애플리케이션 보안이란 무엇입니까?

애플리케이션 보안(appsec)은 내부 및 외부 위협으로부터 웹 애플리케이션, 클라우드 애플리케이션 및 SaaS 앱과 같은 애플리케이션을 보호하기 위해 개발된 기술, 도구 및 프로세스를 말합니다. 웹 애플리케이션은 종종 중요 데이터를 포함하고 있고 여러 개의 네트워크를 통해 제공되기 때문에, 웹 애플리케이션 보안은 사이버 보안 전략의 중요한 부분이 되었습니다. 웹 애플리케이션 보안 솔루션에는 암호화 라우터와 같은 하드웨어, 보안 분석과 같은 소프트웨어, API를 보호하기 위한 통합 웹 애플리케이션 방화벽과 런타임 기능을 갖춘 애플리케이션 딜리버리 컨트롤러와 같은 앱 딜리버리 도구가 포함될 수 있습니다.

클라우드 애플리케이션 보안이란 무엇입니까?

클라우드 애플리케이션 보안은 Slack, MS Office 365 및 Sharefile과 같은 협업 클라우드 환경 내에서 데이터 교환을 보호하기 위한 솔루션 및 관행입니다. 일반적인 클라우드 애플리케이션 보안 조치에는 지점 사용자를 보호하기 위한 애플리케이션 보안 테스트와 보안 웹 게이트웨이가 포함됩니다. 클라우드와 SaaS 앱, 클라우드의 IoT 기기 및 호스팅 애플리케이션의 인기가 높아지고 있기 때문에, 클라우드 애플리케이션 보안은 모든 애플리케이션 보안 솔루션의 중요한 부분입니다.

또 다른 중요한 요소는 클라우드 애플리케이션 보안 아키텍처입니다. 엔터프라이즈 기술 인프라는 하이브리드 클라우드 구축 및 멀티 클라우드 환경 쪽으로 지속적으로 발전하고 있으므로, 기업은 클라우드 애플리케이션 보안이 구성되는 방법을 총체적으로 파악해야 합니다. 이것은 클라우드 애플리케이션 보안 아키텍처로 알려져 있습니다. 엔터프라이즈 데이터 센터 구축, 애플리케이션 게이트웨이, 클라우드 서비스 및 신원 확인 시스템과 같은 클라우드 연결의 맥락에서 자사의 클라우드 애플리케이션 보안을 평가한 후, 기업은 클라우드 앱 내에서 중요 데이터를 보호하는 클라우드 애플리케이션 보안 아키텍처를 설계할 수 있습니다.

  • 엔터프라이즈 애플리케이션 보안이 중요한 이유는 무엇입니까?
  • 일반적인 애플리케이션 보안 도구에는 어떤 것이 있습니까?
  • 애플리케이션 보안 모범 사례

엔터프라이즈 애플리케이션 보안이 중요한 이유는 무엇입니까?

기업들은 수십 년간 애플리케이션에 의존해 왔지만, 엔드 유저가 요구하는 비즈니스 앱의 대부분은 웹 앱 또는 클라우드 애플리케이션입니다. 또한 기업들이 애플리케이션을 위한 클라우드 스토리지와 클라우드 구축에 의존하는 것도 드문 일이 아닙니다. 서버 기술, 데이터 케이스 및 CGI, Java, JavaScript, PERL, PHP와 같은 웹 사이트 지원 기술은 모두 근본적인 보안 취약점을 안고 있기 때문에 이를 통해 공격 위험이 늘어나게 됩니다. 또한 웹 지원 애플리케이션과 통신하는 브라우저 및 기타 클라이언트 애플리케이션도 공격자가 이용할 수 있는 약점을 안고 있습니다. 이러한 웹 애플리케이션은 모두 여러 개의 네트워크 및/또는 클라우드에 연결되어 있기 때문에, 하나의 웹 앱이 침해되면 기업 전체가 쉽게 침해될 수 있습니다.

침해 중 43%는 웹 애플리케이션에 대한 공격이 포함되어 있습니다1. 또한 기업이 클라우드 서비스에 더 많이 의존함에 따라, 공격자들은 클라우드 앱, 클라우드 인프라에서 호스팅되는 앱 및 기타 클라우드 리소스에 대한 공격을 더 많이 수행하게 될 가능성이 높습니다. 클라우드 애플리케이션 보안 침해의 동기 중 대부분은 돈이며, 대부분의 경우 중요 데이터와 사적인 정보를 입수하고 대가를 요구하거나 웹 사이트 또는 웹 서버에 대한 무단 액세스 또는 제어 권한을 얻는 방법을 사용합니다. 보안 위험을 완화하기 위해, 기업들은 클라우드 애플리케이션, 모바일 애플리케이션 및 SaaS 앱과 같은 앱 인프라 전체를 망라하는 소프트웨어 보안 솔루션이 필요합니다.

일반적인 애플리케이션 보안 도구에는 어떤 것이 있습니까?

애플리케이션 중 83%는 보안 결함이 있으며, 5개의 애플리케이션 중 1개가 심각한 수준의 결함을 최소 1가지 이상 가지고 있습니다2. 이 점을 고려할 때, 최고의 웹 애플리케이션 보안은 다수의 공격 벡터로부터 웹 및 클라우드 애플리케이션을 보호하기 위한 다계층으로 구성되어 있습니다. 애플리케이션 보안 도구는 다양하며, 크게 개발 수준의 보안과 IT 수준의 보안으로 나눌 수 있습니다.

개발 수준계에서의 애플리케이션 보안

애플리케이션의 보안 유지는 보안 개발 관행을 사용하여 소스 코드를 생성하는 것을 통한 소프트웨어 개발 라이프사이클로 시작됩니다(이것은 DevSecOps와 관련되어 있음). 안전한 코딩을 위해서는 sql 주입, DDoS, 맬웨어, 서비스 거부 및 인증 결함과 같은 웹 애플리케이션에 대한 일반적인 공격을 인지해야 합니다. OWASP 10대 위협3은 개발자들이 소스 코드에서 처리해야 하는 웹 애플리케이션 보안 위협과 관련해 인기 있는 목록입니다. 소프트웨어 업데이트로 인해 새로운 애플리케이션 취약성이 생겨날 수 있기 때문에, 개발자들이 애플리케이션 보안 테스트를 사용하여 애플리케이션의 수명 전반에 걸쳐 결함을 찾아내는 것이 중요합니다. 오픈 소스 애플리케이션은 공격자들이 취약성을 찾아내기 더 쉽기 때문에 특히 이 사항이 더욱 적용됩니다.

Gartner에서는 IT 관리자가 애플리케이션 개발 보안 오류를 식별하는 것뿐만 아니라 일반적인 공격 방법에 대해서도 방어해야 한다고 설명합니다4. 이 점은 조직이 자체적으로 구축하지 않은 웹 애플리케이션에 의존하는 경우 특히 적용됩니다. 소프트웨어 보안을 위해서는 식별 가능한 이력 및 특성에 대한 알려진 공격은 물론 알려지지 않은 공격도 차단할 수 있는 방어 체계가 필요합니다. 알려지지 않은 공격은 많은 경우 조직의 웹 사이트 및 웹 서비스에 대한 정상적인 트래픽과는 달라 보이기 때문에 감지됩니다.

Citrix Application Security가 일관된 보안 태세를 유지하는 데 도움이 되는 방법에 대해 알아보십시오.

Citrix 애플리케이션 보안은 앱 및 API로 구성된 에코시스템을 보호하는 프로세스를 간소화함으로써 위협으로 인한 침해가 발생하기 전에 이를 저지할 수 있는 총체적인 가시성을 제공하여 IT 부서에 권한을 부여합니다.

IT 수준에서의 애플리케이션 보안

  1. 보안 애플리케이션 딜리버리
    멀티 클라우드 인프라를 채택하는 조직이 늘어남에 따라, 이들은 API와 모놀리식 및 마이크로서비스 기반 애플리케이션을 보호할 수 있는 강력한 애플리케이션 보안 태세가 필요합니다. 가장 좋은 솔루션은 강력한 애플리케이션 딜리버리 보안을 갖추는 것인데, 여기에는 모든 ADC 폼 팩터 전반에 걸쳐 단일 코드 베이스를 공유하는 애플리케이션 딜리버리 컨트롤러(ADC)가 포함됩니다. 이를 통해 IT 부서는 좀 더 쉽게 특정 IP 주소를 화이트 리스트 또는 블랙 리스트로 만들거나 TLS를 사용하여 클라이언트와 API 서버 간에 이동 중인 API를 암호화하는 것과 같은 일관된 보안 정책을 멀티 클라우드 환경 전체에 걸쳐 적용할 수 있게 됩니다.
  2. 애플리케이션 딜리버리 관리
    또 다른 일반적인 애플리케이션 딜리버리 보안 솔루션은 ADC를 애플리케이션 딜리버리 관리(ADM) 플랫폼과 페어링하는 것입니다. ADM 솔루션은 분산된 환경 전체에 걸쳐 모놀리식 및 마이크로서비스 기반 애플리케이션 딜리버리에 대한 가시성을 제공합니다. 이를 통해 IT 관리자는 앱 및 API의 성능과 사용에 대한 인사이트를 얻을 수 있기 때문에 의심스러운 활동이나 성능 저하에 대해 플래그를 지정할 수 있습니다.
  3. 애플리케이션 데이터 보안
    애플리케이션은 기업 전체에 걸쳐 받은 데이터에 액세스하기 때문에, 애플리케이션 데이터 보안이 매우 중요합니다. 일반적인 애플리케이션 데이터 보안 방법으로는, 엔터프라이즈 데이터 센터 내에서 중요 데이터를 중앙 집중화 및 호스팅하는 것, 보안 파일 공유를 채택하여 데이터 손실을 줄이는 것, 그리고 이동 중 및 휴면 중인 데이터를 컨테이너화 등이 있습니다. 이러한 조치는 애플리케이션이 필요한 데이터에만 액세스하고 이 액세스가 사이버 공격으로부터 보안을 유지하도록 보장하는 데 도움이 됩니다.
  4. 웹 애플리케이션 방화벽
    웹 애플리케이션에 대한 새로운 위협이 지속적으로 나타나고 있기 때문에, 알려진 그리고 알려지지 않은 공격 모두에 대해 웹 앱을 보호하는 것이 중요합니다. 웹 애플리케이션 방화벽은 이들이 AI 및 머신 러닝을 사용하여 사용자 상호작용과 앱 작동을 모니터링하는 긍정적인 보안 모델을 채택할 경우 특히 검증된 솔루션입니다. 이것은 조직들이 알려지지 않은 공격을 완화할 수 있도록 지원하고, 더욱 신속한 재구성을 위한 인사이트를 제공하고, PCI-DSS와 같은 표준 준수를 보장하는 데 도움이 됩니다. 웹 애플리케이션 방화벽은 많은 경우 앱 딜리버리 컨트롤러 내에 통합되지만 독립 실행형 또는 호스팅형 서비스로도 사용 가능합니다.
  5. 액세스 보안 및 애플리케이션 보안 정책
    클라우드 애플리케이션은 기본적으로 어디에서나 원격 직원이 액세스할 수 있습니다. 따라서 조직들은 공격자들을 배제할 수 있도록 이러한 웹 및 클라우드 앱에 대한 안전한 상황별 액세스를 보장하는 애플리케이션 보안 정책 도구를 채택해야 합니다. 액세스 제어는 클라우드 애플리케이션에 대한 액세스 권한을 부여하기 전에 원격 사용자들이 다단계 인증으로 신원을 확인하는 것을 강제하기 때문에 제로 트러스트 보안과 밀접한 관련이 있습니다. 애플리케이션 보안 정책 도구, 싱글 사인온(SSO) 솔루션의 사용자 환경을 간소화하는 것은 보안 액세스를 사용 편의성과 결합할 수 있는 일반적인 방법입니다.
  6. 보안 디지털 업무 공간
    직원들은 모든 종류의 모바일 기기, 심지어 개인용 기기로부터 클라우드 애플리케이션 및 클라우드에서 호스팅된 애플리케이션에 액세스하기를 원합니다. BYOD 정책을 지원하는 동시에 애플리케이션을 보호하려면 원격 직원에게 보안 디지털 업무 공간에 로그인하여 모든 클라우드 앱에 액세스하도록 하는 것이 도움이 됩니다. 이를 통해 직원들이 하나의 업무 공간에서 업무를 처리하는 데 필요로 하는 모든 것을 제공하고 IT 부서가 온프레미스 데이터 센터 방화벽과 같은 해당 업무 공간에 보안 프로토콜을 추가적으로 적용할 수 있도록 하여 데이터 보안과 클라우드 애플리케이션 보안을 개선할 수 있습니다.
  7. 네트워크 보안
    원격 직원과 지점 직원이 클라우드 애플리케이션에 액세스해야 할 경우에는 강력한 사이버 보안이 결여된 로컬 인터넷 연결에 의존할 수 있습니다. 로컬 인터넷 침투로부터 이러한 공격 표면을 보호하려면 조직은 WAN Edge에서 강력한 보안을 유지하는 통합된 SD-WAN 솔루션을 채택해야 합니다. 여기에는 애플리케이션 및 구역에 의해 트래픽을 제한하거나 거부하는 트래픽 정책을 IT 팀이 중앙에서 정의할 수 있도록 하는 상태 방화벽이 포함됩니다.
  8. 모니터링 및 분석
    정기적인 애플리케이션 보안 테스트와 기타 클라우드 애플리케이션 보안 체계가 갖추어져 있더라도 조직이 SaaS, 클라우드 및 모바일 앱 전체와 그 사용 방법 전체에 걸쳐 가시성을 확보하는 것이 중요합니다. 바로 이 부분에서 애플리케이션 모니터링 및 분석을 사용할 수 있습니다. 이러한 도구는 모든 사용자와 애플리케이션 전체에 걸쳐 연속적인 위험 평가를 제공하며, 외부 또는 내부 공격이 침해로 이어지기 전에 이를 감지하기 위해 비정상적인 행동을 플래그 지정합니다. 앱 모니터링 및 분석 도구를 애플리케이션 딜리버리 관리 솔루션에 통합하여 조직의 앱 딜리버리 인프라의 모든 환경에 걸쳐 가시성을 제공하는 것이 일반적입니다.

애플리케이션 보안 모범 사례

대기업은 평균 129가지의 애플리케이션에 의존하고 있기 때문에5, 애플리케이션 보안을 시작하는 일은 엄청난 과제로 보일 수 있습니다. 그럼에도 불구하고, 모든 조직은 이러한 애플리케이션 보안 모범 사례를 따르는 것부터 시작하여 애플리케이션 인프라 보안 개선의 첫 걸음을 뗄 수 있습니다.

  1. 애플리케이션 보안 평가
    첫 번째 애플리케이션 보안 모범 사례는 애플리케이션 보안 평가를 수행하는 것입니다. 이렇게 하면 어떤 애플리케이션을 가지고 있는지, 누가 사용하고 있는지, 어떤 규제 준수 또는 규제 요구사항을 따라야 하는지 파악할 수 있습니다. 첫 번째 지점을 통해 테스트를 수행하고 보안을 유지해야 하는 애플리케이션이 무엇인지 정확하게 평가할 수 있으며, 두 번째 지점은 제로 트러스트를 생성하고 조직에 맞는 보안 프로토콜에 액세스하는 데 도움을 줄 것입니다. 마지막으로, 규제 준수 질문은 애플리케이션이 액세스할 수 있는 모든 사적인 정보에 대한 데이터 보안을 보장하는 가장 좋은 방법을 파악하는 데 도움이 됩니다. PCI DSS 및 HIPAA와 같은 요구사항에는 웹 애플리케이션에 있는 데이터의 보안을 어떻게 유지해야 하는지에 대한 자체 규칙이 있습니다.
  2. 애플리케이션 보안 테스트
    보유하고 있는 모든 애플리케이션과 사용자를 명확히 볼 수 있게 되면, 클라우드 및 웹 애플리케이션의 보안을 테스트할 시점이 됩니다. 이 애플리케이션 보안 모범 사례는 이러한 애플리케이션에서 잠재적인 취약성과 보안 문제을 식별하여 향후 침해를 방지하는 데 도움이 됩니다. 잠재적인 편견이나 내부적인 사각 지대를 피하기 위해 타사 보안 테스트 도구 또는 침투 테스트 서비스를 사용하는 것이 도움이 됩니다.
  3. 취약성 해결
    테스트를 통해 애플리케이션의 잠재적인 취약성을 확인하고 나면, 애플리케이션 보안 모범 사례에 따라 이러한 약점을 해결하는 보안 프로그램을 채택하는 것입니다. 이것은 엄격한 소프트웨어 업데이트 일정을 구현하여 조직의 모든 구성원이 최신 보안 패치를 사용하도록 보장하는 것을 의미할 수 있습니다. 또한 액세스 보안, 정보 보안 및 모바일 보안을 보장하는 데 도움을 줄 수 있는 외부 기술 벤더 또는 보안 팀을 참여시키는 것도 좋은 생각입니다. 이렇게 하면 애플리케이션 포트폴리오에 맞는 애플리케이션 보안 도구를 채택하는 데 도움이 되며, 불필요한 부문에 지출을 아낄 수 있습니다.

추가 자료