오늘날 조직은 고객과 직원의 디지털 경험을 우선시하며, 이에 따라 애플리케이션을 혁신하고 현대화해야 할 필요성이 커지고 있습니다. 이는 더 나은 디지털 경험을 제공하는 데 도움이 되지만, 효과적인 애플리케이션 보안을 유지하는 데 어려움을 초래하기도 합니다.
애플리케이션 현대화에는 새로운 마이크로서비스를 활용하고 클라우드 및/또는 엣지로 확장하는 작업이 수반되는 경우가 많습니다. 이러한 변화와 함께 API가 도입되고 API 기반 통신이 증가하면서 빠른 혁신이 가능해질 수 있습니다. 그러나 이러한 혁신 요소는 리소스, 특히 보안 팀에 부담을 주고 기존 애플리케이션 보안 구성 요소를 압박할 수도 있습니다. 점점 복잡해지는 애플리케이션 배포는 현대화 과정에서 조직의 접근 방식(흔히 사일로화된 임시방편식 제어 체계)과 맞물려 전반적인 보안 효과에 영향을 미치는 다양한 문제로 나타날 수 있습니다.
- 확대되는 애플리케이션 공격 표면 – 현대화로 인해 기회주의적 사이버 범죄자가 악용할 수 있는 새로운 보안 공백과 공격 경로가 노출될 수 있으므로, 애플리케이션 보안 도구 세트를 확장해야 합니다(예: API 검색 및 보안, 봇 및 자동화 제어, 계층 7 DoS 방어 등).
- 제한된 가시성 – 앱 포트폴리오와 공격 표면이 확대되면서 보안 사각지대가 늘어나고, 불충분하고 단편적인 보안 체계로 보호될 수 있습니다
- 복잡성 – 관리 및 통합상의 어려움뿐만 아니라 새로운 클라우드 및/또는 엣지 기술, 서비스, 워크플로를 기존 환경에 통합해야 하므로, 성장과 혁신 목표를 달성하는 동시에 일관된 보안 통제를 유지하기가 어렵습니다
- 총소유비용 증가 – 포인트 솔루션이 난립하면 운영 및 유지보수 비용이 증가할 수 있으며, 이로 인해 비효율적인 관리가 지속되고 이벤트 해결이 지연될 수 있습니다
- 속도 유지 – 신속한 개발 주기에 대한 요구로 인해 사일로가 형성되어 안전한 개발 관행을 저해하고 효과적인 앱 및 API 보안 구현을 제한할 수 있습니다.
조직에는 확장 가능하고 최신 앱 개발 속도에 발맞추며 어디서나 구현할 수 있는 포괄적인 보안 제어 기능을 제공하는 앱 및 API 보안이 필요합니다. 진화하는 공격에 대응하기 위해 기존 WAF 하드웨어/소프트웨어의 적용 범위를 확대하거나 여러 공급업체의 개별 솔루션을 임시방편으로 조합하여 앱 및 API 보안의 모든 영역을 포괄하려는 방식이 반드시 해답인 것은 아닙니다. 대부분의 조직에서는 사이버 보안 인력의 역량 격차가 계속 커지면서 구현할 수 있는 보안 제어의 종류와 방식이 제한되고 있으며, 이로 인해 다양한 측면에서 취약점에 노출될 가능성이 있습니다. WAF와 기타 앱 및 API 보안 기술을 관리하려면 전문 기술, 공격 기법에 대한 이해, 각 네이티브 클라우드 공급업체의 플랫폼과 기술을 비롯한 특정 플랫폼/기술에 대한 지식이 필요합니다. 대부분의 조직은 비용이 지나치게 많이 들거나 적합한 인력을 찾기 어렵기 때문에 전담 보안 전문가를 충분히 채용할 수 없습니다. 또한 필요한 역량이 부족하여 많은 조직이 개발 속도에 발맞춰 효과적인 앱 및 API 보안을 대규모로 구현하는 데 어려움을 겪고 있습니다.
앞서 언급한 과제들은 WAF와 기타 개별 앱 및 API 보안 기술이 각각 관리, 튜닝 및 유지보수하기 어려울 수 있으며, 이를 함께 운영하는 것은 더더욱 어렵다는 점 때문에 더욱 복잡해집니다. 레거시 앱과 최신 앱을 아우르는 지속적으로 변화하는 앱 포트폴리오, 복잡하고 확장되는 앱 아키텍처를 지원하도록 규모를 확장하고, 변화하는 앱 요구사항에 맞춰 구현해야 할 경우 이는 훨씬 더 어려운 과제가 됩니다.
조직들이 이러한 최신 앱 보안 과제에 계속 대응하고 공격자들의 수법도 진화함에 따라, 많은 조직이 웹 앱 및 API 보호(WAAP) 솔루션을 도입하고 있습니다. WAAP는 고급 앱 보안 제어 기능의 배포와 관리를 간소화하며, 새로운 AI/머신 러닝 기반 도구를 단일 패키지로 제공하는 경우가 많아 기존 WAF를 뛰어넘는 보호 기능을 조직에 제공합니다. 일반적으로 서비스형 소프트웨어(SaaS) 모델로 배포되는 WAAP 솔루션은 효율적으로 확장되므로 유지 관리 부담을 줄이고, 앱 환경이 확장되더라도 여러 위치에서 일관된 성능과 기능을 제공합니다. WAAP 솔루션을 선택하면 조직은 앱의 위치와 관계없이 어디서나 일관된 성능과 기능을 활용할 수 있으며, 시그니처, 소프트웨어 및 하드웨어(플랫폼)의 유지 관리 책임은 솔루션 제공업체가 맡습니다.
WAAP 솔루션을 구현하면 조직은 분산된 앱 엔드포인트, 보안 정책 및 확대되는 위협 표면에 대한 중앙 집중식 가시성과 제어 능력을 강화하여 인시던트 해결 시간을 단축할 수 있습니다. 이는 일반적으로 통합 SaaS 제어 콘솔을 통해 제공되므로 관련 팀이 분산된 앱 및 API 환경 전반에서 서비스와 정책을 손쉽게 배포, 모니터링 및 관리하기 위해 협업할 수 있습니다. 이러한 중앙 집중식 제어는 잠재적인 문제를 찾아 해결하는 데 필요한 시간을 줄여 운영을 간소화하고, 궁극적으로 최신 앱 보안 태세의 전반적인 효과를 높일 수 있습니다. F5 Distributed Cloud WAAP와 같은 포괄적인 WAAP 솔루션을 도입하면 조직은 AI/머신 러닝을 기반으로 하는 통합 앱 및 API 보안 패브릭을 손쉽게 배포하여 기존 앱 보안 구현을 강화할 수 있습니다. 이를 통해 데이터 센터에서 클라우드로, 여러 클라우드 전반으로, 그리고 엣지까지 어디서나 원활하게 확장할 수 있는 일관된 앱 보안 프레임워크를 제공할 수 있습니다.
F5 솔루션 전문가와 자세히 상담하고 F5 Distributed Cloud WAAP에 대해 알아보며 데모 및 평가판 기회도 확인하려면 문의해 주세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.