OWASP 웹 애플리케이션 자동화 위협

자동화된 위협이란 사람이 웹 애플리케이션을 직접 조작하는 대신 봇, 스크립트 또는 해커 툴킷을 이용해 수행하는 악의적인 공격을 의미합니다. 이러한 위협은 웹 애플리케이션과 API에 내재된 취약점을 악용하여 보안 침해, 데이터 탈취, 계정 탈취, 사기 및 기타 유해한 결과를 초래할 수 있습니다.

The goal of the OWASP(Open Worldwide Application Security Project)의 Automated Threats to Web Applications Project의 목표는 웹 애플리케이션이 흔히 직면하는 다양한 자동화 위협을 포괄적이고 표준화된 방식으로 이해할 수 있도록 하는 것입니다. 이러한 자동화 공격은 모바일 앱과 API를 점점 더 많이 표적으로 삼고 있습니다. 이 프로젝트는 웹 애플리케이션을 대상으로 실제로 발생한 자동화 공격에 관한 연구와 분석을 종합하여, 운영자가 이러한 위협을 방어하는 데 도움이 되는 문서를 제공합니다.

자동화된 위협이란 무엇인가요?

자동화된 위협은 사람이 웹 애플리케이션을 직접 조작하는 대신 봇, 스크립트 또는 해커 툴킷을 이용해 수행하는 악의적인 공격을 의미합니다. 이러한 위협은 웹 애플리케이션과 API에 내재된 취약점을 악용하여 보안 침해, 데이터 도난, 계정 탈취, 사기 및 기타 유해한 결과를 초래할 수 있습니다.

애플리케이션에 장바구니가 있는 것 자체는 취약점이 아니지만, 장바구니에 상품을 추가하는 비즈니스 로직이 자동화 도구의 표적이 되어 조작될 수 있으며, 그 결과 재고 사재기가 발생할 수 있습니다.

이 프로젝트는 웹 애플리케이션을 표적으로 삼는 다양한 자동화 위협의 목록 또는 분류 체계를 구축했습니다. 이러한 위협을 식별하고 분류함으로써 개발자, 보안 전문가 및 조직은 자신들이 직면한 위험과 해당 위험이 시스템에 미칠 수 있는 잠재적 영향을 더 깊이 이해할 수 있습니다. 또한 이 프로젝트는 각 자동화 위협에 대해 위험을 완화할 수 있는 효과적인 대응책과 모범 사례를 권장합니다. OWASP는 이러한 위협에 대한 인식을 높여 선제적인 보안 조치를 장려하고 웹 애플리케이션의 전반적인 보안 수준을 향상하는 것을 목표로 합니다.

많은 자동화된 위협이 봇에 의존하므로, 봇 관리와 봇 완화를 구분하는 것이 유용합니다. 봇 관리란 웹 애플리케이션과 상호 작용하는 봇을 처리하는 데 사용되는 전략과 관행을 의미합니다. 봇 관리의 목표는 단순히 봇을 차단하거나 완화하는 데 그치지 않고, 정상적인 봇 트래픽(예: 검색 엔진 크롤러)과 악성 봇을 구분하는 데에도 있습니다. 봇 완화는 특히 악성 봇이 웹 애플리케이션에 미치는 영향을 줄이거나 제거하는 과정에 중점을 둡니다. 여기에는 계정 탈취(ATO) 및 사기로 이어질 수 있는 유해한 행위나 공격을 봇이 성공적으로 수행하지 못하도록 방어 조치를 구현하는 것이 포함됩니다.

OWASP 웹 애플리케이션 자동화 위협 목록

다음은 OWASP 웹 애플리케이션 자동화 위협 프로젝트에서 식별하고 정리한 자동화 위협 목록입니다.

1. 계정 정보 수집. 이러한 공격의 목적은 여러 사이트나 플랫폼에서 사용자 계정 인증 정보를 수집하여 신원 도용, 금융 사기, 민감한 정보에 대한 무단 액세스 등의 악의적인 용도로 사용하는 것입니다. 계정 정보 수집 공격은 다양한 웹 서비스나 애플리케이션에서 사람의 상호작용을 모방하는 자동화된 봇이나 스크립트를 사용해 수행됩니다.
   
2. 계정 생성. 이러한 공격은 악의적인 행위자가 자동화된 스크립트나 봇을 사용하여 플랫폼 또는 웹사이트에 대량의 가짜 사용자 계정을 만드는 방식으로 이루어집니다. 공격자는 이러한 가짜 계정을 이용해 플랫폼에 스팸 콘텐츠, 광고 또는 악성 링크를 대량으로 게시하여 정상적인 사용자에게 불편과 피해를 줄 수 있습니다. 또한 가짜 계정은 웹사이트나 애플리케이션의 여론 및 리뷰/평점을 조작하거나, 실제 사용자 또는 유명 인사를 사칭해 허위 정보를 퍼뜨리거나 평판을 훼손하는 데 사용될 수 있습니다. 이러한 위협은 당사자 사기라고도 하는 신규 계좌 개설 사기로 이어질 수 있으며, 디지털 세계 전반에 광범위한 영향을 미칩니다.
3. 광고 사기. 클릭 사기라고도 하는 이 위협은 클릭이나 노출과 같은 온라인 광고와의 상호작용 횟수를 조작하는 기만적 행위를 말합니다. 이러한 사기 행위는 일반적으로 자동화된 봇이나 스크립트를 통해 이루어지며, 사기범의 수익을 창출하거나 광고 성과 지표를 조작하는 것을 목적으로 합니다.
4. CAPTCHA 무력화. 이 위협은 자동화된 기법을 사용하여 CAPTCHA 인증을 우회하거나 회피하며, 웹 애플리케이션 보안에 중대한 우려를 초래합니다. 악의적인 행위자가 봇을 차단하는 일반적인 방어 수단을 우회할 수 있기 때문입니다. CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart)는 인간 사용자와 자동화된 봇 또는 스크립트를 구분하는 데 사용되는 보안 통제 수단입니다. 공격자는 이미지 인식 소프트웨어를 사용하여 시각적 CAPTCHA를 풀고, 머신 러닝 알고리즘을 활용하여 음성 및 퍼즐 CAPTCHA를 풀 수 있습니다. 경우에 따라 공격자는 인간 CAPTCHA 풀이 작업자를 고용하여 실시간으로 CAPTCHA를 직접 풀게 합니다. CAPTCHA는 널리 사용되는 보안 통제 수단이지만 우회될 수 있으며, 정상 사용자의 고객 경험에 불편을 초래하여 거래 포기와 매출 손실로 이어질 수 있습니다.
5. 카드 크래킹. 결제 카드의 카드 번호, 만료일, 보안 코드(CVV/CVC)와 같은 보안 정보를 추측하거나 해독하는 자동화된 사이버 범죄 유형입니다. 카드 크래킹에는 일반적으로 무차별 대입 공격이 사용됩니다. 자동화된 봇이나 스크립트가 유효한 카드와 일치하는 조합을 찾을 때까지 수많은 카드 정보 조합을 체계적으로 시도하는 방식입니다. 유효한 카드 정보가 확인되면 무단 구매나 금융 사기 등 다양한 불법 행위에 악용될 수 있습니다. 공격자는 잔액이 충전되지 않은 실물 기프트 카드 몇 장을 가져와 기프트 카드 발급사가 일련번호 패턴을 사용했는지 확인할 수 있습니다.
6. 카딩. 이 자동화된 사이버 범죄는 도난당한 결제 카드 정보를 무단으로 사용하여 사기 거래나 구매를 하는 행위입니다. 범죄자는 자동화된 봇이나 스크립트를 이용해 여러 웹사이트 또는 애플리케이션에서 도난당한 신용카드나 직불카드 정보를 테스트하여 해당 정보를 허용하는 곳을 찾아냅니다. 자동화된 봇이 취약한 대상을 식별하면 도난당한 카드 정보로 고가의 상품이나 디지털 서비스를 부정 구매하거나, 사용 가능한 금액을 다른 계정으로 이체합니다.
7. 현금화. 이는 유동성이 낮은 자산이나 가상 화폐를 현실에서 사용할 수 있는 자금 또는 실물 상품으로 전환하는 것을 의미합니다. 이러한 위협은 온라인 플랫폼이나 계정에서 가치 있는 자산을 탈취하는 공격이 성공한 후에 발생하는 경우가 많습니다. 공격자가 웹 애플리케이션이나 온라인 플랫폼의 사용자 계정을 장악하면 해당 계정을 이용해 기프트 카드, 로열티 포인트, 가상 화폐 등 계정 소유자의 자산을 현금화할 수 있습니다. 봇을 사용하면 사이버 범죄자가 이러한 사기 행위를 대규모로 효율적으로 수행할 수 있으므로 현금화 과정에 봇이 자주 활용됩니다.
8. 자격 증명 크래킹. 이 위협은 로그인 페이지, 사용자 계정 포털 또는 인증 API와 같은 웹 애플리케이션의 로그인 메커니즘을 노리는 무차별 대입 공격의 일종입니다. 공격자는 자동화 도구를 사용하여 일반적인 사용자 이름과 비밀번호 조합을 체계적으로 시도하고, 사용자 계정에 무단으로 액세스할 수 있는 조합을 찾아냅니다. 이를 통해 공격자는 신원 도용, 금융 사기 또는 기타 무단 행위와 같은 악의적인 활동을 수행할 수 있습니다.
9. 크리덴셜 스터핑. 가장 흔한 웹 애플리케이션 위협 중 하나인 크리덴셜 스터핑은 사이버 범죄자가 흔히 다크 웹에서 구매한 사용자 이름/비밀번호 조합 목록을 입수한 뒤, 해당 자격 증명 조합을 사용해 로그인이 필요한 다른 계정에 접근하려고 시도하는 공격입니다. 많은 사람이 사용자 이름과 비밀번호를 여러 곳에서 재사용하기 때문에 계정 탈취라고도 하는 이러한 공격은 매우 효과적일 수 있으며, 범죄자가 사용자 계정을 장악하여 자산을 훔치거나 제3자 사기를 저지를 수 있게 합니다.
10. 재고 고갈 공격. 이 공격은 공격자가 봇을 사용해 대량의 상품을 장바구니에 담은 뒤 결제를 진행하지 않음으로써 전자상거래 상품을 판매할 수 없는 상태로 만들 때 발생합니다. 시스템이 품절 상태로 인식하기 때문에 다른 고객은 해당 상품을 구매할 수 없으며, 구매가 완료되지 않아 판매자 역시 매출을 올리지 못합니다. 이 자동화된 위협의 변형으로는 봇을 이용해 결제를 완료하지 않은 채 호텔 객실, 레스토랑 테이블 또는 항공기 좌석을 예약하거나 선점하는 방식이 있습니다.
11. 서비스 거부(DoS) 및 분산 서비스 거부(DDoS). 이러한 공격은 대상 시스템이나 네트워크의 정상적인 작동을 방해하여 합법적인 사용자가 이용할 수 없게 만들려는 악의적인 시도입니다. DDoS 공격에서 공격자는 막대한 양의 트래픽이나 리소스 요청을 대상에 집중시켜 서버에 과부하를 일으키고 서비스에 접근할 수 없게 만듭니다. 이러한 공격은 대상에 패킷을 대량으로 보내거나 특수하게 조작된 요청을 전송하는 등 다양한 방법으로 수행될 수 있습니다. DoS 공격과 DDoS 공격은 유사하지만, DDoS 공격에는 여러 공격 소스가 동원되며, 일반적으로 공격자가 제어하는 감염된 컴퓨터나 장치의 네트워크인 봇넷을 통해 조정됩니다. 공격자는 이러한 여러 소스를 조정하여 대상에 대한 공격을 동시에 실행합니다. 공격자는 봇넷의 결합된 리소스를 활용하여 막대한 양의 트래픽이나 요청을 생성함으로써 대상 시스템의 처리 용량을 초과하게 하고 서비스 거부 상태를 유발할 수 있습니다. 이러한 공격은 방화벽 상태 테이블, CPU 리소스 및 인프라 대역폭을 고갈시킬 수 있습니다. DoS 공격은 웹 애플리케이션에 정교하게 조작된 단일 요청을 보내는 것만으로도 실행될 수 있습니다. 예를 들어, CPU 사용량을 높이고 성능을 저하시키는 복잡한 SQL 쿼리를 사용할 수 있습니다.
12. 신속 처리 공격. 이 위협은 자동화된 봇이나 스크립트를 사용하여 일련의 애플리케이션 프로세스를 빠르게 완료함으로써 기존의 일반적인 제한이나 검사를 우회하는 행위를 말합니다. 공격자나 악의적인 사용자는 프로세스를 자동화하여 다른 정상 사용자보다 부당한 이점을 얻을 수 있습니다. 이러한 활동에는 흔히 기만행위가 수반되며 다른 당사자에게 손실을 초래할 수 있습니다.
13. 핑거프린팅. 위협 행위자는 정보 수집 기법인 핑거프린팅을 사용하여 사용자의 웹 브라우저나 기기가 지닌 고유한 특성 또는 속성을 수집하고 분석함으로써 식별 가능한 고유한 ‘핑거프린트’를 생성합니다. 이를 통해 위협 행위자는 여러 웹사이트와 온라인 플랫폼에서 개별 사용자를 식별하고 추적하거나, 애플리케이션을 프로파일링한 후 공격할 수 있습니다.
14. 풋프린팅. 풋프린팅은 그 자체로 자동화된 위협이라기보다는 해킹 프로세스 또는 정찰의 예비 단계입니다. 풋프린팅은 봇이나 스크립트를 사용하여 대상 웹 애플리케이션의 구성 요소, 설정 및 보안 메커니즘에 관한 정보를 수집하는 활동입니다. 이를 통해 공격자는 무단 액세스 권한을 얻거나 특정 취약점을 악용하기 위한 표적 익스플로잇 실행 등 후속 공격을 더욱 효과적으로 계획할 수 있습니다.
15. 스캘핑 또는 재고 사재기. 이는 공격자가 한정 수량의 상품이나 서비스가 온라인에서 판매되기 시작하자마자 봇을 이용해 대량 구매하는 구매 자동화의 한 형태입니다(콘서트 티켓이나 한정판 운동화를 생각하면 됩니다). 범죄자는 결제 절차를 순식간에 완료해 가치 있는 재고를 대량으로 장악한 뒤, 일반적으로 2차 시장에서 상당한 웃돈을 붙여 되팝니다. 이로 인해 인위적인 품귀 현상과 재고 고갈이 발생하고 소비자의 불만이 커집니다.
16. 스크래핑. 스크래핑은 본질적으로 악의적인 행위는 아니며, 웹사이트나 웹 애플리케이션에서 데이터를 자동으로 추출하는 프로세스입니다. 하지만 봇을 사용해 대상 웹사이트의 콘텐츠를 수집하여 분석하거나 재사용하거나, 특히 경쟁이 치열한 시장에서 가격을 조작하는 등 무단 또는 악의적인 목적으로 사용될 경우 자동화된 위협이 됩니다. 또한 스크래핑은 사이트 성능에 영향을 미치고 정상적인 사용자의 사이트 접근을 방해할 수 있습니다.
17. 지표 왜곡. 이는 악의적인 행위자가 웹 애플리케이션에서 콘텐츠를 반복적으로 클릭하거나 요청 또는 제출하여 횟수, 좋아요 수, 노출 수, 설문조사 결과, 빈도, 비율과 같은 애플리케이션 기반 지표에 의도적으로 영향을 미칠 때 발생합니다. 지표 왜곡은 사람의 행동을 모방하는 자동화된 봇을 사용해 웹 애플리케이션과의 인위적인 상호작용을 생성하는 방식으로 수행될 수 있습니다. 지표 왜곡의 목적은 애플리케이션 기반 지표에서 생성되는 데이터를 조작하고 왜곡하여 부정확하거나 오해의 소지가 있는 결과를 초래하는 것입니다.
18. 스나이핑. 이는 자동화된 봇이나 스크립트를 사용하여 온라인 경매, 판매 또는 예약 시스템에서 경쟁 우위를 확보하는 악의적인 활동의 한 유형입니다. “스나이핑”이라는 용어는 일반적으로 속도와 정확한 타이밍이 매우 중요하여 다른 사용자가 입찰하거나 제안할 시간이 부족한 시간제한 이벤트나 한정 수량 상품의 맥락에서 사용됩니다. 봇은 사람보다 더 빠르고 정확하게 작업을 수행할 수 있으므로, 스나이핑을 통해 공격자는 이벤트에 직접 참여하는 일반 사용자보다 경쟁 우위를 확보할 수 있습니다.
19. 스팸 유포. 이는 봇이 배포하는 악성 콘텐츠나 의심스러운 정보가 웹 애플리케이션의 공개 또는 비공개 콘텐츠, 데이터베이스, 사용자 메시지에 나타나는 것을 의미합니다. 악성 콘텐츠에는 멀웨어, IFRAME 팝업, 사진, 동영상, 광고, 추적/감시 코드 등이 포함될 수 있습니다. 공격자는 정보를 조작하거나 멀웨어를 유포하기 위해 포럼 및 기타 메시징 앱에 허위 댓글을 추가하는 데에도 스팸 유포를 이용합니다.
20. 토큰 크래킹. 이 자동화 공격은 범죄자가 쿠폰 번호, 바우처 코드, 할인 토큰을 대량으로 열거하여 유효한 값을 찾아내는 방식입니다. 이를 통해 할인, 현금성 혜택, 크레딧 또는 특별 혜택 이용 권한을 얻을 수 있습니다.
21. 취약점 스캐닝. 이 위협은 자동화된 도구나 스크립트를 사용하여 웹 애플리케이션의 취약점을 식별하고 악용하는 행위를 의미합니다. 보안 강화를 목적으로 약점을 식별하는 정상적인 취약점 스캐닝과 달리, 자동화된 위협으로서의 취약점 스캐닝은 애플리케이션의 보안을 침해하려는 악의적인 의도로 수행됩니다. 범죄자들은 자동화된 스캐닝 도구나 스크립트를 사용하여 인터넷에 노출된 애플리케이션을 체계적으로 검사하며, 일반적으로 취약점이 공개된 직후에 이를 수행합니다. 취약점이 식별되면 범죄자들은 이를 악용하여 애플리케이션, 민감한 데이터 또는 기반 서버 인프라에 무단으로 액세스하려고 시도합니다.

통합 보안 제어가 필요한 이유

F5, OWASP 보안 위험에 대응

F5는 소프트웨어 보안을 개선하고 다양한 수준에서 웹 애플리케이션의 보안 위험과 취약점에 대한 인식을 높이기 위해 헌신하는 OWASP 재단을 지원합니다. 실제로 웹 앱과 API 모두에 공통적으로 존재하는 보안 위험이 있으며 보안 솔루션을 구현할 때 이를 고려해야 합니다. 예를 들면 다음과 같습니다.

• 취약한 인증/권한 부여 제어
• 잘못된 구성
• 비즈니스 로직 악용(크리덴셜 스터핑, 계정 탈취)
• 서버 측 요청 위조(SSRF).

F5는 OWASP의 웹 애플리케이션 자동화 위협 프로젝트에 명시된 위험을 해결하기 위한 솔루션을 제공합니다.F5 Distributed Cloud Bot Defense는 기존 봇 관리 솔루션을 우회할 수 있는 사기 및 악용을 방지하고, 실시간 모니터링과 인텔리전스는 물론 ML 기반의 회고적 분석을 제공하여 사용자에게 불편을 초래하거나 고객 경험을 저해하지 않으면서 자동화된 공격으로부터 조직을 보호합니다. Distributed Cloud Bot Defense는 공격자가 수법을 어떻게 바꾸든, 공격 대상을 웹 앱에서 API로 전환하든, 텔레메트리를 스푸핑하거나 사람 CAPTCHA 풀이 인력을 이용해 자동화 방지 체계를 우회하려 하든 관계없이 효과를 유지합니다. F5 봇 관리 솔루션은 애플리케이션 프록시, 플랫폼 및 콘텐츠 전송 네트워크(CDN)에서 유연한 삽입 지점을 제공합니다.

F5 Web Application Firewall 솔루션은 또한 OWASP Top 10, 즉 가장 심각한 웹 애플리케이션 보안 위험을 정리한 널리 인정받는 목록에서 식별된 광범위한 위험을 차단하고 완화합니다. F5 WAF 솔루션은 F5 Labs의 위협 인텔리전스와 ML 기반 보안을 비롯한 시그니처 및 행동 기반 보호 기능을 결합하여 새롭게 등장하는 위협에 대응합니다. 중앙 집중식 SaaS 인프라를 통해 관리를 간소화하는 동시에 클라우드, 온프레미스 및 엣지 환경 전반에서 애플리케이션을 일관되게 보호하는 데 따르는 부담과 복잡성을 줄여 줍니다. 또한 F5 WAF는 핵심 보안 기능과 중앙 집중식 오케스트레이션을 통해 보호 기능을 개발 프레임워크 및 CI/CD 파이프라인에 통합하고, 분산 애플리케이션 전반의 앱 성능과 보안 이벤트를 360도로 파악할 수 있는 단일 대시보드에서 감독할 수 있도록 하여 앱 보안을 간소화합니다. 전문 봇 방어 기능과 통합된 WAF는 취약점 악용 및 자동화된 위협을 비롯한 주요 보안 위험을 완화하는 강력한 솔루션을 제공합니다.

F5는 OWASP API 보안 10대 위험에서 식별된 위험에 대응하기 위해, 확대되는 공격 표면과 새롭게 등장하는 위협으로부터 보호하는 솔루션을 제공합니다. 이는 앱이 발전하고 API 배포가 증가함에 따라 더욱 중요해지고 있습니다. F5 웹 애플리케이션 및 API 보호(WAAP) 솔루션은 WAF, API 보안, L3~L7 DDoS 완화, 자동화된 위협 및 그로 인한 사기에 대응하는 봇 방어를 포함한 포괄적인 보호 기능으로 최신 앱의 전체 공격 표면을 방어합니다. 분산형 플랫폼을 통해 일관된 정책을 손쉽게 배포하고 전체 앱 및 API 환경이 어디에 호스팅되어 있든 보안을 확장할 수 있으며, 보호 기능을 API 수명 주기 및 광범위한 보안 에코시스템에 통합할 수 있습니다.

F5는 또한 고급 온라인 보안을 위한 관리형 클라우드 제공 완화 서비스로 다계층 DDoS 보호를 제공합니다. 이 서비스는 대규모 네트워크, 프로토콜 및 애플리케이션 대상 공격을 실시간으로 탐지하고 완화하며, 동일한 보호 기능을 온프레미스 하드웨어, 소프트웨어 및 하이브리드 솔루션으로도 이용할 수 있습니다. F5 Distributed Cloud DDoS Mitigation은 대규모 트래픽 공격과 애플리케이션별 레이어 3~4 공격 및 고급 레이어 7 공격이 네트워크 인프라와 애플리케이션에 도달하기 전에 방어합니다.

F5 ADSP 플랫폼 구성 요소가 OWASP 보안 위험으로부터 보호하는 방법에 대한 자세한 내용은 다음 자료를 참조하세요:

• "봇, 사기 및 OWASP 자동화 위협 프로젝트(개요)"
• "API 보안의 역설: 자동화가 해결책이자 위협이 될 때"