F5 BIG-IP 플랫폼 보안

애플리케이션 및 네트워크 공격이 더욱 복잡해지고 방어하기 어려워짐에 따라, 데이터 보안을 보장하는 것은 모든 규모의 조직에서 가장 시급한 문제 중 하나가 되었습니다. 대규모 유출 및 침해는 조직의 평판을 손상시키고 사업에 엄청난 영향을 미칠 수 있습니다.

F5 BIG-IP 플랫폼이 출시된 이래로 보안은 모든 설계 및 아키텍처 결정의 주요 요소가 되었습니다. 이후 출시되거나 새로운 제품이 출시될 때마다 더 안전한 기본 설정이 포함되고, 보안 관련 기능이 더 많이 통합되었으며, 더 엄격한 보안 테스트, 보증, 인증 과정을 거쳤습니다. 보안 위협이 증가함에 따라 네트워크, 애플리케이션 및 데이터의 보안을 유지하기 위해 새로운 제품과 인수한 제품에 모범 사례를 지속적으로 적용합니다. 오늘날 F5 제품은 조직의 중요한 정보 흐름을 관리하는 전략적 제어 지점 역할을 하는 동시에 성능과 보안을 강화하여 웹 기반 애플리케이션의 전달을 개선합니다.

조직이 전반적인 보안 태세를 평가할 때 두 가지 구조적 요소를 고려해야 합니다. 안전한 소프트웨어 개발 수명 주기와 애플리케이션 전송 네트워크 내의 고유한 보안 기능입니다. F5는 두 가지 측면을 모두 제공함으로써 오늘날의 새로운 보안 과제를 충족하는 리더십과 제품을 제공하여 조직이 신원, 애플리케이션 및 중요한 데이터를 보호할 수 있도록 지원하며, 애플리케이션 다운타임을 최소화하고 최종 사용자 생산성을 극대화합니다.

진정으로 안전한 시스템에는 많은 요소가 있지만, 그 기반은 설계와 코딩이라는 두 가지 기둥에 있습니다. F5 보안 소프트웨어 개발 수명 주기(SDLC)는 모든 제품이 가장 높은 보안 표준에 따라 구축되고 출시 전에 엄격한 테스트를 거치도록 보장합니다.

견고한 보안은 제품 개발 과정 초기부터 시작됩니다. F5 제품 개발팀은 단 한 줄의 코드도 작성하기 전에 포괄적인 위협 모델링 평가를 거칩니다. 설계자는 각각의 새로운 기능을 평가하여 시스템에 어떤 취약점을 만들거나 추가할 수 있는지 파악합니다.

설계 단계에서 1시간이면 해결할 수 있는 취약점이라도 코딩 단계에서는 10시간이 걸리고, 제품 출시 후에는 1,000시간이 걸릴 수 있습니다. 따라서 프로세스 초기에 취약점을 포착하는 것이 중요합니다. 위협 모델을 평가하는 동안 일반적으로 논의되는 내용에는 보안 경계 정의 및 검토, 위협 표면 제한, 보안 관련 기능의 설계 및 구현을 위한 모범 사례 등이 포함됩니다.

디자인이 완성되면 코딩이 시작됩니다. 모든 F5 개발 직원은 보안 코드를 작성하는 과정에 대해 철저한 교육을 받았습니다. 하지만 소프트웨어와 네트워크 악용의 경우 아무리 작은 실수라도 엄청난 결과를 초래할 수 있습니다. F5 개발자는 보안 팀과 함께 정기적으로 코드 검토를 수행하고, 정적 코드 분석 도구를 사용하여 일반적인 문제를 식별합니다. 코드 표준과 모범 사례는 개발자가 일반적인 보안 함정을 피하는 데 도움이 됩니다.

시간과 노동력이 많이 소요되는 보안 테스트는 모든 조직에 있어서 엄청난 작업입니다. F5에서는 보안팀과 개발팀이 협업하여 시장에 출시되는 각 소프트웨어에 대해 높은 수준의 보안을 보장하도록 노력합니다.

내부 보안팀은 BIG-IP 플랫폼을 손상시키려는 공격자 역할을 하여 침투 테스트를 수행합니다. 또한 F5는 모든 프로그램에 대해 퍼즈 테스트를 수행합니다. 퍼즈 테스팅은 프로그램이 잘못된 입력(예: 길거나 짧은 네트워크 패킷이나 잘못된 데이터가 포함된 입력)을 어떻게 처리하는지 평가합니다. 대부분은 잘 처리될 것이지만, 예외를 발생시키는 경우도 있고, 심각한 취약점을 노출시킬 수도 있습니다. 침투 테스트와 퍼즈 테스트를 통해 F5 장치는 서비스 거부(DoS) 공격은 물론, 코드 기반 공격으로부터도 최대한 안전합니다.

또한 F5는 학문적 직관과의 관계를 통해 다음과 같은 여러 유형의 오류를 포괄하기 위해 지속적으로 지식 기반을 확대합니다.

• 안전하지 않은 문자열 조작 논리를 악용하는 버퍼 오버플로우와 스택 스매싱 공격.
• 동적 메모리 관리 함수의 잘못된 사용.
• 정수 오버플로, 부호 오류, 잘림 오류를 포함한 정수 관련 문제입니다.
• 포맷 문자열 취약점을 소개합니다.
• 경쟁 조건을 포함한 I/O 취약점.

F5는 정교한 타사 스캐닝 애플리케이션을 사용하여 매일 밤 소스 코드를 분석하여 여러 가지 중요한 결함을 찾습니다. 컴파일 시점에 코드 스캐닝 애플리케이션은 보안 버그와 결함, "빌드 브레이커" 버그, 메모리 누수 및 손상과 같은 충돌 버그, 그리고 새 코드로 인해 발생하는 예측할 수 없는 애플리케이션 동작을 찾습니다. 소스 코드 스캐닝은 데이터 무결성 문제, 성능 병목 현상 등 치명적이지 않은 결함도 찾아낼 수 있습니다.

F5는 수년간 여러 유형의 추가 테스트를 위해 제3자 회사와 협력해 왔습니다.

• 블랙박스 테스트: 공격자가 공개 문서를 통해 접근할 수 있는 것 이상의 제품에 대한 지식 없이 애플리케이션 및 플랫폼을 테스트하는 것입니다.
• 그레이 박스 테스트: 내부 설계나 내부 데이터 구조에 대한 문서에 대한 접근, 사용된 알고리즘 등과 같은 부분적인 정보를 활용한 애플리케이션 및 플랫폼 테스트입니다. 그레이박스 테스터는 애플리케이션을 설명하는 개략적인 문서와 자세한 문서가 모두 필요합니다.
• 화이트박스 테스트(투명 박스 테스트, 유리 박스 테스트, 투명 박스 테스트 또는 구조적 테스트라고도 함): 기능이 아닌 애플리케이션의 내부 구조나 작동 방식을 테스트하는 것입니다. 화이트박스 테스팅을 위해서는 시스템에 대한 고급 지식은 물론 프로그래밍 기술도 필요합니다.

보안 테스트 도구는 시간이 지남에 따라 발전하고 새로운 제품이 출시됩니다. F5는 여러 공급업체 파트너와 긴밀히 협력하여 새로운 프로토콜을 포함하고, 테스트 범위를 확장하고, 진화하는 위협 모델과 새로 발견된 익스플로잇을 기반으로 도구를 업데이트합니다. BIG-IP 소프트웨어가 여러 테스트를 통과하면, F5는 이를 자체 제품 환경에서 사용하여 출시 준비가 되었는지 확인합니다.

위협 모델, 안전한 코딩, 다양한 유형의 교육 및 테스트에도 불구하고 취약성은 발생합니다. 운영 환경에서 취약점이 인식되는 경우, 시기적절한 대응이 매우 중요합니다.

F5 취약성 대응 정책은 고객 요구 사항과 업계 관행을 반영하도록 정기적으로 업데이트됩니다. F5는 내부적으로 발견된 보안 사고, 타사 테스트를 통한 보안 사고 또는 고객이 보고한 보안 사고에 대응하는 데 중점을 두고, 최소한 주 1회 취약점을 추적하여 보고함으로써 올바른 우선순위 지정과 시기적절한 대응을 보장합니다.

F5는 National Vulnerability Database, MITRE CVE, CERT Coordination Center, Redhat, OpenSSL, ISC 등의 보안 연구원 및 전문가와 긴밀히 협력하여 책임감 있게 취약점을 공개하고 완화책, 패치, 익스플로잇 보호 기능을 제공합니다. F5는 작년에 스크립트 주입, 트로이 목마 등의 위협을 표면화하는 방법부터 맬웨어 및 DDoS 공격으로부터 보호하는 방법까지 다양한 보안 권고안 350개를 대중에게 제공하여 최신 보안 정보를 제공했습니다.

강화되고 강화된 보안을 제공하도록 특별히 제작된 BIG-IP 플랫폼은 조직이 보안 태세를 강화할 수 있도록 하는 몇 가지 주요 기능을 제공합니다.

• 가전제품 모드
• 보안 금고
• 보안 강화 리눅스(SELinux)
• 보안 인증
• DoS 보호

BIG-IP 플랫폼과 F5 TMOS는 하드웨어와 소프트웨어가 함께 작동하여 엔터프라이즈 애플리케이션과 데이터를 보호하고, 네트워크 전체에서 애플리케이션 전송을 최적화하도록 설계되었습니다.

원래는 의료 및 금융 서비스와 같이 민감한 데이터를 다루는 업계의 기업을 위해 설계된 Appliance Mode는 오늘날 모든 분야의 기업에서 사용되고 있습니다. 어플라이언스 모드를 켜면 조직에서는 다음과 같은 제한을 적용하여 네트워크와 애플리케이션을 보다 효과적으로 제어할 수 있습니다.

• bash 셸에 대한 액세스를 제거합니다.
• 구성 유틸리티와 TMSH에 대한 관리자 액세스를 제한합니다. 관리자는 이러한 계층적 명령줄 유틸리티를 사용하여 BIG-IP 시스템을 쉽게 관리하고 구성하고, 통계 및 성능 데이터를 볼 수 있습니다.
• 직렬 콘솔을 포함하여 어떤 수단을 통해서든 루트 사용자가 장치에 로그인하는 것을 방지하려면 루트 로그인을 비활성화합니다.
• 다양한 파일과 디렉토리에 대한 루트 계정 홈 디렉토리(/root) 파일 권한을 강화합니다. 기본적으로 새로운 파일은 사용자만 읽고 쓸 수 있으며 모든 디렉토리는 더 잘 보안됩니다.
• BIG-IP 시스템에 대한 정전 관리 기능을 제공하는 AOM(Always-On Management) 하위 시스템이 호스트에 액세스하는 것을 방지합니다. AOM은 하드웨어 재설정 명령을 사용해서만 호스트를 재설정할 수 있습니다.

주의할 점은 Appliance Mode가 활성화되면 비활성화할 수 없다는 점입니다. 조직에서는 새 라이선스를 취득하고 소프트웨어를 새로 설치해야 합니다. 관리자는 BIG-IP GUI의 구성 유틸리티에서 라이선스 화면을 통해 장치가 어플라이언스 모드에서 실행 중인지 확인할 수 있습니다.

SSL 개인 키는 네트워크 내에서 가장 가치 있는 자산 중 하나이며, 많은 조직에서는 단순한 파일 시스템 보호를 넘어 키의 보안을 엄격하게 요구합니다. 모든 F5 하드웨어 어플라이언스에서 사용 가능한 Secure Vault 기능은 하드웨어 잠금 장치에 저장된 마스터 키로 SSL 개인 키를 보호합니다. 따라서 SSL 개인 키 파일이 손상된 백업 서버 또는 맬웨어 감염에서 복구되더라도 공격자가 해당 파일을 사용할 수 없습니다.

각 BIG-IP 장치에는 고유한 단위 키와 공유 마스터 키가 제공되며, 둘 다 AES 256 대칭 키입니다. 고유한 장치 키는 각 물리적 기기의 맞춤형 하드웨어 EEPROM에 저장됩니다. 이 단위 키는 마스터 키를 암호화하고, 마스터 키는 SSL 개인 키를 암호화하고, SSL 키 파일을 암호 해독하고, BIG-IP 장치 간의 인증서를 동기화합니다. 마스터 키는 고가용성(HA) 구성의 구성을 따르므로 모든 장치가 동일한 마스터 키를 공유하지만 자체 장치 키를 갖게 됩니다. 마스터 키는 인증서 관리자가 설정한 보안 채널을 사용하여 동기화됩니다. 마스터 키로 암호화된 암호문구는 마스터 키가 생성된 장치 이외의 다른 시스템에서는 사용할 수 없습니다.

Secure Vault 지원은 vCMP(Virtual Clustered Multiprocessing) 게스트에서도 사용할 수 있습니다. vCMP를 사용하면 각 게스트가 고유한 단위 키와 마스터 키를 가지면서 하나의 장치에서 여러 BIG-IP 소프트웨어를 실행할 수 있습니다. 게스트 유닛 키는 호스트에서 생성되고 저장되므로 하드웨어 지원이 강화되고 호스트 마스터 키로 보호되며, 호스트 마스터 키는 다시 하드웨어의 호스트 유닛 키로 보호됩니다.

F5 개발 프로세스와 고객 프로덕션 환경 모두에서 사용되는 SELinux(Security Enhanced Linux)는 보안 정책을 시행하는 소프트웨어의 볼륨을 간소화하고 보안 정책 자체에서 별도로 보안 결정을 시행할 수 있도록 합니다. 예를 들어, SELinux 프로필은 TMOS 커널에 특정 프로세스가 bash 셸을 실행하는 것을 허용하지 않도록 지시할 수 있습니다. 이렇게 하면 Shellshock과 같은 취약점으로부터 시스템을 보호할 수 있고, 공격자는 이 취약점을 악용해 웹 서버나 라우터를 제어할 수 있습니다.

SELinux는 Linux의 임의 액세스 제어(DAC) 시스템을 보완하여 강제 액세스 제어(MAC)를 제공함으로써 보안을 강화합니다. MAC은 주체의 사용자, 역할 및 도메인 레이블, 객체의 리소스 레이블, 정책에 의해 정의된 주체와 객체 간의 관계로 구성됩니다. SELinux 컨트롤은 사용자 프로그램과 시스템 서버가 파일과 네트워크 리소스에 액세스하는 것을 제한합니다. 작업에 필요한 최소한의 권한으로 권한을 제한하면 버퍼 오버플로나 구성 오류와 같은 알려지지 않은 취약점으로 인해 이러한 프로그램과 데몬이 피해를 입힐 수 있는 능력이 줄어들거나 사라집니다. MAC은 Linux (임의) 제어 메커니즘과 독립적으로 작동하므로 루트 슈퍼유저라는 개념이 없고, 따라서 기존 Linux DAC 시스템의 잘 알려진 단점을 공유하지 않습니다.

연방 및 금융 산업(FSI) 조직은 Common Criteria 및 FIPS 140-2와 같은 보안 인증을 요구하는 추가 규정을 준수해야 합니다. 이러한 미국 및 전 세계 보안 인증과 기타 인증은 인증된 제품이 인증, 감사, 암호화, 관리 및 보안 통신을 포함한 분야의 표준을 충족함을 보장합니다. 인증 표준과 요구 사항은 보안 분야가 변화함에 따라 변화하고 발전합니다. 이러한 이유로 대부분 인증은 특정 제품 릴리스에만 적용됩니다.

F5는 보안 변화, 모범 사례 및 진화하는 표준에 맞춰 국제 암호 모듈 컨퍼런스(ICMC) 및 국제 공통 평가 기준 컨퍼런스(ICCC)에 참여하여 조직에 강력한 보안과 간소화된 규정 준수를 제공합니다. 미국 국립표준기술원(NIST) 암호화 모듈 검증 프로그램(CMVP)은 암호화를 위한 F5 로드맵을 추진합니다.

많은 F5 제품이 전 세계 정부 기관과 회사에서 사용하는 세계적인 보증 인증인 Common Criteria에 의해 인증을 받았습니다. 26개국이 상호인정협정에 서명하였는데, 이 협정에 따라 제품이 인증을 받으면 서명국 중 하나 또는 모든 국가에서 인증된 제품으로 판매될 수 있습니다.

NIST에서 개발한 연방 정보 처리 표준(FIPS)은 미국 정부 기관과 정부 계약업체에서 비군사적 컴퓨터 시스템에 사용됩니다. FIPS 140 시리즈는 미국 연방 정부의 부서와 기관에서 사용하는 하드웨어와 소프트웨어 구성 요소를 포함한 암호화 모듈에 대한 요구 사항을 정의하는 미국 정부의 컴퓨터 보안 표준입니다.

FIPS 140-2를 준수하는 F5 제품은 FIPS 140-2 인증 하드웨어 보안 모듈(HSM)을 사용하여 규정 준수 요구 사항을 충족합니다. HSM은 디지털 고가 암호화 키를 생성, 저장, 보호하도록 설계된 안전한 물리적 장치입니다. 이는 변조 방지 기능이 내장된 플러그인 카드(또는 다른 하드웨어) 형태로 제공되는 안전한 암호화 프로세서입니다. BIG-IP 시스템에는 FIPS 암호화/SSL 가속기가 포함되어 있습니다. 이는 FIPS 140-1 레벨 2 호환 솔루션이 필요한 환경에서 SSL 트래픽을 처리하도록 특별히 설계된 HSM 옵션입니다.

F5 BIG-IP 장치는 FIPS 140-2 레벨 2를 준수합니다. 이 보안 등급은 민감한 데이터가 HSM으로 가져오면 플랫폼이 암호화 기술을 통합하여 일반 텍스트 형식으로 데이터를 추출할 수 없음을 나타냅니다. BIG-IP 장치는 물리적인 변조를 방지하기 위해 변조 방지 코팅이나 밀봉을 제공합니다. BIG-IP 플랫폼의 고유한 키 관리 프레임워크는 더 높은 수준의 트래픽을 처리할 수 있고 조직이 쉽게 새로운 서비스를 추가할 수 있는 고도로 확장 가능한 보안 인프라를 구축할 수 있습니다.

또한 FIPS 암호화/SSL 가속기는 스마트 카드를 사용하여 관리자를 인증하고, 액세스 권한을 부여하고, 관리 책임을 공유하여 키 관리 보안을 시행하는 유연하고 안전한 수단을 제공합니다.

DoS 공격은 의도한 사용자가 시스템이나 네트워크 리소스를 사용할 수 없게 만들어 인터넷에 연결된 호스트의 서비스를 일시적 또는 무기한으로 중단 또는 중지하려는 시도입니다. 분산 서비스 거부(DDoS) 공격은 여러 개(종종 수천 개)의 고유 IP 주소를 가진 공격 소스에서 발생합니다.

F5 아키텍트는 DoS 공격을 방지하고 완화하기 위해 여러 가지 전략을 개발했습니다. 개발팀은 기업 데이터를 보호하고 애플리케이션의 기본 요소(네트워크, DNS, SSL, HTTP)에 보안을 제공하는 기술에 대한 기능을 출시하고 특허를 제출했습니다. 소프트웨어 기능은 다양한 유형의 요청에 대한 속도 제한, 패킷이 너무 많은지 여부 또는 요청을 시작한 사람을 확인하고, 휴리스틱을 제공하고, 스푸핑을 방지하는 등 광범위한 보호 기능을 제공합니다.

BIG-IP 플랫폼은 지능형 트래픽 관리와 애플리케이션 전송의 본질적인 보안 역량을 활용하여 가장 까다로운 조건에서도 조직의 네트워크와 애플리케이션 인프라를 보호하고 가용성을 보장합니다.

네트워크, 애플리케이션, 데이터에 대한 공격이 계속해서 증가하는 가운데, BIG-IP 플랫폼을 활용하는 기업은 자사의 시스템 보안을 확신하여 가장 귀중한 자산을 보호할 수 있습니다.

F5는 제품 출시 전에 취약점을 발견하고 수정하도록 설계된 엄격한 보안 소프트웨어 개발 수명 주기 프로세스를 통해 BIG-IP 플랫폼의 보안을 보장합니다. 또한 BIG-IP 플랫폼은 Appliance Mode, Secure Vault, SELinux, 보안 인증, DoS 보호와 같은 여러 가지 주요 보안 기능을 갖추고 있어 중요한 애플리케이션과 엔터프라이즈 데이터의 무결성을 보장하는 데 도움이 됩니다.

보안 위협의 규모와 복잡성은 확실히 계속해서 증가할 것입니다. 동시에 F5는 조직이 공격을 예방하고 완화하고 대응할 수 있도록 돕는 특수 목적 보안 솔루션을 설계하는 동시에 조직의 평판을 방어하고 비즈니스를 보호할 것입니다.