IAST 청구

스테인레스 스틸 보안 테스트(IAST)를 사용할 때 비용이 어떻게 청구되는지 아는 것이 중요합니다. 이 기능에 대한 요금은 컴퓨트 Add On 이라는 선택적 추가 기능을 통해 청구됩니다. 이는 New Relic의 세 가지 청구 요소 중 세 번째입니다.

• 수집하는 데이터의 양
• 귀하의 청구 가능 사용자 수
• 구매한 선택적 추가 기능

이 추가 기능이 있으면 New Relic은 귀하가 소비하는 컴퓨팅 단위(CCU)를 기준으로 IAST 비용을 계산합니다.

IAST 비용에 대해 알아보기

IAST 기능을 사용하여 애플리케이션에서 악용 가능한 취약점을 분석할 때 CCU가 사용됩니다. 애플리케이션의 잠재적인 연결을 평가하기 위해 공격 시뮬레이션을 사용하여 애플리케이션에서 응답을 생성합니다.

각 반응을 분석하여 행동의 성격을 파악합니다. 동작이 안전하지 않은 경우 테스트 실행 상태는 Exploitable 로 설정됩니다. 이는 운영 환경에서 공격자가 이러한 취약점 중 하나를 사용하여 애플리케이션, 인프라 또는 데이터를 악용할 수 있음을 의미합니다. IAST를 사용할 때 최적의 CCU 소비를 보장하려면 애플리케이션의 복잡성, 테스트 효율성, 테스트 실행 횟수 등의 요소를 고려하는 것이 중요합니다.

IAST가 CCU를 생성하는 방법 알아보기

IAST는 악용 가능한 취약점이 있는지 애플리케이션을 분석합니다. 실제 공격 시뮬레이션 실행을 분석하면서 테스트 중에 실행되는 API, 메소드 호출 및 트레이스의 동작을 관찰합니다. 각 시뮬레이션은 테스트된 트리거 수를 기반으로 응답을 생성합니다. 더 많은 API 및 메서드 호출이 실행될수록 정확한 위험 평가를 위해 테스트해야 하는 조사 수가 많아집니다. 애플리케이션이 더 복잡하고 테스트 적용 범위의 효율성이 높을수록 각 테스트 실행에 더 많은 컴퓨팅 용량 단위(CCU)가 소비됩니다.

IAST 사용량을 이해하고 비용을 최적화하세요

IAST에는 거버넌스 제어 기능이 내장되어 있습니다. APM이 기능을 실수로 사용하는 일이 없도록 에이전트를 설정하세요. 예를 들어, 인증된 사용자는 각 애플리케이션에 대해 이 기능을 명시적으로 활성화해야 합니다.

IAST를 구성하면 계정, 사용자, API별로 세분화된 가시성이 제공됩니다. 관리자는 조직 전체에서 작업하여 비용을 최적화할 수 있습니다. 테스트 중에 IAST가 얼마나 자주 실행되는지, 테스트 대상이 무엇인지 확인하면 IAST 비용을 제어할 수 있습니다.

IAST 비용을 최적화할 때 다음과 같은 3가지 주요 변수가 있습니다.

• 위험 감수
• 테스트 효율성
• 테스트 실행 또는 빌드

위험 감수

위험을 줄이기 위해 각 빌드의 모든 중요한 앱에서 IAST를 실행하는 것이 좋습니다. 전체 테스트 범위는 출시 후 문제를 해결할 필요성을 줄여줍니다. 위험 허용 범위는 조직마다 다르며 보안 테스트 방법에 영향을 미칩니다. 다음은 앱 빌드에 대한 IAST 결과의 예입니다.

테스트 효율성

Test efficiency [테스트 효율성] 은 테스트 범위에 대한 추정치이며 분석에 사용되는 CCU에 영향을 미칩니다. 테스트 케이스를 기반으로 각 실행 중에 실행되고 분석된 API, 메소드, 트레이스를 확인할 수 있습니다.

테스트 효율성이 높을수록 적용 범위가 넓어져 CCU 소비가 높아질 수 있습니다. 테스트 대상을 결정하여 비용을 제어할 수 있습니다. 특정한 우려 사항이 있는 경우 테스트 사례를 수동으로 또는 자동으로 실행해야 합니다. IAST가 이를 분석할 수 있도록 필요한 API 또는 메소드 호출을 사용하십시오. 특정 API 또는 메서드 호출을 실행하지 않도록 선택하면 비용을 줄일 수 있지만 이로 인해 더 많은 위험이 발생할 수 있습니다.

테스트 실행 또는 빌드

테스트 실행을 안정성, QA, 통합 테스트 등의 환경에 대한 애플리케이션 빌드를 구현하다, 배포하다라고 생각할 수 있습니다. 이미지가 다시 시작될 때마다 새로운 고유 IAST 테스트 실행도 시작됩니다.

• 각 실행마다 적용 범위를 검토하여 IAST가 애플리케이션을 평가하기 위해 수행한 분석의 양을 더 잘 이해할 수 있습니다.
• 분석된 API, 메소드, 트레이스 개수와 각각에 대한 평가를 확인할 수 있습니다.

각 테스트 실행은 분석 노력과 애플리케이션 복잡성에 따라 CCU를 사용합니다. APM 설정에서 IAST를 켜거나 꺼서 IAST를 사용하는 애플리케이션과 실행 빈도를 관리할 수 있습니다. 이를 통해 IAST 사용을 제어할 수 있습니다.

• security.enabled 및 security.agent.enabled true로 설정되면 IAST 분석이 활성화됩니다.
• IAST 분석은 꺼져 있으며 security.enabled 및 security.agent.enabled false로 설정된 경우 이후에 CCU를 사용하지 않습니다.

IAST 사용량 확인

기능별로 분류된 비용을 확인하고 계정 관리에서 IAST 사용량을 자세히 알아볼 수 있습니다. 일일 사용량과 30일 연속 사용량을 확인할 수 있는 기능을 제공합니다. 또한 이를 특정 계정이나 사용자 및 API에 대한 속성 사용으로 분류합니다. one.newrelic.com 에서 IAST CCU 사용량을 확인할 수 있습니다.

IAST를 선택한 다음 Accounts [계정] 또는 Users/API Keys [사용자/API 키] 별로 패싯을 선택하면 사용량을 보다 세부적으로 추적할 수 있습니다.