애플리케이션 보호의 현재와 미래
개요
오늘날과 같이 애플리케이션이 중심이 되는 세상에는 말 그대로 모든 것을 위한 앱이 있습니다. 조직은 생산성을 높이고 비즈니스 요구 사항을 충족하며 궁극적으로 경쟁 우위를 확보하기 위해 직원과 소비자에게 데이터에 액세스할 수 있는 애플리케이션을 제공합니다. 그러나 애플리케이션을 통해 점점 더 많은 민감한 데이터를 제공하면서 위험 또한 계속 증가하고 있습니다. 오늘날의 사용자는 어디에나 있으며, 기업 네트워크 외부에 있는 경우가 많고, 이들이 사용하는 앱 역시 사설 데이터 센터부터 퍼블릭 클라우드에 이르기까지 어디에나 존재할 수 있기 때문입니다. 그 결과 조직의 가시성과 통제력이 저하됩니다. 사이버 범죄자들이 이러한 노출을 악용해 애플리케이션을 표적으로 삼는 것은 놀라운 일이 아닙니다. 이러한 애플리케이션은 대부분 방화벽, 바이러스 백신 소프트웨어, TLS/SSL 암호화와 같은 기존 보안 체계의 보호 범위 밖에 존재합니다.
대규모 서비스 거부(DoS) 공격이든, 브라우저 기반 멀웨어든, 지능형 지속 위협이든, 오늘날의 애플리케이션 공격은 사실상 기업 데이터를 탈취하거나 손상시키려는 시도입니다. 암호화된 트래픽으로 전송되는 데이터가 점점 늘어나면서, 오늘날 대부분의 보안 도구는 해당 데이터를 복호화해 악성 여부를 확인하지 못한 채 사실상 무용지물이 되고 있습니다.
전통적으로 애플리케이션 보안은 소프트웨어 개발 수명 주기(SDLC)에 중점을 두고, 개발자가 안전한 코딩 모범 사례를 따르도록 하는 방식으로 접근해 왔습니다. 안전한 코드는 여전히 전반적인 보안 체계의 핵심 요소이지만, 그것만으로는 충분하지 않습니다. 기존의 기업 네트워크 범위를 벗어나는 엔드포인트와 네트워크가 늘어나면서 전통적인 보안 경계는 계속 허물어지고 있으며, 애플리케이션과 민감한 기업 데이터에 대한 위험 또한 계속 진화하고 있습니다.
어디서나 앱의 보안을 유지하려면 보안 조치를 강화해야 합니다. 오늘날 발생하는 공격의 대다수는 애플리케이션 계층을 표적으로 삼고 있지만, 기업은 이 계층에 상응하는 보안 투자를 하지 않고 있습니다. 이제 조직은 새로운 현실을 받아들여야 합니다. 보안은 앱 계층에 더욱 집중되어야 합니다.
애플리케이션 보안에 대한 위험 기반 접근 방식
이러한 위험 기반 관점에서 애플리케이션 보안을 바라보면 조직은 구성 요소의 장애에 집중하고, 대부분의 공격이 궁극적으로 노리는 데이터를 가장 강력하게 보호할 수 있습니다. 조직은 애플리케이션을 구성하는 모든 요소를 분석하여 애플리케이션 전체에 가장 강력하고 적절한 보안을 제공하는 전략을 수립할 수 있습니다. 코드 취약점, 네트워크 가용성 또는 DNS 등 애플리케이션이나 이를 제공하는 네트워크의 구성 요소 하나만 침해되어도 전체 애플리케이션과 그 안에 저장된 데이터가 위험해지기 때문입니다.
애플리케이션 보안의 핵심 구성 요소
조직은 애플리케이션 수준의 공격으로 인해 민감한 데이터가 침해될 위험을 줄이기 위해 가능한 한 강력한 애플리케이션 보안 통제 체계를 구축해야 합니다. 애플리케이션 경계를 선제적으로 다계층 방어하기 위한 보안 태세의 핵심 요소로는 애플리케이션 보안 테스트, 방화벽 서비스, 액세스 제어, 다양한 유형의 위협에 대한 맞춤형 보호가 있습니다.
애플리케이션 보안 테스트
소프트웨어 보안은 여전히 전반적인 애플리케이션 보호 전략의 핵심 요소입니다. 조직은 새로운 웹사이트와 소프트웨어가 안전하게 코딩되도록 해야 할 뿐만 아니라, 안전한 소프트웨어 개발 수명 주기 없이 구축된 기존 웹사이트에 이미 존재하는 수많은 취약점도 해결해야 합니다. 취약점을 찾아 수정하는 일은 단순한 학술적 활동이 아니라는 점을 기억해야 합니다. 이는 지능적인 공격자가 기업 시스템에 침입하거나 해당 시스템이 보호하는 데이터에 접근하지 못하도록 막는 일입니다. 그러나 적대 세력과 그들의 전술을 명확히 파악하지 못하면 보안 전문가는 이들을 물리칠 효과적인 전략을 수립하는 데 어려움을 겪게 됩니다. 앞으로는 보안 커뮤니티에서 일하는 더 많은 사람이 소프트웨어와 소프트웨어 보안을 더욱 깊이 이해하는 것이 필수적입니다.
취약점 스캐너는 새로운 웹사이트와 웹 애플리케이션이 온라인에 공개되기 전이나 후에 발견되는 소프트웨어 문제를 식별하고 완화하는 데 도움이 됩니다. 하지만 강력한 취약점 스캐너를 풀 프록시 웹 애플리케이션 방화벽과 통합하면 조직을 가장 효과적으로 보호할 수 있습니다.
웹 애플리케이션 방화벽
오늘날 강력하고 민첩한 웹 애플리케이션 방화벽은 사치가 아니라 필수입니다. 클라우드에서 호스팅되는 웹 애플리케이션이 증가함에 따라 기업 데이터를 위협하는 보안 공격과 위험도 갈수록 정교해지고 있습니다.
하이브리드 웹 애플리케이션 방화벽은 애플리케이션이 어디에 있든 기업이 OWASP 10대 위협, 애플리케이션 취약점 및 제로데이 공격으로부터 스스로를 보호할 수 있도록 지원합니다. 강력한 계층 7 분산 서비스 거부(DDoS) 방어, 탐지 및 완화 기술, 가상 패치, 세분화된 공격 가시성을 통해 아무리 정교한 위협이라도 네트워크 서버에 도달하기 전에 차단할 수 있습니다. 또한 공격자가 기업 데이터 센터에 접근하기 전에 이를 탐지하고 차단할 수 있다는 점은 큰 이점입니다. 잠재적 공격의 초기 단계에서 악의적인 활동을 차단할 수 있는 강력한 웹 애플리케이션 방화벽을 사용하면 원치 않는 트래픽을 처리하는 데 소모되는 리소스를 없애 조직의 위험을 크게 줄이는 동시에 데이터 센터의 효율성을 높일 수 있습니다.
기업은 다음과 같은 웹 애플리케이션 방화벽을 선택해야 합니다:
- 자동화된 공격 네트워크에 선제적으로 대응합니다.
- 주요 동적 애플리케이션 보안 테스트(DAST) 스캐너와 통합되어 취약점을 즉시 패치할 수 있습니다.
- 악성 활동과 위반 사항의 상관관계를 분석하여 의심스러운 이벤트를 식별합니다.
- 결제 카드 산업 데이터 보안 표준(PCI DSS), HIPAA, 사베인스-옥슬리법과 같은 주요 규제 표준을 보다 효율적으로 준수할 수 있도록 읽기 쉬운 보고서를 제공합니다.
SSL 검사
오늘날 SSL은 어디에나 사용되고 있습니다. 분석가들은 북미 전체 온라인 트래픽에서 암호화된 트래픽이 차지하는 비율이 2015년 29%에 불과했던 것에서 2016년에는 약 64%로 급증할 것으로 예측합니다.1 조직들은 이메일과 소셜 미디어부터 스트리밍 동영상에 이르기까지 대부분의 트래픽을 암호화하기 위해 서두르고 있습니다. SSL이 제공하는 보안 수준은 매력적이지만, 동시에 공격자들이 암호화된 트래픽을 확인할 수 없는 보안 장비로부터 멀웨어를 숨기는 수단으로 SSL을 이용하면서 취약점 공격 경로가 되었습니다.
엔터프라이즈 보안 솔루션은 암호화된 트래픽을 가시화하여 해당 트래픽을 통해 멀웨어가 네트워크에 유입되지 않도록 해야 합니다. 이러한 암호화 위협에 대응하는 한 가지 방법은 가시성 체인의 양쪽에 애플리케이션 딜리버리 컨트롤러(ADC)를 배치하는 SSL ‘에어 갭’ 솔루션을 구축하는 것입니다. 사용자와 가장 가까운 ADC가 아웃바운드 트래픽을 복호화한 후 복호화된 통신을 보안 장비로 전송합니다. 이제 콘텐츠를 확인할 수 있게 된 보안 장비는 정책과 제어를 적용하여 멀웨어를 탐지하고 무력화합니다. 체인의 반대쪽 끝에서는 또 다른 ADC가 데이터 센터를 빠져나가는 트래픽을 다시 암호화합니다. 이 솔루션은 보안 장비를 인라인으로 유지하는 유연성을 제공하는 동시에 각 장비가 본래의 역할을 수행할 수 있도록 보장합니다.
DDoS 방어
오늘날 대부분의 앱은 인터넷을 기반으로 하므로, 대규모 트래픽을 유발하는 DDoS 공격은 애플리케이션을 마비시키거나 심지어 완전히 중단시킬 수 있습니다. DDoS 공격은 규모가 커지고 복잡해지면서 전 세계 기업의 내부 리소스를 고갈시킬 위험이 있습니다. 이러한 공격은 대량의 트래픽으로 네트워크를 막는 방식과 애플리케이션을 은밀하게 노리는 기법을 결합하여 정상 사용자의 서비스 이용을 방해합니다.
조직은 중요 애플리케이션의 가용성을 보장하기 위해 강력한 DDoS 방어 전략을 마련해야 합니다. L3부터 L7까지 포괄적인 다계층 보호를 제공하고, DDoS 공격이 네트워크와 데이터 센터에 도달하기 전에 클라우드에서 차단할 수 있는 솔루션을 고려하십시오.
DNS 보안
DNS 전략은 안전한 코딩을 중심으로 하는 전통적인 애플리케이션 보안 관점에 포함되지는 않지만, 기업 애플리케이션의 보안과 가용성에 매우 중요한 역할을 합니다. DNS는 인터넷의 근간인 동시에 조직 네트워크에서 가장 취약한 지점 중 하나입니다. 조직은 DNS 증폭 쿼리 플러드, 사전 공격, DNS 포이즈닝 등 갈수록 다양해지는 DNS 공격으로부터 시스템을 보호해야 합니다.
기업은 글로벌 트래픽을 지능적으로 관리하고, 악성 IP 도메인에 대한 액세스를 차단하여 복잡한 위협을 완화하며, 구축, 중앙 집중식 관리 및 DNSSEC 키의 안전한 처리를 위해 타사 공급업체와 원활하게 통합되는 솔루션을 통해 고객과 직원이 필요할 때 언제든지 중요한 웹, 애플리케이션 및 데이터베이스 서비스에 액세스할 수 있도록 보장할 수 있습니다. 일부 솔루션은 빠르게 확장 가능한 고성능 DNS를 제공하여 DDoS 공격을 더욱 효과적으로 흡수할 수 있습니다.
웹 사기 탐지
50년 전에는 은행을 털려면 실제로 은행에 가야 했습니다. 하지만 이제는 5,000마일 떨어진 곳에서도 은행을 털 수 있습니다. 인터넷은 전 세계적으로 연결되어 있어 공격자에게는 모든 대상이 거리상 동일하게 접근 가능하며, 금융 기관은 인터넷에서 가장 가치가 높은 표적 중 하나입니다. 사기의 위험에 효과적으로 대응하려면 인터넷을 통해 금융 서비스를 제공하는 조직은 여러 보안 기술을 결합하여 비즈니스를 보호해야 합니다.
다양한 사기 위협 경로 전반을 방어하고 공격자가 보안 검사를 위조하거나 무력화하거나 다른 방식으로 우회하지 못하도록 차단하는 솔루션을 고려해 보십시오. 이를 통해 조직은 재정적 손실과 지적 재산 손실의 위험을 줄이고, 새롭게 등장하는 웹 위협과 사기에 선제적으로 대응하여 안심할 수 있습니다.
액세스 제어
최근 발생한 가장 심각한 보안 침해 중 일부는 사용자 및 관리자 자격 증명이 유출되어 발생했습니다. 적절한 사용자가 적절한 정보에 접근하도록 인증 및 권한을 부여하고, SSO(Single Sign-On) 및 다단계 인증 기술을 통해 애플리케이션에 안전하게 연결되도록 했다면 이러한 침해를 방지할 수 있었을 것입니다. 또한 기업에서 중앙 집중식으로 관리하는 ID 및 액세스 제어를 통해 기업 네트워크와 클라우드 기반 또는 SaaS(Software as a Service) 형태의 애플리케이션 간에 안전한 인증을 제공할 수 있습니다.
결론: 애플리케이션 보호의 미래
애플리케이션 보호는 매우 복잡하며, 사물 인터넷과 이에 수반되는 애플리케이션이 기하급수적으로 증가함에 따라 관련 문제도 계속 늘어나고 있습니다. 2010년에는 웹 앱이 2억 개였지만, 현재는 거의 10억 개에 달합니다.2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02) 2020년에는 그 수가 50억 개에 쉽게 이를 수 있습니다. 이러한 모든 애플리케이션은 취약점이 악용될 수 있는 경로이며, 그중 상당수에는 공격자의 표적이 될 수 있는 중요 데이터가 포함되어 있습니다.
기존 보안 포트폴리오를 애플리케이션 수준에 초점을 맞춘 솔루션과 서비스로 강화하면 조직은 민감한 데이터를 노출할 수 있는 애플리케이션을 더욱 효과적으로 보호할 수 있습니다. 애플리케이션이 어디에 있든 안전하게 보호하는 것이 매우 중요하며, 그에 따른 위험도 큽니다.
이제 애플리케이션 보안에 대한 관점을 넓혀 조직이 핵심 애플리케이션을 구성하는 모든 요소를 효과적으로 보호하고, 데이터를 안전하게 지키며, 비즈니스를 보호할 수 있는 역량을 강화해야 할 때입니다.
2016년 2월 24일 게시