WAF가 있는데도 악성 봇 공격이 계속되는 이유

WAF를 운영하는데도 악성 봇 공격이 발생하는 이유

기업은 웹 서비스의 보안을 강화하기 위해 WAF(Web Application Firewall, 웹 애플리케이션 방화벽)를 운영합니다. 웹 취약점 공격을 차단하고, 비정상적인 접근을 제한하여 웹 애플리케이션을 보호하기 위함입니다.

그런데 WAF를 운영하고 있는 환경에서도 악성 봇과 매크로에 의한 피해는 발생할 수 있습니다. 쇼핑몰의 상품 정보를 반복적으로 수집하거나, 탈취한 계정 정보로 로그인을 시도하거나, 예약·구매 과정에 자동화 프로그램을 사용하는 사례가 대표적입니다.

이러한 공격에는 한 가지 공통점이 있습니다. 개별 접속 요청만 살펴보면 정상적인 사용자의 서비스 이용과 구분하기 어려울 수 있다는 점입니다.

그렇다면 WAF는 어떠한 공격에 대응할 수 있고, 전문적인 봇 관리(보안) 솔루션은 WAF와 달리 어떤 역할을 할 수 있을까요?

WAF는 어떤 공격을 차단할까요?

WAF는 웹 애플리케이션으로 전달되는 HTTP/HTTPS 트래픽을 검사하고, 설정된 보안 규칙에 따라 악의적인 요청을 탐지·차단하는 보안 솔루션으로서, 웹 서비스의 보안 체계를 구성하는 중요한 기술입니다.

대표적으로 SQL Injection이나 Cross-Site Scripting(XSS)처럼 웹 애플리케이션의 취약점을 악용하려는 공격을 방어하는 역할을 합니다. 특정 IP의 접근을 제한하거나 비정상적으로 많은 요청을 통제하는 데에도 활용됩니다.

이처럼 WAF는 웹 서비스의 보안 체계에서 중요한 역할을 하지만, 모든 악성 봇 공격이 웹 애플리케이션의 취약점을 노리는 것은 아닙니다.

예를 들어 쇼핑몰에서 정상적으로 제공하는 상품 상세 정보 조회나 회원 로그인, 예약 페이지 접속 등의 기능을 악성 봇이 이용해 상품 정보를 대량으로 수집하거나, 탈취한 계정 정보로 로그인을 반복하거나, 자동화 프로그램으로 예약을 시도할 수 있습니다.

이러한 공격은 요청 자체에 공격 코드가 포함되어 있지 않을 수 있으며, 정상 사용자와 동일한 방식으로 접근하기 때문에, 개별 요청만으로는 악성 봇인지 판단하기 어렵습니다.

결국 웹 애플리케이션의 취약점을 노리는 공격과, 정상적인 서비스 기능을 자동화하여 악용하는 공격은 서로 다른 관점에서 살펴봐야 합니다.

그러므로 악성 봇을 효과적으로 탐지하기 위해서는 WAF의 일반적인 보안 규칙에 의한 검사에 더해, 여러 요청에 걸쳐 나타나는 접속 특성과 행동 패턴까지 함께 분석할 필요가 있습니다.

정상적인 요청처럼 보이는 악성 봇, 무엇이 다를까요?

악성 봇은 반드시 비정상적인 형태로만 요청을 보내지 않습니다. 실제 사용자와 동일하게 웹 페이지와 API에 접근하면서 서비스를 악용하기도 합니다. 이 때문에 개별 요청의 정상 여부뿐 아니라 접속 환경, 요청의 연속성, 행동 패턴 등을 함께 살펴볼 필요가 있습니다.

1. 정상적인 기능을 비정상적으로 이용합니다

쇼핑몰에서 상품 정보를 조회하는 것은 정상적인 사용자 행동입니다. 하지만 자동화 프로그램을 사용해 수많은 상품의 가격과 재고를 지속적으로 수집한다면 어떨까요?

각각의 요청은 정상적인 상품 조회와 동일한 형태일 수 있지만, 전체적으로 보면 특정 데이터를 반복적으로 수집하는 자동화된 활동일 가능성이 있습니다.

예약 서비스도 마찬가지입니다. 예약 가능 여부를 확인하는 요청 자체는 정상적이지만, 자동화 프로그램이 이를 반복적으로 수행한다면 다른 이용자의 서비스 경험과 시스템 운영에 영향을 줄 수 있습니다.

이처럼 악성 봇은 새로운 공격 경로를 만들지 않고도 기존 서비스의 정상적인 기능을 악용할 수 있습니다.

2. IP나 요청 횟수만으로 구분하기 어렵습니다

특정 IP에서 짧은 시간 동안 과도한 요청이 발생한다면 비정상적인 접근을 의심할 수 있습니다. 그러나 자동화된 공격이 언제나 단일 IP에서 대량으로 발생하는 것은 아닙니다.

여러 IP에 요청을 분산하거나, 개별 접속의 요청 빈도를 낮추는 방식으로 자동화 활동이 이루어질 수도 있습니다. 이러한 경우 IP별 요청량이나 단순한 Rate Limit만으로는 전체적인 공격 패턴을 파악하기 어려울 수 있습니다.

반대로 정상 사용자도 이벤트 참여나 인기 상품 구매 과정에서 짧은 시간 동안 여러 차례 요청을 보낼 수 있기에, 요청이 많다는 이유만으로 악성 봇이라고 판단하면 정상적인 이용자의 접속까지 제한할 위험이 있습니다.

3. 개별 요청보다 연속적인 행동에서 특징이 드러납니다

정상 사용자와 자동화 프로그램은 동일한 URL에 접속하더라도 서비스 이용 과정에서 서로 다른 특징을 보일 수 있습니다.

예를 들어 일반적인 사용자는 상품을 검색하고, 상세 정보를 확인하고, 여러 상품을 비교하면서 구매 여부를 결정합니다. 반면 자동화된 스크래핑 프로그램은 상품 페이지를 일정한 순서로 반복 조회하거나, URL 파라미터를 순차적으로 변경하면서 데이터를 수집할 수 있습니다.

로그인 공격에서도 유사한 문제가 발생합니다. 각각의 로그인 요청은 정상적인 로그인 시도와 형태가 같지만, 계정·접속 환경·요청 시간 등의 관계를 분석하면 자동화된 계정 공격의 징후를 발견할 수 있습니다.

물론 이러한 행동 하나만으로 악성 봇이라고 단정할 수는 없습니다. 중요한 것은 개별 요청의 특징을 넘어 여러 접속 정보와 행동 신호를 종합적으로 분석하는 것입니다.

WAF와 고급 봇 탐지 기능, 무엇이 다를까요?

WAF와 전문적인 봇 관리 솔루션은 모두 웹 서비스를 보호하기 위한 보안 기술이지만, 전통적인 보호 기능의 목적과 분석 관점에는 차이가 있습니다.

두 기술을 서로 대체하는 관계로만 볼 필요는 없습니다.

WAF는 웹 애플리케이션의 취약점을 노리는 공격을 방어하고, 전문 봇 관리 솔루션은 서비스의 정상적인 기능을 악용하는 자동화 활동을 식별·제어하는 데 초점을 맞춥니다.

따라서 두 기능은 서로 보완적으로 운영될 수 있으며, 이미 고급 봇 방어 기능을 사용하는 기업이라면 해당 기능의 탐지 범위와 정책이 실제 서비스의 위협에 적합한지 검토하는 것이 중요합니다.

웹 보안 전문기관 OWASP 역시 자동화 공격에 대응할 때 단일 방어 수단에만 의존하기보다 네트워크, 애플리케이션, 비즈니스 로직을 포괄하는 다계층 방어 전략을 권장하고 있습니다.

참고) Bot Management and Anti-Automation Cheat Sheet - OWASP

우리 서비스에는 어떤 봇 관리가 필요할까요?

모든 자동화 프로그램을 악성 봇으로 차단해야 하는 것은 아닙니다.

검색엔진의 콘텐츠 수집, 서비스 상태를 점검하는 모니터링 도구, 기업이 허용한 자동화 작업 등은 정상적이고 필요한 활동입니다. 반면 무단 데이터 수집, 계정 탈취 시도, 구매·예약 매크로 등은 서비스 운영에 피해를 줄 수 있습니다.

따라서 봇 관리의 목적은 모든 자동화 요청을 차단하는 것이 아닙니다. 서비스에 필요한 자동화는 허용하면서, 비즈니스에 피해를 주는 자동화 활동을 구분하고 통제하는 것입니다.

이를 위해서는 현재 운영 중인 보안 체계가 다음과 같은 질문에 답할 수 있는지 확인해야 합니다.

• 정상적인 웹 요청과 유사한 자동화 요청을 구분할 수 있는가?

• 여러 IP에서 발생하는 반복적인 접근을 분석할 수 있는가?

• 특정 URL이나 API에 대한 자동화된 요청 패턴을 확인할 수 있는가?

• 로그인, 조회, 구매 등 서비스의 주요 기능별로 서로 다른 탐지 정책을 적용할 수 있는가?

• 악성 봇의 차단 효과뿐 아니라 정상 이용자에게 미치는 영향도 확인할 수 있는가?

이러한 질문을 점검하면 현재의 보안 체계에서 충분히 관리되고 있는 영역과 추가적인 점검이 필요한 영역을 구분하는 데 도움이 됩니다.

특히 자동화 공격에 대응할 때는 탐지의 정확도만큼 정상 이용자의 서비스 경험을 보호하는 것도 중요합니다. 무조건 강한 차단 정책을 적용하기보다는 서비스의 특성과 위험 수준을 고려하여 적절한 정책을 선택해야 합니다.

악성 봇 대응, 차단보다 먼저 필요한 것은 정확한 식별입니다

에스티씨랩의 봇매니저(BotManager)는 악성 봇 탐지 및 차단 솔루션 엠버스터(MBUSTER)의 SaaS 버전으로, 접속 환경과 사용자 행동 패턴을 분석하여 악성 봇과 매크로를 탐지하고, 설정된 정책에 따라 대응하는 AI 기반 봇 관리 솔루션입니다.

봇매니저는 단순한 IP 차단이나 요청 횟수 제한을 넘어 브라우저 특성, 사용자 상호작용, 접속 및 이동 패턴, 자동화 도구 사용 흔적 등 다양한 탐지 신호를 종합적으로 분석하여 정상적인 이용자의 트래픽에 섞여 있는 의심스러운 자동화 활동을 식별합니다.

또한 방화벽, 봇 카테고리, 사용자 정의 필터, 정책으로 이어지는 4단계 검증 체계를 통해 자동화 트래픽을 분석하고, 서비스의 특성과 보안 요구사항에 맞는 대응 체계를 구성할 수 있습니다.

엠버스터, 실제 운영 데이터에서 확인된 70만 건 이상의 비정상적인 반복 조회

실제 에스티씨랩이 엠버스터의 운영 데이터를 분석한 결과, 특정 웹 서비스 플랫폼 내 9개 서비스에서 URL 파라미터를 순차적으로 변경하며 데이터를 반복 조회하는 비정상적인 접근 70만 9,000건을 식별했습니다. 이는 최근 금융권 개인정보 유출 사고에서 사용된 아르텍스(Artex)의 자동화 정보 조회 수법과 유사한 형태입니다.

Python requests, curl, Go 등 스크립트 기반 자동화 요청에서도 약 3만 5,700건을 봇 트래픽으로 판정했고, 그중 98.5%를 차단했습니다. Selenium과 헤드리스 브라우저 등 자동화 도구를 이용한 요청 역시 약 67만 7,000건을 탐지했습니다.

이 사례는 악성 봇 대응에서 개별 요청의 위험성뿐 아니라, 여러 요청에 걸쳐 나타나는 행동 패턴을 분석하는 것이 왜 중요한지 보여줍니다.

웹 서비스에서 중요한 것은 얼마나 많은 요청을 차단했는지만이 아닙니다. 실제 사용자와 동일한 형태의 자동화 접속을 식별하고, 이것이 서비스 운영에 피해를 주고 있는지 정확하게 파악하는 것이 중요합니다.

이미 WAF를 운영하고 있다면, 이제는 차단된 요청뿐 아니라 정상적으로 처리되고 있는 요청 중에도 점검이 필요한 자동화 활동이 있는지 살펴볼 필요가 있습니다.

우리 서비스의 자동화 트래픽, 얼마나 구분하고 있나요?

정상적인 사용자의 접속에 숨어 있는 악성 봇과 매크로를 식별하고, 서비스에 적합한 대응 정책을 마련해 보세요.

자주 묻는 질문(FAQ)

Q1. WAF만으로 악성 봇을 차단할 수 있나요?

WAF의 기본적인 보안 규칙과 Rate Limit으로 일부 자동화 공격에 대응할 수 있습니다. 또한 고급 봇 관리 기능이 포함된 WAF는 행동 분석과 자동화 탐지 기능을 제공하기도 합니다. 따라서 제품별로 실제 제공하는 기능과 적용된 보안 정책을 확인해야 합니다.

Q2. WAF와 Bot Management의 가장 큰 차이는 무엇인가요?

전통적인 WAF는 웹 애플리케이션을 대상으로 하는 공격 요청을 탐지·차단하는 데 중점을 둡니다. 전문 Bot Management는 정상적인 웹 기능을 이용하는 자동화 활동까지 식별하고 관리하는 데 초점을 맞춥니다. 다만 고급 WAF 서비스에서는 두 기능이 통합되어 제공될 수 있습니다.

Q3. WAF를 사용하고 있어도 별도의 Bot Management가 필요한가요?

반드시 별도의 솔루션이 필요한 것은 아닙니다. 현재 사용하는 WAF의 봇 탐지 기능이 실제 서비스에서 발생하는 자동화 공격을 충분히 식별하고 대응할 수 있는지 먼저 확인해야 합니다. 무단 스크래핑, 계정 공격, 구매·예약 매크로 등이 주요 위험이라면 전문적인 봇 관리 기능의 적용을 검토할 수 있습니다.