클라우드에서 일관된 보안에는 일관성이 필요합니다.
지난 4년 동안 우리는 전 세계 응답자들에게 최신 멀티 클라우드 운영 모델로의 전환 과정에서 직면한 과제에 대해 물었습니다.
지난 3년 동안, 우리는 항상 가장 큰 과제는 "모든 애플리케이션에서 일관된 보안을 유지하는 것"이라는 말을 들어왔습니다. 물론 그러한 과제의 일부는 조직이 우연히 멀티 클라우드 현실에서 운영되는 방식 때문일 것입니다. 대부분은 '기존 IT의 비효율성을 해결하기 위해' 클라우드를 도입한 개발자와 사업부를 통해 이런 상황에 빠졌습니다. 오늘날 멀티 클라우드는 배포되는 애플리케이션 유형에 따라 주로 결정되는 의식적인 결정입니다 .
하지만 모든 애플리케이션에서 일관된 보안을 유지해야 하는 과제는 여전히 남아 있습니다. 원인 중 하나는 애플리케이션 서비스가 보호하는 애플리케이션과 함께 항상 움직이지 않는다는 것입니다. 2019년 애플리케이션 서비스 현황 에서 다음 사항을 고려하세요.
온프레미스와 퍼블릭 클라우드 앱 서비스 배포 간의 불일치로 인해 보안 문제가 발생합니다. 전체적으로 사용 중인 애플리케이션 서비스의 평균 수는 14개이지만, 퍼블릭 클라우드 배포의 경우 이 수가 절반으로 줄어듭니다. 즉, 기업들은 퍼블릭 클라우드에 앱을 배포하고 있지만, 동일한 속도로 애플리케이션 서비스를 배포하지 않고 있다는 의미입니다.
응답자의 66%는 WAF를 구축했지만, 퍼블릭 클라우드에 구축된 프로덕션 애플리케이션에 WAF를 사용한다고 답한 사람은 33%에 불과했습니다. 보안과 관련된 다른 애플리케이션 서비스도 퍼블릭 클라우드에서 비슷한 수준의 사용 감소를 겪고 있는데, 이는 이를 시행하는 애플리케이션 서비스 없이는 보안 정책 동등성을 달성하는 것이 거의 불가능하기 때문에 문제가 됩니다.
디지털 혁신 이니셔티브를 추진하는 조직의 절반 가까이(48%)가 여러 클라우드 플랫폼에 분산된 애플리케이션에 대한 일관된 보안을 구축하는 데 어려움을 겪고 있으며, 45%는 기존 및 새로운 위협으로부터 앱을 보호하는 것이 가장 큰 과제라고 답했습니다.
여기서 주의해야 할 점은 세 가지입니다. 첫째, 퍼블릭 클라우드에서 보호하도록 설계된 애플리케이션과 함께 보안 관련 애플리케이션 서비스가 배포되지 않았습니다. 따라서 기존 및 새로운 위협으로부터 앱을 보호하는 능력에 대한 질문을 받은 응답자의 45%에게 답하는 것은 비교적 쉽습니다. 앱을 보호하기 위해 보안 애플리케이션 서비스를 배포하는 것부터 시작하세요. 완벽하지는 않지만 고급 웹 애플리케이션 방화벽, 행동 기반 DDoS 보호, 봇 방어와 같은 최신 애플리케이션 서비스를 이용하면 새롭게 등장하는 위협으로 인해 대비하지 못하는 위험을 크게 줄일 수 있습니다. 오늘날 이러한 서비스가 배포되는 속도를 고려할 때 일관된 보안이라는 과제를 해결하는 좋은 방법은 모든 환경에서 앱을 보호하기 위해 배포하는 애플리케이션 서비스에 대해 일관성을 유지하는 것입니다.
두 번째는 - 아마도 덜 명확할 수도 있지만 - 일관성이 애플리케이션 서비스에만 국한되지 않는다는 점입니다. 결국, 웹 애플리케이션 방화벽은 다양하지만 그 기능은 반드시 동일한 것은 아닙니다. 기능의 일관성을 가정하더라도 ON-PREM WAF A의 정책을 가져와 OFF-PREM WAF B에서 사용할 수 있는 것으로 변환하려는 것은 상당히 엄청난 작업입니다. 마치 누군가에게 그들이 이해하지 못하는 언어로 작성된 "방법" 문서를 건네주는 것과 같습니다. 그래서 먼저 번역을 해야 하는데, 그러려면 시간이 걸리고 두 언어에 대한 전문성도 필요합니다. 따라서 해당 애플리케이션 서비스에 대해 단일 공급자를 표준화하면 모든 애플리케이션에서 보안 정책을 일관되게 적용하기가 더 쉬울 것입니다. 하나의 서비스, 하나의 언어, 하나의 정책.
가장 많은 애플리케이션 서비스 응답자가 보안 없이 애플리케이션을 배포하지 않는다고 답한 것은 다소 아이러니한 일이지만, 배포 세부 정보를 살펴보면 그게 전적으로 사실이 아니라는 걸 알 수 있습니다. 적어도 클라우드에서는 보안이 필요 이상으로 밀려나는 경우가 빈번한 것 같습니다.
마지막으로 - 가장 눈에 띄지 않는 점은 - 여러 클라우드와 데이터 센터에서 애플리케이션 서비스를 수동으로 관리하는 데 따른 운영상의 부담을 무시하지 말아야 한다는 것입니다. 여러 지역에 분산되어 있는 경우, 같은 일이라도 수동으로 관리하는 것이 훨씬 더 어렵습니다. 정책을 코드 아티팩트처럼 취급하고 자동화를 고려하여 서비스와 관련 정책을 배포하면 그렇지 않았을 때 발생할 수 있는 실수, 오류 및 누락을 줄일 수 있습니다. 자동화와 오케스트레이션은 동일한 결과를 반복해서 복제할 수 있는 스크립트와 코드의 본질을 통해 일관성을 달성합니다. 고대 그리스 철학자 아리스토텔레스는 "우리는 우리가 반복적으로 하는 행동으로 만들어집니다. 그러므로 우수성이란 행동이 아니라 습관이다." 따라서 자동화와 오케스트레이션은 멀티 클라우드 일관성을 추구하는 데 있어 중요한 습관(실행)으로 간주되어야 합니다.
멀티 클라우드 환경에서 모든 애플리케이션에 걸쳐 일관된 보안을 달성하려면 일관성이 필요합니다.
- 애플리케이션을 보호하고 방어하는 애플리케이션 서비스 배포의 일관성
- 모든 환경에서 애플리케이션 서비스 기능의 일관성
- 자동화 및 오케스트레이션을 사용하여 빠르고 빈번하고 일관된 애플리케이션 서비스 및 보안 정책 배포를 용이하게 합니다.
일관된 보안을 위해서는 일관된 행동, 관행 및 도구가 필요합니다. 세 조직을 모두 결합하면 애플리케이션은 물론, 이를 사용하는 기업과 소비자를 보호하는 습관을 들이고 보안 관행에서 일관성을 확보할 수 있습니다.