뉴스에서는 갈수록 대규모화되는 DDoS 공격에 관한 소식을 자주 접합니다. 이러한 네트워크 공격은 결국 “데스 스타 규모의 봇넷”이나 “세계 기록”을 세운 공격처럼 눈길을 끄는 헤드라인을 만들기 좋기 때문입니다. 하지만 대부분의 기업과 대규모 조직에는 그에 못지않게 우려스러운 다양한 애플리케이션 공격이 존재합니다. OWASP.org(OWASP는 Open Web Application Security Project의 약자)의 “공격” 카테고리 페이지만 살펴봐도 공격자가 애플리케이션의 취약점을 악용하는 데 사용하는 70가지 이상의 기법 목록을 확인할 수 있습니다.
이러한 공격 중 상당수는 무차별 대입, 스푸핑, 스터핑, 중간자 공격, 탭내빙처럼 흥미롭고 재미있게 들리는 이름을 가지고 있지만, 실제로 애플리케이션 공격은 결코 가볍게 볼 문제가 아닙니다. 예를 들어 2017년 데이터 유출 피해를 입은 미국 기업의 평균 비용은 735만 달러였습니다. 데이터 유출은 일부 공격이 초래하는 가장 눈에 띄는 결과일 뿐입니다. 네트워크 장애나 서비스 중단으로 인한 비용, 혁신에 집중해야 할 IT 인력을 공격 완화에 투입해야 하는 비용, 그리고 직원, 파트너 및 고객이 접속하지 못해 업무를 수행하거나 서비스를 판매하거나 제품을 구매할 수 없을 때 발생하는 손실도 있습니다.
그렇다면 조직은 어떻게 해야 할까요? 그렇다고 애플리케이션 사용을 포기할 수는 없습니다. 오늘날에는 규모를 막론하고 모든 기업이 직원 생산성 향상, 비즈니스 정책 시행 간소화, 방대한 데이터 분석, 급여부터 미지급금까지 각종 업무 처리 등 거의 모든 분야에서 웹 애플리케이션에 의존하고 있습니다. 안타깝게도 공격자들은 이러한 애플리케이션이 조직에 얼마나 중요한지 잘 알고 있으며, 핵심 웹 앱을 중단시키거나 침해하려는 의지는 그 어느 때보다 강합니다.
대부분의 조직에서 1차 방어선은 웹 애플리케이션 방화벽(WAF)입니다. 최신 애플리케이션 딜리버리 현황 보고서에 따르면 응답자의 98%가 WAF를 통해 애플리케이션 포트폴리오의 적어도 일부를 보호하고 있으며, 40% 이상은 애플리케이션의 절반 이상을 보호하고 있습니다.
F5는 WAF 업계의 선도 기업으로서, 전 세계가 마침내 우리가 수년간 강조해 온 바를 받아들이게 된 것을 매우 기쁘게 생각합니다. 하지만 현재의 성과에 안주해서는 업계 선도 기업이 될 수 없기에, F5는 고객의 애플리케이션을 더욱 안전하게 보호할 방법을 끊임없이 모색하고 있습니다. 예를 들어 최근 발표한 Advanced WAF는 한층 더 발전하여 업계 최고 수준의 애플리케이션 보안을 제공합니다. Advanced WAF는 시그니처와 평판 기반 탐지를 넘어 진화하는 자동화 공격을 차단함으로써 봇을 방어하고, 애플리케이션 계층 암호화를 통해 계정 탈취를 방지하며, 머신 러닝과 행동 분석을 활용해 높은 정확도로 DoS 공격으로부터 애플리케이션을 보호합니다.
또한 다른 업계 선도 기업들과 협력하여, 어느 한쪽이 단독으로 제공할 수 있는 것보다 더 뛰어나고 안전한 솔루션을 공동 고객에게 제공하는 것도 중요합니다. WhiteHat Security 는 그러한 파트너 중 하나입니다. WhiteHat은 데이터를 보호하고 규정 준수를 보장하며 위험 노출 기간을 단축하는 웹사이트 위험 관리 솔루션을 제공합니다. 이러한 솔루션은 F5의 새로운 Advanced WAF 솔루션과 원활하게 연계되어 조직이 고객 데이터와 기업 데이터를 모두 보호할 수 있는 역량을 강화합니다.
당사의 공동 솔루션(위 그림 참조)은 F5 오픈 API를 사용하여 Advanced WAF와 WhiteHat Sentinel을 통합합니다. 이러한 배포 환경에서 Sentinel은 지속적인 동적 스캔을 제공하며, 위협 연구 센터(Threat Research Center)의 전문가 팀이 모든 취약점을 검증하여 오탐을 사실상 제거합니다. 동시에 Advanced WAF는 WAF 보호와 다양한 가시성 및 보고 기능을 담당합니다. 긴밀한 통합을 통해 Advanced WAF는 Sentinel이 제공하는 인텔리전스를 활용하여 취약점을 자동으로 패치하며, 코드 수정 사항이 제공되기 전에 패치하는 경우도 많습니다.
그 결과, 지속적인 비즈니스 생산성을 보장하고 성장을 촉진하는 완전한 엔드투엔드 웹 애플리케이션 보안을 구현할 수 있습니다.
자세히 알아보기:
포괄적인 웹 애플리케이션 보안 프로그램 구축 – WhiteHat + F5 통합
웹 애플리케이션 방화벽 선택 시 주요 고려 사항 – F5 백서
침해 사고를 예방하기 위해 지금 무엇을 할 수 있을까요? – WhiteHat 기술 인사이트
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.