Fastly Next-Gen WAF·Bot·DDoS 재판매 가이드: 한국 기업이 글로벌 웹 보안을 도입하는 경로

한국 기업이 글로벌 웹 보안 솔루션 도입에서 막히는 지점

의사결정 회의에서 글로벌 WAF·DDoS·Bot 제품 비교는 끝났는데 막상 도입을 못 시작한 경험이 한 번쯤 있으실 거예요. 제품 스펙이 모자라서가 아니죠. 마지막에 막히는 건 보통 네 가지였습니다.

• 영문 MSA·DPA 검토 부담: 본사 법무팀이 검토해야 할 영문 표준 계약서가 길고, 한국 GDPR·개인정보보호법과 정합성을 따져야 해서 검토 기간이 길어집니다.

• USD 결제·환율 변동: 본사 결제 채널이 USD로 한정되어 환율 변동이 다음 분기 예산에 영향을 줍니다. 본사 신용카드·해외 송금 경로가 까다롭기도 하죠.

• 한국 세금계산서·전자세금계산서 미발행: 국세청 전자세금계산서가 발행되지 않으면 회계 처리가 번거로워집니다.

• 한국어 24/7 기술 지원 부족: 새벽 시간 장애가 발생했을 때 영문 채널만으로 대응하면 의사소통이 길어져요.

스피디는 Fastly Korea Authorized Reseller(Agreement № IC-1036)로서 위 네 가지를 한국 상거래 환경에 맞춰 정합하는 도입 경로를 제공합니다. Fastly 원본 제품과 기능은 본사 직접 계약과 동일하고, 운영 환경만 한국에 맞춰 정합되는 구조죠. 이번 글은 어제 글이 보안 침해 사례(5월 27일(수) 발행 Linux 커널 CVE-2026-46333 글)와 OS 계층 점검을 다뤘다면, 오늘은 그 위 애플리케이션 계층에서 어떤 라인업을 어떻게 도입하는지 보는 글입니다.

Fastly Next-Gen WAF: SmartParse 엔진과 Edge·Cloud·On-Prem 배포

Fastly 공식 자료는 Next-Gen WAF를 애플리케이션·API·마이크로서비스를 단일 통합 솔루션으로 보호하는 제품으로 안내합니다. 핵심 탐지 엔진은 SmartParse이고요. SmartParse는 각 요청의 컨텍스트와 실행 방식을 평가해 악성·이상 페이로드를 판별하는 정확도 높은 탐지 방식으로 표기됩니다. 별도 룰셋 작성 없이 near-zero tuning으로 도입 직후부터 위협 탐지를 시작할 수 있다고 명시돼 있어요.

Fastly 공식 문서는 NGWAF의 배포 옵션을 다음 세 가지로 안내합니다.

• Edge 배포: NGWAF를 Fastly Edge Cloud 플랫폼의 글로벌 POP 네트워크 위에서 호스팅하는 방식입니다.

• Cloud 배포: NGWAF를 Fastly 클라우드 인프라에서 호스팅하는 방식이에요.

• On-Prem 배포: 모듈과 에이전트 두 구성요소를 운영 환경에 두는 방식입니다.

운영 환경 특성과 트래픽 형태에 따라 적합한 배포를 고를 수 있다는 의미죠. 도입 효과 표기로는 Fastly 자료에 90% 고객 full blocking mode 운영, 90k+ App deployments protected라는 수치가 안내돼 있습니다.

한 가지 짚어두면 좋은 맥락이 있어요. 과거 별도 제품이었던 Signal Sciences는 2020년 10월 Fastly에 인수가 완료됐고, 현재는 Fastly Next-Gen WAF로 통합돼 있습니다. Signal Sciences라는 별개 제품을 따로 구매할 필요는 없죠.

Bot Management: 행위 신호·프로토콜·고정밀 클라이언트 데이터 분석

Fastly Bot Management 공식 자료는 행위 신호(behavioral signals), 프로토콜 특성(protocol characteristics), 고정밀 클라이언트 데이터(high-fidelity client data)를 분석해 자동화 트래픽을 식별한다고 안내합니다. 단순 IP 차단이 아니라 요청의 패턴과 환경 정보를 함께 보는 방식이에요.

제공 기능에는 Dynamic Challenges, Deception, AI monetization 같은 항목도 포함됩니다. Dynamic Challenges는 의심 트래픽에 단계적 검증을 제시하는 방식이고, Deception은 공격자 행동을 분석할 수 있는 환경을 제공해요. 정상 봇·악성 봇·인간 트래픽을 구분해 비즈니스 운영에는 영향을 주지 않으면서 자동화 트래픽만 통제하는 방향으로 설계됐죠.

DDoS Protection: 토글 한 번으로 활성화되는 자동 완화

Fastly DDoS Protection 공식 자료는 application DDoS attacks에 대한 자동 완화를 안내합니다. 사용자 인터페이스 토글 한 번으로 활성화되고, 별도 튜닝 없이 동시에 들어오는 다중 공격을 초 단위로 차단한다고 표기돼 있어요.

글로벌 capacity는 Fastly Network Map 페이지에 578 Tbps connected global capacity(2026년 3월 31일 기준)로 명시돼 있습니다. 한국 트래픽은 Asia 지역 서울 POP을 포함한 글로벌 엣지 네트워크에서 처리됩니다. 공격 규모가 커도 엣지에서 흡수해 오리진에 도달하기 전에 차단하는 구조죠.

여기까지 라인업 세 개를 정리하면 다음과 같습니다.

DDoS 방어 설계 관점은 5월 6일(수) 발행 멀티 CDN·DDoS 이중 방어 글에서 별도로 정리한 적이 있어요. 5/28 글은 그 설계 단계에서 선택할 수 있는 Fastly 제품 라인업을 본 글이고요. 두 글을 함께 보면 도입 결정과 실제 솔루션 매칭이 연결됩니다.

Authorized Reseller(№ IC-1036) 가치: 한국 상거래 환경 정합

한국 기업이 Fastly 본사와 직접 계약을 진행할 때 마주하는 네 가지 장벽은 글 첫머리에서 다뤘죠. Authorized Reseller 경로는 이를 한국 환경에 맞춰 정합합니다. 직접 계약 경로와 비교하면 다음과 같아요.

제품·기능 자체는 두 경로에서 동일합니다. SmartParse 엔진의 탐지 정확도, Bot Management의 신호 분석, DDoS Protection의 글로벌 capacity 모두 Fastly 본사 제품을 그대로 받죠. 다른 건 운영 환경에서 한국 상거래·운영 관행에 맞춰 정합되는 부분이에요.

최근 Fastly의 흐름도 같이 짚어두면 좋습니다. Linux Foundation 보도자료 2026년 5월 18일에 따르면 Fastly는 Linux Foundation 산하 Agentic AI Foundation(AAIF)에 Silver 멤버로 합류했습니다. 같은 달 5월 20일에는 Fastly CISO Marshall Erwin이 Accountability Without Control Is Breaking Security Leadership 기고에서 보안 책임 구조에 대한 관점을 안내하기도 했고요. 컴플라이언스 측면에서는 Fastly Trust Center에 ISO/IEC 27001:2022, SOC 2 Type 2, PCI DSS Level 1 Service Provider, HIPAA, GDPR 5종이 명시돼 있습니다.

그리고 짚어둘 분리 한 가지가 있어요. 스피디 자체 제품인 5월 21일(목) 발행 AI LB 라우팅 정책 글의 AI LB는 자체 개발 독립 제품으로, Fastly Reseller(№ IC-1036) 자격과는 무관합니다. AI LB와 Fastly Next-Gen WAF는 다른 제품 라인이고, 라이선싱·신뢰 앵커·기술 백본 모두 별도로 운영돼요.

도입 절차와 무료 진단 안내

실제 도입은 보통 다음 네 단계로 진행됩니다.

1. 트래픽 분석·요구사항 정의: 현재 RPS·QPS, 봇 트래픽 비중, 공격 패턴, 컴플라이언스 요구를 정리합니다. WAF 도입 결정 전 트래픽 분석은 WAF 도입 전 트래픽 분석 가이드에서 별도로 정리했어요.

2. 라이선싱·SOW 협의: NGWAF·Bot·DDoS 모듈 조합, 배포 옵션(Edge·Cloud·On-Prem), SOW를 한국어로 검토합니다. 본사 표준 계약은 영문 원본을 함께 보관하죠.

3. 구성·배포: 선택한 배포 옵션에 따라 도메인·인증서·캐시 정책·시그널 정책을 구성하고 트래픽을 단계적으로 옮깁니다.

4. 운영·튜닝: SmartParse는 near-zero tuning을 지향하지만 비즈니스 특성에 맞춘 시그널 조정과 정기 점검이 필요합니다. 한국어 24/7 지원 채널이 이 단계에서 가장 자주 쓰이고요.

운영 중인 트래픽 형태와 현재 보안 스택을 짧은 시간 안에 함께 살펴보는 무료 진단부터 시작하실 수도 있어요.

이것만 기억하세요

자주 묻는 질문 (FAQ)