지난해말 이후 웹게시판 프로그램의 취약점을 이용한 해킹으로 국내에서 수천개의 홈페이지가 연이어 변조되는 사태가 벌어지면서 급기야 최근 주의경보가 발령되기도 했다.
앞서 지난해 11월에는 서비스 이용대금 결제화면에서 HTML 소스파일의 내용을 변경하면 마일리지 충전이 되는 한 대형 게임포털의 보안 취약점의 이용해 시가 160억여원 상당의 사이버머니를 해킹해 폭리를 취한 사건이 검찰에 적발됐다.
또 지난해 10월에는 홈페이지 주소 입력창에 경쟁업체의 사업자등록번호를 입력하면 그 업체의 ID와 패스워드가 화면에 나타나는 한 대형 건설사 전자입찰시스템의 보안 취약점을 이용, 경쟁업체들의 입찰가를 알아내 총 7차례의 공사발주에서 130억여원어치의 공사를 따낸 건설업체 관계자들이 구속됐다.
최근 잇따르고 있는 이같은 사이버 침해사고의 공통점은 공격자들이 웹 애플리케이션의 취약점을 적절히 파고들었다는 것이다. 이처럼 웹 애플리케이션의 취약점을 노린 보안사고가 봇물을 이루고 그 피해양상도 금전을 노리는 것으로 확대되면서 그 대안으로 취약점을 찾아 적절히 방어할 수 있는 웹 애플리케이션 보안 솔루션이 부상하고 있다.
◇웹공격 75% 이상 애플리케이션 레벨에서=상점 또는 은행을 직접 찾아가서 하던 상품구입이나 은행업무를 인터넷을 통해 집이나 사무실에서 간단하게 해결하는 전자상거래가 가능해지는 등 기존의 각종 오프라인 서비스들이 점차 온라인으로 옮겨감에 따라 인터넷이 기업은 물론 일반인들의 생활 중심으로 변모하고 있다.
또 각 기업과 기관들은 이러한 편의 제공을 늘리기 위해 금융거래, 신용카드 정보, 개인정보 등을 다루는 웹 애플리케이션 이용을 확대하고 있다. 그런데 문제는 이러한 창구로 드나드는 정보는 개인과 조직의 정보를 포함해 사용자의 금융정보 등 악용될 경우 직접적이고 금전적인 피해를 입힐 수 있는 중요한 정보들을 포함하고 있다는 것이다.
해커들은 이러한 중요 정보에 접근하거나 악의적으로 서비스를 불가능하게 하기 위해 정보의 유일한 통로인 웹 애플리케이션으로 공격목표를 옮기는 추세인데, 보안사항이 고려되지 않은 웹 애플리케이션은 이러한 공격에 쉽게 무너질 수밖에 없는 처지에 놓여있는 것이 현실이다.
미국 FBI 발표에 따르면, 대기업의 90% 이상이 해커에 의한 피해를 경험했으며, 가트너에 따르면 웹 공격의 75% 이상이 애플리케이션 레벨에서 발생하며, 300개 사이트의 웹을 공격해본 결과 97% 이상의 공격 성공률을 보인 것으로 알려졌다. 물론 국내에서도 최근 들어 기업과 기관의 웹사이트 변조나 서비스 중단, 고객 정보유출 등 웹 애플리케이션 공격에 따른 피해사례가 속출하고 있다.
이는 외부와의 통신을 담당하는 웹 서버의 80, 443포트를 통해 수시로 해커들이 침입할 수 있다는 취약성에 노출돼 있기 때문이다. 그러나 해커의 공격을 우려해 통신을 막아둘 경우 인터넷 비즈니스를 통한 수익창출은 요원할 수밖에 없다는 것이 문제다. 또 기존의 방화벽이나 침입탐지시스템(IDS), 침입방지시스템(IPS) 등 레이어3나 레이어4 등 네트워크 계층의 보안 솔루션으로는 개방된 80, 443포트에 대한 필터링이나 웹 애플리케이션에 대한 필터링이 잘 이뤄지지 않는다는데 기업 보안담당자들의 고민이 있다.
이같은 현실은 특히 웹 서비스를 활용해 주요사업을 수행하고 있는 전자상거래 업체나 금융, 공공 등의 신용거래를 주로 하는 고객들에게는 매우 민감한 문제가 아닐 수 없으며, 이같은 새로운 유형의 웹 애플리케이션 침입에 대한 능동적인 방어의 필요성이 자연스럽게 제기될 수밖에 없는 것이다.
◇스캐너와 방화벽으로 구분=이처럼 웹 애플리케이션 보안 취약점 문제를 해결 수 있는 대안으로 부상하고 있는 웹 애플리케이션 보안 솔루션은 크게 웹 애플리케이션 취약성 분석도구(스캐너)와 웹 애플리케이션 방화벽으로 나뉘다.
웹 애플리케이션 취약성 분석 도구는 웹 서비스를 위한 서버, 미들웨어, 데이터베이스 등이 기존에 갖고 있는 문제점이나 설정 오류에서 기인한 취약성과 개발자들이 웹 서비스를 위해 만들어낸 소스에 내포돼 있는 취약성을 찾아 분석할 수 있는 툴이다. 또 웹 애플리케이션 방화벽은 분석도구로 진단한 취약성을 기반으로 자체 정책을 설정하고, 이를 기반으로 외부에서 들어오는 HTTP 요청을 필터링하는 역할을 하게 된다.
웹 애플리케이션의 취약성은 보안코딩을 하는 등 소스코드를 고치는 것이 가장 근본적인 해결방법이다. 그러나 소스코드를 고치는 것 자체가 쉬운 일이 아닌데다 많은 시간을 요한다는 점에서 웹 애플리케이션 보안 솔루션의 역할과 필요성은 앞으로 꾸준히 증대할 수밖에 없을 것으로 예상된다.
앞서 지난해 11월에는 서비스 이용대금 결제화면에서 HTML 소스파일의 내용을 변경하면 마일리지 충전이 되는 한 대형 게임포털의 보안 취약점의 이용해 시가 160억여원 상당의 사이버머니를 해킹해 폭리를 취한 사건이 검찰에 적발됐다.
또 지난해 10월에는 홈페이지 주소 입력창에 경쟁업체의 사업자등록번호를 입력하면 그 업체의 ID와 패스워드가 화면에 나타나는 한 대형 건설사 전자입찰시스템의 보안 취약점을 이용, 경쟁업체들의 입찰가를 알아내 총 7차례의 공사발주에서 130억여원어치의 공사를 따낸 건설업체 관계자들이 구속됐다.
최근 잇따르고 있는 이같은 사이버 침해사고의 공통점은 공격자들이 웹 애플리케이션의 취약점을 적절히 파고들었다는 것이다. 이처럼 웹 애플리케이션의 취약점을 노린 보안사고가 봇물을 이루고 그 피해양상도 금전을 노리는 것으로 확대되면서 그 대안으로 취약점을 찾아 적절히 방어할 수 있는 웹 애플리케이션 보안 솔루션이 부상하고 있다.
◇웹공격 75% 이상 애플리케이션 레벨에서=상점 또는 은행을 직접 찾아가서 하던 상품구입이나 은행업무를 인터넷을 통해 집이나 사무실에서 간단하게 해결하는 전자상거래가 가능해지는 등 기존의 각종 오프라인 서비스들이 점차 온라인으로 옮겨감에 따라 인터넷이 기업은 물론 일반인들의 생활 중심으로 변모하고 있다.
또 각 기업과 기관들은 이러한 편의 제공을 늘리기 위해 금융거래, 신용카드 정보, 개인정보 등을 다루는 웹 애플리케이션 이용을 확대하고 있다. 그런데 문제는 이러한 창구로 드나드는 정보는 개인과 조직의 정보를 포함해 사용자의 금융정보 등 악용될 경우 직접적이고 금전적인 피해를 입힐 수 있는 중요한 정보들을 포함하고 있다는 것이다.
해커들은 이러한 중요 정보에 접근하거나 악의적으로 서비스를 불가능하게 하기 위해 정보의 유일한 통로인 웹 애플리케이션으로 공격목표를 옮기는 추세인데, 보안사항이 고려되지 않은 웹 애플리케이션은 이러한 공격에 쉽게 무너질 수밖에 없는 처지에 놓여있는 것이 현실이다.
미국 FBI 발표에 따르면, 대기업의 90% 이상이 해커에 의한 피해를 경험했으며, 가트너에 따르면 웹 공격의 75% 이상이 애플리케이션 레벨에서 발생하며, 300개 사이트의 웹을 공격해본 결과 97% 이상의 공격 성공률을 보인 것으로 알려졌다. 물론 국내에서도 최근 들어 기업과 기관의 웹사이트 변조나 서비스 중단, 고객 정보유출 등 웹 애플리케이션 공격에 따른 피해사례가 속출하고 있다.
이는 외부와의 통신을 담당하는 웹 서버의 80, 443포트를 통해 수시로 해커들이 침입할 수 있다는 취약성에 노출돼 있기 때문이다. 그러나 해커의 공격을 우려해 통신을 막아둘 경우 인터넷 비즈니스를 통한 수익창출은 요원할 수밖에 없다는 것이 문제다. 또 기존의 방화벽이나 침입탐지시스템(IDS), 침입방지시스템(IPS) 등 레이어3나 레이어4 등 네트워크 계층의 보안 솔루션으로는 개방된 80, 443포트에 대한 필터링이나 웹 애플리케이션에 대한 필터링이 잘 이뤄지지 않는다는데 기업 보안담당자들의 고민이 있다.
이같은 현실은 특히 웹 서비스를 활용해 주요사업을 수행하고 있는 전자상거래 업체나 금융, 공공 등의 신용거래를 주로 하는 고객들에게는 매우 민감한 문제가 아닐 수 없으며, 이같은 새로운 유형의 웹 애플리케이션 침입에 대한 능동적인 방어의 필요성이 자연스럽게 제기될 수밖에 없는 것이다.
◇스캐너와 방화벽으로 구분=이처럼 웹 애플리케이션 보안 취약점 문제를 해결 수 있는 대안으로 부상하고 있는 웹 애플리케이션 보안 솔루션은 크게 웹 애플리케이션 취약성 분석도구(스캐너)와 웹 애플리케이션 방화벽으로 나뉘다.
웹 애플리케이션 취약성 분석 도구는 웹 서비스를 위한 서버, 미들웨어, 데이터베이스 등이 기존에 갖고 있는 문제점이나 설정 오류에서 기인한 취약성과 개발자들이 웹 서비스를 위해 만들어낸 소스에 내포돼 있는 취약성을 찾아 분석할 수 있는 툴이다. 또 웹 애플리케이션 방화벽은 분석도구로 진단한 취약성을 기반으로 자체 정책을 설정하고, 이를 기반으로 외부에서 들어오는 HTTP 요청을 필터링하는 역할을 하게 된다.
웹 애플리케이션의 취약성은 보안코딩을 하는 등 소스코드를 고치는 것이 가장 근본적인 해결방법이다. 그러나 소스코드를 고치는 것 자체가 쉬운 일이 아닌데다 많은 시간을 요한다는 점에서 웹 애플리케이션 보안 솔루션의 역할과 필요성은 앞으로 꾸준히 증대할 수밖에 없을 것으로 예상된다.
