조직들이 운영 안정성, 비용 투명성, 탄력적인 확장성 및 민첩성을 보장하면서 소프트웨어를 더욱 역동적이고 유연하게 활용할 방법을 모색함에 따라, 서비스형 소프트웨어(SaaS)는 모든 산업 분야에서 점점 더 널리 도입되고 있습니다.
하지만 타사에서 제공하는 애플리케이션을 사용하기에 앞서, 사용자가 액세스할 수 있도록 네트워크 연결, 스토리지, 컴퓨팅(인프라 계층), 가상화, 운영 체제, 미들웨어, 런타임을 비롯해 서비스 계층 내에서 애플리케이션을 실행하는 데 필요한 모든 구성 요소를 갖춰야 합니다. 그런 다음에야 RBAC 구성, 사용자 관리 및 최종 사용자에게 애플리케이션을 배포하는 단계로 넘어갈 수 있습니다.
또한 위에서 언급한 여러 계층에서 기능 내 기반 기술이 통합되고 서로 중첩되는 추세이지만, 일반적으로 조직에서는 고유한 프로세스를 갖춘 서로 다른 팀이 각 계층을 담당한다는 점도 중요합니다. 대개 각 계층에는 여러 팀이 운영되고 있습니다.
이 글에서는 기존 환경을 훼손하거나 오염시키지 않으면서 조직이 SaaS 애플리케이션을 실시간으로 안전하고 비공개적으로 도입할 수 있도록 Thad Széll(UBS 수석 엔지니어)과 Nuno Ferreira(Volterra 현장 CTO)가 제안한 아이디어와 혁신을 소개합니다. 이들의 연구는 Microsoft Office 365.a에서 시작되었습니다.
우리 모두 알고 있듯이 SaaS 애플리케이션은 일반적으로 공용 인터넷을 통해 접속하며, 바로 이 지점에서 첫 번째 문제들이 발생합니다. 첫 번째 인프라 문제는 이전에는 애플리케이션이 통제 가능한 정적인 인프라에서 운영되었지만, 이제는 매우 동적이고 특정 단일 주체가 통제하지 않는 인터넷을 통해 접속하게 된다는 점에서 비롯됩니다.
일부 SaaS 공급자는 조직이 비공개로 연결할 수 있도록 전용 회선(예: Azure의 ExpressRoute)이나 VPN을 제공합니다. 이러한 방식을 도입하려면 조직은 최소한 다음을 수행해야 합니다:
SaaS 공급자와 네트워크 수준에서 피어링하고 라우팅 관계를 유지합니다. SaaS 공급자의 공용 IP 주소를 기업 네트워크에 주입/광고합니다. 서비스를 엑스트라넷 또는 DMZ로 취급하고 여러 계층의 네트워크 분할 및 보안을 적용합니다. SaaS 공급자가 고객에게 VPN 서비스만 제공하는 경우에는 이 VPN을 구축하고 유지 관리할 장치가 필요합니다. 이러한 기술로는 지연 시간 문제를 해결할 수 없다는 점에 유의하십시오.
정방향 프록시/NAT 장치를 사용하면 일부 보안 문제를 해결할 수 있지만, 라우팅 문제와 타사 공인 IP 주소를 기업 네트워크에 주입해야 하는 필요성은 해결할 수 없습니다.
또한 SaaS 제공업체는 매우 역동적으로 운영되는 경우가 많아, 이들이 공지하는 주소, DNS 이름 및 공개 엔드포인트가 매우 빈번하게 변경됩니다. 따라서 피어링, 경로 주입, 경로 광고 및 보안 제어를 유지하기 위한 운영 메커니즘을 마련해야 합니다.
따라서 라우팅 없이 포워드 프록시/NAT를 사용할 수 있는 솔루션이 더 효율적이며 필수적입니다.
Office 365를 예로 들어 보겠습니다. Microsoft는 Azure를 통해 클라우드 영역을 확장하고 있으며, Microsoft 애플리케이션 서비스도 나날이 확대되고 있습니다. 이 플랫폼을 이용하면 대기업은 ExpressRoute라는 전용 고속 물리적 연결을 통해 Azure에 비공개로 연결할 수 있습니다.
따라서 Microsoft는 기업 직원들이 이 전용 사설 ExpressRoute 회선을 통해 Office 365에 액세스할 수 있도록 함으로써 앞서 언급한 문제(개인정보 보호 및 지연 시간 관련)를 해결할 수 있었습니다.
Office 365용 ExpressRoute는 인터넷에 연결된 여러 Office 365 서비스에 대한 대체 라우팅 경로를 제공합니다. Office 365용 ExpressRoute의 아키텍처는 인터넷을 통해 이미 액세스할 수 있는 Office 365 서비스의 공용 IP 접두사를 프로비저닝된 ExpressRoute 회로에 알린 후, 해당 IP 접두사를 네트워크에 재배포하는 방식을 기반으로 합니다. ExpressRoute를 사용하면 Office 365 서비스에 대해 인터넷과 ExpressRoute라는 서로 다른 여러 라우팅 경로를 효과적으로 활성화할 수 있습니다. 이러한 네트워크 라우팅 상태는 내부 네트워크 토폴로지를 설계하고 보호하는 방식에 중대한 변화를 가져올 수 있습니다.
좋아요, 그렇다면 그렇게까지 비공개인 건 아닐 수도 있겠네요.
아래 그림은 이 시나리오를 나타냅니다:
이 접근 방식은 네트워크 및 보안 팀에 세 가지 뚜렷한 과제를 안겨줍니다:
네트워크 라우팅 및 NAT
사용자가 기본 경로(ExpressRoute 경유)를 이용할 수 있도록 엔터프라이즈 네트워크 인프라 팀은 공개적으로 라우팅 가능한 IP 주소 공간을 사내 네트워크에 주입해야 합니다. 또한 사내 네트워크가 Microsoft에 노출되는 것을 방지하기 위해 네트워크 팀은 이 Microsoft 네트워크 방향으로 NAT도 구현해야 합니다. 이로 인해 Microsoft와의 BGP 피어링(NAT 포함)을 유지 관리하는 데 운영상의 복잡성이 발생할 뿐만 아니라, 코어 네트워크에 경로가 주입된 전용 회선과 인터넷 양쪽을 통해 라우팅할 수 있는 네트워크의 복잡성을 고려하여 신중하게 계획해야 합니다.
보안 변경 관리
Office 365의 주소는 수시로 변경되므로 이러한 변경 사항을 엔터프라이즈의 내부 보안 및 프록시 인프라에 반영해야 합니다. 이를 이행하지 않으면 ExpressRoute 회선이 활성화되었을 때 Office 365 서비스 연결이 간헐적으로 또는 완전히 끊길 수 있습니다. Microsoft는 기업의 보안 및 거버넌스 정책을 적용하기 위해 엔터프라이즈 보안 및 라우팅 어플라이언스에서 구성하고 지속적으로 업데이트해야 하는 도메인, IP 주소 및 TCP/UDP 포트 목록을 제공하는 포괄적인 문서(및 REST API)를 정기적으로 업데이트하여 제공합니다.
운영 및 보안 가시성
NAT 장치로는 애플리케이션에 대한 가시성이 거의 또는 전혀 없습니다. 그렇다면 어떤 방법도 충분해 보이지 않았던 이 시나리오에 우리는 어떻게 접근했을까요?
복잡한 네트워크 인프라와 보안 정책을 관리할 필요 없이 직원들이 ExpressRoute 연결을 통해 Office 365 및 관련 애플리케이션 서비스에 액세스할 수 있는 이점을 누리도록 하는 세련된 솔루션을 마련했습니다.
Volterra의 통합 네트워크 및 보안 스택에는 이러한 요구를 충족하기 위해 프로그래밍 가능한 프록시 및 부하 분산 기능을 갖춘 애플리케이션 라우터가 포함되어 있습니다. 이러한 기능 외에도 Volterra는 기업이 제로 트러스트 보안으로 전환할 수 있는 간단한 경로를 제공합니다.
개괄적으로 기업은 Microsoft가 Office 365 경로/서비스를 제공하는 ExpressRoute 라우터와 피어링되는 Volterra Application Gateway 클러스터를 구축하게 됩니다. Volterra Application Gateway는 이 라우터를 통해 Office 365 엔드포인트를 자동으로 검색하므로 기업은 여기에서 Office 365 서비스에 액세스할 수 있습니다. 이 혁신을 통해 운영자는 동적 구성을 인프라의 규칙으로 변환하기 위한 별도의 프로세스를 관리할 필요가 없습니다. Volterra Gateway Auto-Discovery 기술을 사용하면 클라이언트가 요청 대상을 지속적으로 변경할 수 있으며, 게이트웨이는 들어오는 모든 요청에 대해 자동 검색과 TLS 무결성 검증을 수행합니다.
솔루션의 두 번째 부분은 엔터프라이즈 네트워크 내에 Microsoft 공용 경로를 알리지 않고도 기업 사용자가 이러한 서비스를 이용할 수 있도록 하는 것입니다. 이는 다음 두 가지 방법으로 구현할 수 있습니다:
첫 번째 방법은 Azure의 Volterra Application Gateway 클러스터에서 ExpressRoute 회선을 통해 직접 처리하는 것입니다. 엔터프라이즈 네트워크에 주입되는 유일한 IP는 Azure에 있는 Volterra Application Gateway 클러스터의 IP 주소입니다. 설명의 편의를 위해 게이트웨이가 Azure에 있다고 가정했지만, 다음 두 가지 조건만 충족하면 어디에든 배치할 수 있습니다. a. 사용자가 게이트웨이에 액세스하여 트래픽을 전송할 수 있어야 합니다(또는 게이트웨이가 트래픽을 가로채야 합니다). b. 게이트웨이가 Office 365 엔드포인트가 위치하거나 검색 가능한 ExpressRoute 회선에 연결되어 있어야 합니다. 두 번째 방법은 기업 내부 환경(및 프라이빗 데이터 센터)에 하나 이상의 Volterra Application Gateway 클러스터를 추가하는 것입니다. 그런 다음 검색된 Office 365 엔드포인트 서비스를 온프레미스 Application Gateway 클러스터를 통해 제공하도록 정책을 구성합니다. 이러한 엔드포인트는 Azure Cloud에 있는 Volterra Application Gateway를 통해 검색됩니다(첫 번째 부분에서 설명한 방식). 또한 엔터프라이즈 운영 팀은 모든 트래픽을 암호화하면서 추가 보안 및 인증 정책을 구성할 수 있습니다. 아래 그림은 이러한 시나리오를 보여 줍니다.
Volterra Application Gateway 클러스터는 자동 확장 기능도 구현하고 있어, 게이트웨이 하나가 특정 임계값을 초과하면 새 게이트웨이를 가동하여 클러스터에 추가합니다.
엔터프라이즈 네트워크, 보안 및 운영 팀에 상당한 이점을 제공하는 Volterra 솔루션의 기타 기능은 다음과 같습니다:
중앙 집중식 정책 및 SaaS 기반 관리를 통한 운영 간소화
프로그래밍 가능한 데이터 플레인을 기반으로 프록시, 보안 및 라우팅 통합
애플리케이션 사용 및 액세스에 대한 세분화되고 풍부한 가시성, 로깅 및 메트릭 제공
이 솔루션은 간소화와 탁월한 운영을 실현함으로써 UBS와 유사한 목표를 달성하려는 조직에 실질적인 해답을 제시한다고 생각합니다. 즉, 기업 네트워크를 “공용 네트워크에 노출하거나 심지어 공용 네트워크의 일부로 만들” 필요 없이 Office 365와 같은 SaaS 서비스에 대한 비공개 액세스를 보장할 수 있습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.