가상 방화벽

가상 방화벽(VF)은 가상화된 환경 내에서 전적으로 실행되는 네트워크 방화벽 서비스 또는 어플라이언스로, 물리적 네트워크 방화벽을 통해 제공되는 일반적인 패킷 필터링 및 모니터링을 제공한다.VF는 이미 실행 중인 게스트 가상 시스템의 기존 소프트웨어 방화벽, 가상 네트워크 보안을 염두에 두고 설계된 전용 가상 보안 어플라이언스, 추가 보안 기능을 갖춘 가상 스위치 또는 호스트 하이퍼바이저 내에서 실행되는 관리되는 커널 프로세스로 실현할 수 있다.

배경

컴퓨터 네트워크가 물리적인 하드웨어와 케이블링 위에서 전적으로 실행되는 한, 그것은 물리적인 네트워크다.이와 같이 물리적 방화벽과 방화벽을 통해 보호될 수 있다; 물리적 컴퓨터 네트워크를 위한 가장 처음이자 가장 중요한 보호는 항상 물리적이고, 잠겨 있고, 불꽃에 내성이 있는 문이었다.^[1][2]인터넷이 시작된 이래, 이것은 그러한 경우였고, 구조적인 방화벽과 네트워크 방화벽은 오랫동안 필요하고도 충분했다.

약 1998년 이래로, 로컬 영역 네트워크와 더 넓은 인터넷 상에서 많은 종류의 컴퓨터 및 통신 서비스를 제공하기 위한 물리적 시스템 외에 가상 머신(VM)의 사용이 폭발적으로 증가해왔다.가상 머신의 이점은 다른 곳에서 잘 살펴본다.^[3][4]

가상 머신은 분리(예: 개인용 컴퓨터의 게스트 운영 체제) 또는 감독 가상 머신 모니터 또는 "하이퍼바이저" 프로세스에 의해 감독되는 통합된 가상화 환경에서 작동할 수 있다.많은 가상 머신이 동일한 가상화 환경에서 작동하는 경우, 가상화된 네트워크 스위치와 가상화된 네트워크 인터페이스로 구성된 가상 네트워크를 통해 서로 연결될 수 있다.그 결과 가상 네트워크는 전통적인 네트워크 프로토콜(예: TCP)이나 VLAN 또는 VPN과 같은 가상 네트워크 프로비저닝을 구현할 수 있지만, 그 이유는 유용하지 않다.

가상 머신은 호스트 운영 체제 내에서 "샌드박스"로 보여지기 때문에 본질적으로 안전하다는 인식이 지속되고 있다.^[5][6][7]흔히 이와 같은 방식으로 호스트는^[8] 가상 머신 자체로부터의 착취로부터 보호되며, 기존의 물리적 및 네트워크 보안에 의해 보호되는 물리적 자산이기 때문에 가상 머신에 위협이 되지 않는다고 여겨진다.^[6]이것이 명시적으로 상정되지 않은 경우에도 가상 인프라의 조기 테스트는 보안이 원칙처럼 즉각적인 문제가 되지 않는 격리된 실험실 환경에서 진행되거나, 동일한 솔루션이 프로덕션 또는 컴퓨터 클라우드로 이동할 때에만 보안이 표면화될 수 있으며, 이러한 환경에서 갑자기 서로 다른 신뢰 수준을 가진 가상 머신이 등장하게 된다.ls는 임의의 수의 물리적 호스트에 걸쳐 실행되는 동일한 가상 네트워크에서 종료될 수 있다.

가상 네트워크는 진정한 네트워크이기 때문에 가상 네트워크는 물리적 네트워크와 오랫동안 관련된 동일한 종류의 취약성에 시달리게 될 수 있으며, 그 중 일부는 다음과 같다.

• 가상 네트워크 내의 시스템에 있는 사용자는 동일한 가상 네트워크에 있는 다른 모든 시스템에 액세스할 수 있다.
• 가상 네트워크에서 하나의 가상 머신을 손상시키거나 유용하는 것으로는 동일한 네트워크 세그먼트의 다른 머신에 대한 추가 공격을 위한 플랫폼을 제공하기에 충분하다.
• 가상 네트워크가 물리적 네트워크나 더 넓은 인터넷에 연결되어 있는 경우, 가상 네트워크의 시스템은 외부 자원(및 외부 공격)에 액세스할 수 있으며, 이로 인해 악용에 노출될 수 있다.
• 보안 장치를 통과하지 않고 컴퓨터 간에 직접 통과하는 네트워크 트래픽은 모니터링되지 않는다.

가상 네트워크에서 가상 시스템 간(VM-VM) 트래픽이 거의 보이지 않을 때 발생하는 문제는 물리적 네트워크에서 발견되는 문제와 정확히 동일하며, 패킷이 단일 물리적 호스트의 하드웨어 내에서 완전히 이동될 수 있다는 사실에 의해 복잡하다.

• 가상 네트워크 트래픽은 물리적 호스트 하드웨어에서 절대 벗어나지 않을 수 있기 때문에 보안 관리자는 VM 간 트래픽을 관찰할 수 없고, VM 간 트래픽을 가로챌 수 없으므로 해당 트래픽의 용도를 알 수 없다.
• 단일 호스트 내에서 VM 간 네트워크 작업을 로깅하고 규정 준수 목적을 위한 가상 시스템 액세스 검증이 어려워진다.
• 가상 네트워크 리소스의 부적절한 사용과 VM 간 대역폭 소비는 검색하거나 수정하기 어렵다.
• 가상 네트워크 또는 내부에서 실행 중인 비정상적이거나 부적절한 서비스는 감지되지 않을 수 있다.

물리적 보안 조치 및 관행을 파괴하는 가상화된 환경에서만 알려진 보안 문제가 있으며, 이러한 문제 중 일부는 물리적 시스템에 비해 가상 시스템 기술의 실제 이점으로 부각되고 있다.^[9]

• VM을 마이그레이션이 설정된 신뢰할 수 있는 가상 환경과 신뢰할 수 없는 가상 환경 간에 의도적으로(또는 예기치 않게) 마이그레이션할 수 있음
• VM 및/또는 가상 스토리지 볼륨을 쉽게 복제할 수 있으며, 복제본을 DMZ를 비롯한 가상화 환경의 모든 부분에서 실행하도록 만들 수 있다.
• 많은 기업이 구매나 IT 부서를 IT 보안 선도 기관으로 삼아 물리적 기기를 상자에서 꺼내 초기화할 때 보안 조치를 적용하고 있다.인증된 사용자라면 누구나 몇 분 안에 가상 머신을 만들 수 있고 종이 추적 없이 실행되도록 설정할 수 있으므로, 이러한 경우에는 "최초 부팅"된 IT 보안 관행을 우회할 수 있다.
• VM은 물리적 실체가 없어 생성의 흔적도, (가상화된 대규모 설치에서) 계속 존재하는 흔적도 남기지 않는다.그것들은 또한 쉽게 파괴될 수 있고, 거의 디지털 서명이 없고, 어떠한 물리적 증거도 전혀 남기지 않는다.

네트워크 트래픽 가시성 문제와 조정되지 않은 VM의 무질서한 확장 문제 외에도 가상 네트워크, 스위치 및 인터페이스(모두 호스트의 물리적 하드웨어에서 프로세스에서 실행됨)만 사용하는 악성 VM은 물리적 네트워크의 모든 물리적 시스템처럼 네트워크를 잠재적으로 파괴할 수 있지만, 지금은 hos를 소비하여 네트워크를 파괴할 수 있다.T CPU 사이클은 가상화된 환경의 나머지 부분이 의존하는 호스트의 물리적 리소스를 압도하는 것만으로 전체 가상화 환경과 다른 모든 VM을 추가로 다운시킬 수 있다.

이것이 문제가 될 것 같았지만, 업계 내에서 잘 이해되는 문제, 그리고 잠재적으로 전통적인 조치와 대응에 열려 있는 문제로 인식되었다.^{[10][11][12][13]}

가상 방화벽

VM 간 트래픽을 보안, 로깅 및 모니터링하는 한 가지 방법에는 가상 네트워크 트래픽을 VLAN을 통해 가상 네트워크 밖으로 물리적 네트워크로 라우팅하고, 따라서 물리적 네트워크에 대한 보안 및 규정 준수 서비스를 제공하기 위해 이미 존재하는 물리적 방화벽으로 라우팅하는 것이 포함되었다.VLAN 트래픽은 물리적 방화벽에 의해 모니터링 및 필터링된 다음 가상 네트워크(해당 목적에 적합하다고 판단되는 경우)로 다시 전달되고 대상 가상 시스템으로 전달될 수 있다.

당연히 LAN 관리자, 보안 전문가 및 네트워크 보안 벤더는 트래픽을 가상화된 환경 내에서 완전히 유지하고 거기서부터 보안을 유지하는 것이 더 효율적일 수 있을지 궁금해하기 시작했다.^{[14][15][16][17]}

그러면 가상 방화벽은 가상화된 환경(다른 가상 머신처럼) 내에서나 하이퍼바이저 자체 내에서나 마찬가지로 쉽게 실행되는 방화벽 서비스 또는 어플라이언스로 물리적 방화벽이 제공하는 일반적인 패킷 필터링 및 모니터링을 제공한다.VF는 가상화된 환경에서 이미 실행 중인 게스트 VM에 기존 소프트웨어 방화벽으로 설치하거나, 가상 네트워크 보안을 염두에 두고 설계된 전용 가상 보안 어플라이언스가 될 수 있으며, 추가 보안 기능을 갖춘 가상 스위치가 될 수도 있고, i와 함께 실행되는 관리되는 커널 프로세스가 될 수도 있다.n 모든 VM 작업을 상위에 두는 호스트 하이퍼바이저.

가상 방화벽 기술의 현재 방향은 보안이 가능한 가상 스위치와 ^[18]가상 보안 어플라이언스의 조합이다.일부 가상 방화벽은 사이트 간 및 원격 액세스 VPN, QoS, URL 필터링 등과 같은 추가적인 네트워킹 기능을 통합한다.^[19][20][21]

작전

가상 방화벽은 배치 지점에 따라 보안 서비스를 제공하기 위해 다양한 모드로 작동할 수 있다.일반적으로 브리지 모드 또는 하이퍼바이저^{[dubious – discuss]} 모드(하이퍼바이저 기반 하이퍼바이저 상주)이다.둘 다 가상 보안 어플라이언스로 포장되어 축소될 수 있으며 관리 목적으로 가상 머신을 설치할 수 있다.

브리지 모드에서 작동하는 가상 방화벽은 물리적 세계 방화벽 아날로그와 같은 역할을 하며, 네트워크 인프라의 전략적 부분(일반적으로 네트워크 간 가상 스위치 또는 브리지)에 위치하며, 다른 네트워크 세그먼트에 대해 예정된 네트워크 트래픽을 가로채고 브리지 상공을 이동해야 한다.소스 발신지, 대상, 패킷 유형 및 VF까지 검사하여 패킷의 통과를 허용할지, 삭제할지, 거부할지 또는 다른 장치로 전달할지 또는 미러링할지 여부를 결정할 수 있다.가상 방화벽 분야의 초기 진입자는 대개 브리지 모드였으며, 많은 제안은 이 기능을 유지한다.

이와는 대조적으로 하이퍼바이저 모드로 운영되는 가상 방화벽은 실제로 가상 네트워크의 일부가 아니며, 따라서 물리적 세계 장치 아날로그도 없다.하이퍼바이저 모드 가상 방화벽은 가상 시스템 모니터 또는 하이퍼바이저에 상주하며, 패킷 주입을 비롯한 VM 활동을 캡처할 수 있는 위치에 있다.모니터링되는 전체 VM과 모든 가상 하드웨어, 소프트웨어, 서비스, 메모리 및 스토리지를 검사할 수 있으며, 이러한^{[citation needed]} VM의 변화도 가능하다.또한 하이퍼바이저 기반 가상 방화벽은 네트워크상의 적절한 일부가 아니며 가상 머신이 아니기 때문에 VM에서 실행되거나 가상화된 네트워크에만 액세스할 수 있는 것으로 제한된 사용자와 소프트웨어에 의해 그 기능을 차례대로 모니터링하거나 변경할 수 없다.

브리지 모드 가상 방화벽은 가상화된 인프라의 다른 가상 시스템과 마찬가지로 설치할 수 있다.가상 시스템 자체가 되므로 다른 모든 VM과의 VF 관계는 시간이 지남에 따라 VM이 사라지고 랜덤하게 나타나며, 서로 다른 물리적 호스트 간에 마이그레이션되거나 가상화된 인프라에서 허용하는 다른 조정되지 않은 변경으로 인해 복잡해질 수 있다.

하이퍼바이저 모드 가상 방화벽은 가상 방화벽 시스템이 VM 정보에 액세스하고 가상 네트워크 스위치 및 가상 네트워크 인터페이스에 직접 액세스할 수 있도록 프로세스 후크 또는 모듈을 설치하기 위해 물리적 호스트 하이퍼바이저 커널을 수정해야 함rk 관문하이퍼바이저에 상주하는 가상 방화벽은 동일한 후크를 사용하여 패킷 검사, 드롭, 포워딩과 같은 모든 관습적인 방화벽 기능을 수행할 수 있지만 어느 시점에서도 가상 네트워크를 실제로 건드리지 않는다.하이퍼바이저 모드 가상 방화벽은 가상 머신에서 패킷 검사를 하는 것이 아니라 네이티브 하드웨어 속도에서 커널 내에서 검사를 하기 때문에 브리지 모드에서 실행되는 동일한 기술보다 훨씬 더 빠를 수 있다.

참고 항목

• 가상 보안 어플라이언스
• 네트워크 기능 가상화

참조

추가 읽기

• "Zeus Bot Inside in EC2 Cloud, Detected, Discovered" Babcock, Charles.정보2009년 12월 주
• "4만 방화벽! 도와줘!"?"텍시윌.가상화 사례.2009년 9월
• "오피니언 / 가상 보안이 필요한 이유는? "벤에프레임, 아미르.정부 보안 뉴스.2009년 8월
• "가상 네트워크를 안전하게 유지하십시오" Zillion Magazine2009년 7월
• "가상 사각지대" 슐츠, 베스네트워크 월드.2010년 7월
• "실제 클라우드 보안: 4가지 예" Brandel, Mary.CSO: 보안 & 리스크.2010년 6월
• Ogren, Eric은 "혼합된 환경 보호 - 모든 사용자가 가상화되지는 않을 것"이라고 말했다.컴퓨터월드.2010년 6월
• "새로운 보안 툴로 가상 머신을 보호" Strom, David.2011년 3월 네트워크 월드