Dell EMC VxRail 기반의 최신 워크로드
서비스형 인프라 환경에 가용성 및 보안 서비스 제공
백서 개요
Dell EMC VxRail은 고성능 플랫폼에서 워크로드를 통합하려는 기업에 검증된 가상화 환경을 제공합니다. 웹 기반 마이크로서비스 애플리케이션을 비롯한 더 많은 워크로드가 이 플랫폼으로 마이그레이션됨에 따라 인프라 관리자는 서비스형 인프라(IaaS)를 넘어서는 관점이 필요합니다. 계속 늘어나는 워크로드를 지원하려면 중단 없는 비즈니스 운영에 필요한 성능, 보안 및 가용성을 보장하는 서비스를 고려해야 합니다. 에코시스템 관점에서 작성된 이 백서에서는 VxRail의 웹 기반 워크로드에 가용성과 보안을 제공하는 F5 네트워크 애플리케이션 서비스를 중점적으로 다룹니다. 이러한 애플리케이션 서비스는 VxRail VMware 환경에 원활하게 통합되는 F5 소프트웨어를 사용하므로 VxRail vCenter를 통해 F5 서비스를 손쉽게 프로비저닝, 구성 및 지원할 수 있습니다.
VxRail 환경에서 인프라 관리자는 레거시 및 클라우드 플랫폼의 애플리케이션을 통합하여 인프라 위에 계층화된 단일 통합 환경을 구축함으로써 운영을 최적화할 수 있습니다. 이러한 기능은 내부 이해관계자에게 통합된 '서비스형(as-a-service)' 환경으로 제공될 수 있으며, 성능과 비용 효율성을 보장하고 VMware Cloud를 통해 퍼블릭 클라우드로 원활하게 확장할 수 있도록 지원합니다.
백서에서 다루는 주요 주제:
- 섹션 1: VxRail 내에 F5® Advanced Web Application Firewall™ 서비스 배포
- 섹션 2: 보안 정책 사용자 지정
- 섹션 3: 워크로드 및 애플리케이션을 위한 고가용성 지원 구성
- 섹션 4: 웹에 노출되는 자산을 안전하게 보호하기
- 섹션 5: 미래 대비: 애플리케이션 서비스 가시성 및 용량 계획을 위한 vCenter 활용
- 섹션 6: 요약
섹션 1 – VxRail 내에 F5 Advanced Web Application Firewall 서비스 배포
이 섹션에서는 vCenter 관리 인터페이스를 사용하여 VxRail에 F5 Advanced Web Application Firewall(Advanced WAF) 소프트웨어를 프로비저닝하고 배포하는 방법을 중점적으로 설명합니다. 이 예에서는 샘플 워크로드를 호스팅하는 웹 서버 두 대를 생성하고 서버 앞단에 Advanced WAF를 배포했습니다. 이 예는 웹 서버 내에 있는 외부 공개 웹 워크로드를 최적화하고 보호하는 것을 목표로 설계되었습니다.
그림 1과 같이 먼저 VxRail vCenter 내에 Advanced WAF 템플릿을 생성합니다. Advanced WAF 템플릿은 VxRail-Datacenter의 템플릿 폴더에 표시되어야 합니다. 이 템플릿에는 Advanced WAF 이미지가 저장되며, 향후 애플리케이션 서비스를 시작할 때 이 템플릿을 사용하여 서비스를 손쉽게 생성할 수 있습니다.
그림 2에 표시된 대로 Advanced WAF 템플릿을 클릭합니다. 이 메뉴에서 새 VM을 시작한 다음, 필요에 따라 아래 스크린샷에 설명된 단계를 참조하여 사용할 서비스를 준비할 수 있습니다. 배포 과정을 간소화하기 위해 각 단계별 스크린샷을 제공했습니다.
원활한 배포를 위해 다음 지침을 반드시 준수하세요:
- Advanced WAF의 VM에 고유한 이름을 지정합니다(여기서는 F5-AWAF-A로 지정했습니다).
- VM의 위치를 선택합니다(여기서는 기본 위치로 VxRail Datacenter를 선택합니다).
- 대상 컴퓨팅 클러스터를 선택합니다(클러스터 내에서 이름을 F5 Resource Pool로 지정합니다).
- 스토리지를 선택합니다(여기서는 VxRail-Virtual-SAN-DataStore를 선택합니다).
구성 프로세스를 완료하면 요약 페이지에 지정된 IP 주소와 사전 할당된 컴퓨팅 리소스 및 스토리지를 사용하여 VxRail 클러스터에 Advanced WAF가 배포된 것을 확인할 수 있습니다. 성공적으로 구성된 배포의 예는 그림 3을 참조하십시오.
VxRail에 Advanced WAF를 배포하는 단계별 시각적 가이드
섹션 2 – 보안 정책 사용자 지정
Advanced WAF 소프트웨어를 배포한 후에는 수신 트래픽이 웹 서버로 전달되기 전에 이를 검사하는 데 사용할 보안 정책을 정의할 수 있습니다. Advanced WAF를 사용하면 세분화된 보안 정책을 직접 구성할 수 있으며, 광범위한 위협 인텔리전스 및 시그니처 라이브러리도 활용할 수 있습니다. 이러한 라이브러리는 최신 보안 정보를 반영하도록 자주 업데이트되므로, 사용자는 최신 위협 인텔리전스를 기반으로 워크로드 중심의 보안 프로필을 만들 수 있습니다. 또한 사용자는 ‘수신 대기’ 모드를 활성화할 수도 있습니다. 이 모드는 머신 러닝을 사용하여 환경별 기준 보안 정책을 수립함으로써 오탐으로 인해 발생하는 불필요한 경고를 줄여 줍니다.
섹션 3 – 워크로드 및 애플리케이션을 위한 고가용성 지원 구성
BIG-IP 고가용성은 TMOS에서 지원되므로 모든 제품 모듈에서 복원력 구현 방식과 지원 체계를 일관되게 유지할 수 있습니다.
아래 그림에서는 시스템을 고가용성으로 구성하는 데 필요한 단계를 안내합니다. 이러한 단계는 다음과 같습니다.
- 내부 네트워크 구성 설정(예: VLAN 정보)
- 외부 네트워크 구성 설정
- 고가용성 네트워크 구성 선택
- 구성 세부 정보 검토 및 확인
섹션 4 – 웹에 노출된 자산을 안전하게 보호하기
이 섹션에서는 사용자 자격 증명 프로젝션과 SQL 인젝션 차단이라는 두 가지 보안 기능을 통해 웹에 노출된 워크로드를 보호하는 방법을 설명합니다. 단계별 가이드 대신, 이러한 보안 기능이 침입과 위협을 자동으로 차단하여 워크로드와 백엔드 인프라를 안전하게 보호하는 방식을 보여주는 자료를 마련했습니다.
사용자 자격 증명 보호
Data Safe를 사용하면 사용자 자격 증명과 매개변수 이름(예: ID 및 비밀번호)을 애플리케이션 계층에서 실시간으로 암호화하고 난독화할 수 있습니다. 이 보안 서비스를 구현하기 위해 코드를 변경하거나 애플리케이션 소스 코드를 수정할 필요가 없습니다.
HTTP/HTTPS 트래픽을 사용하는 웹 공개 자산 또는 애플리케이션의 경우, SSL을 통한 데이터 암호화는 불법적인 제3자에게 데이터가 노출될 가능성으로부터 데이터를 보호하기 위한 첫 단계입니다. 전송 중 SSL 암호화만으로는 데이터 보안을 보장하기에 충분하지 않습니다. 자격 증명 도용은 클라이언트 수준에서도 발생할 수 있습니다. 예를 들어, 최종 사용자가 유해한 파일을 클릭하거나 악성 코드에 감염된 사이트에 접속하여 웹 브라우저가 손상되었을 수 있습니다.
Advanced WAF 콘솔의 보안 섹션에서 Data Safe 기능을 활성화할 수 있습니다. 데이터 보호를 선택한 다음 Data Safe 프로필로 이동합니다:
- 새 프로필 만들기
- 프로필 이름을 Anti-Fraud로 설정합니다
- Anti-Fraud 프로필 내에서 애플리케이션 계층 암호화를 활성화합니다
- 사용자 자격 증명을 보호하기 위한 기타 기준 활성화
Data Safe를 활성화하면 웹에 노출되는 자산 또는 서비스에 대해 클라이언트 수준에서 ID와 비밀번호를 암호화하도록 기준을 설정할 수 있습니다. 이를 통해 멀웨어에 감염된 브라우저로 인한 보안 침해 위험을 줄일 수 있습니다. Data Safe로 보호되는 애플리케이션은 Advanced WAF를 통해 웹 페이지를 제공합니다. 사용자가 ID와 비밀번호를 입력하면 각 문자가 암호화됩니다. 브라우저가 침해되더라도 멀웨어는 실제 비밀번호가 아닌 암호화된 데이터만 추출할 수 있으며, 이 데이터는 개인 키 없이는 복호화할 수 없습니다(자세한 내용은 아래 그림 참조). Advanced WAF는 클라이언트 측 웹 계층의 자격 증명 보호뿐만 아니라 모바일 애플리케이션의 워크로드를 위한 모바일 계층 보호 기능까지 포함하도록 업그레이드할 수 있습니다.
솔루션 데모: Advanced WAF 적용 여부에 따른 서비스 비교
파트 A: 사용자 자격 증명 보호
파트 B: SQL 인젝션
SQL 인젝션은 항상 OWASP 10대 위협 목록에서 높은 순위를 차지합니다. 해커는 백엔드 데이터베이스에서 중요 데이터를 빼낼 기회를 찾기 위해 애플리케이션 코드의 취약점을 탐색합니다. SQL 인젝션으로 인한 침해 위험을 줄이기 위한 첫 단계는 코딩 모범 사례를 장려하여 '안전하고 보안이 강화된' 코드를 작성하도록 하는 것입니다. 인프라에 추가 보호 계층을 적용할 수도 있습니다. Advanced WAF는 광범위한 위협 인텔리전스를 통합하고 위협 시그니처 라이브러리를 제공하며, 이를 배포하여 웹에 노출된 워크로드를 SQL 인젝션으로부터 보호할 수 있습니다.
SQL 인젝션 방어를 활성화하려면 Application Security 메뉴에서 Attack Signatures 섹션으로 이동한 다음, 필터 키워드로 SQL을 사용합니다. 위협 시그니처 데이터베이스에 있는 SQL 인젝션 관련 시그니처 목록이 표시됩니다. 이 데모를 완료한 시점에는 SQL 관련 공격을 방어할 수 있는 관련 시그니처가 563개 있었습니다. 관련 위협 시그니처를 모두 선택하여 애플리케이션 보안 정책에 추가합니다.
차이점을 설명하기 위해 다음 그림에서는 SQL 인젝션 차단을 적용한 경우와 적용하지 않은 경우의 결과를 보여 줍니다.
보호 기능을 사용하면 쿼리가 차단되고 대신 다음과 같은 오류 메시지가 반환됩니다.
SQL 인젝션 방어 기능을 활성화하면 SQL 쿼리가 데이터베이스에 도달하기 전에 차단됩니다. 해킹을 시도한 사용자는 대신 오류 메시지를 받게 됩니다.
섹션 5 – 미래 대비: 애플리케이션 서비스 가시성 및 용량 계획을 위한 vCenter 활용
VxRail은 확장 가능하고 관리가 용이한 환경을 제공하여 사용자가 F5 서비스를 손쉽게 배포, 테스트 및 통합할 수 있도록 지원합니다. 이 섹션에서는 Advanced WAF의 사용 세부 정보에 중점을 두고, 현재 상태(예: CPU 및 메모리 사용률)에 대한 전체 보고서에 액세스하는 방법과 이 정보를 향후 확장 계획에 활용하는 방법을 설명합니다. 당사의 목표는 F5 소프트웨어가 VxRail의 ‘서비스형(as-a-service)’ 모델을 지원하도록 구축하는 것입니다.
그림 22에 설명된 것처럼 VxRail vCenter에서는 Advanced WAF 가상 어플라이언스의 사용 수준을 세부적으로 확인할 수 있습니다. 여기에서 사용자는 다음을 비롯한 Advanced WAF VM의 세부 정보에 액세스할 수 있습니다:
- Advanced WAF 개요 정보(IP 주소, DNS 이름, CPU 사용량 등)
- 구성(VM 설정 포함)
이 Advanced WAF 데모를 위해 2개의 웹 서버(LAMP Server 1 및 LAMP Server 2)를 생성했습니다. 이 서버들은 Advanced WAF가 VxRail 내의 외부 웹 연결 자산을 최적화하고 보호하는 사용 시나리오를 설명하는 데 사용됩니다.
VxRail에서의 F5 Advanced WAF 리소스 사용량 개요
아래 그림은 서비스에 할당된 리소스를 보여 주며, 데모에 사용된 리소스를 파악하는 데 도움이 됩니다. 이를 통해 인프라 관리자는 프로덕션 환경에서 이러한 서비스를 확장하는 데 필요한 용량을 예측할 수 있습니다. 특히 이러한 도구를 확장 가능한 서비스형 환경에서 사용할 경우 이 정보가 유용할 수 있습니다.
섹션 6 – 요약
이 백서에서는 VxRail 환경에서 F5 Advanced Web Application Firewall(Advanced WAF)을 설정하는 방법을 살펴보았습니다. 단계별 배포 가이드를 통해 배포 과정을 설명하고, 적용 전후를 비교하여 Advanced WAF의 보안 기능을 소개했습니다.
이 문서에서는 타사 소프트웨어를 인프라 관리자가 통합하여 다양한 서비스가 제공되는 환경에서 활용할 수 있는 서비스로 설정함으로써 VxRail 환경에 배포하는 방법을 설명합니다. 또한 외부 웹에 노출되는 마이크로서비스 기반 애플리케이션에 애플리케이션 보안 서비스를 제공하도록 VxRail 환경에서 Advanced WAF를 구성하는 방법을 살펴보았습니다.
VxRail은 인프라 관리자가 비즈니스 운영을 추진하는 데 활용할 수 있는 고성능의 확장 가능하고 관리가 용이한 플랫폼입니다. 우수한 사용자 경험을 보장하는 타사 서비스를 배포하는 것은 비즈니스 성공에 매우 중요합니다. F5 Advanced WAF는 VxRail 환경에서 원활하게 지원되며 VMware Cloud로 확장할 수 있습니다.
2020년 8월 3일 게시