[지디넷코리아]최근 들어 웹 애플리케이션 보안(이하 웹 보안) 시장이 화제다. 한동안 네트워크에 대한 보안이 주목을 받아오다가 이젠 웹으로 보안의 무게중심이 이동한 것이다. 웹 보안 솔루션으로는 웹 방화벽과 웹 스캐너가 대표적이다. 이중 웹 방화벽이 웹 스캐너에 비해 잠재 시장 규모가 크다는 이유로 관심사로 떠오르고 있다. 네트워크 보안의 간판 솔루션인 방화벽과 뒤이은 침입방지시스템(IPS)에 이어 웹 방화벽 제품이 보안 시장 활성화의 차세대 주자가 될 것이라는 예측에서다. 국내 보안 업계에 불고 있는 웹 방화벽 시장의 현황을 짚어봤다.
기업의 전산 환경이 하루가 다르게 웹 기반으로 바뀌고 있다. 언제 어디서나 기업 내부에 접속할 수 있으며, 협력사나 고객 대응에 대한 다양한 정보를 손쉽게 공유할 수 있다는 편리함이 그 이유다.
웹 보안 등장 배경은 '웹 구조상 취약점 탓'
문제는 웹 환경은 특성상 서비스를 위해 80포트(HTTP)나 443포트(HTTPS) 같은 통로를 열어놔야 하는 구조상 근본적인 취약점을 안고 있다는 점이다. 이에 따라 이곳을 통해 웹 프로그램의 설정 오류나 개발 오류로 인한 웹 애플리케이션 자체의 취약점을 이용한 홈페이지와 웹 서버 해킹이 시도될 수 있다.
실제로 웹 고객 정보를 빼돌리거나 콘텐츠 변조, 서비스거부공격(DoS), 홈페이지 위·변조, 내부 중요 시스템의 침입 등 해킹 사고가 최근 들어 눈에 띄게 늘고 있다. 업계 자료에 따르면, 국내에서 발생된 해킹 시도의 70% 가량이 웹 애플리케이션의 취약점을 이용한 것으로 추정되고 있다.
물론 많은 기업들이 방화벽이나 IDS, IPS 등을 구축해놨다. 하지만 네트워크 하위 계층을 주로 막는 이런 네트워크 보안 솔루션으로 웹 해킹을 막는 데는 한계가 있다. 방화벽은 물리적 포트를 통제하는 데 한계가 있고, IDS는 알려진 공격만 탐지한다든지, 오탐률이 있고, 차단 기능은 없다. IPS 역시 웹 보안을 위한 검사 기능은 미약하다.
또 완벽한 보안 프로그래밍을 구성했더라도 수정으로 변경될 경우 취약점이 발생하게 된다. 게다가 대부분은 공격 로그가 남지 않아 역추적이 거의 불가능하다. 뿐만 아니라 현재 웹 해킹 공격의 유형이 이미 알려진 공격에 대한 패턴이 아니라 새롭게 시도되는 해킹 수법이라 이에 대한 실시간 대처 방안이 필요한 실정이다. 이에 따라 웹서비스 앞단에서 웹 해킹을 방어할 방법으로 등장한 것이 웹 보안 제품이다.
올해는 웹 방화벽 시장 '도입기'
이처럼 웹 보안은 애플리케이션 계층의 다양한 해킹 시도로부터 웹 서버의 안정성과 보안을 책임진 솔루션이다. 특히 웹 애플리케이션 전용의 방화벽, 이른바 웹 방화벽이 최근 들어 국내 보안 업계의 화두로 떠올랐다.
해외에서는 이미 3~4년 전부터 웹 방화벽 시장이 형성되기 시작했다. 반면, 국내에서는 방화벽/VPN을 기점으로 IDS, IPS 같은 네트워크 보안이 먼저 도입된 뒤 올해 들어 웹 방화벽이 주목받기 시작했다.
국내에 웹 방화벽 솔루션이 처음 소개된 것은 2003년 초. 하지만 실제로 관련 업체들이 영업을 시작한 것은 2004년부터다. 지난해는 업체들이 사용자한테 웹 보안의 개념을 이해시키고 도입의 필요성을 설득하는 한 해였다. 이른바 웹 보안 시장의 '인식기'였던 것이다.
실제로 국내에 웹 방화벽 도입이 본격 시작된 것은 올해부터다. 대형 사이트 위주로 웹 방화벽에 대한 검토와 성능비교시험(BMT), 도입이 차츰 이뤄졌다. 따라서 올해는 일종의 웹 보안 시장의 '도입기'로서 시장이 형성되기 시작한 원년인 셈이다.
물론 아직까지는 웹 보안에 대한 개념과 필요성에 대한 인식이 완전히 자리매김됐다고 판단하기엔 이르다. 여전히 네트워크 보안과 웹 보안 개념의 차이점을 혼재하는 고객들도 있다. 하지만 줄줄이 터지는 웹 해킹 사건으로 웹 보안 솔루션을 도입할 필요성을 간접적으로나마 느꼈던 게 지난해에 비해 올해 달라진 고객들의 반응이다. 이에 따라 올해부터는 웹 방화벽을 검토하는 고객들이 눈에 띄게 늘어났다.
공공 부문 '수요 주도'
웹 방화벽 수요는 정부부처나 공공기관 중심으로 일어났다. 정보통신부와 국방부 등 중앙부처를 시작으로 관세청, 법제처, 국회사무처, 대검찰청, 해양경찰청 등이 정부기관에서 도입했다. 이어 한국정보보호진흥원과 한국정보문화진흥원, 한국전산원 등 정부출연기관을 비롯해 한국전력, 주택공사, 금융감독원 등에서 웹 방화벽을 구축했다.
이와 함께 상위 10대 매출 규모를 가진 대기업에서 검토와 더불어 도입 움직임이 있었다. 삼성그룹을 비롯해 포스코, 현대, SK C&C에서 웹 방화벽을 쓰고 있다. 아울러 일부 금융기관과 통신사에서 웹 방화벽을 구축했고, 유해 트래픽이 많은 대학에서 도입하는 사례가 많았다.
이러한 국내 산업별 도입 현상은 해외 사례와는 약간 상반된 추세다. F5네트웍스 코리아의 이광림 이사는 "실제로 해외에서는 서비스 업체들, 즉 인터넷 서비스 사업자(ISP)나 통신사업자, 포털, 게임 업체, 전자상거래 업체에서 도입 물결이 먼저 일어났다. 하지만 국내에서는 웹 방화벽의 성능 문제로 아직까지 도입하지 않고 있다"고 진단했다.
올해 웹 방화벽 시장 '40억 원대' 추정
도입 규모도 아직까지는 일부 부서나 시범 프로젝트 형태의 도입이 주류를 이루고 있다. 고객들은 네트워크 방화벽만큼의 성능을 기대하고 있지만, 실제로 웹 방화벽의 성능은 그에 미치지 못한 게 현재 수준이다. 따라서 제품을 데모해본 고객들은 최소 물량만을 구매한다든지, 아니면 도입 자체를 약간 미루고 있는 분위기다.
한편, 이번에 조사한 외산 업체 5곳과 국산 업체 1곳의 납품 실적을 토대로 집계한 결과, 국내 웹 방화벽 도입 고객은 줄잡아 100개 안팎. 초기 시장의 경우, 대다수 시범 프로젝트로서 제값을 받기 힘들다. 정부나 대학 고객들한테 제값 받기란 거의 불가능한 상황이다.
실제 벤더 입장의 대당 공급가는 3000만 원에서 1억 원까지 형성돼 있다. 이를 평균한 값과 도입한 고객의 대다수가 공공기관임을 감안해 추정한 국내 웹 방화벽 시장 규모(벤더 공급가 기준)는 어림잡아 40억 원대로 예상된다. @
The Korean edition of 'ZDNet' is published under license from CNET Networks, Inc., San Francisco, CA, USA. Editorial items appearing in 'ZDNet Korea' that were originally published in the US Edition of 'ZDNet', 'CNET', and 'CNET News.com' are the copyright properties of CNET Networks, Inc. or its suppliers.
Copyright ⓒ 2008 CNET Networks, Inc. All Rights Reserved. 'ZDNet', 'CNET' and 'CNET News.com' are trademarks of CNET Networks, Inc.
로그인 |
회원가입 (뉴스레터신청) |
SITEMAP
관련기사
독자의견 남기기 (로그인 후 독자 의견을 남기실 수 있습니다.) 
