WAF·API 보안·디도스 방어·봇 관리·계정탈취 차단 통합한 강력한 WAAP 지원
적응형 보안엔진으로 오·미탐 제거하며 공격 원천 차단…API 가시성·보안 지원
[데이터넷] API가 새로운 공격 통로로 이용되고 있다. 클라우드 확대로 API 통신이 지난해보다 30% 증가했으며, API의 취약점과 잘못된 설정을 악용한 공격이 이어지고 있다. 가트너는 “2022년까지 API 남용이 기업 웹 애플리케이션 데이터 유출을 초래하는 가장 빈번한 공격 벡터가 될 것”이라고 경고한 바 있으며, OWASP는 2019년 새롭게 API 보안 톱 10을 발표하면서 API 보안 위협을 정리했다.
아카마이의 엘리트 파트너 메가존소프트의 최영훈 매니저는 “API는 다양한 애플리케이션을 쉽게 연결할 수 있어 애플리케이션 개발 속도를 빠르게 하고 클라우드를 유연하게 만들 수 있어 사용기반이 빠르게 확대되고 있다. 그만큼 보안 리스크도 높아지고 있는데, API의 취약점이나 잘못된 설정이 기존의 애플리케이션은 물론 새롭게 설계·개발되는 애플리케이션에 심각한 영향을 미칠 수 있다”고 말했다.
CDN 기술 탑재해 서비스 속도 개선하면서 지능형 보안 제공
데이터넷TV ‘제 4회 클라우드 보안·서비스 인사이트 2022’ 웨비나에서 최영훈 매니저는 API 보안의 중요성에 대해 언급하며 API 보안 위협은 웹 애플리케이션 보안에 통합되는 웹·API 보안 플랫폼(WAAP)으로 해결할 수 있다고 강조했다.
실제로 OWASP의 2019년 API 보안 톱 10의 내용은 2021년 웹 보안 위협 톱10에 그대로 유지되고 있어 API 보안은 통합된 웹 보안으로 해결할 수 있다는 것이 업계 중론이다. 그래서 가트너는 API 보안을 통합한 WAAP가 대세를 이룰 것이라고 강조했다. WAAP는 웹방화벽, 디도스 방어, 봇 차단, API 보안 등의 기능을 통합해 클라우드로 제공하는 모델이다.
이 분야에서는 아카마이가 세계적으로 가장 앞선 리더십을 갖고 있다. 아카마이는 전 세계 137개 이상 국가, 250개 이상 데이터센터, 4100개의 PoP에서 인텔리전트 엣지 기반 보안 서비스를 제공한다. 매일 130TB의 새로운 공격 데이터를 수집, 분석하며, 한 해 7억개 이상 웹 공격 방어를 제공한다. 아카마이 인텔리전트 엣지 플랫폼에서는 DNS 보안, 웹방화벽, 웹사이트 보호, API 가시성과 보호, 봇 매니저, 클라이언트 평판 분석 등의 기능을 제공한다.
최영훈 매니저는 “아카마이는 업계 최고의 클라우드 보안 역량과 기술력을 가진 기업이다. 특히 CDN 전문기업의 장점이 보안 서비스에도 적용돼 서비스 속도를 개선하면서 엔드 투 엔드 보안이 가능한 클라우드 기반 보안을 제공한다”며 “인텔리전트 엣지를 통해 제공되는 아카마이의 인라인 다층방어 시스템은 고객의 비즈니스에 전혀 영향을 미치지 않고 공격이 시작되는 점에서 차단한다”고 말했다.
강화된 보안·편리한 운영환경 제공
아카마이는 진화하는 웹·애플리케이션과 API 공격 방어를 위한 WAAP로 ‘AAP(App & API Protection)’를 소개한다. AAP는 지능형 웹 보안, IP와 지역별로 제어하는 웹 방화벽, 디도스 방어, DNS 보안, 봇 가시성과 액세스 제어, API 보안, 클라이언트 평판 관리, 계정탈취 공격 방어 등 다양한 웹 공격 방어 기술이 통합된 플랫폼이다.
AAP는 자동화된 탐지·차단은 물론, 기업·기관이 직접 수동으로 작업으로 탐지 룰 세팅도 가능하다. 지속적인 운영을 통해 탐지룰을 개선하면서 정확도를 높이는데, 이를 위한 적응형 보안엔진 ASE를 적용해 더 강력하고 정확한 탐지를 제공한다.
ASE는 오탐과 실제 공격을 정확하게 구별하고, 세분화된 검사도 오탐을 피한다. 정책의 자동 업데이트와 간단한 셀프 튜닝, 위험 수준에 따른 스코어링 기반 탐지·대응을 적용해 제로데이와 정교한 웹 위협에 선제적으로 대응하며, 오탐·미탐을 낮춰 높은 탐지 정확도를 제공한다.
AAP에는 아카마이를 우회한 데이터센터 오리진 서버를 직접 공격하는 것도 방어할 수 있는 ‘사이트 실드(Site Shield)’가 통합돼 있다. 이는 고객 인프라에 도달하는 통신을 아카마이 사이트 실드로만 한정해 공격을 원천 차단한다.
클라이언트 평판 분석으로 도스·디도스 방어, 불법 웹 스크래핑 차단, 위험한 스캐닝 차단, 웹 공격 방어 등의 기능도 제공하며, 지역별 접근 허용·차단 정책으로 위험한 지역·국가에 대한 차단이 가능하다.
애플리케이션 보안의 중요한 과제 중 하나는 보안팀이 정책을 배포하고, 애플리케이션 룰 구성 변경과 업데이트를 수동으로 해야 한다는 것인데, 애플리케이션이 변경되는 동안 최신 위협을 파악하고, 평가하는데 복잡하고 많은 시간이 소요된다.
아카마이 AAP는 높은 관리 유연성을 제공, 자동화된 맞춤형 보안과 수동·평가모드를 함께 제공해 구현 환경에 최적화된 오탐·미탐 최소화와 최신 위협으로부터 보호가 가능하다.
광범위한 분산환경에서도 API에 대한 정확한 가시성을 확보할 수 있게 하며, 인터넷에 무단으로 노출된 시스템과 애플리케이션을 찾아 수정할 수 있게 하고, 탐지된 API의 위협 수준을 평가해 보완할 수 있게 한다.
최영훈 매니저는 “아카마이 AAP는 가트너이 ‘WAAP 분야 매직쿼드런트 2021’에서 비전 완성도, 실행능력에서 가장 앞선 역량을 갖춘 업계 최고 기업으로 꼽혔다. 이에 앞서 아카마이는 5년 연속 SWG, API 보안 분야 리더로 자리잡아왔다”며 “아카마이 엘리트 파트너인 메가존소프트는 아카마이 AAP 솔루션을 포함한 아카마이의 진화한 보안 기술로 지능화·다각화되는 웹 공격을 원천 차단하고 고객의 비즈니스 성장을 지원할 수 있다”고 말했다.
