기업들이 지속적으로 운영 환경을 클라우드로 이전함에 따라, 이러한 환경과 끊임없이 진화하는 위협 환경의 고유한 과제에 대응할 수 있는 강력한 애플리케이션 보안 통제를 구축하는 일이 그 어느 때보다 중요해지고 있습니다. 취약점과 침해 사고에 신속하게 대응하지 못하는 것은 이러한 과제를 잘 보여주는 대표적인 사례입니다.
2024년 F5 애플리케이션 전략 현황 보고서에 따르면 설문 응답자의 50%는 “영향을 받는 모든 시스템/소프트웨어에 패치와 업데이트를 적용하는 데 너무 오래 걸리고, 제로데이 공격에 신속하게 대응할 수 있는 도구나 프로세스가 부족하다”고 답했습니다. 따라서 애플리케이션의 건전성을 보장하는 데 있어 '속도'가 서비스형 보안(Security-as-a-Service)의 가장 큰 이점으로 꼽힌 것은 놀라운 일이 아닙니다.
SecureIQLab은 최근 2024년 클라우드 WAAP 사이버 위험 검증 보고서를 발간하고 웹 애플리케이션 방화벽 및 API 보안 분야의 여러 공급업체를 평가했습니다. 여기에는 F5 Distributed Cloud Web Application and API Protection(WAAP)도 포함됩니다.
SecureIQLab의 테스트 프로세스
구체적으로 보안 효과, 운영 효율성, 오탐 방지 성능을 테스트하고 각 기술 공급업체의 주요 차별점을 조명했습니다. SecureIQLab은 애플리케이션과 WAAP 클라우드 솔루션을 테스트하기 위해 애플리케이션과 API를 OWASP Top 10 및 MITRE ATT&CK 같은 업계 프레임워크에 기반한 3,500건의 공격에 노출했습니다. 또한 배포, 관리, 확장성을 비롯한 WAAP 솔루션의 80가지 기능을 검증하여 AMTSO 표준에 따른 사이버 보안 검증의 새로운 기준을 제시했습니다.
결과: F5 Distributed Cloud WAAP, 만점으로 통과
F5 Distributed Cloud 웹 애플리케이션 및 API 보호(WAAP)는 WAAP 취약성 평가에서 만점을 받은 7개 공급업체 중 하나로 SecureIQLab의 "Secure by Design" 등급을 획득했습니다. 보안 효과와 운영 효율성 모두에서 높은 평가를 받았으며, 다음과 같은 성과를 달성했습니다:
- 종합 보안 점수 98.54% 달성(상위 2개 업체 중 하나로 선정)
- 운영 효율성 평가 93% (상위 3위권)
- 오탐 없이 WAF OWASP 평가에서 최고 점수인 99.37점 획득
평가된 각 주요 보안 영역별 테스트 기준에 대한 자세한 내용은 다음과 같습니다:
API 보호
API는 웹 애플리케이션과 마찬가지로 불충분한 입력 검증과 미흡한 보안 조치로 인해 인젝션 결함, 인증 문제, 데이터 노출 위험 등의 취약점을 공유하므로 유사한 공격에 노출될 수 있습니다. API 보안 테스트에서는 F5 Distributed Cloud API Security가 6가지 API 프로토콜 전반에서 민감한 데이터에 대한 무단 액세스를 얼마나 효과적으로 차단하는지 평가하기 위해 2023 OWASP API 보안 10대 위험에 포함된 70여 가지 공격을 사용했습니다. 보안 효과 백분율을 기준으로 한 평점은 1점에서 5점까지로, 보호 수준의 차이를 나타내며, 그 결과는 WAAP 업계의 API 보안 표준을 위한 기준선으로 활용됩니다. 이 보고서는 F5의 OWASP API 보안 기능이 평균 이상의 보호 성능을 제공한다는 점을 강조합니다.
봇 방어
F5의 도메인 전문가와 데이터 과학자들은 공격자의 도구와 행동 및 환경 신호를 지속적으로 연구하고 고급 ML을 활용하여 공격자의 도구 변경을 신속하게 탐지하며, 업데이트된 모델을 배포해 실시간으로 공격을 완화합니다. F5 Distributed Cloud Bot Defense는 다음을 포함한 5가지 유형의 봇 공격을 대상으로 테스트되었습니다. 이 중 2가지는 OWASP에서 정의한 공격이었으며, 아시아와 북미 지역에서 발생했습니다. 테스트 결과, 지리적 위치는 제품의 보안 효과에 영향을 미치지 않았고 봇 공격 점수는 0%에서 100%까지 다양했습니다. F5는 봇 방어 부문에서 만점을 받았으며 그룹 평균보다 훨씬 뛰어난 성능을 보였습니다.
DDoS 방어
유효한 TCP 연결을 사용하는 레이어 7 분산 서비스 거부(DDoS) 및 레이어 7 서비스 거부(DoS) 공격은 탐지하기가 어렵습니다. F5 Distributed Cloud DDoS Mitigation을 레이어 7 DDoS 공격 2건과 레이어 7 DoS 공격 5건에 대해 테스트한 결과, 57%에서 100%의 점수를 기록했습니다.
운영 복원력
F5 Distributed Cloud WAAP는 알려지지 않은 공격을 차단하는 것을 목표로, 3가지 고유한 공격 벡터를 활용한 103개의 복원력 테스트 사례를 대상으로 운영 복원력 테스트도 거쳤습니다. 전체 공격 중 차단된 공격의 비율을 나타내는 복원력 점수는 54.9%에서 99.3%까지였으며, 이는 다양한 공격 변형을 견디고 흡수할 수 있는 역량을 보여줍니다. F5는 99.3%의 차단율을 기록해 공동 최고 점수를 달성했으며, 평균보다 현저히 우수한 성과를 보였습니다.
내재된 보안
SecureIQLab은 클라우드 WAAP 제품이 보호 대상 환경의 공격 표면을 확대하지 않고 해당 제품의 권한이 악용될 수 없는지 확인하기 위해 보안성을 평가했습니다. F5 Distributed Cloud WAAP는 11가지 취약점 평가 기법을 기준으로 테스트를 받았으며, 12개 WAAP 솔루션 중 F5를 포함한 7개가 WAAP 취약점 평가에서 100% 만점을 획득했습니다. SecureIQLab은 WAAP 취약점 평가 점수 100%를 획득한 F5를 ‘설계 단계부터 안전한(Secure by Design)’ 제품으로 평가했습니다.
운영 효율성
운영 효율성은 최소한의 리소스 할당과 운영 비용으로 WAAP 솔루션을 효과적으로 배포하고 관리하는 데 매우 중요합니다. SecureIQLab은 다양한 영역에서 WAF 및 API 보안의 운영 효율성을 검증했으며, 기능 역량에 기반한 점수 체계를 활용해 각 범주를 종합적으로 평가함으로써 조직이 비즈니스 워크플로를 방해하지 않으면서 보안을 최적화하는 솔루션을 선택할 수 있도록 지원했습니다. SecureIQLab은 F5가 API 운영에서 평균 이상의 운영 효율성을 보이며, 7개 범주 중 2개에서 만점을 획득했다고 강조합니다.
오탐 방지
WAAP 솔루션은 비즈니스 운영에 지장을 줄 수 있는 오탐을 방지하기 위해 정상적인 비즈니스 트랜잭션과 악의적인 활동을 효과적으로 구분해야 합니다. F5의 AI/ML 기반 악성 사용자 탐지 기능은 행동 및 시그니처 기반 속성을 토대로 잠재적 위협의 위험을 동적으로 평가하고 점수화합니다. 정상적인 사용자 행동을 시뮬레이션한 6,500건 이상의 오탐 사례를 통해 F5 Distributed Cloud WAAP가 정상 트래픽과 위협을 정확하게 구분하는 능력을 평가했으며, 오탐 방지 점수가 높을수록 운영 효율성에 미치는 영향이 적음을 의미합니다.
오늘날의 하이브리드 환경을 보호하도록 설계
조직은 애플리케이션과 API가 어디에 호스팅되어 있든, 사용자가 어디에 있든 관계없이 각자의 구체적인 요구 사항에 부합하는 포괄적인 애플리케이션 보안이 필요합니다. F5의 하이브리드 SaaS 제공 모델은 내부용 및 외부 공개용 애플리케이션을 모두 지원하며, 프라이빗 클라우드와 온프레미스 환경으로 배포를 확장할 수 있습니다. F5 Distributed Cloud WAAP 솔루션에는 AI/ML 기반 악성 사용자 탐지 기능을 갖춘 WAF, 통합 API 검색 및 보호, DDoS 및 봇 완화 기능이 포함되어 있어 중앙 집중식 관리를 통해 웹 애플리케이션과 API를 포괄적으로 보호할 수 있습니다. 시중에 수많은 애플리케이션 보안 솔루션이 출시된 가운데, SecureIQLab 보고서는 높은 효과와 낮은 오탐률을 갖춘 솔루션을 식별하는 데 도움을 주며, 고객이 전반적인 애플리케이션 보안 태세를 개선하기 위한 솔루션을 평가할 때 고려해야 할 공급업체에 대한 명확한 지침을 제공합니다.
자세한 내용은 여기에서 보고서를 다운로드하거나 F5에 문의하여 F5 Distributed Cloud WAAP가 귀사에 어떤 이점을 제공할 수 있는지 자세히 알아보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.