F5 Networks의 SSL Orchestrator 버전 4.0 출시는 지난 5년간 가장 해결하기 어려웠던 보안 문제 중 하나인 암호화된 사용자 트래픽에 대한 가시성 문제를 해결합니다. 보안 예산으로 샌드박싱, 심층 패킷 검사, 인공 지능에 탁월한 고급 보안 제어 솔루션에 수십억 달러를 투자했지만, 암호화된 트래픽은 제대로 파악하지 못합니다. F5 Labs의 2017 TLS 원격 측정 보고서에 따르면 암호화된 사용자 트래픽의 비율은 2014년 이후 두 배 이상 증가해 80%를 넘어섰으므로 상황이 심각합니다. 이에 따라 이제 복호화 서비스를 제공하여 이러한 보안 제어 솔루션이 트래픽의 내용을 파악할 수 있도록 하는 SSL 가시성 솔루션이 등장했습니다.
하지만 가시성만으로는 충분하지 않습니다. 보안 팀과 네트워크 운영 팀은 복호화 영역을 설정하는 일이 쉽지 않다는 사실을 깨달았습니다. 전혀 쉽지 않습니다. 보안 팀은 전체 보안 스택에서 복호화/암호화를 관리하기 위해 수동으로 데이지 체인을 구성하거나 번거로운 설정 작업에 의존해야 하는 경우가 많습니다. 게다가 예외 사항도 수두룩합니다. 한마디로 말해, 이건 정말 *메모 확인* 골칫거리였습니다.
F5의 SSL Orchestrator 버전 4.0을 소개합니다. 이 제품은 가시성을 제공하는 것은 물론, 오케스트레이션을 통해 다른 제품과 차별화됩니다. 오케스트레이션은 위험과 동적인 네트워크 상태를 기반으로 서비스 체인에 정책 기반 트래픽 조정 기능을 제공합니다.
SSL/TLS와 HTTP 모두에 대해 완전한 프록시로 작동하므로 SSL Orchestrator는 인바운드 및 아웃바운드 트래픽을 보안 스택 내의 서비스 체인으로 전달하도록 지능적으로 결정할 수 있습니다. 다른 어떤 솔루션도 이를 수행할 수 없습니다.
이후 내용을 읽지 않더라도 꼭 기억해야 할 핵심은, 인바운드 및 아웃바운드 암호화 요구 사항이 아무리 복잡하더라도 SSL Orchestrator를 통해 수백만 달러 상당의 검사 하드웨어가 트래픽을 다시 확인할 수 있게 된다는 점입니다.
더욱 동적인 서비스 체이닝
F5는 SSL Orchestrator의 초기 버전에서 보안 서비스 체이닝이라는 개념을 도입했습니다. 네트워크 트래픽 유형에 따라 서로 다른 검사를 적용해야 하겠죠? 예를 들어 관리자 워크스테이션에서 나가는 트래픽은 가장 엄격하게 검사해야 하며, 암호화가 해제된 상태로 기존의 모든 보안 제어를 통과해야 합니다. 반면 사업부 계약업체의 VDI 세션은 외부로 나갈 때 샌드박스와 IPS를 거치지 않아도 됩니다.
버전 4.0에서는 아래에 설명된 내용과 같이 보안 제어 삽입 체이닝, 부하 분산 및 모니터링 방식이 크게 개선되었습니다.
가시성이 (더욱) 시각적으로 향상됩니다!
복잡하거나 혼란스럽게 들린다고 생각하셨다면, 문장을 읽는 중간에 불안해지더라도 끝까지 함께해 주세요. SSL Orchestrator를 사용하면 서비스 체이닝이 쉬워지기 때문입니다! 실제로 Orchestrator의 VPE(Visual Policy Editor)를 사용하면 체인을 아키텍처에 끌어다 놓아 트래픽 가시성이 어떻게 구현되는지 직접 확인할 수 있습니다.
가시성: 이제 HTTPS만을 위한 것이 아닙니다
물론 트래픽의 대부분은 HTTPS이지만, 규모가 큰 조직에서 장비를 통해 온갖 프로토콜이 오간다면 FTP(S), IMAP, POP3, ICAP도 처리하고 있을 수 있습니다. 또한 최근 기회적 암호화가 주목받으면서 많은 애플리케이션이 이러한 서비스에 STARTTLS를 사용하고 있습니다. 아마도 “그건 F5가 처리하기에는 너무 고급 기술인데”라고 생각하실 겁니다. 하지만 Kenny, 틀렸습니다. 이제 SSL Orchestrator는 실제로 FTP, IMAP, POP3, ICAP에서 STARTTLS와 같은 기회적 암호화를 감지하고 올바르게 복호화할 수 있습니다.
ICAP 최적화
당사가 연동하는 ICAP 서비스는 대부분 안티바이러스(AV)입니다. AV는 (당연히) 상당한 지연 시간을 유발할 수 있으므로 SSL Orchestrator에 몇 가지 최적화 기능을 추가했습니다. 이제 특정 유형의 요청/응답만 ICAP을 거치도록 하는 정책을 만들 수 있습니다. 일반적인 예로 POST 요청만 검사하고 나머지 페이로드는 우회하도록 설정할 수 있습니다. 이것이 권장 방식이라는 뜻은 아니지만, 사용자들이 원했기 때문에 해당 기능을 제공하게 되었습니다.
이 모든 것에 덤까지
SSL Orchestrator 버전 4.0에 담긴 알찬 기능을 더 자세히 알고 싶다면, 다음의 주요 항목을 살펴보세요(아래에 자세한 정보로 연결되는 링크도 있습니다).
버전 4.0의 새로운 기능
- 리소스 프로비저닝 기능이 추가된 업데이트된 설정 유틸리티
- 모든 트래픽에서 멀웨어 및 데이터 유출 여부 검사
- 전체 보안 인프라와 통합할 수 있는 유연한 배포 방식
- 분석 및 향상된 로깅 설정과 범주
- 특정 트래픽(IMAP, SMTPS, POP3, FTP, HTTP)에 대한 L7 애플리케이션 설정
- 동급 최고의 부하 분산, 상태 모니터링 및 SSL 오프로딩 기능을 통한 고가용성
마지막으로 이것만은 기억하세요. 미래의 위협에 대비하려면 인바운드 및 아웃바운드 트래픽을 검사해야 합니다. SSL Orchestrator는 보안 제어 기능이 제 역할을 다하도록 지원하여 조직의 이름이 (비유적인 의미에서) 신문에 오르내리거나 성가신 GDPR 과징금을 부과받는 일을 방지해 주는 도구입니다.
추가 자료
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.