Chapter 4 - Case Study

웹 보안 솔루션, 이렇게 활용하라

웹 애플리케이션 취약점 분석도구 활용

광범위한 웹 애플리케이션 취약점 검토와 보안감사 도구

IBM Rational AppScan은 최초 제조사인 Sanctum, Watchfire를 거치는 10년 이상의 세월을 거치면서도 그 최초의 목표인 광범위한 웹 애플리케이션에 대한 보안테스트를 통한 애플리케이션의 문제점 확인과 개발자에 대한 지원으로 안전한 웹 애플리케이션 개발과 운영상의 감사를 통한 보안성 향상을 지속적으로 지원하고 있다. 

2004년도에 국내에 처음 소개된 이래, 오랫동안 AppScan Desktop 감사도구를 중심으로 시장에 알려져 왔던 AppScan은 국내 40여개 이상의 고객사와 전 세계 1,000여개가 넘는 고객을 통해 그 품질과 완성도를 인지시켜왔으며 이제 전사적인 지원을 가능케 하는 AppScan Enterprise와 Tester 에디션을 통해 웹 애플리케이션 개발에서 운용에 이르는 다양한 사용자들이 각자의 역할에 따른 이용과 문제점에 대한 추적을 할 수 있는 웹 애플리케이션 보안 플랫폼으로 다시 소개되고 있다.

AppScan은 웹 애플리케이션에서 이용되고 있는 다양한 기술에 대한 지원, 서드파티 애플리케이션 취약점에 대한 분석 및 지원, 그리고 IBM Rational 보안팀의 강력한 지원으로 그 기능을 날로 강화하고 있으며 국내 사용자를 위한 제로보드, 제우스 취약점 업데이트를 시작으로 한국 내 서드파티 애플리케이션과 주요 이용 기술에 대한 지원을 강화해 나가도록 로드맵을 그리고 있다.

이러한 지속적인 지원의 성과로 많은 기업과 조직들이 웹 애플리케이션 취약점 분석 및 감사도구에 신뢰를 보이고 있고 악의적인 공격을 시뮬레이션 하여 실제적인 Exploit을 확인할 수 있다는 강점으로 AppScan은 그 사용자 층을 계속적으로 넓혀가고 있다. 이중에서도 A은행과 D은행, C포탈과 T통신사는 AppScan을 통해 개발시부터 운용에 이르는 웹 애플리케이션 SDLC에 대한 이용을 목적으로 운용하는 대표적인 고객사로서, 웹 애플리케이션 개발시의 가이드라인 및 지침 수립을 시작으로 운영중인 인터넷 서비스 시스템에 대한 보안 점검 및 주요 취약점 점검을 진행하고 실제 운영환경에 놓인 서비스에 대한 정기적인 전수 검사 및 중요 취약점의 확인 및 조치를 목적으로 AppScan을 운용하고 있다.

이들 고객들은 방화벽 및 침입탐지 시스템의 보안 기능을 우회하고 웹 애플리케이션 취약성을 이용한 해킹이 급증함에 따라 웹 애플리케이션 취약점 진단 도구를 도입하여 주기적인 자체 점검으로 웹 애플리케이션 보안성을 강화하기로 했다. 또 웹 애플리케이션 취약점 진단 도구를 도입해 자체적으로 개발(통합/테스트) 및 운영 단계에서 주기적인 웹 서비스의 취약점 진단 및 보완을 목적으로 AppScan을 도입하게 됐다. 

AppScan은 웹 애플리케이션 개발에 따른 SDLC에 따른 설계/개발 → 통합/검증 → 배포/운영의 단계에서 효율적인 감사와 검토를 위한 도구로 활용되고 있으며 이를 통해 웹 애플리케이션 점검에 필요한 시간과 인력 및 비용에 대한 부분을 최소화 할 수 있었다. 

이러한 운용은 단순히 일회성 점검을 목적으로 하는 것이 아니라 주기적이며 지속적으로 점검, 분석, 감시하여 웹 애플리케이션의 안전성에 대한 지속적인 강화가 가능하다. 이를 통해 개발자와 품질관리 및 보안 담당자가 해당 애플리케이션에 대한 문제점과 웹 애플리케이션의 문제점을 이해하고 안전한 애플리케이션 개발을 위해 이용할 수 있는 방법론과 메소드 및 절차를 숙지하여 새로운 웹 애플리케이션의 개발시 이에 대한 적용이 가능해 개발 초기부터 문제점을 극소화 시킬 수 있도록 도움을 제공하고 있다.

다양한 웹 애플리케이션 개발 및 운영 환경에서 이용되는 AppScan은 그 다양한 환경에 적합하게 운영될 수 있도록 설계 되었으며, 특히 확장 프레임워크는 모의해킹검사자의 능력을 AppScan의 점검 결과와 함께 결합하여 분석하고 결과를 제공할 수 있도록 하다. 또 사용자 정의 점검 정책을 통해서 자사의 애플리케이션에 적합한 취약점 점검 방법이나 개인정보에 대한 패턴 검색을 통한 점검을 진행해 보고할 수 있도록 한다.

이러한 웹 애플리케이션 취약점에 대한 검토 및 감사를 통해 해당 웹 애플리케이션의 구성과 기반환경에 대한 정보를 효과적으로 수집하며 수집된 정보를 기반으로 필요한 점검을 진행하는 AppScan이야 말로 First Line of Defense에서 악의적인 해커가 할 수 있는 행동패턴에 대한 광범위한 점검을 전제로 그 기능을 활용할 수 있다. 해당 도입사들의 기대 효과는 다음과 같다.

웹 애플리케이션 기반의 서비스에 대한 보안 수준 제고를 통한 웹 서비스 보안 사고의 예방

● 신규 웹 애플리케이션 서비스로의 운영 이전 단계 보안 취약점 도출, 보안 대책 비용 절감

● 주기적인 자체 웹 애플리케이션 취약점 진단으로 보안성 높은 대 고객 서비스 제공

● 개발자들의 안전한 웹 애플리케이션 개발에 대한 목표 의식 고취

AppScan은 이러한 목표와 기대효과에 적합한 제품으로 기존의 SDLC의 최소의 부분에 영향을 주면서도 최대의 효과를 낼 수 있도록 적용되었으며 이를 통해 위에 언급된 기대효과 외에도 산업표준 및 컴플라이언스 관련된 부분에 대한 감사의 제공으로 현재 어떤 수준의 안전성을 유지하고 있는지의 지표를 찾을 수 있으며 이를 통해 현재 주어진 웹 애플리케이션 개발과 이를 통한 서비스에서 최상의 효율을 얻고 있다.

<글·이동일 시드시스템 대표이사(jason@seedsystem.net)>

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>