에이전트 기반 보안과 에이전트 없는 보안: 가장 좋은 접근 방식은 무엇인가요?

수년 동안 사이버 보안은 절충의 게임이었습니다. 강력한 보안을 원하시나요? 복잡성과 성능 저하에 대비하세요. 가벼운 접근 방식이 필요하신가요? 가시성과 제어 기능을 희생할 준비를 하세요.

그렇기 때문에 애초에 에이전트 기반 보안과 에이전트 없는 보안에 대한 논쟁이 존재합니다.

기존 보안 팀은 심층적인 보호와 운영 효율성 사이에서 선택해야 합니다. 에이전트 기반 솔루션은 세분화된 가시성과 시행을 제공하지만 리소스 오버헤드가 발생합니다. 에이전트 없는 보안은 워크로드에 미치는 영향을 최소화하지만 심층적인 인사이트와 정밀한 제어가 부족합니다.

그렇다면 최신 사이버 보안을 위한 올바른 접근 방식은 무엇일까요? 자세히 살펴보겠습니다.

사이버 보안 에이전트: 장단점

사이버 보안 에이전트를 워크로드에 직접 배포하는 것은 보안을 강화하는 강력한 방법이 될 수 있습니다. 하지만 단점도 있습니다.  

보안 솔루션을 워크로드에 직접 에이전트로 배포하면 보안 솔루션이 필요한 리소스에 최대한 가깝게 보호 기능을 제공할 수 있습니다. 즉,

• 더 강력한 보안. 신뢰 경계가 필요한 곳에 정확히 설정되어 틈이 생길 위험을 줄입니다.↪cf_200D↩
• 세분화된 가시성. 애플리케이션의 동작 방식을 정확히 확인하고, 프로세스를 추적하고, 워크로드 자체에서 바로 심층 분석을 수집할 수 있습니다.↪cf_200D↩
• 더 나은 위협 탐지. 커널 수준(시스템의 핵심)에서 얻은 인사이트는 에이전트 없는 솔루션이 놓칠 수 있는 위협을 식별하는 데 도움이 됩니다.

물론 워크로드에 상담원을 추가하는 데 단점이 없는 것은 아닙니다:

• 시스템 리소스를 사용합니다. 모든 에이전트를 실행하려면 약간의 CPU와 메모리가 필요합니다. ‍
• 트래픽 관리 고려 사항. 에이전트는 줄을 서서 트래픽을 검사하거나(속도가 느려질 수 있음) 대역 외 모드로 실행해야 하므로 병목 현상을 피할 수 있지만 잠재적으로 가시성이 제한될 수 있습니다.

리소스 낭비를 피하기 위해 에이전트 없는 보안을 선호하는 팀도 있습니다. 대신 클라우드 서비스, 네트워크 스위치 또는 API에 의존하여 트래픽 흐름 데이터를 수집하고 정책을 시행합니다.  

이 접근 방식은 오버헤드를 줄일 수 있습니다. 하지만 가시성과 제어 기능도 희생됩니다. 워크로드에 에이전트가 없으면 프로세스를 모니터링하고 위협을 조기에 탐지하거나 정확한 정책을 시행하기가 더 어렵습니다.

궁극적으로 결정은 장단점을 고려해야 합니다. 워크로드에 에이전트를 배포하기로 선택한 경우에는 에이전트를 얼마나 가볍게 배포할지도 결정해야 합니다. 잘 설계되고 효율적인 에이전트는 워크로드 속도 저하 없이 심층 보안의 모든 이점을 제공할 수 있습니다.

OS에서 보안 에이전트를 어디에 배포해야 하나요?

많은 애플리케이션 소유자에게 에이전트는 위험하다고 느껴질 수 있습니다. 대부분의 클라우드 및 데이터 센터 호스트에는 이미 여러 개의 에이전트가 실행 중이므로 에이전트를 하나 더 추가하면 문제가 발생할 수 있습니다:

• 기존 에이전트와 충돌하나요?
• 너무 많은 리소스를 사용하여 시스템 속도가 느려지나요?
• 에이전트가 실패하면 어떻게 되나요 - 애플리케이션이 중단될 수 있나요?

상담원이 중단을 일으켜 중요한 워크플로가 중단되는 것을 원하는 사람은 아무도 없습니다.  

에이전트는 운영 체제(OS) 내 두 곳 중 한 곳에 배포할 수 있습니다:

• 사용자 공간: 애플리케이션이 있는 곳 ↪f_200D↩
• 커널 공간: 시스템 라이브러리, 메모리 관리, 디바이스 드라이버 및 보안 구성 요소를 처리하는 OS의 핵심 공간

사용자 공간의 에이전트: 더 안전하고 위험이 낮은 옵션

사용자 공간에 보안 에이전트를 배포하는 것은 중요한 시스템 프로세스를 중단하지 않고도 보안을 개선할 수 있는 위험 부담이 적은 방법입니다.  

사용자 공간은 애플리케이션이 실행되는 곳입니다. 모든 것이 원활하게 작동하도록 하는 핵심 OS 기능과는 별개입니다. 이렇게 하면 에이전트가 네트워크 트래픽 경로에서 벗어난 대역에 위치하여 트래픽 병목 현상이 발생할 위험을 피할 수 있습니다.  

하지만 이 접근 방식의 단점은 커널 공간의 더 깊은 곳에 있는 프로세스의 세부적인 세부 사항을 파악할 수 없다는 것입니다. 또한 더 심층적인 검사를 위해 트래픽을 가로채기가 더 어려워집니다.

커널 공간의 에이전트: 더 강력하지만 더 위험한 에이전트

커널 공간에 에이전트를 배치하면 애플리케이션과 시스템 리소스에 대한 심층적인 가시성을 확보할 수 있습니다. 이를 통해 보안팀은 프로세스를 모니터링하고 네트워크 트래픽을 실시간으로 검사할 수 있습니다.  

인라인 배포를 사용하면 사용자 공간 에이전트가 제공할 수 있는 것 이상의 심층적인 패킷 검사 및 고급 보안 제어 기능을 사용할 수 있습니다.  

하지만 이 힘에는 위험이 따릅니다. 에이전트는 OS의 핵심에서 작동하기 때문에 장애가 발생하면 워크로드가 중단되거나 트래픽이 차단되거나 시스템이 위협에 노출될 수 있습니다.  

지난 7월에 발생한 대규모 서비스 중단은 커널 스페이스 에이전트 장애로 인해 발생했으며, 이는 잘못 관리된 배포의 위험성을 입증했습니다.  

일루미오 벤: 가볍고 안전성이 뛰어난 에이전트

일루미오의 가상 시행 노드(VEN)는 효율성과 보안을 위해 설계된 경량 에이전트입니다.  

복잡성을 추가하는 대신 운영 체제의 기본 제공 방화벽과 함께 작동하여 트래픽을 방해하지 않으면서 시행을 자동화합니다.

VEN 작동 방식

Illumio는 OS의 기존 네트워크 보안 도구를 대체하는 것이 아니라 이를 강화합니다. Linux의 iptables 또는 nftables, Windows의 Windows 필터링 플랫폼, macOS의 ALF 등, 일루미오의 VEN 에이전트는 이미 존재하는 것을 관리하기만 하면 됩니다.

Illumio의 에이전트는 사용자 공간에서 실행되므로 트래픽을 따라가거나 애플리케이션 흐름을 가로채지 않습니다. 대신 OS 방화벽에서 인사이트를 수집합니다. 이를 통해 환경 전반의 모든 애플리케이션 종속성에 대한 명확한 가시성을 확보할 수 있습니다.

또한 VEN은 레이블 기반 정책 모델을 사용하여 보안 정책을 사람이 읽을 수 있고 관리하기 쉽게 만듭니다. 이러한 정책을 각 OS 방화벽에 맞는 올바른 구문으로 변환합니다. 이를 통해 복잡성을 추가하지 않고도 원활한 시행을 보장합니다.

기본적으로 일루미오의 에이전트는 안테나처럼 작동합니다. 트래픽을 가로채거나 복사하지는 않지만 OS 방화벽에서 데이터를 수집하여 Illumio Core에 다시 보고합니다.  

그런 다음 일루미오 코어는 방화벽을 구성하는 에이전트로 정책 지침을 다시 보냅니다. 이 접근 방식은 다음과 같이 보장합니다:

• 애플리케이션 성능에 영향 없음
• 에이전트 장애 시 보안 공백 없음
• 애플리케이션 종속성에 대한 지속적인 가시성

기존 OS 방화벽을 교체하는 대신 자동화함으로써 Illumio는 기존 인라인 시행의 위험 없이 가볍고 효과적이며 탄력적인 보안 솔루션을 제공합니다.

일루미오의 페일 세이프 접근 방식

일부 솔루션은 보안 에이전트를 커널 공간 깊숙이 배치하여 시스템 프로세스에 직접 액세스하고 트래픽을 가로채 세분화된 보안 제어를 수행합니다.  

이는 좋은 아이디어처럼 들릴 수 있지만, 트래픽이 하나의 방화벽이 아닌 두 개의 방화벽을 통과해야 하는 중복 적용 지점이 생깁니다.

커널 공간 에이전트도 트래픽과 함께 배치되므로 장애가 발생하면 심각한 결과를 초래할 수 있습니다:

• 에이전트를 열지 못하면 보안이 사라지고 시스템이 노출된 상태로 유지됩니다.  
• 폐쇄에 실패하면 모든 트래픽이 중단되어 애플리케이션과 비즈니스 운영에 차질이 생깁니다.

일루미오의 경량 에이전트 모델은 이러한 위험을 제거합니다. 사용자 공간에서 실행되므로 에이전트 장애가 발생해도 보안이나 트래픽에 영향을 미치지 않습니다. OS 방화벽은 마지막으로 알려진 규칙으로 활성 상태를 유지하여 지속적인 보호를 보장합니다.

강력하고 위험성이 낮은 에이전트가 최선의 선택입니다.

현대 사이버 보안의 핵심은 적절한 균형을 찾는 것입니다. 즉, 속도를 늦추지 않고 필요한 곳에 신뢰 경계를 정확히 설정해야 합니다.

일루미오의 에이전트 기반 접근 방식은 워크로드 속도 저하 없이 강력한 보안이라는 두 가지 장점을 모두 제공합니다. 보호와 성능 사이에는 절충이 있을 수 없습니다. 에이전트 장애로 인해 비즈니스가 중단될 위험도 없습니다.  

Illumio는 대역 외에서 실행되고 가볍고 수동적인 상태를 유지하기 때문에 경직된 네트워크 규칙이 아닌 비즈니스 요구 사항에 따라 명확한 가시성과 관리하기 쉬운 보안 정책을 제공합니다.  

실제로 보고 싶으신가요? 지금 바로 문의하세요 를 통해 무료 상담 및 데모를 신청하세요.