봇 완화 솔루션 공급업체에 물어봐야 할 10가지 질문

Byron McNaught수석 솔루션 마케팅 매니저 | F5

봇 문제를 겪고 있다고 의심하고 계실 것입니다. 트래픽 급증으로 인프라 비용이 늘었거나, 계정 탈취(ATO) 비율이 높아졌거나, 누군가가 기프트 카드를 크래킹하고 지적 재산을 스크래핑하고 있을 수 있습니다. 더 자세히 살펴보면 사기 문제뿐 아니라 최근 브랜드 평가와 고객 충성도가 하락한 사실도 발견할 가능성이 큽니다. 속도 제한, IP 및 지역 차단, 평판 분석, 핑거프린팅, CAPTCHA, 다단계 인증(MFA)을 활용해 직접 해결하려 했지만, 여러 솔루션을 관리하고 공격자보다 앞서 나가기 위해 애쓰는 한편 구매를 완료하지 못해 불만을 느끼는 고객까지 대응해야 하는 끝없는 싸움이 되고 말았습니다.

이제 전문가의 도움을 받아 시간을 절약하기로 결정했습니다. 몇몇 업체로 후보를 좁혔고, 이들에게 몇 가지 질문을 하려고 합니다. 그런데 어떤 질문을 해야 할까요?

다음은 봇 완화 공급업체의 솔루션이 귀사의 환경에 적합한지 판단하는 데 도움이 되는 유용한 질문들입니다.

1. 공급업체는 공격자의 도구 재정비에 어떻게 대응하나요?

고객 계정의 가치가 높다고 판단되면 공격자는 쉽게 포기하지 않고, 계속해서 수법과 도구를 바꿔 가며 재차 공격을 시도할 가능성이 큽니다. 이는 기본적인 공격자의 경제 논리이며, 따라서 이 질문이 가장 중요합니다. 보안 대책이 마련되면 집요한 공격자는 다양한 수법과 도구, 심지어 AI까지 활용해 대응 통제를 우회하도록 공격 방식을 바꿉니다. 크리덴셜 스터핑 피해자들은 봇과 자동화 공격에 직접 대응하는 것이 두더지 잡기 게임과 같다고 말합니다. 이 게임을 대신 맡기기 위해 서비스 비용을 지불하는 것이므로, 이러한 상황에 어떻게 대응하는지 물어보세요.

공격자는 항상 수법을 바꿉니다. 공급업체는 어떻게 대응하나요?

2. 공급업체가 고객의 불편을 크게 증가시키는가?

CAPTCHA와 MFA는 고객이 겪는 불편을 크게 가중합니다. 사용자의 인증 실패율은 15%에서 50%에 달하며, 이는 높은 장바구니 이탈률과 사용자 만족도 저하로 이어집니다. 단 한 번의 부정적인 사용자 경험만으로도 고객이 다시는 돌아오지 않을 수 있습니다.

솔직히 말해, 사용자에게 불편을 초래하는 것으로 알려진 대응책에 의존하는 공급업체는 신중하게 검토해야 합니다. 이러한 방어 수단은 사용자를 불편하게 할 뿐만 아니라, 공격자가 우회할 수 있는 경우도 많습니다. 사기범은 도구와 인력을 활용해 CAPTCHA를 풀 수 있으며 유출된 개인 식별 정보(PII)를 이용해 계정 소유자를 사칭하고 전화 회선을 자신이 통제하는 계정으로 이전하여 MFA 요청을 완료할 수도 있습니다.

3. 서비스는 오탐을 어떻게 처리하나요?

공급업체가 실제 사람을 봇으로 판별하는 경우를 오탐(false positive)이라고 합니다. 반대로 봇을 사람으로 판별하는 경우는 미탐(false negative)이라고 합니다.

봇 완화 과정에서는 오탐과 미탐이 어느 정도 발생할 수밖에 있으므로, 그렇지 않다고 주장하는 공급업체는 의심해 보아야 합니다. 하지만 공급업체는 오탐 문제에 매우 신속하게 대응해야 합니다. 즉, 공급업체에 연락해 이의를 제기하면 오탐 판정이 시정되어야 합니다.

4. 공격자가 탐지를 우회하면 서비스는 어떻게 대응하나요?

탐지를 우회하려 시도하고 실제로 우회에 성공해 미탐지되는 지능형 공격자도 있을 것입니다. 봇 완화 솔루션 공급업체는 숙련된 공격자가 곧 모든 대응책을 우회할 것이라는 전제하에 운영해야 합니다. 이러한 일이 발생하더라도 계정 탈취, 사기, 비즈니스 분석 데이터 왜곡 등의 부작용이 나타나기 전까지는 알아차리지 못할 수 있습니다. 그런 경우 공급업체에 연락하여 문제 해결 방안을 함께 마련해야 합니다.

이러한 프로세스를 어떻게 처리하나요? 공급업체의 대응 방식과 처리 소요 시간은 어떻게 되나요?

5. 공급업체는 수동(사람이 직접 시도하는) 사기에 어떻게 대응하나요?

공급업체가 자동화된 공격(봇)을 차단하는 데 특히 능숙하다면, 매우 집요하고 숙련된 공격자는 자동화 방지 체계를 우회하기 위해 실제 브라우저에서 직접 자격 증명을 입력할 수 있으며, 이는 잠재적으로 계정 탈취(ATO) 및 사기로 이어질 수 있습니다. 실제로 보안 로그인을 통해 단 10달러 상당의 가치만 얻을 수 있어도 전문 공격자에게는 충분한 동기가 될 수 있습니다. 많은 서비스는 이러한 공격을 탐지하지 못합니다(사람은 봇이 아니기 때문입니다).

공급업체는 사람이 신뢰할 수 있는 고객인지 사기범인지 판단할 수 있어야 합니다.

해당 서비스가 악의적인 의도를 탐지할 수 있을까요? 정확한 탐지를 통해 봇, 정교한 도구와 AI를 사용해 인간의 행동을 모방하거나 보이는 공격자, 실제 고객을 구분한 다음, 공격자의 정찰 활동에 도움을 주거나 고객 경험에 영향을 미치지 않으면서 가장 적절한 조치를 취할 수 있습니다.

이 서비스는 수동 사기에 어떻게 대응하나요?

6. 한 고객의 보안이 우회된 경우, 공급업체는 그 우회가 다른 모든 고객에게 영향을 미치지 않도록 어떻게 보호하나요?

대부분의 경우 고객별로 맞춤형 탐지 및 완화 정책을 적용해야 합니다. 그래야 공격자가 한 사이트의 대응책을 우회할 수 있을 정도로 공격 수법을 바꾸더라도, 그 수법을 그대로 사용해 귀사의 사이트에 침입할 수 없습니다. 다른 고객을 겨냥해 변경된 공격 수법의 영향이 각 고객에게 미치지 않도록 격리해야 합니다.

은행 및 금융 서비스와 같은 특정 산업 분야는 가장 집요하고 정교한 사이버 범죄자들의 표적이 됩니다. 가장 효과적인 봇 완화 솔루션은 유사한 공격 프로필과 위험 영역 전반에서 공격자의 기법을 탐지하여 적절한 대응책을 자동으로 배포합니다. 또한 과거의 사기 기록을 활용해 AI 모델을 추가로 학습시킴으로써 효과를 극대화할 수 있습니다.

7. 공격자가 완화 조치를 우회하더라도 서비스에서 해당 공격을 계속 탐지할 수 있나요?

공격자가 방어 체계를 우회한 후 서비스가 공격을 탐지하지 못하는 경우는 매우 흔합니다. 공급업체가 탐지에 사용하는 데이터를 기반으로 공격을 완화한다면, 공격자가 완화 조치를 우회했을 때 탐지 능력도 잃게 됩니다. 예를 들어 IP를 기준으로 차단하는 경우, 공격자가 전 세계에 공격을 분산해 차단을 우회하면 공급업체는 공격을 더 이상 파악하지 못해 실제 피해가 얼마나 심각한지 알 수 없게 될 수 있습니다.

시스템이 올바르게 작동하는 사례로, 10,000건의 로그인 시도가 발생했을 때 행동 분석 결과가 인간의 정상 범위 내에 있어 처음에는 모두 문제가 없어 보이는 경우를 들 수 있습니다. 하지만 나중에 10,000건 모두 동일한 행동 패턴을 보였다는 사실이 밝혀진다면, 이는 해당 로그인 시도가 자동화되었다는 의미입니다.

가장 효과적인 봇 완화 솔루션은 다양한 디바이스, 네트워크, 환경 및 행동 관련 원격 측정 신호를 지속적으로 수집하고 분석하여 가시성을 극대화하고 이상 징후를 정확하게 식별합니다. 이를 통해 폐쇄 루프 AI 모델의 효과를 높이는 동시에 공급업체의 보안 운영 센터(SOC)에 핵심 인사이트를 제공합니다.

8. 솔루션을 배포하고 유지 관리하는 것은 얼마나 어렵나요?

사용자나 관리자가 맞춤형 엔드포인트 소프트웨어를 설치해야 하나요, 아니면 자동으로 보호되나요? 엔드포인트에 별도의 소프트웨어가 설치되지 않는다면 공급업체는 루팅된 모바일 기기를 어떻게 탐지하나요? 최신 보안 도구와 다크 웹의 데이터를 활용한 공격은 어떻게 탐지하나요? API는 어떻게 보호하나요?

귀사의 팀이 JavaScript의 관련 기능 9개 중 5개를 개발하고, 귀사의 솔루션이 다양한 클라우드와 아키텍처 전반에서 실행된다면 큰 도움이 됩니다. 이를 통해 애플리케이션 개발 수명 주기나 고객 경험에 불편을 초래하지 않으면서 가시성과 보안 효과를 극대화하는 맞춤형 보호 기능을 원활하게 배포할 수 있습니다.

9. 공급업체는 어떤 유형의 이상 징후를 탐지하나요?

공격자는 금전적 이득을 최종 목표로 삼아 봇, 자동화 기술, 탈취한 자격 증명을 지속적으로 악용합니다. 기본적인 완화 조치만으로는 충분하지 않습니다. 예를 들어 공격자는 IP 주소를 재사용하지만, 평균 재사용 횟수는 2.2회에 불과합니다. 하루에 한 번 또는 일주일에 한 번만 사용하는 경우도 많습니다! 따라서 IP 차단은 대부분 효과가 없습니다.

자동화 도구는 속도 제한을 우회하는 맞춤형 공격을 구성할 수 있으며, CAPTCHA 해제 도구와 웹 스택 에뮬레이션은 헤더 및 환경 검사를 속일 수 있습니다. 또한 스크립트로 제어 가능한 일반 사용자용 브라우저와 지문 방지 도구는 핑거프린팅은 물론 행동 분석까지 무력화할 수 있습니다. 그야말로 군비 경쟁입니다.

공격자는 일반적으로 다음 네 가지 측면에 투자합니다:

• 네트워크 트래픽 스푸핑
• 다양한 정상 기기 및 브라우저 에뮬레이션
• 도용된 자격 증명, 개인 식별 정보(PII), 합성 신원 사용
• 실제 사람의 행동을 모방하고 그대로 나타내기

IP 주소 외에도 100가지가 넘는 클라이언트 신호가 있습니다. 우수한 서비스는 IP 차단, 서명 및 핑거프린팅에 의존하는 대신 다양한 신호와 AI를 활용하여 실행 가능한 인사이트를 제공하고, 복사 및 붙여넣기 활동, 화면 전환, 비정상적인 화면 영역 사용, 기기 친화성, 환경 스푸핑, 신원 익명화 시도 등 사기를 나타내는 비정상적인 행동을 탐지합니다.

공급업체는 어떤 종류의 정보와 원격 측정 데이터를 수집할 수 있나요?

10. 공급업체는 얼마나 신속하게 변경할 수 있나요?

공격자가 현재의 대응책을 우회하기 위해 수법을 바꿀 경우, 공급업체는 얼마나 신속하게 대응 방식을 조정할 수 있습니까? 몇 시간 내에 가능합니까, 아니면 며칠이 걸립니까? 정교하고 지속적인 공격자가 있어 여러 대응책을 마련하거나 SOC와 협의해야 하는 경우, 공급업체가 추가 비용을 청구합니까?

어떤 공급업체를 선택하든 기본적으로 확인해야 할 다른 질문들도 있습니다. 예를 들면 배포 모델(클라우드 옵션이 있는가?)과 비용 모델(정상 트래픽 기준인가, 시간당 과금인가?) 같은 것들입니다. 물론 각 공급업체의 서비스 수준 협약(SLA)도 비교해야 합니다. 하지만 이런 질문들은 어차피 하실 생각이었겠죠?

물론 F5가 최고의 애플리케이션 보안 공급업체인 만큼 이 글에는 다소 편향된 시각이 담겨 있습니다. 하지만 저희와 상담한 후 F5를 선택한 수백 곳의 고객을 생각해 보십시오. 다음은 바로 그들이 물었던 질문이며, 최종적으로 다른 봇 완화 공급업체를 선택하더라도 이 질문들이 도움이 되기를 바랍니다. 공격자는 클라우드, 아키텍처, CDN 또는 보안 및 사기 방지 팀의 조직도에 따라 대상을 가리지 않기 때문입니다. 돈은 애플리케이션 뒤에 있으며, 범죄자들이 공격하는 곳도 바로 그곳입니다.

다음 단계

금융 기관, 소매업체, 항공사, 호텔 체인 등 세계에서 가장 가치 있는 브랜드들은 이미 F5 봇 완화 솔루션을 사용하여 자사의 앱과 고객, 비즈니스를 보호하고 있습니다.

F5는 다른 공급업체보다 더 많은 봇과 자동화된 활동을 일관되게 차단합니다. 이를 통해 사기와 운영 복잡성을 줄이는 동시에 매출을 증대하고 고객 경험을 개선합니다.

문의해 주세요직접 확인해 보고 싶으시다면.

이 게시물의 일부는 F5의 현재 제품 및 서비스에 맞게 업데이트된 기존 게시 콘텐츠를 바탕으로 작성되었습니다.

작성자 소개

Byron McNaught수석 솔루션 마케팅 매니저 | F5

Byron McNaught의 다른 블로그 게시물