보안 클라우드 자산 준비
클라우드 채택 과정의 준비 단계에서는 자산의 기초를 만드는 데 집중합니다. Microsoft Azure 랜딩 존 접근 방식은 엔터프라이즈 및 대규모 조직이 자산을 구현할 때 따라야 할 보다 안전하고 확장성 있는 모듈식 디자인 패턴을 제공합니다. 소규모 조직 및 신생 기업은 랜딩 존 접근 방식이 제공하는 조직 수준이 필요하지 않을 수도 있지만 랜딩 존 철학을 이해하면 모든 조직이 기본 디자인을 전략화하고 높은 수준의 보안 및 확장성을 얻는 데 도움이 될 수 있습니다.
클라우드 채택 전략 및 계획을 정의한 후에는 기초를 설계하여 구현 단계를 시작할 수 있습니다. 이 가이드의 권장 사항을 사용하여 기본 디자인 및 구현이 보안의 우선 순위를 지정하도록 합니다.
이 문서는 준비 방법론에 대한 지원 가이드입니다. 이 문서에서는 경험에서 해당 단계를 진행할 때 고려해야 하는 보안 최적화 영역을 설명합니다.
보안 태세 현대화
보안 태세를 현대화하는 첫 번째 구현 단계는 랜딩 존 또는 클라우드 기반을 구축하고 ID, 권한 부여 및 액세스 플랫폼을 만들거나 현대화하는 것입니다.
랜딩 존 접근 방식 채택: 랜딩 존 접근 방식을 채택하거나 랜딩 존 접근 방식의 디자인 원칙을 사용 사례에 실용적인 범위로 통합하면 최적화된 방식으로 구현을 시작할 수 있습니다. 클라우드 자산이 발전함에 따라 자산의 여러 도메인을 분리하여 유지하면 전체 자산을 보다 안전하고 관리하기 쉽게 유지할 수 있습니다.
- 완전한 엔터프라이즈 랜딩 존을 채택할 계획이 없는 경우에도 디자인 영역을 이해하고 클라우드 자산과 관련된 지침을 적용해야 합니다. 이러한 모든 디자인 영역에 대해 생각하고 기초를 설계하는 방법에 관계없이 각 영역에 특정한 컨트롤을 구현해야 합니다. 예를 들어 관리 그룹을 사용하면 몇 가지 구독으로만 구성된 경우에도 클라우드 자산을 관리하는 데 도움이 될 수 있습니다.
클라우드 리소스를 배포하기 위한 제어된 환경을 제공하는 안전하고 확장 가능한 랜딩 존을 개발합니다. 이러한 영역은 보안 정책이 일관되게 적용되고 리소스가 보안 요구 사항에 따라 분리되도록 하는 데 도움이 됩니다. 이 항목에 대한 자세한 지침은 보안 디자인 영역을 참조하세요.
- 최신 ID, 권한 부여 및 액세스: 제로 트러스트 원칙에 따라 ID, 권한 부여 및 액세스에 대한 최신 접근 방식이 기본적으로 신뢰에서 예외별 신뢰로 이동합니다. 이러한 원칙에 따라 사용자, 디바이스, 시스템 및 앱은 필요한 리소스에만 액세스할 수 있어야 하며 요구 사항을 충족하는 데 필요한 경우에만 액세스하도록 허용해야 합니다. 동일한 지침이 자산의 기본 요소에 적용됩니다. 즉, 실행하는 워크로드에 대해 따르는 것과 동일한 권장 사항에 따라 구독, 네트워킹 리소스, 거버넌스 솔루션, IAM(ID 및 액세스 관리) 플랫폼 및 테넌트에 대한 권한을 엄격하게 제어합니다. 이 항목에 대한 자세한 지침은 ID 및 액세스 관리 디자인 영역을 참조하세요.
Azure 촉진
Azure 랜딩 존 가속기: Microsoft는 랜딩 존에 쉽게 배포하여 빠르게 시작할 수 있는 지정된 워크로드 유형의 미리 패키지된 배포인 여러 랜딩 존 가속기를 유지 관리합니다. 여기에는 Azure Integration Services, AKS(Azure Kubernetes Service), Azure API Management 등에 대한 가속기가 포함됩니다. 최신 애플리케이션 고려 사항과 관련된 가속기 및 기타 항목의 전체 목록은 Azure 설명서에 대한 클라우드 채택 프레임워크 최신 애플리케이션 플랫폼 시나리오 섹션을 참조하세요.
Azure 랜딩 존 Terraform 모듈: Azure 랜딩 존 Terraform 모듈을 사용하여 자동화를 통해 랜딩 존 배포를 최적화할 수 있습니다. CI/CD(지속적인 통합 및 지속적인 배포) 파이프라인을 사용하여 랜딩 존을 배포하면 모든 보안 메커니즘이 적용된 상태에서 모든 랜딩 존이 동일하게 배포되도록 할 수 있습니다.
Microsoft Entra: Microsoft Entra 는 ID 및 네트워크 액세스 제품의 제품군입니다. 이를 통해 조직은 제로 트러스트 보안 전략을 구현하고 ID를 확인하고, 액세스 조건의 유효성을 검사하고, 사용 권한을 확인하고, 연결 채널을 암호화하고, 손상에 대한 모니터를 만드는 트러스트 패브릭을 만들 수 있습니다.
인시던트 준비 및 대응 준비
전략을 정의하고 인시던트 준비 및 대응 계획을 개발한 후 구현을 시작할 수 있습니다. 전체 엔터프라이즈 랜딩 존 설계를 채택하든, 더 작은 기본 설계를 채택하든 네트워크 분리는 높은 수준의 보안을 유지하는 데 중요합니다.
네트워크 세분화: 적절한 분할 및 격리를 사용하여 네트워크 아키텍처를 설계하여 공격 표면을 최소화하고 잠재적인 위반을 포함합니다. VPC(가상 프라이빗 클라우드), 서브넷 및 보안 그룹과 같은 기술을 사용하여 트래픽을 관리하고 제어합니다. 이 항목에 대한 자세한 지침은 네트워크 분할 계획 문서를 참조하세요. Azure 랜딩 존 네트워크 보안 가이드의 나머지 부분을 검토해야 합니다. 이 지침에는 인바운드 및 아웃바운드 연결, 네트워크 암호화 및 트래픽 검사에 대한 권장 사항이 포함되어 있습니다.
Azure 촉진
- Azure Virtual WAN: Azure Virtual WAN 은 많은 네트워킹, 보안 및 라우팅 기능을 통합하여 단일 운영 인터페이스를 제공하는 네트워킹 서비스입니다. 이 디자인은 분기(VPN/SD-WAN 디바이스), 사용자(Azure VPN/OpenVPN/IKEv2 클라이언트), Azure ExpressRoute 회로 및 가상 네트워크를 위해 확장 및 성능이 기본 제공되는 허브 및 스포크 아키텍처입니다. 랜딩 존을 구현할 때 Azure Virtual WAN은 세분화 및 보안 메커니즘을 통해 네트워크를 최적화하는 데 도움이 될 수 있습니다.
기밀 유지 준비
준비 단계에서 기밀성 관점에서 워크로드를 준비하는 것은 IAM 정책 및 표준이 구현되고 적용되도록 하는 프로세스입니다. 이렇게 준비하면 워크로드를 배포할 때 데이터가 기본적으로 보호됩니다. 다음 사항에 대해 잘 관리되는 정책과 표준을 가지고 있어야 합니다.
최소 권한의 원칙입니다. 사용자에게 작업을 수행하는 데 필요한 최소 액세스 권한을 부여합니다.
RBAC(역할 기반 액세스 제어). 작업 책임에 따라 역할 및 권한을 할당합니다. 이렇게 하면 액세스를 효율적으로 관리하고 무단 액세스의 위험을 줄일 수 있습니다.
MFA(다단계 인증)를 사용합니다. 추가 보안 계층을 추가하려면 MFA를 구현합니다.
조건부 액세스 제어. 조건부 액세스 제어는 특정 조건에 따라 정책을 적용하여 추가 보안을 제공합니다. 정책에는 MFA 적용, 지리에 따른 액세스 차단 및 기타 여러 시나리오가 포함될 수 있습니다. IAM 플랫폼을 선택할 때 조건부 액세스가 지원되고 구현이 요구 사항을 충족하는지 확인합니다.
Azure 촉진
- Microsoft Entra 조건부 액세스는 Microsoft 제로 트러스트 정책 엔진입니다. 정책 결정을 적용할 때 다양한 원본의 신호를 고려합니다.
무결성 준비
기밀 유지 준비와 마찬가지로 기본적으로 향상된 보안으로 워크로드를 배포할 수 있도록 데이터 및 시스템 무결성에 대한 잘 관리되는 정책 및 표준이 있는지 확인합니다. 다음 영역에 대한 정책 및 표준을 정의합니다.
데이터 관리 사례
데이터 분류: 데이터 보안 위험의 상위 수준 범주를 정의하는 데이터 분류 프레임워크 및 민감도 레이블 분류를 만듭니다. 이 분류를 사용하여 데이터 인벤토리 또는 활동 인사이트에서 정책 관리, 조사 우선 순위 지정에 이르기까지 모든 것을 간소화합니다. 이 항목에 대한 자세한 지침은 잘 설계된 데이터 분류 프레임워크 만들기를 참조하세요.
데이터 확인 및 유효성 검사: 데이터 확인 및 유효성 검사를 자동화하는 도구에 투자하여 데이터 엔지니어 및 관리자의 부담을 줄이고 사용자 오류 위험을 줄입니다.
백업 정책: 모든 데이터가 정기적으로 백업되도록 백업 정책을 코딩합니다. 백업 및 복원을 정기적으로 테스트하여 백업이 성공하고 데이터가 올바르고 일관적인지 확인합니다. 이러한 정책을 조직의 RTO(복구 시간 목표) 및 RPO(복구 지점 목표) 목표에 맞춥니다.
강력한 암호화: 클라우드 공급자가 미사용 데이터와 전송 중인 데이터를 기본적으로 암호화해야 합니다. Azure에서 데이터는 종단 간 암호화됩니다. 자세한 내용은 Microsoft 보안 센터를 참조하세요. 워크로드에서 사용하는 서비스의 경우 강력한 암호화가 지원되고 비즈니스 요구 사항을 충족하도록 적절하게 구성되었는지 확인합니다.
시스템 무결성 디자인 패턴
보안 모니터링: 클라우드 시스템에 대한 무단 변경을 감지하려면 전반적인 모니터링 및 관찰 전략의 일환으로 강력한 보안 모니터링 플랫폼을 디자인합니다. 자세한 전체 지침은 방법론 모니터링 관리 섹션 을 참조하세요. 보안 모니터링에 대한 권장 사항은 제로 트러스트 표시 유형, 자동화 및 오케스트레이션 가이드를 참조하세요.
- SIEM 및 위협 탐지: SIEM(보안 정보 및 이벤트 관리) 및 SOAR(보안 오케스트레이션, 자동화 및 대응) 도구 및 위협 탐지 도구를 사용하여 인프라에 대한 의심스러운 활동 및 잠재적 위협을 검색합니다.
자동화된 구성 관리: 도구를 사용하여 구성 관리를 자동화합니다. 자동화를 사용하면 모든 시스템 구성이 일관되고, 사람의 오류로부터 자유로워지고, 자동으로 적용되도록 할 수 있습니다.
자동화된 패치 관리: 가상 머신에 대한 업데이트를 관리하고 관리하기 위한 도구 사용을 명문화합니다. 자동화된 패치는 모든 시스템이 정기적으로 패치되고 시스템 버전이 일관되도록 하는 데 도움이 됩니다.
자동화된 인프라 배포: 모든 배포에 대한 IaC(Infrastructure as Code) 사용을 명문화합니다. CI/CD 파이프라인의 일부로 IaC를 배포합니다. 소프트웨어 배포와 마찬가지로 IaC 배포에 대해 동일한 안전한 배포 사례를 적용합니다.
Azure 촉진
Azure Policy와 클라우드용 Microsoft Defender 함께 작동하여 클라우드 자산 전체에서 보안 정책을 정의하고 적용할 수 있습니다. 두 솔루션 모두 기본 요소와 워크로드 리소스의 거버넌스를 지원합니다.
Azure Update Manager 는 네이티브 Azure 업데이트 및 패치 관리 솔루션입니다. 온-프레미스 시스템 및 Arc 지원 시스템으로 확장할 수 있습니다.
Microsoft Sentinel 은 Microsoft SIEM 및 SOAR 솔루션입니다. 사이버 위협 탐지, 조사 및 대응, 사전 예방적 헌팅 및 엔터프라이즈 전반의 포괄적인 보기를 제공합니다.
가용성 준비
복원력을 위해 워크로드를 디자인하면 비즈니스에서 오작동 및 보안 인시던트 문제를 견딜 수 있고 영향을 받는 시스템의 문제가 해결되는 동안 작업을 계속할 수 있습니다. 클라우드 채택 프레임워크 원칙에 부합하는 다음 권장 사항은 복원력 있는 워크로드를 설계하는 데 도움이 될 수 있습니다.
복원력 있는 애플리케이션 디자인을 구현합니다. 인프라 및 비 인프라 인시던트 모두에 대한 복원력을 향상시키는 애플리케이션 디자인 패턴을 채택하여 클라우드 채택 프레임워크 보다 광범위한 원칙에 부합합니다. 지속적인 작업과 신속한 복구를 보장하기 위해 자체 복구 및 자기 보존 메커니즘을 통합하는 설계를 표준화합니다. 복원력 있는 디자인 패턴에 대한 자세한 지침은 잘 설계된 프레임워크의 안정성 핵심 요소를 참조하세요.
서버리스 아키텍처를 채택합니다. PaaS(Platform as a Service), SaaS(Software as a Service) 및 FaaS(Function as a Service)를 비롯한 서버리스 기술을 사용하여 서버 관리 오버헤드를 줄이고, 수요에 따라 자동으로 크기를 조정하고, 가용성을 개선합니다. 이 방법은 워크로드 현대화 및 운영 효율성 최적화에 대한 클라우드 채택 프레임워크 강조를 지원합니다.
마이크로 서비스 및 컨테이너화를 사용합니다. 모놀리식 애플리케이션을 독립적으로 배포하고 확장할 수 있는 더 작고 독립적인 서비스로 분류하여 모놀리식 애플리케이션을 방지하도록 마이크로 서비스 및 컨테이너화를 구현합니다. 이 방법은 클라우드 환경에서 민첩성 및 확장성의 클라우드 채택 프레임워크 원칙에 부합합니다.
서비스를 분리합니다. 인시던트 반경을 줄이기 위해 서비스를 서로 전략적으로 격리합니다. 이 전략은 한 구성 요소의 오류가 전체 시스템에 영향을 주지 않도록 하는 데 도움이 됩니다. 강력한 서비스 경계 및 운영 복원력을 촉진하여 클라우드 채택 프레임워크 거버넌스 모델을 지원합니다.
자동 크기 조정을 사용하도록 설정합니다. 애플리케이션 아키텍처가 트래픽 급증 시 가용성을 유지할 수 있도록 다양한 부하를 처리하도록 자동 크기 조정을 지원하는지 확인합니다. 이 사례는 확장성 있고 응답성이 뛰어난 클라우드 환경을 만드는 클라우드 채택 프레임워크 지침에 부합하며 비용을 관리 가능하고 예측 가능한 상태로 유지하는 데 도움이 될 수 있습니다.
오류 격리를 구현합니다. 개별 작업 또는 함수에 대한 오류를 격리하도록 애플리케이션을 디자인합니다. 이렇게 하면 광범위한 중단을 방지하고 복원력을 향상시킬 수 있습니다. 이 방법은 신뢰할 수 있고 내결함성이 있는 시스템을 만드는 데 클라우드 채택 프레임워크 초점을 지원합니다.
고가용성을 보장합니다. 지속적인 작업을 유지하기 위해 기본 제공 중복성 및 재해 복구 메커니즘을 통합합니다. 이 방법은 고가용성 및 비즈니스 연속성 계획에 대한 클라우드 채택 프레임워크 모범 사례를 지원합니다.
자동 장애 조치(failover)를 계획합니다. 원활한 장애 조치(failover) 및 중단 없는 서비스를 지원하기 위해 여러 지역에 애플리케이션을 배포합니다. 이 방법은 지리적 중복 및 재해 복구를 위한 클라우드 채택 프레임워크 전략에 부합합니다.
보안 유지 준비
준비 단계에서 장기 보안 유지를 준비하는 데는 자산의 기본 요소가 초기 워크로드에 대한 보안 모범 사례를 준수하지만 확장성도 있는지 확인하는 작업이 포함됩니다. 이렇게 하면 자산이 성장하고 발전함에 따라 보안이 손상되지 않고 보안 관리가 너무 복잡하고 부담스럽지 않도록 하는 데 도움이 됩니다. 이렇게 하면 섀도 IT 동작을 방지할 수 있습니다. 이를 위해 준비 단계에서는 주요 아키텍처 재설계 또는 운영 관행에 대한 대대적인 정비 없이도 장기적으로 비즈니스 목표를 달성할 수 있는 방법을 생각해 보세요. 랜딩 존 디자인보다 훨씬 간단한 기반을 설정하려는 경우에도 네트워킹 및 중요 워크로드와 같은 자산의 주요 요소를 다시 배포하지 않고도 기본 디자인을 엔터프라이즈 아키텍처로 전환할 수 있는지 확인합니다. 자산이 성장함에 따라 성장할 수 있지만 여전히 안전하게 유지되는 디자인을 만드는 것은 클라우드 여정의 성공에 중요한 역할을 합니다.
기존 Azure 공간을 랜딩 존 아키텍처로 이동하는 권장 사항은 기존 Azure 환경을 Azure 랜딩 존 개념 아키텍처로 전환하세요.