BIG-IP ASM에서 F5 Advanced WAF로 마이그레이션하여 웹 앱 보안을 한발 앞서 강화하세요

Navpreet Gill수석 제품 마케팅 매니저 | F5 NGINX

애플리케이션 기술이 발전함에 따라 위협 환경도 진화하고 있습니다. 이에 발맞춰 강력한 보안 조치도 마련되어야 합니다. 안타깝게도 웹 애플리케이션 공격은 현실에서 전 세계적으로 매분 발생하고 있습니다. 또한 모바일 앱과 API를 노리는 새로운 공격 벡터도 등장하고 있습니다. 그 어느 때보다 포괄적인 웹 및 API 보안 도구가 필요한 시점입니다.

F5는 웹 앱 및 API 보안에 지속적으로 투자하고 있으며, 앱이 어디에 배포되든 보호할 수 있는 광범위한 솔루션 포트폴리오를 제공합니다. WAF 포트폴리오의 발전에 따라 F5는 BIG-IP Application Security Manager(ASM)를 공식적으로 2021년 4월 1일부로 판매 종료(EoS) 상태로 전환했습니다^st, 2021 (F5 지원 공지 – K72212499).

F5는 2004년부터 ASM을 제공하기 시작했습니다. 이후 당사의 WAF 포트폴리오는 크게 확장되어 F5 Advanced WAF, F5 Silverline Managed WAF, 그리고 NGINX App Protect(NAP)를 포함하게 되었습니다. 당사는 제품군을 간소화하는 동시에 고객의 구체적인 요구 사항을 충족하는 최적의 F5 솔루션을 제공하고자 합니다. Advanced WAF는 출시 이후 최고의 WAF 제품으로 자리매김했으며, BIG-IP ASM의 모든 특징과 기능뿐만 아니라 여러 가지 확장된 기능도 제공합니다.

BIG-IP ASM 고객은 원할 경우 아무런 영향 없이 계약 또는 구독 기간이 종료될 때까지 ASM을 계속 사용할 수 있습니다. 최초 구매한 라이선스를 기준으로 서비스 계약을 갱신할 수도 있습니다. 단, EoS 날짜부터는 새로운 BIG-IP ASM 라이선스를 구매하거나 보상 판매 방식으로 취득할 수 없습니다.

기존 고객이 Advanced WAF 버전 14.1 이상으로 업그레이드하는 것도 또 다른 대안이며, 아래에 나열된 여러 이유를 고려하면 더 나은 선택일 수 있습니다 (ASM 14.1을 실행 중인 경우 라이선스 전환) 추가 비용 없이 EoS 날짜부터 가능합니다. Advanced WAF는 BIG-IP ASM과 동일하게 검증된 기술을 기반으로 하므로 마이그레이션이 간단합니다. 이 무료 마이그레이션을 이용하려면 라이선스 키를 다시 활성화하기만 하면 됩니다. 마이그레이션 후에는 여기에 나열된 Advanced WAF 기능 플래그가 표시되기 시작합니다:

F5의 Advanced WAF는 배포를 간소화하는 새로운 안내형 구성, 가시성을 높여 주는 대시보드, 확장된 L7 DoS 보호 기능, 민감한 데이터 필드의 침해를 실시간으로 방지하는 DataSafe 기능, API 보호 등 향상된 사용성과 애플리케이션 보호 기능을 제공합니다. 또한 Threat Campaigns와 같은 일부 향상 기능은 라이선스를 다시 활성화하고 BIG-IP 버전 14.1 이상으로 업그레이드한 후 추가 기능으로 구매할 수 있습니다. 이 무상 마이그레이션의 또 다른 이점은 최초 구매와 관련된 지원 비용만 계속 지불하면 된다는 점입니다. Advanced WAF로 마이그레이션한 후에도 ASM 지원 조건이 계속 적용됩니다. 반가운 소식입니다! 무상 마이그레이션은 Advanced WAF 버전 14.1 이상에만 적용된다는 점에 유의하십시오. 라이선스 키 활성화 방법과 Advanced WAF 라이선스가 ASM과 어떻게 다른지에 대한 자세한 내용을 알아보려면 DevCentral을 방문하십시오.

판매가 종료된 BIG-IP ASM에서 F5 Advanced WAF로 마이그레이션해야 하는 또 다른 이유는 향상된 API 보호 기능과 최신 애플리케이션 개발 프레임워크와의 통합입니다.

애자일 개발 모델이 도입되면서 SecOps가 애플리케이션 개발자 및 DevOps 팀의 속도를 따라가며 보안 제어를 적절히 구현하기가 어려워졌습니다. 최신 애플리케이션은 마이크로서비스와 API로 구성되고 오픈 소스 소프트웨어를 사용하므로 위험과 위협 표면이 확대됩니다. 최근 발간된 Gartner eBook에서는 사이버 보안 메시를 올해(2021년) 가장 중요한 보안 및 위험 요소로 꼽았습니다. 보안이 계속해서 어려운 과제로 남는 이유는 무엇일까요?

오늘날의 개발 프로세스는 지속적 통합/지속적 개발(CI/CD) 원칙을 기반으로 하지만, 보안 제어, 특히 WAF는 소프트웨어 개발 수명 주기(SDLC)의 마지막 단계에 배치되거나 아예 그 범위 밖에서 적용되는 경우가 많습니다. 따라서 DevOps가 ‘운영’ 단계에서 테스트 실패를 마주하면 보안 구성 오류로 간주됩니다. 이로 인해 DevOps와 SecOps 간에 또다시 갈등이 생길 수 있으며, DevOps는 코드로 돌아가 문제를 수정한 뒤 다시 배포, 운영, 모니터링 단계를 진행해야 합니다. 그 결과 출시 시기를 놓치고 경쟁 우위가 약화될 수 있습니다.

하지만 CI/CD 파이프라인에서 보안 제어를 앞단으로 전환하면 DevOps와 SecOps가 프로세스 전반에 걸쳐 보안에 대한 책임을 공유하고, 모든 ‘보안 구성 오류’를 개발 단계에서 누락된 테스트 사용 사례로 간주하게 됩니다.

이러한 상황에 보다 효과적으로 대응하기 위해 F5는 WAF 정책 수립 및 기준 설정을 개발 프로세스에 통합할 수 있습니다. F5는 인프라 및 보안 정책 제어를 모두 선언적 API 형태의 코드로 제공할 수 있는 접근 방식을 활용합니다. 이를 통해 F5 Advanced WAF 고객은 아래 다이어그램과 같이 애플리케이션 배포와 WAF 정책을 모두 자동화할 수 있습니다:

애플리케이션 소스 코드와 마찬가지로 F5 WAF 정책도 리포지토리에 저장할 수 있으므로, SecOps가 다른 코드와 동일하게 개발 파이프라인에 통합할 수 있는 공통 보안 제어를 소유하고 유지 관리할 수 있습니다. 이 접근 방식은 DevOps와 SecOps 간의 운영 격차를 해소하고, 더 낮은 비용과 더 높은 보안 효율성으로 앱을 더 빠르게 출시하는 데 도움이 됩니다. F5 Advanced WAF를 활용한 DevOps 보안 자동화에 대해 자세히 알아보려면 이 솔루션 가이드를 확인하세요.

마이그레이션을 고려 중인 BIG-IP ASM 고객이 선택할 수 있는 또 다른 옵션은 NGINX 플랫폼에서 F5 WAF 기술을 제공하는 NGINX App Protect(NAP)입니다. NGINX App Protect는 간단하고 가벼우며 운영하기 쉽습니다. 또한 Advanced WAF 엔진을 기반으로 하므로 Advanced WAF의 검증된 보안 기능을 제공합니다.

F5의 Advanced WAF 엔진은 Advanced WAF의 강력한 애플리케이션 보안 제어 기능을 완전 관리형 서비스로 제공하는 Silverline Managed WAF를 비롯한 F5 웹 애플리케이션 보안 서비스의 기반이기도 합니다. Silverline에 Advanced WAF 엔진을 통합함으로써 고객은 현재 사용 중인 ASM 보안 정책을 Silverline Managed WAF에 손쉽게 적용할 수 있습니다.

F5 Advanced WAF 엔진을 사용하면 일관된 WAF 보호 정책을 퍼블릭/프라이빗 클라우드, 온프레미스, 하이브리드 환경을 비롯한 모든 환경으로 이식할 수 있습니다. F5 Advanced WAF 엔진을 활용하는 F5 제품(F5 Advanced WAF, Silverline Managed WAF 및 NGINX App Protect)은 익숙한 사용자 인터페이스와 유사한 정책 및 정책 생성 방식을 제공하므로, 고객은 F5의 WAF 포트폴리오 전반에서 간편하고 통합된 일관된 경험을 누릴 수 있습니다.

BIG-IP ASM에서 마이그레이션하는 방법에 대해 자세히 알아보려면 F5 또는 해당 채널 파트너에게 문의하십시오 또한 6월 15일 화요일 오전 10시(태평양 표준시)에 진행되는 라이브 웨비나에 참석해 보십시오: F5 Advanced WAF 보호 기능을 업그레이드하고 원치 않는 봇 트래픽을 차단하세요.

작성자 소개

Navpreet Gill수석 제품 마케팅 매니저 | F5 NGINX

Navpreet Gill의 다른 블로그 게시물