해당 PPT에 대한 웨비나를 시청해보세요: https://youtu.be/Coty0etlGHU 지난 10월 6일 하시코프와 알리바바 클라우드의 조인트 웨비나 E01에서는 하시코프와 알리바바 클라우드의 인프라 보안에 대한 논의가 진행되었습니다. 하시코프에서는 Packer Image, Terraform Provisioning, Vault SSH를 알리바바 클라우드에서는 Alibaba Cloud의 인프라 보안, WAF, Anti-DDoS, Cloud Firewall, Security Center - Infra 를 다룹니다.

1. 1
임종진
DevSecOps
이규석
2021. 10. 6. (수)
E
p
i
s
o
d
e

2. 2
Alibaba Cloud 서비스 맵
Cloud Monitor
Anti-DDoS
Cloud Shield
WAF
Web Application Firewall
HSM
Hardware Secure Module
Security
Block Storage
OSS
Object Storage
Service
Archive Storage
NAS
Network Attached
Storage
Message Service
Storage
ECS
Elastic Compute Service
Auto Scaling
SLB
Server Load Balancer
Container Service
HPC
High Performance Compute
BatchCompute
Compute
Global IDC Regions Available Zones
MaxCompute
Big Data
RAM
Resource Access Management
CLI API
DevOps
Media
Transcoding
OpenSearch
Mobile
Analytics
Log Service
EDAS
Enterprise Distributed Application Service
Distributed RDS
ROS
Resource Orchestration Service
ONS
Open Notification Service
Middleware
Infrastructure
Technical
Support
Professional
Services
Training &
Certification
Cloud
Architects
Pricing Report
Support Solutions
O2O Storage
Healthcare Security Government
E-commerce IoT Telco
Web Fintech
Digital Marketing
VPC
Virtual Private Cloud
ExpressConnect
Elastic IP
Network
CDN
HA-IP
High Availability IP
RDS
Relational Database
Service
Oceanbase
Memcache
Table Store
Redis MongoDB
DMS
Database
Management
Analytic DB
DTS
Data Transmission
Service
Database
PetaData
KMS
Key Management Service
Performance Testing
Platform of A.I.
(PAI)

3. 3
Alibaba Cloud Security 서비스
Cloud Security Center
( Threat Detection Service)
Risk
Management
WAF
Server Guard
Host &
Application
Network
Security
Emergency
Response
Service
（MSS)
SSL Certificate
Data KMS
Anti-DDoS
BGP
Anti-DDoS
Basic
Game Shield
Anti-DDoS
Premium
Website
Threat Inspection
Penetration
Testing
Data Shield
Cloud Firewall
Business
Security
Content
Moderation
Real
Authentication
N factor
Authentication
HSM
Anti-Bot
Bastion Hosts

4. 4
HashiCorp 솔루션 맵
Infrastructure Networking Security Application
Packer Vagrant Terraform Consul Boundary Vault Nomad Waypoint
다양한 플랫폼에 대한
VM, 컨테이너 이미지
생성 자동화
로컬 개발환경을 위
한 VM 프로비저닝
자동화와 관리
온프레미스와
클라우드 전반의
인프라
프로비저닝과
자동화
서비스
디스커버리와
서비스 메시로
네트워크 자동화
인증/인가 기반으로
서버와 서비스에
대한 접근관리
민감 정보의 관리와
접근에 중앙화된
관리 서비스
애플리케이션
배포와 실행을 위한
오케스트레이터
단일 구성으로
컨테이너 환경에
애플리케이션 빌드
및 배포

5. 5
HashiCorp 솔루션 맵
Infrastructure Networking Security Application
Packer Vagrant Terraform Consul Boundary Vault Nomad Waypoint
다양한 플랫폼에 대한
VM, 컨테이너 이미지
생성 자동화
로컬 개발환경을 위
한 VM 프로비저닝
자동화와 관리
온프레미스와
클라우드 전반의
인프라
프로비저닝과
자동화
서비스
디스커버리와
서비스 메시로
네트워크 자동화
인증/인가 기반으로
서버와 서비스에
대한 접근관리
민감 정보의 관리와
접근에 중앙화된
관리 서비스
애플리케이션
배포와 실행을 위한
오케스트레이터
단일 구성으로
컨테이너 환경에
애플리케이션 빌드
및 배포

6. 6
Dev Sec Ops

7. 7
DevOps
• 데브옵스(DevOps)는 소프트웨어의 개발(Development)과 운영(Operations)의 합성어
• 애플리케이션 개발자와 인프라 전문가 간의 소통, 협업, 통합을 강조하는 개발 환경이나 문화를 의미
• DevOps는 소프트웨어 개발조직과 운영조직간의 상호 의존적
• 조직이 애플리케이션 서비스를 반복적이고 자동화된 환경에서도 안전하고 빠르게 배포함을 목표

8. 8
DevSecOps
• 모든 IT 개발과 운영이 적용되는 플랫폼부터 배포, 운영, 관리에 이르기 까지 보안을 고려
• 보안 영역을 추후 적용 시 재설계에 따른 추가 부담 발생
• DevOps 과정 중에 지속적이며 통합된 구조를 만드는 것에 집중

9. 9
SecOps

10. 10
Cloud Firewall
EIP, DNAT, SNAT (NAT 게이트웨이)
유저 VPC
Web
Group 1
Web
Group 2
DB
Group 1
DB
Group 2
Cloud Firewall로 East­ West 트래픽 제어
Internet
Cloud Firewall로 North ­ South 트래픽 제어
North-south traffic : 인터넷과 응용 프로그램 간의 트래픽
East-West traffic : 내부 서비스 간의 트래픽
• North-south access control
: 아웃바운드 트래픽에 대한 DNS 기반 액세스 제어
• 풀 스택 침입 방지
: Layer-4 이상 침입 방지 시스템
• VPCs 내부의 격리
: Security Group 및 East-west 트래픽 모니터링
• Operations audit
: 감사 보안 정책 모니터링

11. 11
Web Application Firewall
WAF란? 주요 기능
- HTTP/HTTPS/HTTP2 트래픽에 대한 애플리케이션
필터링 및 모니터링을 수행하는 보안 시스템
- OSI 모델 중 layer 7에 해당하는 Application
layer에 대한 방어
Any Vendor
Alibaba cloud WAF
SLB、ECS
Internet Data Center
OSS、API
AWS、Google others
Alibaba Cloud WAF Protection Model(Reverse-proxy)
인텔리전트
AI 기반의 실시간 빅데이터 분석 엔진으로
트래픽 분류 및 필터 수행
IP Warehouse
악의적 공격 IP 주소 및 IP 블랙리스트를 저장하는
글로벌 라이브러리 보유, 이를 기반으로 공격 탐지
강화된 알고리즘
최적화된 알고리즘으로 ACL 정책을 간소화하고
서비스를 지속적으로 공격으로부터 보호
High Concurrency
피크타임 시 원활한 서비스 보호를 위해
수백만 QPS까지 탄력적으로 지원

12. 12
Anti-DDoS Premium
Anti-DDoS
server
Attack
Normal users
Threat analysis center
Logs center
AI
Intelligent
Protective
engine
CDN
ü AI intelligent 엔진으로 보호되는 Application 관련
공격：아시아에서만 100,000개가 넘는 웹사이트 방어
ü 최대 1.02TB 트래픽의 DDoS 공격 방어
ü 세계적으로 10개가 넘는 지역에서의 Anti-DDoS 서버
구성

13. 13
Security Center
③
②
①
Anti virus
마이닝, 웜 등7가지 주요 바이러스 차단
Anti malware
wannacry 등의 렌섬웨어 로부터 시스템 보호
Patch management
OS 레벨 취약점 탐지 및 수정
②
①
Configuration Check
클라우드 서비스 구성 체크리스트 및 보안
수준 향상을 위한 조언 제공
Best Practice
ID 인증, 네트워크 엑세스 제어, 데이터 보안,
로그 감사 및 기본 보안을 포함하여 알리바바
클라우드 보안 구성을 개선
②
①
보안 운영의 자동화, 효율성 향상
많은 프로세스를 자동화함으로써 보안 운영의
효율성 향상
시각화
시각적 인터페이스를 통해 사용자가 공격의
원인을 추적하고 신속한 대응이 이루어지도록
함

14. 14
Security Best Practice
Anti-DDOS Premium
Alibaba
Cloud
L4 flood
cleansing
WAF
Managed Security Service
Cloud
Security
Center
Encryption
KMS/HSM
SLB
Web Application
Protection
Anti-Bot
SLB
Log
Service
VPC
Cloud
Firewall
Cloud
Security
Center
Host
Protection
Cloud
Firewall
Border
defense
Penetration
Test
Strength
verification
SDDP
Data
protection
Bastion
Host
Bastion
Host
VPC

15. 15
SecOps

16. 16
Immutable Infrastructure (AS-IS)
ECS
Elastic Compute Service
Image
Registry
APP RUNTIME SECURITY
NETWORK OS USER
V1 V1.1 V2.1 V2.2 V2.3 V3.0 …

17. 17
Immutable Infrastructure (TO-BE)
ECS
Elastic Compute Service
Image
Registry
APP RUNTIME SECURITY
NETWORK OS USER
Standard Secure
Image

18. 18
Provisioning Workflow
Web-Shop
Resources
Web-Shop
Resources
Infrastructure
as Code
push/pull
VCS
Workspace
TERRAFORM CLOUD / ENTERPRISE
VCS Driven
Workflow
DEVELOPER
MODULE:Services
SIZE: large
TAG: finance
REGION: ap-singapol
Workspace
OPS
PLAN
APPLY
POLICY
CODIFICATION
WORKLOAD/LIFECYCLE
MANAGEMENT
RUN
STAGES
CLOUD
RESOURCES
CI/CD
PRIVATE
MODULE
REGISTRY
...
Prod
Resources
Dev
Resources

19. 19
Provisioning Workflow | Sensitives
Web-Shop
Resources
Web-Shop
Resources
Infrastructure
as Code
push/pull
VCS
Workspace
TERRAFORM CLOUD / ENTERPRISE
VCS Driven
Workflow
DEVELOPER
MODULE:Services
SIZE: large
TAG: finance
REGION: ap-singapol
Workspace
OPS
PLAN
APPLY
POLICY
CODIFICATION
WORKLOAD/LIFECYCLE
MANAGEMENT
RUN
STAGES
CLOUD
RESOURCES
CI/CD
PRIVATE
MODULE
REGISTRY
...
Prod
Resources
Dev
Resources

20. 20
Provisioning Workflow | Policy
Web-Shop
Resources
Web-Shop
Resources
Infrastructure
as Code
push/pull
VCS
Workspace
TERRAFORM CLOUD / ENTERPRISE
VCS Driven
Workflow
DEVELOPER
MODULE:Services
SIZE: large
TAG: finance
REGION: ap-singapol
Workspace
OPS
PLAN
APPLY
POLICY
CODIFICATION
WORKLOAD/LIFECYCLE
MANAGEMENT
RUN
STAGES
CLOUD
RESOURCES
CI/CD
PRIVATE
MODULE
REGISTRY
...
Prod
Resources
Dev
Resources

21. 21
Secret Management - SSH (AS-IS)
Admin
User
Servers
• Email
• Messenger
• SMS
접근 통제
SSH

22. 22
Secret Management - SSH (TO-BE)
User
SSH
Check
Auth
One Time Password
Servers

23. 23
Demo

24. 24
Demo - HashiCorp
Vault SSH helper
PAM config
SSH config
Custom
Image
ECS
IaC
Sentinel Policy
Apply/Destroy
PAM Server
Auth
Policy
Check

25. 25
Demo ­ Alibaba Cloud

26. 26
2021. 10. 13. (수)
DevSecOps
Episode
임종진 이규석
NEXT