[데이터넷] 클라우드 확산과 함께 API 보안 문제가 드러나면서 웹 보안 플랫폼에 API 보호 기능을 통합시킨 WAAP(Web Application and API Protection) 플랫폼 사용이 급증하고 있다.

가트너는 ‘WAAP 분야 매직쿼드런트 2021’ 보고서에서 웹 애플리케이션 보안 기능 뿐 아니라 고급 API 보호 기능을 갖춘 WAAP 도입이 증가하고 있다고 설명하며, 올해 WAAP를 도입한 기업이 10% 미만이었지만, 2026년 40%로 크게 늘 것으로 예상했다. 또한 2024년까지 멀티 클라우드 전략을 구현하는 조직의 70%가 클라우드를 통해 제공되는 WAAP를 선호하게 될 것이라고 전망했다.

가트너는 WAAP의 주요 기능으로 웹방화벽(WAF), 디도스 방어, 봇 관리, API 보호 등을 들었으며, 주로 클라우드를 통해 서비스된다고 설명했다. 웹방화벽 벤더들이 WAAP를 가상·물리 어플라이언스로 공급하는 추세에 있었지만, 점차 클라우드 기반 서비스에 중점을 두고 있다. 대규모 서비스 사업자의 경우 어플라이언스와 클라우드 서비스를 혼합한 방식을 선호한다.

WAAP는 공개된 웹 애플리케이션과 API를 보호하는 것을 핵심 기능으로 하며, 웹 애플리케이션 앞에서 알려진·알려지지 않은 위협을 선제적으로 차단한다. TLS 암호 트래픽을 해독해 분석한 후 재암호화 하며, 여러 클라우드와 사내 호스팅되는 애플리케이션까지 보호해야 한다.

더불어 WAAP는 AI·머신러닝을 적용해 지능형 봇을 감지·차단하고 있으며, 알려지지 않은 신종 위협에도 대응할 수 있는 역량을 강화하고 있다.

▲가트너 ‘WAAP 분야 매직쿼드런트 2021’

이러한 요구를 가장 잘 수용하는 리더 그룹으로 아카마이와 임퍼바가 꼽혔다. 아카마이는 이 보고서의 가장 상단에 위치했으며, API 보안 기능이 경쟁사보다 뛰어나다고 평가받았다. 글로벌 클라우드 엣지를 통해 서비스를 제공하기 때문에 지리적 위치에 제약 없이 지원할 수 있다.

리더그룹을 지키고 있는 임퍼바는 하이브리드·클라우드 조직에 강력한 보안을 제공한다. 임퍼바는 API 보안 기업 클라우드 벡터 인수를 완료하고 경쟁력있는 API 보안 기능을 WAAP에 통합시켰다. 모든 보안 제품을 통합 클라우드 관리·모니터링 콘솔 ‘소나’를 통해 지원해 관리 편의성을 한층 높였으며, 고객경험을 개선해 관리 편의성을 제고했다.

계정탈취 방어 솔루션 ‘ATO(Imperva Account Takeover)’ 모듈을 지원해 자격 증명 스터핑 감지, 성공적인 로그인의 악의적인 의도를 지능적으로 탐지한다. 사용자는 계정 로그인과 관련된 위험 수준(낮음, 중간, 높음)에 따라 다른 작업을 선택할 수 있다.

매직쿼드런트의 챌린저 그룹에 속한 F5는 볼테라(Volterra)를 인수하며 WAAP 비즈니스를 본격화했다. 클라우드에 호스팅되는 ‘실버라인’과 어플라이언스 ‘빅IP’ 플랫폼, 엔진엑스(NGINX) 앱 프로텍트 등의 WAAP 제품과 기능을 제공하며, 봇 완화 모듈을 통합해 WAAP 필수 요건을 완성해가고 있다.

비저너리 그룹에 속한 라드웨어는 클라우드, 어플라이언스 등 다양한 폼팩터의 WAAP로 제공하며, 컨테이너형 웹방화벽(KWAF)도 지원한다. 클라우드 WAAP에 API 보안 기능을 추가했으며, 세밀하게 조정된 봇 완화 솔루션 ‘실드스퀘어’를 통합시켜 경쟁력을 높였다.