레이어 7 룰과 SSL 인증서는 새롭게 등장하는 위협에 적절히 대응하는 데 많은 시간이 소요됩니다. Web Application Protector는 이러한 작업의 손쉬운 처리를 지원하는 비용 효과적인 솔루션으로, 우리는 비즈니스 가치를 카운티에 전달하는 일에 집중할 수 있습니다.
짐 돌린스키(Jim Dolinski), Douglas Omaha Technology Commission 웹 애플리케이션 개발자

필수 리소스에 대한 안전하고 안정적인 접속 보장

2003년에 설립된 Douglas Omaha Technology Commission(DOTComm)은 미국 네브래스카 주의 오마하와 더글러스 카운티 지역 내 70여 곳의 정부 기관에 기술 지원과 컨설팅 서비스를 제공합니다. 120개 지역에서 근무하는 5000명 이상의 공무원이 매일 DOTComm이 제공하는 서비스를 이용합니다.

20여 년간 DOTComm에서 근무하고 있는 짐 돌린스키는 웹 애플리케이션 개발과 통합 업무를 책임지고 있습니다. 짐의 팀은 100여 곳의 정부 부서에 서비스를 제공하면서 100개가 넘는 사이트와 애플리케이션을 지원합니다. 기업 사명의 수행을 위해 한정된 리소스와 예산으로 작업하는 동시에 리소스의 가용성과 보안을 확보해야 합니다. 이를 위해 클라우드 기반 솔루션의 활용을 강화해오고 있습니다.

웹 보안 과제의 해결 노력

DOTComm은 2016년 수백만 달러를 투자해 오래된 레거시 인프라를 교체하는 대신, 사이트와 애플리케이션을 대규모 클라우드 서비스 사업자로 마이그레이션하기 시작했습니다. 아울러 장애 모니터링을 지원하는 강력한 알림 툴과 함께 클라우드 기반 웹 애플리케이션 방화벽(WAF)을 이용했습니다.

안타깝게도 WAF의 성능은 기대에 미치지 못했습니다. DOTComm은 2년에 걸쳐 10여 차례의 장애를 경험했고, 매번 조직의 웹사이트와 애플리케이션 일부가 다운되었습니다. 장애는 짧게는 15분에서 길게는 몇 시간까지 지속되었습니다. 그 결과 공공 안전과 관련된 24시간 연중무휴 미션 크리티컬 서비스의 가용성이 커다란 영향을 받게 되었다는 점을 감안하면 이를 용인할 수 없었습니다.

장애가 다소 덜 중요한 DOTComm 사이트와 애플리케이션에 영향을 줄 때도 DOTComm은 카운티 부서와 시민들의 불만에 대응해야 했습니다. WAF 벤더사가 장애에 대한 책임을 거부했으므로, 짐은 어쩔 수 없이 로그 파일을 자세히 검토해 문제가 벤더사의 책임이라는 것을 입증해야 했습니다. 일단 지원을 위해 벤더사를 참여시킨 후, 짐은 WAF에 대한 심층적인 지식이 없는 초보 수준의 담당자를 상대하면서 실망하기도 했습니다.

설상가상으로 이 WAF 벤더사는 DOTComm의 SSL 인증서 갱신을 관리하기로 되어 있었습니다. 그러나 적절한 인증서 갱신 프로세스를 갖추지 못했던 벤더사는 인증서 만료 이전에 DOTComm의 인증서 갱신에 종종 실패했습니다. 그 결과 DOTComm 사이트는 오프라인 상태가 되거나 SSL 오류가 발생했습니다.

WAF 벤더사와의 계약이 만료되자 짐은 다른 솔루션을 검토하기 시작했습니다.

Web Application Protector를 통한 보안 접근 방식 개선

처음에 짐은 클라우드 제공업체의 WAF 활용을 선택했습니다. "기본 룰을 제공하는 훌륭한 솔루션으로, 이를 통해 인증서 갱신 문제를 해결했습니다. 그러나 우리는 새롭게 등장하는 위협에 적절히 대응하면서 더욱 정교한 WAF 룰을 작성해 유지할 만한 리소스와 시간을 확보하지 못했습니다."라고 짐은 설명합니다.

클라우드 제공업체의 WAF를 사용하면서 짐은 DOTComm이 여러 인프라 레이어에서 보안을 실행했지만 충분한 수의 위협을 탐지해 차단하지 못하고 있었다는 사실을 깨닫게 되었습니다.

DOTComm의 보안 요구사항과 그 격차를 명확하게 파악한 짐은 현재 활동 중인 위협을 모니터링하는 매니지드 룰 세트를 지원하는 솔루션을 찾아 나섰습니다. 또한 제품의 소유권을 가진 전문적이고 대응력이 우수한 벤더사를 원했습니다. Akamai와 Web Application Protector 솔루션이 이러한 요구사항에 정확히 부합했습니다.

DOTComm은 경험이 풍부한 Akamai의 전문 서비스팀을 활용해 일반적인 WAF 구현의 장애 요소를 피할 수 있었습니다. "Akamai 전문가들의 안내와 모범 사례를 이용해 첫 4개 사이트를 신속하게 마이그레이션했습니다. 이들은 미래에 대비한 환경 구성 준비를 지원했고, 일주일도 지나지 않아 자체적으로 60개 사이트를 추가로 마이그레이션할 수 있었습니다."라고 짐은 설명합니다.

비즈니스 가치 제공에 다시 집중할 수 있도록 지원

궁극적으로 DOTComm은 모든 웹사이트와 애플리케이션을 Web Application Protector 솔루션에 온보딩할 계획입니다. "최신 보안 위협을 추적할 필요가 없기 때문에 자동 룰 업데이트를 선호합니다."라고 짐은 말합니다.

DOTComm은 DoS(Denials of Service)가 즉시 줄어든 것은 물론 오탐과 예기치 못한 장애가 사실상 사라졌으며, 이로 인해 짐과 그의 팀은 이러한 인시던트의 해결에 매달리지 않아도 되므로 수백 시간을 절약하게 되었습니다. 아울러 장애로 인해 이용할 수 없는 웹사이트와 애플리케이션에 관한 카운티 공무원과 주민의 불만이 사라졌습니다.

짐은 솔루션이 실시간으로 탐지하는 공격에 대한 Web Application Protector의 가시성을 높이 평가합니다. "이전의 솔루션으로는 어떤 룰이 트래픽을 차단하고 그 이유는 무엇인지 깊이 있게 이해하기 어려웠습니다. Akamai 솔루션을 사용하면 트래픽 차단의 원인을 파악하기 쉽습니다."라고 짐은 설명합니다.

이전에는 짐의 팀이 인증서 갱신 문제 해결을 위해 1년에 약 100시간을 투입했지만, 지금은 전혀 필요하지 않습니다. "Akamai Web Application Protector를 사용해 웹 보안을 신뢰할 수 있는 전문가들에게 맡김으로써, 보안 룰을 작성하는 대신 비즈니스 가치 제공에 다시 초점을 맞출 수 있게 되었습니다."라고 짐은 결론 내립니다.