Cloudflare WAF, 전체 트랜잭션 탐지 및 응답 규칙 기능 도입

무엇이 어떻게 달라졌는가

Cloudflare는 웹 애플리케이션 방화벽(WAF)의 기능을 확장하며 '전체 트랜잭션 탐지(full transaction detections)'와 '응답 규칙(response rules)'이라는 두 가지 새로운 기능을 도입했다. 이 기능들은 HTTP 요청과 그에 대한 애플리케이션의 응답을 함께 평가하여 익스플로잇의 증거를 식별한다. 기존의 요청 기반 검사 방식으로는 파악하기 어려웠던 공격의 성공 여부나 민감 정보 노출을 응답을 통해 확인하고, 응답 규칙을 활용하여 악성 응답이 요청자에게 도달하기 전에 차단할 수 있게 된다. 이 새로운 기능들은 모든 Cloudflare 고객에게 일반 공급되며, 무료 플랜 사용자도 포함된다.

그 변화가 나온 배경과 맥락

최근 인공지능(AI) 기반의 최신 모델들이 널리 사용되는 소프트웨어의 깊숙한 취약점을 발견하고 있으며, AI 에이전트들은 피드백을 활용하여 페이로드를 조정하고 취약점, 자격 증명, 권한을 연쇄적으로 이용하는 등 매우 집요하게 취약점을 스캔하고 있다. php2shell과 같은 최근의 고위험 취약점 사례는 일반적인 소프트웨어 구성 요소의 결함이 인터넷 전반의 애플리케이션을 위험에 빠뜨릴 수 있음을 보여준다. 공격 시도에 대한 애플리케이션의 응답은 공격 성공 여부를 드러내고 공격자가 더 깊이 침투하는 데 필요한 정보를 제공할 수 있으므로, 단순히 들어오는 요청을 검사하는 것만으로는 충분하지 않다는 인식이 이러한 기능 도입의 배경이 되었다.

기존의 요청 검사 방식은 인식 가능한 공격을 애플리케이션에 도달하기 전에 차단하는 데 필수적이지만, 모든 의심스러운 요청을 확정된 익스플로잇으로 처리하는 것은 어려운 선택을 야기한다. 광범위한 요청 시그니처는 더 많은 잠재적 공격을 포착할 수 있지만, 합법적인 트래픽과 일치하여 애플리케이션을 손상시키는 오탐(false positive)을 유발할 수 있다. 반대로 오탐을 유발하지 않는 규칙만 배포하면 위험은 줄어들지만, 더 모호한 트래픽이 서버에 도달할 여지를 남길 수 있다. 응답은 이러한 상황에서 누락된 증거를 제공하며, Cloudflare는 이제 요청과 그에 따른 응답을 상호 연관시켜 전체 HTTP 트랜잭션의 결과를 고려한 탐지를 가능하게 한다.

실제 동작·수치·옵션·설정 같은 구체적인 내용

전체 트랜잭션 탐지는 의심스러운 입력과 애플리케이션의 응답 신호를 상관관계 분석하여 익스플로잇 성공 여부를 확인한다. 예를 들어, 사용자가 파일을 다운로드하는 애플리케이션에서 공격자가 파일 매개변수를 조작하여 허용된 디렉토리 외부의 개인 설정 파일을 요청하는 경우를 가정할 수 있다. 요청 검사만으로는 이러한 경로 탐색 시도를 인식하고 차단할 수 있지만, 애플리케이션이 실제로 파일을 노출할지는 알 수 없다. 만약 요청이 원본 서버에 도달하여 `username=app_service`, `password=EXAMPLE_SECRET`와 같은 민감한 내용이 포함된 200 OK 응답을 반환한다면, 전체 트랜잭션 탐지는 이러한 시도된 파일 접근과 응답 내용을 결합하여 민감 데이터 노출의 강력한 증거를 제공한다.

탐지 및 완화는 설계상 분리되어 있다. 탐지 기능은 트래픽을 분석하고 요청 및 응답에 메타데이터를 첨부하며, 규칙은 이 탐지 결과에 따라 어떤 조치를 취할지 결정한다. 이러한 분리 구조는 보안 팀이 정책을 설계하기 전에 탐지 결과를 자체 트래픽에서 검사하고, 어떤 엔드포인트와 시그니처가 관련되어 있는지 이해하며, 애플리케이션에 적합한 응답을 선택할 수 있도록 가시성을 제공한다. 플랫폼에는 `cf.waf.signature.response.confidence`, `cf.waf.signature.response.categories`, `cf.waf.signature.response.ids`와 같은 새로운 필드가 추가되어 탐지 결과를 나타낸다. 초기 전체 트랜잭션 탐지는 php2shell 취약점과 같은 고위험 취약점에 대한 익스플로잇 확인에 중점을 두며, 향후 데이터 노출 및 유출 신호 탐지 등 다른 사용 사례로 적용 범위를 확장할 예정이다.

사용자 정의 응답 규칙은 고객에게 규칙 로직에 대한 완전한 제어권을 제공한다. 예를 들어, 인증 게이트웨이가 요청을 내부로 표시하지 않았을 때 관리 인터페이스가 노출되는 것을 방지하는 규칙을 만들 수 있다. 모든 고객은 요청 및 응답 필드를 조합하여 최대 3개의 사용자 정의 응답 규칙을 생성할 수 있으며, '로그(Log)' 및 '차단(Block)' 액션을 지원한다. 유료 고객은 `cf.waf.signature.response.*` 필드를 사용자 정의 응답 규칙에 활용하여 호스트 이름, URL 경로, 소스 IP, 요청 헤더 등 다른 매개변수와 결합하여 더욱 맞춤화된 정책을 생성할 수 있다.

개발자·사용자에게 미치는 영향

이번 Cloudflare WAF 기능 확장은 개발자와 사용자 모두에게 향상된 보안 환경을 제공한다. 기존 요청 기반 WAF로는 탐지하기 어려웠던 정교한 공격, 특히 애플리케이션의 응답을 통해 공격 성공 여부가 드러나는 시나리오에 대한 방어 능력이 크게 강화된다. 예를 들어, 파일 경로 탐색 공격 시도가 실제 민감한 설정 파일 노출로 이어지는 경우를 정확히 식별하고 차단함으로써, 데이터 유출과 같은 심각한 보안 사고를 미연에 방지할 수 있다.

또한, 요청과 응답을 함께 분석함으로써 오탐(false positive)의 위험을 줄이면서도 효과적인 보안 정책을 수립할 수 있게 된다. 광범위한 요청 시그니처로 인한 합법적인 트래픽 차단 문제를 완화하고, 보안 팀은 탐지 결과를 사전에 확인하여 애플리케이션의 특성에 맞는 최적의 대응 방안을 선택할 수 있는 가시성을 확보한다. 이는 보안 정책의 정확성을 높이고 운영 효율성을 개선하는 데 기여한다. 모든 Cloudflare 고객, 심지어 무료 플랜 사용자까지도 이러한 핵심 보호 기능을 활용할 수 있게 되어, 전반적인 웹 애플리케이션 보안 수준이 상향 평준화될 것으로 예상된다.

적용 조건과 제약, 원문이 스스로 밝힌 한계

이 기능에는 몇 가지 적용 조건과 제약 사항이 있다. 응답 규칙은 원본 서버에서 이미 수행된 작업을 되돌릴 수는 없으며, 요청자에게 응답이 도달하기 전에 차단하는 역할을 한다. 또한, 현재로서는 응답 본문(response body)에 대한 규칙 생성은 지원되지 않는다. 모든 고객은 최대 3개의 사용자 정의 응답 규칙을 생성할 수 있으며, 지원되는 필드와 함수는 기존 요청 사용자 정의 규칙에서 플랜에 따라 접근 가능한 범위와 동일하다. 유료 고객은 무료 플랜보다 더 풍부한 탐지 카탈로그를 제공받으며, `cf.waf.signature.response.*`와 같은 고급 탐지 결과 필드를 사용자 정의 규칙에 활용하여 더욱 세밀한 정책을 구현할 수 있다. 이러한 응답 필드는 현재 모든 계정에 순차적으로 배포 중이므로, 아직 접근 권한이 없는 경우 Cloudflare 계정 팀에 문의해야 한다.