격차 해소: 유연성과 보안

Robert Haynes기술 마케팅 매니저

두 가지가 모두 필요한데도 ‘누구나 알다시피’ 그 둘이 양립할 수 없다면 어떻게 해야 할까요?

네트워킹 및 보안 커뮤니티에는 오랫동안 이어져 온 통념이 있습니다. 안전한 소프트웨어 아키텍처는 유연성이 떨어지고, 애자일 방식으로 개발된 소프트웨어는 보안성이 낮다는 것입니다. 하지만 잠깐만요. 반복적 모델을 사용해 개발한 소프트웨어가 본질적으로 보안성이 더 낮다는 주장을 뒷받침하는 근거가 과연 있을까요? 그런 근거가 있다 해도, 제 ‘조사’(그러니까 구글 검색)로는 딱히 찾지 못했습니다.

실제로 더 빠른 배포 주기와 자동화되고 간소화된 릴리스 프로세스는 취약점에 노출되는 전체 시간을 단축함으로써 위험을 줄인다는 설득력 있는 주장을 펼칠 수 있습니다.

그렇다면 유연성과 보안 사이에는 정말 간극이 있을까요? 안타깝지만, 여전히 그렇다고 생각합니다.

하지만 애자일 소프트웨어 수명 주기가 코드 자체의 취약점을 더 많이 초래한다고는 생각하지 않습니다. 물론 컨테이너 관리 시스템과 같은 일부 새로운 플랫폼이 새로운 공격 표면을 만들어 내는 것은 분명하지만, 애플리케이션 코드는 조직의 전반적인 보안 태세를 구성하는 일부에 불과하기 때문입니다.

모든 소프트웨어에는 결함이 있다는 점을 감안하면, IT 기술 스택에는 네트워크 방화벽, 침입 탐지 시스템, 웹 애플리케이션 방화벽 등 애플리케이션 코드 외부의 보안 통제 수단도 포함됩니다. 이러한 시스템 중 상당수는 애플리케이션의 동작을 추적하고 프레임워크나 운영 체제에서 새롭게 발견된 위협에 대응해야 합니다. 이상적으로는 이러한 시스템도 소프트웨어 제공 수명 주기만큼 민첩해야 합니다. 그렇지 않으면 두 가지 상황 중 하나가 발생하기 때문입니다. 보안 통제 수단이 제공 속도와 가치 실현 시간을 저해하는 요소로 인식되거나, 애초에 도입된 목적인 보호 기능을 제대로 제공하지 못하게 됩니다. 어느 쪽도 바람직한 상황은 아닙니다.

분명한 해결책은 보안 통제 모델을 소프트웨어 제공 수명 주기 모델에 더 가까운 형태로 전환하는 것입니다. 실제로 DevSecOps 운동은 보안 통제를 제공하는 데 소프트웨어 엔지니어링 및 DevOps 방식을 적용하고, 심층적인 전문 지식은 고도로 숙련된 전문가 팀이 계속 보유하더라도 보안에 대한 책임은 팀원 모두가 함께 나누도록 하기 시작했습니다.

이러한 문화적 전환과 함께 기술도 진화하여 보안 통제 구현이 소프트웨어 제공 파이프라인에 통합됩니다. 보안 통제는 마지막 단계에서 단순히 덧붙여지는 것이 아니라, 테스트와 스테이징, 배포를 거치는 새로운 소프트웨어의 각 반복 과정에 함께 적용됩니다. 원격 측정 및 추적 가능성 요소는 스택의 여러 지점에 삽입되어 추적됩니다. 또한 공격자를 식별하고 추적하며 관련 정보를 보고하는 데 도움이 되는 새로운 지표를 신속하게 수집하고 분석할 수 있습니다.

이를 실현하려면 기술 스택도 팀만큼 긴밀하게 협업해야 합니다. 이는 향후 F5 + NGINX 조직에서 기대할 수 있는 가장 흥미로운 가능성 중 하나입니다. 네트워크 방화벽부터 애플리케이션 서버, 그리고 그 사이의 모든 계층을 아우르는 포트폴리오를 통해 더욱 민첩하고 통합적이며 풍부한 정보를 제공하는 보안 제어 체계를 구축할 수 있는 가능성은 무궁무진합니다. 엔터프라이즈급 보안과 가시성에 경량화된 민첩성을 더함으로써 팀의 모든 구성원에게 필요한 도구와 정보, 그리고 (어느 정도의) 안도감을 제공할 수 있습니다.

F5와 NGINX의 결합이 가져오는 이점에 대해 자세히 알아보려면 F5 CEO가 ‘격차 해소’ 블로그 시리즈를 소개하는 게시물을 확인해 보세요.

작성자 소개

Robert Haynes기술 마케팅 매니저

Robert Haynes의 다른 블로그 게시물