🛡️ Azure의 다양한 보안 관리 기능 (Azure Security Functions)
Azure 클라우드 환경에서 네트워크, 가상머신, 데이터, 그리고 전체적인 보안 태세(Posture)를 관리하고 보호하는 핵심 기능들에 대해 다룹니다.
1. 네트워크 보호 (Network Protection)
Azure는 외부 공격으로부터 네트워크 리소스를 보호하기 위해 여러 계층의 방어 기능을 제공합니다.
🔹 Azure DDoS Protection
네트워크 트래픽을 실시간으로 모니터링하여 DDoS(분산 서비스 거부) 공격을 탐지하고 차단합니다.
- 기본(Basic): Azure의 모든 자산에 무료로 자동 적용. 일반적인 네트워크 공격 방어.
- 표준(Standard): VNet 보호를 위해 조정된 유료 기능. 애플리케이션 변경 없이 적용 가능.
🔹 Azure Firewall
Azure Virtual Network(VNet) 리소스를 보호하는 클라우드 기반 네트워크 보안 서비스입니다.
- 중앙 집중식 관리: 구독 및 VNet 전체의 트래픽을 중앙에서 제어.
- 위협 인텔리전스: 악성 IP 및 도메인 트래픽을 자동으로 차단.
- 고가용성: 별도 구성 없이 고가용성 및 확장성 제공.
🔹 WAF (Web Application Firewall)
웹 애플리케이션의 취약점(예: SQL 주입, 크로스 사이트 스크립팅)을 노리는 공격을 방어합니다.
- Application Gateway와 함께 사용되며, 중앙에서 보안 패치 및 관리가 가능합니다.
🔹 NSG (Network Security Group)
Azure VNet 내의 리소스(가상머신 등)로 들어오고 나가는 네트워크 트래픽을 필터링합니다.
- 규칙 설정: IP 주소, 포트, 프로토콜, 방향(인바운드/아웃바운드)을 기준으로 허용/거부 규칙을 생성합니다.
- 실습 포인트: 가상머신 생성 시 RDP 접속을 위해 3389 포트에 대한 인바운드 보안 규칙을 추가해야 합니다.
2. 가상머신 보호 (VM Protection)
가상머신에 대한 원격 액세스를 안전하게 관리하는 기능입니다.
🔹 Azure Bastion
브라우저 및 Azure Portal을 통해 가상머신에 안전하게 연결(RDP/SSH)하는 PaaS 서비스입니다.
📝 수강생 메모: Bastion은 "내가 관리할 곳만 보겠다"는 개념으로, 보안을 위해 가상머신의 RDP/SSH 포트를 공용 인터넷에 노출하지 않고 Azure Portal을 통해 안전하게 접근하는 방식입니다.
- 특징: VNet 내부에서 프로비전되며, TLS(SSL)를 통해 연결되므로 외부 공격 노출을 최소화합니다.
🔹 JIT (Just-in-Time) 액세스
가상머신에 대한 관리 포트를 항상 열어두지 않고, 필요한 시간 동안만 열어두는 기능입니다. 외부 공격 노출 시간을 최소화합니다.
3. 데이터 보호 (Data Protection)
데이터의 저장, 전송, 사용 중 암호화를 통해 정보를 보호합니다.
🔹 Azure 암호화 기술
- Azure Storage 서비스 암호화: 저장소에 저장된 미사용 데이터를 자동으로 암호화.
- Azure Disk Encryption: Windows/Linux 가상머신의 디스크를 암호화.
- TDE (투명한 데이터 암호화): SQL Database 등의 데이터를 실시간으로 암호화/복호화.
🔹 Azure Key Vault (키 자격 증명 모음)
📝 수강생 메모: Key Vault는 말 그대로 '금고'입니다.
- 기능: API 키, 암호(Password), 인증서, 암호화 키 등 중요한 비밀 정보를 안전하게 중앙에서 저장하고 관리합니다.
- 장점: 소스 코드에 비밀번호를 하드 코딩하지 않고, URI를 통해 Key Vault에서 값을 호출하여 보안성을 높입니다.
4. 보안 관리 및 거버넌스 (Security Management)
클라우드 환경 전반의 보안 상태를 진단하고 개선합니다.
🔹 CSPM (Cloud Security Posture Management)
클라우드 보안 태세 관리 도구로, 클라우드 리소스의 잘못된 구성이나 규정 준수 위반을 식별하고 해결을 돕습니다.
- 참고: 보안 취약점이 발견되면 담당자에게 자동으로 경고하고 우선순위를 지정해 줍니다.
🔹 클라우드용 Microsoft Defender
CSPM 및 CWP(클라우드 워크로드 보호) 기능을 통합하여 제공하는 도구입니다.
- 보안 점수 (Secure Score): 현재 보안 상태를 점수(백분율)로 시각화하여 보여줍니다. 점수가 높을수록 보안 위험이 낮습니다.
- 강화된 보안: 서버, SQL, 컨테이너 등 워크로드별로 특화된 위협 탐지 및 보호 기능을 제공합니다.
🔹 Azure Security Benchmark (ASB)
Azure에서 워크로드, 데이터, 서비스를 보호하기 위한 모범 사례 및 권장 사항의 집합입니다. Azure 보안 기준을 수립하는 데 사용됩니다.
💡 요약 및 핵심 포인트
- 계층적 방어: DDoS 방어(경계) -> Firewall(네트워크) -> NSG(서브넷/NIC) -> Bastion(VM 접근) 순으로 계층화된 보안을 적용해야 합니다.
- 중앙 집중화: Key Vault를 통해 비밀 정보를, Azure Firewall을 통해 네트워크 트래픽을 중앙에서 관리하는 것이 효율적이고 안전합니다.
- 가시성 확보: Microsoft Defender의 보안 점수를 주기적으로 확인하여 취약한 구성을 파악하고 권장 사항을 이행해야 합니다.
