F5 BIG-IP 플랫폼으로 Exchange 모바일 디바이스 보안 강화
소개
직장에서 모바일 기기 사용이 계속 증가함에 따라 기업 자산에 대한 위험과 이러한 위험을 완화해야 할 필요성도 커지고 있습니다. 많은 조직에서 Microsoft Exchange와 같은 기업 자산에 모바일 기기로 원격 액세스할 수 있도록 지원하는 것은 단순한 편의가 아니라 비즈니스 요구 사항입니다. 따라서 관리자는 모바일 인력의 요구 사항과 기업 자산 보호의 필요성 사이에서 균형을 유지할 방법을 찾아야 합니다. 다행히 F5 BIG-IP 애플리케이션 전송 컨트롤러(ADC)가 도움이 될 수 있습니다.
이 문서에서는 BIG-IP Access Policy Manager(APM) 및 BIG-IP Application Security Manager(ASM)를 활용하여 Exchange 2010 모바일 장치 보안을 크게 강화하는 방법을 안내합니다.
면책 조항 및 전제 조건
이 지침에서는 Exchange 2010 환경에서 모바일 장치를 보호하기 위해 실제로 작동하며 테스트를 거친 솔루션을 제시하지만, 사용 가능한 모든 옵션을 망라하지는 않습니다. BIG-IP 제품군(BIG-IP LTM, APM, ASM 등 포함)의 가장 큰 강점 중 하나는 유연성입니다. 이 기술 요약서의 주된 목적은 실용적인 지침을 제공하는 데 그치지 않고 BIG-IP 제품의 성능과 유연성을 보여 주는 것입니다. 독자는 BIG-IP Local Traffic Manager (LTM)에 대한 일반적인 관리 지식을 갖추고 있으며 BIG-IP APM 및 ASM 모듈에 익숙한 것으로 가정합니다.
이 기술 자료에 제시된 지침을 구성하고 테스트하기 위해 다음 BIG-IP 제품 및 소프트웨어를 사용했습니다.
추가 문서
- Microsoft Exchange Server 2010(BIG-IP v11: LTM, APM, Edge Gateway) 배포 가이드: http://www.f5.com/pdf/deployment-guides/microsoft-exchange2010-iapp-dg.pdf
- BIG-IP 제품군 개요: http://www.f5.com/products/big-ip/
BIG-IP Access Policy Manager 및 ActiveSync
Exchange 2010에서 클라이언트 액세스 서버 역할(CAS)은 모바일 장치를 포함한 모든 클라이언트 트래픽의 액세스 지점 역할을 합니다. 특히 대부분의 모바일 장치는 Exchange ActiveSync를 사용하여 사서함 정보에 액세스합니다. 쉽게 침해될 수 있는 모바일 장치에서 기업 환경에 액세스하도록 허용하면 상당한 위험이 발생합니다. 따라서 사용자뿐만 아니라 장치도 인증하고 권한을 부여하는 다단계 솔루션을 배포하는 것이 매우 중요합니다.
BIG-IP LTM의 역방향 프록시 기능과 긴밀하게 연동되는 BIG-IP APM 모듈은 BIG-IP 시스템에 상주하며 비즈니스 핵심 애플리케이션에 안전한 사전 인증(엔드포인트 검사 포함)을 제공합니다. 트래픽 관리 결정은 네트워크 경계에서 그룹 또는 개인 단위로 내리고 적용할 수 있습니다. 다음 섹션에서는 BIG-IP APM 모듈을 활용하여 사용자 이름과 암호, 장치 ID 및 클라이언트 인증서를 기반으로 액세스를 제공하는 동시에 ActiveSync 정책 및 원격 장치 초기화와 같은 Exchange의 기본 제공 보안 기능도 계속 사용할 수 있도록 합니다.
사용자 이름 및 암호 인증-"사용자가 알고 있는 정보"
Exchange 2010 CAS 구성
BIG-IP 시스템으로의 SSL 오프로딩(및 사전 인증)을 용이하게 하기 위해 Exchange ActiveSync 구성 및 정책에서는 기본 설정을 사용합니다.
초기 iApps 구성
BIG-IP APM을 성공적으로 구성하고 배포하려면 먼저 F5 iApps를 사용해야 합니다. 버전 11.0에서 처음 제공된 iApps(F5 iApps: 네트워크를 넘어선 애플리케이션 딜리버리)는 비즈니스 크리티컬 애플리케이션을 네트워크에 신속하게 배포할 수 있는 효율적이고 사용자 친화적인 수단을 제공합니다.
아래 그림과 같이, 이 가이드의 시작점으로 Exchange 2010 iApp을 통해 Exchange 환경을 배포합니다. 메뉴 방식의 구성 화면을 사용하여 기본 iApp에서 Exchange ActiveSync 액세스를 비롯한 Exchange 2010 CAS 환경에 대한 액세스를 구성합니다.
BIG-IP 시스템의 이 기본 구성은 부하 분산, 압축, 캐싱 및 세션 지속성을 비롯한 고급 트래픽 관리 및 최적화 기능을 제공합니다. 또한 Outlook Web Access, Outlook Anywhere 및 Exchange ActiveSync의 트래픽을 포함한 모든 웹 기반 트래픽에 대해 사전 인증을 제공합니다. 자격 증명(사용자 이름 및 암호)은 BIG-IP 시스템에서 요청하여 전달받으며, BIG-IP 시스템은 이를 사용해 Active Directory에서 사용자를 인증합니다. 올바르게 인증된 사용자만 조직의 내부 환경에 액세스할 수 있습니다.
디바이스 ID 검증 - "사용자가 소유한 것"
보안 태세를 한층 더 강화하기 위해 많은 조직에서는 사전 승인된 모바일 장치에서만 회사 이메일에 액세스할 수 있도록 제한하고자 합니다. 이러한 승인된 장치는 특정 사용자에게 할당하거나, 필요에 따라 사용자에게 제공할 수 있는 장치 풀에 포함할 수 있습니다. BIG-IP APM의 유연성과 모바일 장치에 연결된 고유 장치 ID를 활용하면, 이전에 구성한 Exchange 배포를 손쉽게 수정하여 사용자 이름과 암호뿐만 아니라 실제 장치를 기준으로도 액세스를 제어할 수 있습니다.
iApp에서 생성한 배포 수정
BIG-IP 구성을 수정하기 전에 iApp에서 생성된 구성이 iApp 외부에서 업데이트할 수 있도록 설정되어 있어야 합니다. 이렇게 하려면 해당 애플리케이션 서비스의 속성을 수정합니다(아래 참조).
디바이스 검증 방법 1 - "조직 디바이스 풀"
BIG-IP 시스템은 인증 프로세스에서 승인된 장치 풀을 사용하도록 구성할 수 있습니다. 승인된 장치(공유 풀에 포함된 장치)를 사용하는 인증된 사용자에게만 Exchange 환경에 대한 모바일 액세스 권한이 부여됩니다. 이 방법은 허용 가능한 장치의 중앙 집중식 풀을 활용하며, 관리자가 필요에 따라 개별 최종 사용자에게 장치를 유연하게 "대여"할 수 있도록 합니다.
다음 단계는 현재 BIG-IP 배포 환경에서 수행됩니다.
현재 BIG-IP 배포 환경에서 다음 단계를 수행합니다.
1. 관련된 모든 디바이스 ID를 포함하는 데이터 그룹 목록을 생성합니다.
BIG-IP 웹 GUI에 디바이스 ID를 입력하는 대신, BIG-IP 시스템의 iFile 기능을 사용하여 외부 파일을 참조할 수 있습니다. 자세한 내용은 DevCentral에서 확인할 수 있습니다. https://community.f5.com/t5/technical-articles/v11-1-ndash-external-file-access-from-irules-via-ifiles/ta-p/287683
2. 기존 액세스 정책이 사용됩니다
3. F5 iRule을 생성하여 Exchange HTTPS 가상 서버에 연결합니다. iRule은 클라이언트 연결의 디바이스 ID(HTTP 쿼리에 포함됨)를 앞서 생성한 데이터 그룹 목록에 저장된 디바이스 ID와 비교합니다. 디바이스 ID가 허용 가능한 디바이스 목록에 없으면 세션이 종료되고 액세스가 거부됩니다.
Base64 인코딩 관련 참고 사항: Apple iOS, Android, Windows Phone 등 모바일 OS 공급업체에 따라 ActiveSync에 액세스하는 방식과 범위가 다를 수 있습니다. Windows Phone 7과 같은 일부 기기는 Base64 인코딩을 사용하므로 기기 ID를 식별하려면 이를 디코딩해야 합니다. 위에서 언급한 iRule은 HTTP 쿼리의 인코딩 여부를 확인하고 필요에 따라 디코딩합니다.
디바이스 검증 방법 2-"개별 사용자/디바이스 검증"
이전 예제만큼 간단하지는 않지만, BIG-IP APM을 사용하여 Active Directory의 사용자 특성을 조회할 수 있습니다. 액세스 보안을 위한 사용자-장치 매핑을 지원하기 위해 Exchange 2010 사용자 지정 특성을 활용하여 사용자별로 허용되는 장치 ID를 저장할 수 있습니다. 이후 인증 과정에서 BIG-IP APM이 이러한 사용자 특성을 조회하여 모바일 장치 액세스를 제어할 수 있습니다.
다음 단계는 기존 Exchange 2010/BIG-IP 배포 환경에서 수행합니다.
기존 Exchange 2010/BIG-IP 배포 환경에서 다음 단계를 수행합니다.
1. 사용자 사서함의 사용자 지정 특성에 해당 사용자가 사용할 수 있는 디바이스 ID를 입력합니다. 다음 예에서는 특정 사서함에 디바이스를 최대 3개까지 할당할 수 있습니다. 디바이스 ID는 "사용자 지정 특성" 1, 2, 3에 저장할 수 있습니다.
2. 기존 BIG-IP APM 액세스 정책이 수정됩니다. 현재 세션이 ActiveSync인지 확인하도록 빈 요소가 구성됩니다.
3. 세션이 ActiveSync인 경우, 사용자의 특성을 AD 쿼리하고 장치 ID를 세션 변수로 캡처하는 매크로가 사용됩니다.
4. iRule이 생성되어 Exchange HTTPS 가상 서버에 연결됩니다. iRule은 클라이언트 연결의 장치 ID(HTTP 쿼리에 포함됨)를 세션 변수와 비교합니다. 클라이언트 장치 ID가 이전에 사용자에게 할당된 장치 중 하나와 일치하지 않으면 세션이 종료되고 액세스가 거부됩니다.
기기 ID 검증 - "사용자가 소유한 것"
모바일 장치를 보호하는 방법 중 가장 까다로워서 거의 사용되지 않는 방법은 클라이언트 측 인증서를 사용하는 것입니다. 기본 Exchange 구현에서는 개별 인증서를 생성하여 Active Directory에 저장한 후 장치에 배포해야 합니다. 또한 CAS 배열에서 이러한 유형의 인증을 사용하려면 CAS 서버로 들어오는 트래픽을 암호화해야 합니다.
BIG-IP 시스템은 클라이언트 측 인증서 인증을 위한 SSL 프록시 역할을 수행할 뿐만 아니라 내부 CAS 서버 팜으로 향하는 트래픽을 다시 암호화할 수 있습니다. 그러나 BIG-IP APM을 사용하면 CAS 배열에서 SSL 처리를 오프로드하면서도 클라이언트 측 인증서를 요구하고 검증할 수 있습니다. 다음 예에서는 사용자 이름 및 암호 인증과 함께 인증서 기반 검증을 구현하는 방법을 보여 줍니다.
1. 현재 클라이언트 SSL 프로파일을 수정하여 BIG-IP 시스템에 이전에 가져온 CA 인증서가 있는 신뢰할 수 있는 인증 기관(CA)을 포함합니다. 이 예에서 신뢰할 수 있는 CA는 "F5DEMO"입니다.
2. 기존 BIG-IP APM 액세스 정책이 수정됩니다. "On-Demand Cert Auth" 요소가 포함됩니다. 사용자가 자격 증명(사용자 이름 및 암호)을 사용하여 인증에 성공하면 BIG-IP APM은 SSL 재협상을 수행하고 위의 신뢰할 수 있는 CA를 기준으로 클라이언트 인증서의 유효성을 검사합니다. 유효성 검사에 실패하면 세션이 종료되고 액세스가 거부됩니다.
인증 방식 결합 - "다단계 인증"
앞의 예에서는 BIG-IP APM이 사용자 이름과 암호, 장치 ID 및 클라이언트 인증서를 통해 모바일 장치를 인증하는 방법을 살펴보았습니다. 이러한 다양한 방법을 하나의 다단계 인증 솔루션으로 결합하면 BIG-IP APM을 통해 Exchange ActiveSync에 안전하고 관리하기 쉬운 액세스를 제공할 수 있습니다. 아래 그림은 앞서 설명한 방법들을 결합하고 장치 유형에 따라 판단하는 일반적인 인증 흐름을 보여 줍니다.
- 사용자는 사용자 이름과 비밀번호를 사용하여 Active Directory에 사전 인증됩니다.
- 세션에서 ActiveSync를 사용하는 경우, 디바이스 ID를 사용자의 특성 및 허용된 디바이스 목록과 비교합니다.
- 디바이스 유형을 확인합니다.
- 기기 유형이 iPhone인 경우 유효한 인증서가 필요합니다.
BIG-IP Application Security Manager와 ActiveSync
Exchange 모바일 장치 액세스에 적절한 보안 제어를 구현하는 것은 인증 및 권한 부여만으로 끝나지 않습니다. 조직의 보안 태세를 더욱 강화하려면 인증된 소스의 트래픽을 포함한 트래픽 흐름을 효과적으로 모니터링하고 관리해야 합니다. 외부 소스에서 유입되는 대부분의 트래픽은 기존의 계층 3 방화벽을 거쳐 기업 네트워크로 들어오므로 애플리케이션 계층 방화벽 또는 WAF를 구현해야 합니다. BIG-IP Application Security Manager(ASM)와 같은 WAF는 애플리케이션 계층에서 작동하며 HTTP 페이로드를 분석하고 이에 대응하여 기업 자산을 한층 더 안전하게 보호합니다.
BIG-IP ASM 모듈은 BIG-IP 시스템에 상주하며, Layer 7 DoS 및 DDoS, SQL 인젝션, 크로스 사이트 스크립팅을 비롯한 다양한 위협으로부터 Exchange 환경을 보호하는 데 사용할 수 있습니다.
다음 섹션에서는 Exchange ActiveSync에서 사용할 수 있도록 BIG-IP ASM 모듈을 구성하는 방법을 설명합니다.
ActiveSync 보안 정책
BIG-IP ASM은 매우 강력한 애플리케이션이므로 배포에 상당한 시간이 소요될 수 있습니다. 다행히 F5는 필요한 시간과 노력을 대폭 줄일 수 있도록 사전 구성된 여러 템플릿을 개발했습니다. Exchange ActiveSync에도 이러한 템플릿이 제공됩니다. Exchange ActiveSync에 BIG-IP ASM을 구현하려면 다음 단계를 수행해야 합니다.
1. Application Security 메뉴에서 "Security Policies"를 선택하고 새 정책을 생성합니다.
2. "기존 가상 서버"를 선택한 후 "다음"을 선택합니다.
3. "HTTPS", 기존 Exchange 가상 서비스, "다음"을 차례로 선택합니다.
4. "정책을 수동으로 생성하거나 템플릿 사용(고급)"을 선택한 후 "다음"을 선택합니다.
5. 정책 언어를 선택합니다. 일반적으로 서유럽어(iso-8859-1)를 선택합니다. 그런 다음 "ActiveSync v1.0 v2.0 (https)"을 선택하고 "다음"을 클릭합니다.
6. "마침"을 선택합니다.
이 시점에서 보안 정책이 생성되어 Exchange 가상 서버에 적용되었습니다. 그러나 설계상 이 정책은 "투명(Transparent)" 적용 모드로 구현됩니다. 정책은 트래픽(인바운드 및 아웃바운드 모두)을 모니터링하지만 어떠한 조치도 취하지 않습니다. 따라서 관리자는 사용자에게 영향을 주지 않고 정책을 조정할 수 있습니다.
7. 정책이 허용 가능한 수준으로 조정되면 정책을 "투명"에서 "차단"으로 전환해야 합니다. "차단" 라디오 옵션을 선택한 다음 "저장"을 선택합니다.
8. 변경 사항을 적용하려면 "정책 적용"을 선택합니다.
BIG-IP ASM 정책이 이제 "차단" 모드로 작동합니다.
결론
점점 더 모바일화되는 인력에게 애플리케이션 액세스를 제공하는 것은 많은 조직에서 빠르게 비즈니스 필수 요건이 되고 있습니다. 이러한 애플리케이션의 고가용성과 보안을 모두 보장하는 것은 매우 중요합니다. BIG-IP Access Policy Manager(APM) 및 Application Security Manager(ASM) 애플리케이션 딜리버리 컨트롤러는 비즈니스 핵심 애플리케이션을 고가용성과 보안을 갖춘 형태로 배포할 수 있도록 설계되었습니다. 특히 BIG-IP APM의 다단계 인증 메커니즘과 BIG-IP ASM의 강력한 레이어 7 방화벽 기능을 결합하면 탁월한 Exchange 모바일 장치 보안을 구현할 수 있습니다.
2012년 11월 20일 게시