피드로 돌아가기
Dev.toSecurity
원문 읽기
WAF 우회 및 애플리케이션 취약점을 통한 인프라 노출 방어 전략
Cloudflare Is Not Enough: Two Security Gaps We Still Find Behind the WAF
AI 요약
Context
Cloudflare WAF 도입 후 모든 트래픽이 보호된다는 잘못된 신뢰로 인한 보안 공백 발생. Origin Server의 직접 노출 및 비운영 환경의 설정 미비로 인해 WAF 무력화 가능성이 존재함.
Technical Solution
- DNS Proxy 설정 외에 Origin Firewall을 통한 Cloudflare IP Range 전용 Allowlist 구축으로 Direct Access 차단
- Public IP 노출을 원천 제거하기 위한 Outbound-only 연결 방식인 Cloudflare Tunnel 도입
- Certificate Transparency Log 및 Historical DNS 분석을 통한 잠재적 Origin IP 식별 및 제거
- Dev/Staging 환경에 VPN, IP Allowlist, Basic Auth를 적용하여 비운영 환경의 Public 접근 제어
- 애플리케이션 내부의 Debug Mode 비활성화를 통한 Stack Trace 및 Query Shape 유출 방지
- WAF에 의존하지 않는 Parameterized Query 도입 및 Application Layer의 입력값 검증 로직 강화
실천 포인트
- crt.sh 및 SecurityTrails를 통해 과거 Origin IP 노출 여부 전수 조사 - Origin Server의 Inbound Rule을 Cloudflare IP 대역으로만 제한 설정 - 비운영 환경의 DNS 레코드를 전수 조사하여 인증 체계 적용 여부 확인 - Error Page의 상세 정보 출력 여부를 점검하여 정보 유출 경로 차단