클라우드플레어, WAF 응답 차단 도입…서버 작업 되돌리기는 불가

웹서비스 운영자가 이번 발표에서 먼저 구분할 부분은 응답 전달의 차단과 서버 작업의 취소다. 클라우드플레어는 10월 21일 웹 애플리케이션 방화벽에 HTTP 요청과 해당 응답을 함께 평가하는 탐지 기능과 응답 차단 규칙을 추가했다고 밝혔다. 다만 회사 설명에 따르면 응답을 막더라도 원본 서버에서 이미 수행한 작업까지 되돌릴 수는 없다. 국내 운영자도 이 기능을 검토할 때 차단이 적용되는 시점을 살펴야 한다.

회사는 무료 요금제를 포함한 전체 고객에게 새 기능을 정식 제공한다고 안내했다. 사용자 지정 응답 규칙은 최대 3개까지 만들 수 있고, 처리 동작으로 기록 또는 차단을 지원한다. 차단 규칙은 원본 서버의 응답을 차단 페이지나 지정한 응답으로 바꾸는 방식이다. 다만 고객이 응답 본문 내용을 직접 조건으로 지정하는 사용자 규칙은 아직 제공하지 않는다고 설명했다.

전체 요금제 제공이라는 안내가 모든 세부 기능의 즉시 사용을 뜻하지는 않는다. 회사는 탐지 결과 필드를 사용자 지정 응답 규칙에 활용하는 기능을 유료 고객 대상으로 설명했다. 관련 응답 필드도 계정에 순차 적용 중이라고 밝혔다. 따라서 운영자는 자신의 계정에서 사용할 수 있는 조건과 실제 적용 여부를 구분해 확인할 필요가 있다.

최초 관리형 탐지의 대상은 php2shell 취약점 악용 징후라고 회사는 밝혔다. 데이터 노출이나 반출 징후 등으로 범위를 넓히는 내용은 향후 계획이다. 현재 제공 범위와 확대 계획을 함께 읽더라도, 발표 시점에 광범위한 정보 유출 탐지가 이미 지원된다고 해석할 근거는 없다. 제공된 발표에는 외부 기관의 성능 재현 결과나 정량적인 오탐률 측정치도 제시되지 않았다.

클라우드플레어는 탐지 결과와 규칙의 처리 동작을 분리한다고 설명했다. 응답 규칙이 기록하거나 차단한 이벤트는 보안 이벤트 화면에서 확인할 수 있다는 안내다. 운영 관점에서는 탐지 여부와 실제 차단 여부를 따로 살펴볼 이유가 된다. 기록 동작으로 확인한 이벤트를 곧바로 차단 실적으로 해석하거나, 차단 이벤트를 서버 내부 작업의 취소로 읽어서는 안 된다.

이전 배경 자료인 구글의 9월 24일 발표는 별도의 웹 보안 검사 프로젝트를 다룬다. 구글은 취약점 후보를 검증기에 넘겨 실행 환경에서 공격 입력의 결과를 확인하며, 검증하지 못한 후보는 제품 담당 팀에 전달하지 않는다고 설명했다. 검증 범위의 한계도 명시했다. 이 자료는 운영 중인 응답을 통제하는 클라우드플레어 기능의 시험 결과가 아니며, 두 시스템의 정확도나 우열을 비교하는 근거로 사용할 수 없다.