웹 방화벽 1대당 3,000~5,000만원 선

개인정보 보호위해 필수 솔루션으로 급부상

<잉카인터넷 E-Biz 사업본부 정연섭 이사> ⓒ보안뉴스

중국 해킹 키드들이 몇 년 전에 공개된 공격기법을 사용해 국내 웹 사이트를 지속적으로 공격하고 있다. 네트워크 상에서는 방화벽과 각종 보안 시스템이 구축되어 있어 해킹 고수들이 아니라면 뚫기가 힘들어졌다. 그래서 초보 해커들이 주로 사용하는 방법이 웹 취약점을 이용한 공격들이다.

웹 취약점을 이용한 공격을 방어하기 위한 보안 시스템이 바로 웹 애플리케이션 보안장비들이다. 최근 기업에서는 웹 공격을 예방하기 위해 웹 방화벽 구축에 열을 올리고 있다.

잉카인터넷 e-비즈 사업본부 정연섭 이사는 “웹 보안은 고객의 개인정보 유출을 방지하는데 가장 필수적인 솔루션이다. 고객 개인정보 DB에 접근을 차단하는 장비라고 할 수 있다. 060이나 각종 스팸메일 등이 사용하는 개인정보들도 대부분 내부 직원에 의해 유출됐거나 해킹을 통해 내부 DB를 훔쳐 내서 사용하는 것들이다”라고 말했다.

웹 보안에 신경을 써야하는 가장 큰 이유는 고객의 정보가 유출돼 이 정보를 이용해 악용하는 사례도 중요하지만, 정보유출 자체가 해당 기업에는 큰 이미지 손상이다. 신뢰성이 무너지고 만다. 이를 막기 위해서도 웹 보안은 중요하다.

웹 방화벽을 구축하기 위해서는 어느 정도의 비용이 들까. 일반적으로 웹 방화벽 한 대를 설치하려면 업체별로 다르겠지만 3~5천만원 정도가 들어간다. 또 1대당 감당할 수 있는 트래픽은 대략 1만명 정도에 달한다. 또, 1대당 동시 20만 세션을 커버할 수 있다. 또 유지보수 비용은 가격대비 연간 15~20% 정도 들어간다고 보면 된다.

모 웹 보안업체 관계자는 “국세청 같은 경우는 4대의 웹 방화벽이 들어가 있고 대략 100만 세션을 감당할 수 있으며, 추가적으로 더 들어갈 예정”이라고 말했다.

잉카인터넷 정연섭 이사는 “대학 사이트에는 보통 1대 정도면 처리가 가능하다”고 설명하고, 웹 방화벽 도입시, 고려해야할 사항에 대해 “장비지원이 어떻게 이루어 지는 지에 대해 파악해야 한다. 웹 방화벽이 고장이 난다해도 웹은 계속 돌아가기 때문에 지속적인 관제가 없으며, 웹 방화벽이 제대로 작동하는지 안하는지도 모르게 된다. 고장 유무를 알고 바로 대처할 수 있는 서비스 체계가 잡힌 회사제품을 사용하는 것이 좋다”고 설명했다.

최근에는 모든 장비들이 그렇듯이, 제품과 관리 서비스가 같이 이루어져야 한다. 단순히 제품만 구입해서는 보안담당자가 없는 경우 낭패를 볼 수 있다.

또 방화벽과 웹 방화벽을 혼돈하는 사람들이 있다. “방화벽이 설치돼 있으면 웹도 안전하다고 믿는 사람들이 있지만, SQL 인젝션 공격은 일반 방화벽만으로는 막을 수 없다. 웹 방화벽이 꼭 필요하다”고 전문가들은 말한다.

웹 방화벽은 이상 문자열을 이용해 웹의 취약점을 뚫고 들어오는 공격이기 때문에 네트워크 단에서 아무리 보안을 해도 쉽게 뚫리고 만다. 웹 방화벽을 설치해야하는 가장 큰 이유이다.

개발자들이 개발시 검색창만 잘못 만들어도 해커들은 이를 이용해 DB에 바로 접근할 수 있다. 그래서 위험하다.

국내 웹 방화벽 시장은 지난해부터 도입을 시작해 아마도 올해부터 절정기에 달할 전망이다. 전문가들도 그렇게 예상하고 있으며 웹 보안 업체들은 올해 매출 신장을 위해 마케팅에 전력을 투구하고 있는 것으로 알고 있다.

또, 웹 방화벽 시장은 국내 업체들이 강세를 보이고 있다. 공공기관에 조달하기 위해서는 CC 인증을 받아야 하는데 이를 위해서는 1년 정도의 시간이 필요하기 때문에 외국 업체들이 지금 국내에 들어와서 CC인증을 득하고 공공기관 영업을 하기란 쉬운 일이 아니다.

또한, 국내 웹 방화벽 업체들은 국내 상황에 맞게 방화벽을 개발해 왔지만, 외산들은 그렇지 못하다. 특히, 국내에서만 사용되는 주민등록번호, 신용정보 등을 보호하기 위해서는 외산보다는 국산이 훨씬 유리하다는 것이 사용기업측 입장이다.

현재 국내업체로는 잉카인터넷과 파이오링크, 모니터랩 등이 주축을 이루고 있으며, 안철수연구소도 웹 방화벽 시장에 합류했다.

대규모 공공기관에는 어느 정도 구축이 되고 있지만, 아직 시ㆍ군청 급에서는 지난해 말 도입을 시도하고 예산을 올렸지만 80~90% 정도가 예산심의 과정에서 짤렸다고 한다. 아직 웹 보안에 대한 인식이 낮은 이유에서다.

잉카인터넷 정연섭 이사는 “웹 방화벽은 개인정보 및 계정관리를 하는 곳에서는 필수적으로 도입해야 한다. 웹 방화벽이 비용상 부담되는 업체라면 월 임대형식으로도 가능하다”고 말하고 있다.

현재 시판되고 있는 웹 방화벽의 성능은 대부분 비슷하며, 신종 공격을 제외하면, 95~100%까지 막는다고 볼 수 있다. 신종 공격은 안티 바이러스 제품처럼 지속적인 업데이트를 통해 막아내는 수밖에 없다고 한다. 따라서 이러한 업데이트를 지속적으로 잘 지원해 줄 수 있는 업체를 선별하는 것도 중요하다.

또 웹 방화벽은 ‘네거티브 방식’보다는 ‘포지티브 방식’을 권장하고 있다. 포지티브 방식이란, 정책적으로 설정한 것 이외에는 모든 것을 차단하는 것이다. 관리자가 정한 것들만 통과할 수 있는 방식이다. 반면 네거티브 방식은 막아야 할 것만 정하고 나머지는 모두 통과되는 방식으로 웹 보안 전문가들은 포지티브 방식을 권고하고 있다. 하지만 이도 기업 환경에 맞게 설정하는 것이 바람직하다.

정 이사는 “대형 포털과 대형 게임사는 자체적으로 웹 방화벽을 구축해 관리하고 있으며, 웹 관리자는 정기적으로 OS 패치와 업데이트에 잘 관리해야 한다. 대부분 해커들이 공개된 취약점을 이용해 공격을 하기 때문에 패치만 잘해줘도 웹 공격의 상당수를 방어할 수 있다”고 설명했다.  

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>