생명을 구하다: WAF 추가

글쎄요, 어쩌면 그 제목은 약간 과장된 것일 수도 있겠습니다. 일관된 애플리케이션 보안이 생명을 구하는 일은 거의 없습니다. 그러나 보안 없이 노출되는 취약점은 시간, 비용, 평판에 큰 손실을 입힐 수 있습니다.

앱을 위협으로부터 보호하는 것은 어려운 작업으로 입증되었습니다. 일부 유형의 취약점은 고등학교를 졸업할 만큼 오래되었으며 오늘날에도 여전히 애플리케이션과 더 중요하게는 데이터를 손상시키고 있습니다. 최근 F5 조사에 따르면 앱 보호에 대한 확신도는 전년 대비 4% 감소하여 2017년 45%에서 2018년 41%로 떨어졌습니다(SOAD 2018). 하지만 같은 조사에 따르면 응답자의 43%는 보안이 앱을 배포하는 데 가장 중요한 요소라고 답했습니다. 3명 중 1명(36%)은 웹 애플리케이션 방화벽(WAF)으로 애플리케이션의 4분의 1 미만만 보호할 계획입니다. 각 사분위수에서 보장 범위는 계속해서 감소하고 있으며, 10명 중 1명(13%)만이 신청의 100%를 보장받았다고 답했습니다. 

이러한 통계는 실제로 활동하는 NetOps 팀에게 무엇을 의미할까요? 우선, 새로운 위협이 새로운 앱을 손상시킬 방법을 찾아내는 데 맞춰 맞춤형 보안 정책을 만들고 Whack-a-Mole 게임을 하는 데 더 많은 노력이 필요하다는 뜻입니다. 또한 이는 실제로 사업을 추진하는 프로젝트를 완료할 수 있는 시간이 줄어든다는 것을 의미합니다. 이는 사기 저하로 이어져 생산성을 저하시키고 직원 유지에 부정적인 영향을 미칩니다.

그렇다면 해결책은 무엇일까요? WAF는 안전한 코딩 관행, 정적 취약성 스캐닝, 자동 침투 테스트와 함께 애플리케이션 보안을 위한 싸움에서 일관되고 유용한 도구였습니다. WAF는 의심할 여지 없이 훌륭한 아이디어입니다. 위협에 대한 애플리케이션 요청과 응답을 검토하고, 동작을 분석하고, 분산 서비스 거부(DDoS) 공격을 완화하고, 봇을 탐지하고, 중요한 데이터 유출을 방지하여 앱을 보호합니다.

많은 기업이 겪는 문제는 구현에 있습니다. WAF 서비스를 애플리케이션에 적용하는 일은 어렵고, 시간이 많이 걸리고, 마찰이 너무 많았습니다. 이상적인 상황이라면, 모든 애플리케이션, 모든 장소에 최소한 기본 수준의 보호 기능을 갖춘 배포 툴체인으로 WAF 서비스가 배포되어 있을 것입니다. 데이터 손실을 자세히 살펴보면, 그중 상당수는, 정말로 심각한 데이터 손실일지라도, 비교적 간단한 보안을 통해 예방할 수 있었을 것입니다.

모든 애플리케이션이 강력하고 안전한 WAF의 이점을 누릴 수 있는 지점에 도달할 수 있을까요? 그게 가능하고 현실적인 목표일까? F5 BIG-IP Cloud Edition이라면 가능할 수도 있습니다. BIG-IP Cloud Edition은 모든 앱에 WAF를 추가하는 것을 단순히 가능하게 하는 것이 아니라 실제로 실용적으로 만들어 주는 여러 가지 혁신을 제공합니다. BIG-IP Cloud Edition을 사용하면 보안팀은 대부분 애플리케이션을 포괄하는 정책 카탈로그를 만들 수 있고, 운영팀은 해당 정책을 템플릿에 첨부할 수 있습니다. 더 좋은 점은 앱 팀이 서비스 카탈로그에서 앱에 사용할 템플릿을 선택한 다음, 애플리케이션 제공 및 보안 서비스를 직접 배포할 수 있다는 것입니다. 이 서비스는 수요에 따라 배포되고 단일 애플리케이션에만 전담되는 경량 자동 확장 F5 BIG-IP 인스턴스를 통해 제공됩니다. BIG-IP 인스턴스는 적절한 크기와 가격으로 수백 개 또는 수천 개의 앱을 운영하는 조직에도 매우 실용적인 아키텍처를 제공합니다.

BIG-IP Cloud Edition을 사용하면 보안 서비스가 부하 분산이나 네트워크 최적화 등의 다른 필수 애플리케이션 전송 서비스와 함께 원활하게 구축됩니다. BIG-IP Cloud Edition은 앱 성능을 중시하는 애플리케이션 소유자와 앱과 인프라를 모두 중시하는 관리자를 위해 맞춤형 대시보드를 통해 향상된 관찰성과 모니터링 기능을 제공합니다.

맞춤형, 수동으로 조정된 보안 정책이 필요한 애플리케이션은 항상 있을 것입니다(BIG-IP Cloud Edition에서 완벽하게 가능). 그러나 대부분은 이를 만드는 데 시간과 노력을 들일 가치가 없습니다. 가장 좋은 보안은 실제로 사용하는 보안이기 때문입니다. 잠깐, 잠깐 멈추세요. 가장 좋은 방법은 아무것도 하지 않고도 보안을 얻는 것입니다.

자세한 내용은 f5.com/cloudedition 에서 확인하세요.