이번 주, 연례 고객 및 파트너 행사인 AppWorld가 열리는 라스베이거스의 화려한 불빛 아래 애플리케이션 딜리버리 및 보안의 미래가 펼쳐집니다. 참석자들은 당사의 F5 Application Delivery and Security Platform (ADSP), 제품 및 파트너 에코시스템 전반에 걸친 다양한 업데이트를 만나볼 수 있으며, 각 업데이트는 가장 시급한 애플리케이션 딜리버리 및 보안 과제를 해결하는 데 중점을 둡니다.
물론 이러한 발표의 중심에는 F5 BIG-IP가 있습니다. F5 ADSP의 핵심 구성 요소인 BIG-IP의 차기 소프트웨어 릴리스 v21.1을 오늘 미리 소개하게 되어 기쁩니다. 향후 몇 달 내에 출시될 예정인 BIG-IP v21.1은 BIG-IP TMOS 현대화 여정을 이어가는 한편, AI 워크로드를 보호하고 전송하기 위한 새로운 기능을 도입하고, 포스트 양자 암호(PQC) 대비 태세를 강화하며, 최신 프로토콜과 API를 위한 고급 보호 기능을 제공하는 등 훨씬 더 많은 개선 사항을 선보일 예정입니다. 그럼 지금부터 BIG-IP v21.1에 적용될 가장 중요한 변경 사항을 자세히 살펴보겠습니다.
BIG-IP TMOS 소프트웨어 현대화
지난해 BIG-IP Next를 단종하면서, 당초 BIG-IP Next에 적용할 예정이었던 여러 개선 사항을 통합해 BIG-IP TMOS 소프트웨어를 현대화하겠다고 약속했습니다. BIG-IP v21.0 릴리스는 컨트롤 플레인의 확장성과 성능을 크게 향상함으로써 이 목표를 향한 첫걸음을 내디뎠습니다. v21.1에서는 다음 두 가지 추가 업데이트를 통해 이러한 현대화 여정을 이어갑니다:
새로운 BIG-IP 선언형 API 소개: BIG-IP는 오랫동안 Application Services 3 Extension(AS3)을 통해 선언형 자동화를 지원하여 팀이 애플리케이션 구성 변경을 간소화하고 가속화할 수 있도록 해왔습니다. AS3는 BIG-IP 자동화에 혁신을 가져왔으며 대부분의 배포 환경에서 요구되는 사항을 계속 효과적으로 충족하고 있지만, 현대적인 환경은 놀라운 속도로 발전하고 있습니다. 전례 없는 규모로 구성을 거의 즉시 변경하려는 수요가 증가하면서 새로운 차세대 API의 필요성이 대두되었습니다.
BIG-IP v21.1에서 새로운 BIG-IP Declarative API가 처음에는 알파 버전으로 도입된다는 소식을 기쁜 마음으로 알려드립니다. AS3와 달리 이 API는 BIG-IP 코드베이스에 완전히 통합되므로 별도의 수명 주기 관리가 필요하지 않습니다. 또한 AS3의 테넌트별 설계에서 벗어나 확장성이 더 뛰어난 애플리케이션별 모델로 전환함으로써, 크고 복잡한 AS3 구성을 관리하기 쉽고 위험을 줄이는 데 도움이 되는 더 작고 재사용 가능한 모듈로 나눌 수 있습니다. 더욱이 새로운 API는 AS3보다 훨씬 광범위한 자동화 범위를 제공하여 대부분의 BIG-IP 워크플로와 사용 사례를 자동화할 수 있습니다. 속도도 빠릅니다. 대폭 향상된 성능 덕분에 구성을 거의 실시간으로 배포할 수 있어 BIG-IP가 최신 애플리케이션 운영 환경에 부합하게 됩니다. 앞으로 몇 달 동안 BIG-IP Declarative API에 관한 자세한 내용을 계속 공유할 예정이니 많은 관심 부탁드립니다.
지속적인 컨트롤 플레인 개선: 당사는 v21.0부터 BIG-IP 컨트롤 플레인의 현대화를 시작했으며(자세한 내용은 여기에서 확인 가능), 이는 v21.1 및 이후 릴리스에서도 지속적으로 다뤄질 핵심 주제입니다. 이번 최신 업데이트에서는 리소스 활용을 최적화하는 동시에 컨트롤 플레인의 안정성과 성능을 향상하기 위해 MCPd, iControl REST, BigD 데몬이라는 세 가지 핵심 영역을 대폭 개선했습니다.
iControl REST API는 요청을 더 빠르게 처리하여 엔드투엔드 구성 시간을 최대 10% 단축합니다. 향상된 효율성으로 CPU 및 메모리 사용량을 줄여 다른 핵심 컨트롤 플레인 기능에 사용할 리소스를 확보합니다. BIG-IP 구성을 관리하는 핵심 프로세스인 MCPd는 메모리가 부족한 상황에서도 복원력을 높이고 시스템 부팅 및 구성 로드 작업을 가속하도록 개선되었습니다. 마지막으로 BIG-IP의 애플리케이션 상태 모니터링 데몬인 BigD는 이제 멀티스레딩을 활용하여 모니터링 확장성을 높이고 전체 리소스 사용량을 줄입니다.
컨트롤 플레인 업그레이드는 여전히 당사의 최우선 과제 중 하나이므로, BIG-IP v22.x 및 이후 버전에서 더 많은 개선 사항을 기대해 주십시오.
PQC 준비 상태
누구에게 묻느냐에 따라 ‘Q-Day’가 코앞으로 다가왔다고도 하고, 아직 몇 년은 더 남았다고도 합니다. 어느 쪽이든, 현재 암호화된 데이터를 저장해 두었다가 향후 양자 컴퓨터가 충분한 성능을 갖추면 복호화하려는 ‘지금 수집하고 나중에 복호화하기’ 위협으로 인해 오늘날 PQC의 필요성이 더욱 절실해지고 있습니다.
BIG-IP은 v17.5.0에서 TLS 1.3의 하이브리드 키 교환 X25519_ML-KEM-768을 지원하며 PQC 준비를 위한 첫걸음을 내디뎠습니다. 하지만 이는 시작에 불과했습니다. BIG-IP은 릴리스마다 PQC 기능을 지속적으로 확장해 왔으며, BIG-IP v21.1에서는 두 가지 주요 업데이트를 제공합니다:
추가 NIST 준수 PQC 암호 지원: 양자 컴퓨터의 상용화 가능성이 점차 커지면서 RSA 및 ECC와 같은 기존 암호화 알고리즘은 더 이상 유효하지 않게 될 위험에 처해 있습니다. 이를 인식한 미국 국립표준기술연구소(NIST)는 양자 컴퓨터를 활용한 공격을 견딜 수 있는 PQC 알고리즘을 표준화하기 위한 전 세계적인 노력을 주도했습니다. 그 결과, FIPS 203 표준을 준수하며 하이브리드 암호화를 제공할 수 있는 SecP+ML-KEM 암호 그룹이 채택되었습니다. 이러한 암호는 기존 암호화 방식(SecP)과 양자 내성 알고리즘(ML-KEM)을 결합하여 현재는 물론 미래에도 보안을 유지할 수 있도록 지원합니다.
NIST 지침 및 FIPS 표준을 준수해야 하는 고객, 특히 정부 및 기타 규제 산업의 고객에게는 인프라 보안을 위해 SecP + ML-KEM 암호화 스위트를 도입하는 것이 매우 중요합니다. 이러한 요구 사항을 충족하기 위해 BIG-IP는 v21.1에서 NIST를 준수하는 두 가지 새로운 PQC 암호화 스위트 그룹을 지원합니다:
- SecP256r1ML-KEM-768
- SecP384r1ML-KEM-1024
출시 시점부터 해당 암호화 스위트는 클라이언트 측 및 서버 측 연결을 모두 지원하며, SSL 정방향 프록시 사용 사례도 지원합니다. (BIG-IP v21.1s의 PQC 개선 사항에 대한 자세한 내용은 F5의 Rachael Shah가 작성한 이 블로그에서 확인할 수 있습니다.)
양자 내성 TLS/SSL VPN 터널링: VPN 터널링은 클라이언트와 서버 사이에 암호화된 터널을 생성하여 공용 또는 사설 네트워크를 통한 데이터 전송을 보호하는 방법으로 1990년대 후반에 처음 도입되었습니다. 약 30년 동안 VPN 터널은 민감한 정보가 악의적인 사람의 손에 들어가지 않도록 성공적으로 보호해 왔습니다. 그러나 양자 컴퓨팅이 부상하면서 공격자는 기존 암호화 방식을 무력화하고 해당 데이터에 접근하는 데 필요한 연산 능력을 갖게 될 것입니다.
이에 대응하기 위해 BIG-IP Zero Trust Access(이전 명칭: BIG-IP APM) v21.1에서는 X25519 + ML-KEM-768 암호를 지원하는 양자 내성 TLS/SSL VPN 터널링을 도입할 예정입니다. 앞서 설명한 것처럼 이 암호는 클라이언트 측과 서버 측의 종단 간 연결을 지원하여 NIST 지침 및 FIPS 203 표준을 준수하는 동시에 최신 VPN 터널을 포괄적으로 보호합니다. TLS/SSL VPN보다 IPSec VPN을 선호하는 조직을 위해 BIG-IP Zero Trust Access에는 머지않아 이와 유사한 양자 보안 IPSec 터널링 지원도 추가될 것으로 예상됩니다.
AI 워크로드 전송, 보안 및 액세스 기능 개선
본질적으로 AI 워크로드의 요구 사항은 다른 애플리케이션의 요구 사항과 매우 유사합니다. 즉, 빠르고 가용성이 높아야 하며 무엇보다 안전해야 합니다. 그러나 이러한 워크로드의 규모와 정교함이 커짐에 따라 애플리케이션 전송 컨트롤러(ADC)를 비롯해 이를 지원하는 인프라도 새로운 요구 사항을 충족하도록 발전해야 합니다. v21.0에서는 BIG-IP가 모델 컨텍스트 프로토콜(MCP)을 지원하는 초기 기능 세트를 제공하며 중요한 첫걸음을 내디뎠습니다. 이제 v21.1에서는 추가 MCP 기능을 제공하고 에이전틱 AI 시스템이 리소스에 빠르고 안전하게 액세스할 수 있도록 지원함으로써 기존 성과를 더욱 발전시키고 있습니다.
Model Context Protocol을 위한 보안 및 전송 기능 확장: AI 앱이 에이전트와 애플리케이션 간의 빠르고 표준화된 상호 작용 방식으로 MCP에 점점 더 의존함에 따라, 일관되고 안전한 트래픽 흐름을 보장하는 것이 매우 중요해지고 있습니다. BIG-IP v21.1에서는 MCP 트래픽을 위한 두 가지 주요 개선 사항을 제공합니다:
- F5 BIG-IP Advanced WAF를 통한 MCP 프로토콜 보호: MCP 트래픽을 활용하는 AI 앱은 도구 오염, 비밀 정보 노출, 인젝션 공격을 비롯해 OWASP MCP Top-10에 설명된 기타 새로운 공격 유형에 취약한 경우가 많습니다. BIG-IP v21.1에는 WAF 기반 MCP 검사가 추가되어 이러한 위협을 선제적으로 탐지하고 완화할 수 있으며, 성능이나 지연 시간에 영향을 주지 않으면서 AI 트래픽을 안전하게 보호합니다.
- F5 BIG-IP Local Traffic Manager (LTM)를 통한 MCP 세션 지속성: MCP 워크플로에서는 올바른 처리를 위해 요청을 동일한 서버로 일관되게 라우팅해야 하는 경우가 많지만, 이전에는 이것이 불가능했습니다. BIG-IP v21.1에서는 여러 측면에서 쿠키 지속성과 유사하게 작동하는 MCP용 세션 지속성을 도입합니다. 즉, MCP 서버가 클라이언트에 세션 ID를 발급하면 해당 세션 ID가 포함된 후속 트래픽이 동일한 풀 멤버로 라우팅되어 더욱 원활하고 안정적인 연결을 보장할 수 있습니다.
AI 에이전트를 위한 원활하고 안전한 액세스: 실시간으로 작동하는 자율 에이전트로 구성된 에이전틱 AI 시스템은 데이터베이스, 클라우드 서비스, 내부 시스템과 같은 백엔드 리소스에 동적이고 유연하게 액세스할 수 있어야 합니다. 하지만 기존의 자격 증명 관리 및 신규 에이전트 인증 방식은 번거로울 수 있으며, 개발자가 액세스 팀 관리자에게 신규 클라이언트의 권한 부여와 수동 구성을 의존해야 하는 경우가 많아 시간 효율성이 떨어집니다. 다행히 BIG-IP Zero Trust Access v21.1의 새로운 동적 클라이언트 등록(DCR) 기능이 이러한 문제를 해결합니다.
DCR을 사용하면 에이전틱 AI 시스템(또는 그 밖의 모든 앱)은 새로운 작업이나 에이전트가 생성될 때 중앙 권한 부여 서버인 BIG-IP Zero Trust Access에 안전하고 간편하게 자체 등록할 수 있습니다. 수동 구성을 기다리는 대신, 에이전트는 에이전트 이름과 필요한 액세스 권한 같은 기본 정보를 포함한 API 요청을 BIG-IP Zero Trust Access DCR 엔드포인트로 보낼 수 있습니다. BIG-IP Zero Trust Access는 요청을 자동으로 검증하고 에이전트를 등록한 후 즉시 보안 자격 증명을 발급하여 프로세스를 크게 단축하고 간소화합니다. 아래에서 이 프로세스를 시각적으로 확인할 수 있습니다.
앞서 언급했듯이 DCR 엔드포인트를 사용하면 AI 시스템뿐만 아니라 모든 유형의 앱을 등록하고 승인하여 리소스에 안전하게 액세스하도록 할 수 있습니다. DevOps 팀은 기존 CI/CD 파이프라인을 활용해 DCR 엔드포인트로 액세스 요청을 자동 전송함으로써 앱 배포 시간을 단축하고 BIG-IP 관리자의 일상적인 업무 부담을 줄일 수 있습니다. (BIG-IP Zero Trust Access에 대한 자세한 내용은 Jay Kelley의 이 블로그에서 확인할 수 있습니다.)
최신 API 및 프로토콜 보호
시간이 지남에 따라 애플리케이션이 발전하면서 이를 뒷받침하는 프로토콜과 API도 함께 발전하여 성능, 확장성 및 유연성이 향상됩니다. 그러나 공격자들이 이러한 신기술의 약점과 취약점을 악용하는 데 초점을 맞추면서, 이런 발전은 새로운 과제도 야기합니다. 고객이 이 끊임없는 악순환에서 한발 앞서 나갈 수 있도록 BIG-IP Advanced WAF 는 v21.1에서 HTTP/3 프로토콜 트래픽과 OpenAPI 3.1 사양으로 정의된 API를 모두 보호하는 기능을 추가합니다. 자세히 살펴보겠습니다.
HTTP/3 프로토콜 트래픽을 위한 고급 보안: HTTP/3는 2022년에 도입된 이후 빠르게 확산되어 현재 전체 웹사이트의 약 38%가 이 프로토콜을 사용하고 있습니다. 여전히 HTTP/2가 주류를 이루고 있지만, HTTP/3의 뛰어난 성능과 안정성, 효율성을 바탕으로 향후 몇 년 내에 HTTP/2보다 더 널리 도입될 것으로 예상됩니다. 조직이 점진적으로 HTTP/3로 전환하더라도 웹 기반 위협으로부터 해당 트래픽을 보호해야 할 필요성은 줄어들지 않으므로, 강력한 WAF 보호가 계속해서 필요합니다.
BIG-IP v21.1부터 BIG-IP Advanced WAF는 사용 중인 HTTP 프로토콜 버전에 관계없이 트래픽을 보호합니다. 이제 WAF 정책은 HTTP/2 또는 HTTP1/1과 동일한 수준의 정밀도와 보안으로 HTTP/3 트래픽을 검사하여 크로스 사이트 스크립팅(XSS)이나 SQL 인젝션과 같은 정교한 공격을 식별하고 차단할 수 있습니다. BIG-IP v21.1에서 이 지원은 우선 클라이언트 측 트래픽에만 적용됩니다. 하지만 향후 버전에서는 서버 측 보호 기능도 곧이어 지원될 예정입니다.
OpenAPI 3.1 사양을 기반으로 구축된 API를 위한 WAF 보호: API는 최신 애플리케이션의 중추로서 시스템 간의 원활한 연결과 호환성을 지원하므로, API의 보안을 유지하는 것이 매우 중요합니다. OpenAPI 표준은 API를 정의하고 문서화하기 위한 체계적인 프레임워크를 제공하여 서로 다른 플랫폼 간의 일관성과 상호 운용성을 보장함으로써 이 생태계에서 핵심적인 역할을 합니다. OpenAPI 사양은 API가 정확히 어떻게 작동해야 하는지, 즉 어떤 엔드포인트를 노출하고 어떤 데이터를 요구하며 어떻게 동작해야 하는지를 정의하는 규칙서라고 생각할 수 있습니다. BIG-IP Advanced WAF는 이 규칙서를 활용하여 비정상적인 동작을 식별하고 API 설계 방식에 따라 엄격한 보안 정책을 적용함으로써 API를 보호합니다.
v21.1부터 BIG-IP Advanced WAF는 OpenAPI 3.1 사양을 기반으로 API를 보호합니다. OpenAPI 3.1 사양에 정의된 허용 엔드포인트, 메서드, 매개변수, 데이터 유형 및 보안 요구 사항을 학습한 후 이러한 규칙과 일치하지 않는 모든 요청을 차단합니다. 이를 통해 잘못된 형식의 요청, 문서화되지 않은 엔드포인트의 악용 및 일반적인 API 공격이 애플리케이션에 도달하기 전에 차단하여, 예상된 올바른 구조의 API 트래픽만 허용되도록 합니다. 물론 2.0 및 3.0을 포함한 이전 버전의 OpenAPI 사양도 계속 지원되고 보호됩니다.
이게 전부가 아닙니다…
이 블로그에서 다룬 개선 사항은 BIG-IP v21.1에 새롭게 추가될 예정인 기능 중 극히 일부에 불과합니다. 여기에서 소개한 모든 내용 외에도 향상된 HTTP/2 성능, 네이티브 IPSec VPN 터널링, 정책 기반 송신 라우팅, BIG-IP 관리 플레인을 위한 다단계 인증을 비롯한 훨씬 더 많은 기능을 기대할 수 있습니다.
출시 후에는 MyF5에서 BIG-IP v21.1 릴리스 노트를 확인하여 자세한 내용을 알아보세요. 그동안 예정된 웨비나에 꼭 등록하여 BIG-IP v21.1 릴리스에 대해 자세히 알아보세요.
작성자 소개
관련 블로그 게시물
F5 NGINX Gateway Fabric로 AI 제공 표준화
F5 NGINX Gateway Fabric이 기업의 Kubernetes 트래픽 표준화, 애플리케이션 보안 강화, 대규모 AI 추론 준비를 어떻게 지원하는지 알아보세요.
F5의 CalypsoAI 인수 발표, TRiSM 프레임워크 구축을 향한 행보
F5의 CalypsoAI 전략적 인수를 통해 조직은 보안, 개인정보 보호 및 운영 통제력을 유지하면서도 안심하고 AI를 도입할 수 있습니다. 자세한 내용은 블로그에서 확인하세요.
사이버 복원력: LLM을 위한 OWASP Top 10 위험 완화
OWASP가 2025년 LLM 및 생성형 AI 앱을 위한 10대 위험 및 완화 방안을 발표하면서 업계에 절실히 필요했던 보안 기준이 마련되었습니다. 하지만 실행이 뒤따르지 않는 기준은 아무 의미가 없습니다. F5 AI 런타임 보안 솔루션은 OWASP 10대 위험의 80%에 대응하며, 현실에서 가장 시급한 위험을 우선적으로 해결합니다. 이 솔루션은 실시간 런타임 보호 기능을 결합하여 […]
석유 및 가스 산업을 위한 AI 보안
AI는 지질 모델링과 시추 최적화부터 파이프라인 모니터링, 예측 유지보수, 원자재 거래에 이르기까지 석유 및 가스 산업을 재편하고 있습니다. 하지만 이러한 미션 크리티컬 활용 사례에는 높은 위험도 따릅니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, 보호를 위한 Guardrails, 그리고 내장된 관측 가능성을 통해 석유 및 가스 산업을 안전하게 보호합니다. […]
인사 부서를 위한 AI 보안
AI는 HR을 혁신하고 있습니다. 기업들은 비용을 절감하고 직원 경험을 개선하기 위해 AI 기반 채용 코파일럿, 온보딩 도우미, 직원 지원 챗봇, 인력 분석 도구를 도입하고 있습니다. 하지만 HR 애플리케이션에는 규정 준수 실패, 편향 논란, 평판 훼손으로 이어질 수 있는 고유한 위험도 존재합니다. 당사의 AI 런타임 보안 솔루션은 다음과 같은 방식으로 HR 분야를 보호합니다. […]
기업 법무 관리를 위한 AI 보안
AI는 계약 검토 및 증거개시 자동화부터 규제 준수 모니터링과 민감한 지식재산 관리에 이르기까지 기업 법무팀의 업무 방식을 혁신하고 있습니다. 그러나 법률 환경은 AI 도입 시 가장 큰 위험이 따르는 분야 중 하나입니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, Guardrails 등 세 가지 접근 방식으로 기업 법무 관리를 보호합니다 […]