기업들이 VMware 환경을 재평가함에 따라 보안은 가상화 현대화 결정에서 점점 더 중요한 요소가 되고 있습니다. 목표는 단순히 워크로드를 마이그레이션하는 것뿐만 아니라, 횡적 이동 위험을 줄이고, 동서 트래픽에 대한 가시성을 향상시키며, 역동적인 클라우드 운영에 발맞춰 나갈 수 있는 보안 정책을 적용하는 것입니다.
애플리케이션 환경이 더욱 분산되고 비즈니스 종속성을 파악하기 어려워짐에 따라 이러한 과제는 더욱 시급해지고 있습니다. 기존의 경계 제어 방식으로는 데이터 센터 내부의 워크로드 간 트래픽을 완벽하게 보호할 수 없으며, 수백 또는 수천 대의 가상 머신에 대한 규칙을 수동으로 관리하면 운영 복잡성이 증가하고 정상적인 서비스 차단 위험이 커집니다.
이 기사에서는 마이크로세그멘테이션이 어떻게 발전해왔는지, 정책 설계가 여전히 어려운 이유는 무엇인지, 그리고 Sangfor가 트래픽 가시성, ID 기반 분산 방화벽, 지능형 정책 권장 사항 및 사전 시행 검증을 결합하여 VMware 교체 과정에서 클라우드 보안을 강화하는 방법을 살펴봅니다.
파트 1. 미세 세분화 및 정책 권고 접근법
1. 마이크로세그멘테이션 구현 모델
가상화 네이티브 모델
하이퍼바이저 또는 가상화 플랫폼은 가상 머신 간의 보호 기능을 기본적으로 제공합니다. 이 모델은 유연성, 확장성, 그리고 네트워킹, 보안 및 가상 머신 관리와의 긴밀한 통합을 제공합니다.
하드웨어 중심 모델
물리적 보안 또는 스위칭 장비는 클라우드 플랫폼 API를 사용하여 클라우드 트래픽을 보호합니다. 이러한 모델은 비교적 정적인 프라이빗 클라우드에는 적합하지만, 이동성이 높거나 임시 워크로드가 있는 동적 하이브리드 환경에는 효과가 떨어지며 트래픽 병목 현상을 초래할 수 있습니다.
에이전트 기반 모델
보안 공급업체는 하드웨어 및 하이퍼바이저와 독립적으로 작동하며, 일반적으로 각 VM에 에이전트를 설치하거나 여러 하이퍼바이저와 통합해야 합니다. 이는 모바일 워크로드를 지원할 수 있지만, 규모가 커질수록 배포 및 정책 운영이 복잡해질 수 있습니다.
따라서 Sangfor는 분산 방화벽 및 마이크로세그멘테이션 기능을 가상화 플랫폼 내에 기본적으로 구현합니다.
2. 마이크로세그멘테이션 규칙 관리가 어려운 이유
마이크로세그멘테이션은 개별 VM 및 애플리케이션 유형에 대한 정책과 지속적인 업데이트를 필요로 합니다. 기존 및 신규 애플리케이션은 복잡한 동서 및 남북 종속성을 가질 수 있으며, 기존 애플리케이션 소유자가 더 이상 사용 가능하지 않을 수도 있습니다. 적절한 흐름을 놓치면 새로운 규칙이 정상적인 액세스를 방해할 수 있습니다.
가상 머신은 빈번하게 생성, 삭제, 중지, 시작 및 마이그레이션됩니다. IP 주소, 워크로드 식별자 및 애플리케이션 버전이 변경되므로 보안 정책을 지속적으로 업데이트해야 합니다.
3. 마이크로세그멘테이션 정책 추천 접근법
일부 제품은 머신 러닝을 사용하여 과거 트래픽 및 워크로드 컨텍스트를 분석하고 자동으로 그룹, 레이블 및 권장 정책을 생성합니다. 이러한 기능은 강력하지만, 새로운 그룹과 레이블을 반복적으로 생성하면 관리 복잡성이 증가할 수 있습니다.
Sangfor는 기존 VM 레이블, VM 그룹 또는 선택된 워크로드를 사용하여 정책 범위를 정의한 다음, 관찰된 과거 트래픽 흐름에서 권장 DFW 규칙을 도출합니다. 이를 통해 고객의 기존 워크로드 구성을 유지하면서 추가적인 자동 생성 레이블을 만들 필요성을 줄일 수 있습니다.
PART 2. Sangfor 마이크로세그먼테이션 세부사항
1. 네트워크 트래픽 및 액세스 시각화
네트워크 트래픽 및 액세스 시각화 수집기는 대역 외 경로를 통해 트래픽을 aNI(Network Insights)로 전송합니다. aNI는 수집된 트래픽을 분석하고 결과를 관리자 쿼리를 위해 aNI 데이터베이스에 저장합니다.
그림 1. Sangfor 네트워크 트래픽 및 액세스 시각화의 논리적 아키텍처.
구체적인 기능은 다음과 같습니다.
- 방화벽 규칙 의도 유효성 검사를 통해 액세스 트래픽이 정책을 준수하는지 여부를 판단하고, 비정상적인 트래픽을 신속하게 격리하며, 관리자가 액세스 정책을 보다 효과적으로 구성할 수 있도록 지원합니다.
- 관리자가 애플리케이션 토폴로지를 최적화할 수 있도록 비즈니스 액세스 트래픽 및 액세스 관계를 시각화합니다.
- 공격의 영향 범위를 파악하여 관리자가 영향을 받는 최소한의 워크로드를 신속하게 격리할 수 있도록 합니다.
- 관리자가 지정된 애플리케이션에 대한 액세스 관계를 분석하고, 문제를 더 빠르게 찾아내고, 운영 효율성을 개선할 수 있도록 지원하는 과거 액세스 세부 정보 조회 기능입니다.
- 내부 분석 플랫폼에서 분석 및 통계 처리를 위해 과거 접속 내역을 내보냅니다.
- 지원되는 배포 규모 내에서 네트워크 포워딩 성능 저하 없이 비즈니스 액세스 트래픽을 100% 샘플링하여 액세스 트래픽 및 액세스 관계를 놓치지 않도록 보장합니다.
교통량 및 접근성 시각화는 다음과 같은 이점을 제공합니다.
- 액세스 관계 데이터는 대역 외 경로를 통해 내보내지므로 네트워크 포워딩 성능에 미치는 영향을 최소화하면서 높은 동시성 및 처리량 시나리오를 지원합니다.
- aNI 데이터베이스는 시계열 데이터베이스를 사용하여 분석 데이터를 저장합니다. 데이터 집계 및 압축을 지원하여 저장 용량과 성능 요구 사항을 줄여줍니다. 또한 30일 동안의 광범위한 쿼리, 실시간 데이터 수집, 빠른 집계 및 분석, 그리고 3초 이내의 인터페이스 응답 속도를 지원합니다.
2. ID 기반 마이크로세그멘테이션(분산 방화벽)
Sangfor 클라우드 플랫폼은 데이터 센터 경계에서 인프라 코어까지 보안을 확장하는 분산 방화벽(DFW)을 제공합니다. 이를 통해 가상 머신 간의 마이크로세그멘테이션이 가능하고, 데이터 센터 내부 트래픽에 대해 레이어 3에서 레이어 4까지의 보호 기능을 제공하여 데이터 센터 내부 공격의 잠재적 영향을 줄일 수 있습니다.
- 모든 VM에 대한 포괄적인 보호: 분산 스위치의 모든 포트에서 액세스를 제어하도록 보호 기능을 구성할 수 있습니다. 플랫폼 영역으로 들어오고 나가는 트래픽을 보호하여 마이크로세그멘테이션을 구현할 수 있으며, VM의 런타임 위치가 변경될 때에도 정책이 적용됩니다.
- 신속한 정책 활성화: Sangfor 클라우드 플랫폼은 사용자가 플러그인을 설치할 필요 없이 분산 방화벽을 직접 배포할 수 있습니다. 간결한 아키텍처와 시각적인 정책 설계로 운영이 간소화되고, 연결 감지 기능과의 통합으로 문제 해결 속도가 향상되고 문제 발생 위치 파악 시간이 단축됩니다.
- 간소화된 네트워크 아키텍처 및 문제 해결: 분산 방화벽이 플랫폼에 기본적으로 제공됩니다. 시각적인 정책 설계와 결합하여 아키텍처가 간단하고 운영하기 쉽습니다. 바이패스 모드와 차단 로그 표시를 통해 관리자는 규칙의 효과를 신속하게 확인할 수 있습니다. 연결 감지 기능은 문제 해결 속도를 더욱 높이고 문제 발생 지점을 찾는 데 걸리는 시간을 단축합니다.
- Sangfor 차세대 가상 방화벽 Athena vNGFW를 통한 통합 보호: 분산 방화벽(DFW)은 분산 아키텍처를 사용하여 플랫폼 전체에 정책을 적용하고 가상 네트워크 내부의 트래픽을 제어합니다. Athena vNGFW는 일반적으로 외부 트래픽 공격으로부터 최대한의 보호를 제공하기 위해 경계선에 배포됩니다.
- 유연한 정책 객체: 정책은 가상 머신, 가상 머신 그룹, 가상 머신 레이블, IP 주소, IP 그룹 및 IP 범위를 지정할 수 있습니다. 가상 머신 그룹과 가상 머신 레이블은 가상 머신의 애플리케이션 식별 속성으로 사용할 수 있습니다.
- 포괄적인 내부 및 외부 보호: 분산 방화벽은 가상 네트워크 서비스(aNET)가 활성화되면 사용할 수 있습니다. DFW와 Athena vNGFW는 남북 및 동서 트래픽은 물론 외부 및 내부 경로 전반에 걸쳐 함께 작동하여 데이터 센터를 포괄적으로 보호합니다.
3. 지능형 마이크로세분화 정책 생성
과거 교통량 및 가시성 데이터를 기반으로 지능적으로 마이크로세그멘테이션 규칙을 생성합니다.
aNI는 데이터 플레인(DP)에서 보고된 액세스 관계를 수집하여 Druid 데이터베이스에 저장합니다. 보호 대상, 날짜, 보호 방향 및 규칙 세분성을 포함한 관리자 설정에 따라 마이크로세그멘테이션 서비스(SEG)는 Druid 데이터베이스에서 액세스 관계를 필터링하고, DFW 규칙을 생성하며, 관리자가 수정할 수 있는 규칙 미리보기를 제공합니다.
혁신: 마이크로세그멘테이션 규칙에 대한 사전 검증
aNET과 데이터 플레인은 DFW 사전 적용 기능을 제공합니다. 관리자가 생성된 규칙을 사전 적용 영역에 배치하면 해당 DFW 규칙은 구성된 작업을 적용하지 않고 일치 여부 확인 및 로깅만 수행합니다. 요청이 사전 적용 규칙과 먼저 일치하면 활성 프로덕션 규칙으로 처리가 계속되고 일치하는 사전 적용 규칙과 활성 규칙 모두 aNI에 보고됩니다. 요청이 활성 프로덕션 규칙과 먼저 일치하면 규칙 일치가 종료되고 일치하는 활성 규칙이 aNI에 보고됩니다.
단계별 DFW 규칙에 의해 차단될 수 있는 흐름은 의도치 않은 차단으로 표시될 수 있습니다. 단계별 규칙은 모니터링 전용 모드로 작동하므로 프로덕션 트래픽은 중단되지 않습니다.
Sangfor는 지능형 정책 권장 사항을 위한 혁신적인 사전 시행 기능을 제공합니다. 이를 통해 관리자는 정책 동작을 관찰하고 활성화 전에 추가 조정을 수행하여 검증이 불충분한 권장 정책이 운영 서비스에 영향을 미치는 것을 방지할 수 있습니다.
잠재적인 오탐 경보
관리자는 사전 적용 관찰 및 조정 프로세스를 완료한 후 규칙을 활성 DFW 규칙으로 변환할 수 있습니다. 그러면 일치하는 트래픽은 차단 또는 허용과 같은 구성된 작업을 따릅니다. 잠재적인 오탐 알림은 계속 제공되므로 관리자는 잘못 차단된 정상적인 트래픽을 신속하게 허용할 수 있습니다.
