F5 NGINX ModSecurity WAF의 지원 종료 전환 안내

Thelen BlumNGINX App Protect 수석 제품 마케팅 매니저 | F5

지난 5년 동안 F5 NGINX는 OWASP ModSecurity 핵심 규칙 세트(CRS)를 사용하여 일반적인 취약점 유형을 방어할 수 있도록 NGINX Plus용 NGINX ModSecurity WAF 모듈을 고객에게 제공해 왔습니다. 그러나 최근 ModSecurity WAF에 대한 타사 지원이 변경됨에 따라, 안타깝게도 NGINX ModSecurity WAF는 2024년 3월 31일부로 지원 종료(EoL) 단계로 전환됩니다.

이러한 결정은 부분적으로 ModSecurity를 유지 관리해 온 조직인 Trustwave가 최근 발표한 Trustwave의 발표에서 2024년 7월 1일부로 다음과 같이 조치할 것이라고 밝힌 데 따른 것입니다:

• ModSecurity 오픈 소스 코드 및 WAF에 대한 지원 중단
• ModSecurity 코드 유지 관리 책임을 오픈 소스 커뮤니티에 반환
• 상용 규칙을 더 이상 제공하지 않음

또한 OWASP ModSecurity Core Rule Set(CRS) 프로젝트는 ModSecurity에 대한 지원을 계속할 계획이지만, Trustwave의 조치와 지원 변경 발표로 인해 ModSecurity 프로젝트의 지속 가능성을 우려하여 Coraza라는 새로운 WAF로 초점을 전환하고 있습니다.

NGINX ModSecurity WAF는 오픈 소스 ModSecurity v3를 기반으로 하며, NGINX ModSecurity WAF 모듈이 NGINX Plus에서 올바르게 작동하도록 지원 및 테스트를 제공합니다. 그러나 당사는 ModSecurity 코드 자체를 유지 관리하지 않으며, Trustwave의 지원 중단과 오픈 소스 ModSecurity 프로젝트에 대한 기여 감소로 인해 NGINX Plus 고객은 보안 및 안정성 요구 사항을 충족하지 못할 수 있는 제품을 사용하게 됩니다.

NGINX는 2022년 4월 1일부로 판매 종료(EoS) 단계로 전환하여 NGINX ModSecurity WAF 판매를 중단했습니다. 유효한 라이선스를 보유한 고객은 EoL 날짜(2024년 3월 31일)까지 구독을 갱신하고 NGINX ModSecurity WAF 패키지 업데이트를 포함한 전체 지원을 받을 수 있습니다. NGINX는 고객이 새로운 솔루션으로 마이그레이션할 충분한 시간을 확보할 수 있도록 2024년 3월 31일까지 NGINX ModSecurity 패키지 업데이트를 제공할 계획입니다. 향후 애플리케이션 보안 솔루션 요구 사항을 논의하기 위해 고객 담당자가 직접 연락드릴 예정입니다. 언제든지 고객 담당자에게 연락하려면 문의해 주세요. 2023년 4월 1일부터는 더 이상 갱신이 허용되지 않습니다.

오픈 소스에 대한 헌신은 여전히 NGINX DNA의 핵심입니다

NGINX ModSecurity WAF 제품은 지원 종료(EoL)를 앞두고 있지만, 당사는 앞으로도 오픈 소스 커뮤니티에 지속적으로 참여하고 지원할 것입니다. NGINX는 기술을 발전시키고 개선하는 데 전념하는 오픈 소스 커뮤니티 구성원들의 협업과 혁신을 중요하게 생각합니다. 당사는 오픈 소스가 핵심적인 기반 보안 기술의 폭넓은 활용을 촉진하고, 전 세계 애플리케이션 인프라의 공격 표면을 줄여 모두에게 이점을 제공한다고 믿습니다.

이러한 가치에 따라 NGINX는 계속해서 NGINX Open Source 및 NGINX Unit 프로젝트를 이끌고 있습니다. 당사는 보안을 위한 노력에 큰 자부심을 느끼는 동시에, 일상생활에서 점점 더 의존하고 있는 기술 기반을 보호하려면 더 폭넓은 팀의 협력이 필요하다는 점도 잘 알고 있습니다. 이에 따라 당사는 OWASP Core Rule Set(CRS), Let’s Encrypt 및 Open SSL 프로젝트 후원을 비롯해 인터넷 보안을 직접적으로 강화하는 OSS 프로젝트를 기꺼이 지원하고 있습니다.

디지털 트랜스포메이션으로 보안 요구 사항이 달라졌나요?

처음에는 OWASP CRS를 통해 일반적인 취약점 유형으로부터 애플리케이션을 보호하거나 표준 WAF 구현에서 PCI DSS 규정 준수 요구 사항을 충족하기 위해 오픈 소스 ModSecurity WAF의 지원 버전인 NGINX ModSecurity WAF를 선택했을 수 있습니다. 그러나 지난 2년간 COVID‑19 팬데믹으로 인해 기업과 소비자 모두 상품과 서비스를 온라인으로 구매하고 이용하는 방식으로 전환하면서, 조직은 수요에 발맞추기 위해 디지털 트랜스포메이션을 가속화해야 했습니다.

웹 애플리케이션과 API를 겨냥한 사이버 공격이 증가하는 지금이야말로 WAF에 필요한 기능을 재검토하고, 비즈니스 성장에 필요한 보호, 안정성 및 성능을 더욱 포괄적으로 구현할 적기일 수 있습니다. 당사는 비즈니스 성장에 맞춰 확장할 수 있는 대안 보안 솔루션으로 F5 NGINX App Protect WAF을 제공합니다.

NGINX App Protect WAF – 최신 앱과 API를 위한 고급 보안

NGINX App Protect WAF는 다음과 같은 여러 이점을 제공합니다:

• NGINX App Protect WAF는 수십 년 동안 수천 곳의 엔터프라이즈 고객을 통해 실전 검증을 거친 F5의 Advanced WAF 엔진을 기반으로 합니다. 다른 F5 제품도 배포하는 경우, 신속한 버그 수정과 규칙 업데이트는 물론 장기 로드맵에 대한 의견 반영까지 포함하여 전체 보안 솔루션 제품군을 단일 지원 창구에서 지원받을 수 있습니다. 또한 F5 솔루션 간에 WAF 규칙을 손쉽게 이전하여 전체 인프라에서 일관된 보호를 제공할 수 있습니다.
• 기본 ModSecurity 규칙은 오픈 소스 커뮤니티 구성원이 작성하고 유지 관리하며, 일반적인 취약점을 포괄하도록 설계되었습니다. NGINX App Protect WAF 규칙은 F5 Labs에서 추적하는 광범위한 취약점 및 위협 보고서를 기반으로 합니다. 그 결과 더욱 풍부한 규칙 세트가 제공되어 진화하는 위협에 발맞춰 애플리케이션 보안을 한층 강화할 수 있습니다.
• ModSecurity 규칙은 정규식 평가를 수반하므로, 추가 제어 기능을 활성화할 때마다 성능이 직접적으로 저하되어 우수한 성능과 포괄적인 보호 중 하나를 선택해야 합니다. NGINX App Protect WAF 규칙은 바이트코드로 사전 컴파일되므로 활성화하는 규칙 수에 관계없이 높은 성능을 제공합니다.
• NGINX App Protect WAF는 플랫폼에 구애받지 않으며, 설치 공간이 작고 리소스 요구량이 낮아 클라우드 배포에 이상적입니다.
• NGINX App Protect WAF는 선언적 정책을 통해 ‘코드형 보안’을 구현하고 CI/CD 도구 체인과 손쉽게 통합할 수 있어 DevOps 팀의 요구 사항을 충족합니다.
• NGINX App Protect WAF는 웹 앱, 마이크로서비스, 컨테이너 및 API에 일관된 보안 제어 기능을 제공합니다.

자동차 타이어 판매업체인 Reifen.com이 온라인 성능을 개선하고 내부 및 외부 보안 및 규정 준수 표준을 충족해야 했을 때 NGINX ModSecurity WAF 대신 NGINX App Protect WAF를 선택한 이유를 알아보세요. Reifen.com의 전자상거래 컨설턴트인 Sascha Petranka는 이렇게 설명합니다. “NGINX App Protect WAF가 최고의 성능과 최상의 장기 솔루션을 제공하고 NGINX와 F5의 전문성을 모두 활용할 수 있었기 때문에 이를 선택했습니다.”

최적의 애플리케이션 보안으로 비즈니스를 강화하세요

NGINX App Protect WAF는 DevOps 팀과 SecOps 팀 간의 협업을 강화하는 동시에 조직의 애플리케이션 및 API 보안과 성능을 개선하는 데 도움이 됩니다. 이 경량 보안 솔루션을 통해 기업은 매출에 영향을 미치는 공격, 데이터 도난, 평판 훼손, 규정 미준수로부터 보호할 수 있습니다. NGINX App Protect WAF를 직접 체험해 보려면 30일 무료 평가판을 시작하거나 문의하여 사용 사례에 대해 논의해 보세요.

작성자 소개

Thelen BlumNGINX App Protect 수석 제품 마케팅 매니저 | F5

Thelen Blum의 다른 블로그 게시물