조금 주제에서 벗어나, 전 세계에서 가장 사랑받는 주문형 비디오 서비스인 Netflix 이야기로 시작해 보겠습니다. 2009년부터 2016년까지 Netflix의 구독자 수는 1,200만 명에서 4,800만 명을 조금 넘는 수준으로 폭발적으로 증가했으며, 2016년 마지막 3개월 동안에만 신규 고객 143만 명이 늘었습니다. 당시 운 좋게도 Netflix의 주요 주주였다면 큰돈을 벌며 기뻐했겠지만, 이러한 폭발적인 성장을 뒷받침할 인프라 구축을 담당한 IT 팀의 일원이었다면 골머리를 앓았을지도 모릅니다.
수요 증가에 대응하기 위해 자체 데이터 센터를 확장하는 것은 그에 따른 자본 비용과 운영 비용은 물론, 관리상의 골칫거리까지 고려하면 현실적으로 불가능했습니다. 그래서 비슷한 시기에 이들은 미지의 영역에 과감히 뛰어들어 모든 운영을 AWS 클라우드로 이전하는 7년간의 프로젝트에 착수했습니다. 이를 통해 클라우드 공급업체가 제공하는 사실상 무제한의 확장성을 활용할 수 있게 되었습니다. 아시다시피 이들은 최근 이 대규모 프로젝트를 성공적으로 완료했습니다.
'이제 끝났다’고 생각하는 사람도 있겠지만… 그렇지 않습니다. 장기적으로 증가하는 수요에 맞춰 확장할 수 있는 능력을 갖추는 것과, 단기적으로 수요가 크게 변동할 때 대응하는 것은 별개의 문제입니다. 최근 설문 조사에 따르면 인터넷 이용이 집중되는 시간대(오후 7시~11시)에 Netflix는 미국 전체 다운스트림 트래픽의 35.2%를 차지했습니다. 하지만 예상할 수 있듯이 이 시간대 외에는 그 비중이 훨씬 작았고, 그 결과 수요가 주기적으로 등락했습니다. 이러한 양상은 이 게시물에서 가져온 아래 그림 1에서 확인할 수 있습니다.
이처럼 수요가 크게 변동하는 문제에 대응하기 위해 Netflix는 자체 자동 확장 알고리즘인 Scryer를 도입했습니다. 이를 통해 피크 시간대의 수요를 처리할 수 있도록 충분한 AWS EC2 인스턴스를 프로비저닝하는 동시에, 필요 이상으로 판단되는 인스턴스는 회수할 수 있었습니다. 그 결과 피크 시간대에는 사용자에게 최상의 서비스 품질을 제공하면서도 비피크 시간대에는 컴퓨팅 오버헤드를 최소화할 수 있었습니다.
이는 단지 하나의 예일 뿐이며 F5의 솔루션과 직접적인 관련은 없지만, 오늘날 오토 스케일링 솔루션이 왜 필요한지 이해하는 데 도움이 되며, 이 게시물의 핵심인 F5의 새로운 오토 스케일링 웹 애플리케이션 방화벽(WAF) 솔루션으로 이어집니다.
이와 관련해, 2016년 데이터 침해 사고의 약 40%가 애플리케이션 계층 공격으로 인해 발생했다는 사실을 알고 계셨나요? 애플리케이션에 대한 수요는 날마다, 시간마다 달라질 수 있지만 한 가지는 변하지 않습니다. 바로 애플리케이션을 안전하게 보호해야 한다는 점입니다. 다양한 처리량을 지원하도록 확장되는 솔루션이라도 그 과정에서 애플리케이션과 데이터의 보안이 위협받는다면 무슨 소용이 있을까요? F5의 새로운 AWS용 자동 확장 WAF 솔루션은 트래픽 수준에 관계없이 애플리케이션에 필요한 엔터프라이즈급 보안을 제공하는 동시에, 필요한 퍼블릭 클라우드 리소스만 프로비저닝하고 비용을 지불하도록 해줍니다.
WAF 솔루션의 핵심은 업계에서 검증되고 ICSA 인증을 받은 BIG-IP ASM과 BIG-IP LTM이며, 이 둘을 결합하면 L7 DDoS 공격, OWASP 10대 위협, 악성 봇 공격을 비롯한 정교한 공격 벡터로부터 포괄적인 보호를 제공합니다. 또한 BIG-IP ASM은 자동화된 학습 기능, 동적 프로파일링 및 위험 기반 정책을 활용하여 가장 복잡한 공격조차 애플리케이션 서버에 도달하지 못하도록 추가 보안 조치를 적용할 수 있습니다.
그렇다면 자동 확장 구성 요소는 어떨까요? 솔루션 실행에 필요한 모든 요소는 AWS CloudFormation 템플릿에 번들로 포함되어 있습니다. BIG-IP 가상 에디션과 S3 버킷부터 Auto Scaling 그룹과 CloudWatch 경보까지 이러한 서비스가 서로 유기적으로 연동되어 완전히 자율적인 솔루션을 제공합니다. 시작하기 전에 사용자는 템플릿에 몇 가지 매개변수를 입력해야 합니다. 예를 들어 항상 운영되어야 하는 최소 VE 인스턴스 수나, 초과 시 Auto Scaling 그룹이 인스턴스를 시작하거나 종료하도록 하는 처리량 임계값(일반적으로 최대 인스턴스 처리량의 80% 및 20%)을 입력해야 합니다. 가용성을 더욱 높이기 위해 새로 생성된 VE 인스턴스는 그림 2와 같이 여러 AWS 가용 영역에 분산됩니다.
이 솔루션은 배포 과정을 간소화하고 사용자가 F5 플랫폼을 안심하고 배포할 수 있도록 BIG-IP 및 AWS 모범 사례에 따라 F5 전문가가 설계하고 철저히 테스트했습니다. 솔루션 내의 BIG-IP ASM 인스턴스는 F5가 마련한 사전 구성 보안 정책 또는 개별 애플리케이션에 특화된 맞춤형 정책과 함께 배포됩니다.
이것이 전부입니다. 애플리케이션의 수요에 맞춰 확장되며 가장 복잡한 계층 7 공격으로부터 애플리케이션을 지속적으로 보호하는 완전한 WAF 솔루션입니다. AWS Marketplace에서 몇 번의 클릭만으로 바로 배포할 수 있으며, 전체 구성을 1시간 이내에 AWS VPC에 구현하여 운영할 수 있습니다.
여기서 덧붙이자면, 이 글에서는 주로 자동 확장 WAF 솔루션에 초점을 맞추고 있지만, 동일한 AWS Marketplace 제품을 통해 독립형 WAF 이미지를 배포하여 트래픽 흐름이 보다 예측 가능하고 일정한 애플리케이션을 보호할 수도 있습니다. 자동 확장 솔루션과 독립형 솔루션 모두 PAYG(사용량 기반 요금제) VE 인스턴스를 활용하며, 인스턴스당 25Mbps, 200Mbps 또는 1Gbps의 유연한 처리량 옵션을 제공합니다.
자세한 내용은 GitHub의 자동 확장 WAF 리포지토리에서 CloudFormation 템플릿의 작동 방식에 관한 자세한 기술 정보를 확인하거나, 마켓플레이스 페이지를 여기에서 확인할 수 있습니다.
관련 리소스
Azure Marketplace – F5 WAF 솔루션
AWS용 Auto Scale WAF CFT 업데이트 – DevCentral 문서
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.