 API 보호(WAAP) 솔루션으로 한층 더 발전했습니다. WAAP 솔루션은 DDoS 및 자동화된 봇 공격을 비롯한 최신 위협으로부터 웹 애플리케이션과 API를 모두 보호하며, 클라우드, 하이브리드 또는 멀티클라우드 환경에서 실행되는 웹 앱, API 및 마이크로서비스를 안전하게 보호할 수 있습니다.
애플리케이션 보안 3.0: AI 보안
AI와 머신 러닝의 등장은 두 가지 주요 측면에서 애플리케이션 보안에 영향을 미치고 있습니다. AI는 다양한 사이버 위협을 탐지하고 대응하는 데 매우 효과적일 수 있으며, 오늘날 애플리케이션 보안 전략의 핵심 요소입니다. 그러나 AI 애플리케이션 자체도 사이버 공격에 매우 취약하므로, 공격으로부터 AI 인프라를 보호하는 것이 주요 과제로 떠오르고 있습니다.
최근 몇 년간 AI는 위협 및 이상 징후 탐지에 혁신을 가져왔습니다. AI 모델은 방대한 양의 네트워크 트래픽을 실시간으로 분석하여 의심스러운 패턴을 탐지할 수 있습니다. 또한 AI 기반 행동 분석을 통해 악의적인 사용자를 식별하고 신원 인증 및 검증을 강화하여 자격 증명 악용을 방지할 수 있습니다. AI 모델은 예측 보안을 강화하고 위협 헌팅을 지원함으로써 제로데이 취약점을 사전에 파악하고 새로운 공격 벡터가 피해를 일으키기 전에 예측하는 데에도 도움이 됩니다.
AI는 애플리케이션 보안을 강화하는 데 매우 유용하지만, 그 자체로 사이버 위협의 표적이 되기도 하므로 모델을 손상시키거나 데이터를 오염시키거나 서비스를 중단시킬 수 있는 공격으로부터 보호해야 합니다. 공격자는 악성 샘플을 학습 데이터에 주입해 모델의 무결성을 훼손하거나, 오해를 유발하는 데이터를 모델에 입력해 부정확하거나 유해한 결과를 생성하도록 조작할 수 있습니다. 또한 AI 인프라는 DDoS 공격이나 AI 인프라를 표적으로 삼는 랜섬웨어와 같은 기존 유형의 위협에도 취약하며, 이로 인해 서비스가 지연되거나 중단될 수 있습니다.
또한 AI 기반 공격은 피싱 자동화부터 멀웨어의 더욱 빠른 확산, 한층 더 사실적인 딥페이크 사칭 제작에 이르기까지 광범위하게 활용되며, 기업의 사이버 위험을 증폭시키고 있습니다.
통합 보안 플랫폼을 향하여
애플리케이션 보안이 더욱 정교한 위협에 대응하도록 발전해 왔음에도 공격 표면은 계속 확대되고 있으며, 이로 인해 기업은 일관성 없는 제어, 감당하기 어려운 복잡성, 증가하는 위험 노출에 맞서 고군분투하고 있습니다. 이처럼 변화하는 환경에서 애플리케이션을 보호하려면 과거의 로드 밸런서를 훨씬 뛰어넘는 차세대 ADC가 필요합니다. 지금 필요한 것은 ADC 3.0입니다. 즉, 오늘날은 물론 미래에도 기업이 직면할 전례 없는 기술적 복잡성과 정교한 보안 과제에 적응할 수 있는 단일하고 일관된 플랫폼으로 혁신된 ADC입니다.
자세한 내용은 이 시리즈의 이전 블로그 게시물에서 인프라의 진화와 그에 따른 애플리케이션의 진화가 어떻게 AI 시대의 요구를 충족하는 차세대 ADC에 대한 수요를 창출했는지 확인해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.