차세대 웹 지킴이, WAAP를 통해 웹 보안 구축하기
우리가 사용하는 수많은 웹 사이트들, 얼마나 안전할까요? 아무 일도 일어나지 않는 듯한 지금, 이 순간에도 웹상의 여러 곳에서는 온갖 악의적인 행위와 공격들이 일어나고 있습니다. 끊임없이 영리하게 발전해 가고 있는 악성 시스템들에 대항해서 어떻게 우리 사이트들을 지킬 수 있을까요?
대표적인 보안 시스템 ‘WAF’은 웹 애플리케이션 방화벽의 약자로 HTTP 프로토콜을 기반으로 하는 취약점 공격을 탐지하고 차단합니다. HTTP를 통해 시도되는 DoS 및 DDoS의 공격을 차단할 수도 있습니다.
그러나 사이버 공격은 날이 다르게 더욱 정교해지고, 교묘해지고 있습니다. 이렇게 고도화되는 사이버 공격으로부터 웹 애플리케이션과 API를 지킬 수 있는 새로운 방어 도구, ‘WAAP’에 대해 자세히 알아보겠습니다.
WAAP
WAAP란 Web Application and API Protection의 약어입니다. 복잡한 공격으로부터 웹 사이트를 보호하는 것이 가능한 고급 방어 도구라고 할 수 있죠. 일반적인 웹 애플리케이션 방화벽 기능을 포함해서 봇 차단 및 DDoS 방어 등의 기능을 수행하고 있습니다.
WAAP의 기능
- WAAP는 봇 차단을 더 쉽고 수월하게 처리할 수 있습니다. 예를 들어, WAF는 봇을 식별할 수 없기 때문에 계속 발전하고 진화하는 봇 앞에서 약점이 보일 수밖에 없습니다. 그러나 WAAP는 악성 봇의 트래픽을 실시간으로 탐지하는 것이 가능하여 사전에 웹 과부하를 막고 건강한 웹 생태계를 유지할 수 있게 합니다.
- 웹 기반으로 작동하는 API의 보안이 가능하다는 장점도 있습니다. 자체 성능이 우수한 웹 방화벽의 장점을 앞세워 API에 내재한 취약점과 설계 오류 등의 문제에 대응하는 것이 가능합니다.
WAAP의 필요성과 미래
WAAP는 직접적인 공격에 대한 대응뿐만 아니라 사이트상의 정보 유출 방지 및 앞으로의 변조 방지까지 목적으로 하고 있습니다. 디지털 사회가 변화하고 발전함에 따라 발생하는 여러 가지 보안 빈틈을 채우기 위해 차세대형 웹 방화벽으로 발전해 가고 있는 것이죠. WAF와 같은 일반적인 웹 방화벽 기능을 포함하여, 그 밖에 DDoS 공격을 즉시 차단하고 API의 취약점에 대응하여 API 보안 기능까지 아우르는 여러 가지 역할을 수행하고 있습니다.
그러나 미래의 웹 보안 세계에서는 WAAP의 기존 기능을 넘어서 더 다양한 요구를 펼칠 것입니다. 즉 각종 위협과 공격이 진화하는 각각의 상황에 맞춰 웹 보안 적응 능력을 높일 필요가 있는데요. 실제로 웹 애플리케이션 및 API 보호에 앞장서고 있는 에지오에서는 이러한 차세대 WAAP 서비스를 이용하여 에지오만의 보안 규칙 세트를 만들고 실행하고 있습니다.
에지오의 WAAP
1. 엑세스 제어 규칙
액세스 제어 규칙은 IP 주소, 익명 프록시, 국가, ASN, 지역 코드, 사용자 에이전트, 쿠키, 리퍼러, URL, HTTP 요청 방법, 콘텐츠 유형, 파일 확장자, 파일 크기 및 요청 헤더로 보호된 사이트에 대한 액세스를 제어하기 위해 모듈식 허용 목록, 거부 목록 및 포지티브 보안 액세스 목록을 생성하는 기능을 제공합니다.
2. 속도 제한 규칙
애플리케이션에 대한 HTTP 요청의 흐름을 제한하여, 악의적이거나 의도하지 않은 애플리케이션 DDoS 트래픽을 방지하고 고객의 애플리케이션 서버가 공격 또는 계획되지 않은 트래픽 급증으로 인한 요청으로 과부하 되는 것을 방지합니다.
3. 봇 관리자 규칙
좋은 봇과 나쁜 봇을 모두 감지하고, 원치 않는 자동화 또는 불량 봇을 완화합니다. 이렇게 해서 자격 증명 스터핑, 콘텐츠 스크랩, 카딩, 양식 스팸, DDoS 공격 시작, 광고 사기를 수행하는 악성 봇으로부터 사이트를 보호할 수 있습니다.
4. 맞춤 규칙
사용자 지정 맞춤 규칙을 통해 악의적인 트래픽은 요청 헤더, 본문, 쿼리 등의 변수 조합을 사용해 식별됩니다. 이 방법은 위협 탐지에 추가적인 유연성을 제공하고 특정 악의적인 요청을 필터링하고 이를 완화하려는 조치를 할 수 있도록 합니다.
5. 관리형 규칙
관리형 규칙은 에지오가 관리하는 독점 규칙 세트를 통해 악성 트래픽을 식별합니다. 관리형 규칙은 아래 세 가지 범주에 걸쳐 있는 500개 이상의 규칙으로 구성됩니다.
- 에지오 독점 규칙
- 고급 애플리케이션별 규칙
- 일반 OWASP 규칙
이렇게 다양한 공격 범주 및 애플리케이션에 대한 다양한 보안 정책 및 규칙을 종합적으로 수집하고 각 관리형 규칙을 사용자 지정할 수 있습니다.
그럼 에지오의 WAAP 규칙이 유독 효과적인 이유는 무엇일까요? 이는 관리형 규칙에 따라 WAAP 규칙, 하이브리드 서명, 변칙 점수 모드 등을 실행하는 순서와 관련이 있습니다. 에지오는 자체 개발한 waflz 엔진을 통해 밀리초 내에 이러한 프로세스를 수행하고, 성능 저하 없이 보안을 제공합니다.
본문에서 말했듯이 더 건강하고 안전한 웹 사이트를 구축하기 위해서 먼저 필요한 것이 웹 보안 시스템입니다. 에지오에서는 단계적인 WAAP 계층 루틴을 통해 웹 애플리케이션과 API 그리고 DDoS의 피해에서 벗어날 수 있는 대응 시스템을 갖추고 있습니다. 더 다양한 웹 보안 구축 방법을 알고 싶으시다면 하단의 문의하기 버튼을 통해 전문가와 무료로 상담받으세요.
