F5 및 NGINX WAF 정책을 Controller 앱 보안에 통합

Daphne Won

2년 전 NGINX가 F5에 합류한 이후 고객이 누리게 된 가장 큰 이점 중 하나는 업계 최고 수준인 F5의 보안 전문성이 NGINX 제품에 통합되었다는 것입니다. F5 NGINX App Protect WAF와 F5 NGINX Controller App Security는 F5 Advanced WAF, F5 Silverline WAF, 기타 F5 보안 솔루션과 동일한 웹 애플리케이션 방화벽(WAF) 기술을 활용합니다. 각 제품은 특정 환경, 배포 시나리오 및 관리 사용 사례를 지원하기 위해 서로 다른 폼 팩터를 채택하고 있지만, 고객은 잘 알려지고 신뢰받는 동일한 보안 적용 엔진이 가장 지능적인 웹 공격으로부터 자신을 보호하고 있다는 확신을 가질 수 있습니다.

공유 WAF 기술을 통해 F5 고객은 F5 Advanced WAF와 같은 제품을 사용하는 기존 환경에서 NGINX App Protect WAF가 더 적합한 컨테이너 및 클라우드 환경으로 마이그레이션할 때도 보안 팀이 이미 승인한 표준화된 정책을 그대로 유지할 수 있습니다. 제품 간 WAF 정책의 이식성 덕분에 F5 및 NGINX 고객은 강력하고 일관되며 규정을 준수하는 보안 태세를 빠르고 손쉽게 확보할 수 있습니다.

Application Delivery Module용 NGINX Controller App Security를 출시했을 때 오탐을 최소화하면서 기본 정책을 통해 OWASP Top 10 및 기타 위협으로부터 보호할 수 있도록 했습니다. 이제 Application Delivery Module 버전 3.20용 Controller App Security에서는 사용자 지정 NGINX App Protect WAF 정책을 가져와 관리 중인 모든 배포 환경에 배포할 수 있습니다. 이를 Bring Your Own NGINX App Protect WAF Policy(BYO App Protect Policy)라고 합니다.

자세한 내용을 알아보려면 계속 읽어보시고 다음 개요 동영상도 확인해 보세요:

 

애플리케이션 현대화 여정 전반에서 일관된 WAF 정책 유지

기존 애플리케이션 제공 환경을 사용하는 많은 고객은 처음에 F5 Advanced WAF 또는 BIG‑IP ASM을 사용합니다. 애플리케이션 현대화를 진행하면서 WAF 서비스를 DevOps 방식에 맞춰 배포해야 하는 새로운 앱에 NGINX App Protect와 NGINX Controller App Security를 활용할 수 있습니다.

NGINX App Protect WAF는 그 자체만으로도 OWASP Top Ten 및 기타 지능형 위협에 대한 방어부터 간소화된 선언적 정책 정의에 이르는 다양한 기능을 통해 최신 앱을 보호합니다. Controller App Security를 도입하여 NGINX App Protect WAF 인스턴스를 관리하면 다음과 같은 추가 이점이 있습니다:

• 보안 팀은 별도의 설정 없이도 향상된 가시성을 확보할 수 있으며, 개발 및 DevOps 팀에 승인된 WAF 정책과 NGINX App Protect WAF 인스턴스의 셀프서비스 프로비저닝 및 관리 기능을 제공할 수 있습니다. 또한 단일 Controller 인스턴스로 여러 팀을 지원할 수 있습니다.
• 개발 및 DevOps 팀은 이미 익숙한 Controller API와 GUI를 사용하여 승인된 WAF 정책을 애플리케이션에 적용할 수 있으며, 정책 자체나 데이터 플레인에서 해당 정책을 적용하는 NGINX App Protect WAF 인스턴스의 구성을 자세히 이해할 필요가 없습니다.

Controller App Security용 F5 WAF 정책 준비

애플리케이션 현대화를 진행하는 동안 모든 F5 및 NGINX WAF 구현에서 일관된 정책을 유지할 수 있도록 NGINX App Protect Policy Converter를 제공합니다. 이 도구는 F5 Advanced WAF 정책(XML 형식)을 NGINX App Protect WAF 정책(JSON 형식)으로 변환합니다. 그런 다음 다음 섹션의 설명에 따라 변환된 정책을 Controller App Security에 전달할 수 있습니다.

다음은 F5 Advanced WAF 정책을 NGINX App Protect WAF 정책으로 변환하는 단계와 관련 지침 링크입니다.

1. 다운로드하여 설치 NGINX App Protect Policy Converter용 Docker 이미지를 다운로드하여 설치합니다.
2. 내보내기 F5 Advanced WAF 정책을 내보냅니다(지침에서는 “BIG‑IP ASM 보안 정책”이라고 지칭하지만 F5 Advanced WAF 정책에도 적용됩니다).
3. 정책 변환하여 JSON 형식의 NGINX App Protect WAF 정책으로 만듭니다.

NGINX App Protect WAF 정책을 Controller App Security로 가져오기

Application Delivery Module 버전 3.20용 Controller App Security에서는 BYO App Protect Policy 프로세스를 사용하여 NGINX App Protect WAF 정책을 가져와 관리 중인 모든 NGINX App Protect 인스턴스에 배포할 수 있습니다. NGINX App Protect WAF 정책은 네이티브 정책이거나, 이전 섹션에서 설명한 대로 F5 Advanced WAF에서 변환한 정책일 수 있습니다.

BYO App Protect Policy 프로세스에서는 Security Strategy라는 Controller 객체를 사용합니다. 이 객체는 사용자 지정 NGINX App Protect WAF 정책을 비롯한 보안 관련 정책을 담는 논리적 컨테이너입니다. 그런 다음 App에서 Security Strategy를 참조하여 연결된 WAF 정책을 해당 App에 적용합니다.

BYO App Protect Policy 프로세스에 대한 자세한 내용은 제품 설명서를 참조하세요.

원하는 인터페이스에 대한 지침은 다음 섹션을 참조하세요:

• API 사용
• GUI 사용

단계를 완료하면 BYO App Protect Policy 프로세스를 사용하여 Controller App Security로 가져온 WAF 정책의 업데이트가 연결된 Security Strategy를 참조하는 모든 App Component에 자동으로 전파됩니다.

Application Delivery Module 버전 3.20용 Controller App Security에서는 단일 파일에 정의된 WAF 정책만 지원됩니다. 외부 참조를 사용하는 WAF 정책(여러 파일로 구성된 WAF 정책)은 향후 릴리스에서 지원될 예정입니다.

API 사용

Controller API를 사용하여 WAF 정책을 Controller App Security로 가져오려면 다음 단계를 수행하세요:

1. NGINX App Protect WAF 정책을 PUT 요청으로 보안 정책 엔드포인트에 전달합니다:

https://{{CONTROLLER_FQDN}}/api/v1/security/policies/{{policy}}

1. 다음과 유사한 JSON 객체를 사용합니다:

{
    "metadata": {
        "name": "lowriskapppolicy",
        "displayName": "Low-Risk App Protect Policy",
        "description": "Corporate WAF policy for internal low-risk apps",
    },
    "desiredState": {
        "content": {
            "policy": {
                "name": "lowriskapppolicy",
                "template": {
                    "name": "POLICY_TEMPLATE_NGINX_BASE"
                },
                "applicationLanguage": "utf-8",
                "enforcementMode": "blocking",
                "signatures": [
                    {
                        "signatureId": 123458888,
                        "enabled": false
                    },
                    {
                        "signatureId": 304500123,
                        "enabled": false
                    }
                ],
            }
        }
    }
}

1. WAF 정책을 참조하는 보안 전략을 생성하려면 보안 전략 엔드포인트에 PUT 요청을 보냅니다:

https://{{CONTROLLER_FQDN}}/api/v1/security/strategies/{{strategy}}

1. 다음과 유사한 JSON 객체를 사용합니다:

{
    "metadata": {
        "name": "lowriskstrategy",
        "displayName": "Low-Risk App Strategy",
        "description": "Corporate strategy for internal low-risk apps",
    },
    "desiredState": {
        "content": {
            "securityPolicyRef": "/security/policies/lowriskapppolicy"
        }
    }
}

1. 보안 전략을 참조하도록 WAF 정책을 앱 구성 요소(예: 앱의 앱 URI)에 적용하려면 앱 구성 요소 엔드포인트에 PUT 또는 POST 요청을 보냅니다:

https://{{Controller_FQDN}}/api/v1/services/environments/{{env}}/apps/{{app}}/components/{{component}}

1. 다음과 유사한 JSON 객체를 사용합니다:

{
    "metadata": {
        "name": "main"
    },
    "desiredState": {
        "ingress": {
            "uris": {
                "/": {
                }                   
            },
. . .  

        "security": {
            "strategyRef": {
                "ref": "/security/strategies/lowriskstrategy"
            },
            "waf": {
                "isEnabled": true
            }
        },
. . . 
}

GUI 사용

Controller GUI를 사용하여 WAF 정책을 Controller App Security로 가져와 적용하려면 다음 단계를 수행하십시오:

1. 다음에서 보안 전략을 생성합니다: 보안 전략 생성 페이지.
   
2. NGINX App Protect WAF 정책을 Controller에서 이미 사용할 수 있는 경우, 정책 필드의 드롭다운 메뉴에서 해당 정책을 선택합니다. 아직 목록에 없으면 + 새로 만들기를 클릭합니다. 표시되는 보안 정책 만들기 팝업 창에서 JSON 형식의 NGINX App Protect WAF 정책이 포함된 파일을 업로드합니다.
   
3. WAF 정책을 적용할 앱의 앱 구성 요소 편집 페이지에서 연결된 보안 전략을 선택합니다.
   

NGINX Controller 내에서 정책 공유

BYO App Protect Policy 프로세스를 사용하여 정책을 Controller App Security로 가져오면, 서로 다른 팀에서 관리하는 경우에도 Controller에 정의된 모든 앱에서 해당 정책을 공유할 수 있습니다. 여러 Controller 앱 구성 요소(또는 URI와 같은 앱의 하위 구성 요소)가 동일한 정책을 참조하도록 하면 여러 앱과 API 전반에서 보안 태세를 표준화하는 데 도움이 됩니다.

Controller는 WAF 정책의 관리 및 버전 관리를 중앙 집중화합니다. 정책의 새 버전을 게시하면 해당 정책을 참조하는 모든 Controller App 구성 요소에 업데이트가 적용되어 운영이 크게 간소화됩니다.

요약

F5 WAF 기술 플랫폼을 사용하면 동일한 WAF 보호 정책을 이식하고 재사용하여 여러 앱에서 표준화된 보안 태세를 유지할 수 있습니다. 또한 이러한 설계 철학은 F5 및 NGINX WAF 솔루션으로 보호되는 모든 사용 사례를 지원하여 앱 보안의 관리와 배포를 더 빠르고 간편하며 일관되게 반복할 수 있도록 해줍니다.

Controller App Security의 BYO App Protect Policy 기능(Controller ADM 3.20에서 제공)을 사용하면 이제 사용자 지정 NGINX App Protect WAF 정책을 활용할 수 있으므로, NGINX App Protect WAF 또는 F5 Advanced WAF로 구축한 강력하고 일관되며 검증된 정책을 통해 새로운 앱을 더욱 손쉽게 보호할 수 있습니다. 무엇보다도 BYO App Protect Policy와 Controller App Security를 사용하면 검증된 단일 정책을 여러 앱에 적용할 수 있어 정책 변경 프로세스를 크게 간소화하고 효율화할 수 있습니다.

NGINX Controller는 보안 팀이 셀프서비스 모델을 통해 애플리케이션 팀에 보안 기능을 제공할 수 있도록 지속적으로 지원함으로써, 조직이 생산성과 보안을 모두 강화할 수 있도록 합니다.

NGINX Controller App Security를 직접 사용해 보고 싶으신가요? 지금 30일 무료 NGINX Controller 평가판을 시작하거나 사용 사례에 대해 논의하려면 문의해 주세요.

작성자 소개

Daphne Won

Daphne Won의 다른 블로그 게시물