대부분의 기업 보안 시스템은 공격자의 침입을 막도록 설계되었습니다. 방화벽, 엔드포인트 보호, 신원 관리, 이메일 보안은 모두 침해 방지에 중요한 역할을 합니다. 하지만 아무리 철저하게 방어된 조직이라도 침해를 경험할 수 있습니다. 이러한 경계 보안 조치와는 달리, 네트워크 분할은 공격자가 이미 내부로 침투한 후 발생할 수 있는 활동을 제한하는 역할을 합니다. 외부에서 조직을 보호하는 것도 중요하지만, 내부에서도 견고한 방어 체계를 구축하는 것이 필수적입니다.
이 글에서는 네트워크 세분화의 작동 원리, 비즈니스 복원력에 중요한 이유, 기존 VLAN과 마이크로 세분화의 차이점, 그리고 실용적인 세분화 전략을 수립하는 방법을 설명합니다. 또한 가상화된 인프라에서 세분화의 역할과 Sangfor의 엔터프라이즈급 플랫폼이 물리적 및 가상 환경 전반에 걸쳐 보안을 지원하는 방식에 대해서도 살펴봅니다. 먼저 네트워크 세분화가 무엇인지 자세히 알아보겠습니다.
네트워크 세분화란 무엇인가요?
네트워크 세분화는 컴퓨터 네트워크를 더 작고 제어된 서브네트워크 또는 보안 영역으로 나누는 방식입니다. 이러한 영역 간의 통신은 방화벽, 접근 제어 목록(ACL) 또는 소프트웨어 정의 네트워킹(SDN)을 통해 적용되는 보안 정책에 따라 관리됩니다. 모든 장치와 애플리케이션이 자유롭게 통신하도록 허용하는 대신, 세분화는 어떤 시스템이 트래픽을 교환할 수 있는지, 어떤 서비스를 사용할 수 있는지, 그리고 어떤 조건에서 사용할 수 있는지에 대한 규칙을 설정합니다.
핵심적인 이점은 피해 확산 범위를 줄이는 것입니다. 워크스테이션 하나가 손상되더라도, 네트워크 분할을 통해 해당 장치가 인사 데이터베이스나 제조 네트워크에 접근하는 것을 차단할 수 있습니다. 공격자는 손상된 워크스테이션에는 여전히 접근할 수 있지만, 다음 단계로 넘어가려면 추가 권한이 필요하거나 보안 경계를 넘어 성공적으로 접근해야 합니다.
2013년 타겟(Target) 해킹 사건 의 패턴을 생각해 보세요. 공격자들은 제3자 공급업체로부터 계정 정보를 탈취하여 타겟 네트워크에 침입했고, 결국 결제 카드 데이터에 접근했습니다. 이 사건은 경계선만 보호하는 것으로는 충분하지 않다는 것을 보여줍니다. 공격자가 일단 발판을 마련하면, 시스템 간 이동이 또 다른 보안 문제로 대두됩니다.
이는 랜섬웨어 공격에 사용되는 것과 동일한 원리입니다. 공격자가 직원의 노트북을 해킹했다고 해서 반드시 해당 노트북을 암호화할 필요는 없습니다. 오히려 도메인 컨트롤러, 백업 시스템, 파일 서버, 그리고 업무상 핵심 애플리케이션과 같은 더 깊은 영역까지 접근하는 것이 더 효과적일 수 있습니다. 이것이 바로 공격자가 초기 침해를 발판 삼아 네트워크 전체로 접근 권한을 확장하는 '측면 이동' 문제입니다. 특히 평면적인 네트워크에서는 광범위한 연결성 덕분에 이러한 확장이 훨씬 수월해집니다.
네트워크 세분화가 중요한 이유는 무엇일까요?
효과적인 네트워크 세분화는 통제된 경계를 설정하여 공격자가 접근할 수 있는 시스템과 계정 또는 워크로드 침해로 인해 발생할 수 있는 피해를 제한합니다. 2026년, 기업들은 하이브리드 클라우드, 가상 머신, 컨테이너, 원격 액세스, 그리고 점점 더 자동화되는 공격 관리라는 부담에 직면하고 있습니다. 이러한 환경은 네트워크 세분화 보안을 훨씬 더 복잡하게 만들지만, 동시에 그 중요성을 더욱 높입니다.
네트워크 세분화는 크게 매크로 세분화와 마이크로 세분화의 두 가지 범주로 나눌 수 있습니다. 매크로 세분화는 기업 IT, 프로덕션, 개발, DMZ, 운영 기술 등과 같이 환경을 광범위한 영역으로 나눕니다. 이는 일반적으로 VLAN, 방화벽, 라우팅 제어 등을 통해 구현됩니다.
반면 마이크로 세분화는 개별 워크로드, 애플리케이션 또는 워크로드 그룹에 더욱 세분화된 정책을 적용합니다. 예를 들어, 동일한 호스트에 있는 두 가상 머신은 동일한 물리적 인프라를 공유하더라도 통신이 제한될 수 있습니다. 두 접근 방식 모두 나름의 역할을 합니다. 매크로 세분화는 주요 보안 경계를 설정하고, 마이크로 세분화는 이러한 경계 내에 추가적인 제어 기능을 제공합니다.
네트워크 분할은 영역 간 통신을 제어할 수 있도록 하지만, 네트워크 격리라는 더욱 엄격한 접근 방식도 있습니다. 이는 통신을 완전히 차단하거나 엄격하게 관리되는 연결만 허용합니다. 이러한 방식은 에어갭 환경, 매우 민감한 시스템, 특정 운영 기술 네트워크에 유용합니다. 그러나 두 접근 방식 모두 시스템을 완전히 보안에 취약하지 않게 만들지는 않습니다. 목표는 침해 발생 시 그 결과를 통제하는 것임을 기억해야 합니다.
비즈니스 관점: 세분화가 실제로 방지하는 것은 무엇인가
네트워크 세분화는 엔드포인트 보호, ID 보안 또는 사고 대응을 대체하는 것이 아닙니다. 네트워크 세분화의 비즈니스 가치는 이러한 보안 조치가 실패할 경우 발생할 수 있는 결과를 제한하는 데 있습니다. 다음은 네트워크 세분화 접근 방식을 사용할 때 얻을 수 있는 몇 가지 비즈니스 중심적 이점입니다.
랜섬웨어 확산 반경 차단
랜섬웨어 공격자는 광범위한 피해를 입히기 전에 시스템을 탐색하고, 추가 자격 증명을 확보하고, 공유 리소스에 접근해야 하는 경우가 많습니다. 이제 분할된 환경을 통해 이러한 경로를 제한할 수 있습니다. 예를 들어, 공격자가 재무 부서의 워크스테이션을 침해하더라도 정책에 따라 백업 관리 서버나 운영 데이터베이스에 접근할 수 없도록 차단할 수 있습니다. 공격자는 단순히 네트워크를 통과하는 것이 아니라 추가적인 보안 제어를 극복해야 합니다.
이러한 방법이 랜섬웨어가 특정 기기나 부서에만 국한되도록 보장하는 것은 아니지만, 위험을 제한하는 데는 도움이 됩니다. 하지만 잘못 구성된 규칙, 손상된 권한 계정, 공유 관리 인프라 등으로 인해 침투 경로가 생길 수 있습니다. 네트워크 분할은 검증된 백업, 엔드포인트 제어, ID 보안 및 사고 대응과 함께 사용할 때 가장 효과적입니다.
측면 이동 방지
MITRE ATT&CK 프레임워크는 측면 이동을 공격의 독립적인 단계로 정의합니다. 공격자는 원격 서비스, 유효한 계정 또는 탈취한 인증 정보를 이용하여 한 시스템에서 다른 시스템으로 이동할 수 있습니다. 시스템 분할은 접근 가능한 시스템 및 서비스 수를 줄여 이러한 공격 기법을 더욱 어렵게 만듭니다. 불필요한 정상적인 연결을 차단하는 것 또한 공격자가 악용할 수 있는 기회를 줄이는 데 도움이 됩니다.
침해 범위 제한
세분화는 민감한 정보를 신뢰도가 낮은 환경과 분리하는 데 도움이 됩니다. 개발 워크로드는 운영 고객 기록에 자동으로 접근해서는 안 되며, 인터넷에 연결된 애플리케이션은 내부 관리 시스템에 무제한으로 접근해서는 안 됩니다.
잘 설계된 정책은 비즈니스 기능에 필요한 서비스와 목적지로 통신 범위를 제한합니다. 이를 통해 조사에 관련된 시스템 수를 줄이고 대응 담당자가 피해 지역을 더 신속하게 파악할 수 있습니다.
규정 준수 및 감사 범위
네트워크 세분화는 규정 준수 프로그램도 지원할 수 있습니다. PCI DSS는 적절하게 설계 및 검증된 제어 장치를 사용하는 경우 카드 소지자 데이터 요구 사항이 적용되는 시스템 범위를 줄이는 방법으로 세분화를 활용합니다. MITRE의 지침 또한 중요 시스템을 식별하고 논리적 또는 물리적 제어 장치를 사용하여 분리한 다음 무단 액세스가 차단되는지 테스트할 것을 권장합니다.
시스템 분리는 규정 준수를 대체하는 것이 아닙니다. 조직은 여전히 아키텍처, 접근 제어, 로깅 및 적용 가능한 요구 사항을 검증해야 합니다. 그러나 데이터 민감도와 비즈니스 기능에 따라 시스템을 분리하면 규정 준수 경계를 정의하고 유지 관리하는 것이 더 쉬워질 수 있습니다.
이제 세분화가 어떻게 도움이 되는지 더 확실히 이해했으니, 다양한 접근 방식을 살펴보고 각 접근 방식이 실제로 무엇을 제어하는지 이해하는 것에서 올바른 접근 방식을 선택하는 방법을 알아보겠습니다.
네트워크 세분화 접근 방식: VLAN에서 마이크로 세분화까지
다양한 접근 방식은 각기 다른 문제를 해결합니다. 조직에 적합한 네트워크 세분화 도구는 환경, 트래픽 패턴 및 필요한 제어 수준에 따라 달라집니다. 다음은 현장에서 접할 수 있는 주요 접근 방식입니다.
| 접근하다 | 주요 역할 | 주요 고려 사항 |
| VLAN 기반 세분화 | 광범위한 네트워크 영역을 분리합니다. | 라우팅 및 방화벽 정책은 원치 않는 VLAN 간 접근을 차단해야 합니다. |
| 방화벽 기반 영역 | 네트워크 간 트래픽을 제어합니다. | 대규모 작업에서는 규정의 복잡성과 동서 간 검사 역량이 중요합니다. |
| 소프트웨어 정의 네트워킹 | 물리적 및 가상 인프라 전반에 걸쳐 정책을 중앙 집중화합니다. | 적절한 인프라와 운영 전문 지식이 필요합니다. |
| 마이크로세분화 | 개별 작업 부하 간의 통신을 제한합니다. | 정확한 애플리케이션 종속성 및 세분화된 정책 시행이 필요합니다. |
| 신원 기반 세분화 | 사용자, 장치 및 상황에 따라 접근 권한을 적용합니다. | 신뢰할 수 있는 신원, 장치 및 정책 통합이 필요합니다. |
VLAN 기반 세분화
VLAN은 레이어 2 네트워크 트래픽을 논리적 브로드캐스트 도메인으로 나눕니다. VLAN은 부서, 서버 환경 및 기타 광범위한 시스템 그룹을 분리하는 데 널리 사용됩니다. 이러한 접근 방식은 익숙하고, 널리 지원되며, 구현이 비교적 간단하기 때문에 여전히 유용합니다. 그러나 VLAN이 자동으로 완벽한 보안 경계를 제공하는 것은 아닙니다. VLAN 간 라우팅, 허용적인 방화벽 규칙 및 공유 서비스를 통해 영역 간 트래픽이 허용될 수 있습니다.
기업 규모가 커짐에 따라 VLAN 수와 관련 규칙 관리 또한 어려워질 수 있습니다. 중요한 것은 조직이 보유한 VLAN의 개수가 아니라, 결과적으로 생성되는 트래픽 정책이 접근을 효과적으로 제한하는지 여부입니다.
방화벽 기반 영역 분할
방화벽은 영역 간 경계에서 규칙을 적용합니다. 일반적으로 공용 서비스를 보안 서브넷 또는 DMZ에 배치하여 기업 사용자와 운영 시스템을 분리하고 운영 기술에 대한 접근을 제한합니다.
이 접근 방식은 VLAN 분리만 사용하는 것보다 강력한 보안 강화를 제공합니다. 하지만 애플리케이션이 변경될 때 규칙을 유지 관리하는 것이 어려운 과제입니다. 애플리케이션 배포 당시에는 적절했던 방화벽 규칙이 마이그레이션, 새로운 종속성 추가 또는 소유권 변경 후에는 불필요해지거나 지나치게 관대해질 수 있습니다.
소프트웨어 정의 네트워킹
소프트웨어 정의 네트워킹(SDN)은 네트워크 정책을 트래픽을 전달하는 물리적 하드웨어와 분리합니다. 관리자는 정책을 중앙에서 정의하고 지원되는 물리적 및 가상 인프라 전체에 적용할 수 있습니다. 이는 가상 머신이 호스트 간에 이동하거나 워크로드가 자주 프로비저닝되는 동적 환경에서 특히 유용합니다. 정책은 고정된 물리적 포트나 네트워크 위치에 전적으로 의존하는 대신 워크로드를 따라갈 수 있습니다.
마이크로세분화
마이크로 세분화는 워크로드 또는 애플리케이션 수준에서 제어를 적용합니다. 웹 서버는 특정 포트를 통해 애플리케이션 서버와 통신할 수 있으며, 애플리케이션 서버는 지정된 데이터베이스에만 접근할 수 있습니다. 명시적으로 승인되지 않은 다른 트래픽은 차단됩니다. 이 접근 방식은 기업과 인터넷 간이 아닌 내부 시스템 간을 이동하는 동서 트래픽에 유용합니다. 기존 네트워크 세분화는 워크로드가 호스트를 공유하거나 트래픽이 물리적 네트워크 제어 지점을 우회하는 경우 보안 허점을 남길 수 있습니다.
VMware NSX와 Sangfor aNET은 가상화 환경에서 세분화된 네트워크 연결을 지원하는 소프트웨어 정의 네트워킹 기술의 예입니다. 이러한 기술의 기능, 아키텍처, 라이선스 및 운영 요구 사항은 조직의 인프라 및 보안 목표에 맞춰 평가해야 합니다.
신원 기반 세분화
ID 기반 세분화는 네트워크 접근 결정에 맥락을 더합니다. 단순히 IP 주소에만 의존하는 대신, 사용자의 ID, 장치의 보안 상태, 또는 접근하는 애플리케이션을 고려하여 정책을 수립할 수 있습니다. 이는 제로 트러스트 세분화와도 일맥상통하는데, 제로 트러스트에서는 사용자가 신뢰할 수 있는 네트워크 내에 있다는 이유만으로 접근 권한을 부여하는 것이 아니라, 정의된 정책에 따라 접근 권한을 지속적으로 평가합니다. 네트워크 세분화는 ID, 장치 보안, 애플리케이션 제어와 함께 제로 트러스트 모델의 핵심 요소 중 하나입니다.
다양한 세분화 접근 방식을 살펴봤으니, 이제 프레임워크를 실용적이고 효율적인 방식으로 구현하는 방법을 알아보겠습니다. 이러한 접근 방식을 실제 작동하는 프로그램으로 만드는 것은 모든 것을 한 번에 구현하는 것이 아니라 순차적으로 진행하는 것임을 기억하세요.
네트워크 세분화 구현: 실용적인 프레임워크
가장 흔한 세분화 실수는 프로젝트를 일회성 네트워크 재설계로 취급하는 것입니다. 보다 지속 가능한 접근 방식은 비즈니스 위험을 파악하고, 관리 가능한 경계를 설정한 다음, 조직이 트래픽에 대해 더 많이 알게 됨에 따라 제어를 확장하는 것에서 시작합니다. 조직에 적합한 세분화 구현을 돕기 위해 다음과 같은 간단한 프레임워크를 설계했습니다.
1단계: 기존 교통 흐름 파악
접근 규칙을 변경하기 전에 어떤 시스템들이 서로 통신하는지 파악해야 합니다. 네트워크 흐름 모니터링을 통해 애플리케이션 종속성, 원격 관리 경로, 데이터베이스 연결, 시스템 간 예상치 못한 트래픽 등을 확인할 수 있습니다.
CISA는 주요 네트워크, 데이터 흐름, 상호 의존성, 타사 및 클라우드 환경과의 연결을 설명하는 네트워크 다이어그램을 유지 관리할 것을 권장합니다. 이러한 기록은 사고 대응 시 대응자가 집중해야 할 부분을 보여줌으로써 사고 대응을 지원합니다. 여기서 목표는 단순히 설계 도면상의 네트워크가 아닌 실제 트래픽을 매핑하는 것입니다.
2단계: 사업 위험도를 기준으로 구역을 정의합니다.
중요도, 기능 및 비즈니스 영향에 따라 시스템을 그룹화하세요. 유용한 출발점은 기업 사용자, 운영 애플리케이션, 개발, 인터넷 연결 서비스 및 ID 및 백업 시스템과 같은 제한된 인프라를 포함합니다. 각 영역에 대해 다음 질문을 고려하세요.
- 어떤 시스템들이 서로 통신해야 하나요?
- 어떤 서비스가 필요합니까?
- 어떤 연결이 용납할 수 없는 위험을 초래할까요?
- 보험 계약의 소유자는 누구입니까?
- 사고 발생 시 접근 권한은 어떻게 확인됩니까?
위험 기반 접근 방식은 모든 시스템에 동일한 구현 노력을 쏟는 것을 방지합니다. 가치가 높은 자산에는 더욱 엄격한 제한과 더 빈번한 검증이 필요합니다.
3단계: 매크로 세분화부터 시작
넓은 경계를 설정하면 관리하기 쉬운 기반을 마련할 수 있습니다. 이제 기업, 운영, DMZ, 개발 및 OT 환경을 적절하게 분리하고 비즈니스 애플리케이션이 계속 작동하는지 검증해야 합니다. 이는 조직의 신뢰를 구축하는 실질적인 방법이기도 합니다. 이러한 방식으로 네트워크 분할은 모든 연결을 동시에 재설계하려는 대규모의 파괴적인 프로젝트가 아니라 측정 가능한 일련의 변화로 이루어집니다.
4단계: 점진적으로 마이크로 세분화 추가
매크로 세분화가 효과적으로 작동하면 가장 중요한 워크로드와 애플리케이션으로 제어 범위를 확장하십시오. 위험도가 높거나 통신 요구 사항이 비교적 명확한 시스템부터 시작하는 것이 좋습니다. 예를 들어, 먼저 백업 관리 서버에 대한 접근을 제한한 다음 결제 처리 애플리케이션 및 중요 데이터베이스에 대한 워크로드 수준의 제어를 추가할 수 있습니다. 이렇게 하면 보안 팀이 정책을 세밀하게 조정하면서 핵심 비즈니스 서비스 중단 위험을 줄일 수 있습니다.
5단계: 모니터링, 테스트 및 유지 관리
새로운 워크로드가 배포되고, 애플리케이션이 변경되고, 인프라가 마이그레이션됨에 따라 세분화 정책은 변동될 수 있습니다. CISA와 MITRE는 모두 네트워크 문서 유지 관리, 액세스 모니터링, 그리고 세분화 제어가 의도대로 작동하는지 테스트하는 것을 강조합니다. 성숙한 프로그램은 주기적인 정책 검토, 액세스 테스트, 그리고 제한 영역 간 경로 검증을 포함해야 합니다. 방화벽 콘솔에 규칙이 존재한다고 해서 의도한 경계가 효과적이라는 것을 보장하는 것은 아닙니다.
이는 포괄적인 세분화 접근 방식이지만, 현대 기술 환경에서 기업은 가상화 및 HCI 환경에 적용되는 세분화 방식 또한 이해해야 합니다.
가상화 및 HCI 환경에서의 네트워크 세분화
가상화는 워크로드 간 통신 방식을 변화시키기 때문에 네트워크 보안을 적용해야 하는 위치 또한 바뀝니다. 기존의 물리적 환경에서는 서버 간 트래픽이 일반적으로 스위치, 라우터 또는 방화벽을 통과합니다. 그러나 하이퍼바이저 환경에서는 동일한 물리적 호스트에 있는 두 개의 가상 머신이 물리적 네트워크를 거치지 않고도 통신할 수 있습니다. 이는 기업 네트워크 분할에 대한 새로운 접근 방식을 제시합니다. 즉, 물리적 네트워크 경계에서만 적용되는 정책으로는 모든 내부 통신 경로를 제어할 수 없게 되는 것입니다.
가상화 환경은 소수의 물리적 서버에서 다양한 애플리케이션과 워크로드를 호스팅할 수 있습니다. 그러나 공유 인프라의 편리함은 적절한 계층에서 보안 제어를 적용하지 않으면 손상된 가상 머신이 다른 워크로드에도 접근할 수 있다는 위험을 수반합니다.
이를 위해 워크로드 수준의 세분화를 통해 가상 머신 간 통신, 허용 포트, 그리고 워크로드가 호스트 간에 이동할 때 정책 적용 방식을 제한할 수 있습니다. 이는 컴퓨팅, 스토리지, 네트워킹이 공통 인프라 플랫폼으로 통합되는 HCI 환경에서 특히 중요합니다. Sangfor의 aNET 컴포넌트는 Sangfor HCI 환경 내에서 소프트웨어 정의 네트워킹(SDN) 및 마이크로 세분화를 지원하여 물리적, 가상 및 클라우드 환경 전반에서 운영되는 기업에 엔터프라이즈급 가상화 및 보안을 제공합니다.
본질적으로 aNET의 목적은 관리자가 가상화된 워크로드에 세부적인 네트워크 정책을 적용할 수 있도록 하여 물리적 네트워크 장치에만 의존하지 않고 동서 트래픽을 제어하는 것입니다. VMware 대안을 검토하는 기업에게 이는 중요한 아키텍처적 고려 사항입니다. 네트워크 세분화는 독립적인 네트워킹 구매 항목으로 취급하기보다는 하이퍼바이저, 스토리지, 관리 및 보안 제어와 함께 평가해야 합니다.
aNET vs. VMware NSX
VMware NSX와 Sangfor aNET은 가상화 환경에서 세분화된 네트워크 연결을 지원하는 소프트웨어 정의 네트워킹 기술의 예입니다. 이러한 기술의 기능, 아키텍처, 라이선스 및 운영 요구 사항은 조직의 인프라 및 보안 목표에 맞춰 평가해야 합니다.
NSX를 대규모로 배포하고 운영하려면 일반적으로 기본 vSphere 및 vSAN 라이선스 외에도 네트워킹 관련 전문 지식이 필요합니다.
반면, Sangfor aNET은 HCI 플랫폼의 일부로 통합 네트워킹 및 마이크로 세그멘테이션을 제공하도록 설계되었습니다. aNET은 추가 라이선스 요구 사항이나 별도의 관리 콘솔이 필요 없으며, 전체 aSV, aSAN 및 Sangfor 클라우드 플랫폼 스택과 함께 간편한 운영을 보장합니다.
대부분의 VMware 마이그레이션 프로젝트는 소스 환경에 문서화되어 있지만 대상 환경에 정확하게 재현되지 않는 정책으로 인해 특정 세분화 위험을 초래합니다. 이로 인해 이전에 액세스가 제한되었던 워크로드가 마이그레이션 후 의도치 않게 더 넓은 연결 권한을 부여받을 수 있습니다. Sangfor HCI는 aNET의 소프트웨어 정의 네트워킹 기능을 활용하여 마이그레이션된 가상 머신에 세분화 정책을 적용하는 프레임워크를 제공합니다.
Sangfor는 보안 스택 전반에 걸쳐 네트워크 세분화를 어떻게 제공할까요?
세분화 전략은 시행과 탐지가 함께 작동할 때 가장 효과적입니다. 방화벽은 트래픽을 제한할 수 있지만, 보안 팀은 비정상적인 연결이 발생하거나, 정책이 우회되거나, 손상된 계정이 제한된 인프라에 접근을 시도할 때 이를 파악해야 합니다. Sangfor의 보안 및 인프라 포트폴리오는 이러한 통합적인 세분화 프로그램을 지원하는 다양한 구성 요소를 제공합니다.
Sangfor의 Athena NGFW 는 기업, 운영, DMZ 및 외부 환경을 포함한 네트워크 경계에서 액세스 제어를 적용하여 세분화에 중요한 역할을 합니다. 방화벽 기반 세분화는 민감한 시스템에 대한 액세스를 제한하고 영역 간 트래픽을 제어하는 데에도 사용할 수 있습니다.
Sangfor aNET은 가상화 환경으로 세분화 기능을 확장합니다. 워크로드 수준에서 소프트웨어 정의 네트워킹과 마이크로 세분화를 적용함으로써 Sangfor HCI 내의 가상 머신과 애플리케이션 간의 트래픽 정책을 효과적으로 시행할 수 있습니다. 이는 동일 호스트의 워크로드 간 트래픽이 물리적 방화벽에 도달하지 못하는 경계선 세분화의 일반적인 한계를 해결합니다.
Sangfor의 Athena NDR 은 보안 팀이 의심스러운 활동을 조사하고 환경 전반에 걸쳐 잠재적인 위협을 식별하는 데 도움을 줍니다. 세분화 프로그램에서 Athena NDR은 비정상적인 트래픽, 측면 이동 시도 또는 제한된 시스템과 관련된 의심스러운 활동에 대한 가시성을 제공하여 강제 제어를 보완할 수 있습니다. 세분화는 허용될 통신 범위를 정의하며, 모니터링은 활동이 해당 정책과 일치하지 않을 때 이를 식별하는 데 도움이 됩니다.
Athena NDR 작동 방식 요약
실용적인 아키텍처는 영역 수준 방화벽 제어와 워크로드 수준 정책 및 보안 모니터링을 결합합니다. 이를 통해 무단 액세스를 제한하고 탐지할 수 있는 다양한 기회를 제공합니다. 예를 들어, 기업은 Sangfor의 Athena NGFW를 사용하여 프로덕션 네트워크에 대한 액세스를 제한하고, aNET을 사용하여 애플리케이션 워크로드 간의 통신을 제어하며, Athena NDR을 사용하여 이러한 시스템과 관련된 의심스러운 트래픽을 조사할 수 있습니다. 정확한 통합 및 기능은 조직의 배포 요구 사항에 맞춰 검증해야 합니다.
VMware 대안을 고려하는 기업에게 중요한 질문은 단순히 플랫폼이 하이퍼바이저나 방화벽을 제공하는지 여부가 아닙니다. 전체 아키텍처가 조직의 보안, 가용성, 운영 및 마이그레이션 요구 사항을 지원할 수 있는지 여부입니다.
네트워크 세분화는 초기 평가 단계부터 포함되어야 합니다. 이는 워크로드 연결 방식, 장애 발생 시 대응 방식, 그리고 인프라 변경 사항을 안전하게 관리하는 방식에 영향을 미치는 근본적인 접근 방식입니다. 궁극적으로 네트워크 세분화는 2026년 IT 인프라 구축에 있어 핵심적인 요소가 되어야 합니다.
자주 묻는 질문
컴퓨터 네트워크를 더 작은 영역으로 나누고 영역 간 통신을 제어하여 시스템 간 불필요한 접근을 제한하고 보안 침해의 잠재적 영향을 줄이는 방식입니다.
네트워크 세분화는 일반적으로 기업 IT, 프로덕션, DMZ와 같은 시스템 그룹 간에 광범위한 경계를 만듭니다. 마이크로 세분화는 동일한 물리적 호스트를 공유하는 시스템을 포함하여 개별 워크로드 또는 애플리케이션에 더욱 세밀한 제어를 적용합니다.
이는 공격자가 최초 접근 권한을 획득한 후 도달할 수 있는 시스템 수를 줄여줍니다. 또한, 측면 이동을 제한하고, 중요한 리소스를 보호하며, 침해 규모를 축소하는 데 도움이 됩니다.
공격자가 시스템 간에 랜섬웨어를 확산하는 데 사용할 수 있는 연결을 제한함으로써 파일 서버, 백업 인프라 및 기타 중요 자산에 대한 접근을 제한할 수 있지만, 랜섬웨어 확산을 완전히 차단할 수는 없습니다.
VLAN은 네트워크 트래픽을 논리적인 레이어 2 네트워크로 분리하며 일반적으로 광범위한 영역 분리에 사용됩니다. 마이크로 세그멘테이션은 보다 세분화된 워크로드 수준의 통신 정책을 적용하므로 가상화 및 클라우드 환경 내 트래픽 제어에 적합합니다.
