AhnLab CPP는 어떻게 진화하고 있나

 

AhnLab CPP 1.0.2 버전에서 추가 및 개선된 주요 사항은 ▲지원 OS 확대 ▲ 컨테이너 보호 기능 강화 ▲다각적인 사용 편의성 향상 ▲가용성 제고를 위한 성능 개선이다. 

올 6월 CPP 출시 당시, 백신의 경우 안랩이 그동안 쌓아온 기술적 역량과 경험을 반영해 다양한 OS를 지원했다. 하지만 호스트 IPS와 애플리케이션 제어 기능은 CentOS, RHEL, Ubuntu, Amazon Linux 메인 버전 대상으로만 우선 지원했었다.

이번 신규 버전은 호스트 IPS와 애플리케이션 제어 지원 범위를 기존 OS뿐 아니라 CentOS 8, RHEL 8, Ubuntu 18.04, 20.04와 같은 리눅스 최신 버전과 Windows 2008 R2까지 확대한다. 또한, 한 달에도 수 차례씩 릴리즈되는 리눅스 최신 커널도 지속적으로 지원하고 있다. 

아울러 출시 당시, CentOS 7에서 안정적인 운영을 지원했던 CPP 서버는, 이번 신규 버전에서 Amazon Linux 2에서도 동작을 지원한다. 이는 AWS 이전 고객으로 하여금 AWS 클라우드 환경에서 CPP 서버를 함께 운영할 수 있도록 한다. 

컨테이너 보호 기능 강화
그 동안 서비스 제공에 요구되는 애플리케이션 운영에 필요한 최소 자원 단위는 서버와 VM(가상 머신)이었다. 그러나 클라우드 환경에서는 이러한 워크로드 단위가 컨테이너, 서버리스(코드)와 같이 더 작은 단위로 변화하고 있다. 특히 컨테이너 기반 서비스를 제공하는 기업이 많아지면서, 컨테이너에 대한 보안도 필수적인 요소로 꼽히고 있다. 

안랩은 이미 도커, k8s 환경에서 컨테이너 파일에 대한 악성코드와 컨테이너를 향한 네트워크 공격에 대한 탐지를 지원해왔다. 이번 신규 버전은 추가적으로, 탐지된 컨테이너 파일과 네트워크 공격 및 통신이 어느 컨테이너에서 발생했는지 식별할 수 있는 기능을 제공한다. 이를 통해 관리자는 보안상 취약점을 가진 컨테이너를 손쉽게 파악해 보다 안전한 서비스 운영 환경을 조성할 수 있다.

 

[그림 1] AhnLab CPP 1.0.2 컨테이너 탐지 대시보드

사용 편의성 개선 1: IPS 추천 (정보 수집부터 추천까지 원스톱)
호스트 IPS는 별도 장비가 아닌 서비스 서버에서 구동되므로, 수천 개의 시그니처 중 서버 환경에 맞는 시그니처만 적용해야 한다. 하지만, 보안 관리자가 조직 내 모든 서버의 운영체제와 애플리케이션 정보를 기반으로 직접 시그니처를 적용하는 것은 현실적으로 굉장히 어렵다. 이에 AhnLab CPP는 다음과 같은 기능을 단계 별로 제공했다: 1) 각 시스템 정보를 수집한 후, 2) 해당 시스템에 맞는 시그니처가 무엇인지 분석하고, 3) 추출된 시그니처를 각 시스템에 추천.

 

[그림 2] AhnLab CPP 1.0.2 IPS 추천 (1)

이번 패치에서는 단계별로 제공했던 IPS 추천 기능을 시스템 정보 수집부터 분석, 추천까지 한번의 클릭으로 수행되는 ‘원스톱’ 형태로 지원하며, 관리자는 필요한 시점에 추천을 받고 그 결과를 확인할 수 있다. 또한 호스트뿐 아니라 컨테이너 정보까지 포함해 추천하도록 기능을 설계해, 도커 및 k8s 환경에서의 네트워크 공격 방어 역량도 강화했다.

 

[그림 3] AhnLab CPP 1.0.2 IPS 추천 (2)

사용 편의성 개선 2: AV 검사 명령 시 대상 및 치료 설정 지원 
악성코드 검사 시, 수동 검사, 예약 검사, 실시간 검사 등 다양한 방식으로 검사와 함께 검사 대상 경로 지정과 검사 예외 경로 및 확장자 설정을 지원해왔다

기존 물리 서버와 달리 클라우드 환경에서는 서버 담당자에 의한 직접적인 수동 검사보다는 중앙에서의 명령을 통해 악성코드 검사가 이뤄진다. 이번 패치에는 이러한 클라우드 환경의 특성을 고려해 중앙 관리 서버에서 수동 검사 명령 시, 직접 검사 경로를 설정하고 치료 옵션을 선택하는 기능이 추가됐다. 향후에는 중앙에서 각 서버의 검역소를 확인 및 복원할 수 있는 기능까지 지원할 계획이다. 

AhnLab CPP는 클라우드 계정 연동을 통해 인스턴스(VM)에 대한 가시성을 제공하며, 계정 연동 없이도 직접적인 설치를 통해 물리 서버와 클라우드 서버(인스턴스)를 함께 관리할 수 있다. 클라우드 환경에서 인스턴스는 필요에 따라서 손쉽게 추가될 수 있지만 마찬가지로 손쉽게 삭제될 수도 있다. 이처럼 변화가 많은 환경에서는 관리자가 서버를 관리하는 것이 업무적으로 부담이 될 수 있다. 

이에 일정 기간동안 연결되지 않은 서버 단말을 식별하고, 필요 시 설정에 따라 관리 대상에서 자동 삭제해주는 기능을 제공한다. 관리 대상에서 삭제된 서버 단말이 CPP 서버로 접속 시도 시 다시 자동 등록된다. 

가용성 제고를 위한 성능 개선
서비스 서버에 설치되어 서버 자산을 보호하는 솔루션은 서비스 서버의 가용성을 해치지 않는 것이 무엇보다 중요하다. CPP는 악성코드 수동 검사 시, CPU 사용량 제한 등 가용성을 확보할 수 있는 기능들을 지원하고 있다.

이번 패치에서는 악성코드 실시간 검사 및 IPS 실시간 탐지 시 성능을 대폭 개선하여, 낮은 사양의 서버에서도 원활하게 동작하도록 지원한다. 서버에서 발생하는 파일 I/O 혹은 적용된 IPS 시그니처 및 트래픽 처리에 따라 영향을 받는 것은 불가피하지만, 이를 최소화하기 위한 다양한 예외 처리 기능을 함께 제공한다.

클라우드 환경에서도 서버 자체에 대한 보안의 필요성은 크게 다르지 않지만, 서버 운영 방식에 따라 요구되는 보안 기능의 차이가 있다. 특히 운영 범위가 VM에서 컨테이너 환경까지 확대되면서, 보호 대상도 함께 확대되고 있다.

 

[그림 4] AhnLab CPP 개념도

안랩은 오는 2021년에도 호스트 IPS와 애플리케이션 역량 강화, 지속적인 성능 및 편의성 개선뿐 아니라, 클라우드 워크로드 보호 플랫폼(Cloud Workload Protection Platform: CWPP)으로서 보안 역량을 발전시킬 수 있는 추가적인 기능을 제공할 계획이다. 또한, 장기적으로도 클라우드 환경에서 강력하고 전방위적인 보안 서비스를 제공하기 위해 다방면으로 노력을 기울이고 있다.