조직이 디지털 혁신을 추진하고 애플리케이션 포트폴리오를 확장함에 따라 보안 과제 역시 변화하고 증가합니다. F5의 「2022년 애플리케이션 전략 현황」 보고서에 따르면, 오늘날 많은 조직이 그 어느 때보다 더 많은 애플리케이션을 모니터링해야 하며, 그 수는 흔히 200개에서 1,000개에 이릅니다!
이처럼 많은 애플리케이션은 잠재적인 공격 표면을 늘려 오늘날의 앱을 악의적인 공격자에게 특히 취약하게 만듭니다. 웹 애플리케이션이 증가한 트래픽을 처리해야 할 때는 이러한 취약성이 더욱 심화됩니다. 다운타임을 최소화하려면(더 나아가 완전히 없애려면!) 보안을 최우선으로 하는 전략을 수립하는 것이 중요합니다.
WAF: 최전선의 방어막
웨비나 F5 NGINX로 애플리케이션 보안을 손쉽게 확인, 관리 및 확장하기에서는 웹 애플리케이션 방화벽(WAF)이 웹 애플리케이션의 보안을 유지하고 보호하는 데 가장 적합한 도구인 이유를 설명합니다. WAF는 트래픽을 모니터링하고 필터링하여 분산 서비스 거부(DDoS)와 같은 정교한 레이어 7 공격으로부터 애플리케이션을 보호하는 최전선 방어 수단입니다.
다음과 같은 WAF 기능을 통해 강력한 애플리케이션 보안 솔루션을 구현할 수 있습니다:
- HTTP 프로토콜 및 트래픽 검증
- 데이터 보호
- 자동화된 공격 차단
- CI/CD 파이프라인에 정책을 손쉽게 통합
- 중앙 집중식 시각화
- 대규모 구성 관리
하지만 WAF가 애플리케이션을 모니터링하는 동안, 여러분의 팀은 WAF를 어떻게 모니터링할까요? 수많은 공격에 대응하기 위해 여러 WAF를 하나의 플릿으로 배포하는 경우에는 어떻게 해야 할까요? 웨비나에서는 이러한 질문에 답하고 실시간 데모도 진행합니다.
웨비나의 내용을 미리 살펴보는 차원에서, 이 게시물에서는 대규모 WAF 플릿 관리를 시작하는 데 도움이 될 두 가지 핵심 사항을 알아봅니다:
NGINX Management Suite로 가시성 향상
모든 WAF 전략의 성공 여부는 WAF를 생성, 배포 및 수정하는 과정에서 이를 구현하고 관리하는 팀이 확보할 수 있는 가시성 수준에 달려 있습니다. 바로 이때 관리 플레인이 필요합니다. 팀이 각 WAF를 개별적으로 따로 살펴보게 하는 대신, 모든 WAF를 모니터링할 수 있는 중앙 집중식 단일 관리 화면을 갖추는 것이 중요합니다. 중앙 집중식 가시성을 확보하면 현재 발생 중인 공격에 대해 정보에 기반한 결정을 내리고, 보안 정책을 세밀하게 조정하는 데 필요한 인사이트를 손쉽게 얻을 수 있습니다.
또한 SecOps, Platform Ops, DevOps 팀이 명확하고 일관된 전략을 공유하는 것이 매우 중요합니다. 이 세 팀이 WAF의 설정과 유지 관리를 위해 협력하면 대규모 환경에서도 애플리케이션 보안을 더욱 강화할 수 있습니다.
각 팀이 당사의 관리 플레인인 F5 NGINX Management Suite를 사용하여 얻을 수 있는 이점은 다음과 같습니다. 이 관리 플레인은 NGINX App Protect WAF와 손쉽게 통합됩니다:
- SecOps – 애플리케이션 보안 및 규정 준수에 대한 중앙 집중식 가시성을 확보하고, 여러 팀에 일관된 정책을 적용할 수 있으며, 시프트 레프트 전략을 지원합니다.
- 플랫폼 운영 – 여러 사용자에게 애플리케이션 보안 지원을 제공하고, 전체 WAF 환경을 중앙에서 파악하며, 전사적으로 확장 가능한 DevOps를 지원할 수 있습니다.
- DevOps – CI/CD 파이프라인 내에서 보안을 자동화하고, 애플리케이션 보안을 쉽고 빠르게 배포하며, 안정성이 높고 공격에 덜 취약한 애플리케이션을 구축하여 더 나은 고객 경험을 제공할 수 있습니다.
NGINX App Protect WAF로 코드형 보안 구현
Instance Manager는 NGINX Management Suite의 핵심 모듈로, NGINX App Protect WAF 보안 정책을 대규모로 중앙에서 관리할 수 있게 해줍니다. DevOps 팀이 SecOps에서 관리하는 보안 정책을 손쉽게 활용할 수 있게 되면 DevSecOps 문화로 전환하기 시작할 수 있으며, CI/CD 파이프라인의 모든 단계에 보안을 즉시 통합하여 보안을 개발 초기 단계로 전환할 수 있습니다.
보안을 왼쪽으로 이동하고 WAF 환경을 중앙에서 관리하면 다음과 같은 이점이 있습니다:
- 선언적 보안 정책(SecOps에서 제공하는 JSON 형식)을 통해 DevOps는 CI/CD 도구를 기본 방식 그대로 사용할 수 있습니다.
- 개발자 도구에서 애플리케이션으로 보안 정책을 푸시할 수 있습니다.
- SecOps와 DevOps는 각자의 파일을 독립적으로 소유할 수 있습니다.
플랫폼에 구애받지 않는 NGINX App Protect WAF를 사용하면 보안을 손쉽게 시프트 레프트하고 CI/CD 파이프라인에 자동화할 수 있습니다. 웨비나의 짧은 영상에서 자세히 알아보세요:
전체 웨비나를 온디맨드로 시청하세요
이러한 주제를 더 자세히 살펴보고 10분간의 실시간 데모를 확인하려면 온디맨드 웨비나 F5 NGINX로 애플리케이션 보안을 손쉽게 확인, 관리 및 확장하기를 시청하세요.
이 게시물에서 다룬 조사 결과 외에도 웨비나에서는 다음 내용을 다룹니다:
- 대규모 WAF 플릿 관리 시 추가 고려 사항
- 주요 WAF 위반, 공격 및 CVE에 대한 가시성이 정책 조정 방법을 결정하는 데 어떻게 도움이 되는지
- 중앙 집중식 WAF 가시성 및 관리를 통해 정책 오류를 줄이는 방법
- 코드형 보안(Security-as-Code) 자동화에 대한 세부 정보
WAF 관리를 위해 NGINX Management Suite를 사용해 볼 준비가 되셨나요? 30일 무료 평가판을 신청하세요.
작성자 소개
관련 블로그 게시물
시청하기: KubeCon North America 2023에서의 NGINX Gateway Fabric
이 영상에서는 KubeCon의 NGINX 부스를 찾아가, 저희가 공개한 Kubernetes Gateway API 구현을 살펴봅니다.
F5 NGINX로 대규모 WAF 플릿을 확인하고 관리하는 2가지 방법
앱 보안을 강화하는 두 가지 방법을 소개합니다. NGINX Management Suite를 통해 WAF 운영에 대한 가시성을 높이고, NGINX App Protect WAF를 활용해 코드형 보안을 구현하는 것입니다.
Ingress 컨트롤러 선택 가이드, 4부: NGINX Ingress Controller 옵션
개발 주체, 개발 철학, 프로덕션 환경 준비도, 보안 및 지원을 기준으로 어떤 NGINX Ingress 컨트롤러가 가장 적합한지 알아보세요.
진화하는 공격 환경에 NGINX App Protect Denial of Service가 적응하는 방법
NGINX App Protect Denial of Service(DoS)가 계층 7 DoS 공격을 방어하기 위해 완화 방법을 실시간으로 조정하는 방식을 설명합니다. 정상적인 사용자 행동과 서버 상태에 대한 모델을 생성하여 공격을 나타내는 이상 징후를 감지하고 맞춤형 완화 시그니처를 적용할 수 있습니다.
NGINX Instance Manager를 활용한 대규모 구성 업데이트 및 인증서 관리
NGINX Instance Manager 버전 1.0에는 두 가지 새로운 기능이 도입되었습니다. NGINX 인스턴스에 태그와 사용자 역할을 지정하면 전체 그룹에 구성을 한 번에 적용할 수 있습니다. 인증서 검사는 만료 예정인 인증서를 감지하여 서비스 중단을 방지할 수 있도록 인증서를 교체할 수 있게 해줍니다.
Netflix가 자사 CDN의 핵심으로 NGINX를 선택한 이유
Netflix가 글로벌 콘텐츠 전송 네트워크인 Open Connect의 스트리밍 미디어 기술로 NGINX를 선택한 이유를 NGINX 개발자 Gleb Smirnoff에게서 알아보세요.