수억개의 웹사이트가 존재하고, 대부분의 기업들은 자사의 홈페이지를 보유하고 있다. 스타트업부터 개인 사업자까지, 웹을 통한 비즈니스를 꾀하고 있다. 문제는 웹사이트의 보안 상태다. 이곳이 뚫리면 해커를 내부로 초대하는 길이 된다.

웹사이트는 기업 내부 시스템으로 연결되는 최앞단의 게이트웨이와 마찬가지다. 이 때문에 웹방화벽을 비롯한 웹보안에 대한 중요성이 강조되고 있지만, 실제 상당수 웹페이지는 기본적인 보안체계조차 갖추지 못하고 있다.

정태준 펜타시큐리티 기획실 e비지니스부장은 “전세계 수억개 웹사이트 중 웹방화벽을 사용해 보안을 꾀하는 곳은 1~2% 수준으로 추산된다”며 “해킹에 대한 최소한의 안전장치조차 만들지 못하는 곳들이 수두룩하다”고 말했다.

◆“웹방화벽, 선택 아닌 필수” = 웹사이트를 보호하는 기본적인 방어체계가 필요한 이유는 최근 벌어지고 있는 일련의 해킹 사례만 살펴봐도 알 수 있다.

가상화폐 관련 커뮤니티에서는 거래소 계정을 해킹당했다는 글을 종종 볼 수 있다. 갑자기 가상화폐 지갑에 있는 돈이 모두 증발했다는 것이다. 이러한 공격 수법은 주로 취약한 웹사이트 해킹을 통해 이뤄진다.

정 부장은 “해커는 사용자가 이용하는 다른 웹사이트를 해킹해 아이디와 패스워드 등 개인정보를 획득, 같은 패스워드를 사용하는 곳의 계정을 탈취한다”며 “동일한 계정정보를 이용하는 사용자가 많기 때문에 이를 악용하고 있으며, 거래소 계정 탈취도 이와 같은 방식을 쓴다”고 말했다.

펜타시큐리티에 따르면 랜섬웨어도 40%에 달하는 비율로 웹 어플리케이션을 활용해 침투한다. 또, 사물인터넷(IoT)도 웹으로 통신하고 있다. 모바일 기기부터 커넥티드카까지 다양한 IoT 기기가 연결되고 있다. 웹보안의 중요성이 점점 커지는 대목이다.

상황은 이러하지만 아직도 해킹은 남의 일이라고 생각해 보안을 취약하게 운영하는 곳들이 많다. 타깃을 정해 공격하는 사례도 있지만, 무작위로 취약한 곳을 찾아 위협하는 경우도 대다수다.

정 부장은 “특정 의도를 가지고 해킹을 시도하는 것 외에도 무작위로 스캔툴을 돌려 취약점을 찾기도 한다”며 “본인의 웹사이트는 공격을 받지 않는다고 말한 고객도, 정작 클라우드브릭을 설치했을 때 무수히 많은 해킹 트래픽을 탐지해 놀라기도 한다”고 설명했다.

◆펜타시큐리티, 클라우드브릭으로 웹사이트 보안수준↑=이에 펜타시큐리티는 웹방화벽(WAF) 서비스인 클라우드브릭을 통해 규모에 상관없이 웹사이트 운영자라면 누구나 기본적으로 보안을 적용할 수 있도록 서비스를 제공하고 있다.

웹방화벽은 웹사이트 운영자가 웹 공격 또는 개인정보를 노리는 해커들로부터 자신의 웹사이트를 안전하게 보호하도록 도와주는 장치다.

클라우드브릭은 100% 자체 기술을 기반으로 하고 있다. 논리 기반 탐지 엔진은 시맨틱, 휴리스틱, 패턴 매칭 방식으로 동작해 악의적인 웹 트래픽의 가능성을 일체 차단한다. 알려진, 알려지지 않은, 변조된 웹 공격에 대해서도 높은 정확도를 보여준다는 설명이다.

펜타시큐리티는 누구나 웹보안을 할 수 있어야 한다는 미션 아래 가격정책을 새롭게 수립했다. 중소·개인사업자에게 기존의 웹방화벽 보안장비는 부담스러운 가격의 구축형 제품이었다. 이에 펜타시큐리티는 클라우드 서비스형 보안(SECaaS)을 적용했다.

정 부장은 “클라우드로 서비스화해 장비를 구축하지 않아도 회원가입 후 사이트를 등록하고 설정만 변경하면 5분 내로 쉽게 도입할 수 있다”며 “트래픽 규모에 따라 과금하고, 트래픽이 4GB 이하일 때 클라우드브릭의 보안서비스를 무료로 이용할 수 있다”고 전했다.

또한, 클라우드브릭은 모든 SECaaS 고객들에게 최적의 웹방화벽 속도와 퍼포먼스를 제공하기 위해 전세계 17개 지역에 위치한 IDC·POP 서버로의 접근을 제공한다. 연내 30곳으로 확대할 예정이다. 지난 6월 한국에 거점을 마련했으며 남아공과 이스라엘도 지역 거점 오픈을 앞두고 있다.

아울러, 클라우드브릭은 사용자 웹사이트의 더욱 빠른 로딩을 위해 전세계 약 50곳에 포인트를 두고 콘텐츠전송네트워크(CDN) 최적화를 제공한다.

정 부장은 “사용자들은 악의적인 웹 공격 또는 개인정보 유출 이후에 웹 보안 솔루션을 찾는 경향이 있지만 그때는 너무 늦다”며 “사고 발생 이후에 대응하는 것이 아닌 사전에 방지하는 자세를 취해 더욱 안전하게 웹을 보호해야 한다”고 제언했다.

<최민지 기자>cmj@ddaily.co.kr