봇은 멋집니다. 봇은 무섭습니다. 봇은 미래입니다. 봇은 나날이 더 똑똑해지고 있습니다.
어떤 종류의 봇을 이야기하느냐에 따라 우리는 봇 때문에 답답함을 느끼기도 하고 매료되기도 합니다. 한편 챗봇은 흔히 기업의 디지털 전환 전략에서 핵심적인 요소로 여겨집니다. 고객 측면에서는 질문과 문의에 신속하게 답변할 수 있는 수단이 됩니다. 내부적으로는 업무를 수행하고, 최근 제출된 경비 보고서부터 새로 출시한 따끈따끈한 앱의 현재 처리 용량에 이르기까지 모든 현황에 관한 질문에 답할 수 있습니다.
반면에 (그리고 분명 더 어두운 측면에서 보면) 일부 봇은 나쁩니다. 아주 나쁩니다. 그중에는 해킹당한 IoT 기기인 싱봇(thingbot)이 있으며, 이들은 데스 스타 봇넷에 합류했습니다. 또한 데이터를 무단 수집하고 훔치며 교묘한 수법으로 비즈니스를 방해하는 것만을 목적으로 하는 봇도 있습니다.
오늘날 우리가 우려하는 것은 바로 이 후자의 봇들입니다. 이들은 갈수록 훨씬 더 지능화되고 있으며, 안타깝게도 이제 인터넷상 ‘사용자’의 대다수를 차지하고 있습니다.
정말입니다. 전체 인터넷 트래픽의 52%는 사람이 아닌 주체가 만들어 냅니다. 물론 그중 일부는 기업 간 API와 검색 인덱서, 미디어 봇 같은 정상적인 봇입니다. 하지만 상당수는 그야말로 악성 봇입니다. 이러한 디지털 해충을 추적하는 Distil Networks에 따르면, “악성 봇은 전체 웹 트래픽의 20%를 차지하며 언제 어디에나 존재합니다.” 대형 웹사이트에서는 악성 봇이 트래픽의 21.83%를 차지했으며, 이는 2015년 이후 36.43% 증가한 수치입니다. 다른 연구에서도 비슷한 결과가 나왔습니다. 누가 제시한 수치든 기업에 좋은 소식은 하나도 없습니다.
Distil Networks의 보고서에 따르면 “2016년에는 사이트의 3분의 1(32.36%)에서 악성 봇 트래픽이 평균의 3배까지 급증했으며, 이러한 급증은 연평균 16회 발생했다.” 갑작스러운 트래픽 급증은 부하가 증가할수록 성능이 저하되는 성능 문제뿐만 아니라 서비스 중단의 원인이 되기도 한다.
봇이 온프레미스 앱을 공격하면 서비스 중단을 일으킬 뿐만 아니라 해당 앱과 관련된 비용도 증가시킬 수 있습니다. 여전히 많은 앱이 라이선스가 필요한 플랫폼에 배포되어 있습니다. 새 인스턴스가 시작될 때마다 회계 장부에도 비용 항목이 추가됩니다. 소프트웨어를 확장하려면 실제 비용이 듭니다. 라이선스 비용과 관계없이 모든 트랜잭션에는 관련 비용이 발생합니다. 하드웨어와 대역폭이 우리가 바라는 만큼 저렴하지는 않기 때문입니다.
클라우드에서는 (대체로) 확장이 더 쉽지만, 여전히 그에 따른 비용을 지불해야 합니다. 클라우드에서도 컴퓨팅 리소스와 대역폭은 무료가 아니며, 온프레미스 환경과 마찬가지로 봇 트래픽으로 인해 실제 트랜잭션당 비용이 증가하게 됩니다.
물론 답은 간단합니다. 트래픽이 앱에 도달하기 전에 차단하세요.
말처럼 그렇게 쉬운 일은 아닙니다. 보안 시스템은 튜링 테스트의 표준 해석에서 ‘플레이어 C’ 역할을 해야 하기 때문입니다. 기억이 나지 않는 분들을 위해 설명하자면, 튜링 테스트에서는 질문자(플레이어 C)가 플레이어 A와 B 중 누가 기계이고 누가 인간인지 판별해야 합니다. 그리고 당연히 다른 방식으로는 너무 뻔하므로, 오직 서면 답변만 사용할 수 있습니다. 참 쉽죠.
오늘날에도 이와 매우 유사하게, 보안 솔루션은 디지털 방식으로 전달되는 정보만을 사용해 인간과 기계를 구별해야 합니다.
웹 애플리케이션 방화벽: 튜링 보안 테스트의 ‘C’ 플레이어
웹 애플리케이션 방화벽(WAF)은 이러한 작업을 수행할 수 있도록 설계되었습니다. 서비스형, 온프레미스 또는 퍼블릭 클라우드 등 어떤 형태로 제공되든 WAF는 봇을 탐지하고 봇이 원하는 리소스에 접근하지 못하도록 차단하여 애플리케이션을 보호합니다. 문제는 많은 WAF가 악성으로 알려진 사용자 에이전트 및 IP 주소와 일치하는 봇만 필터링한다는 점입니다. 하지만 봇은 점점 더 지능화되고 있으며, 탐지를 피하기 위해 IP 주소를 번갈아 사용하고 사용자 에이전트를 바꾸는 방법을 알고 있습니다. Distil은 “악성 봇의 52.05%가 JavaScript를 로드하고 실행한다. 즉, JavaScript 엔진이 설치되어 있다”고 지적하며 봇의 지능이 갈수록 높아지고 있음을 설명합니다.
즉, 악성 봇을 정확히 식별하고 차단하려면 ‘사용자’에 대해 훨씬 더 많은 정보를 확보해야 합니다. 다행히 이러한 정보는 이미 존재하며 모두 디지털 형태입니다. 사람의 몸짓, 말투, 어휘 선택에서 많은 것을 파악할 수 있듯이, 모든 트랜잭션에 수반되는 디지털 정보에서도 많은 것을 알아낼 수 있습니다.
위협 인텔리전스, 디바이스 프로파일링, 행동 분석을 적절히 조합하면 WAF는 악성 봇을 사람이나 봇과 같은 정상 사용자와 정확히 구분할 수 있습니다. 어떤 솔루션을 선택하느냐에 따라 봇이 보안 전략을 따돌리고 사실상 ‘튜링 보안 테스트’를 통과할 수 있는지가 결정됩니다.
- 위협 인텔리전스
위협 인텔리전스는 지리적 위치 정보와 선제적인 트래픽 분류를 결합하고, 가능한 한 많은 신뢰할 수 있는 출처의 인텔리전스 피드를 활용하여 악성 봇을 식별하는 데 도움을 줍니다. 이는 본질적으로 보안 파트너 생태계 전체가 인텔리전스를 공유할 수 있게 하는 ‘보안 빅데이터’로, 최신 봇의 공격 시도를 적시에 더욱 정확하게 식별할 수 있도록 합니다.
디바이스 프로파일링
디바이스 프로파일링에는 요청을 알려진 봇 시그니처와 대조하고 신원을 확인하는 작업이 포함됩니다. 운영 체제, 네트워크, 디바이스 유형 등 연결을 통해 파악할 수 있는 모든 정보(그 양은 상당합니다)를 활용할 수 있습니다. 핑거프린팅도 유용합니다. 브라우저와 봇이 공유하는 정보의 양이, 어쩌면 의도치 않게도, 각각을 고유하게 식별하기에 거의 충분한 것으로 밝혀졌기 때문입니다. 이 이론에 관한 유익한 글은 EFF 사이트에서 확인할 수 있습니다. 통계적으로 볼 때 2007년 기준 개인을 고유하게 식별하는 데 필요한 정보는 32.6비트에 불과한 것으로 나타났습니다. 사용자 에이전트 문자열에는 약 10.5비트의 정보가 포함되어 있으며, 봇은 이를 거리낌 없이 제공합니다.행동 분석
하지만 디지털 환경에서는 프로필이 순식간에 바뀔 수 있고 위치가 숨겨지거나 위조될 수 있습니다. 따라서 악성 봇과 정상 트래픽을 구분할 때 행동 분석도 활용됩니다. 이는 흔히 일종의 인증 과제 형태로 이루어집니다. 사용자는 CAPTCHA나 ‘로봇이 아닙니다’ 체크박스를 통해 이를 접하지만, 봇을 판별하는 방법이 이것뿐인 것은 아닙니다. 행동 분석은 세션 및 트랜잭션의 이상 징후와 무차별 대입 방식의 액세스 시도도 감시합니다.
세 가지를 모두 사용하면 더 포괄적인 컨텍스트를 확보할 수 있어 WAF가 악성 봇을 정확하게 식별하고 접근을 차단할 수 있습니다.
당사(여기서 ‘우리’는 회사를 뜻합니다)는 이러한 고유한 변수 조합을 항상 ‘컨텍스트’라고 불러 왔습니다. 오늘날 컨텍스트는 액세스 제어, ID 관리, 앱 보안 등 다양한 보안 솔루션의 핵심 구성 요소입니다. 컨텍스트는 앱 중심 보안 전략에 매우 중요하며, 악성 봇에 정확하고 효과적으로 대응할 수 있는 모든 WAF가 갖춰야 할 핵심 기능입니다. 컨텍스트는 ‘전체적인 상황’을 파악할 수 있게 해 주므로 WAF가 악성 트래픽과 정상 트래픽을 정확히 구분하여 중요한 자산을 보호하고 비즈니스 운영 비용을 억제할 수 있습니다.
해결책은 이미 나와 있습니다. 봇은 사라지지 않을 것이며, 적절한 WAF를 사용하면 악성 봇이 기업의 수익에 실질적인 영향을 미치는 데이터와 리소스를 탈취하지 못하도록 방어 역량을 강화할 수 있습니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.