클라우드에서 일관된 보안을 유지하려면 일관성이 필요합니다

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

지난 4년 동안 저희는 전 세계 응답자들에게 현대적인 멀티 클라우드 운영 모델로 전환하는 과정에서 직면한 과제를 물었습니다.

지난 3년 동안 가장 큰 과제는 한결같이 "모든 애플리케이션에 일관된 보안을 적용하는 것"이라는 답변을 받았습니다. 물론 이러한 과제의 일부는 조직이 의도치 않게 멀티 클라우드 환경에서 운영하게 된 방식에서 비롯됩니다. 대부분은 개발자와 사업 부서가 '기존 IT의 비효율성을 우회하기 위해' 클라우드를 도입하면서 자연스럽게 멀티 클라우드 환경에 들어서게 되었습니다. 오늘날에는 멀티 클라우드가 주로 배포할 애플리케이션 유형에 따라 내리는 의식적인 결정이 되었습니다.

하지만 모든 애플리케이션에 일관된 보안을 적용해야 한다는 과제는 여전히 남아 있습니다. 그 원인 중 하나는 애플리케이션을 보호하는 애플리케이션 서비스가 해당 애플리케이션과 함께 이동하지 않는 경우가 있다는 점으로 보입니다. 저희의 2019년 애플리케이션 서비스 현황에서 다음 내용을 살펴보십시오.

온프레미스와 퍼블릭 클라우드 간 애플리케이션 서비스 배포의 격차는 보안 우려로 이어집니다. 전체적으로 사용 중인 애플리케이션 서비스는 평균 14개이지만, 퍼블릭 클라우드 배포에서는 그 수가 절반으로 줄어듭니다. 이는 조직이 퍼블릭 클라우드에 애플리케이션을 배포하면서도 애플리케이션 서비스는 같은 비율로 배포하지 않고 있음을 의미합니다.

응답자의 66%가 WAF를 배포하지만, 퍼블릭 클라우드에 배포된 프로덕션 애플리케이션에 WAF를 사용한다고 답한 비율은 33%에 불과합니다. 다른 보안 관련 애플리케이션 서비스도 퍼블릭 클라우드에서 사용률이 비슷하게 감소합니다. 보안 정책을 집행하는 애플리케이션 서비스 없이는 환경 전반에서 동일한 수준의 보안 정책을 구현하기가 거의 불가능하므로 이는 우려스러운 상황입니다.

디지털 트랜스포메이션 이니셔티브를 추진하는 조직의 거의 절반(48%)은 여러 클라우드 플랫폼에 분산된 애플리케이션에 일관된 보안을 적용하기 어렵다는 점을 우려하고 있으며, 45%는 기존 위협과 새롭게 등장하는 위협으로부터 애플리케이션을 보호하는 것이 가장 큰 과제라고 답했습니다.

여기서 주목해야 할 점은 세 가지입니다. 첫째, 퍼블릭 클라우드에서 애플리케이션을 보호하도록 설계된 보안 관련 애플리케이션 서비스가 해당 애플리케이션과 함께 충분히 배포되지 않고 있습니다. 따라서 기존 위협과 새롭게 등장하는 위협으로부터 애플리케이션을 보호하는 데 어려움을 겪는 응답자 45%에게 제시할 답은 비교적 간단합니다. 바로 해당 애플리케이션을 보호할 보안 애플리케이션 서비스부터 배포하는 것입니다. 완벽한 해결책은 아니지만, 고급 웹 애플리케이션 방화벽, 행동 기반 DDoS 방어, 봇 방어와 같은 최신 애플리케이션 서비스는 새롭게 등장하는 위협에 허를 찔릴 위험을 크게 줄일 수 있습니다. 현재 이러한 서비스의 배포율을 고려하면, 일관된 보안이라는 과제를 해결하는 좋은 방법은 모든 환경에서 애플리케이션을 보호하기 위해 배포하는 애플리케이션 서비스를 일관되게 유지하는 것입니다.

두 번째로, 어쩌면 덜 분명한 점은 일관성이 애플리케이션 서비스 자체에만 국한되지 않는다는 것입니다. 웹 애플리케이션 방화벽은 많지만, 그 기능이 반드시 동등한 것은 아닙니다. 기능이 일관되다고 가정하더라도 온프레미스 WAF A의 정책을 외부 환경의 WAF B에서 사용할 수 있는 형태로 변환하는 작업은 상당히 방대합니다. 이는 이해하지 못하는 언어로 작성된 "사용 방법" 문서를 누군가에게 건네는 것과 같습니다. 따라서 먼저 번역해야 하며, 여기에는 시간과 두 언어 모두에 대한 전문 지식이 필요합니다. 그러므로 해당 애플리케이션 서비스의 공급자를 하나로 표준화하면 모든 애플리케이션에 보안 정책을 일관되게 적용하기가 더 쉬워집니다. 하나의 서비스, 하나의 언어, 하나의 정책.

다소 아이러니한 점은 응답자들이 애플리케이션을 배포할 때 반드시 필요하다고 꼽은 가장 중요한 애플리케이션 서비스가 보안이라는 것입니다. 하지만 배포 세부 사항을 자세히 살펴보면 반드시 그렇지만은 않은 듯합니다. 적어도 클라우드에서는 보안이 마땅히 그래야 하는 것보다 더 자주 뒷전으로 밀리는 것으로 보입니다.

마지막으로, 그리고 가장 눈에 띄지 않는 문제로, 여러 클라우드와 데이터 센터에 걸쳐 애플리케이션 서비스를 수동으로 관리하는 데 따르는 운영 부담을 간과해서는 안 됩니다. 여러 위치에 분산되어 있으면 같은 대상이라도 수동으로 관리하기가 훨씬 더 어렵습니다. 정책을 코드 산출물처럼 취급하고 자동화를 염두에 두고 서비스와 관련 정책을 배포하면 발생할 수 있는 실수, 오류, 누락을 줄일 수 있습니다. 자동화와 오케스트레이션은 동일한 결과를 반복해서 재현할 수 있는 스크립트와 코드의 특성상 일관성을 보장합니다. 고대 그리스 철학자 아리스토텔레스가 말했듯이, "우리는 반복해서 하는 행동으로 이루어진다. 그러므로 탁월함은 행위가 아니라 습관이다." 따라서 멀티 클라우드 일관성을 추구하려면 자동화와 오케스트레이션을 반드시 익혀야 할 중요한 습관(관행)으로 여겨야 합니다.

멀티 클라우드 환경의 모든 애플리케이션에서 일관된 보안을 구현하려면 다음과 같은 일관성이 필요합니다:

1. 일관성 애플리케이션을 보호하고 방어하는 애플리케이션 서비스를 배포할 때의
2. 일관성 모든 환경에서 애플리케이션 서비스 기능의
3. 애플리케이션 서비스 및 보안 정책을 빠르고 빈번하며 일관되게 배포할 수 있도록 자동화 및 오케스트레이션 활용

일관된 보안을 위해서는 일관된 행동, 관행 및 도구가 필요합니다. 이 세 가지를 결합하면 조직은 애플리케이션은 물론, 애플리케이션에 의존하는 비즈니스와 소비자를 보호하는 습관을 들여 보안 관행의 일관성을 확보할 수 있습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물