OWASP 핵심 룰셋
OWASP Top 10을 비롯한 알려진 공격은 기본 룰셋에서 막습니다.
보안
- 디도스 방어Inline 상시보호 · Remote Protection
- 웹 방화벽웹 애플리케이션 방화벽
- SSL 인증서준비 중HTTPS 보안 인증서
소개
공격은 막고, 정상 트래픽만 통과
알려진 웹 공격은 기본 룰셋이 막고, 나머지 트래픽은 실시간으로 분석해 악성 요청만 골라냅니다. 서비스마다 다른 부분은 직접 만든 맞춤 규칙으로 채우면 됩니다.
실시간 탐지·차단
들어오는 요청을 실시간으로 보고, 악성으로 판단되면 바로 차단합니다.
맞춤 규칙
서비스에 맞춰 커스텀 규칙과 레이트 리밋을 직접 겁니다.
봇 차단
악성 봇과 스크래퍼, 자동화된 공격 요청을 가려내 막습니다.
요청 제한
짧은 시간에 몰리는 요청을 제한해 DDoS와 무차별 대입(brute force) 공격을 막습니다.
방어 범위
방어 가능한 공격 유형
아래 유형은 기본 룰셋으로 탐지·차단합니다.
01
SQL Injection
데이터베이스 쿼리 조작 시도 차단
02
XSS (Cross-Site Scripting)
악성 스크립트 삽입 차단
03
CSRF
사용자를 사칭한 위조 요청 차단
04
DDoS 공격
대량 트래픽 공격 차단
05
제로데이 공격
알려지지 않은 취약점 공격 탐지
06
악성 파일 업로드
위험한 파일 업로드 시도 차단
기능
탐지부터 대응까지 한 곳에서
룰셋 업데이트, 실시간 탐지, 맞춤 규칙, 봇 차단, 요청 제한을 따로 나눠 관리하지 않아도 됩니다.
실시간 위협 탐지
룰셋에 없는 새 공격 패턴은 머신러닝 분석으로 잡아냅니다.
커스텀 규칙
막을 경로와 예외로 둘 조건을 서비스에 맞게 직접 정합니다.
포함된 기능
- OWASP 규칙 세트
- 커스텀 규칙 엔진
- 봇 방어
- 요청 속도 제한
- 지역 기반 차단
- IP 화이트리스트
- 실시간 로그 분석
- 상세한 공격 로그
활용
이런 경우 추천합니다
전자상거래
결제 정보와 고객 데이터를 지켜야 할 때
API 서비스
공개 API가 악용되지 않게 막아야 할 때
컴플라이언스
PCI-DSS, GDPR 같은 보안 규정을 맞춰야 할 때
민감 정보 처리
개인정보나 금융 데이터를 다룰 때
OWASP Top 10을 비롯한 알려진 공격은 기본 룰셋으로 막습니다. 서비스마다 다른 부분은 커스텀 규칙으로 더해 쓰시는 편이 낫습니다.
막힌 경로나 조건을 커스텀 규칙으로 예외 처리하시면 됩니다. 예외 규칙은 직접 만들어 걸 수 있습니다.
머신러닝 분석으로 새 공격 패턴도 잡아냅니다. 다만 처음 보는 패턴은 탐지까지 시간이 걸릴 수 있어서, 로그인처럼 중요한 경로에는 레이트 리밋을 같이 걸어두세요.
아닙니다. 둘 다 기본으로 들어 있고, 룰셋·커스텀 규칙과 같은 곳에서 관리합니다.
웹 방화벽은 HTTP 요청 하나하나를 보고 악성 요청을 걸러냅니다. 디도스 방어는 대역을 채우는 대용량 트래픽을 앞단에서 흡수합니다. 성격이 달라 함께 쓰는 경우가 많습니다.