패킷 수준 보안 기술을 위한 공유 프로세스

상태 저장 검사 방화벽, IPSEC, 부하 분산 등 패킷 수준의 네트워킹 및 보안 기술은 각 패킷에 필요한 CPU 사이클 수 측면에서 컴퓨팅 요구 사항을 낮춥니다.
또한 패킷당 처리량이 매우 일정하여 성능 예측을 간소화합니다.
오늘날의 환경에서 보안 기능(예: FWaaS)은 클라우드/지점(PoP)에 이러한 기능을 배포하는 서비스 제공업체에 의해 서비스로 제공됩니다.
여러 테넌트를 지원하기 위해 기본 보안 기술 구현은 가상 라우팅 및 포워딩(VRF) 테넌시 모델을 활용합니다.
이 모델에서는 여러 테넌트의 트래픽이 동일한 보안 장치 또는 컨테이너/프로세스를 통과하므로 테넌트 간 IP 주소 중복과 관련된 문제를 효과적으로 해결할 수 있습니다.
테넌트 트래픽은 터널 인터페이스 또는 기타 메커니즘을 통해 식별되며, 테넌트별 보안 정책 등 각 테넌트에 맞는 특정 구성이 그에 따라 적용됩니다.
잠재적인 ‘노이즈 이웃’ 문제를 완화하기 위해 테넌트별로 패킷 속도 제한이 인그레스에서 적용됩니다.
이 전략은 각 개별 테넌트의 보안 성능이 잠재적으로 문제가 될 수 있는 다른 테넌트의 활동에 영향을 받지 않도록 보장합니다.
일관된 패킷별 처리를 고려할 때 속도 제한은 모든 테넌트에 대해 공평한 처리 처리를 보장하는 데 효과적이라는 것이 입증되었습니다.
조직이 우려하는 또 다른 중요한 문제는 다른 테넌트의 악성 패킷이 공유 프로세스 또는 컨테이너 내의 취약점을 악용하여 민감한 데이터가 유출될 수 있다는 점입니다.
보안 서비스 제공업체는 패킷 단위로 처리하기 때문에 취약점과 그에 따른 악용 가능성을 줄일 수 있다는 주장을 종종 합니다.
패킷 단위 보안 기술이 더 간단한 것은 사실이며, 이 주장은 어느 정도 타당성이 있습니다.
앞서 언급한 두 가지 문제, 즉 ‘노이즈 이웃’ 문제와 ‘공유 리소스 취약성’은 공유 프로세스를 활용하는 패킷 수준 보안 기술에서는 큰 문제가 되지 않을 수 있습니다.
그러나 이러한 문제는 SASE(보안 접속 서비스 엣지) 또는 SSE(보안 서비스 엣지) 보안 기술의 경우 더 뚜렷하고 심각한 문제가 될 수 있다고 생각합니다.

패킷 수준 보안 기술과 SASE/SSE 보안의 차이점 및 과제

기존의 패킷 수준 보안을 뛰어넘는 SASE/SSE(보안 액세스 서비스 엣지/보안 서비스 엣지) 보안 기술은 포괄적인 기능을 제공합니다:

  • 포괄적인 보안 기능: SASE/SSE는 IDPS(침입 탐지 및 방지), DNS 보안, SWG(보안 웹 게이트웨이), ZTNA(제로 트러스트 네트워크 액세스), IP/URL/도메인/파일 평판 방화벽이 포함된 CASB(클라우드 액세스 보안 브로커), URI, 요청 헤더, 응답 헤더, 안티 멀웨어, DLP(데이터 유출 방지) 등의 심층 트래픽 수준 속성을 통한 액세스 제어를 포함한 광범위한 보안 기능을 포괄합니다. SASE/SSE의 제로 트러스트 네트워킹(ZTN)은 기본적으로 사용자 인증 및 권한이 부여된 경우에만 액세스를 보장하며, ID와 디바이스 컨텍스트를 고려하면서 애플리케이션 리소스를 세밀하게 제어합니다.
  • 심층 콘텐츠 검사: SASE/SSE 보안의 핵심은 심층 콘텐츠 검사에 있습니다.
    클라이언트 연결을 관리하고, 서버 연결을 시작하고, 스트림을 해독하고, 트래픽에서 관련 데이터를 추출하고, 보안 기능을 수행하고, 악성 콘텐츠의 전송을 방지하는 프록시를 활용합니다.

이제 SASE/SSE와 패킷 수준 보안 기술의 실행 차이점에 대해 자세히 알아보겠습니다:

  • 패킷 단위에서 세션 기반 처리로 전환: SASE/SSE의 맥락에서 보안 실행은 더 이상 패킷 단위가 아니라 트래픽 세션 스트림 수준에서 작동합니다.
    패킷 단위 기술과 달리, 다음과 같은 이유로 테넌트 간에 SASE/SSE 보안 처리에 사용되는 컴퓨팅 주기 수에 변동성이 있습니다:

    • 트래픽 스트림에 적용되는 보안 기능은 테넌트마다 다를 수 있습니다.
    • 유사한 보안 기능을 적용하더라도 교환되는 데이터의 특성에 따라 더 집중적인 처리가 필요할 수 있습니다.
      예를 들어 다양한 파일 유형에서 텍스트를 추출하고, 전송된 파일의 압축을 풀고, 파일 컬렉션의 압축을 푸는 등의 작업이 필요한 안티멀웨어 및 DLP와 관련된 시나리오를 생각해 보세요.
      일부 테넌트는 압축 파일을 전송하여 처리량이 많아져 다른 테넌트의 처리량과 지연 시간에 영향을 미칠 수 있습니다.
      특정 테넌트에서 발생하는 노이즈는 감염 또는 중요한 이벤트 기간 동안의 높은 비즈니스 트래픽으로 인해 다른 테넌트의 트래픽 성능에 영향을 줄 수 있습니다.
  • 복잡한 보안 처리: SASE/SSE 보안 처리는 본질적으로 복잡하며, 종종 타사 및 오픈 소스 구성 요소를 포함한 다양한 라이브러리를 통합합니다.
    여기에는 인증을 위한 OIDC(OpenID Connect) 클라이언트, Kerberos 클라이언트, SAMLv2 클라이언트, 시행을 위한 복잡한 정책 엔진, 위협 인텔리전스 제공업체의 SDK, 데이터 추출, JSON/XML 디코딩, base64 디코딩, 데이터 압축 해제 엔진, Tika와 같은 오픈 소스 프로젝트를 통한 텍스트 추출 등의 기능이 포함되며 안티멀웨어 및 DLP 등의 데이터 수준 보안을 위한 다른 기능도 포함됩니다.
    이러한 복잡성은 잠재적인 악용의 공격 표면을 증가시킵니다.
    SASE/SSE 제공업체는 취약점을 신속하게 해결하는 것을 우선시하지만, 익스플로잇과 해결 사이에 시간 차이가 존재할 수 있습니다.
    여러 테넌트에 공유 프로세스를 사용하는 경우 공격자는 잠재적으로 취약점을 악용하여 의도한 테넌트뿐만 아니라 해당 실행 컨텍스트를 공유하는 모든 테넌트의 데이터에서 중요한 정보에 액세스할 수 있습니다.
  • 나만의 보안 기능을 도입하세요: SASE/SSE 서비스는 기본적으로 포괄적인 보안 기능을 제공하지만, 조직이 Lua 모듈 또는 WASM(WebAssembly) 모듈을 사용하여 맞춤형 보안 기능을 도입할 수 있는 유연성도 제공합니다.
    그러나 이러한 경우 공유 프로세스는 신중하게 관리하지 않으면 다른 테넌트의 데이터 유출로 이어질 수 있기 때문에 상당한 문제를 야기할 수 있습니다.
    공유 프로세스를 사용하는 경우 이러한 문제를 해결하는 것은 더욱 복잡해지며, 이러한 제어를 우회할 수 있는 잠재적인 방법이 항상 존재할 수 있습니다.

요약하자면, SASE/SSE 보안은 패킷 수준 보안을 넘어서는 포괄적인 보안 프레임워크를 제공하지만, 다양한 컴퓨팅 사용량, 복잡한 처리 및 공유 리소스와 관련된 복잡성과 과제를 안고 있습니다.
이러한 환경에서 강력한 보안을 유지하는 것은 성능 문제와 데이터 유출 및 개인정보 침해로부터 보호하는 데 매우 중요합니다.

실행 격리를 제공하는 SASE/SSE 솔루션 찾기

조직은 여러 테넌트를 위해 공유 프로세스를 사용하는 SASE/SSE 제공업체의 근거를 의심할 여지 없이 중요하게 생각합니다.
이 접근 방식은 테넌트 간의 컴퓨팅 리소스를 효율적으로 활용하여 지속 가능성과 비용 효율성에 기여합니다.
서비스 제공업체는 이러한 비용 절감 효과를 고객에게 전가할 수 있습니다.
그러나 일부 업계에서는 멀티 테넌시 아키텍처 및 공유 프로세스와 관련된 보안 위험을 받아들이기를 꺼려합니다.
일부 조직은 향후 보다 위험을 회피하는 접근 방식이 필요할 것으로 예상할 수 있습니다.
이러한 경우, 조직은 공유 프로세스와 전용 프로세스/컨테이너 모두에 대한 옵션을 제공하여 유연성을 제공하는 SASE/SSE 서비스를 찾아야 합니다.
트래픽 처리를 위한 전용 프로세스/컨테이너가 있는 전용 실행 컨텍스트는 이전 섹션에서 설명한 문제를 효과적으로 해결할 수 있습니다:

  • 성능 격리: “노이즈가 많은 테넌트”에 대한 걱정 없이 결정론적 성능을 달성할 수 있습니다.
    전용 실행 컨텍스트를 사용하면 개별 테넌트에 전용 컴퓨팅 리소스를 할당하는 것이 비교적 간단합니다.
    또한 컴퓨팅 노드의 모든 리소스를 사용하는 노이즈가 많은 이웃 노드로부터 리소스 제한을 구성할 수도 있습니다.
  • 보안 격리: 전용 실행 컨텍스트는 악의적인 의도나 내부자 위협이 한 테넌트의 SASE/SSE 서비스를 악용하려는 시도가 전용 실행 컨텍스트를 선택한 테넌트에 대한 데이터 유출로 이어지지 않도록 보장합니다.
  • 걱정 없는 ‘자체 보안 기능 제공’: 전용 실행 컨텍스트는 의심할 여지 없이 Lua 스크립트/WASM 모듈이 전용 프로세스 내에서만 실행되도록 보장합니다.
    따라서 처리 또는 데이터 유출 문제는 테넌트가 사용자 지정 보안 기능을 가져오는 경우에만 발생하므로 서비스 제공자가 전용 프로세스에 대해서만 이 기능을 활성화하면 다른 테넌트도 안심할 수 있습니다.

미래의 요구 사항 예측: 기밀 컴퓨팅의 중요성

미래를 내다보면서 일부 조직에서는 기밀 컴퓨팅의 중요성이 점점 더 커지고 있음을 인식하고 있습니다.
이러한 인식은 특히 TLS 검사 및 SASE/SSE 서비스 내에서 비밀 및 비밀번호를 포함한 수많은 민감한 데이터의 관리와 관련이 있습니다.
서비스 제공업체 직원 등 서버 인프라에 액세스할 수 있는 직원이 프로세스 및 컨테이너의 메모리에 무단으로 액세스할 수 있다는 우려가 반복적으로 제기되고 있습니다.
또한 서버 운영 체제를 악용하는 공격자들도 이러한 컨테이너와 프로세스의 메모리를 침해할 수 있습니다.
이러한 우려는 법적 정의와 구현 수준이 서로 다른 여러 국가의 여러 거점(POP)에서 서비스를 이용할 수 있는 상황에서 더욱 두드러집니다.
인텔 트러스트 도메인 확장(TDx)이 탑재된 프로세서와 같은 최신 프로세서는 신뢰할 수 있는 실행을 위한 고급 기능을 제공합니다.
이러한 기술은 TDx 하드웨어에 의해 안전하게 암호화된 상태로 유지되므로 인프라 관리자나 높은 권한을 가진 공격자라도 메모리 콘텐츠를 해독할 수 없도록 하는 데 중요한 역할을 합니다.
전용 실행 컨텍스트를 제공하는 SASE/SSE 제공업체는 다른 업체에 비해 이 필수적인 기밀성 기능을 제공할 수 있는 유리한 위치에 있습니다.
따라서 조직은 공유 프로세스와 전용 실행 컨텍스트의 유연성을 모두 제공하는 제공업체를 고려할 것을 강력히 권장합니다.
이러한 유연성은 위험 완화 전략을 미래에 대비하고 진화하는 환경에서 최고 수준의 데이터 보안을 보장하는 데 도움이 됩니다.

  • CTO 인사이트 블로그

    아리아카 CTO 인사이트 블로그 시리즈는 네트워크, 보안 및 SASE 주제에 대한 사고 리더십을 제공합니다.
    아리아카 제품 사양은 아리아카 데이터시트를 참조하세요.