WAAP(Web App and API Protection)란 무엇입니까?
WAAP (Web App and API Protection)는 API 및 웹 애플리케이션의 보안 위험을 완화하기 위해 함께 작동하는 통합 보안 서비스 집합을 의미합니다.
WAAP 솔루션은 취약점 공격, 봇, 자동화된 공격, 서비스 거부, 사기 및 악용, 안전하지 않은 타사 API 통합으로부터 애플리케이션 보안 위험을 차단합니다.
통합된 보안 제어를 통해 조직은 특정 공격을 차단하고 여러 위협 벡터에 걸쳐 조정된 위협 캠페인을 식별할 수 있는 실행 가능한 통찰력을 통해 가시성을 개선할 수 있습니다.
고객을 설득력 있고 안전한 디지털 환경으로 끌어들이는 것은 보안 및 리스크 리더의 비즈니스 필수 사항이자 핵심 초점입니다. 보안과 사용성의 균형을 맞추려는 위험 대 보상 계산 논법은 현대 디지털 경제에서 지금처럼 어렵거나 중요하거나 수익성이 좋지 않았습니다.
전례 없는 선택지, 마찰 또는 실패에 대한 낮은 고객 허용치, 규제 영향의 증가로 인해 보안에 대한 관점이 비용 중심에서 경쟁력 있는 디지털 차별화 요소로 바뀌고 있습니다. 또한 애플리케이션은 점점 더 탈중앙화하여 분산되고, 각기 다른 여러 클라우드 아키텍처에 걸쳐 배포되고, 복잡한 소프트웨어 공급망 및 CI/CD 파이프라인 내에서 통합되고 있습니다.
그림 1: 점점 탈중앙화하여 분산되고 있는 앱
점점 더 고도화되는 봇 및 자동화된 공격과 모바일 앱 사용 증가 및 최신 앱 개발로 인한 API 엔드포인트의 급증은 위협 표면을 대폭 확장하고 타사 제품 통합으로 인한 예기치 못한 위험을 발생시킵니다.
산업화된 공격 수명 주기는 자동화에서 시작하여 계정 탈취와 사기로 끝납니다.
그림 2: 지속적이고 정교한 애플리케이션 공격
WAAP 솔루션은 WAF 시장의 인접 영역, 특히 Bot 관리, API 보안 및 DDoS 방어 영역으로의 진화를 나타냅니다.
클라우드 기반 DDoS 스크러빙 센터와 통합되는 WAF는 WAF가 데이터 센터, 프라이빗 클라우드 또는 퍼블릭 클라우드의 하드웨어 또는 가상 어플라이언스인지에 관계없이 사실상 WAAP로서의 자격을 갖추었습니다. 그러나 시장은 많은 조직이 클라우드 기반 WAAP 플랫폼을 서비스형 보안의 형태로 선호하는 변곡점에 놓여 있습니다.
클라우드 기반 WAAP 플랫폼에 대한 관심이 높아지고 있는 몇 가지 동인이 있습니다.
- 사기 및 악용 방지를 위한 전문 Bot 관리 기술의 필요성
- 타사 제품 통합으로 인한 위험을 완화할 수 있는 API 탐색 및 적용 제어
- API, 개발 프레임워크 및 CI/CD 파이프라인을 통한 지속적인 정책 유지 관리
- 인간이 구동하는 AI를 이용한 자동화된 보호 및 거짓 양성 수정
비즈니스 결과에 초점을 맞춘 클라우드 기반 보안 서비스와 통합되는 어플라이언스 기반 WAF는 BFSI(Banking and Financial Services)와 같이 규제가 많은 업계에서 실행 가능한 옵션으로, 심지어는 선호되는 옵션으로 계속 사용될 것입니다.
WAAP 솔루션은 애플리케이션을 보호하기 위한 다양한 보안 제어를 통합하여 손상, 데이터 유출, 계정 탈취 및 애플리케이션 중단의 위험을 완화합니다.
- WAF (Web Application Firewall)
- Bot Management
- API 보안
- DDoS 완화
WAAP 솔루션은 여러 가지 폼팩터에서 사용할 수 있습니다.
- 클라우드 기반 보안 서비스와 통합되는 물리적/가상 WAF 어플라이언스
- 클라우드 기반 보안 서비스와 통합되는 마이크로서비스 기반 WAF 인스턴스
- 통합 WAF, 봇, API 및 DDoS 보안 제어가 있는 클라우드 기반 WAAP 플랫폼
또한 WAAP 솔루션에는 악의적인 스크립트/스키밍(예: Magecart 공격)을 탐지하는 클라이언트 측 보안, 악의적인 애그리게이터를 통한 공격을 방지하는 보안 제어, 수동 사기로부터 계정 탈취를 방지하는 계정 보호가 포함됩니다.
Application Infrastructure Protection(AIP) 솔루션은 동적 취약점 발견 및 클라우드 워크로드 보안을 통해 앱 보안을 강화하고 복원 능력을 개선함으로써 WAAP 제어와 통합하여 기본 인프라의 부당 이용 및 악용을 방지합니다.
F5 Distributed Cloud WAAP는 모든 아키텍처, 클라우드 및 운영 모델에 기본적으로 적합하며, 보안 및 위험 팀에 보편적인 가시성과 일관된 정책 시행을 제공하여 코어에서 클라우드, 엣지에 이르기까지 레거시 앱과 최신 앱을 보호합니다. Distributed Cloud WAAP 솔루션은 배포 모델 및 운영 모델과 관련하여 유연성과 선택권을 제공합니다.
대규모 실제 데이터 레이크 및 머신러닝 알고리즘과 결합된 탁월한 관찰 기능을 통해 F5 고객은 AI 기반 부가 가치 서비스(VAS)를 채택할 수 있습니다. 예를 들어 Authentication Intelligence는 개인화를 개선하고 마찰을 제거하여 보존, 변환 및 충성도를 증가시킴으로써 합법적인 고객 트랜잭션을 최적화합니다.
그림 3: F5 Distributed Cloud WAAP(Web App and API Protection) 플랫폼
