시트릭스, 웹 공격 대비를 위한 보안 가이드라인 발표

애플리케이션 딜리버리 인프라스트럭처 분야 전문 선두기업 시트릭스시스템스코리아(지사장 우미영 www.citrix.co.kr)는 트래픽 공격 방어 등 네트워크 보안 수요가 급증하고 있는 온라인 비즈니스 업체들을 위한 보안 가이드라인을 제시하고, 철저한 준비를 통해 고객에게 신뢰받을 수 있는 보안성 높은 시스템을 갖추어야 한다고 제안했다.

올해 초 중국발 온라인 게임 서비스 업체에 대한 웹 트래픽 공격을 시작으로 최근 온라인 아이템 거래 업체 사이트들에 접속 폭주를 유발하는 DDoS(분산서비스거부) 공격이 발생, 서비스가 중단되는 바람에 1조원에 육박하는 사이버 머니 시장에 큰 타격을 입혔다. 온라인 거래 시장 규모가 확장되면서 지속적으로 늘어나고 있는 각종 해킹 및 트래픽 공격은 기업의 신뢰도에 큰 영향을 미칠 수 있으며 기반 통신망까지 흔들 수 있는 위협요소이다.

이에 따라 시트릭스는 금융, 전자상거래 등 온라인 비즈니스 및 서비스를 제공하는 기업들이 철저한 계획과 대비를 통해 안전하고 신뢰도 높은 웹 기반 서비스를 구현할 수 있도록 웹 공격 대비를 위한 보안 가이드라인을 제시했다.

금융 기관 및 인터넷 시장에 성공적으로 진입한 시트릭스 넷스케일러는 웹 가속 기능을 제공하는 L7 기반 애플리케이션 스위칭 장비로, 완벽한 DoS 및 DDoS 방어 기능을 제공한다. 특히 3way 방식을 이용한 DDoS공격이 이루어질 경우에도 안정적으로 서버를 보호할 수 있는 기능은 넷스케일러가 유일하다.  

우미영 시트릭스시스템스코리아 지사장은 “온라인 기반 비즈니스 기업을 대상으로 한 웹 공격이 올해 초부터 늘어나고 있으며, 다른 온라인 기반 비즈니스 업계에도 이어질 가능성이 높다”라며 “인터넷을 기반으로 대규모 거래가 이뤄지는 만큼 업체들이 보안 수준을 높이려는 노력이 필요하다”고 말했다.

시트릭스가 제시한 웹 공격 대비를 위한 보안 가이드라인은 다음과 같다.

1. 사용자와 애플리케이션 인프라스트럭처 자체를 모두 보호하라.

많은 기업들이 보안 정책을 수립할 때 애플리케이션 프로그램이나 데이터 보안에 국한하고 있으나 사용자와 애플리케이션 인프라스트럭처 전체에 대한 보안이 필요하다. 특히 공격 대상으로 하는 시스템의 리소스를 소모시키는 DoS공격과 좀비 머신 등을 활용하여 트래픽을 대량으로 발생시키는 DDoS 공격 등 시스템 자체에 대한 공격을 네트워크 장비단에서 차단할 수 있는 보안 정책이 고려되어야 한다.

2. 제로-데이 공격에 대비하라.

시스템 취약점에 대한 보완책이 발표되기 전에 공격이 이루어지는 제로-데이 공격(zero-day attacks)의 경우, 기존의 시그니처(Signature) 기반 솔루션으로는 대응이 어려우므로 허용 정책을 설정해 두는 포지티브 보안(positive security model) 방식을 통해 실시간 방어가 가능하다.

3. 주요 클로킹(cloaking) 기능을 활용하라.

불필요한 응답 헤더 제거, 내부 구조를 감추기 위한 URL 덮어쓰기 등의 기능을 활용하여 해커에게 노출될 수 있는 상세 정보를 최소화 한다.

4. 정상적인 트래픽과 악성 트래픽을 구분하라.

정상적인 사용자와 비정상적인 사용자(공격자)를 구분하는 것은 매우 어려운 기술이다. 시트릭스 넷스케일러와 같은 애플리케이션 인프라스트럭처 최적화 솔루션은 정상적인 패킷에 대한 화이트 리스트(White list)를 가지고 있어 비정상적인 트래픽을 막아낼 수 있다.

5. 다이나믹한 환경을 고려한 보안 정책을 수립하라.

실제 클라이언트 리퀘스트에 의한 컨텐트의 분석을 통해 어댑티브 애플리케이션 러닝(adaptive application learning)과 같은 방식으로 다이나믹 컨텐트를 위한 접근 방식에 대한 신뢰도를 강화할 수 있다.

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>