Cisco FTD 및 F5 SSL Orchestrator: 네트워크 토폴로지 전반의 구성
클라이언트(컴퓨터, 태블릿, 휴대폰 등)와 서버 간에 이동하는 데이터는 대부분 SSL(Secure Sockets Layer) 또는 이보다 더 현대적이고 안전한 TLS(Transport Layer Security)로 암호화됩니다. (참고 자료: F5 Labs의 2019 TLS 텔레메트리 보고서 요약). 오늘날 암호화가 광범위하게 사용됨에 따라 트래픽을 복호화하지 않으면 위협이 숨겨져 보안 검사에서 탐지되지 않습니다.
Cisco Firepower Threat Defense(FTD)와 같이 보안 기능을 수행하는 여러 장치에서 데이터를 복호화하고 암호화하면 오버헤드와 지연 시간이 증가할 수 있습니다. SSL 가시성 문제와 보안 스택의 파편화된 특성까지 더해지면서, 기업은 장기적으로 유효한 종합적인 보안 전략을 설계하는 데 어려움을 겪고 있습니다.
이 시스템 참조 아키텍처에서는 다양한 네트워크 토폴로지에서 SSL Orchestrator와 Cisco FTD 제품을 구성하는 여러 방식을 다루며, 가시성, 개인정보 보호 및 규정 준수와 관련된 과제를 해결합니다.
SSL Orchestrator: 암호화된 위협에 대한 가시성 확보
F5 SSL Orchestrator는 IT 인프라와 인터넷 사이에 위치하여 검사에 사용할 수 있는 복호화 영역을 생성합니다. 복호화 영역 내에서 Cisco FTD와 같은 보안 장치는 데이터에 액세스하여 멀웨어와 같은 숨겨진 위협을 탐지하고 완화할 수 있습니다.
F5의 고급 SSL/TLS 복호화 기술, 강력한 암호화 알고리즘 지원 및 유연한 아키텍처를 통해 리소스 활용을 최적화하고 지연 시간을 줄이며 보안 검사 인프라의 복원력을 강화할 수 있습니다. 또한 모든 통신이 SSL Orchestrator를 거치므로 성능, 가용성 및 보안과 같은 운영 위험을 관리하기 위한 정책을 시행하는 전략적 제어 지점 역할도 합니다.
SSL Orchestrator는 인바운드(인터넷 사용자에서 웹 애플리케이션으로) 및 아웃바운드(기업 사용자에서 인터넷으로) SSL/TLS 트래픽을 모두 고성능으로 복호화합니다. 그림 1과 같이 아웃바운드 트래픽은 복호화된 후 검사 및 탐지를 위해 Cisco FTD 시스템으로 전송됩니다.
SSL Orchestrator의 아키텍처 구성 요소
환경에 따라 요구되는 아키텍처가 다릅니다. SSL Orchestrator는 다양한 아키텍처 요구 사항을 충족할 수 있도록 여러 폼 팩터와 크기로 제공됩니다.
동적 서비스 체이닝
일반적인 보안 스택은 차세대 방화벽(NGFW), 침입 탐지 또는 방지 시스템(IDS/IPS), 데이터 유출 방지, 멀웨어 분석 도구 등 여러 시스템으로 구성되는 경우가 많습니다. 이러한 모든 시스템이 검사를 수행하려면 복호화된 데이터에 액세스할 수 있어야 합니다.
SSL Orchestrator는 기존 보안 아키텍처와 손쉽게 통합되며, 보안 스택의 여러 검사 장비에 대한 SSL/TLS 복호화를 중앙에서 처리합니다. 이처럼 “한 번 복호화한 후 여러 검사 장비로 전달”하는 설계는 각 보안 장비가 개별적으로 복호화를 수행할 때 발생할 수 있는 지연, 복잡성 및 위험 문제를 해결합니다. 또한 컨텍스트 엔진을 사용하여 서로 다른 트래픽 흐름에 맞는 여러 서비스 체인을 생성할 수 있습니다.
“F5 SSL Orchestrator의 서비스 SSL Orchestrator 시스템에서 서비스는 동일한 보안 장치로 구성된 풀로 정의됩니다. 예를 들어 Cisco FTD 서비스에는 하나 이상의 FTD 장치가 포함됩니다. 기본적으로 SSL Orchestrator는 서비스 내 모든 장치에 트래픽 부하를 분산합니다. 상태 모니터링 SSL Orchestrator는 다양한 상태 모니터를 통해 서비스 내 보안 장치의 상태를 확인하고 장치 장애 발생 시 즉시 대응합니다. 예를 들어 Cisco FTD 서비스에서 장치 하나에 장애가 발생하면 SSL Orchestrator가 자동으로 활성 FTD 장치에 부하를 재분배합니다. 서비스 내 모든 장치에 장애가 발생하면 SSL Orchestrator는 네트워크 연속성을 유지하고 가동 시간을 극대화하기 위해 해당 서비스를 우회합니다.”
트래픽 분류를 위한 컨텍스트 엔진
SSL Orchestrator의 컨텍스트 엔진은 분류 기준, URL 카테고리, IP 평판 및 흐름 정보를 바탕으로 내린 정책 결정에 따라 트래픽을 지능적으로 전달할 수 있도록 지원합니다. 또한 법적 또는 개인정보 보호상의 이유로 금융, 정부 서비스, 의료 등과 같은 애플리케이션 및 웹사이트의 트래픽이 복호화되지 않도록 컨텍스트 엔진을 사용할 수 있습니다.
고가용성
SSL Orchestrator는 액티브-스탠바이 HA 아키텍처를 지원합니다. 한 시스템이 트래픽을 능동적으로 처리하는 동안 다른 시스템은 필요할 때까지 대기 모드를 유지합니다. 이를 통해 가동 중단 시간을 줄이고 단일 장애 지점을 제거할 수 있습니다. 시스템 간에는 구성 및 사용자 연결 정보가 자동으로 동기화됩니다.
“바이패스 보호 SSL Orchestrator는 바이패스 스위치와 통합하여 장애 발생 시에도 트래픽이 유선으로 직접 통과하도록 보호할 수 있습니다. SSL Orchestrator 시스템의 전원이 끊기면 네트워크 성능에 영향을 주지 않고 트래픽이 바이패스됩니다.”
배포 토폴로지
F5 SSL Orchestrator는 레이어 2 또는 레이어 3 모드에서 인라인으로 배포되며, 명시적 정방향 프록시, 투명 정방향 프록시 또는 역방향 프록시로 구성할 수 있습니다. Cisco FTD와 통합할 경우, 그림 4와 같이 복호화된 트래픽을 전달하도록 SSL Orchestrator를 인라인 L3, 인라인 L2 또는 수신 전용 TAP 모드로 연결할 수 있습니다.
참조 아키텍처 다이어그램
그림 5는 SSL Orchestrator가 엔터프라이즈 아키텍처에 통합되어 검사 인프라 전반의 인바운드 및 아웃바운드 트래픽 복호화를 중앙 집중화하는 방식을 보여줍니다.
요약
인터넷상의 IP 통신을 보호하기 위해 SSL과 그 후속 기술인 TLS가 점점 더 널리 사용되고 있습니다. 이는 장점이 될 수도, 단점이 될 수도 있습니다. 모든 통신이 암호화되어 외부의 엿보는 시선으로부터 보호된다는 점은 장점입니다. 하지만 공격자가 암호화된 트래픽 안에 악성 코드를 숨길 수 있다는 점에서는 잠재적인 단점이 됩니다. 암호화된 트래픽을 그대로 통과시키면 보안 시스템이 이를 가로채 검사할 수 없습니다. 이는 보안 기능을 계층화하는 심층 방어 전략 전체를 무력화합니다.
F5 SSL Orchestrator는 Cisco FTD와 같은 고급 위협 방지 시스템과 함께 엔터프라이즈 경계 내에서 SSL/TLS 복호화를 중앙 집중화하여 이러한 SSL/TLS 문제를 해결할 수 있습니다. 또한 복호화된 트래픽이 전체 보안 스택을 거쳐 검사되도록 조정함으로써 제로데이 익스플로잇을 식별하고 차단할 수 있습니다. 따라서 이 솔루션을 사용하면 멀웨어 방지 및 차세대 방화벽을 위해 기존 보안 서비스에 대한 투자를 최대한 활용할 수 있습니다.
F5 소개
F5(NASDAQ: FFIV)는 세계 최대 규모의 기업, 서비스 제공업체, 정부 기관 및 소비자 브랜드가 모든 애플리케이션을 어디서나 안전하고 자신 있게 제공할 수 있도록 지원합니다. F5는 조직이 속도와 제어 능력을 희생하지 않고 원하는 인프라를 도입할 수 있도록 클라우드 및 애플리케이션 보안 서비스를 제공합니다. 자세한 내용은 f5.com에서 확인하세요. 또한 Twitter에서 @f5networks를 팔로우하거나 LinkedIn 및 Facebook에서 F5와 파트너 및 기술에 대한 자세한 정보를 확인할 수 있습니다.