[통합 보안솔루션③] 고가용성으로 보안솔루션의 한계를 극복하라
상태바
[통합 보안솔루션③] 고가용성으로 보안솔루션의 한계를 극복하라
  • 구자만 데이타크레프트 코리아 프로페셔널 서비스팀
  • 승인 2003.09.03 00:00
  • 댓글 0
이 기사를 공유합니다

IT 경제가 회복되지 않으면서 적은 비용으로 효과를 극대화하기 위한 기업 내 담당자들이나 매출증대를 꾀하는 IT업계의 고가용성에 대한 관심이 높아가고 있다.

고가용성이란 하드웨어나 소프트웨어 장애에도 불구하고 사용자가 특정 애플리케이션이나 디바이스를 지속적으로 사용할 수 있도록 고안된 컴퓨터 시스템을 광의의 개념으로 나타낸 것이다. 보안 솔루션 역시 이러한 고가용 시스템이 뒷받침 되야 24시간 중단 없는 보안 서비스를 유지할 수 있다. 나아가 최근에는 HA 외에도 두 디바이스 모두를 사용하면서 HA 기능까지 사용 가능한 로드밸런싱 또한 HA의 주류로 등장하고 있다. <편집자>

단계적 가용성 보안 시스템 구축

1단계: 신뢰적인 보안시스템 구축

가용성 보안 시스템 구축의 가장 기본적인 시스템으로 보안 시스템의 서비스 중단은 수분 이내로 최소화돼야 한다. 업무시간 외에 계획된 관리 작업이 수행되고 뜻하지 않은 다운타임이 발생되어도 내부 중요 자원의 무결함 및 외부의 침입이나 내부의 침해로부터 안전해야 한다.

이를 위한 기술요소로는 효과적인 보안 관제 시스템을 통한 지속적인 모니터링 또는 침입탐지 시스템을 이용한 주기적 침해 정도의 인지 또한 취약성 분석 시스템 등을 통한 자사 네트워크의 취약성 정도는 파악을 하고 있어야 한다. 그리고 부가적으로 벤더 및 유지보수업체로부터의 사전 예방적인 점검, 또는 헬프데스크를 통한 지원 및 지속적인 시스템 및 애플리케이션의 업데이트 계약은 반드시 유지해야만 한다.

2단계: 고가용적인 보안 시스템 구축

대부분의 경우 클러스터링 방법을 이용해 2대 이상의 보안 시스템을 하나로 묶어 가상적인 한 시스템처럼 운영되는 방법을 택한다. 이 경우 최대한의 가용성을 확보하기 위해 원래 시스템이 업데이트되거나 계획된 관리작업 또는 계획되지 않은 장애가 발생시 두 번째 시스템이 지속적으로 원래 시스템이 수행하던 보안 서비스를 지속적으로 제공하게 된다.

또한 메시구조의 레이어 4 스위치를 이용한 보안 네트워크 구축으로 한 방향의 보안 서비스 중단 시 다른 방향이 그 몫을 충분히 해결하도록 구성하고 있다. 비 계획적인 다운타임이 발생하면 시스템 절체 및 원상회복을 위한 모든 보안 프로세스들은 수초 이내에(99.999%의 가용성 확보 핑이 10개 이내로 드롭되는 정도) 이뤄지는 것을 목표로 하게 되는데 이런 기술은 네트워크로 연결된 서로 독립적인 수대의 보안 시스템 구성(클러스터링) 방법 및 고가용성을 갖춘 보안 소프트웨어와의 상호 연결 등의 요소에 의해 얻어지게 된다.

미션 크리티컬한 업무를 수행키 위해서는 이 정도 이상의 시스템이 구성되어야 하며 이 수준의 시스템을 유지하기 위해서는 제공 벤더와 서비스 수준에 대한 사전 동의서가 준비되어야만 하고, 벤더와 고객은 보다 고가용적인 보안 서비스를 위한 상호 비즈니스 동반자 관계를 가지게 된다.

3단계: 중단 없는 보안시스템 구축

가용성 보안 시스템 구축의 상위의 시스템 구조로 무정지/무장애 보안 시스템의 이상적 단계라 할 수 있다. 이 시스템은 일년 365일 지속적으로 운영 가능한 상태에 있게 되지만, 수초 이내에 전자동적으로 복구가 일어나게 되고 운영자 입장에서는 이를 감지하지 못할 정도의 순간적인 서비스 중단 사태는 발생할 수 있다. 방화벽 로그의 백업과 같이 사전에 계획된 관리작업들은 온라인 상태에서 수행되며, 이 수준 정도의 시스템 운영은 백업 또는 스탠바이 시스템과 완벽하게 연결된다.

이런 연속적인 가용성을 갖춘 시스템을 위해서는 대부분의 경우 무정지/무장애 시스템에 사용되는 특별한 시스템 구조를 적용하게 된다. 시스템 벤더의 유지보수 지원도 일반 시스템과는 다른 최상위의 문제해결 절차 및 최단 시간 내 최대의 현장 지원을 보장하게 됨은 물론, 신뢰성 있는 비즈니스 동반자 수준으로서 해당 조직의 목표와 최대한의 시스템 가용성을 확보하기 위해 능동적으로 참여하게 된다. 침입탐지시스템 같은 경우에는 최신의 시그니처(Signature)를 항상 업데이트하고 있어야 하며 새로운 웜이라든지 해킹 패턴이 나왔을 경우 바로 업데이트 수준을 최신으로 유지하여야만한다.

또한 침입차단시스템 같은 경우는 특정한 작업을 위해 열어놓은 룰(Rule)이라든지 포트 등은 원래의 보안 상태로 항상 유지해 놓아야 한다. 보안시스템에서의 홀(Hole) 방지는 바로 중단없는 서비스를 향한 첫걸음이기 때문이다.

멀티 레이어 스위치를 통한 고가용성 보안 네트워크 구축

고가용성을 향한 무정지/무장애의 보안 시스템을 위한 중에 요즘 크게 부각되고 있는 레이어 7 이상의 멀티 레이어 스위치를 통해 로드밸런싱을 통한 고가용성 확보로 보안시스템의 한계 극복 노력을 살펴보겠다.

침입차단시스템이나 침입탐지시스템, VPN 등 보안 장비의 클러스터를 구축하는 것은 물론, 뛰어난 패킷처리 기능을 통한 바이러스월 역할까지 담당하고 있는 것이 요즘 멀티 레이어 스위치의 역할이다. 멀티 레이어 스위치는 도입초기에는 보안 장비로 쓰일 목적은 아니었다 스위치 자체가 레이어 2 장비였던데 비해 상위 계층으로 점점 올라가면서 TCP, UDP 등의 프로토콜에 대한 컨트롤 역할을 수행하게 되면서 트래픽 제어 등의 기능이 추가됐다. 여기에 7계층인 애플리케이션 계층 기능 추가로 직접적인 패킷필터링 및 QoS 기능까지 가능해지면서 보안 기능을 수용한 장비로 인식하게 된 것이다. 이러한 멀티 레이어 스위치는 고가용성을 위한 로드밸런싱이 기본으로 제공된다.

멀티 레이어 스위치의 기본 개념이나 개발 목적은 트래픽 제어를 통해 보다 효율적인 네트워크 환경을 만들자는 것이었다. 전용 ASIC을 사용하고 벤더 나름대로의 기술을 장비에 이식하면서부터 네트워크 및 보안 장비로 거듭나고 있으며, 기본 기능인 SLB(Server Load Balancing)나 LLB(Line Load Balancing) 외에도 파이어월, VPN, IDS 등 보안 장비의 로드밸런싱 기능이 추가되기 시작했다.

특히 FWLB(Firewall Load Balncing) 기능의 수용으로 레이어 4 스위치가 장악하고 있던 시장에 발을 성공적으로 내디뎠다. 방화벽 로드밸런싱 외에 SLB 및 웜 차단 기능까지 수용 가능하고 더욱이 다계층 스위치의 패킷 분석능력이 특정 안티바이러스 디바이스보다 뛰어나다고 알려지면서 최근 웜에 의한 피해가 잇다르자 별다른 성능 저하나 지연 없이 이 같은 바이러스를 막을 수 있는 멀티 레이어 스위치에 대한 관심이 크게 증폭되고 있다. 특히 고가용성을 요구하는 고객의 입맛에 맞아 떨어지고 있는 것이다.

고가용성 보안 시스템 설계

기업은 보안 시스템의 고가용성을 구현함으로써 다음과 같은 이점을 얻을 수 있다.

- 재정 손실 방지
- 생산성 손실 방지
- 고객 만족도/충성도 향상
- IT 응답 지원 비용 감소로 인해 IT 생산성 증가
- 중요한 업무용 DMZ 존(Zone)을 설치해 새로운 업무 수행 지원

고가용성과 테크놀로지는 정보에 액세스하고 이를 전달하는 네트워크 성능과 유연성을 향상시키며 또한 보안시스템의 중단 없는 서비스를 통해 재정 손실 및 생산성 손실을 방지한다 이로 인해 기업과 기업간의 만족도 및 기업과 고객과의 신뢰성 또한 깊어진다. 또한 보안 네트워크의 분리를 통한 DMZ의 활성화는 중요 서버 및 시스템들의 안정성과 가용성을 보장해준다. 보안시스템의 고가용성을 실현하려면 다음과 같이 철저히 계획된 최적의 방식으로 보안 시스템의 복구 성능을 활용할 수 있도록 적절하게 정의된 토폴로지 및 구성이 필요하다.

최적의 고가용성 시큐어 서버팜 설계

신속하게 복구되어질 수 있는 서버 팜은 기업 서버에 중앙집중적이고 확장적인 장애 방지형 연결성을 제공할 수 있도록 지원하는 캠퍼스 설계의 구성 요소다. 서버 팜 설계를 통해 속도 및 리던던시에 대한 다중 연결성 옵션을 해결함으로써 유연한 보안 시스템 네트워크 설치를 실현할 수 있다.

다양한 방법(클러스터링, HA, 로드밸런싱, 페일오버) 등을 통하여 완벽한 이중화를 구성해야하며, 연결 방식에 있어서도 고속의 서버 로드밸런싱이 기초로 프로토콜 업링크 패스트(Uplink-Fast), 포트 패스트(Port-Fast), PVST (Per-Vlan-Spanning-Tree) 및 UDLD(Uni-directional link detection)와 같은 레이어 2 기능과 견고하고 신뢰성 있는 OSPF와 IGRP, VRRP 등의 레이어 3 기능을 포함한 설계가 이뤄져야한다.

<그림 1>과 같이 안정된 확장 가능 서버 팜을 액세스단과 디스트리뷰션단에 설계하고 벤더에서 제공하는 각종 툴을 사용하면 신속하게 복구될 수 있는 확장 가능 기업 서버 팜을 매우 시큐어하게 구축할 수 있다.

고가용적 보안 인트라넷

일반적인 설계의 경우, 캠퍼스 건물 또는 그외 시설들은 고성능 스위치형 백본을 통해 연결된다. 각 레이어에는 네트워크 리던던시와 고가용성이 제공된다. 중앙집중화된 고용량 서버 팜은 캠퍼스에 자원를 제공하며, 고성능 기가비트급 방화벽과 각종 보안 시스템 등은 이중화로 고가용성을 보장하게 된다. 이를 통해 고가용적이면서도 보안이 강화된 관리 전략을 수립할 수 있다.


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.