AWS WAF만 켜두면 안전할까요, 그 착각이 위험한 이유

들어가며

클라우드로 서비스를 옮기면서 많은 팀들이 콘솔 버튼 몇 번으로 WAF를 켜두고 나서 보안이 끝났다고 생각합니다. AWS WAF, Azure WAF, Google Cloud Armor처럼 클라우드 서비스 제공업체가 기본으로 제공하는 WAF가 워낙 손쉽게 활성화되기 때문입니다. 그런데 실제로 보안 감사를 받아본 팀들은 여기서 예상치 못한 질문을 받곤 합니다. 그 WAF, 누가 규칙을 관리하고 있냐는 질문입니다.

이 질문에 명확히 답하지 못한다면, 지금이야말로 클라우드 내장 WAF와 F5, 아카마이, 클라우드플레어 같은 전문 보안 기업의 솔루션 사이에서 우리 팀에 맞는 선택이 무엇인지 점검해볼 시점입니다. 오늘은 비용, 성능, 관리 편의성, 확장성 네 가지 축으로 두 선택지를 비교하고, 클라우드 특유의 책임 공유 모델 관점에서 어떤 전략이 필요한지 살펴보겠습니다.

클라우드 내장 WAF, 시작은 쉽지만 끝은 다를 수 있다

AWS WAF, Azure WAF, 구글 클라우드 아머 같은 서비스는 이미 사용 중인 클라우드 콘솔 안에서 몇 번의 클릭만으로 활성화할 수 있습니다. 별도의 계약이나 벤더 온보딩 없이 바로 시작할 수 있다는 점이 가장 큰 매력입니다. 과금 방식도 사용한 만큼 지불하는 종량제라서 초기 비용 부담이 거의 없습니다.

다만 이 편리함에는 대가가 따릅니다.

• 기본 제공되는 관리형 규칙 세트가 다소 일반적이라 세밀한 커스터마이징에는 한계가 있습니다
• 여러 클라우드를 함께 쓰는 멀티 클라우드 환경에서는 클라우드마다 규칙을 따로 관리해야 합니다
• 트래픽이 급증하는 대규모 서비스에서는 종량제 비용이 예상보다 빠르게 불어날 수 있습니다
• 글로벌 엣지 네트워크 규모 면에서 전문 CDN 보안 기업에 비해 상대적으로 좁습니다

즉 소규모, 단일 클라우드 환경에서 빠르게 시작하기에는 최적이지만, 서비스가 커지고 요구사항이 정교해질수록 아쉬운 지점이 하나둘 드러나는 구조입니다.

전문 보안 기업의 WAF, 비싸지만 이유가 있다

F5, 아카마이, 클라우드플레어 같은 전문 보안 기업의 WAF는 애초에 웹 보안만을 전문으로 다루는 조직이 만든 제품입니다. 이들은 전 세계에 흩어진 자체 엣지 네트워크를 보유하고 있어서, 사용자와 물리적으로 가까운 지점에서 악성 트래픽을 걸러낼 수 있습니다. 그만큼 정상 트래픽의 지연 시간도 줄어드는 효과가 있습니다.

가장 큰 장점은 세밀한 규칙 커스터마이징과 통합 대시보드입니다. 여러 클라우드에 서비스가 흩어져 있어도 하나의 정책으로 일관되게 관리할 수 있고, 위협 인텔리전스 업데이트 속도도 클라우드 내장형보다 빠른 경우가 많습니다. 반대급부로 초기 계약 비용과 고정 운영비가 클라우드 내장형보다 높은 편이고, 별도의 벤더 관리 및 온보딩 과정이 필요합니다.

아래 비교표는 다섯 가지 기준으로 두 선택지의 강점을 시각적으로 정리한 것입니다.

Shared Responsibility Model 관점에서 본 WAF 운영 전략

클라우드를 사용하는 모든 조직이 한 번쯤은 마주치는 개념이 바로 책임 공유 모델입니다. 클라우드 제공업체는 인프라의 물리적 보안과 가용성을 책임지지만, 그 위에서 어떤 규칙을 설정하고 어떻게 운영할지는 전적으로 사용자의 몫입니다. WAF도 예외가 아닙니다.

많은 기업들이 착각하는 부분이 바로 여기입니다. WAF를 켜두기만 하면 클라우드 제공업체가 알아서 우리 애플리케이션을 지켜줄 것이라고 생각하지만, 실제로는 그렇지 않습니다. 클라우드 제공업체는 WAF라는 도구와 그 도구가 돌아가는 인프라를 제공할 뿐, 어떤 공격 패턴을 막을지 정의하고 오탐을 조정하는 것은 사용자의 책임 영역입니다.

아래 그림에서 볼 수 있듯, 이 책임의 경계선은 어떤 방식을 선택하느냐에 따라 조금씩 달라집니다. 클라우드 내장형 WAF는 상대적으로 사용자가 직접 관리해야 할 영역이 넓고, 완전 관리형 서비스로 갈수록 벤더가 더 많은 부분을 대신 맡아줍니다. 결국 어떤 제품을 쓰든, 우리 팀이 실제로 감당할 수 있는 운영 역량이 어디까지인지를 먼저 파악하는 것이 우선입니다.

어떤 기업에 어떤 선택이 유리할까

정리하자면 다음과 같은 기준으로 판단해볼 수 있습니다.

1. 단일 클라우드를 사용하고 초기 비용 부담을 최소화하고 싶은 스타트업이라면 클라우드 내장 WAF로 시작하는 것이 합리적입니다
2. 여러 클라우드나 온프레미스를 함께 운영하며 일관된 보안 정책이 필요한 중견 이상 기업이라면 전문 벤더 솔루션이 유리합니다
3. 글로벌 트래픽 비중이 높고 지연 시간에 민감한 서비스라면 자체 엣지 네트워크를 보유한 전문 벤더가 성능 면에서 우위를 갖습니다
4. 보안 전담 인력이 부족한 조직이라면 규칙 관리 부담이 적은 완전 관리형 서비스 옵션을 우선 검토해볼 만합니다

중요한 것은 브랜드 인지도가 아니라, 우리 조직이 어느 지점까지 직접 운영할 수 있고 어느 지점부터 위임하고 싶은지를 먼저 정하는 것입니다.

결론, 선택의 기준은 브랜드가 아니라 운영 역량

클라우드 내장 WAF와 전문 보안 기업의 WAF 중 어느 쪽이 절대적으로 우수하다고 말하기는 어렵습니다. 서비스의 규모, 클라우드 구성, 그리고 무엇보다 우리 팀이 직접 관리할 수 있는 역량이 어디까지인지에 따라 정답이 달라지기 때문입니다.

지금 우리 WAF가 누구의 손에 의해 어떻게 관리되고 있는지, 그리고 그 책임의 경계가 어디에 그어져 있는지부터 다시 점검해보시길 권합니다.

참고

AWS, Azure, Google Cloud의 공식 문서 및 각 클라우드 제공업체의 책임 공유 모델 자료를 참고하여 작성하였습니다.