네트워크 토폴로지 전반에서 SSL Orchestrator와 Palo Alto Networks 차세대 방화벽 구성
SSL/TLS 가시성 확보의 과제
클라이언트(컴퓨터, 태블릿, 휴대폰 등)와 서버 간에 이동하는 데이터는 대부분 SSL(Secure Sockets Layer) 또는 이보다 더 현대적이고 안전한 TLS(Transport Layer Security)로 암호화됩니다. (자세한 내용은 F5 Labs의 2019 TLS 원격 측정 보고서 요약을 참조하십시오.) 오늘날 암호화가 광범위하게 사용됨에 따라 트래픽을 복호화하지 않으면 위협이 숨겨져 보안 검사에서 탐지되지 않습니다.
Palo Alto Networks 차세대 방화벽(NGFW)과 같은 여러 보안 장치에서 데이터를 복호화하고 암호화하면 오버헤드와 지연 시간이 증가할 수 있습니다. SSL/TLS 가시성 문제와 보안 스택의 파편화된 특성으로 인해 기업은 장기적으로 지속 가능한 종합 보안 전략을 수립하는 데 어려움을 겪고 있습니다.
이 시스템 참조 아키텍처에서는 가시성, 개인정보 보호 및 규정 준수 문제를 해결하는 동시에 다양한 네트워크 토폴로지에서 F5® SSL Orchestrator®와 Palo Alto Networks 차세대 방화벽(NGFW)을 구성하는 여러 방식을 다룹니다.
SSL Orchestrator: 암호화된 위협에 대한 가시성 확보
F5 SSL Orchestrator는 IT 인프라와 인터넷 사이에 위치하여 검사에 사용할 수 있는 복호화 영역을 생성합니다. 복호화 영역 내에서 Palo Alto Networks NGFW와 같은 보안 장치는 데이터에 액세스하여 멀웨어와 같은 숨겨진 위협을 탐지하고 완화할 수 있습니다.
F5의 고급 SSL/TLS 복호화 기술, 강력한 암호화 알고리즘 지원 및 유연한 아키텍처는 리소스 활용을 최적화하고 지연 시간을 줄이며 보안 검사 인프라의 복원력을 강화하는 데 도움이 됩니다. 모든 통신이 SSL Orchestrator를 통해 전달되므로, SSL Orchestrator는 운영 위험(성능, 가용성 및 보안)을 해결하기 위한 정책이 적용되는 전략적 제어 지점 역할도 합니다.
SSL Orchestrator는 인바운드(인터넷 사용자에서 웹 애플리케이션으로) 및 아웃바운드(기업 사용자에서 인터넷으로) SSL/TLS 트래픽을 모두 고성능으로 복호화합니다. 그림 1과 같이 아웃바운드 트래픽은 복호화된 후 검사 및 탐지를 위해 Palo Alto Networks NGFW로 전송됩니다.
SSL Orchestrator의 아키텍처 구성 요소
환경에 따라 요구되는 아키텍처도 다릅니다. SSL Orchestrator는 다양한 아키텍처 요구 사항을 충족할 수 있도록 여러 폼 팩터와 크기로 제공됩니다.
동적 서비스 체이닝
일반적인 보안 스택은 대개 NGFW, 침입 탐지 또는 방지 시스템(IDS/IPS), 데이터 유출 방지 솔루션, 멀웨어 분석 도구 등 여러 시스템으로 구성됩니다. 이러한 모든 시스템은 검사를 위해 복호화된 데이터에 액세스해야 합니다. SSL Orchestrator는 기존 보안 아키텍처와 손쉽게 통합되며, 보안 스택 내 여러 검사 장치의 SSL/TLS 복호화를 중앙 집중화합니다. 이처럼 “한 번 복호화한 후 여러 검사 장치로 전달”하는 설계는 각 보안 장치가 개별적으로 복호화를 수행할 때 발생할 수 있는 지연, 복잡성 및 위험 문제를 해결합니다. 또한 컨텍스트 엔진을 사용하여 서로 다른 트래픽 흐름에 맞는 여러 서비스 체인을 생성할 수 있습니다.
“SSL Orchestrator의 서비스 SSL Orchestrator 시스템에서 서비스는 동일한 보안 장치로 구성된 풀로 정의됩니다. 예를 들어 Cisco WSA 서비스에는 하나 이상의 WSA 장치가 포함됩니다. 기본적으로 SSL Orchestrator는 서비스 내 모든 장치에 트래픽을 부하 분산합니다. 상태 모니터링 SSL Orchestrator는 다양한 상태 모니터를 통해 서비스 내 보안 장치의 상태를 확인하고 장치 장애 발생 시 즉시 대응합니다. 예를 들어 Cisco WSA 서비스에서 장치 하나에 장애가 발생하면 SSL Orchestrator가 자동으로 활성 WSA 장치로 부하를 전환합니다. 서비스 내 모든 장치에 장애가 발생하면 SSL Orchestrator는 네트워크 연속성을 유지하고 가동 시간을 극대화하기 위해 해당 서비스를 우회합니다.”
트래픽 분류를 위한 컨텍스트 엔진
SSL Orchestrator의 컨텍스트 엔진은 분류 기준, URL 카테고리, IP 평판 및 흐름 정보를 바탕으로 내린 정책 결정에 따라 트래픽을 지능적으로 전달할 수 있도록 지원합니다. 또한 법적 또는 개인정보 보호상의 이유로 금융, 정부 서비스, 의료 등과 관련된 애플리케이션 및 웹사이트의 트래픽이 복호화되지 않도록 컨텍스트 엔진을 사용할 수 있습니다.
고가용성
SSL Orchestrator는 액티브-스탠바이 HA 아키텍처를 지원합니다. 한 시스템이 트래픽을 능동적으로 처리하는 동안 다른 시스템은 필요할 때까지 대기 모드로 유지됩니다. 이를 통해 가동 중단 시간을 줄이고 단일 장애 지점을 제거할 수 있습니다. 구성 및 사용자 연결 정보는 시스템 간에 자동으로 동기화됩니다.
“바이패스 보호 SSL Orchestrator는 바이패스 스위치와 통합하여 장애 시 유선 연결을 유지하는 보호 기능을 제공할 수 있습니다. SSL Orchestrator 시스템의 전원이 끊기면 네트워크 성능에 영향을 주지 않고 트래픽이 바이패스됩니다.”
배포 토폴로지
SSL Orchestrator는 L2 또는 L3 모드에서 인라인으로 배포되며, 명시적 정방향 프록시, 투명 정방향 프록시 또는 역방향 프록시로 구성할 수 있습니다. Palo Alto Networks NGFW와 통합할 경우, 그림 4와 같이 복호화된 트래픽을 전달하도록 SSL Orchestrator를 인라인 L2, 인라인 L3 또는 수신 전용 TAP 모드로 연결할 수 있습니다.
“사용자 인증 SSL Orchestrator와 Cisco WSA가 모두 투명 포워드 프록시로 구성된 경우, SSL Orchestrator를 통해 캡티브 포털을 사용하여 Cisco WSA에서 사용자 인증을 수행할 수 있습니다. Cisco WSA가 명시적 포워드 프록시로 구성된 경우에는 SSL Orchestrator에서 사용자 인증을 수행해야 합니다. Cisco WSA가 SSL Orchestrator의 업스트림 프록시로 배포된 경우에도 마찬가지입니다.”
참조 아키텍처 다이어그램
그림 5는 SSL Orchestrator가 엔터프라이즈 아키텍처에 통합되어 검사 인프라 전반에서 인바운드 및 아웃바운드 트래픽의 복호화를 중앙 집중화하는 방식을 보여줍니다.
아래 그림 6과 같이 SSL Orchestrator는 IEEE 802.1q VLAN 태깅 프로토콜을 사용하는 링크 집성을 지원하여 링크 이중화를 제공하고 내결함성을 향상합니다.
요약
인터넷에서 IP 통신을 보호하기 위해 SSL과 그 후속 기술인 TLS가 점점 더 널리 사용되고 있습니다. 이는 장점이 될 수도, 단점이 될 수도 있습니다. 모든 통신이 암호화되어 외부의 감시로부터 보호된다는 점은 장점입니다. 하지만 공격자가 암호화된 트래픽 안에 악성코드를 숨길 수 있다는 점은 잠재적인 단점입니다. 암호화된 트래픽을 그대로 통과시키면 보안 시스템이 이를 가로채 검사할 수 없습니다. 이는 여러 보안 기능을 계층화하는 심층 방어 전략 전체를 무력화합니다.
SSL Orchestrator를 Palo Alto Networks NGFW와 같은 고급 위협 방지 시스템과 결합하면 기업 경계 내에서 복호화를 중앙 집중화하여 이러한 SSL/TLS 문제를 해결할 수 있습니다. 복호화된 트래픽이 전체 보안 스택을 거쳐 검사되도록 조정함으로써 제로데이 익스플로잇을 식별하고 차단할 수 있습니다. 따라서 이 솔루션을 통해 멀웨어 방지 및 차세대 방화벽을 위한 기존 보안 서비스 투자의 효과를 극대화할 수 있습니다.
F5 소개
F5(NASDAQ: FFIV)는 세계 최대 규모의 기업, 서비스 제공업체, 정부 기관 및 소비자 브랜드가 모든 애플리케이션을 어디서나 안심하고 안전하게 제공할 수 있도록 지원합니다. F5는 조직이 속도와 제어 능력을 희생하지 않고 원하는 인프라를 도입할 수 있게 해주는 클라우드 및 애플리케이션 보안 서비스를 제공합니다. 자세한 내용은 f5.com에서 확인하세요. Twitter에서 @f5networks를 팔로우하거나 LinkedIn과 Facebook에서 F5와 파트너 및 기술에 대한 자세한 정보를 확인할 수도 있습니다.