고급 웹 애플리케이션 방화벽(WAF) 런치패드
조직에 WAF가 필요한 이유는 무엇인가요?
오늘날 기업들은 웹 기반 및 클라우드 호스팅 애플리케이션을 활용해 비즈니스를 확장하고 있습니다. 따라서 보안 위협으로부터 이러한 애플리케이션을 보호할 수 있는 강력하고 민첩한 웹 애플리케이션 방화벽(WAF)을 구축하는 것은 선택이 아닌 필수입니다.
이러한 웹 및 클라우드 기반 애플리케이션이 더욱 빠르게 확산됨에 따라 공격은 갈수록 정교해지고 빈번해져 기업의 핵심 데이터와 운영을 위협하고 있습니다. 이로 인해 관리자와 보안 팀이 최신 공격 및 보호 조치를 지속적으로 파악하기가 훨씬 더 어려워지고 있습니다. 동시에 온라인 상거래에 적용되는 엄격한 규정 준수 요건(예: 결제 카드 산업 데이터 보안 표준)을 충족하고, SQL 인젝션, DDoS 공격, 복합적인 제로데이 공격과 같은 일반적인 공격으로부터 비즈니스 핵심 웹 애플리케이션을 보호하며, 기존 환경과 클라우드 환경 전반에서 안전한 데이터 공유를 지원해야 합니다.
WAF를 배포하려면 무엇이 필요한가요?
기업은 정상적인 트래픽을 차단하지 않으면서 위협을 정확하게 탐지할 수 있도록 여러 기법을 조합해 사용할 수 있습니다. 전통적으로 가장 널리 사용되는 WAF 구성은 위협이나 공격이 포함된 트랜잭션을 제외한 모든 트랜잭션을 허용하는 네거티브 보안 모델입니다. 네거티브 보안은 알려진 위협과 공격을 탐지하도록 설계된 시그니처와 규칙을 활용합니다. 수년에 걸쳐 공격 관련 지식이 축적되어 왔기 때문에 시그니처 규칙 데이터베이스는 상당히 방대합니다. 이 모델은 별도의 설정 없이도 웹 인젝션, OWASP 10대 위협, 크로스 사이트 스크립팅(XSS) 등 일반적으로 알려진 위협을 차단하는 데 매우 효과적입니다.
최근 몇 년 사이 포지티브 보안 모델이 더욱 널리 사용되고 있습니다. 이 접근 방식은 모든 트래픽을 차단하고 유효하고 안전한 것으로 확인된 트랜잭션만 허용합니다. 포지티브 접근 방식은 엄격한 콘텐츠 검증과 통계 분석을 기반으로 하므로 제로데이 위협과 취약점 악용을 방지하는 데 더 효과적일 수 있습니다. 포지티브 보안 접근 방식이 제대로 효과를 발휘하려면 애플리케이션과 애플리케이션의 예상 사용 방식에 대한 깊이 있는 이해가 필요합니다.
과제
서로 맞물린 여러 단계를 수행해야 함
포지티브 모델과 네거티브 모델은 모두 "보안"과 "기능성" 사이에서 정교한 균형을 이룰 수 있습니다. 그러나 포지티브 또는 네거티브 보안 모델만으로는 모든 상황이나 환경에서 가장 경제적인 솔루션을 제공할 수 없습니다. 비즈니스 요구 사항과 결합된 포지티브 및 네거티브 통합 접근 방식은 조직이 보안 정책 구현을 통해 최대의 투자 수익률(ROI)을 달성할 수 있도록 지원합니다.
비즈니스 목표에 가장 부합하도록 WAF를 배포하기 위해 적절한 결정을 내리는 것은 쉽지 않을 수 있습니다. 일반적으로 시간과 리소스에 대한 요구는 선택한 제품을 사용하는 데 필요한 충분한 노하우와 자신감에 대한 요구와 상충합니다.
고객이 WAF 서비스 구현 프로젝트를 계획하고 수행할 때 거쳐야 하는 단계는 여러 가지입니다:
- “가장 적합한” WAF 전략을 수립하고 모든 내부 이해관계자의 승인을 받습니다.
- WAF 제품을 효율적으로 활용하여 적절한 정책 및 매개변수 집합을 구현합니다.
- 수백 개의 애플리케이션에 적용되는 경우가 많은 WAF 서비스 배포를 계획합니다.
- 프로덕션 환경에서의 일상적인 서비스 운영 및 수명 주기 관리를 계획합니다.
각 단계에는 공통적인 과제가 있습니다
- 기업 및 비즈니스 보안 요구 사항(또는 기대치)은 기술적·운영적 제약과 리소스의 한계를 항상 충분히 고려하는 것은 아닙니다. 이로 인해 조직이 해당 목표를 달성하는 데 필요한 모든 기반을 갖추었는지 확인하기도 전에, 매우 정교한 전략을 수립하여 상위 수준의 목표를 달성하려는 유혹에 빠질 수 있습니다. 많은 경우 이 문제를 해결하려면 상황에 대한 객관적인 평가와 분석이 필요할 수 있습니다.
- 비즈니스 소유자가 요구하는 애플리케이션 가용성과 CISO 팀이 요구하는 보호 수준 사이에서 균형을 이루는 것은 항상 쉽지만은 않습니다. 예를 들어, 비즈니스 소유자는 오탐이나 지나치게 제한적인 WAF 정책으로 인해 애플리케이션이 차단되는 것을 원하지 않습니다. 이 경우에도 공정하고 전문적인 상황 평가 및 분석을 통해 조직은 적절한 균형점을 찾고 운영 환경에 미칠 수 있는 잠재적 영향에 대응하기 위한 완화 계획을 마련할 수 있습니다.
- 소프트웨어 공급업체의 교육을 이수하거나 제품 인증을 취득하는 것을 적극 권장하지만, 실제 회사의 상황과 목표, 제약 조건에 맞춰 실습하는 노력까지 대신할 수는 없습니다.
- 고객이 매우 자주 어려움을 겪는 문제 중 하나는 수많은 애플리케이션의 보안을 어떻게 확보할 것인가입니다. 하지만 대개 애플리케이션의 수 자체가 주된 문제는 아닙니다. 오히려 각 애플리케이션에 대해 제공되는 정보의 품질과 완전성이 WAF 프로젝트를 저해할 수 있으므로 설계 및 구현 전략을 더욱 면밀히 검토해야 합니다. WAF 구현 경험은 관련 기준을 파악하고 애플리케이션의 특성을 정의하여 그룹화하는 데 매우 유용하며, 전반적인 WAF 서비스 설계 및 구현 전략을 조정하는 데에도 큰 도움이 됩니다.
- 고객은 실현 가능성과 지원 가능성을 보장하기 위해 이후 단계에서 고려해야 할 사항을 사전에 검토하는 것을 종종 잊습니다. 이는 아마도 가장 흔히 저지르는 실수일 것입니다. 즉, 선택한 설계 및 구현 모델이 프로덕션 환경에서 솔루션을 장기간 운영할 때 어떤 영향을 미치는지 검토하지 않은 채 솔루션을 설계하고 계획하는 것입니다. 대표적인 예로, 위협, 완화 조치, 애플리케이션 릴리스 등 전체 환경의 모든 요소가 주기적으로 변경되는 상황에서 매우 정교한 WAF 정책을 유지하는 데 필요한 리소스를 과소평가하는 경우를 들 수 있습니다.
F5 솔루션
F5 전문 서비스는 고객 환경에 맞게 솔루션을 맞춤 구성합니다
실제 트래픽 정책 빌더를 포함한 다양한 배포 방식, 수동 학습, 취약점 스캐너 통합, 공격 시그니처, 무차별 대입 공격 방지, 지리적 위치 기반 정책 적용, 봇 탐지, DDoS 완화 등의 고급 기능을 아우르는 BIG-IP Advanced WAF의 포괄적인 기능 세트를 통해 목적에 맞는 구성을 신속하게 구현할 수 있습니다. 이후 이를 확장하고 개선하여 끊임없이 진화하는 위협 환경에 대응하고 가장 까다로운 고객 요구 사항까지 충족할 수 있습니다.
F5 Professional Services는 Advanced WAF BIG-IP 모듈을 구매하고 경우에 따라 프로비저닝까지 했지만, 아직 효과적인 WAF 서비스를 배포하지 않은 고객(예: 소수의 정책만 투명 모드로 운영하는 고객)을 위해 Advanced WAF Launchpad 서비스를 특별히 마련했습니다.
Advanced WAF Launchpad 서비스는 F5 Professional Services의 전문 지식과 경험을 활용하여 고객이 특정 사용 사례의 문제를 극복하고 Advanced WAF 구현 프로젝트를 성공적으로 수행할 수 있도록 지원합니다.
서비스 범위
이 서비스는 F5 Professional Services의 보안 전문가와 고객사의 보안, 인프라, 네트워크 및 애플리케이션 관리 팀 간의 협업을 통해 제공됩니다.
이 서비스의 두 가지 목표는 F5 모범 사례를 활용하여 목적에 적합한 Advanced WAF 정책 구현 전략을 수립하고, 고객이 실무에 바로 적용할 수 있는 노하우와 전문 지식을 전수하는 것입니다.
서비스 제공 방식
이 서비스는 이틀간 진행되며, Advanced WAF의 기능, 배포 및 관리 요구 사항에 관한 이론과 실무를 다룹니다. 이를 통해 고객이 최적의 애플리케이션 보안을 위한 효과적인 Advanced WAF 솔루션을 구현할 수 있는 자신감과 역량을 갖추도록 지원합니다.
1단계: Advanced WAF 설계 및 배포 전략
프로젝트 첫날에는 Advanced WAF 보안 정책 관리를 담당하는 보안 아키텍트, 설계자, 엔지니어, 운영 담당자 및 기타 이해관계자가 참여하는 실무 세션을 진행합니다. F5 컨설턴트는 기존 환경과 목표에 대한 데이터 수집 및 객관적인 분석을 주도하고, 권장 사항과 모범 사례를 제시하며, 심도 있는 검토를 통해 상위 수준의 설계 및 구현 전략을 수립합니다.
첫날 일정이 끝나면 F5 컨설턴트가 조사 결과와 권장 사항을 요약한 보고서를 작성합니다.
2단계: 정책 생성 및 구현
이 단계에서는 정책을 생성하고 이를 가상 서버에 적용하여 특정 웹 애플리케이션을 보호합니다. 선택한 정책 구현 전략에 따라 한 번에 수행하거나 여러 개의 개별 하위 작업으로 나누어 수행할 수 있습니다.
예를 들어, 신속 배포 방식을 사용하여 고객 테스트 환경에 정책을 구현하는 작업은 한 번의 세션으로 수행할 수 있습니다. 반면, 자동 정책 빌더를 사용하여 정책을 생성하는 작업(즉, 장기간에 걸쳐 검사할 수 있는 "실제" 트래픽이 있는 경우)은 기본 정책을 설정하는 하위 작업과 나중에 정책을 조정하고 차단 모드로 전환하는 또 다른 하위 작업으로 나누어 수행할 수 있습니다.
결론
관련 전문 지식과 경험을 갖춘 숙련된 컨설턴트의 실시간 지원은 WAF 서비스 배포 프로젝트를 올바른 방향으로 이끌고 Advanced WAF 소유자가 충분한 정보를 바탕으로 효율적인 결정을 내릴 수 있도록 돕는 최선의 해결책인 경우가 많습니다.
BIG-IP Advanced WAF Launchpad 서비스에 대한 자세한 내용은 F5 Professional Services에 문의해 주세요.
2018년 3월 21일 게시