Salesforce Commerce Cloud 보안을 위한 F5 Distributed Cloud Bot Defense

전자상거래 웹사이트를 만들고 배포하는 일이 그 어느 때보다 쉬워졌습니다. 하지만 안타깝게도 전자상거래 사이트는 끊임없이 변화하는 다양한 위협을 가하는 사이버 범죄자들에게 그 어느 때보다 매력적인 표적이 되었으며, 이러한 위협의 대부분은 봇 공격. 다행히도 대기업, 중견기업, 소기업을 막론하고 세계 유수의 소매업체들이 사용하는 업계 최고의 솔루션인 F5 Distributed Cloud Bot Defense를 이제 Salesforce Commerce Cloud LINK Marketplace에서 이용할 수 있습니다.

미국 연방거래위원회(FTC)의 데이터에 따르면, 이 기관은 2020년에 소비자로부터 210만 건이 넘는 사기 신고를 접수했습니다. 이들 신고 중 가장 많이 언급된 사기 유형은 사칭 사기였으며, 온라인 쇼핑 사기가 그 뒤를 이었습니다. 소비자가 신고한 피해액은 총 33억 달러를 넘어 2019년의 18억 달러보다 증가했습니다. 2020년 피해액 중 약 12억 달러는 사칭 사기로 인한 것이었으며, 온라인 쇼핑으로 인한 피해액은 약 2억 4,600만 달러였습니다. 이마저도 FTC에 신고된 사례만 집계한 수치입니다.

고객을 보호하는 것뿐만 아니라 전자상거래 운영업체는 계정 탈취(ATO), 지식 재산권 도용, 민감한 데이터 노출, 결제 악용 등 매일 늘어나는 수많은 위협으로부터 스스로를 보호해야 합니다.

Salesforce Commerce Cloud (SFCC)

모든 규모의 기업이 B2C 및 B2B 상거래를 구현할 수 있도록 지원하는 데 있어, Salesforce Commerce Cloud(SFCC)는 “브랜드가 모바일, 소셜, 웹, 매장 등 모든 채널에서 지능적이고 통합된 구매 경험을 제공할 수 있도록 지원하는” 클라우드 기반 플랫폼을 통해 수천 개 기업이 고객과 거래할 수 있도록 돕고 있습니다.

SFCC에 따르면 자사 플랫폼은 연간 210억 달러의 총상품거래액을 처리하고, 매월 5억 건 이상의 개별 쇼핑객 사이트 방문을 지원합니다. 이러한 활동은 대기업과 중소기업 모두에서 이루어지고 있습니다. 소매업체의 규모와 관계없이 Salesforce Commerce Cloud용 Distributed Cloud Bot Defense는 세계 최대 규모의 소매업체, 은행 및 항공사를 보호하는 봇 방어 솔루션을 제공합니다.

Salesforce Commerce Cloud에서 악성 봇을 차단하는 Distributed Cloud Bot Defense

기업의 전자상거래 채널이 어떤 플랫폼에 구축되어 있든, 일일 로그인 시도의 90% 이상이 사람이 아닌 방문자에 의해 이루어지는 경우는 드물지 않습니다. 즉, 다시 말해, 봇 기반 트래픽입니다. 봇 공격 트래픽의 경우, 이러한 봇은 이미 유출되어 인터넷상에 떠도는 수백만 건의 도난·유출 계정 정보를 하나씩 끊임없이 반복해서 대입합니다. 사용자 이름과 비밀번호 조합을 전자상거래 플랫폼에 무차별적으로 시도하며, 그중 극히 일부라도 로그인에 성공하기를 노리는 것입니다.

전자상거래 사이트의 일일 로그인 시도 중 90% 이상이 사람이 아닌 방문자에 의해 이루어지는 경우는 드물지 않습니다.

이는 크리덴셜 스터핑이라는 수법으로, 상당한 비용을 초래할 수 있습니다. 이러한 모든 자동 로그인 시도는 대역폭과 애플리케이션 리소스를 지속적으로 소모합니다. 더 나아가 이러한 봇 중 하나가 탈취한 자격 증명으로 로그인에 성공하면 계정 탈취(ATO)로 이어져 상황이 더욱 악화될 수 있습니다.

F5는 봇이 유발하는 모든 유형의 유해한 네트워크 트래픽을 식별하고, 이러한 트래픽이 리소스를 소모하거나 더 심각한 문제를 일으키기 전에 차단하는 혁신적인 서비스를 제공합니다. Distributed Cloud Bot Defense는 F5의 SFCC 전용 인증 카트리지를 통해 Salesforce Commerce Cloud(SFCC)에 빠르고 간편하게 통합할 수 있어 전자상거래 플랫폼 보호에 매우 적합합니다.

Distributed Cloud Bot Defense는 웹 및 모바일 애플리케이션과 API 엔드포인트를 대규모 사기로 이어질 수 있는 정교한 공격으로부터 보호합니다. 애플리케이션 요청이 사기성 소스에서 발생했는지 실시간으로 판단한 후, 해당 요청을 차단하거나 리디렉션하거나 플래그를 지정하는 등 기업이 지정한 조치를 수행합니다.

Distributed Cloud Bot Defense는 머신 러닝과 세계 최대 규모의 기업들을 보호해 온 다년간의 경험을 결합하여 활용한다는 점에서 업계에서 두각을 나타냅니다. 즉, 수없이 많은 공격 시도로부터 방대한 양의 매우 상세한 데이터를 축적해 왔습니다. 이러한 풍부한 경험을 바탕으로 Distributed Cloud Bot Defense는 특정 요청이 봇 또는 사람에 의해 이루어졌는지뿐만 아니라, 해당 요청이 악의적인 의도인지 선의의 의도인지까지 식별하는 데 있어 독보적인 전문성을 갖추고 있습니다.

배포

Distributed Cloud Bot Defense 배포는 관찰과 완화의 두 단계로 이루어집니다. 관찰 단계에서 Distributed Cloud Bot Defense는 공격을 탐지하도록 방어 엔진에 정보를 제공하고 이를 학습시키기 위해 고급 원격 측정 데이터를 수집합니다. 이러한 신호는 웹 애플리케이션에서는 JavaScript를 통해, 네이티브 모바일 애플리케이션에서는 SDK를 통해 수집됩니다.

Distributed Cloud Bot Defense 엔진은 모든 Distributed Cloud Bot Defense 배포에서 의사 결정을 담당하는 구성 요소이며 전체 완화 단계의 핵심입니다. 이 엔진은 전자상거래 플랫폼을 겨냥한 자동화된 트랜잭션을 탐지하고 완화합니다. 부정 요청을 차단하기 위해 수백 개의 신호를 처리하여 애플리케이션, 네트워크, 브라우저 및 사용자 수준에서 자동화를 탐지합니다.

그림 1: Distributed Cloud Bot Defense는 Salesforce Commerce Cloud 플랫폼의 리테일 사이트를 보호하기 위해 API 기반 이커머스 보안을 제공합니다.

AI와 ML을 기반으로 하는 Distributed Cloud Bot Defense는 모든 트랜잭션을 분석하고 각 공격 캠페인을 면밀히 조사하여 향후 공격 시도를 선제적으로 식별합니다. 공격 캠페인이 소프트웨어를 업데이트하거나 새로운 프록시를 활용하는 등의 방식으로 수법을 변경해 F5를 우회하려 하더라도, Distributed Cloud Bot Defense는 수백 가지의 다른 신호를 바탕으로 해당 캠페인을 식별할 수 있습니다. 무엇보다도 한 고객에게서 새로운 공격 기법이 관찰되는 즉시 새로운 대응책이 자동으로 배포되고 세부 정보가 공유되므로, 다른 모든 F5 고객도 즉시 동일한 공격으로부터 보호받을 수 있습니다.

Distributed Cloud Bot Defense는 SFCC 인증 카트리지를 통해 관리형 서비스로 제공되며, 대형, 중형, 소형을 막론한 모든 소매업체에 업계 최고 수준의 봇 관리 및 보호 기능을 제공합니다.

Distributed Cloud Bot Defense는 즉각적이고 원활하게 작동합니다. 플랫폼이 애플리케이션 요청의 출처가 사기성 소스라고 실시간으로 판단하면 해당 소스를 즉시 차단하며, 이 과정에서 정상적인 사용자에게 다단계 인증이나 CAPTCHA 등 효과 없는 번거로운 절차를 요구하지 않습니다. Distributed Cloud Bot Defense는 F5의 인증 카트리지를 통해 SFCC에서 관리형 서비스로 제공되며, 규모에 관계없이 모든 소매업체에 업계 최고 수준의 봇 관리 및 보호 기능을 제공합니다.

요약: F5 Distributed Cloud Bot Defense는 Salesforce Commerce Cloud 애플리케이션에 필요한 솔루션입니다.

전자상거래 사기는 현실적으로 증가하고 있는 위협으로, B2C 및 B2B 사업자는 이로부터 고객을 보호해야 합니다. 하지만 이러한 보호 조치가 사용자 경험에 부정적인 영향을 미쳐 고객을 잃는 일이 있어서는 안 됩니다. Salesforce Commerce Cloud(SFCC)가 엔드투엔드 전자상거래 환경의 배포와 운영을 지원하는 한편, F5 Distributed Cloud Bot Defense는 보이지 않는 곳에서 자동화된 사기성 봇 공격 트래픽에 대한 노출을 대폭 줄이고 사용자 경험의 불편을 해소하여 전자상거래 관련 서비스의 보안을 강화할 수 있도록 지원합니다.

Distributed Cloud Bot Defense에 대한 자세한 내용은 f5.com을 방문하고 SFCC Marketplace에서 카트리지를 다운로드하세요.

자세히 알아보기

기술 제휴: Salesforce Commerce Cloud용 F5 Distributed Cloud Bot Defense
https://www.f5.com/partners/technology-alliances/salesforce-commerce-cloud

라이트보드 강의: Salesforce Commerce Cloud용 F5 Distributed Cloud Bot Defense
https://youtu.be/YZPdUSuUvko

DevCentral 문서:

사례 연구: 소매업체, 신발 구매 봇 급증 문제를 해결하고 사기, 불편 및 가짜 트래픽 문제 개선:
https://www.f5.com/customer-stories/retailer-solves-shoe-bot-spikes-fixes-fraud-friction-and-fake

불편 없이 사기 차단하기: 최신 사이버 공격을 탐지하고 방어하는 방법:
https://www.f5.com/resources/library/security/ecommerce

F5 Distributed Cloud Bot Defense 솔루션 개요:
https://www.f5.com/pdf/solution-overview/f5-distributed-cloud-bot-defense-overview.pdf

Copyright © 2022 F5, Inc. All rights reserved. 본 웹사이트에 게시된 그래픽, 텍스트, 그림, 사진, 레이아웃 등을 포함하되 이에 국한되지 않는 자료(이하 "콘텐츠")는 미국 저작권법의 보호를 받습니다. F5 Networks, Inc.의 사전 서면 동의 없이 본 웹사이트의 어떠한 콘텐츠도 복사, 복제, 교환, 전송, 이전, 수정, 업로드, 다운로드, 게시, 판매 또는 배포할 수 없습니다.

과제

전자상거래 사이트는 지속적으로 사이버 공격에 노출되어 있습니다
사기는 계정 탈취(ATO), 크리덴셜 스터핑 공격, 결제 악용, 웹 스크래핑, 재고 점유 등 다양한 형태로 발생합니다
사이버 범죄자에게 전자상거래는 수익성 높은 표적이 될 수 있으며, 결제 사기로 인한 손실만 해도 연간 200억 달러를 넘어설 것으로 예상됩니다.
공격자는 일반적으로 모든 채널(웹 및 모바일)을 넘나들기 때문에 신뢰할 수 있는 보안 솔루션도 동일하게 대응해야 합니다.

이점

사기 및 악용 대폭 감소
평판 훼손 방지
사용자 경험의 불편 요소 제거
애플리케이션 성능과 가동 시간을 개선하세요
보안 강화

전자상거래 사이트: 반드시 보호해야 할 세 가지 핵심 영역

Salesforce Commerce Cloud(SFCC)용 F5 카트리지는 SFCC 플랫폼과 Distributed Cloud Bot Defense를 연결하는 통합 모듈입니다. 이 모듈은 선별된 원격 측정 데이터를 Distributed Cloud Bot Defense로 전송하고, 추론 응답을 수신하여 완화 조치를 수행합니다. 이 솔루션과 그 이점은 다음을 비롯한 다양한 공격으로부터 전자상거래 웹사이트를 보호하도록 설계되었습니다:

계정 탈취: 사기범이 수백만 개의 도난당한 자격 증명을 로그인 애플리케이션에 빠르게 대입해 보는 행위를 차단하고, 고객 계정을 탈취하기 전에 사기성 트래픽을 제거합니다.
결제 악용: 재고 고갈 공격(Denial of Inventory)이라고도 합니다. 봇 공격은 온라인 결제 페이지를 표적으로 삼아 여러 상품을 장바구니에 담고 가용 재고를 소진함으로써 다른 소매업체에 유리한 상황을 조성하는 동시에 정상 고객에게 불편을 초래할 수 있습니다.
웹 스크래핑: 제품 정보와 가격은 경쟁 우위의 원천이 되는 경우가 많습니다. 민감한 데이터를 보호하려면 자동화된 스크래퍼와 애그리게이터가 웹사이트에서 데이터를 수집하는 방식을 제어하세요.

Distributed Cloud Bot Defense는 다음과 같은 공격을 비롯해 소프트웨어 보안 향상을 위해 활동하는 비영리 재단인 Open Web Application Security Project®(OWASP에서 식별한 기타 악의적인 수법으로부터 보호합니다.