아카마이클라우드솔루션을이용한선재적인위협방어 이신우 굿모닝아이텍클라우드보안팀 swlee@goodmit.co.kr www.cloudsec.com
Contents 아카마이소개..... 4p 국내외보안이슈... 8p Akamai Intelligence Platform 12p Akamai CI & NLTA... 17p Akamai Bot Manager..... 22p 아카마이보안솔루션활용 29P www.cloudsec.com
아카마이소개 www.cloudsec.com
아카마이개요 Content goes here. 아카마이 = 하와이어로 Smart 란뜻 세계최대의커버리지 280,000+ servers 1,300+ networks 2,400+ locations 130+ countries 1,100+ Cities 세계최대의웹트래픽처리용량 전세계웹트래픽의 15 ~ 30 % 최대 60Tbps의트래픽수용기록 초당 3천만 Hit 이상 일 100PB 이상 300Gbps 이상의 DDoS 공격차단 전세계임직원 6,000 명 +, 2017 년매출 3 조원, NASDAQ(AKAM) 2008 년한국지사설립. 약 75 명의전문인력이한국고객지원중
아카마이소개 경험 글로벌웹트래픽의 ~30 퍼센트 고객 19 년 매주 40 ~ 50 DDoS 및웹공격방어경험 플랫폼상의트래픽기록 63 Tbps 건의 DDoS 공격방어 금융 1,350 100 이커머스사이상의보안고객 And more 2018 2,300 Gbps 의공격처리용량확보 인프라 개의전세계은행에서아카마이보안솔루션도입 2018 년평창올림픽, 2016 년리오올림픽, 2014 년소치올림픽과슈퍼볼 XLVIII 을포함한최대규모의온라인이벤트방어 1.35Tbps Akamai 단일공격으로차단한최대규모의 DDoS 공격 사례
레퍼런스 인터넷을활용하는공공, 금융, 엔터프라이즈및모든미디어, 커머스고객사 (6,000+) ENTERPRISE COMMERCE HIGH TECH MEDIA & ENTERTAINMENT PUBLIC SECTOR 7 of the Top 10 World Banks 90 of the Top 100 Retailers 10 of the Top 12 Security Software Companies All of the Top 30 Media Companies All branches of U.S. Military
국내외보안이슈 www.cloudsec.com
국내외보안이슈 2016 년미라이봇넷의등장 IoT 봇넷기반 DDoS 공격툴의등장으로 DDoS 공격규모가단일기업이감당할수없는규모로증가
국내외보안이슈 2018 년맴캐시드반사증폭공격 2018 년 2 월맴캐시드서버를이용한기록적인슈퍼사이즈규모의 Amplification DDoS 공격등장
국내외보안이슈 시그니쳐기반보안장비의한계 매일 15 만개이상등장하는새로운악성코드에대한대응은시그니쳐방식으로는한계에봉착
국내외보안이슈 국내침해사고현황 출처 : 한국인터넷진흥원 연간 3000 ~ 50000 개의홈페이지가침해사고로인해어려움을겪고있습니다.
Akamai Intelligence Platform www.cloudsec.com
Akamai Intelligence Platform Cloud-Based Origins Akamai Intelligence Platform 280,000+ Edge 3,400 Location 130 Conutries ON-Promise Origins Akamai Edge KSD WAP GTM ION DSA DSD Site Shield Akamai Intelligence Platform 은아카마이서비스의기초가되는단일운영플렛폼입니다.
Akamai Intelligence Platform Global Scale & Resiliency Acceleration, Optimization, & Offload Protection and Threat Intelligence Management of Complexity Insight, Flexibility, & Control Akamai Intelligent Platform cloud-based, globally distributed CDN platform, embedded deeply into thousands of terrestrial and cellular networks Maximum Acceleration for Mobile Websites & Apps Reliable, Highly Scalable, Website Acceleration Fast IP-enabled Applications Web Application Security Ion Dynamic Site Accelerator IP Application Accelerator Cloudlets simplify and scale web development and operations tasks Image Manager intelligent image management made simple SaaS Provider Option rapidly provision and report by customer GTM & Fast DNS dynamically balance traffic & DNS requests based on real-time conditions Flexible self configuration Luna Property Manager Programmatic control {OPEN} APIs China CDN extend Akamai s CDN to Internet users in China DDoS Mitigation Public Cloud Web Applications Hybrid Cloud & Data Center Infrastructure Kona Site Defender Web Application Protector Prolexic Access to experts Managed or Guided Delivery Services Actionable insights Real User Monitoring & Cloud Monitor Threat Intelligence Client Reputation Try & buy online Akamai Marketplace 아카마이의모든서비스는 Intelligence Platform 위에서정교하게조직및운영되고있습니다. BOT Protection & Management BOT Manager Peer networking & best practices Akamai Community
Akamai Cloud Security Service 서비스가용성확보 보안강화 Akamai Cloud Security Service WEB Service DATA Center Enterprise KSD(Kona Site Defender) 웹서비스보안을위한토탈솔루션네트워크및어플리케이션공격을 CDN 인프라를활용해성능및안전성보장 WAP(Web Application Protector) 간소화된형태의웹방어솔루션전문보안인력확보가어려운중 / 소규모의웹서비스보안강화 Bot Manager 각종자동화된 Bot 으로인한보안침해및사이트성능저하에대해효율적으로대응할수있는솔루션 Prolexic Routed 라우팅을이용한 IP 우회서비스로대용량 DDoS 방어에최적화된솔루션글로벌 7 개 SC(Scrubbing Center) 를통한분산처리 Prolexic Connected 라우팅을이용한 IP 우회서비스 Routed 서비스와달리전용선을이용해오리진과통신하며 Routed 서비스트래픽제한해결가능 ETP(Enterprise Threat Protection) 기업내사용자의외부사이트에대한 DNS 요청을확인하여 Bot, Malware 및 C&C 서버로의접속시도를사전에차단하는 DNS 보안솔루션 EAA(Enterprise Application Access) 사내인프라에대한외부접속을단순화하여보안을강화한 Remote Access 지원솔루션 FastDNS ( 글로벌분산된 DNS 서비스로기업의 DNS 인프라확장가능 100% 가용성 SLA) 글로벌 130 개국, 1300 개 PoP, 28 만대 Edge - Akamai Intelligence Platform
아카마이보안솔루션평가 아카마이솔루션은가트너 2017 WAF 리포트및포레스터웨이브 2018 리포트등에서 Leader 로인정받고있습니다.
Akamai CI & NLTA www.cloudsec.com
아카마이 CI & NLTA 개요 Akamai CSI(Cloud Security Intelligence) IP 주소 Gathering( 수집 ) Platform 매달수십억개의 IP 주소 Akamai WAF Triggers CSI Platform IP 주소 Analysis( 분석 ) Platform 수집된자료 (IP 주소 / 악성활동 ) 를분석 공격패턴 클라이언트행위 Akamai Logs Behavioral 애플리케이션프로파일링 Akamai Big Data : 매일 20TB 공격 + 4PB 보안데이터 DATA SOURCES CI + NLTA Hourly/Daily/Weekly 악성으로판단한 IP 주소 위험지수 (Risk Score) 명시 NAT Detection 오탐감소 HEURISTICS Akamai Intelligence Platform의빅데이터를바탕으로보안에위협이되는 IP에대한정보를분석및수집
아카마이 CI (Client Intelligence) CI(Client Intelligence) 아카마이보안서비스를사용중인고객서비스를공격한 IP 정보 IP 주소별행동패턴을분석하여 IP 주소에대한 Risk 점수 (Scoring) 를산정한자료 JSON 형식 IP Address 별악성활동이력내용 웹공격이력 (WEBATCK) SQLi, RFI, LFI, XSS 등의웹해킹을시도한이력이있는 IP DoS 공격이력 (DOSATCK) L7 레이어 DoS 공격을시도한이력이있는 IP 웹스크래퍼 (WEBSCRP) 웹에서대량의자료를유출하려고시도한이력이있는 IP Data Feed 형식 Date Fead 예 CSV 형식 (Risk Score 범위 : 1-10 -> 점수가높을수록 High Risk)
아카마이 NLTA (Network Layer Threat Actors) NLTA(Network Layer Threat Actors) 아카마이인프라를공격하거나 Scan 한이력이있는 IP 정보 IP 주소별행동패턴을분석하여 IP주소에대한 Risk 점수 (Scoring) 를산정한자료 IP Address 별악성활동이력내용 DoS 공격이력 (DOSATCK) L3/L4 DoS 또는 DDoS 공격을시도한이력이있는 IP 스캐닝툴 (SCANTL) 포트취약점을스캔하려고한이력이있는 IP Data Feed 형식 Client IP : 위협을수행한 IP 정보 Category : 위험유형 Name : 위협행위자유형인 " 검사자 " 또는포트스캐너 " Details : 위협세부정보 Targets : 공격대상세부정보 Ports : 위협대상포트와프로토콜 ( 예 : "UDP80", "TCP23") Source : 클라이언트 IP 의위치정보를포함 Country : ISO 국가코드 Network : 위협행위자 IP 를포함하는네트워크의 AS 번호 Score : 위협행위자 IP 에할당된점수 (1-10, 10 이가장높은위협 ) Observations : 위협자 IP 의기타관찰정보 Destination_IPS : 위협자 IP 가위협을수행한대상 IP 개수 Packets : 해당위협자 IP 에서발생한패킷수 Last_Seen : 위협자 IP 가 Akamai 플랫폼에서마지막으로확인된유닉스시간
아카마이 CI & NLTA 활용의예 대한민국정부산하 K모기관도입사용 (2017년 ~ 현재 ) 싱가포르경찰청도입사용 (2016년 ~ 현재 ) 일본경찰청도입사용 (2015년 ~ 현재 ) 미연방정부의 15개장관급내각기관중 14개기관 (2014년 ~ 현재 ) 미국주경찰청 미국국가정보기관 미국국방성 전세계모든미군기지보안센터등
Akamai Bot Manager www.cloudsec.com
Bot 에의한위협의증가 출처 : Incapsula Bot Report 2016 일반적인웹사이트에대한봇에접속은평균적으로 50% 를상회하고있으며이중 28.9% 가악의적인목적을가지고있습니다.
Bot 에의한위협 크리덴셜스터핑 봇의의한공격의가장단순한공격인크리덴셜스터핑공격은탐지및방어가쉽지만제 1 금융권조차도방어하지못하고있습니다.
Akamai Bot Manager 크리덴셜스터핑 목적 Bot 은정보를취득하려는목적이분명합니다 지능화탐지되지않는형태로봇이다시들어옵니다 차단정보취득을차단해봅니다 효과적인봇차단을위해서는봇사용자가원하는정보를탈취한것으로보이게위장하는봇관리능력이필요합니다. 회피봇운영자는탐지와차단을회피하기위해봇을재프로그래밍합니다 인지단순차단은봇운영자에게차단되었다라는것을인지하게끔합니다
Akamai Bot Manager 크리덴셜스터핑 단순히 Block 하지않고 Good 과 Bad Bot을관리 비즈니스영향도에따라 Bot을분류 전문적인 Bot 트래픽관리 Bot 트래픽을모니터링하고보고서작성 Action - Basic (Monitor, Block) - Drop - Rate (Delay 1-3s, Slow 8-10s) - Serve ( 다른 origin, 다른 content, 캐시 ) - 조건에따른 Action 적용 Bot 트래픽감지 - 아카마이카테고리사용 - 고객카테고리설정가능 - 실시간감지 ( 형태, rate 분석 ) - 브라우저검증 4 3 2 1 분석및 Reporting - Security Center - Bot Activity report - Bot Analysis report 15 개의다른카테고리로분류 - Akamai 카테고리는계속업데이트 - Web search, SEO, Aggregator - RSS, Social, BI, Monitoring 등.. - 고객카테고리는 Customizing 가능 - 실시간감지하여서로다른 Action 수행 아카마이봇메니저는봇탐지, 분류, 관리, 리포트등봇트래픽관리를위한상세기능을제공합니다.
Akamai Bot Manager 항공사사용의예 계약된파트너의요청전송 느린응답 다른페이지응답 차단 봇 아마데우스서비스 XXX 항공데이터센터 정상발권진행 탑승객 예매확인 봇에의한피해가많은항공사에서는아카마이 Bot Manager 를이용해적절히대응하고있습니다.
Akamai Bot Manager 커머스사이트예 E 커머스웹사이트 $ $ 구매자 높은가격정보 $+1 $ + 1 경쟁사 Web Scraper Bot 에의한피해가심각한 E- 커머스사이트들은아카마이 Bot Manager 를이용해봇트래픽을관리하고있습니다.
Akamai Cloud Security 활용 www.cloudsec.com
아카마이솔루션활용예시 아카마이보안솔루션 Router WEB Service DATA Center Enterprise DDoS Appliance Network FW WAF Switch 서비스가용성확보 보안강화 KSD(Kona Site Defender) 웹서비스보안을위한토탈솔루션네트워크및어플리케이션공격을 CDN 인프라를활용해성능및안전성보장 WAP(Web Application Protector) 간소화된형태의웹방어솔루션전문보안인력확보가어려운중 / 소규모의웹서비스보안강화 Bot Manager 각종자동화된 Bot 으로인한보안침해및사이트성능저하에효율적으로대응할수있는솔루션 Prolexic Routed 라우팅을이용한 IP 우회서비스로대용량 DDoS 방어에최적화된솔루션글로벌 7 개 SC(Scrubbing Center) 를통한분산처리 Prolexic Connected 라우팅을이용한 IP 우회서비스 Routed 서비스와달리전용선을이용해오리진과통신하며 Routed 서비스트래픽제한해결가능 ETP(Enterprise Threat Protection) 기업내사용자의외부사이트에대한 DNS 요청을확인하여 Bot, Malware 및 C&C 서버로의접속시도를사전에차단하는 DNS 보안솔루션 EAA(Enterprise Application Access) 사내인프라에대한외부접속을단순화하여보안을강화한 Remote Access 지원솔루션 VPN DNS Web Application Server FastDNS ( 글로벌분산된 DNS 서비스로기업의 DNS 인프라확장가능 100% 가용성 SLA) 전세계 137 개국, 3000+ PoP, 28 만 + Edge Server 서비스인프라 고객내부방어시스템을각각의보안솔루션을이용해성능향상및대체서비스를제공할수있음
아카마이보안솔루션활용예시 Akamai CI & NLTA SIEM, ESM 에융합하여관제및대응강화 Network 및보안장비에서선재적으로차단 Akamai WAF & Prolexic 강력한 Cloud WAF 로웹에대한공격방어 BGP + GRE 서비스로 Data Center 공격방어 Akamai Bot Manager 아카마이봇메니저로봇트래픽관리 비정상적인봇접속에의한보안사고예방 Akamai EAA + ETP EAA 를통해원격접속에대한보안제고 ETP 를통해사내보안사고예방및감시 Network FW DDoS Appliance WAF Internal Systems 아카마이보안솔루션을활용하여선제적위협방어체제설립및내외부보안강화에활용가능
THANK YOU 이신우 굿모닝아이텍클라우드보안팀 swlee@goodmit.co.kr www.cloudsec.com