클라우드 플랫폼의 보안 태세를 강화하기 위해 플랫폼이 지속적으로 개선되고 있지만, 보안과 관련해 아무런 우려도 없는 사람을 찾기는 어려울 것입니다. 이는 주로 웹 애플리케이션 공격이 현재 클라우드와 온프레미스 모두에서 조직의 IT 보안을 위협하는 가장 흔한 단일 요인이기 때문이며, 지난 10년간 발생한 침해 사고 중 약 53%가 웹 앱을 최초 공격 대상으로 삼았습니다. 전통적으로 온프레미스 보안 전략은 네트워크를 폐쇄적으로 통제하여 애플리케이션에 대한 접근을 관리하는 데 중점을 두는 경우가 많으며, 그 결과 네트워크 계층의 공격을 완화하기 위해 네트워크 방화벽에 크게 의존하게 됩니다.
그러나 퍼블릭 클라우드의 도입은 이 접근 방식에 차질을 빚게 했으며 전략에 상당한 변화를 요구했습니다. 이에 따라 많은 조직이 네트워크 중심의 보안 솔루션과 정책에서 애플리케이션 중심의 보안 모델로 전환해야 했습니다. 이러한 변화는 공유 보안 책임 모델의 도입으로 나타났으며, 이 모델에서는 애플리케이션 계층의 보안 책임이 클라우드 제공업체가 아닌 고객에게 있습니다. 실제로 Gartner는 2022년까지 클라우드 보안 사고의 최소 95%가 고객의 과실로 인해 발생할 것으로 전망했습니다. 이는 강력한 클라우드 보안 태세를 사전에 구축하는 것이 얼마나 중요한지를 잘 보여줍니다.
애플리케이션 보안 역시 결코 가볍게 여길 문제가 아닙니다. 사이버 범죄자들은 앱에 접근하거나 앱 성능에 영향을 미칠 새로운 방법을 찾기 위해 공격 수법을 끊임없이 발전시키고 취약점을 악용하고 있기 때문입니다. 보안 전문가들을 수년간 괴롭혀 온 일반적이고 잘 알려진 공격 벡터(크로스 사이트 스크립팅, 인젝션 등)뿐만 아니라, 오늘날에는 멀웨어 및 봇 관련 공격부터 리소스를 마비시키는 DoS 공격에 이르기까지 더욱 혁신적이고 정교한 메커니즘이 앱과 데이터를 위협하는 데 사용되고 있습니다. 이러한 고도화된 위협으로 인해 퍼블릭 클라우드 앱을 보호할 때는 시중에서 가장 진보된 애플리케이션 보안 솔루션을 도입하는 것이 선택이 아닌 필수입니다. 이에 F5는 업계에서 가장 포괄적인 WAF 솔루션인 F5 Advanced WAF를 이제 AWS 및 Azure에서 호스팅되는 애플리케이션 모두에 적용하여 공격자로부터 보호할 수 있게 되었음을 기쁜 마음으로 알려드립니다.
각 클라우드의 해당 마켓플레이스에서 바로 배포할 수 있는 가상화된 Advanced WAF는 기존 WAF 솔루션의 기능을 뛰어넘어 끊임없이 진화하는 보안 환경에서 추가적인 위협에 대응합니다. 주요 추가 기능은 다음과 같습니다:
- 계층 7 행동 기반 DoS 탐지 및 완화 – Advanced WAF는 사람의 개입 없이 새롭고 비정상적인 트래픽 패턴을 발견하고 지문을 생성하여 잠재적인 악성 트래픽을 거의 즉시 차단할 수 있습니다. 실시간 상태 정보는 완화 엔진으로 전달되며, 이 엔진에서는 시그니처를 자동으로 생성, 배포 및 분석하여 오탐을 줄이고 지속적으로 최적화되고 개선되는 무인 자동 보호 주기를 구현합니다.
- 자격 증명 보호 – F5 DataSafe 기술을 활용하여 웹 양식에 입력되는 데이터를 암호화함으로써 키로거 및 기타 유형의 멀웨어와 같은 클라이언트 측 자격 증명 공격을 동적으로 방어하며, 엔드포인트에 별도의 에이전트나 소프트웨어를 설치할 필요가 없습니다. Advanced WAF는 자격 증명 도용을 방지할 뿐만 아니라, 크리덴셜 스터핑 방어 기능이 포함된 무차별 대입 공격 완화 기능을 통해 이전에 탈취된 자격 증명을 사용하는 자동화된 공격도 방어합니다.
- 선제적 봇 방어 – 최첨단 핑거프린팅 및 챌린지/응답 기법을 기타 행동 분석과 함께 활용하여 세션 수준에서 자동화된 위협을 탐지하고 차단할 수 있습니다.
- 안티봇 모바일 SDK 통합 – 선제적 봇 방어에 사용되는 기술은 정상적인 브라우저를 식별하는 데는 효과적이지만 모바일 앱과 브라우저에는 적용되지 않습니다. Appdome을 사용하여 F5 안티봇 모바일 SDK를 애플리케이션에 원활하게 통합하면 조직은 이제 모바일 API 엔드포인트를 노리는 정교한 봇 공격에 대응할 수 있습니다.
Advanced WAF 하드웨어와 동일한 기본 코드를 기반으로 구축된 이러한 가상 에디션은 온프레미스 및 멀티 클라우드 배포 전반에서 완전히 동일한 기능을 제공하여 환경 간에 보안 정책을 원활하게 마이그레이션할 수 있도록 합니다. 따라서 클라우드 전략에 불확실성이 있는 조직은 동일한 고급 보안 서비스의 지원을 유지하면서 언제든지 여러 클라우드 플랫폼 간에 애플리케이션을 신속하게 이전할 수 있습니다. 아직 제공되지는 않지만, F5는 전체 AWS CloudFormation 및 Azure Resource Manager 템플릿 포트폴리오에서 Advanced WAF를 지원하기 위해 노력하고 있습니다. 이러한 템플릿을 사용하면 사용자가 다양한 아키텍처에서 Advanced WAF 인스턴스를 안정적으로 자동 생성할 수 있으므로 AWS와 Azure 모두에서 배포 절차가 크게 단축됩니다.
AWS 및 Azure 마켓플레이스에서 Advanced WAF는 클라우드 환경에 적합한 다양한 라이선스 옵션으로 제공됩니다. 특정 비즈니스 요구 사항에 맞춰 Advanced WAF는 영구 라이선스, 구독 및 엔터프라이즈 라이선스 계약을 지원하는 BYOL(Bring Your Own License) 옵션이나 종량제 방식으로 라이선스를 이용할 수 있으며, 두 옵션 모두 처리량이 25Mbps, 200Mbps 또는 1Gbps인 인스턴스를 지원합니다.
F5의 Advanced WAF에 대한 자세한 내용은 데이터시트를 확인하거나 AWS 및 Azure Marketplace 등록 페이지를 직접 방문해 보세요.
지원 자료
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.