In the 보고서 「The Forrester Wave™: 웹 애플리케이션 방화벽(WAF), 2018년 2분기」에서 F5 Networks는 포괄적인 WAF 제품군을 인정받아 리더로 선정되었습니다. 또한 어플라이언스, 퍼블릭 클라우드 및 완전 관리형 서비스 형태로 제공되는 F5의 다양한 WAF 서비스가 주목받았습니다. F5는 이러한 WAF 서비스의 다양성을 통해 고객이 모든 웹 애플리케이션에 적합한 애플리케이션 보안 옵션을 확보할 수 있다고 믿습니다.
최근 F5 Labs에서 발표한 10년간의 데이터 침해에서 얻은 교훈 보고서에서 위협 연구팀은 공개적으로 알려진 300건 이상의 사례를 검토했습니다. 데이터 침해 사례의 86%에서는 애플리케이션 보안이 공격 경로였습니다. 네트워크 및 보안 실무자들이 네트워크 계층 보안의 보호 조치와 관행을 개선함에 따라 공격자들은 스택의 상위 계층으로 이동하여 명령어 삽입, 멀웨어 기반 공격 등 애플리케이션 계층을 노리는 공격을 감행하고 있습니다.
Forrester Wave 보고서의 서두에서는 "웹 애플리케이션은 무방비 상태다"라고 지적합니다. 애플리케이션 계층은 애플리케이션 코드, 개발 프레임워크, 서버 플랫폼, 미들웨어 및 호스트 운영 체제의 구성 요소로 이루어져 있어 네트워크 계층보다 훨씬 복잡합니다. 이러한 구성 요소는 일반적으로 동일한 조직 내에서도 애플리케이션마다 다르며 복잡한 상호 의존 관계를 유지합니다. 이러한 애플리케이션 구성 요소에 단순히 패치를 적용하거나 수정 사항을 반영할 때도 보안 조치로 인해 애플리케이션 서비스가 중단되거나 사용할 수 없게 되지 않는지 확인하기 위한 테스트가 필요합니다.
WAF 기술을 사용하면 보안 담당자가 가상 패치와 같은 보완 통제를 배포하여 제로데이 및 기타 웹 애플리케이션 취약점의 악용을 차단할 수 있습니다. 이러한 가상 패치는 문제 해결 기간을 몇 주 또는 몇 달에서 며칠 또는 몇 시간으로 단축하여 위험을 줄입니다. 이 WAF 기능은 시스템 관리자와 애플리케이션 개발자가 적절한 테스트와 검증을 거쳐 애플리케이션 구성 요소에 장기적인 패치를 배포할 수 있도록 귀중한 시간을 확보해 줍니다.
더욱 진보된 WAF 기술인 F5 Advanced WAF는 보안 실무자가 봇 탐지 및 행동 분석과 같은 능동적 방어 수단을 적용할 수 있도록 지원합니다. 이러한 능동적 탐지는 악성 클라이언트가 공격을 시도하는 것 자체를 차단합니다. F5는 이와 같은 혁신적이고 고도화된 방어 메커니즘이 이번 Forrester Wave의 공격 대응 및 실행 로드맵 평가 기준에서 F5가 최고 점수를 받은 이유 중 하나라고 생각합니다.
이러한 첨단 기술은 모든 퍼블릭 또는 프라이빗 클라우드 환경에서 BIG-IP Cloud Edition을 통해 자체 관리형 솔루션으로 이용하거나, Silverline Web Application Firewall을 통해 관리형 서비스로 이용할 수 있습니다. 또한 F5 Advanced WAF는 물리적 F5 어플라이언스에서도 사용할 수 있으며, BIG-IP iSeries 하드웨어를 최대한 활용하여 시장에서 가장 뛰어난 성능의 WAF를 제공합니다.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.