애플리케이션 보안은 F5 ADC 플랫폼의 핵심 구성 요소입니다. BIG-IP은 업계 최고 수준의 웹 애플리케이션 방화벽 보호 기능뿐만 아니라 멀티 클라우드 아키텍처 내 어디에나 위치한 애플리케이션에 대한 안전한 통합 액세스를 제공합니다. F5는 현존하는 가장 포괄적인 보안 솔루션을 제공한다고 자부하지만, 시장의 유일한 업체라고 주장하지는 않습니다. 따라서 구매자는 수많은 대안을 검토해야 하므로 의사 결정이 복잡해집니다. 하지만 퍼블릭 클라우드에 배포된 애플리케이션에 대한 공격을 완화하려는 고객을 위해 AWS는 AWS Security Competency 프로그램을 출시하여 구매 여정의 검토 단계를 간소화했습니다. F5는 최근 자사의 웹 애플리케이션 방화벽인 BIG-IP Application Security Manager(ASM)가 이 프로그램에 포함되었다고 발표했습니다. 이 게시물에서는 고급 L7 애플리케이션 및 DDoS 보호 기능을 제공하는 F5의 WAF 솔루션이 어떻게 이 특별한 프로그램의 일원이 되었는지 자세히 살펴보겠습니다…
AWS는 계속해서 자사의 공동 책임 모델 (위 그림 1)의 중요성을 강조하고 있습니다. 이 모델에 따르면 애플리케이션 소유자는 클라우드 내부의 보안(가상 머신, OS, 애플리케이션 및 데이터)을 책임지고, AWS는 클라우드 자체의 보안(하드웨어, 소프트웨어, 네트워킹 및 시설)을 책임집니다. 바로 이 지점에서 보안 컴피턴시 프로그램이 중요한 역할을 합니다. 이 프로그램은 AWS에서 호스팅되는 애플리케이션의 클라우드 내부 보안 솔루션 제공에 있어 성공 사례와 기술 역량을 입증한 타사 공급업체의 간결한 목록을 AWS 사용자에게 제공함으로써, 사실상 역량이 부족한 여러 공급업체를 검토 대상 목록에서 제외합니다.
AWS 보안 컴피턴시 획득을 위한 3가지 요구 사항 범주
AWS 보안 컴피턴시를 획득하는 과정은 결코 쉽지 않았으며, 파트너는 서로 다른 세 가지 영역에 걸친 수많은 요구 사항을 충족해야 했습니다:
첫 번째 영역은 고객 레퍼런스와 솔루션의 가치를 입증하는 데 중점을 둡니다. 이 요건을 충족하기 위해 F5는 고객이 직면한 문제와 F5의 WAF가 이를 어떻게 해결했는지를 상세히 기술한 여러 건의 완료된 보안 프로젝트 보고서를 AWS에 제출했습니다. 이 고객 사례 중 두 건은 실제 운영 환경에서의 다양한 사용 사례와 이점을 더욱 명확히 보여주기 위해 공개적으로 소개되었습니다.
두 번째 범주는 제품 및 배포 기능과 AWS 인프라에 특화된 전반적인 기능에 중점을 두었습니다. 이 범주를 통과하기 위해 F5는 BIG-IP ASM Virtual Edition의 구성, 사용법 및 성능에 관한 상세한 문서와 고가용성(HA) 토폴로지에서 WAF를 배포하기 위한 전용 지침을 제시해야 했습니다. 문서의 일부로 AWS는 이 솔루션이 준수하는 데 도움이 되는 모든 규정의 목록을 F5가 명시적으로 제공하도록 요구합니다. 이를 통해 고객은 기대에 미치지 못할 수 있는 다른 공급업체를 더 쉽게 배제할 수 있습니다. 마지막으로 WAF 솔루션의 데이터 암호화 기능을 검증한 후, AWS의 IAM 역할 기반 관리 서비스와 긴밀하게 통합되어 사용자가 디바이스에 대한 액세스를 안전하게 제어할 수 있음을 입증했습니다.
세 번째이자 마지막 요구 사항은 솔루션의 보안과 가용성을 강화하기 위한 WAF의 AWS 서비스와의 통합에 중점을 둡니다. 이전 게시물에서 설명하고 그림 2에 나타낸 것처럼 F5의 WAF 솔루션은 CloudFormation 템플릿을 통한 오토 스케일링을 지원하므로 ‘인프라 보안’ 요구 사항을 충족했습니다. AWS Auto Scaling 및 AWS ELB와 통합되고 여러 가용 영역에서 운영할 수 있는 역량도 갖추었기 때문입니다. 다음은 ‘로깅 및 모니터링’ 입니다. 이 항목 역시 쉽게 통과했습니다. 오토 스케일링 솔루션은 AWS CloudWatch를 적극 활용하여 인스턴스를 실시간으로 모니터링하고, 경보를 제공하며, 스케일링 이벤트를 트리거합니다. 마지막 관문으로 AWS 보안 팀은 WAF에 대한 취약성 평가를 수행한 후, 모든 데이터 보호 요구 사항을 충족하고 필요한 자격 증명 및 액세스 관련 의무를 지원하는지 확인했습니다.
모든 요구 사항을 훌륭하게 충족한 후, AWS는 F5의 WAF 솔루션을 자사의 보안 파트너 솔루션 페이지에 공개했으며, 이 성과를 인정해 F5에 다음과 같은 새로운 인증도 수여했습니다:
F5의 WAF 솔루션에 대한 자세한 내용은 BIG-IP ASM 데이터시트를 참조하거나 AWS Marketplace에서 여기를 클릭하여 확인할 수 있습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.