봇 보안은 악성 봇으로부터 시스템을 보호하고 온라인 리소스의 무결성과 가용성을 보장하는 동시에, 온라인 상거래를 지원하거나 Alexa 또는 Siri와 같은 개인 비서 역할을 하거나 웹사이트에서 고객 서비스를 자동화하는 챗봇처럼 유용한 봇에는 영향을 주지 않도록 하는 보안 활동입니다.
봇 보안이란 무엇인가요?
악성 봇으로 인한 위협
악성 봇은 데이터를 침해하고 서비스를 방해하며 다양한 방식으로 기업에 피해를 입혀 디지털 생태계에 심각한 위협을 초래합니다.
봇은 시스템에 침투해 개인 데이터, 금융 기록 또는 지적 재산과 같은 민감한 정보를 빼내도록 프로그래밍될 수 있습니다. 봇은 자격 증명 기반 공격에 사용되는 주요 디지털 도구입니다. 또한 봇은 데이터베이스나 스토리지 시스템 내의 데이터를 조작하거나 변경하여 금전적 손실이나 부정확한 기록을 초래할 수 있습니다.
봇은 온라인 서비스와 시스템을 방해하는 데에도 사용됩니다. 범죄자는 서로 연결된 여러 기기에서 대량의 봇을 동원해 웹사이트, 서버 또는 네트워크에 분산 서비스 거부(DDoS) 공격을 가함으로써 정상적인 사용자가 해당 서비스를 이용하지 못하게 할 수 있습니다.
봇 활동은 기업의 재무적 성과에도 심각한 피해를 줄 수 있습니다 브랜드 평판을 훼손하고, 재고를 조작하며, 금융 사기로 이어질 수 있는 계정 탈취(ATO)를 가능하게 하기 때문입니다.
사이버 보안에서의 봇 유형
사이버 보안의 맥락에서 봇은 크게 악성 봇과 방어용 봇의 두 가지 유형으로 나뉩니다.
악성 봇
사이버 범죄자는 악성 봇을 프로그래밍하여 웹 자산과 애플리케이션 전반의 공격 표면을 악용하는 다양하고 창의적이며 복잡하고 은밀한 공격을 감행합니다. 사람의 개입 없이 작동하도록 설계된 이러한 봇은 멀웨어 유포, DDoS 공격 실행, 민감한 정보 탈취, 사기 행위 등의 작업을 수행하는 경우가 많습니다. 악성 봇은 네트워크에 침투하고 데이터 무결성을 훼손하며 서비스를 중단시켜 심각한 사이버 보안 위협을 초래할 수 있습니다. 이들의 활동은 소프트웨어 취약점 악용부터 소셜 엔지니어링 공격 수행까지 다양하며, 궁극적으로 피해나 금전적 손실을 일으키거나 시스템 및 민감한 정보에 무단으로 액세스하는 것을 목표로 합니다.
방어적 봇 제어
방어형 봇 제어는 다양한 보안 위협과 공격으로부터 컴퓨터 시스템, 네트워크 및 웹 플랫폼을 보호하도록 설계된 자동화 프로그램과 메커니즘을 가리키는 또 다른 용어입니다. 이러한 봇은 다양한 방식으로 작동하여 디지털 자산을 보호하고 정보의 무결성, 기밀성 및 가용성을 보장합니다.
이러한 방어 자동화에는 안티바이러스 봇이 포함되며, 이 봇은 시그니처 기반 탐지, 행동 분석 및 휴리스틱을 사용하여 알려진 멀웨어와 관련된 패턴과 행동을 식별합니다. 방어 봇은 또한 방화벽 보호의 일부로 사용되어 데이터 패킷을 분석하고 사전 정의된 보안 규칙을 적용함으로써 수신 및 발신 네트워크 트래픽을 허용할지 차단할지 결정합니다. 특히 웹 애플리케이션 방화벽(WAF)은 행동 분석 기능을 포함하며, 머신 러닝을 통해 자동화된 보호 기능을 제공하는 정교한 봇 관리 제어 기능과 통합될 수 있습니다.
침입 탐지 및 방지 시스템(IDPS)도 방어 봇을 활용하여 대응을 자동화하고 위협 인텔리전스를 이용함으로써 보안 사고를 선제적으로 식별하고 방지합니다. 예를 들어 특정 IP 주소를 차단하거나, 방화벽 규칙을 수정하거나, 보안 담당자에게 경고를 보냅니다. 또한 방어 봇은 DDoS 공격과 관련된 패턴을 식별하고 서비스 가용성을 유지하기 위한 대응 조치를 시행하여 봇넷 관련 악성 트래픽을 필터링하고 우회시킬 수 있습니다. 이러한 조치에는 공격 출발지의 트래픽을 차단하도록 방화벽 규칙을 동적으로 업데이트하여 악성 봇이 네트워크에 추가로 접근하지 못하게 하는 것이 포함될 수 있습니다.
사이버 보안에서의 봇 활용 사례
봇 공격은 다양한 형태로 발생하며 여러 유형의 조직을 표적으로 삼을 수 있습니다.
- 크리덴셜 스터핑. 가장 흔한 봇 공격 유형 중 하나는 크리덴셜 스터핑이며, 이는 다양한 사기의 주요 수단인 계정 탈취(ATO)로 이어집니다. 이처럼 연이어 발생하는 사이버 범죄는 일반적으로 사용자 이름과 비밀번호 조합으로 이루어진 사용자 인증 정보를 훔치거나 수집하는 것에서 시작됩니다. 이러한 정보는 다양한 사이버 공격 및 사이버 범죄 수법을 통해 탈취되거나 다크 웹 마켓플레이스에서 구매될 수 있습니다. 공격자는 유효한 인증 정보를 충분히 확보하면 대량의 유출된 인증 정보를 다른 사이트의 웹사이트 로그인 양식에 입력해 테스트하는 방식으로, 흔히 대규모 크리덴셜 스터핑을 시작합니다. 소비자의 약 3분의 2가 여러 웹사이트에서 동일한 사용자 이름과 비밀번호를 재사용하기 때문에 사이버 범죄자와 자동화된 봇 군단은 유출된 인증 정보를 손쉽게 악용할 수 있습니다. 즉, 유출된 인증 정보 중 상당수가 다른 사이트의 계정에 접근하는 데도 사용될 수 있습니다. 공격자는 계정을 탈취한 후 인증 정보를 변경해 합법적인 계정 소유자의 접근을 차단하고, 자산을 빼돌리며, 해당 계정을 이용해 추가 사기 행위를 저지를 수 있습니다.
- 콘텐츠 스크래핑. 콘텐츠 스크래핑에 봇을 사용하면 긍정적인 영향과 부정적인 영향이 모두 발생할 수 있습니다. 콘텐츠 스크래핑은 자동화된 봇을 이용해 대상 웹사이트에서 대량의 콘텐츠를 수집한 후, 해당 데이터를 분석하거나 다른 곳에서 재사용하는 방식입니다. 콘텐츠 수집은 가격 최적화 및 시장 조사와 같은 유익한 목적으로 활용될 수 있지만, 가격 조작이나 저작권이 있는 콘텐츠의 도용 등 악의적인 목적으로 사용될 수도 있습니다. 또한 콘텐츠 스크래핑 활동이 과도하면 사이트 성능에 영향을 미치고 정상적인 사용자의 사이트 접근을 방해할 수 있습니다.
- DDoS 공격. DDoS 공격은 사이트 성능 저하를 목적으로 하며, 범죄자는 여러 출처의 수많은 봇이나 공격자가 제어하는 감염된 컴퓨터 또는 기기의 네트워크인 봇넷을 동원합니다. 공격자는 이러한 여러 출처를 조율하여 표적을 동시에 공격함으로써 시스템을 과부하 상태로 만들고 사용할 수 없게 합니다. DDoS 공격은 온라인 서비스의 가용성과 무결성을 훼손하고 심각한 장애를 일으킬 수 있으며, 금전적 손실, 갈취, 평판 훼손 등 중대한 결과를 초래할 수 있습니다.
- 재고 사재기. 구매 봇이라고도 하는 리셀러 봇은 온라인 상품이나 서비스가 판매되기 시작하는 즉시 대량으로 구매하도록 배포됩니다. 범죄자는 결제 절차를 순식간에 완료해 가치 있는 재고를 대량으로 확보한 뒤, 일반적으로 2차 시장에서 상당한 웃돈을 붙여 되팝니다. 이러한 봇을 통해 범죄자는 재고나 가격을 통제할 수 있으며, 이는 인위적인 품귀 현상과 재고 구매 기회 박탈, 소비자 불만으로 이어집니다.
- 가짜 계정 생성. 사이버 범죄자는 봇을 사용해 계정 생성 절차를 자동화하고, 가짜 계정으로 제품 리뷰 조작, 허위 정보 유포, 멀웨어 확산, 인센티브 또는 할인 프로그램 악용, 스팸 생성 및 발송 등의 사기 행위를 저지릅니다. 이와 마찬가지로 범죄자는 봇이 신용카드나 대출을 신청하도록 프로그래밍하여 금융 기관을 상대로 사기를 벌일 수 있습니다.
- 기프트 카드 크래킹. 공격자는 봇을 배포하여 수백만 가지 기프트 카드 번호 조합을 확인하고 잔액이 있는 카드 번호를 찾아냅니다. 공격자는 잔액이 남아 있는 카드 번호를 찾아내면 정당한 고객이 사용하기도 전에 해당 기프트 카드를 사용하거나 판매합니다. 여행 및 숙박업계의 로열티 프로그램도 이러한 봇 기반 공격의 표적이 됩니다.
봇 공격의 작동 방식
봇 공격은 조직의 네트워크에 심각한 악영향을 미치고 비즈니스 운영에 막대한 피해를 줄 수 있습니다.
데이터 도난은 봇 공격으로 인해 발생할 수 있는 가장 심각한 결과 중 하나입니다. 봇은 웹사이트, 데이터베이스 또는 API에서 데이터를 체계적으로 수집하도록 프로그래밍될 수 있기 때문입니다. 이러한 데이터에는 지식 재산, 영업 비밀 또는 기타 독점 정보가 포함될 수 있으며, 이로 인해 경쟁 우위를 잃거나 브랜드 평판이 훼손될 수 있습니다. 고객 정보 도난은 데이터 보호 규정 준수를 위태롭게 하고 벌금이나 법적 처벌로 이어질 수도 있습니다.
봇 공격은 서비스를 중단시켜 조직에 막대한 피해를 입히고, 재정적 손실과 고객 신뢰 훼손을 초래할 수 있습니다. 적절히 완화되지 않은 봇 기반 공격의 심각한 결과 중 하나는 DDoS 공격입니다. 이는 범죄자가 봇넷을 동원해 네트워크 리소스에 과부하를 일으키고 서비스를 중단시키는 공격입니다.
크리덴셜 스터핑 및 계정 탈취 공격으로 인해 서비스가 중단될 수도 있습니다. 이러한 공격이 발생하면 정상적인 고객이 자신의 계정에 로그인하지 못해 거래를 할 수 없게 됩니다. 고객이 계정에 액세스할 수 없을 뿐만 아니라, 탈취된 계정을 장악한 범죄자가 이를 이용해 부정 거래를 저지를 수도 있습니다.
보안 봇 설정 방법
악성 봇 공격으로부터 보호하기 위한 보안 봇 방어 체계를 구축하려면 몇 가지 핵심 단계를 거쳐야 합니다.
1. 봇 트래픽 식별
시스템과 업계에 특화된 잠재적 봇 위협을 식별하기 위해 철저한 분석을 수행하세요. IP 분석과 같은 기법을 사용하여 출발지 IP 주소를 기준으로 유입 트래픽의 특성을 조사하세요. 이를 통해 알려진 악성 IP 주소 또는 의심스러운 행동과 관련된 패턴을 식별하고, 봇 트래픽과 정상적인 사용자 활동을 구분할 수 있습니다. 봇 활동과 관련된 것으로 알려진 악성 IP 주소의 차단 목록을 관리하세요.
IP 주소의 지리적 위치를 분석하여 이상 징후를 탐지하세요. 평소와 다른 지역에서 트래픽이 갑자기 유입되면 봇넷의 징후일 수 있습니다. 또한 공격자는 탐지를 피하기 위해 캠페인에 사용할 분산 인프라를 구축할 때 여러 자율 시스템 번호(ASN)를 이용하는 것으로 알려져 있습니다. 사용자 에이전트 분석을 통해 사용자 에이전트 서명을 조사하여 요청을 보내는 클라이언트 유형을 식별하세요. 봇은 일반적인 패턴에서 벗어난 범용 또는 변조된 사용자 에이전트를 사용하는 경우가 많으므로 실제 사용자와 구별할 수 있습니다.
2. 행동 분석 수행
행동 분석을 사용하여 유입 트래픽을 평가하고 봇 활동을 나타낼 수 있는 패턴이나 이상 징후를 식별하세요. 이 방법은 사람의 행동을 모방하려는 정교한 봇을 탐지하는 데 특히 효과적입니다. 봇은 정상 사용자보다 세션이 짧고 변화가 적은 경우가 많으며, 웹사이트나 애플리케이션과 상호 작용할 때 반복적이거나 지나치게 빠르거나 사람답지 않은 패턴을 보일 수 있으므로 사용자 세션의 지속 시간과 흐름을 살펴보세요. 일부 고급 행동 분석 메커니즘은 마우스 움직임과 클릭을 추적하여 사람과 자동화된 상호 작용을 구분합니다.
3. 웹 애플리케이션 방화벽(WAF) 설정
WAF는 웹 애플리케이션과 인터넷 사이에서 보호 장벽 역할을 하여 다양한 사이버 위협으로부터 데이터와 웹 애플리케이션을 보호하고, 승인되지 않은 데이터가 앱 외부로 유출되는 것을 방지합니다. WAF에는 악성 봇 트래픽을 탐지하고 완화하여 웹 스크래핑, 크리덴셜 스터핑, 자동화 공격과 같은 악의적인 활동을 방지하는 기능이 포함되어 있습니다. 또한 정해진 시간 내에 특정 IP 주소에서 보낼 수 있는 요청 수를 제한하는 속도 제한 및 스로틀링 메커니즘이 포함되어 있어 DDoS 공격의 영향을 완화하는 데 도움이 됩니다. 이 밖에도 WAF는 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 크로스 사이트 요청 위조(CSRF)를 비롯한 기타 악성 및 자동화 공격으로부터 웹 애플리케이션과 시스템을 보호할 수 있습니다.
WAF는 여러 방식으로 배포할 수 있습니다. 애플리케이션이 배포된 위치, 필요한 서비스, 원하는 관리 방식, 요구되는 아키텍처 유연성 및 성능 수준에 따라 달라집니다. 또한 WAF는 공격자가 악성 캠페인의 전략을 어떻게 전환하더라도 효과와 복원력을 유지하는 전문 봇 관리 제어 기능과 통합할 수 있습니다. 귀사에 적합한 WAF와 배포 모드를 선택하는 데 도움이 되는 가이드를 확인해 보세요.
4. 전문 봇 관리 솔루션 배포
보안은 공격자의 도구, 기법 또는 의도와 관계없이 대응책을 우회하려는 공격자의 전술 변경에 적응해야 하며, 로그인 요청, CAPTCHA, MFA로 사용자에게 불편을 주어서는 안 됩니다. 여기에는 웹 애플리케이션, 모바일 애플리케이션 및 API 인터페이스를 위한 옴니채널 보호, 실시간 위협 인텔리전스, AI 기반의 사후 분석이 포함됩니다.
클라우드와 아키텍처 전반에 대한 가시성, 지속적이고 난독화된 텔레메트리, 공동 방어 네트워크, 고도로 훈련된 머신 러닝 모델을 결합하여 봇, 자동화된 공격 및 사기를 탐지하고 차단하는 데 있어 탁월한 정확성을 제공합니다. 이를 통해 공격자가 대응책을 우회하기 위해 도구와 수법을 바꾸고 적응하더라도 완화 조치의 효과를 온전히 유지하여, 실제 고객에게 불편을 주지 않으면서 가장 지능적인 사이버 범죄자와 국가 배후 공격자까지도 차단할 수 있습니다.
봇 보안 모범 사례
다음은 효과적인 봇 보안을 유지하기 위한 모범 사례 지침입니다.
- 봇 트래픽을 선제적으로 모니터링하고 위협에 신속하게 대응하세요. 정기적인 모니터링을 통해 조직은 웹 트래픽의 정상적인 동작에 대한 기준선을 설정할 수 있습니다. 그러면 패턴의 편차나 이상 징후를 조기에 감지하여 잠재적인 봇 활동을 파악할 수 있습니다. 조기에 감지하면 봇이 심각한 피해를 일으키기 전에 신속하게 대응할 수 있습니다. 또한 새로운 봇 공격 기법이 지속적으로 등장하면서 위협 환경도 끊임없이 진화하고 있습니다. 정기적인 모니터링을 통해 보안 팀은 최신 동향을 파악하고 새로운 위협이 발생하는 즉시 식별할 수 있습니다. 실시간 인텔리전스와 사람이 지원하는 AI를 활용한 회고적 분석을 결합하면 방어자는 대응책을 조정하고 공격자의 공격 수단 재정비를 저지하여 공격자를 무력화할 수 있습니다.
- 의심스러운 봇 활동에 대한 실시간 알림을 설정하세요. 로깅 및 알림 시스템을 사용하여 의심스러운 행동을 즉시 통지받으세요. 로그를 정기적으로 검토하여 패턴과 잠재적인 보안 사고를 파악하세요. 봇 관련 공격이 발생했을 때 취해야 할 조치를 명시한 종합적인 사고 대응 계획을 수립하세요. 많은 공급업체가 조직의 위험 분석과 필요한 보호 조치 적용을 지원하기 위해 지속적인 모니터링과 정기적인 위협 브리핑을 제공합니다.
- 보안 패치를 체계적으로 적용하는 절차를 마련하세요. 보안 패치와 시스템 업데이트를 신속하게 적용하면 알려진 취약점을 노리는 악성 봇의 공격에 악용될 위험을 줄일 수 있습니다. 또한 시스템을 정기적으로 패치하면 공격 표면이 축소되고 봇이 공개되지 않은 취약점을 악용하기가 더 어려워져 제로데이 공격에 대한 방어력이 강화됩니다. 많은 봇은 소프트웨어 취약점이나 결함을 악용하기보다는 시스템에 내재된 취약점을 노리고 로그인, 계정 생성, 비밀번호 재설정 기능과 같은 핵심 비즈니스 로직을 악용한다는 점에 유의해야 합니다.
F5가 지원하는 방법
악성 봇 공격이 갈수록 더 정교하고 악의적이며 위험해짐에 따라, 봇 보안 역시 사이버 범죄자와 보안 팀 간에 끊임없이 확대되는 군비 경쟁에서 한발 앞서 나가고 복원력을 유지하기 위해 지속적으로 발전하고 있습니다. 이는 위협과 그에 대한 완화 조치가 결코 진화를 멈추지 않을 것이라는 인식을 바탕으로 합니다.
봇 위협을 완화하는 가장 효과적인 방법은 계층화된 보안 접근 방식을 도입하여 변화하는 공격 벡터를 관리하고, 취약점과 위협이 실제 공격으로 이어지기 전에 이를 식별하고 해결하는 것입니다. 봇의 영향에 대응할 수 있도록 조직을 선제적으로 준비하면 자동화된 공격으로부터 지적 재산, 고객 데이터 및 핵심 서비스를 보호하는 데 도움이 됩니다.
F5 Distributed Cloud Bot Defense는 웹 애플리케이션, 모바일 애플리케이션 및 API 인터페이스를 위한 옴니채널 보호를 비롯해 실시간 모니터링과 인텔리전스를 제공하여 자동화된 공격으로부터 조직을 보호합니다. Distributed Cloud Bot Defense는 실시간 위협 인텔리전스, AI 기반의 회고적 분석, 보안 운영 센터(SOC)의 지속적인 모니터링을 활용하여 가장 지능적인 사이버 공격도 차단할 수 있는 복원력 높은 봇 완화 기능을 제공합니다. 공격자가 웹 앱에서 API로 공격 대상을 전환하거나, 텔레메트리를 스푸핑하거나 사람 CAPTCHA 풀이 서비스를 이용해 자동화 방지 체계를 우회하려는 등 공격 수법을 어떻게 바꾸더라도 F5 솔루션은 효과를 유지합니다.
F5는 또한 고급 온라인 보안을 위한 관리형 클라우드 기반 완화 서비스로서 다계층 DDoS 방어를 제공합니다. 이 서비스는 대규모 네트워크, 프로토콜 및 애플리케이션 대상 공격을 실시간으로 탐지하고 완화하며, 동일한 방어 기능을 온프레미스 하드웨어, 소프트웨어 및 하이브리드 솔루션으로도 이용할 수 있습니다. F5 Distributed Cloud DDoS Mitigation은 대규모 트래픽 공격과 애플리케이션별 레이어 3~4 공격 및 고도화된 레이어 7 공격이 네트워크 인프라와 애플리케이션에 도달하기 전에 차단합니다.
