Firewall as a Service (FWaaS)란 무엇인가요?

Firewall as a Service (FWaaS)란 무엇인가요?

Firewall as a service(FWaaS)는 경로상에 온프레미스 어플라이언스 없이, 공급자가 운영하는 인프라에서 트래픽을 검사하고 정책을 집행하며 공격을 차단하는 클라우드 제공 네트워크 보안 모델입니다. 정책은 하나의 제어 플레인에 존재하며, 분산된 집행 지점이 사용자와 워크로드가 연결되는 모든 위치에 이를 적용합니다.

공격자는 반드시 경계를 뚫고 들어올 필요가 없습니다. 로그인해서 들어오면 됩니다. CISA와 FBI는 행위자가 유효한 자격 증명을 사용해 정상 트래픽에 섞여 들어간 Volt Typhoon과 같은 침해 사례를 공동 네트워크 액세스 지침에서 언급하며, 광범위한 원격 액세스에서 벗어날 것을 촉구합니다.

사용자가 기업 네트워크를 거치지 않고 SaaS 애플리케이션에 접근한다면, 이제 어플라이언스는 귀하가 책임져야 하는 트래픽 경로상에 더 이상 존재하지 않습니다.

Firewall as a Service가 사이버보안과 관련되는 방식

FWaaS는 집행이 이루어지는 위치와 이를 유지 관리하는 주체를 바꿉니다. 검사는 네트워크 경계에서 클라우드 엣지로 이동하므로, 원격 근무자가 SaaS 애플리케이션을 열 때 해당 세션이 기업 네트워크를 전혀 통과하지 않더라도 동일한 정책이 적용됩니다. 정책 작성도 정책 집행과 분리됩니다. 중앙 콘솔에서 규칙을 한 번 작성하면 공급자가 이를 배포하므로, 지사 방화벽 구성이 본사 표준에서 벗어나게 만드는 구성 드리프트가 사라집니다.

위협 인텔리전스도 같은 경로를 따릅니다. 공급자가 푸시한 시그니처나 지표는 사이트별로 업데이트 일정을 잡을 필요 없이, 그리고 어느 사이트도 누락되지 않은 채 즉시 모든 집행 지점에 도달합니다. 하드웨어 방화벽 배포는 이 세 곳 모두에 공백을 남깁니다. 이미 기업 네트워크를 우회하는 트래픽이 많을수록 그 공백은 더 커집니다.

Firewall as a Service의 핵심 구성 요소

방화벽 서비스는 검사 엔진, 분산된 집행 지점, 중앙 정책 플레인, 위협 인텔리전스 피드, 로깅 계층으로 구성됩니다. 특정 문제가 이들 중 어디에 속하는지 알게 되면 문제 해결과 벤더 비교가 모두 더 빨라집니다.

1. 클라우드 네이티브 검사 엔진

검사 엔진은 애플리케이션 계층에서 트래픽을 읽고 심층 패킷 검사, 패킷 페이로드의 TLS 복호화, 침입 방지를 적용합니다. NIST SP 800-215는 차세대 방화벽의 세 가지 기능으로 이를 나열하고, 클라우드 서비스인 FWaaS를 그 배포 옵션 중 하나로 명시합니다. firewall-as-a-service 엔진은 탄력적인 클라우드 컴퓨팅에서 실행되므로, 검사 깊이는 3년 전에 구매한 어플라이언스의 실리콘 성능에 의해 제한되지 않습니다.

2. 분산된 집행 지점

공급자는 여러 지역에 걸쳐 집행 지점을 운영하며, 각 세션은 목적지에 도달하기 전에 검사를 위해 가장 가까운 지점으로 라우팅됩니다. 이러한 지리적 배치는 싱가포르의 사용자가 책상에서 몇 마일 떨어진 곳에 호스팅된 애플리케이션에 접근하기 위해 오하이오의 어플라이언스를 기다려야 하는 헤어핀 경로를 제거합니다.

3. 중앙 집중식 정책 관리

정책은 하나의 제어 플레인에 존재하며, 이 플레인이 규칙을 모든 집행 지점으로 푸시합니다. 정책 작성과 정책 집행은 더 이상 같은 작업이 아닙니다. 단일 업데이트가 몇 분 내에 전파되며, 어떤 엔지니어도 지사 구성을 표준에 맞게 유지하기 위해 수십 대의 어플라이언스를 직접 만질 필요가 없습니다.

4. 위협 인텔리전스 통합

방화벽 서비스 플랫폼은 정부 기관, 업계 공유 그룹, 벤더 연구팀의 피드를 수집한 다음 모든 집행 지점을 자동으로 업데이트합니다. 팀은 더 이상 피드 구독을 유지 관리하거나 시그니처 푸시 일정을 잡지 않아도 됩니다. 새로운 지표는 첫 번째 적용 시점에 모든 곳에 반영됩니다.

5. 로깅 및 분석 인프라

모든 집행 지점의 로그는 조사, 규정 준수 보고, 그리고 나머지 텔레메트리와의 상관 분석을 위해 중앙 스토리지로 집계됩니다. 로그 보존 기간, 내보내기 형식, 쿼리 성능을 조달 요구 사항으로 취급해야 합니다. 이는 FWaaS 기록이 활용 가능한 네트워크 보안 증거가 될지, 아니면 스토리지 비용 청구서가 될지를 결정합니다.

SentinelOne의 Singularity Data Lake와 같은 개방형 스키마 기반 플랫폼은 이러한 기록을 엔드포인트 및 ID 텔레메트리와 함께 유지합니다. 그러면 하나의 쿼리로 네트워크 이벤트와 그 주변의 엔드포인트 활동을 모두 다룰 수 있습니다.

Firewall as a Service의 작동 방식

FWaaS는 네트워크 계층에서 트래픽을 가로채고, 클라우드 엣지에서 이를 검사하며, 세션이 목적지에 도달하기 전에 정책을 적용합니다. 각 연결은 다음 순서로 가로채기, ID 평가, 정책 매칭, 검사, 조치를 거칩니다:

1. 트래픽 가로채기. 사용자의 디바이스는 에이전트 기반 라우팅, DNS 기반 리디렉션 또는 사이트의 IPsec 터널을 통해 집행 인프라에 도달합니다. 어떤 트래픽도 검사를 우회하지 않습니다.
2. ID 평가. 정책이 적용되기 전에 집행 지점은 사용자, 디바이스 상태, 위치, 요청된 애플리케이션을 확인합니다.
3. 정책 매칭. 시스템은 세션을 중앙 정책 세트와 대조합니다. 가장 구체적인 매칭부터 가장 일반적인 매칭 순으로 애플리케이션 제어, URL 카테고리, 규정 준수 요구 사항, 위협 방지 규칙을 확인합니다.
4. 심층 패킷 검사. FWaaS는 TLS 세션을 복호화하고, 애플리케이션 계층 콘텐츠를 분석하며, Layer 7 가시성을 위해 침입 방지 시그니처를 적용합니다.
5. 조치 및 로깅. FWaaS는 검사 결과에 따라 세션을 허용, 차단, 리디렉션 또는 격리하고, ID, 애플리케이션, 조치, 그리고 매칭된 규칙이 포함된 로그 항목을 기록합니다.

ID 평가, 정책 매칭, 검사는 모든 세션에서 반복됩니다. 이러한 반복이 실제로 무언가를 보호할지, 아니면 홉만 추가할지는 집행 지점의 용량과 정책 위생에 달려 있습니다.

핵심 FWaaS 기능 및 검사 방법

아래 기능들은 거의 겹치지 않습니다. 이는 조달 시점에 중요합니다. 공급자가 생략한 기능은 동일한 보호의 더 얇은 버전이 아니라, 보장 범위의 공백이 됩니다.

• 애플리케이션 제어 및 URL 필터링: Layer 7 검사는 포트 번호가 아니라 동작 패턴으로 애플리케이션을 식별합니다. 둘 다 포트 443의 HTTPS를 사용하더라도 개인 Dropbox 계정을 차단하면서 Salesforce는 허용할 수 있습니다.
• 침입 방지 및 탐지: 시그니처 기반 탐지는 알려진 공격 패턴과 일치하는 항목을 탐지합니다. 행위 분석은 제로데이 익스플로잇 또는 지능형 지속 위협을 시사하는 이상 징후를 식별합니다.
• TLS/SSL 복호화: FWaaS는 TLS 연결을 종료하고, 복호화된 콘텐츠를 검사한 다음, 전송을 위해 다시 암호화합니다. 이를 통해 현재 웹 트래픽의 대부분을 차지하는 암호화 내부에 숨은 위협을 탐지합니다.
• DNS 보안: DNS 필터링은 연결이 설정되기 전에 악성 도메인을 차단하여, 멀웨어의 명령 및 제어 통신과 피싱 시도를 방지합니다.
• 안티 멀웨어 및 샌드박싱: 파일 검사는 다운로드 항목에서 멀웨어 시그니처를 분석합니다. 의심스러운 파일은 행위 분석을 위해 격리된 샌드박싱 환경에서 실행됩니다.

하이브리드 및 멀티 클라우드 배포에서의 FWaaS

대부분의 조직은 온프레미스 인프라, 둘 이상의 클라우드 제공업체, 그리고 긴 목록의 SaaS 애플리케이션을 운영하며, 방화벽 서비스는 이 세 가지 전반에 걸쳐 하나의 정책 세트를 유지합니다. 제공업체는 주요 클라우드 리전 내부에 시행 지점을 배치하므로, 멀티 클라우드 환경 간 트래픽은 데이터 센터로 헤어피닝되어 돌아가지 않고도 검사됩니다. 온프레미스 통합은 일반적으로 사이트에서 가장 가까운 시행 지점까지의 IPsec 터널 또는 전용 회선을 사용합니다.

어려운 부분은 작성한 정책이 실제로 시행되는 정책인지 검증하는 것입니다. 리전 전반에 걸친 분산 관리는 단일 시행 지점에서 유효 규칙 세트에 대한 가시성을 낮추며, 잘못된 구성은 여전히 방화벽 장애의 가장 일반적인 원인입니다.

Firewall as a Service가 네트워크 시행을 바꾸는 방식

작성하는 규칙은 어플라이언스에서든 클라우드 서비스에서든 거의 동일하게 보입니다. 달라지는 것은 규칙의 다운스트림에 있는 모든 요소입니다. 즉, 시행이 실행되는 위치, 이를 뒷받침하는 컴퓨팅 규모, 그리고 이를 패치하는 주체입니다.

모든 세션을 복호화하고, 검사하고, 다시 암호화하는 작업은 컴퓨팅 집약적이며, 어플라이언스는 검사 범위와 처리량 사이에서 선택을 강요하는 한계에 도달합니다. 클라우드 방화벽은 이러한 컴퓨팅을 필요에 따라 확장합니다. 전체 복호화를 운영하는 팀은 일반적으로 먼저 클라우드 모델에 도달합니다.

Firewall as a Service와 SASE 아키텍처

Firewall as a service는 SASE 아키텍처의 네트워크 시행 계층을 제공합니다. CISA 및 FBI 지침 에서는 SASE를 다섯 가지 기능을 결합한 클라우드 아키텍처로 설명합니다: 소프트웨어 정의 광역 네트워킹, Secure Web Gateway, Cloud Access Security Broker, Zero Trust Network Access, 그리고 방화벽이며, SASE 배포에서 이 방화벽은 클라우드 서비스로 실행됩니다. 해당 아키텍처의 보안 측면은 security service edge이며, 동일한 지침에서는 FWaaS를 그 네 가지 보안 기능 중 하나로 명시합니다.

두 개수의 차이는 항목 하나이며, 그 항목은 SD-WAN입니다. SD-WAN은 보안 기능이 아니라 네트워킹 기능이므로, 다섯 가지에서 이를 제외하면 security service edge를 구성하는 네 가지 보안 기능이 남습니다. FWaaS가 제어 플레인을 공유하는 구성 요소는 다음과 같습니다:

• 사이트 전반의 트래픽 라우팅 및 WAN 성능을 위한 SD-WAN.
• Secure Web Gateway, 웹 액세스 제어, 위협 방어 및 데이터 손실 방지를 위해.
• Cloud Access Security Broker, SaaS 애플리케이션 사용에 대한 가시성과 제어를 위해.
• Zero Trust Network Access, 검증된 ID 및 디바이스 상태를 기반으로 애플리케이션 수준의 액세스 결정을 내리기 위해.

이 공유 제어 플레인은 SASE 보안 정책의 일관성을 유지합니다. 하나의 콘솔로 웹, 애플리케이션 및 네트워크 트래픽을 모두 포괄하며, 규칙이 시간이 지나면서 별도의 정책 세트처럼 서로 달라지는 것을 방지합니다. 또한 하나의 콘솔은 특정 세션에 어떤 제어가 적용되었는지 묻는 감사 담당자에게 하나의 답을 제공합니다. 더 광범위한 SASE 보안 프레임워크는 동일한 논리를 ID 및 애플리케이션 액세스에도 확장합니다.

Firewall as a Service의 주요 이점

FWaaS는 하드웨어 관리 오버헤드를 제거하고, 트래픽 급증 시 자동으로 확장되며, 몇 주가 아닌 며칠 내에 배포할 수 있고, 연방 보안 프레임워크 검증을 제공합니다.

1. 운영 복잡성 감소: 개별 어플라이언스별 관리가 필요 없어집니다. 50개의 지사 방화벽을 각각 구성하는 대신 정책을 한 번만 설정하면 됩니다. 클라우드 기반 인프라는 지배적인 SOC 구조가 되었으며, 대부분의 조직이 자동화된 대응 메커니즘을 통합하고 있습니다.
2. 탄력적 확장: 하드웨어 어플라이언스는 처리 용량이 고정되어 있기 때문에 트래픽 급증 시 실패합니다. FWaaS는 컴퓨팅 리소스를 자동으로 추가하여 수평 확장합니다. 클라우드 네이티브 아키텍처는 공급자가 여러 리전에 걸쳐 초과 용량을 유지하므로 TLS/SSL 복호화와 같은 컴퓨팅 집약적 작업을 더 효과적으로 처리합니다.
3. 신속한 배포: 새로운 지사를 개설하려면 전통적으로 하드웨어 조달, 배송, 설치 및 구성이 필요합니다. FWaaS에는 사용자 인증 자격 증명과 정책 할당이 필요합니다. Gartner의 Magic Quadrant 분석에 따르면, FWaaS 도입은 2020년 5% 미만에서 2026년까지 신규 분산형 지사 방화벽 배포의 30% 이상으로 전환될 것입니다.
4. 정부 프레임워크 인정: CISA, FBI, GCSB, CERT-NZ 및 CCCS의 다기관 지침은 FWaaS를 Zero Trust Network Access, Cloud Secure Web Gateway 및 Cloud Access Security Broker와 함께 핵심 SSE 보안 기능으로 명시적으로 식별합니다. NIST SP 800-215는 FWaaS를 핵심 구성 요소로 포함하는 SASE 프레임워크에 대한 연방 차원의 검증을 제공합니다.

이러한 운영상 이점은 분산 조직에 FWaaS를 매력적으로 만들지만, 클라우드 네이티브 아키텍처는 기존 방화벽이 직면하지 않는 새로운 복잡성을 초래합니다.

Firewall as a Service의 과제와 한계

중앙 집중식 시행은 실패도 중앙 집중화하므로, 잘못된 규칙 하나가 이제 즉시 모든 사람에게 영향을 미칩니다. 또한 다른 사람의 인프라에서 검사를 실행하면 지연 시간, 관할권 및 가동 시간이 사용자의 통제 밖에 놓이게 됩니다.

• 구성 복잡성. 중앙 정책 관리는 잘못된 규칙이 몇 분 안에 전 세계로 전파되기 전까지는 장점입니다. API 기반 자동화는 오류 가능성을 넓히며, 하나의 결함 있는 규칙이 모든 사용자에게 동시에 영향을 줄 수 있습니다. 자동화된 정책 검증과 운영 환경을 반영하는 비운영 환경이 필요합니다.
• 실시간 애플리케이션의 지연 시간. 클라우드 시행 지점을 통한 라우팅은 모든 세션에 몇 밀리초를 추가합니다. 대부분의 비즈니스 애플리케이션은 이를 알아차리지 못합니다. 실시간 음성, 트레이딩 플랫폼 및 운영 기술 환경은 이를 알아차리며, 여기서의 작은 증가도 기능 저하를 초래합니다.
• 특수 규정 준수를 위한 제한된 세분성. 표준화된 클라우드 플랫폼은 규모를 위해 맞춤화를 희생합니다. PCI DSS, HIPAA 또는 CMMC에 따른 세분화된 세그멘테이션 요구 사항이 있는 조직은 보조 도구 없이는 방화벽 서비스가 모든 제어를 충족할 수 없다는 사실을 자주 발견합니다.
• 데이터 레지던시 복잡성. 검사는 시행 지점 위치에서 데이터를 처리합니다. 가장 가까운 시행 지점이 GDPR, CCPA 또는 산업 규정에서 요구하는 경계 밖에 있으면 규제 대상 데이터를 비준수 관할권에서 처리할 수 있습니다. 배포 전에 시행 지점의 지리적 위치를 확인하십시오.
• 공급자 인프라 의존성. 사용자의 시행 가용성은 공급자의 가용성입니다. 공급업체 선정의 일환으로 SLA, 이중화 아키텍처 및 공개된 과거 가동 시간을 평가하고, 지역 장애 발생 시 사용자의 보안 태세가 어떻게 보이는지 파악해야 합니다.
• 비네트워크 공격에 대한 사각지대. FWaaS는 트래픽을 검사합니다. 그러나 endpoint security 제어를 지나 실행되는 멀웨어, 유효한 자격 증명을 보유한 공격자 또는 클라우드 워크로드에 대한 런타임 공격은 막지 못합니다. 2020년 SolarWinds 침해에서, MITRE ATT&CK documented는 SolarWinds 자체 코드 서명 인증서로 서명된 백도어, 피해자 환경 내부의 합법적인 호스트 이름과 일치하도록 설정된 명령 및 제어 호스트 이름, 그리고 피해자 자체 국가에서 가져온 VPN 인프라를 문서화했습니다. 이러한 어떤 것도 네트워크 검사에는 비정상적으로 보이지 않습니다. 유효하게 서명된 바이너리를 실행 후 수행하는 행위를 기준으로 판단하는 것은 실행 계층의 작업이며, 이는 Singularity Endpoint와 같은 도구가 위치하는 영역입니다.

이들 각각의 비용은 아키텍처보다 공급자에 더 크게 좌우됩니다. 따라서 전체 목록이 공급업체 선정 의제에 오르게 됩니다.

일반적인 Firewall as a Service 실수

조직은 검증되지 않은 구성을 배포하고, 마케팅 주장에 따라 공급업체를 선택하고, 법률 검토를 건너뛰고, 통합 복잡성을 과소평가하고, 네트워크 보안을 완전한 보호로 취급함으로써 FWaaS 도입에 실패합니다. 다음은 다섯 가지 주요 일반적 실수입니다:

1. 구성 테스트 없이 배포: 조직은 비운영 환경 검증 없이 정책을 운영 환경에 직접 배포합니다. 단일 구성 오류가 모든 시행 지점에 동시에 전파됩니다.
2. 마케팅 주장에 기반한 선택: 조달 팀은 인정된 방법론을 사용한 최신 독립 테스트 결과를 요구하기보다 사양을 기준으로 공급업체 후보를 추립니다.
3. 조달 중 법률 검토 생략: 조직은 배포 전에 공급자의 데이터 처리 및 저장 위치를 확인하지 않았기 때문에 규정 준수 감사 중 GDPR 또는 CCPA 위반을 발견합니다.
4. 통합 요구 사항 과소평가: 팀은 통합 복잡성에 대한 공급업체의 예상이 정확하다고 가정한 뒤, 구매 후 SIEM 플랫폼, ID 공급자 및 엔드포인트 보호와의 비호환성을 발견합니다.
5. 완전한 보안 스택 대체: 조직은 FWaaS가 네트워크 수준 위협만 다루는데도 이를 포괄적인 보호로 간주하여, 엔드포인트 침해와 ID 기반 공격을 방어하지 못한 채 남겨 둡니다.

이러한 실수를 피하려면 도입 전에 기능을 검증하는 신중한 조달 및 배포 관행이 필요합니다.

Firewall as a Service 모범 사례

방화벽 서비스에서 발생하는 대부분의 운영 문제는 아무도 테스트하지 않은 정책 변경이나 아무도 확인하지 않은 로그에서 시작됩니다. 아래의 관행은 이를 해결합니다:

• 모든 규칙 변경이 프로덕션 적용 지점으로 전파되기 전에 스테이징 환경에서 테스트되도록 자동화된 정책 검증 워크플로를 실행하십시오.
• 사용되지 않거나, 가려지거나, 상충되는 규칙이 있는지 일정에 따라 규칙 세트를 감사하십시오. 규칙 확산은 깔끔한 정책을 조용히 예측 불가능한 정책으로 바꿉니다.
• 적용 지점 위치, 로그 저장 지역, 데이터 처리 위치를 문서화하고, 계약 체결 후가 아니라 평가 중에 법률 검토를 완료하십시오.
• FWaaS 로그를 귀사의 SIEM 플랫폼에 연결하여 네트워크 이벤트가 엔드포인트 및 ID 신호와 상관 분석되도록 하십시오.
• FWaaS를 계층형 아키텍처의 하나의 네트워크 계층 제어로 취급하십시오. 엔드포인트 보안, ID 및 액세스 관리, 그리고 클라우드 워크로드 보호와 함께 사용하여 네트워크 검사가 볼 수 없는 공격 표면을 포괄하십시오.

모든 항목을 담당 팀이 명시된 런북에 넣으십시오. 담당자가 지정되지 않은 검증 워크플로는 한 분기 안에 중단되기 때문입니다.

SentinelOne으로 네트워크 보안 강화

FWaaS는 네트워크 경로를 보호합니다. 가장 피해가 큰 공격은 이를 지나서 작동하며, 올바르게 인증되는 자격 증명, 유효한 인증서로 서명된 코드, 그리고 적용 지점을 전혀 거치지 않는 워크로드를 사용합니다. 이를 포괄하려면 동일한 데이터를 기반으로 작동하는 엔드포인트, ID 및 클라우드 보호가 필요합니다.

SentinelOne의 Singularity Platform은 방화벽 서비스가 도달할 수 없는 공격 표면 전반에 자율형 AI 보호를 적용합니다. Singularity Endpoint는 행동 기반 AI를 사용하여 랜섬웨어, 파일리스 공격, 제로데이 익스플로잇을 실행 계층에서 차단합니다. 이 지점은 검사를 통과한 페이로드가 수행하는 행위를 기준으로 최종 판단되는 곳입니다. Singularity Identity는 Active Directory를 통해 자격 증명 오용, 불가능한 이동, 측면 이동을 찾아냅니다. 이는 방화벽 서비스가 정상적으로 인증된 세션으로 읽는 활동입니다. Singularity Cloud Security는 워크로드, 컨테이너 및 Kubernetes 환경에 대한 런타임 보호를 추가하며, 여기서는 손상된 엔드포인트에서 이동하는 공격자가 적용 지점을 전혀 통과하지 않습니다.

상관 분석은 이러한 신호를 조사로 전환하는 요소입니다. Singularity AI SIEM은 FWaaS 로그를 엔드포인트, ID 및 클라우드 텔레메트리와 함께 하나의 페타바이트 규모 데이터 레이크로 수집하며, Purple AI는 자연어 쿼리와 자율 조사로 해당 데이터를 처리하여 수동 데이터 수집 없이 단일 의심스러운 네트워크 이벤트로부터 공격 체인을 재구성합니다. IDC Purple AI study에 따르면, 고객은 위협을 63% 더 빠르게 식별했고 대응 시간을 55% 단축했습니다.

SentinelOne은 또한 Latio's security operations evaluation에서 SOC Platform Leader로 선정되었습니다. 이는 EDR, XDR, SIEM, SOAR 및 MDR 기능을 아우르는 해당 기업의 첫 SOC 플랫폼 평가입니다. 

SentinelOne 데모 요청하여 방화벽 서비스가 남기는 보안 공백을 확인해 보십시오.

싱귤래리티™ 플랫폼

실시간 감지, 머신 속도 대응, 전체 디지털 환경에 대한 종합적인 가시성을 통해 보안 태세를 강화하세요.

데모 신청하기