애플리케이션의 가용성, 무결성 및 기밀성을 보장하는 방법

F5

읽는 데 7분

지난 40년 동안 소프트웨어는 진화를 거듭해 왔습니다. 메인프레임 시대에는 사용자가 대규모 다중 사용자 시스템에 중앙 집중식으로 저장된 프로그램에 접속했습니다. 하지만 1990년대에는 일반적으로 애플리케이션이 비닐로 포장된 판지 상자 안의 플라스틱 디스크 형태로 제공되었으며, 로컬 환경에 설치된 후 업데이트되는 경우도 드물었습니다.

어떤 면에서는 다시 원점으로 돌아온 셈입니다. 애플리케이션이 다시 네트워크를 통해 제공되는 경우가 늘고 있으며, 애플리케이션 개발자도 운영 업무와 자신이 개발한 앱의 보안에 점점 더 깊이 관여하고 있습니다. 애플리케이션이 서비스 형태로 상시 제공되는 이 환경에서는 소프트웨어 취약점이 빠르게 악용될 수 있고, 단순한 DDoS 공격만으로도 서비스가 중단될 수 있습니다.

자체 애플리케이션을 개발하는 기업의 프로그래머는 엔드투엔드 보안 소프트웨어 개발 수명 주기(SDLC)의 일환으로 소프트웨어를 개발해야 합니다. 이는 소프트웨어의 공격 표면을 줄이고 취약점을 제거하며, 개발자가 더욱 안전하게 설계하고 프로그래밍할 수 있도록 교육하는 데 중점을 두어야 한다는 의미입니다.

액세스 제어 및 핵심 보안 원칙 적용

동시에 기업은 클라우드 애플리케이션을 안전하게 관리해야 하는 운영 기술로 취급해야 합니다. 클라우드 애플리케이션은 항상 연결되어 있어 공격 대상이 되기 쉬우므로, 취약점을 적시에 식별하고 제거하는 것이 매우 중요합니다. 위협에 선제적으로 대응하려면 기업은 취약점을 식별하고 우선순위를 분류하며 웹 애플리케이션 방화벽(WAF)을 통해 신속하게 자동으로 문제를 해결할 수 있는 취약점 관리 프로세스를 구축해야 합니다. WAF는 개발팀이 코드를 수정하는 동안 공격을 차단해 기업이 대응할 시간을 벌어 주는 핵심 웹 보안 통제 수단입니다.

애플리케이션 보안과 관련된 일반적인 취약점 관리 논의 외에 또 무엇을 고려해야 할까요? 우선 적절한 액세스 제어를 설정하는 것부터 시작해야 합니다. 인증, 권한 부여 및 계정 관리(AAA) 프레임워크는 SSO 및 다단계 인증과 같은 기능을 활용해 기본적으로 강력한 인증을 요구하도록 하는 데 중요한 지침이 됩니다. 또한 권한이 없는 사용자, 권한이 있는 사용자, 관리자 등 최소 세 가지 역할을 포함하는 강력한 역할 기반 액세스 제어(RBAC)에 따라 사용자에게 권한을 부여하면 의도치 않은 사고를 줄이는 데 도움이 됩니다. 사고가 발생할 경우에는 이벤트를 적절히 기록해 두어야 문제 해결에 필요한 핵심 정보, 예를 들어 어떤 계정이 사용되었고 어느 시스템에서 발생했는지 등을 확인할 수 있습니다.

AAA 프레임워크와 함께 기밀성, 무결성, 가용성이라는 CIA 보안 원칙의 관점에서 앱 보안을 살펴보면, 기업이 애플리케이션을 보호하고 서비스를 지속적으로 운영하기 위해 취해야 할 추가 조치를 파악할 수 있습니다.

1. 가용성—애플리케이션을 중단 없이 운영하기

직원들의 클라우드 애플리케이션 의존도가 높아지면서 클라우드 서비스의 가용성은 비즈니스 운영에 매우 중요한 요소가 되었습니다. 한때 단순한 골칫거리에 불과했던 DDoS 공격은 이제 비즈니스 운영을 훨씬 더 심각하게 방해할 수 있습니다.

권장 사항:

• 네트워크 경계에서 공격을 차단하도록 설계된 DDoS 완화 서비스를 사용하세요. 공격이 발생하더라도 이러한 시스템을 사용하면 해당 트래픽으로 인한 클라우드 사용량 급증에 추가 요금이 부과되지 않으므로 실제로 비용을 절감할 수 있습니다.
• 변경 관리 프로세스를 도입하세요. 많은 기업이 인프라에 결함이 있는 업데이트를 적용한 후 자체 서비스 장애를 초래한 바 있습니다.
• 계층 7(애플리케이션 수준) 공격을 방지하려면 WAF 또는 DDoS 방어 어플라이언스를 사용하세요.

2. 무결성—앱이 의도한 대로 작동하도록 보장

디지털 문을 항상 열어 두는 것은 기업의 최우선 과제입니다. 악의적인 사용자의 침입을 막는 것은 그다음입니다. 개발 및 운영 팀은 위의 AAA에서 설명한 대로 모든 애플리케이션과 데이터에 안전하게 액세스할 수 있는 기반을 마련해야 합니다. 또한 의도하지 않은 변경으로 인해 앱이 데이터 무결성에 영향을 미치는 방식으로 작동하지 않도록 변경 사항을 관리해야 합니다.

권장 사항:

• WebSafe 및 WAF와 같은 도구를 도입하면 악의적인 행위자가 애플리케이션에 유해한 데이터를 삽입하는 것을 제한하고 광범위한 위협으로부터 보호하여 손실과 위험 노출을 줄이는 데 도움이 됩니다.
• 데이터의 완전성을 확인하는 애플리케이션 제어 기능은 상위 단계의 제어 기능 중 하나에 문제가 발생했는지 모니터링하는 데에도 매우 유용합니다.
• 애플리케이션 구성을 자동으로 테스트하면 결함이 있는 변경 사항이 적용될 때 운영팀에 신속하게 알릴 수 있습니다.

3. 기밀성—클라우드에서 비밀 유지하기

데이터가 클라우드에 있든 자체 데이터 센터에 있든 관계없이 수집, 전송 및 저장 단계에서 데이터 기밀성을 보장해야 합니다. 애플리케이션 취약점 악용으로 인해 앱과 앱에 포함된 데이터의 기밀성이 침해되는 것을 방지하려면 WAF를 포함한 취약점 관리를 주요 통제 수단으로 마련해야 합니다. 오늘날에는 사용자와 웹 애플리케이션 서버 간의 통신을 암호화하는 데 TLS 기술을 사용하지 않을 이유가 없습니다. 클라우드 또는 온프레미스에 저장된 데이터 역시 무단 액세스를 방지하기 위해 완전히 암호화해야 합니다.

권장 사항:

• 기본적으로 TLS/SSL을 활성화하세요. 모든 곳에서 HTTPS를 사용하세요!
• 저장된 중요 데이터, 특히 백엔드 자격 증명 저장소는 강력하게 암호화하세요. 단순한 비밀번호 해시는 더 이상 허용되지 않습니다. 최소한 솔트를 추가한 해시를 구현하거나, 그보다 더 강력한 암호화 메커니즘을 적용해야 합니다.
• 결함을 탐지하고 분류할 수 있도록 심층적인 취약점 관리 프로그램을 구현하십시오. 패치 배포 사이에 발생하는 취약점에 대응하려면 WAF의 가상 패치 기능을 적극 권장합니다.
• 클라우드 애플리케이션과 인프라를 보호하는 일은 복잡하지만, AAA와 CIA의 관점에서 바라보면 보안 전문가는 이 분야에 총체적으로 접근하고 전반적인 보안 전략을 뒷받침하는 조치를 취할 수 있습니다.

Preston Hogue는 F5 Networks의 보안 마케팅 부문 수석 이사입니다. Preston은 글로벌 보안 캠페인, 기술 전파 및 사고 리더십을 담당하며, F5 Labs 애플리케이션 위협 인텔리전스 팀을 총괄하고 있습니다. Preston은 복잡한 보안 프로그램의 개발, 구현 및 관리, 위험 분석 및 관리 체계 설계, 규제 및 규정 준수 요건을 충족하기 위한 프로그램 구현 등 정보 보안 분야에서 20년 이상의 경력을 보유하고 있습니다.

작성자 소개

F5

F5의 다른 블로그 게시물