정보보안 솔루션 전문기업 더올아이티(THE ALL IT)가 웹 위·변조 방지 및 난독화 솔루션 ‘PNP4WEB 3.0 플러스’를 통해 금융기관과 공공기관의 웹 보안 체계 고도화에 나서고 있다.
PNP4WEB은 기존 웹방화벽이 주로 보호하는 서버 영역을 넘어 최종 사용자의 브라우저와 웹 서버 사이의 통신 구간까지 보안 범위를 확장하는 솔루션이다. 고객사의 웹 소스코드를 직접 변경하지 않고 적용할 수 있어 기존 시스템 인프라와 배포 환경을 유지하면서 웹 무결성 보호 기능을 강화할 수 있다.
최근 웹 애플리케이션을 겨냥한 공격은 서버 침입뿐 아니라 프록시 도구를 이용한 통신정보 탈취와 파라미터 변조, 사용자 화면을 조작하는 스크립트 함수 오버라이딩 등으로 고도화되고 있다.
특히 공격자가 사용자와 웹 서버 사이의 통신 과정에 개입하는 중간자 공격은 정상적인 거래정보를 가로채거나 변경할 수 있어 금융서비스와 공공 대민 시스템에서 주요 보안 위협으로 꼽힌다.
■ 브라우저에서 서버까지 이어지는 보안 체계
일반적인 웹방화벽은 외부에서 서버로 전달되는 공격성 요청을 탐지하고 차단하는 역할을 한다. 그러나 사용자의 브라우저에서 실행되는 프로그램이나 프록시 도구를 통해 변경되는 통신정보까지 완전하게 통제하기는 어려울 수 있다.
PNP4WEB은 네트워크 구간에서 전달되는 데이터를 난독화하고 웹 프로그램의 위·변조 여부를 확인할 수 있도록 설계됐다.
이를 통해 클라이언트와 서버 사이의 평문 정보를 프록시 도구로 확인하거나 거래 파라미터를 임의로 변경하는 행위에 대응한다. 기존 서버 중심 보안에서 발생할 수 있는 사각지대를 줄이고 브라우저부터 서버까지 연결되는 엔드투엔드 웹 보안을 구현하는 것이 핵심이다.
■ 소스코드 변경 없는 필터 방식 적용
PNP4WEB의 또 다른 특징은 고객사의 웹 소스코드를 직접 수정하지 않는 필터 구조다.
웹 보안 솔루션 적용을 위해 기존 소스코드를 변경할 경우 개발 인력이 추가로 투입되고 테스트와 검증 기간이 길어질 수 있다. 프로그램 간 충돌이나 서비스 오류 가능성도 함께 고려해야 한다.
PNP4WEB은 고객사의 기존 시스템과 배포 절차를 유지한 상태에서 필터를 적용하는 방식으로 구동된다. 회사 측은 이를 통해 기존 구축 방식보다 적용 기간을 70% 이상 단축하고 유지보수 과정에서 발생하는 개발 부담도 줄일 수 있다고 설명했다.
웹사이트 개편이나 신규 서비스 배포 시에도 개별 소스에 보안 코드를 반복적으로 삽입하지 않아도 돼 운영 효율성을 높일 수 있다.
■ 최신 웹 개발 환경에 맞춘 커스터마이징
더올아이티는 고객사의 시스템 구조와 서비스 특성에 맞춰 PNP4WEB의 기능을 조정하는 맞춤형 커스터마이징 개발을 지원하고 있다.
PNP4WEB은 Chromium 엔진 기반의 최신 브라우저에서 안티 디버깅 기능과 개발자 도구 접근 통제를 제공한다. exBuilder를 비롯해 React와 Vue.js 등 최신 SPA 웹 프레임워크에도 적용할 수 있다.
Spring Boot 기반 시스템과 클라우드 오토스케일링 환경도 지원한다. 이용자가 일시적으로 증가하는 인터넷뱅킹이나 공공기관 대민 서비스에서도 서버 확장 구조에 맞춰 보안 기능을 운영할 수 있도록 구성됐다.
성능 측면에서는 로드러너를 활용한 부하 테스트를 진행했다. 더올아이티는 솔루션 적용 전후의 평균 응답시간 차이를 줄여 실제 운영서버에 미치는 부하를 최소화했다고 밝혔다.
■ 금융·공공 분야 무결성 검증 요구 대응
금융회사와 전자금융업자는 전자금융감독규정 등 관련 기준에 따라 거래 프로그램의 위·변조 여부를 확인하고 무결성을 검증할 수 있는 기술적 보호대책을 마련해야 한다.
공공 정보시스템에서도 프로그램 위·변조 방지와 중요정보 보호를 위한 기술적 조치의 필요성이 커지고 있다.
더올아이티는 PNP4WEB이 웹 애플리케이션 무결성 검증과 통신 구간 데이터 보호를 함께 지원해 금융·공공기관의 내부 보안정책과 컴플라이언스 대응에 활용될 수 있다고 설명했다.
김정순 더올아이티 대표는 “PNP4WEB의 네트워크 구간 난독화 기능은 프록시 도구를 이용해 클라이언트와 웹 서버 사이의 정보를 가로채거나 변조하는 공격에 대응하는 데 초점을 맞추고 있다”고 말했다.
이어 “웹방화벽이 보호하기 어려운 최종 사용자 브라우저 단계까지 보안 영역을 확장해 웹서비스 전 구간의 데이터 무결성을 강화하겠다”고 밝혔다.
■ 금융권과 공공기관 중심으로 도입 확대
PNP4WEB은 한국정보통신기술협회(TTA)로부터 GS인증 1등급을 획득했으며 조달청 나라장터 3자 단가계약 공급제품으로 등록됐다.
더올아이티에 따르면 해당 솔루션은 KB국민은행, IBK기업은행, 아이엠뱅크의 인터넷뱅킹과 모바일 서비스에 구축됐다.
수협중앙회와 교보생명을 비롯해 한국환경공단, 한국지능정보사회진흥원 등 금융기관과 공공기관의 주요 대민 서비스 및 클라우드 이전 사업에도 도입됐다.
더올아이티는 향후 금융·공공기관의 시스템 환경에 맞춘 기술 지원을 확대하고, 웹방화벽과 기존 보안 솔루션만으로 관리하기 어려운 브라우저 및 통신 구간의 취약점 대응을 강화할 계획이다.
제품 및 도입 문의
회사명: 주식회사 더올아이티(THE ALL IT CO., LTD)
웹사이트: https://theallit.com
대표전화: 02-722-9948
이메일: tai@theallit.com
```
){kind=small}
){kind=small}
){kind=small}
){kind=small}
