웹 애플리케이션 및 API 보호(WAAP)란 무엇인가요?
웹 앱 및 API 보호(WAAP)는 API와 웹 애플리케이션에서 발생하는 보안 위험을 완화하기 위해 함께 작동하는 통합 보안 서비스 제품군을 의미합니다.
WAAP의 의미
WAAP 솔루션은 취약점 악용, 봇, 자동화된 공격, 서비스 거부 공격, 사기 및 악용, 안전하지 않은 타사 API 통합으로 인한 애플리케이션 보안 위험을 방지합니다.
통합 보안 제어를 통해 조직은 가시성을 높이고, 실행 가능한 인사이트를 바탕으로 특정 공격을 차단하는 동시에 여러 위협 벡터에 걸쳐 전개되는 조직적인 위협 캠페인을 식별할 수 있습니다.
Buu Lam이 이번 Brightboard 강의에서 WAAP이란 무엇인지, 어떤 문제를 해결하는지, 그리고 이를 어떻게 활용할 수 있는지 설명합니다.
API와 API 게이트웨이란 무엇인가요?
애플리케이션 프로그래밍 인터페이스(API)는 현대적인 IT 환경에서 사용자, 애플리케이션 및 서비스를 서로 연결하는 가장 일반적인 방법입니다. 대부분의 현대적인 앱은 애플리케이션이나 서비스 간 통신을 지원하고 요청과 응답의 형태로 제품과 서비스 간 상호 작용을 가능하게 하는 소프트웨어 인터페이스인 API를 사용하여 구축됩니다. 그러나 API가 많아질수록 공격 표면도 넓어집니다. API가 더욱 보편화되고 마이크로서비스 아키텍처 전반에 분산됨에 따라 확장성과 보안을 보장하기 위한 추가 인프라가 필요합니다.
마이크로서비스 기반 애플리케이션에서 API 게이트웨이는 시스템의 단일 진입점 역할을 하며 요청 라우팅, 구성 및 정책 적용을 담당합니다. 일부 요청은 적절한 백엔드 서비스로 전달하는 방식으로 처리하고, 다른 요청은 여러 백엔드 서비스를 호출한 후 그 결과를 집계하여 처리합니다.
API 게이트웨이에는 일반적인 위협으로부터 API를 보호하는 보안 기능이 내장되어 있습니다. 또한 API의 액세스 제어, 인증 및 권한 부여 관리 등 핵심 보안 기능을 제공하여 인증되고 권한을 부여받은 사용자만 API에 액세스할 수 있도록 합니다.
API 게이트웨이는 Kubernetes 클러스터 앞단에 로드 밸런서(다중 클러스터 수준)로 배포하거나, 클러스터 경계에 Ingress 컨트롤러(클러스터 수준)로 배포하거나, 클러스터 내부에 서비스 메시(서비스 수준)로 배포할 수 있습니다. Kubernetes 클러스터의 경계 및 내부에 API 게이트웨이를 배포할 때는 Kubernetes 네이티브 도구를 API 게이트웨이로 사용하는 것이 좋습니다. 이러한 도구는 Kubernetes API와 긴밀하게 통합되고 YAML을 지원하며, 표준 Kubernetes CLI를 통해 구성할 수 있습니다.
API 게이트웨이를 WAAP 솔루션과 함께 사용하면 서로 보완하는 추가 보안 계층을 구축할 수 있습니다. 예를 들어 API 게이트웨이는 주로 API 액세스를 관리하고 보호하는 데 중점을 두는 반면, WAAP 솔루션은 웹 애플리케이션과 API를 OWASP 10대 취약점, DDoS 공격, 및 봇 트래픽,을 비롯한 광범위한 보안 위협으로부터 보호하고 위협 인텔리전스와 행동 기반 이상 탐지 같은 고급 기능을 제공합니다.
웹 앱 및 API 보호가 중요한 이유는 무엇인가요?
매력적이고 안전한 디지털 경험으로 고객의 참여를 이끌어 내는 것은 기업의 필수 과제이자 보안 및 위험 관리 책임자들이 중점적으로 다뤄야 할 사안입니다. 보안과 사용성 사이의 균형을 맞추기 위한 위험 대비 보상 계산은 오늘날의 현대 디지털 경제에서 그 어느 때보다 어렵고 중요하며, 동시에 높은 수익을 좌우합니다.
전례 없이 다양해진 선택지, 불편이나 장애를 용납하지 않는 고객, 그리고 갈수록 커지는 규제의 영향으로 인해 보안은 비용 센터가 아닌 디지털 경쟁력을 차별화하는 요소로 인식되고 있습니다. 또한 애플리케이션은 점점 더 탈중앙화·분산되고 있으며, 이기종 및 멀티클라우드 아키텍처 전반에 배포되고 복잡한 소프트웨어 공급망과 CI/CD 파이프라인에 통합되고 있습니다.
그림 1: 앱은 점점 더 탈중앙화되고 분산되고 있습니다
봇과 자동화 공격이 갈수록 정교해지고, 모바일 앱 사용 증가와 최신 앱 개발로 API 엔드포인트가 급증하면서 공격 표면이 크게 확대되고 서드 파티 통합으로 인한 예기치 못한 위험이 발생합니다.
산업화된 공격의 수명 주기는 자동화로 시작해 계정 탈취와 사기로 끝납니다.
그림 2: 애플리케이션 공격은 지속적이고 정교합니다
WAAP 솔루션은 WAF 시장이 인접 영역, 특히 봇 관리, API 보안 및 DDoS 완화 분야로 확장·발전한 형태입니다.
과거에는 데이터 센터, 프라이빗 클라우드 또는 퍼블릭 클라우드에서 WAF가 하드웨어 어플라이언스인지 가상 어플라이언스인지와 관계없이, 클라우드 기반 DDoS 스크러빙 센터와 통합된 WAF를 WAAP로 분류했습니다. 그러나 현재 시장은 많은 조직이 클라우드 기반 WAAP 플랫폼을 서비스형 보안의 형태로 선호하게 되는 전환점에 있습니다.
클라우드 기반 WAAP 플랫폼에 대한 관심이 높아지는 데에는 몇 가지 요인이 있습니다:
- 사기 및 악용을 방지하기 위한 전문 봇 관리 기술의 필요성
- 서드 파티 통합으로 인한 위험을 완화할 수 있는 API 검색 및 정책 적용 제어
- API, 개발 프레임워크 및 CI/CD 파이프라인을 통한 지속적인 정책 유지 관리
- 사람이 주도하는 AI를 활용한 자동화된 보호 및 오탐 해결
비즈니스 성과에 중점을 둔 클라우드 기반 보안 서비스와 통합되는 어플라이언스 기반 WAF는 은행 및 금융 서비스(BFSI)와 같이 규제가 엄격한 산업에서 앞으로도 실용적이며, 나아가 선호되는 선택지로 자리매김할 것입니다.
클라우드 WAAP 서비스를 평가하는 방법
효과성과 사용 편의성은 WAAP의 주요 구매 기준으로 자주 언급됩니다.
최고 수준의 WAAP는 조직이 비즈니스 속도에 맞춰 보안 태세를 강화하고, 불편이나 과도한 오탐 없이 침해를 완화하며, 운영 복잡성을 줄여 하이브리드 멀티 클라우드 아키텍처를 심각한 취약점, 비즈니스 로직 악용 및 예기치 못한 위험으로부터 일관되게 보호할 수 있도록 지원합니다.
주요 기능은 다음과 같습니다:
- 클라우드 네이티브 인프라와 전체 애플리케이션 스택을 아우르는 통합 옵저버빌리티
- 동적 API 검색 및 적용
- 공격자의 도구 변경, 공격 수위 강화 및 탐지 회피에도 유지되는 복원력
웹 앱 및 API 보호는 어떻게 작동하나요?
WAAP 솔루션은 다음을 비롯한 다양한 보안 제어 기능을 통합하여 애플리케이션을 보호함으로써 침해, 데이터 유출, 계정 탈취 및 애플리케이션 가동 중단 위험을 완화합니다:
- 웹 애플리케이션 방화벽(WAF)
- 봇 관리
- API 보안
- DDoS 완화
WAAP 솔루션은 다음과 같은 여러 형태로 제공됩니다.
- 클라우드 기반 보안 서비스와 통합되는 물리적/가상 WAF 어플라이언스
- 클라우드 기반 보안 서비스와 통합되는 마이크로서비스 기반 WAF 인스턴스
- WAF, 봇, API 및 DDoS 보안 제어 기능이 통합된 클라우드 기반 WAAP 플랫폼
WAAP 솔루션에는 악성 스크립트/스키밍(예: Magecart 공격), 악성 애그리게이터를 통한 공격을 방지하는 보안 제어, 수동 사기로 인한 계정 탈취를 방지하는 계정 보호 기능을 탐지하기 위한 클라이언트 측 보안도 포함됩니다.
애플리케이션 인프라 보호(AIP) 솔루션은 동적 취약점 탐지와 클라우드 워크로드 보안을 통해 애플리케이션 보안을 한층 강화하고 문제 해결 역량을 개선하며, WAAP 제어 기능과의 통합을 통해 기반 인프라의 취약점 악용과 오용을 방지합니다.
F5는 웹 앱 및 API 보호를 어떻게 처리하나요?
F5 WAAP 솔루션은 모든 아키텍처, 클라우드 및 운영 모델에 기본적으로 통합되어 보안 및 위험 관리 팀에 전반적인 가시성과 일관된 정책 적용 기능을 제공함으로써 코어부터 클라우드, 엣지에 이르기까지 레거시 및 최신 앱을 보호합니다. F5 WAAP 솔루션은 배포 모델과 운영 모델을 유연하게 선택할 수 있도록 지원합니다.
F5 Distributed Cloud WAAP 은 탁월한 관측 가능성을 대규모 실제 데이터 레이크 및 머신 러닝 알고리즘과 결합하여 F5 고객이 인증 인텔리전스와 같은 AI 기반 부가 가치 서비스(VAS)를 도입할 수 있도록 지원합니다. 인증 인텔리전스는 개인화를 개선하고 불편 요소를 제거하여 고객 유지율, 전환율 및 충성도를 높임으로써 정상적인 고객 거래를 최적화합니다.
그림 3: F5 Distributed Cloud 웹 앱 및 API 보호 플랫폼
F5 NGINX는 사용 사례와 배포 패턴에 따라 API 게이트웨이를 배포하고 운영할 수 있는 여러 옵션도 제공합니다. 범용 도구로는 F5 NGINX Plus가 있으며, 클라우드, 온프레미스 및 엣지 환경 전반에 경량 고성능 API 게이트웨이로 배포할 수 있습니다.
Kubernetes 네이티브 도구로는 NGINX Ingress Controller가 있으며, API 게이트웨이, ID 및 관측성 기능을 통해 Kubernetes 클러스터 엣지에서 애플리케이션 연결을 관리합니다.
