프로그래밍 가능한 프록시는 오늘날 SMB를 노리는 공격자와 같은 위협으로부터 포트를 보호합니다.
인터넷이 막 태동하던 시절, 제 큰아이 셋은 십 대였습니다. 인터넷 규모가 지금보다 훨씬 작았던 당시에도 무제한으로 접속하도록 내버려 두고 싶지는 않았습니다. 정말이지, 아이들은 브라우저 주소창에 상상도 못 할 내용을 입력하곤 합니다. 오늘날에는 ‘자녀 보호 기능’이 널리 보급되어 있지만, 그때는 임시방편을 총동원해 직접 만들어야 했습니다.
좋아요, 사실 저희가 사용한 건 Squid였지만 그렇게 말하면 별로 멋지게 들리지는 않죠. 그래도 이것이 바로 이 글의 핵심입니다. Squid 자체가 아니라, 프록시를 웹 애플리케이션의 부하 분산 메커니즘이 아닌 다른 용도로 활용하는 것 말입니다.
요즘 프록시는 웹 애플리케이션에만 쓰이는 것이 아닙니다. 원하는 거의 모든 트래픽을 어떤 포트에서든 제어하는 데 사용할 수 있습니다. 집에서는 호기심 많은 십 대 세 명의 외부 인터넷 웹 트래픽을 제어하기 위해 주로 Squid를 사용했지만, 사무실에서는 적은 직원 수에도 불구하고 왜 그렇게 많은 대역폭을 소모하는지 파악하고자 외부로 나가는 트래픽의 로그를 한곳에 모으는 용도로 활용했습니다.
프록시를 사용해 인터넷으로 나가는 액세스를 제어하는 사례는 많으며, 예상할 수 있듯 외부에서 들어오는 경로에도 많은 사례가 있습니다.
프록시는 부하 분산, 액세스 제어, 변환(게이트웨이)을 비롯해 ‘데이터 센터’ 내부의 중요한 리소스로 들어오고 나가는 트래픽을 제어하고, 보강하고, 관리하는 다양한 ‘네트워크 호스팅’ 서비스의 기반입니다. 이는 데이터 센터가 물리적으로 온프레미스에 있든 퍼블릭 클라우드에 있든 마찬가지입니다. 프록시는 인바운드 트래픽을 전략적으로 제어할 수 있는 지점을 제공하며, 보안 및 다운스트림 리소스 보호를 비롯한 다양한 용도로 활용할 수 있습니다.
최근 발생한 WannaCry/SambaCry 사태는 프록시가 웹 앱이 아닌 리소스를 노리는 공격으로부터 어떻게 보호할 수 있는지를 잘 보여주는 사례입니다. 최신 iHealth 통계를 간단히 살펴보니 포트 445를 통해 접근할 수 있는 SMB 서비스가 상당수 공개적으로 노출되어 있었습니다. 예상대로입니다. 5월 30일 기준, shodan.io에서 “port:445” 검색 결과 1,928,046개의 장치/시스템이 검색됩니다. 초기 WannaCry 공격은 특히 Microsoft SMB를 표적으로 삼았지만, 최신 공격은 samba.org의 Linux 구현을 노리고 있어 포트 445가 전 세계에 완전히 개방된 722,000대 이상의 Unix 운영 체제는 상당히 우려스러운 상황입니다.
F5는 “차단 도구”를 제공합니다. 하지만 중요한 것은 이러한 도구가 있다는 사실보다 그 이유입니다. BIG-IP는 프로그래밍 가능한 프록시 기반 플랫폼이기 때문입니다.
핵심은 프록시, 특히 이중 스택을 갖춘 풀 프록시는 단지 데이터 경로에 존재하는 것만으로도 보안 위협을 정밀하게 탐지하고 차단할 수 있다는 점입니다. 검사는 프록시의 핵심 기능이며, 프로토콜 변환과 같은 더욱 고도화되고 유연한 기능을 지원하려면 반드시 필요합니다. 프록시는 트래픽을 가로채 검사하므로 모든 상황을 완벽하게 파악할 수 있습니다. 따라서 임박한 위협이나 공격의 시작을 나타내는 특정 이상 징후를 감시하도록 설정할 수 있습니다.
이것이 바로 프록시의 본질입니다. 즉, 통신에 참여하는 두 당사자 사이에서 중개자 역할을 하는 것입니다. 기술 환경에서는 요청 시스템과 응답 시스템, 다시 말해 클라이언트와 애플리케이션이 이에 해당합니다. 통신이 80번 포트에서 HTTP를 사용하든 445번 포트에서 SMB를 사용하든 상관없습니다. 프록시는 악성 트래픽을 식별하고, 나아가 차단하는 데 필요한 트래픽 가시성을 제공할 수 있습니다.
프록시는 웹 앱이나 십 대들만을 위한 것이 아닙니다. 리소스에 심각하고 막대한 비용을 초래하는 피해를 입히는 공격을 탐지하고 방지하기 위해 모든 인바운드 트래픽에 대한 가시성과 제어가 필요한 전문 실무자들을 위한 것입니다.
프로그래밍 가능한 프록시는 인터넷의 만능 테이프와도 같습니다. 하나만 있으면 필요할 때 필요한 일을 거의 무엇이든 할 수 있습니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.