NGINX App Protect WAF의 새로운 머신 러닝으로 Kubernetes 클러스터를 안전하게 보호하세요

NGINX | 2022년 6월 02일

Thelen BlumNGINX App Protect 수석 제품 마케팅 매니저 | F5

최신 애플리케이션 팀은 “보안을 왼쪽으로 이동”하는 것, 즉 애플리케이션 개발 및 배포 주기의 초기 단계부터 보안 제어를 통합하는 것의 중요성과 이점을 점점 더 잘 인식하고 있습니다. 시프트 레프트 환경에서는 각 팀이 자사 애플리케이션에 가장 적합한 보안 솔루션과 매개변수를 선택합니다. 물론 이는 합리적인 접근 방식입니다. NGINX는 적절한 보안 솔루션 세트를 적극적으로 선별하여 개발자에게 “가드레일 내에서의 선택권”을 제공하는 플랫폼 운영 팀을 둘 것을 권장합니다. 그러면 개발자는 자신의 애플리케이션에 맞게 보안을 구성해야 하며, 여기에는 일반적으로 내부용 애플리케이션과 마이크로서비스의 경우에도 웹 애플리케이션 방화벽(WAF)을 배포하는 작업이 포함됩니다.

하지만 최신 애플리케이션 팀의 사실상 표준 컨테이너 오케스트레이션 엔진인 Kubernetes에서는 시프트 레프트가 훨씬 더 복잡해지며, 특히 커뮤니케이션과 조정이 큰 과제로 떠오릅니다. 개발자에게 여러 클러스터 간의 통신을 관리하도록 요구하는 것은 현실적이지 않습니다. 또한 Kubernetes에서 WAF를 배치할 때는 아키텍처와 성능 측면도 고려해야 합니다. NGINX App Protect WAF를 사용하면 WAF를 NGINX Ingress Controller와 통합하거나 특정 마이크로서비스 또는 애플리케이션 앞에 별도의 WAF를 배치할 수 있습니다.

Kubernetes 클러스터 앞단의 로드 밸런서, NGINX Ingress Controller, 개별 Pod 또는 마이크로서비스와 함께 배포된 NGINX App Protect WAF를 보여주는 토폴로지 다이어그램

두 접근 방식 모두 훌륭하지만, 각각 가장 적합한 사용 사례가 다릅니다. 자체 애플리케이션 관리에만 집중하는 개발자와 앱 팀에는 애플리케이션 앞단의 NGINX Plus 로드 밸런서에 NGINX App Protect WAF를 배포하는 것이 제어력과 민첩성을 제공하는 완벽한 솔루션입니다. Kubernetes 클러스터와 그 안에서 실행되는 애플리케이션의 보안을 파드 또는 서비스 수준에서 관리하려는 DevSecOps 팀에는 NGINX Plus 기반 NGINX Ingress Controller에서 NGINX App Protect WAF를 실행하는 것이 가장 적합하며, 이를 통해 Ingress 제어와 Kubernetes API 네이티브 통합의 모든 이점을 누릴 수 있습니다.

하지만 앞서 언급했듯이, 여러 클러스터에 걸쳐, 심지어 클러스터 내부에서도 로드 밸런서, Ingress 컨트롤러 및 WAF 간 통신을 설정하는 것은 쉽지 않습니다. 이를 위해서는 Layer 7 및 Layer 4 네트워킹에 대한 깊이 있는 이해와 지속적인 튜닝이 필요합니다. 그럼에도 강력한 보안 태세를 유지하려면 안정적이고 거의 실시간에 가까운 통신이 필수적입니다. 통신이 적절히 이루어지면 WAF, 로드 밸런서 및 Ingress 컨트롤러가 모든 애플리케이션과 인스턴스에 새로운 공격을 신속하게 알리고, 공격 유형, 표적이 된 프로토콜과 소프트웨어, 관련 IP 주소 블록 등에 관한 데이터를 공유할 수 있습니다. 여기에 빠른 패턴 인식을 위한 머신 러닝(ML)을 추가하면 통신의 효과가 더욱 강력해집니다.

NGINX App Protect WAF의 새로운 적응형 위반 등급 기능

NGINX App Protect WAF에는 강력한 ML 시스템이 탑재되어 있어 Platform Ops, DevSecOps 및 SecOps 팀이 단일 조직 내에서 NGINX Plus 또는 NGINX Plus 기반 NGINX Ingress Controller를 통해 관리되는 모든 WAF의 공격 동향과 데이터를 손쉽게 공유할 수 있습니다. 현재 NGINX App Protect WAF의 새로운 기능인 적응형 위반 등급(Adaptive Violation Rating) 기능을 개발하고 있습니다. 이 기능은 ML을 한층 더 활용하여 마이크로서비스의 동작 변화를 감지하고 보안 튜닝을 개선합니다. 이러한 ML 기능을 통해 NGINX App Protect WAF는 전 세계에 배포된 수천 개 또는 수만 개의 WAF 전반에서 공격 동향을 지속적으로 자동 분석할 수 있습니다. 이 분석 결과를 활용하면 개발자와 기타 시프트 레프트 팀이 보안 전문가가 되어 WAF를 직접 조정할 필요 없이 거의 실시간으로 보안 태세를 지속적으로 튜닝할 수 있습니다. 또한 NGINX App Protect WAF 인스턴스 간에 공유되는 데이터가 많을수록 WAF는 더욱 지능적으로 발전합니다.

NGINX App Protect WAF 적응형 위반 등급 기능의 작동 방식을 보여주는 다이어그램

기업에서 마이크로서비스 사용이 확대되고 내부 애플리케이션과 외부 애플리케이션의 경계가 희미해짐에 따라 ML 기능의 중요성과 가치는 갈수록 커지고 있습니다. 잠재적으로 수천 개에 달하는 마이크로서비스가 각각 자체 경량 WAF를 갖춘 환경에서, 네트워크로 연결되고 ML을 지원하는 NGINX App Protect WAF는 애플리케이션을 지켜보는 살아 있는 보안 두뇌와 같은 역할을 합니다. 최신 애플리케이션은 시프트 레프트 팀을 지원하고, 팀원들이 보안 전문가가 되지 않고도 코드와 기능을 출시하는 데 집중할 수 있도록 더욱 지능적이어야 합니다. DevSecOps 팀 역시 수동 튜닝 없이도 모든 클러스터의 WAF가 일관되게 작동한다는 사실에서 안심할 수 있습니다.

커뮤니케이션이 핵심입니다. 대규모 분산 컴퓨팅과 현대적인 애플리케이션이 빠르게 발전하는 이 시대에 최상의 기술을 지속적으로 제공하기 위해 모든 제품에 걸쳐 구축하고 있는 핵심 기능입니다.

NGINX App Protect WAF에 새롭게 추가되는 ML 기능에 대한 자세한 내용과 데모를 확인하려면 다음 주 샌프란시스코 모스콘 센터 노스홀의 RSA Conference 2022 부스 #5771로 방문하시거나 문의해 주세요.