위협 환경이 진화함에 따라 보안 통제와 대응책도 함께 발전해야 합니다. 데이터 손실이나 유출을 초래하는 가장 지능적인 경계 보안 위협은 애플리케이션 계층에서 발생하므로, 대부분의 차세대 방화벽(NGFW)과 침입 방지 시스템(IPS)의 효과가 크게 떨어집니다. 특히 대규모 환경에서는 대부분의 통신이 NGFW나 IPS에서 제대로 지원되지 않는 암호화된 데이터 채널로 이동하고 있어 이러한 문제가 더욱 심화됩니다. 웹 애플리케이션 방화벽(WAF)은 SSL/TLS를 완전히 복호화하여 애플리케이션 계층에서 각 HTTP 요청을 분석하도록 특별히 설계되었습니다.
최근 몇 년간 대부분의 WAF 기술은 관련 NGFW 및 IPS 기술과 마찬가지로 수동형 필터 기반 탐지 시스템에 머물러 큰 변화가 없었습니다. WAF 시스템은 프로토콜 준수 여부(요청이 올바른 형식인지 확인)와 시그니처 비교(알려진 악성 콘텐츠가 없는지 확인)를 적용하여 잠재적인 공격을 필터링하고 차단합니다. 또한 세션 및 사용자 인식 기능을 추가해 하이재킹과 무차별 대입 공격에 대응하고, IP 평판 피드를 활용하여 봇넷, 익명화 서비스 및 기타 위협과 같이 악성으로 알려진 출처를 걸러냅니다. 하지만 이러한 기술은 여전히 대부분 데이터 센터 경계에서 작동하는 수동형 기술이며, 클라이언트를 검사하는 기능은 매우 제한적입니다.
현재의 위협 환경에 대해 우리가 알고 있는 몇 가지 사실은 다음과 같습니다:
- 대부분의 위협은 자동화되어 있습니다. 공격자는 취약점 검색을 자동화합니다. 또한 암시장에서 재판매할 티켓이나 운동화를 구매하는 등 자원을 선점하는 행위도 자동화합니다. 분산 서비스 거부(DDoS) 공격은 완전히 자동화되어, 이제 흔해진 1Tbps 이상의 공격 트래픽을 발생시킬 수 있습니다. 자동화된 트래픽은 정상 트래픽을 모방해 탐지를 피하도록 설계되는 경우가 많기 때문에 탐지하기 어렵습니다. 이러한 자동화를 탐지하기 위해 CAPTCHA와 같은 기술이 사용되어 왔지만, 이런 인증 방식은 시간이 지날수록 효과가 떨어지고 정상 사용자의 이용 경험에도 악영향을 미칩니다.
- 크리덴셜 스터핑은 이전의 데이터 유출로 알려진 수십억 개의 사용자 이름과 비밀번호 조합을 악용하는 특정 유형의 자동화 공격입니다. 최근 위협 보고서에 따르면 도난당한 자격 증명을 사용하는 공격은 2017년에 가장 빈번하게 발생한 애플리케이션 공격 유형이었습니다. 이러한 공격은 일반 인터넷 사용자가 흔히 비밀번호를 재사용한다는 점을 노립니다. 크리덴셜 스터핑은 요청이 정상적으로 보일 뿐만 아니라 무차별 대입 공격으로 탐지되는 것을 피하기 위해 의도적으로 “느리고 드문드문” 이루어지는 경우가 많아 특히 탐지하기 어렵습니다.
- 멀웨어는 광범위하게 퍼져 있으며, 브라우저와 해당 브라우저를 사용하는 사용자의 취약점을 악용하는 데 사용됩니다. 멀웨어는 이메일 첨부 파일부터 소셜 미디어와 광고의 악성 링크에 이르기까지 다양한 방식으로 유포됩니다. 이렇게 감염된 시스템은 다른 웹사이트를 대상으로 DDoS 공격, 데이터 탈취, 리소스 독점을 수행하는 데 사용됩니다. 클라이언트 시스템을 숙련된 IT 정보 보안 팀이 관리하지 않는 한, 사용할 수 있는 탐지 및 완화 방법은 제한적입니다.
- DDoS 공격은 단순히 트래픽 양에만 의존하는 것이 아닙니다. 많은 공격은 애플리케이션 스택, 애플리케이션 서버, 미들웨어 또는 백엔드 데이터베이스의 특정 지점에서 리소스 고갈을 유발하도록 설계됩니다. 이러한 트래픽은 대부분의 표준 입력 유효성 검사를 통과하므로 이런 상황을 탐지하기가 어려울 수 있습니다.
간단히 말해, 이러한 공격은 대개 어떤 식으로도 비정상적으로 보이지 않기 때문에 사실상 모든 기존 WAF 탐지 메커니즘을 우회합니다. 케이블 모뎀, IoT 기기, 퍼블릭 클라우드 서버 인스턴스 등 손쉽게 침해할 수 있는 대상이 거의 무한히 존재하므로 IP 주소 평판 피드의 효과는 제한적입니다. 소스 주소 정보가 너무 빠르게 변경되기 때문에 크라우드소싱 피드조차 이러한 공격 벡터에서 흔히 나타나는 수준의 자동화에 효과적으로 대응하기 어렵습니다. 이러한 위협에 맞서려면 더욱 고도화된 웹 애플리케이션 방화벽이 반드시 필요합니다.
다행인 점은 Advanced WAF 기술이 이미 출시되어 한동안 제공되어 왔다는 것입니다. F5는 2009년에 Web Scraping 보호 기능을 도입하면서 온라인 소매업체의 가격 데이터를 수집하려는 봇을 CAPTCHA 없이 탐지하는 기술을 거의 10년 전에 선보였습니다. F5는 이 기술을 지속적으로 발전시키고 확장하여 2015년에 현재 Proactive Bot Defense로 알려진 기능을 도입했습니다. Proactive Bot Defense(PBD)는 요청 클라이언트를 검사하여 정상적인 브라우저를 사용하는 실제 사용자가 있는지 확인합니다. 이는 알려진 봇넷을 IP 주소로 차단하는 방식보다 훨씬 효과적인 솔루션입니다.
새로운 F5 Advanced WAF 제품을 통해 F5는 시장을 선도하는 WAF 기술을 확장하여 애플리케이션 보안 환경에서 진화하는 위협에 대응하는 데 필요한 기능을 제공합니다. Advanced WAF에는 다음 기능이 포함됩니다:
- 선제적 봇 방어. 최첨단 핑거프린팅 및 챌린지/응답 기법을 기타 행동 분석과 함께 활용하는 PBD는 세션 수준에서 자동화된 위협을 탐지하고 차단합니다.
- 레이어 7 행동 기반 DoS 탐지 및 방어. Advanced WAF는 트래픽을 동적으로 프로파일링하고 비정상적인 트래픽 패턴의 시그니처를 생성하여 레이어 7 DoS 공격이 애플리케이션에 영향을 미치기 전에 차단합니다.
- DataSafe 자격 증명 보호. DataSafe는 일반적으로 맬웨어로 인해 발생하는 브라우저 내 중간자 공격을 방지하기 위해 페이지 콘텐츠를 동적으로 암호화합니다. 또한 사용자가 브라우저에서 자격 증명을 입력할 때 이를 동적으로 암호화하여 사용자를 보호합니다.
- Anti-Bot Mobile SDK 통합. Proactive Bot Defense에서 사용하는 기술은 정상적인 브라우저를 식별합니다. 모바일 앱에는 브라우저가 없습니다. Anti-Bot Mobile SDK를 사용하면 조직은 모바일 API 엔드포인트에서도 고급 기술로 봇에 대응할 수 있습니다.
F5 Advanced WAF는 현재 시장에서 제공되는 가장 진보된 애플리케이션 보안 기능을 지원하는 전용 보안 플랫폼입니다. F5는 가장 정교한 공격까지도 완화할 수 있는 최첨단 애플리케이션 보안 솔루션을 제공하기 위해 최선을 다하고 있습니다. 앞으로 Advanced WAF 플랫폼이 더욱 발전해 나갈 모습을 기대해 주십시오.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.