분기별 보안 알림을 통한 예측 가능성 제공

Kara Sprague

저는 고객과 대화하는 데 많은 시간을 할애하는데, 고객들이 흔히 언급하는 주제는 관리 중인 애플리케이션 환경이 갈수록 복잡해지고 있으며 그 환경을 정상적으로 유지하기가 어렵다는 점입니다. 이는 충분히 이해할 만합니다. 현재 많은 기업이 온프레미스, 퍼블릭 클라우드, 하이브리드 또는 멀티 클라우드 애플리케이션으로 구성된 복잡한 포트폴리오를 관리하고 있으며, 이러한 애플리케이션은 계속 늘어나는 하드웨어, 소프트웨어 및 서비스 구성 요소로 이루어지고 이들의 지원을 받기 때문입니다.

이처럼 방대한 환경을 운영하는 일은 최적의 조건에서도 쉽지 않습니다. 각 구성 요소를 세심하게 모니터링하고 정기적으로 유지 관리하며 업데이트해야 합니다. 여기에 예기치 않은 문제, 즉 운영 중단, 서비스 성능 저하, 패치가 필요한 취약점까지 발생하면 시스템이 멈추고 비즈니스에 부정적인 영향을 미칠 수 있습니다. 많은 조직이 이러한 상황에 대응하기 위한 프로세스를 마련해 두고 있지만, 예기치 않은 상황의 영향을 최소화하기 위해 할 수 있는 모든 조치가 매우 중요하다는 이야기를 거듭 듣고 있습니다.

이러한 이유로 당사는 BIG-IP 및 NGINX 제품군을 비롯한 소프트웨어 제품의 보안 문제를 대외적으로 알리는 방식을 변경합니다. 이제부터 공개해야 할 CVE 또는 보안 노출이 있는 경우, 예측 가능한 분기별 일정에 따라 공지할 예정입니다. 새로운 분기별 보안 알림(Quarterly Security Notifications)을 통해 취약점 및 보안 노출에 관한 대외 공지를 분기마다 사전에 발표된 하루에 맞춰 진행함으로써, 고객이 보안 상태를 유지하는 데 필요한 유지 관리 작업을 미리 계획할 수 있도록 지원합니다.

보안 문제에 대한 수정 사항은 앞으로도 당사 소프트웨어 제품의 유지보수 릴리스에 포함될 예정이며, 시스템의 보안과 성능을 최적화할 수 있도록 고객에게 항상 최신 버전의 F5 소프트웨어를 사용할 것을 강력히 권장합니다. 당사는 복잡한 시스템을 업데이트하는 데 운영상의 부담이 따른다는 점을 잘 알고 있습니다. 보안 문제에 대한 공지 일정을 사전에 발표된 날짜에 맞춤으로써 고객이 필요한 유지보수 작업을 미리 계획할 수 있도록 지원합니다.

분기별 보안 알림 외에 취약점을 공개해야 하는 경우가 있습니다. 예를 들어 F5의 오픈 소스 프로젝트에서 수정 사항을 릴리스하는 경우입니다. 이러한 경우에는 보안 경보를 통해 고객에게 안내합니다. 현재 방식과 마찬가지로 보안 경보에는 보안 권고와 함께 고객이 해당 문제에 대한 노출 여부와 이를 해결하기 위해 취할 수 있는 조치를 파악하는 데 필요한 모든 정보가 포함됩니다.

명확히 말씀드리면, F5는 오늘 어떠한 보안 문제도 공개하지 않습니다. 공개할 취약점이 있는 경우, 2022년 1월 19일에 첫 번째 분기별 보안 공지를 게시할 예정입니다. 이번 변경 사항과 F5의 취약점 관리 정책에 대한 자세한 내용을 확인하려면 여기를 클릭하십시오.

작성자 소개

Kara Sprague

Kara Sprague의 다른 블로그 게시물