보안 전문가로서 봇 완화 문제를 해결했다고 생각한다면, 다시 한번 생각해 보십시오.
봇은 막대한 재정적 피해를 초래합니다. 크리덴셜 스터핑 봇은 계정 탈취로 이어지고, 무단 재판매 봇은 제품 출시와 기간 한정 프로모션을 망치며, 스크레이퍼 봇은 성능을 저하시키고 인프라 비용을 증가시킵니다. 또한 기프트 카드 크래킹 봇은 잔액을 소진해 고객의 분노를 유발합니다. 피해 규모가 클 뿐만 아니라 이러한 공격은 범죄자에게 막대한 수익을 안겨 주기 때문에 온라인 비즈니스가 공격받을 가능성은 거의 100%에 달합니다. 영향과 발생 가능성이 모두 높은 만큼 효과적인 보안 전략이 반드시 필요합니다. 하지만 최근 보도에서 알 수 있듯이 공격자들은 널리 사용되는 봇 방어 체계를 우회하는 방법을 계속 개발하고 있습니다. 따라서 지금이야말로 현재 적용 중인 봇 대응책을 재검토해야 할 때입니다.
2023년 1월 24일, Ticketmaster의 모회사 Live Nation의 사장인 Joe Berchtold는 미 상원 법사위원회에서 증언하며 Taylor Swift의 예정된 투어 티켓 판매를 제대로 처리하지 못한 원인이 재판매 봇에 있었다고 밝혔습니다. Berchtold는 상원의원들에게 “이로 인해 끔찍한 고객 경험이 발생했으며, 이에 대해 깊이 유감스럽게 생각합니다”라고 말했습니다.
또한 2023년 1월, CNET은 보도했습니다 Norton 비밀번호 관리자를 사용하는 수천 명이 권한이 없는 제3자가 볼트에 저장된 비밀번호와 개인 정보에 접근했을 가능성이 있다는 통지를 받았다고 말입니다. Norton의 모회사인 Gen Digital은 IDS(침입 탐지 시스템)가 비정상적으로 많은 로그인 실패를 감지하면서 발견한 봇 기반 크리덴셜 스터핑 공격이 이번 보안 사고의 원인이라고 밝혔습니다.
Ticketmaster는 봇을 완화하기 위해 투자했으며 Gen Digital 역시 보호 조치를 마련해 두었을 것으로 추정할 수 있습니다. 하지만 봇은 여전히 보안 피해를 일으켜 가용성과 기밀성에 영향을 미쳤을 뿐만 아니라 수많은 부정적인 보도를 초래했습니다. 여기서 한 가지 분명한 의문이 제기됩니다. 안티봇 솔루션이 수년 전부터 제공되어 왔는데도, 왜 그토록 많은 봇 방어 체계가 악성 봇을 제대로 완화하지 못하는 것일까요?
여전히 CAPTCHA에 의존하는 조직이라면 답은 명확합니다. CAPTCHA는 실제 고객에게 불편을 주고 전자상거래 전환율을 떨어뜨릴 뿐, 제대로 작동하지 않습니다. 웹에서 CAPTCHA 해결 서비스를 검색해 보면 가격과 속도를 내세워 경쟁하는 업체를 적어도 열두 곳은 찾을 수 있습니다. 한 오픈 소스 라이브러리의 개발자는 CAPTCHA를 아주 손쉽게 우회할 수 있도록 하는 것을 자신의 사명으로 삼았습니다:
“현재 형태의 CAPTCHA는 실패했습니다. 로봇보다 사람에게 훨씬 더 큰 장애물이자 골칫거리이므로 아무 쓸모가 없습니다. 이 논의에 대한 저의 무정부주의적 기여는 단 한 줄의 코드만으로 어떤 사이트에서든 reCAPTCHA를 우회할 수 있는 로봇용 플러그인을 통해 이러한 부조리를 입증하는 것입니다.”
봇을 차단하기 위해 WAF 기반 IP 차단 목록에 의존하는 조직도 상황이 절망적이기는 마찬가지입니다. 봇 탐지를 우회할 목적으로 봇 제작자에게 수천만 개의 가정용 IP 주소를 제공하는 서비스가 있습니다. 이러한 서비스는 순환형 가정용 프록시로 홍보됩니다. 많은 기업용 브라우저가 포워드 프록시를 통해 요청을 보내는 것처럼 봇이 프록시에 http 요청을 보내면, 서비스는 웹사이트나 API에 요청을 전송하는 데 사용되는 공인 IP 주소를 지속적으로 변경합니다. 과거에는 봇이 주로 클라우드 서비스 등에서 제공하는 데이터 센터 프록시를 사용했는데, 이러한 프록시는 널리 알려져 있어 쉽게 식별할 수 있었습니다. 하지만 새로운 프록시 서비스는 고객과 동일한 지역의 가정용 IP 주소를 사용합니다. ISP의 NAT로 인해 각 IP 주소가 봇과 정상 고객을 동시에 나타낼 수 있으므로, 실제 고객까지 차단하지 않고 이 모든 IP 주소를 차단하는 것은 현실적으로 불가능합니다.
한 걸음 더 나아가, ZenRows, ScrapFly, 및 ScrapingBee와 같은 새로운 상용 서비스는 API를 호출하는 것만큼이나 쉽게 웹 스크래핑을 할 수 있게 해줍니다. 이러한 서비스는 사용자를 대신해 봇 방어 체계를 우회하는 모든 작업을 책임집니다. 이들 API 기반 서비스는 미국과 유럽연합에서 합법인 스크래핑에만 주력하지만, 범죄자들은 다크 웹에서 크리덴셜 스터핑과 같은 더욱 악의적인 봇 공격을 수행하는 유사한 서비스를 이용할 수 있습니다.
상용 서비스 외에도 여러 오픈 소스 프로젝트가 봇 탐지 우회 문제를 다루고 있습니다. 널리 사용되는 node.js 자동화 및 테스트 도구인 Puppeteer용 스텔스 플러그인을 사용하면 Puppeteer가 탐지를 우회할 수 있습니다. 활발히 활동하는 개발자 그룹이 GitHub에서 이 프로젝트를 유지 관리하며, 봇 방어 시스템이 이를 탐지하는 것으로 알려질 때마다 업데이트를 배포합니다. 문서에는 “이 쫓고 쫓기는 경쟁은 아직 초기 단계이고 빠르게 전개되고 있으므로, 신속한 테스트와 반복 작업을 지원할 수 있도록 플러그인을 최대한 유연하게 유지하고 있습니다.”라고 설명되어 있습니다. 이와 유사한 라이브러리인 undetected-chromedriver는 Python 개발자를 위한 것입니다. 오픈 소스 정신에 따라 이러한 프로젝트는 개발자가 앱을 대상으로 자동화를 실행할 수 있도록 웹을 개방된 공간으로 유지하는 것을 목적으로 합니다. 하지만 안타깝게도 범죄자들이 이 기능을 악용하기 쉽습니다.
오픈 소스 프로젝트와 상용 서비스를 만드는 조직이 늘어나면서 봇 방어 우회에 관여하는 개발자들은 정보를 습득하고 공유합니다. 이러한 안내 자료는 탐지 도구의 JavaScript 난독화를 해제하고, 해당 도구가 탐지 서비스로 전송할 데이터를 패키징하는 방식을 파악하는 과정을 단계별로 설명합니다. 개발자들은 클라이언트 측 코드를 리버스 엔지니어링하여 탐지 도구의 작동 방식을 알아냅니다. 예를 들어 ZenRows의 한 개발자는 창 크기와 봇 탐지 서비스가 불일치를 포착하는 방식에 관해 알게 된 내용을 공유합니다:
“센서 데이터 예시 이미지를 보면 창 크기 정보가 전송되는 것을 확인할 수 있습니다. 실제 화면 크기, 사용 가능한 크기, 내부 크기, 외부 크기 등 대부분의 데이터 포인트는 서로 연관되어 있습니다. 예를 들어 내부 크기는 외부 크기보다 클 수 없습니다. 여기서는 임의의 값을 사용하면 안 됩니다. 실제 크기 값으로 구성된 데이터 세트가 필요합니다.”
위협의 심각성을 고려하면 이제 봇 완화 대응책을 재평가해야 할 때입니다. 봇 탐지 효과 분야의 선두 주자인 F5가 도와드리겠습니다. 현재 봇 완화 조치의 실제 효과와 놓치고 있는 봇, 그리고 이로 인해 비즈니스에 발생하는 비용을 파악하고 싶다면 F5에서 무료 위협 평가 및 봇이 비즈니스에 미치는 영향에 대한 상담을 제공합니다.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.