애플리케이션 보안 취약점 완화

애플리케이션 시대에 오신 것을 환영합니다

조직은 민첩성을 유지하면서 출시 속도를 높이기 위해 애자일 개발 방식을 도입하고, 전략적 비즈니스 과제를 실현하는 역할을 애플리케이션 개발(AppDev) 및 DevOps 팀에 맡겼습니다. 개발자는 버튼 한 번만 클릭하면 세상을 바꿀 수도 있는 새로운 코드의 빌드, 테스트, 배포, 운영 및 모니터링을 자동화할 수 있습니다.

그렇다면 애플리케이션 보안은 어떨까요?

애플리케이션 개발은 혁신을 거쳐 대부분 자동화되었지만, 보안은 여전히 수작업에 크게 의존하고 있습니다. 개발자와 DevOps 실무자의 수는 보안 전문가보다 최대 100배나 많습니다. 출시 기간 단축에 대한 압박은 애플리케이션 팀과 보안 팀 간의 마찰을 일으켜 보안이 병목 요인이라는 인식을 낳았습니다. 이는 부실한 테스트, 절차 생략, 비효율적인 감독으로 이어지는 경우가 많은 심각한 딜레마입니다.

동시에 아키텍처, 클라우드 및 타사 통합이 급증하면서 많은 조직의 공격 표면이 크게 확대되었습니다. 크로스 사이트 스크립팅(XSS) 및 인젝션과 같은 애플리케이션 취약점은 20여 년 전 애플리케이션 보안이 등장한 이래로 계속 만연해 왔지만, 공격자들은 여전히 놀라운 속도로 이러한 취약점을 찾아내 악용하고 있습니다. 공격자들은 자동화 프레임워크와 AI 기반 도구를 사용해 취약점을 신속하게 무기화하고 인터넷을 스캔하여 약점을 찾아낸 뒤 금전적 이득을 위해 악용합니다. 특히 오픈 소스 소프트웨어에는 취약점이 만연해 있어 알려지지 않은 중대한 위험을 초래합니다.

F5 Labs reports 가능한 공격 중 가장 심각한 유형에 속하는 원격 코드 실행 가능성이 있는 치명적 취약점이 9시간마다 공개된다고 합니다. 2025년에는 일반적인 한 주 동안 500개의 새로운 CVE가 공개될 것으로 예상됩니다.

아키텍처, 클라우드, 개발자 프레임워크 전반에서 갈수록 복잡해지는 애플리케이션 보안 문제를 효과적으로 관리하려면 조직은 전략과 관점을 전환해야 합니다.

오픈 웹 애플리케이션 보안 프로젝트

오픈 웹 애플리케이션 보안 프로젝트(OWASP)는 효과적인 취약점 관리의 필요성을 기업 경영진과 이사회에 알리기 위해 2001년에 설립되었습니다. 보안 공급업체와 커뮤니티의 피드백을 아우르는 체계적인 접근 방식을 통해 OWASP Top 10이 마련되었습니다. 이는 가장 널리 퍼져 있고 심각한 애플리케이션 취약점의 목록입니다.

XSS와 인젝션은 OWASP Top 10이 처음 발표된 이래 모든 목록에 포함되어 왔습니다. 그러나 소프트웨어 공급망에 대한 위협 증가, 오픈 소스 소프트웨어의 보편화, 레거시 앱과 최신 앱 모두의 보안 및 액세스를 관리하는 데 따르는 운영상의 복잡성으로 인해 애플리케이션 보안은 새로운 시대를 맞고 있습니다. 소프트웨어 업데이트, 중요 데이터, CI/CD 파이프라인의 무결성이 모두 침해될 수 있습니다. 오픈 소스 소프트웨어는 개발 속도를 크게 높여 주지만, 위험 관리 방식에도 변화를 가져옵니다. 사내에서 개발한 맞춤형 소프트웨어에 일반적으로 적용되는 정적 코드 분석(SCA)과 같은 통제 수단을 타사 소프트웨어에는 적용하기 어렵거나 실용적이지 않은 경우가 있기 때문입니다.

2021년, 공격자들은 취약점에 대한 세부 정보가 공개된 직후 수천 개의 웹사이트와 애플리케이션에서 사용되는 널리 배포된 오픈 소스 소프트웨어 라이브러리의 심각한 취약점을 악용하기 시작했습니다. 이 취약점을 해결하지 않으면 원격 코드 실행으로 이어질 수 있으며, 공격자가 웹사이트와 온라인 애플리케이션을 장악하고 금전을 탈취하며 데이터를 유출하고 고객 계정을 침해할 수 있습니다.

F5 Labs는 지난 20년 동안 CVE 환경이 어떻게 크게 변화했는지, 취약점의 수가 증가하고 유형이 다양해진 양상을 자세히 설명합니다. 이러한 변화 중 일부는 기술의 발전에 따른 것이지만, 다른 일부는 데이터 수집 방식에서 비롯된 결과입니다.

아키텍처의 난립과 AI의 부상

기술의 급속한 발전은 조직의 비즈니스 운영 방식뿐만 아니라 비즈니스를 안전하게 보호하기 위해 취해야 할 조치도 변화시키고 있습니다. 현재 조직의 88%가 SaaS, 퍼블릭 클라우드/IaaS, 온프레미스(기존 방식), 온프레미스(프라이빗 클라우드), 코로케이션, 엣지를 포함한 하이브리드 모델로 운영되고 있으며 이러한 조직은 수동 튜닝의 부담을 줄이고 탐지된 위협을 기반으로 보안 정책 수립을 자동화하기 위해 AI를 점점 더 많이 활용하고 있습니다. 신규 구축 프로젝트는 클라우드의 효율성을 활용할 수 있지만, 대부분의 엔터프라이즈 포트폴리오에는 데이터 센터, 클라우드 및 마이크로서비스 환경의 다양한 아키텍처에 걸쳐 있는 레거시 앱과 최신 앱이 모두 포함되어 있습니다.

애플리케이션의 폭발적인 증가와 시장 출시 속도의 가속화는 위험 관리에도 근본적인 변화를 일으키고 있습니다. 네트워크 엔지니어가 인프라 배포를 담당하지 않을 수도 있습니다. DevOps 팀은 즉시 사용 가능한 클라우드 솔루션에서 컨테이너와 같은 최신 아키텍처를 활용해 가상 및 임시 인프라를 손쉽게 구축하고, 코드 빌드부터 서비스 배포까지 모든 과정을 자동화할 수 있습니다. 애플리케이션 개발 주기에서 역할과 책임, 업무 방식이 이처럼 변화하면서 보안이 종종 뒷전으로 밀릴 수 있습니다.

동시에 공격자들은 쉽게 구할 수 있는 도구와 프레임워크를 활용해 공격 규모를 확대하는 등 공격 수법의 효율성을 높이고 있습니다. 이는 본질적으로 보안 전문가가 위험을 정량화하고 평가할 때 사용하는 것과 동일한 방법입니다.

또한 조직들은 비즈니스 연속성을 위해 여러 클라우드 제공업체를 점점 더 많이 도입하고 있습니다. 이와 함께 여러 클라우드 환경에서 각각의 특정 요구 사항을 해결하려는 과정에서 도구가 난립하는 문제도 갈수록 심화되고 있습니다. 이로 인해 보안 담당자는 무엇이 보호되고 있고 무엇이 보호되지 않는지 혼란을 겪는 경우가 많으며, 세부적인 차이를 놓치면 취약점으로 이어질 수 있습니다. 흔히 발생하는 예로 보안 구성 오류가 있습니다(예: AWS 공동 책임 모델 참조).

시프트 레프트와 관점 전환의 필요성

애플리케이션을 구축하고 배포하는 방식이 변화함에 따라 위험도 달라지고 있습니다. 따라서 애플리케이션 취약성에 선제적으로 대응하려면 보안 역시 변화해야 합니다. 가시성과 일관성은 여전히 매우 중요하지만, 조직은 애플리케이션 보안을 구현하는 방식에 대한 패러다임을 전환해야 합니다. 애플리케이션 출시 후 보안 정책을 수립하고, 오탐을 걸러내 정책을 안정화하고 조정한 다음, 애플리케이션을 위험에 빠뜨릴 수 있는 새로 공개된 취약성을 모니터링하는 대신, 아키텍처, 클라우드 또는 프레임워크와 관계없이 코드 작성부터 테스트를 거쳐 프로덕션에 이르기까지 애플리케이션 개발 수명 주기 전반에 애플리케이션 보안을 본질적으로 통합해야 합니다.

침투 테스트는 소프트웨어가 프로덕션 환경에 배포되기 전에 중대한 위험을 발견하고, 보안 팀에 핵심 인사이트를 제공하여 웹 애플리케이션 방화벽 정책과 같은 필수적인 임시 보호 조치를 구현할 수 있도록 함으로써 위험 완화에 걸리는 시간을 크게 단축할 수 있습니다.

가장 효과적인 애플리케이션 보안은 자동화되고 통합되어 있으며 적응력이 뛰어납니다. 자동화를 통해 운영 비용(OpEx)을 절감하고 애플리케이션 출시, 배포 및 유지 관리 과정에서 핵심 보안 리소스에 가해지는 부담을 줄일 수 있습니다. 자동화된 정책 배포는 소프트웨어 개발 수명 주기(SDLC)의 초기 단계에서 보안 제어를 구현하고 안정화하여 효과를 높일 수 있습니다. 이를 통해 수동 개입을 줄이면서도 효율성을 향상하고, 정보 보안 팀이 쏟아지는 경고와 잠재적인 오탐에서 벗어나 보다 전략적인 위험 관리 활동에 집중할 수 있도록 합니다. 애플리케이션 개발 프레임워크 및 지속적 통합/지속적 제공(CI/CD) 파이프라인과의 기본 통합은 개발 팀과 보안 팀 간의 마찰을 줄여 비즈니스 민첩성과 조직 간 협업을 향상합니다.

API 기반 배포 및 유지 관리를 통해 개발자 도구와 통합하면 인프라의 복잡성을 추상화하여 여러 아키텍처와 클라우드 전반에서 정책 관리와 변경 제어를 간소화하고, 운영 부담을 줄이며, 잘못된 구성을 방지할 수 있습니다.

또한 보안 완화 조치는 고객에게 불편을 초래하거나 공격자가 탐지를 피하기 위해 공격 수위를 높이는 일이 없도록 정확하고 탄력적으로 작동해야 합니다. 소비자는 개인화되고 엄선된 경험을 요구하며, 지능적인 공격자는 쉽게 단념하지 않습니다.

사용성에 영향을 주지 않는 효과적인 보안은 경쟁이 치열한 디지털 경제에서 고객을 확보하고 유지하는 핵심 차별화 요소가 될 수 있습니다.

결론

오늘날 앱은 곧 비즈니스이므로, 앱에 대한 위협과 비효율적인 보안은 비즈니스 잠재력을 저해하는 가장 큰 위험 요소입니다. 현대적인 분산형 애플리케이션 아키텍처로 인해 위협 표면이 확대되었고, 자동화로 인해 의도치 않은 위험과 공격자의 공격 효과가 증가했으며, 사이버 범죄로 인한 피해도 계속 커지고 있습니다. 하지만 안전한 디지털 경험을 지속적으로 제공하는 조직은 고객과 매출의 성장을 달성할 수 있습니다.

해결책은 명확합니다. 세상을 바꿀 수도 있는 새로운 코드의 출시를 미루기보다는 보안을 개발 초기 단계로 전환하여 애플리케이션 수명 주기 전반의 보호 조치를 자동화하고, 보안을 핵심적인 비즈니스 차별화 요소로 바라보도록 관점을 전환해야 합니다.

취약점을 선제적으로 완화하고 복잡성을 줄이는 한편, 효과적이고 운영이 간편한 보안으로 비즈니스를 보호하면 디지털 혁신을 가속화하고 고객 경험을 최적화하여 위험을 줄이고 디지털 경쟁 우위를 확보할 수 있습니다.