DDoS 아키텍처 다이어그램 및 백서
소개
F5는 20년 이상 고객과 협력하여 분산 서비스 거부(DDoS) 공격으로부터 애플리케이션을 보호해 왔습니다. 그동안 F5는 애플리케이션과 서비스가 DDoS 공격에 대한 복원력을 유지할 수 있도록 핵심 제품 기능을 개발해 왔습니다. 2018년 이후 발생한 여러 대규모 공격으로 인해 서비스 제공업체와 관리형 서비스 제공업체(MSP), 금융 기관 및 기업은 DDoS 보호 기능을 포함하도록 네트워크를 재설계하게 되었습니다. F5는 이러한 고객과 협력하여 클라우드 및 온프레미스 구성 요소를 모두 포함하는 DDoS 보호 참조 아키텍처를 개발했습니다.
이 참조 아키텍처에는 계층 3부터 7까지 보호하기 위한 여러 단계의 온프레미스 방어 체계가 포함되어 있습니다. 네트워크 방어 계층은 DNS와 계층 3 및 4를 보호합니다. 네트워크 공격으로 인한 노이즈에서 벗어난 애플리케이션 방어 계층은 CPU 리소스를 상위 계층 애플리케이션 보호에 사용할 수 있습니다. 이 설계를 통해 조직은 모든 유형의 DDoS 공격을 방어하고 조직 내 데이터 센터 전반에서 이점을 얻을 수 있습니다. 마지막으로 DDoS Protection 솔루션의 클라우드 구성 요소는 대규모 트래픽 공격을 완화하기 위한 안전장치 역할을 합니다.
DDoS의 네 가지 범주
DDoS 위협 환경은 끊임없이 진화하고 있지만, F5는 공격이 여전히 다음과 같은 특징을 지닌 네 가지 유형으로 분류된다는 사실을 확인했습니다:
- 볼류메트릭—계층 3, 4 또는 7에서 발생할 수 있는 플러드 기반 공격입니다. L3~4 공격은 일반적으로 UDP 스푸핑 트래픽을 사용합니다.
- 비대칭—단방향 또는 상태 비저장 UDP 트래픽.
- 연산형—일반적으로 TCP를 통해 L7에서 CPU와 메모리를 소모하도록 설계된 공격입니다.
- 취약점 기반—소프트웨어 취약점을 악용하는 공격입니다.
방어 메커니즘은 이러한 다양한 범주에 대응할 수 있도록 발전해 왔으며, 주요 조직들은 보안 태세를 극대화하기 위해 이를 특정한 구성으로 배포하는 방법을 터득했습니다. F5는 이러한 기업들과 협력하고 관련 구성 요소를 세밀하게 조정함으로써 특정 데이터 센터 규모와 업계 요구 사항을 충족할 수 있는 권장 DDoS 완화 아키텍처를 개발했습니다.
DDoS 방어 솔루션 구축
다음 DDoS 보호 참조 아키텍처는 업계에서 널리 알려진 구성 요소를 중심으로 구축되었습니다. 일부는 다른 벤더 및 공급업체에서 제공할 수 있지만, 일부는 F5 전용 구성 요소입니다.
DDoS 방어 아키텍처의 구성 요소
그림 1은 DDoS 아키텍처 구성 요소와 각 구성 요소가 완화하는 네 가지 DDoS 공격 범주 간의 관계를 보여줍니다.
DDoS 보호 아키텍처의 구성 요소
클라우드 기반 DDoS 스크러빙 서비스는 모든 DDoS 완화 아키텍처의 핵심 구성 요소입니다. 공격자가 조직의 1Gbps 인입 지점으로 50Gbps의 데이터를 전송하는 경우, 아무리 많은 온프레미스 장비를 사용해도 이 문제를 해결할 수 없습니다. 실제 퍼블릭 클라우드 또는 조직의 대역폭 서비스 제공업체 내에서 호스팅되는 클라우드 서비스는 명백한 악성 트래픽과 정상일 가능성이 높은 트래픽을 구분하여 이 문제를 해결합니다.
DDoS 인식 네트워크 방화벽
네트워크 방화벽은 오랫동안 경계 보안의 핵심 역할을 해왔습니다. 하지만 많은 네트워크 방화벽은 DDoS 공격에 전혀 대응하지 못합니다. 실제로 가장 많이 판매되는 방화벽 중 상당수도 아주 단순한 계층 4 공격만으로 무력화될 수 있습니다. 방화벽이 공격을 탐지하고 완화하지 못한다면 단순히 처리량만 높이는 것으로는 해결할 수 없습니다.
계층 3 및 4 기반 보안 제어 장치로는 고용량의 DDoS 대응 네트워크 방화벽을 선택할 것을 F5는 아키텍트에게 권장합니다. 특히 수천 개가 아닌 수백만 개의 동시 연결을 지원하고, 정상적인 트래픽에 영향을 주지 않으면서 다양한 공격(예: SYN 플러드)을 차단할 수 있어야 합니다.
애플리케이션 전송 컨트롤러
애플리케이션 딜리버리 컨트롤러(ADC)는 네트워크에서 전략적인 제어 지점을 제공합니다. ADC를 적절히 선택하고 프로비저닝하며 제어하면 DDoS 방어를 크게 강화할 수 있습니다. 예를 들어 F5 ADC의 풀 프록시 특성은 HTTP 및 DNS와 같은 일반적인 프로토콜을 검증하여 연산 및 취약점 기반 위협을 줄여 줍니다. 이러한 이유로 F5는 풀 프록시 ADC를 권장합니다.
DDoS 보호 기능이 통합된 웹 애플리케이션 방화벽
웹 애플리케이션 방화벽은 애플리케이션의 보안 정책을 이해하고 적용하는 상위 수준의 구성 요소입니다. 이 구성 요소는 대규모 HTTP 플러드 공격이든 취약점 기반 공격이든 애플리케이션 계층 공격을 탐지하고 완화할 수 있습니다. 여러 공급업체가 웹 애플리케이션 방화벽을 제공합니다. 그러나 효과적인 DDoS 아키텍처를 위해 F5는 다음과 같은 이유로 자사의 웹 애플리케이션 방화벽 모듈만을 권장합니다:
- F5 웹 애플리케이션 방화벽은 해킹 방지, 웹 스크래핑 방지, PCI 규정 준수 등의 추가 서비스를 제공할 수 있습니다.
- F5 고객은 ADC와 웹 애플리케이션 방화벽을 함께 사용하여 애플리케이션 전송 정책과 애플리케이션 보안 정책을 동시에 적용할 수 있습니다.
- F5 ADC는 SSL 트래픽을 오프로드하고 검사합니다. 이를 웹 애플리케이션 방화벽과 결합하면 고객은 SSL 종료와 암호화된 페이로드의 보안 분석을 하나의 장치에서 통합할 수 있습니다.
침입 탐지 및 방지 시스템
침입 탐지 및 방지 시스템(IDS/IPS)은 DDoS 완화에 중요한 역할을 할 수 있습니다. F5는 IDS/IPS 기능을 단일 위치에만 배포해서는 안 된다고 권고합니다(예: 계층 4 방화벽에 통합). 대신 데이터베이스나 특정 웹 서버처럼 구체적인 추가 보호가 필요할 수 있는 백엔드 구성 요소 앞의 전략적 지점에 IDS/IPS를 배포해야 합니다. 또한 IPS는 웹 애플리케이션 방화벽을 대체할 수 없습니다. 인프라와 애플리케이션을 보호하는 것은 양파 껍질을 벗기는 것과 비슷합니다. IPS는 상위 계층인 프로토콜에서 공격을 차단하도록 설계된 반면, WAF는 하위 계층인 애플리케이션을 보호하도록 설계되었습니다.
IP 평판 데이터베이스
IP 평판 데이터베이스는 DDoS 공격자가 알려진 스캐너를 사용하여 애플리케이션을 탐색한 후 이를 악용하고 침투하는 것을 방지함으로써 비대칭 서비스 거부 공격을 방어하는 데 도움이 됩니다. IP 평판 데이터베이스는 내부에서 생성하거나 외부 구독 서비스를 통해 제공받을 수 있습니다. F5 IP 평판 솔루션은 오픈 소스 인텔리전스(OSINT), F5 데이터 및 타사 피드의 인텔리전스를 결합하여 악성 도메인을 광범위하게 탐지합니다.
다계층 DDoS 보호 아키텍처
F5는 하이브리드 클라우드/온프레미스 DDoS 솔루션을 권장합니다. 대규모 트래픽 공격은 F5 Silverline 클라우드 기반 플랫폼을 통해 제공되는 서비스인 F5 Silverline DDoS Protection으로 완화됩니다. Silverline DDoS Protection은 공격 트래픽을 분석하고 대부분을 제거합니다.
경우에 따라 DDoS 공격에는 온프레미스에서 대응해야 하는 애플리케이션 계층 공격이 포함될 수 있습니다. 이러한 비대칭 공격과 연산 집약적 공격은 네트워크 방어 계층과 애플리케이션 방어 계층을 사용하여 완화할 수 있습니다. 네트워크 방어 계층은 L3 및 L4 네트워크 방화벽 서비스와 애플리케이션 방어 계층으로 트래픽을 전달하는 단순한 부하 분산으로 구성됩니다. 애플리케이션 방어 계층은 SSL 종료와 웹 애플리케이션 방화벽 스택을 비롯해 더욱 정교하고 CPU 사용량이 많은 서비스로 구성됩니다.
DDoS 보호 아키텍처의 온프레미스 영역에서 네트워크 방어와 애플리케이션 방어를 분리하면 상당한 이점을 얻을 수 있습니다.
- 네트워크 및 애플리케이션 방어 계층은 서로 독립적으로 확장할 수 있습니다. 예를 들어 웹 애플리케이션 방화벽 사용량이 증가하면 네트워크 계층에 영향을 주지 않고 애플리케이션 계층에 어플라이언스(또는 블레이드)를 추가할 수 있습니다.
- 네트워크 및 애플리케이션 방어 계층에는 서로 다른 하드웨어 플랫폼은 물론 서로 다른 소프트웨어 버전도 사용할 수 있습니다.
- 애플리케이션 방어 계층에 새 정책을 적용할 때 네트워크 방어 계층은 해당 정책이 완전히 검증될 때까지 트래픽의 일부만 새 정책으로 전달할 수 있습니다.
F5 구성 요소 및 기능
그림 3은 특정 기능을 제공하는 데 필요한 구성 요소를 보여 줍니다. DDoS 방어 참조 아키텍처의 F5 구성 요소는 다음과 같습니다.
- Silverline DDoS 방어
- BIG-IP® AFM™ (AFM)
- BIG-IP® Local Traffic Manager™(LTM)
- BIG-IP® DNS™(DNS Express™ 포함)
- BIG-IP® 고급 웹 애플리케이션 방화벽™(Advanced WAF)
온프레미스 보호를 위한 통합형 대안 접근 방식
고대역폭 환경에서는 다계층 아키텍처가 선호되지만, F5는 많은 고객에게 저대역폭 환경에서 여러 DDoS 계층을 구축하는 것이 과도할 수 있음을 잘 알고 있습니다. 이러한 고객은 애플리케이션 전송 기능과 네트워크 및 웹 애플리케이션 방화벽 서비스를 통합한 DDoS 완화 경계 장치를 구축하고 있습니다.
여기에서 권장하는 모범 사례는 여전히 적용됩니다. 네트워크 및 애플리케이션 방어 계층에 대한 내용은 대체 아키텍처의 단일 통합 계층에 그대로 적용하면 됩니다.
가용성 유지를 위한 DDoS Protection 아키텍처 사용
대규모 트래픽 공격 방어를 위한 클라우드
조직은 인터넷에 연결된 인바운드 대역폭 용량을 압도할 수 있는 대규모 볼류메트릭 DDoS 공격에 노출될 위험이 있습니다. 이러한 공격을 방어하기 위해 BGP 경로 공지를 통해 경로를 변경하여, 유입 트래픽을 악성 트래픽을 정제할 수 있는 고대역폭 데이터 센터로 전달한 다음 정제된 정상 트래픽을 조직의 원본 데이터 센터로 다시 보낼 수 있습니다.
클라우드 DDoS 제공업체를 선택할 때는 스크러빙 시설의 지리적 위치, 대역폭 용량, 지연 시간, 완화 소요 시간, 솔루션의 가치 등의 요인이 영향을 미칠 수 있습니다. 그림 4에서 알 수 있듯이 DDoS 공격은 수백 Gbps에 달하는 대역폭을 소모하여 인프라를 완전히 마비시킬 위험이 있습니다.
경우에 따라 클라우드 스크러버의 스크러빙 센터가 조직의 데이터 센터 인근에 없으면 수신 요청의 처리 시간이 늘어날 수 있습니다. 잠재적인 지연 시간을 줄이기 위해 MSP 및 기타 글로벌 기업은 공격의 영향을 받을 수 있는 사업장이 위치한 지역 내에 전략적으로 배치된 클라우드 스크러버를 활용해야 합니다.
용량 및 기능
대규모 트래픽 공격에도 가용성을 유지하려면 북미, 유럽, 아시아의 데이터 센터를 아우르는 글로벌 서비스 범위와 테라비트급 글로벌 용량 또는 센터당 수백 기가비트의 용량을 모두 갖춰야 합니다.
조직들은 공격 캠페인이 끝난 후에야 클라우드 스크러버의 진정한 가치를 체감할 수 있다고 말합니다. 만족도를 좌우하는 질문은 다음과 같습니다:
- 비용이 많이 들었는가?
- 오탐 수준은 어느 정도였나요?
- 정상 트래픽의 전달 과정을 파악하고 제어할 수 있었습니까?
상시 가용 또는 상시 운영
조직은 DDoS 공격이 탐지되면 Silverline DDoS Protection Always Available 구독을 사용하여 F5 Silverline을 통해 트래픽을 라우팅할 수 있습니다. 또는 Silverline DDoS Protection Always On 구독을 사용하면 항상 F5 Silverline을 통해 트래픽을 라우팅하여 조직의 네트워크와 애플리케이션에 더 높은 가용성을 보장할 수 있습니다.
배포 모델
Silverline DDoS Protection에는 라우팅 모드와 프록시 모드라는 두 가지 주요 배포 모델이 있습니다.
라우팅 모드는 전체 네트워크 인프라를 보호해야 하는 기업을 위한 방식입니다. Silverline DDoS Protection은 BGP(Border Gateway Protocol)를 사용하여 모든 트래픽을 스크러빙 및 보호 센터로 라우팅하고, GRE(Generic Routing Encapsulation) 터널/L2 VPN/Equinix Cloud Exchange를 통해 정제된 트래픽을 원본 네트워크로 다시 전송합니다. 라우팅 모드는 대규모 네트워크를 구축한 기업에 적합한 확장 가능한 설계입니다. 애플리케이션별 구성이 필요하지 않으며 Silverline DDoS Protection을 손쉽게 켜거나 끌 수 있습니다.
프록시 모드는 볼류메트릭 DDoS 공격으로부터 애플리케이션을 보호해야 하지만 공용 클래스 C 네트워크가 없는 기업을 위한 모드입니다. DNS를 사용하여 모든 트래픽을 F5 Silverline 스크러빙 센터로 라우팅합니다. 정제된 트래픽은 공용 인터넷을 통해 애플리케이션의 오리진 서버로 전송됩니다.
Silverline DDoS Protection에서 사용하는 반환 트래픽 방식은 다음과 같습니다:
- GRE 터널.
- Equinix Cloud Exchange.
- L2 VPN.
- 공용 인터넷.
대규모 트래픽 공격 집중 조명: 증폭 공격
그림 4에서 볼 수 있듯이, 2019~2020년에는 세계 최대 규모의 DDoS 공격 기록이 여러 차례 경신되었습니다. 이러한 공격은 이처럼 막대한 대역폭을 소모하기 위해 플러드 공격(예: ACK, NTP, RESET, SSDP, SYN, UDP)과 TCP 이상, UDP 조각화, CLDAP 반사 공격을 결합하여, 이를 인지하지 못한 수천 개의 공용 인터넷 호스트에서 표적 피해자로 트래픽을 전송했습니다.
온프레미스 네트워크 방어
네트워크 방어 계층은 네트워크 방화벽을 중심으로 구축됩니다. 이 계층은 SYN 플러드 및 ICMP 조각화 플러드와 같은 컴퓨팅 리소스 소모형 공격을 완화하도록 설계되었습니다. 또한 인입 지점에 정체가 발생하기 전까지(일반적으로 회선 정격 용량의 80~90%) 대규모 트래픽 공격을 완화합니다. 많은 조직이 이 계층에 IP 평판 데이터베이스를 통합하고, DDoS 공격 중에 출발지별로 IP 주소를 제어할 수 있는 기능을 갖추고 있습니다.
일부 조직에서는 DNS 트래픽이 첫 번째 계층을 거쳐 DMZ의 DNS 서버로 전달되도록 합니다. 이 구성에서는 적절한 계층 4 제어를 통해 DNS 패킷을 검증한 후 서버로 전달할 수 있습니다.
프라이빗 클라우드 방어
가상화를 우선시하는 전략을 채택한 조직은 전용 하드웨어 없이 가상화 인프라를 노리는 DDoS 공격을 완화하기가 어려울 수 있습니다. x86 상용 기성품(COTS) 서버에서 실행되는 가상화 보안 솔루션은 맞춤형 어플라이언스의 고성능 특성을 갖추지 못한 경우가 많아, 많은 상황에서 소프트웨어 중심의 효과적인 DDoS 완화가 사실상 불가능합니다.
이 과제를 해결하기 위해 F5는 SmartNIC으로 알려진 차세대 네트워크 인터페이스 카드(NIC)를 활용하여 BIG-IP AFM 가상 에디션(VE) 솔루션을 강화합니다. 이러한 SmartNIC에 내장된 고성능 FPGA를 프로그래밍하여 DDoS 공격이 BIG-IP VE 및 애플리케이션 서버에 도달하기 전에 탐지하고 차단함으로써, F5는 앱을 온라인 상태로 유지하면서 유사한 소프트웨어 전용 솔루션보다 최대 300배 큰 공격을 차단할 수 있습니다. DDoS 완화 작업을 BIG-IP AFM VE에서 SmartNIC으로 오프로드하면 VE의 CPU 사이클을 확보하여 WAF 또는 SSL과 같은 다른 보안 기능을 최적화할 수 있을 뿐만 아니라 TCO도 최대 47% 절감할 수 있습니다.
컴퓨팅 리소스를 노리는 DDoS 공격 집중 조명: TCP 및 SSL 연결 폭주 완화
레이어 4 공격인 TCP 연결 플러드는 네트워크의 모든 상태 저장형 장비, 특히 DDoS 방어 기능이 없는 방화벽에 영향을 줄 수 있습니다. 이 공격은 각 상태 저장형 장비의 플로 연결 테이블 메모리를 소진하도록 설계되었습니다. 이러한 연결 플러드에는 실제 콘텐츠가 없는 경우가 많습니다. 네트워크 계층의 대용량 연결 테이블에서 이를 흡수하거나 풀 프록시 방화벽을 통해 완화할 수 있습니다.
SSL 연결 플러드 공격은 암호화된 트래픽을 종단 처리하는 장치를 공격하도록 특별히 설계되었습니다. 암호화 컨텍스트를 유지해야 하므로 각 SSL 연결은 50,000~100,000바이트의 메모리를 사용할 수 있습니다. 이 때문에 SSL 공격은 특히 큰 피해를 초래합니다.
F5는 TCP 및 SSL 연결 플러드 공격을 완화하기 위해 충분한 용량 확보와 풀 프록시 기법을 함께 사용할 것을 권장합니다. 그림 7은 F5 기반 네트워크 방화벽의 연결 처리 용량을 보여 줍니다.
온프레미스 애플리케이션 방어
애플리케이션 방어 계층에는 로그인 월, 웹 애플리케이션 방화벽 정책, F5 iRules를 활용한 동적 보안 컨텍스트와 같이 애플리케이션을 인식하며 CPU 사용량이 많은 방어 메커니즘을 배포할 것을 F5는 권장합니다. 이 계층에서는 이러한 구성 요소가 특정 공격을 탐지·차단하는 IDS/IPS 장비와 동일한 랙에 배치되는 경우가 많습니다.
일반적으로 SSL 종료도 이 계층에서 이루어집니다. 일부 조직에서는 네트워크 방어 계층에서 SSL을 종료하기도 하지만, SSL 키의 민감성과 보안 경계에 키를 보관하지 못하도록 하는 정책 때문에 이러한 방식은 흔하지 않습니다.
비대칭 DDoS 공격 집중 분석: GET 플러드 완화
재귀적 GET 및 POST 요청은 오늘날 가장 악의적인 공격 유형에 속합니다. 정상 트래픽과 구분하기가 매우 어려울 수 있습니다. GET 플러드는 데이터베이스와 서버를 과부하 상태로 만들 수 있으며, 이른바 ‘역방향 회선 포화(reverse full pipe)’를 유발할 수도 있습니다. F5는 한 공격자가 대상에 100Mbps의 GET 쿼리를 전송해 20Gbps의 데이터가 외부로 전송되도록 한 사례를 기록했습니다.
GET 플러드 완화 전략은 다음과 같습니다:
- 로그인 장벽 방어.
- DDoS 보호 프로필.
- 실제 브라우저 사용 강제.
- CAPTCHA.
- 요청 제한 iRules.
- 사용자 지정 iRules.
이러한 전략의 구성 및 설정 방법은 F5 DDoS 권장 사례 문서에서 확인할 수 있습니다.
DNS DDoS 완화
DNS는 HTTP 다음으로 공격 표적이 많이 되는 서비스입니다. DNS에 장애가 발생하면 단일 애플리케이션뿐만 아니라 외부 데이터 센터의 모든 서비스가 영향을 받습니다. 전체 장애를 일으킬 수 있는 이러한 단일 장애 지점과 충분한 용량이 확보되지 않은 경우가 많은 DNS 인프라로 인해 DNS는 공격자에게 매력적인 표적이 됩니다.
쿼리 폭주에 대비해 DNS 서비스를 충분히 확충하세요
DNS 서비스는 역사적으로 필요 용량보다 적게 프로비저닝되어 왔습니다. 상당수의 DNS 배포 환경은 소규모에서 중간 규모의 DDoS 공격조차 견디지 못할 정도로 프로비저닝이 부족합니다.
DNS 캐시는 DNS 서비스의 체감 성능을 높이고 일반적인 DNS 쿼리 공격에 어느 정도 대응할 수 있어 널리 사용되고 있습니다. 공격자들은 이른바 ‘존재하지 않는 도메인’(또는 NXDOMAIN) 공격으로 전환했으며, 이러한 공격은 캐시가 제공하는 성능상의 이점을 빠르게 소진시킵니다.
이 문제를 해결하기 위해 F5는 BIG-IP DNS 도메인 이름 서비스 앞단에 F5 DNS Express™라는 특수 고성능 DNS 프록시 모듈을 배치할 것을 권장합니다. DNS Express는 기존 DNS 서버 앞에서 절대 리졸버 역할을 합니다. 서버에서 영역 정보를 로드한 후 모든 요청을 처리하거나 NXDOMAIN을 반환합니다. 이는 캐시가 아니므로 NXDOMAIN 쿼리 플러드로 인해 비워지지 않습니다.
DNS 서비스 배치를 고려하세요
DNS 서비스는 첫 번째 보안 경계와 분리된 독립적인 장치 집합으로 구성되는 경우가 많습니다. 이는 DNS가 서비스를 제공하는 애플리케이션과 독립적으로 운영되도록 하기 위한 것입니다. 예를 들어 보안 경계의 일부가 작동을 중단하면 DNS는 요청을 보조 데이터 센터나 클라우드로 리디렉션할 수 있습니다. DNS를 보안 및 애플리케이션 계층과 분리하면 유연성과 가용성을 극대화하는 데 효과적일 수 있습니다.
여러 데이터 센터를 운영하는 일부 대기업은 BIG-IP DNS와 DNS Express 및 BIG-IP AFM 방화벽 모듈을 함께 사용하여 기본 보안 경계 외부에서 DNS를 제공합니다. 이 접근 방식의 주요 이점은 DDoS로 인해 네트워크 방어 계층이 오프라인 상태가 되더라도 DNS 서비스를 계속 사용할 수 있다는 것입니다.
DNS가 DMZ 내부에서 제공되는지 외부에서 제공되는지와 관계없이, BIG-IP DNS 또는 BIG-IP AFM은 DNS 요청이 DNS 서버에 도달하기 전에 이를 검증할 수 있습니다.
참조 아키텍처 사용 사례
다음은 세 가지 일반적인 고객 시나리오에 해당하는 참조 아키텍처의 세 가지 사용 사례입니다:
- 관리형 서비스 제공업체(모바일 또는 유선)
- 대형 금융 서비스 기관(FSI) 데이터 센터
- 엔터프라이즈 데이터 센터
아래의 각 사용 사례에는 배포 시나리오 다이어그램, 해당 사용 사례의 세부 사항에 대한 간략한 설명, 그리고 해당 시나리오에 권장되는 F5 구성 요소가 포함되어 있습니다. 추가 용량 산정 정보는 그림 14도 참조하십시오.
관리형 서비스 제공업체 DDoS 방어 참조 아키텍처(모바일 또는 유선)
MSP 데이터 센터 사용 사례의 핵심은 데이터 센터 리소스의 가치를 극대화하면서 다양한 애플리케이션에 보안을 제공하는 것입니다. 투자 수익률(ROI)은 MSP에게 매우 중요합니다. MSP는 가능하다면 하나의 장비로 모든 작업을 처리하고자 하며, DDoS 공격 중에는 오프라인 상태가 되는 것도 감수할 수 있습니다.
이 사용 사례에서 MSP는 모든 것을 하나에 집중하고 있습니다. 가장 비용 효율적인 솔루션을 확보할 수 있지만, 가용성 측면에서 가장 큰 과제에 직면하게 됩니다.
반면, 조직은 심층적인 지식을 갖춘 전문 리소스를 단일 플랫폼에 집중함으로써 효율성을 높일 수 있습니다. F5는 고가용성 시스템, 탁월한 확장성과 성능, 세계적 수준의 지원을 제공하여 위험을 더욱 줄이는 데 도움을 줍니다.
물론, 비용 절감은 이러한 통합 아키텍처의 가장 큰 이점입니다. 우수한 DDoS 솔루션은 매일 수익 창출 애플리케이션을 제공하는 데 이미 사용 중인 장비를 활용합니다. 통합 환경은 랙 공간, 전력 및 관리 비용을 절감하는 데 도움이 됩니다.
대규모 금융 서비스 기관(FSI)을 위한 DDoS 방어 참조 아키텍처
대규모 FSI 시나리오
대규모 FSI 데이터 센터 시나리오는 DDoS 방어의 성숙하고 널리 알려진 사용 사례입니다. 일반적으로 FSI는 여러 서비스 제공업체를 이용하지만, 다른 스크러빙 서비스를 선택하기 위해 해당 제공업체의 대용량 DDoS 방어 서비스를 사용하지 않을 수 있습니다. 또한 이들 중 다수는 주 클라우드 스크러버가 대용량 DDoS 공격을 완화하지 못하는 상황에 대비해 백업 클라우드 스크러버를 운용할 수 있습니다.
FSI 데이터 센터에는 일반적으로 상주하는 기업 직원이 거의 없으므로 차세대 방화벽이 필요하지 않습니다.
FSI는 연방 군사 기관을 제외하면 가장 엄격한 보안 정책을 적용합니다. 예를 들어, 거의 모든 FSI는 데이터 센터 전체에서 페이로드를 암호화된 상태로 유지해야 합니다. FSI는 인터넷에서 가장 가치가 높은 자산군(은행 계좌)을 보유하고 있어 DDoS뿐만 아니라 해킹의 표적이 되는 경우도 많습니다. 2계층 온프레미스 아키텍처를 사용하면 FSI 조직은 네트워크 계층에 대한 투자와 별개로 애플리케이션 계층에서 CPU 집약적인 종합 보안 정책을 확장할 수 있습니다.
이 사용 사례를 통해 FSI는 기존 보안 장비를 그대로 유지하면서(실제로는 적극 활용하면서) DDoS 공격에 강한 솔루션을 구축할 수 있습니다. 네트워크 방어 계층의 방화벽은 계속해서 제 역할을 수행하고, 애플리케이션 방어 계층의 BIG-IP 장치는 보안 침해를 지속적으로 방지합니다.
엔터프라이즈 DDoS 보호 참조 아키텍처
기업 고객 시나리오
기업의 DDoS 방어 시나리오는 대규모 FSI 시나리오와 유사합니다. 가장 큰 차이점은 기업의 경우 데이터 센터 내부에 직원이 근무하므로 차세대 방화벽(NGFW) 서비스가 필요하다는 것입니다. 인바운드 및 아웃바운드 트래픽 모두에 단일 NGFW를 사용하고 싶을 수 있지만, NGFW는 진화하거나 다중 벡터로 이루어진 DDoS 공격을 처리하도록 설계되지 않았기 때문에 이 경우 DDoS 공격에 취약해집니다.
F5는 기업이 F5 Silverline과 같은 클라우드 스크러빙 서비스를 통해 대규모 트래픽 기반 DDoS 공격에 대한 보호 기능을 확보할 것을 권장합니다. 권장되는 기업용 온프레미스 아키텍처에서는 인바운드 애플리케이션 트래픽과 별도의 경로에 소규모 NGFW를 배치합니다. 네트워크 방어 계층과 애플리케이션 방어 계층을 사용하면 CPU 리소스가 부족할 때 F5 WAF 장비를 추가하는 방식으로 비대칭 확장의 이점을 활용할 수 있습니다.
업종과 기업마다 요구 사항이 다릅니다. 엔터프라이즈 아키텍처의 두 계층 모두에서 F5 장비를 사용하면 고객은 SSL 트래픽을 복호화하고 필요에 따라 다시 암호화하기에 가장 적합한 위치를 결정할 수 있습니다. 예를 들어 기업은 네트워크 방어 계층에서 SSL을 복호화한 후, 복호화된 트래픽을 지능형 위협을 모니터링하는 네트워크 탭으로 미러링할 수 있습니다.
사이징 사양
그림 14는 조직의 확장 요구 사항을 충족할 수 있는 다양한 F5 하드웨어 장치의 사양을 보여 줍니다.
결론
이 권장 DDoS 방어 참조 아키텍처는 고객과 함께 DDoS 공격에 대응해 온 F5의 오랜 경험을 바탕으로 합니다. 서비스 제공업체들은 통합된 접근 방식으로 성과를 거두고 있습니다. 글로벌 금융 서비스 기관들은 권장 하이브리드 아키텍처가 모든 보안 제어를 배치하기에 가장 이상적이라는 점을 인식하고 있습니다. 엔터프라이즈 고객들 역시 이 아키텍처를 중심으로 보안 제어를 재배치하고 재설계하고 있습니다. 당분간 하이브리드 DDoS 방어 아키텍처는 최신 DDoS 위협에 대응하는 데 아키텍트에게 필요한 유연성과 관리 편의성을 지속적으로 제공할 것입니다.
2020년 10월 1일 게시