일루미오가 컨테이너 환경의 가시성 격차를 해소하는 방법

"한 번 구축하면 어디에서나 실행할 수 있습니다." 이것이 바로 컨테이너의 장점입니다. 자동화, 클라우드 기반 도구, 리소스를 쉽게 확장할 수 있는 기능으로 컨테이너는 개발자들이 선호하는 도구가 되었습니다.

하지만 컨테이너에는 가시성 부족이라는 한 가지 큰 문제가 있습니다.

전체 네트워크에 대한 세분화된 가시성이 없으면 보안팀은 의도치 않게 컨테이너 환경에 공백을 남길 수 있습니다. 이러한 격차로 인해 컨테이너 보안 침해가 크게 증가했습니다.

이 블로그 게시물에서는 일관된 엔드투엔드 보안 아키텍처의 일부로 네트워크 전체에 대한 완벽한 가시성을 확보하여 컨테이너를 보호하는 방법을 보여드립니다.

컨테이너가 위반됩니다 .

컨테이너는 임시로 사용하도록 설계되었습니다. 오랫동안 사람들은 이렇게 하면 자동으로 보안이 유지된다고 생각했습니다. 오래 지속되지 않는 것이 해킹하기 더 어렵다는 생각에서였습니다.

하지만 실로스케이프, 힐데가드, 킨스깅, cr8escape와 같은 멀웨어는 컨테이너를 사용하여 네트워크에 침입하는 방법을 알아냈습니다. 이를 막기 위해 대부분의 컨테이너 보안 도구는 위협 탐지에 중점을 둡니다. 이들은 감염된 컨테이너를 찾아서 발견한 멀웨어를 제거합니다.

위협을 탐지하는 것이 중요합니다. 안타깝게도 이러한 도구는 일반적으로 컨테이너에만 초점을 맞추고 컨테이너 클러스터 외부의 다른 리소스는 고려하지 않습니다. 이로 인해 보안 침해에 대응하기가 더 어렵고 느려질 수 있는 주요 사각지대가 있는 고립된 시스템이 만들어집니다.

Kubernetes 또는 OpenShift 클러스터에서 실행 중인 앱은 클러스터 외부에서 액세스해야 합니다. 컨테이너를 완벽하게 보호하려면 클러스터 내부와 외부에서 어떤 일이 일어나고 있는지 확인하고 전체 시스템에서 일관된 보안 정책을 설정해야 합니다.

컨테이너는 가시성이 확보된 만큼만 안전합니다.

컨테이너는 DevOps의 꿈이지만, 특히 보안과 관련해서는 다른 모든 사람들에게 악몽이 될 수 있습니다.

데브옵스 팀은 앱 개발 속도를 높여주는 컨테이너를 좋아합니다. 컨테이너 환경에서는 DevOps가 전체 앱 프로세스를 자동화하는 기본 인프라를 관리합니다. 이렇게 하면 수작업이 줄어들고 시스템 관리자, 보안 및 네트워킹과 같은 다른 팀으로 인한 지연을 방지할 수 있습니다.

데브옵스 팀은 보안이 중요하다는 것을 알고 있지만, 개발 속도를 늦춘다고 생각하여 초기 자동화 워크플로에서 보안을 제외하는 경우가 많습니다. 보안 도구를 찾을 때는 보통 컨테이너 전용으로 만들어진 도구를 선택합니다.

이것이 왜 문제인가요? 컨테이너 전용으로 설계된 도구는 개별 컨테이너 리소스에 중점을 둡니다. 프로세스가 작동하는 방식과 리소스가 사용되는 방식에 대한 데이터를 수집하지만 컨테이너가 서로 상호 작용하는 방식에 대한 명확한 보기를 항상 제공하지는 않습니다.

이러한 도구는 파드, 서비스 또는 네임스페이스 간의 연결을 표시할 수 있습니다. 하지만 다음과 같은 사각지대가 종종 존재합니다:  

• Kubernetes 또는 OpenShift 클러스터를 실행하는 노드 간의 트래픽
• 해당 노드에서 클러스터 외부 시스템으로의 트래픽
• 클러스터 내부의 워크로드에서 클러스터 외부의 워크로드로 나가는 트래픽

컨테이너별 보안 도구는 클러스터 내에서 한 네임스페이스에서 다른 네임스페이스로 이동하는 트래픽을 확인할 수 있습니다. 하지만 네임스페이스에서 엔드포인트로 이동하는 트래픽은 어떨까요? 아니면 네임스페이스에서 컨테이너를 사용하지 않는 데이터센터의 가상 머신(VM) 또는 메인프레임으로 이동하시나요?

간단히 말해서, 보이지 않는 것은 보호할 수 없습니다. 컨테이너에 대한 가시성이 없다면 공격자가 악용할 수 있는 네트워크의 주요 사각지대를 만들게 됩니다.

Illumio로 클러스터 내부와 외부에 대한 완벽한 가시성 확보

% Illumio는 컨테이너 보안 솔루션이 아무리 강력해도 100% 완벽할 수는 없다고 가정합니다. 침해는 반드시 발생하기 마련입니다.

컨테이너 외부에서 Illumio는 모든 호스트와 애플리케이션이 어떻게 연결되는지에 대한 완벽한 가시성을 제공합니다. Illumio는 위협이 탐지되지 않은 경우에도 모든 워크로드를 보호하여 네트워크 전반에 걸쳐 침해가 확산되는 것을 방지합니다.  

이 보호 기능은 Kubernetes 또는 OpenShift 클러스터에도 동일하게 적용됩니다.

Illumio는 모든 컨테이너 리소스 간의 모든 트래픽을 검색합니다. 컨테이너를 포함한 전체 인프라의 모든 트래픽을 하나의 일관된 보기에 표시합니다.

Illumio는 클러스터 내부와 외부의 모든 리소스 간에 허용된 트래픽을 모니터링합니다. 위협이 무엇을 하려는지 파악할 필요 없이 비정상적인 행동을 발견하고 즉시 대응할 수 있습니다. 이렇게 하면 전체 네트워크에서 사일로가 제거됩니다.  

Illumio가 컨테이너 가시성을 제공하는 3가지 방법

Illumio는 Kubernetes 또는 OpenShift 클러스터 내부와 외부에서 일어나는 일을 확인할 수 있는 세 가지 방법을 제공합니다.

1. 기본 노드로, 노드로부터, 노드 간에 발생하는 모든 트래픽 보기

Illumio는 기본 노드 간, 그리고 해당 노드에서 외부 워크로드로의 모든 트래픽을 검색합니다.

컨테이너 클러스터는 절대 단독으로 존재하지 않습니다. 항상 노드라고 하는 기본 호스트에서 호스팅됩니다. 노드는 Kubernetes 또는 OpenShift 클러스터가 실행되는 기본 가상 머신 또는 베어메탈 호스트입니다.  

컨테이너 클러스터는 종종 하나의 섬처럼 취급됩니다. 모든 관련 동작은 해당 클러스터 내에 포함되며 외부 세계는 나중에 고려할 사항입니다. 이로 인해 침해가 발생하거나 가시성이 누락될 경우 문제가 발생할 수 있습니다.

Kubernetes 또는 OpenShift 클러스터용으로 구축된 보안 도구는 기본 노드 간의 동작과 트래픽 또는 노드에서 클러스터 외부의 다른 리소스로의 연결에 대한 인사이트가 거의 없거나 전혀 없는 경우가 많습니다.

Illumio는 이러한 사각지대를 제거하여 클러스터 내부와 외부에서 일어나는 모든 일에 대한 가시성을 제공함으로써 이 문제를 해결합니다.

2. 파드에서 외부 서버로 나가는 이그레스 트래픽 확인

Illumio는 클러스터 내부 리소스에서 클러스터 외부 워크로드에 이르는 네트워크 동작을 포함한 이그레스 트래픽에 대한 가시성을 제공합니다.

Kubernetes 또는 OpenShift 클러스터용으로 만들어진 보안 도구는 클라우드 환경, 데이터 센터 또는 엔드포인트에 있는 리소스와 같은 비컨테이너 리소스에 대한 인사이트가 부족한 경우가 많습니다.

Illumio는 세 가지 환경 모두에 대한 가시성을 제공합니다. 예를 들어, 엔드포인트에서 데이터 센터로 트래픽을 추적한 다음 Kubernetes 클러스터 내의 네임스페이스로 트래픽을 추적할 수 있습니다.

Illumio를 사용하면 전체 시스템에 대한 가시성을 확보할 수 있습니다. 이를 통해 모든 환경에 맞는 일관된 메타데이터 기반 보안 정책을 만들 수 있습니다.

3. 클러스터 간 통신 보기

Illumio는 Kubernetes 또는 OpenShift 클러스터가 서로 통신하는 방식에 대한 가시성을 제공합니다.

컨테이너 클러스터는 모두 빠르게 성장한다는 한 가지 공통점이 있습니다. 하나의 클러스터가 더 많은 리소스로 확장되면 여러 클러스터에 리소스를 분산하고 효율성을 개선하기 위해 새로운 클러스터가 만들어지는 경우가 많습니다.

클러스터가 커지면 시스템이 아무리 커져도 가시성을 유지하면서 클러스터 간의 트래픽을 탐지하고 제어할 수 있는 컨테이너 보안 솔루션이 필요합니다. Illumio를 사용하면 클러스터 간, 클러스터와 클러스터 외부의 워크로드 간 트래픽을 확인할 수 있습니다.

Illumio가 컨테이너 전용 보안 도구를 반드시 대체하는 것은 아닙니다. 예를 들어, 서비스 메시가 클러스터 내부에서 사용되는 경우 Illumio는 클러스터 외부의 종속성, 클러스터를 호스팅하는 노드, 클러스터와 외부 워크로드 간의 트래픽을 모니터링하고 제어하는 데 중점을 둡니다.

Illumio는 컨테이너 전용 보안 솔루션과 함께 작동하여 컨테이너 워크로드를 호스팅하고 액세스하는 모든 리소스에 대한 완벽한 가시성을 제공합니다. 엔드투엔드 보호 기능을 제공합니다.

일루미오, 컨테이너를 위한 제로 트러스트 완성

보안 위험은 컨테이너 외부에만 있는 것이 아니라 내부에도 존재합니다. 네트워크를 안전하게 유지하려면 레거시 워크로드에서와 마찬가지로 컨테이너 클러스터 내부의 위협을 확인하고 관리해야 합니다.

Illumio는 컨테이너를 포함한 전체 인프라에서 모든 워크로드 간의 모든 트래픽 동작을 확인하고 시행할 수 있도록 도와줍니다. 이렇게 하면 가시성 섬을 제거하고 불가피한 침해가 네트워크를 통해 확산되는 것을 막을 수 있습니다.

지금 바로 문의하세요 를 참조하여 Illumio로 컨테이너에 대한 가시성을 확보하는 방법에 대해 자세히 알아보세요.