개발자 대상: 프라이빗 클라우드 현대화

클라우드에서 가상머신(VM)을 만드는 것이 어려운가요? 차를 만드는 것보다 더 어렵지 않습니다. 그러나 대기업의 경우에는 이러한 간단한 조치도 고통스러울 만큼 오랜 시간이 걸릴 수 있습니다. 가상 머신을 생성하는 것만으로는 충분하지 않으며 모든 규정에 따라 작업에 필요한 액세스 권한도 얻어야 합니다. 모든 개발자에게 익숙한 고통이 있습니까? 한 대형 은행에서는 이 절차를 수행하는 데 몇 시간에서 며칠이 걸렸습니다. 그리고 한 달에 수백 건의 유사한 작업이 있었기 때문에 이러한 노동력 소모적인 계획의 규모를 상상하기 쉽습니다. 이를 해결하기 위해 은행의 프라이빗 클라우드를 현대화하고 VM 생성 프로세스뿐만 아니라 관련 운영도 자동화했습니다.

작업 번호 1. 인터넷 연결이 가능한 클라우드

은행은 내부 IT 팀을 사용하여 네트워크의 단일 세그먼트를 위한 프라이빗 클라우드를 만들었습니다. 시간이 지남에 따라 경영진은 그 이점을 인식하고 프라이빗 클라우드 개념을 은행의 다른 환경과 부문으로 확장하기로 결정했습니다. 이를 위해서는 프라이빗 클라우드에 대한 더 많은 전문가와 강력한 전문 지식이 필요했습니다. 따라서 우리 팀은 클라우드 현대화를 맡게 되었습니다.

이 프로젝트의 주요 흐름은 비무장지대(DMZ)의 추가 정보 보안 부문에 가상 머신을 생성하는 것이었습니다. 이곳은 은행 서비스가 은행 인프라 외부에 위치한 외부 시스템과 통합되는 곳입니다.

하지만 이 메달에는 반전도 있었습니다. DMZ의 서비스는 '외부'에서 이용 가능했고 이로 인해 전체적인 정보 보안 위험이 수반되었습니다. 우선 해킹시스템의 위협으로, 이에 따른 DMZ 내 공격범위 확장, 그리고 은행 인프라 침투이다. 이러한 위험 중 일부를 최소화하기 위해 우리는 마이크로 세분화 솔루션이라는 추가적인 보안 조치를 사용할 것을 제안했습니다.

마이크로 세분화 보호

클래식 분할은 방화벽을 사용하여 네트워크 경계에 보호된 경계를 구축합니다. 마이크로 세분화를 사용하면 각 개별 VM을 개인용 격리 세그먼트로 분리할 수 있습니다.

이는 전체 시스템의 보안을 강화합니다. 공격자가 하나의 DMZ 서버를 해킹하더라도 네트워크 전체에 공격을 확산시키는 것은 극히 어렵습니다. 네트워크 내의 많은 "잠긴 문"을 뚫고 들어가야 합니다. 각 VM의 개인 방화벽에는 진입 및 종료 권한을 결정하는 자체 규칙이 포함되어 있습니다. VMware NSX-T 분산 방화벽을 사용하여 마이크로 세분화를 제공했습니다. 이 제품은 VM에 대한 방화벽 규칙을 중앙에서 생성하고 이를 가상화 인프라 전체에 배포합니다. 어떤 게스트 OS를 사용하든 상관없이 가상 머신을 네트워크에 연결하는 수준에서 규칙이 적용됩니다.

문제 N2. 속도와 편리함을 추구하다

가상 머신을 배포하시겠습니까? 용이하게! 몇 번만 클릭하면 완료됩니다. 그러나 많은 질문이 생깁니다. 이 VM에서 다른 VM이나 시스템에 액세스하는 방법은 무엇입니까? 아니면 다른 시스템에서 다시 VM으로?

예를 들어 은행에서는 클라우드 포털에서 VM을 주문한 후 기술 지원 포털을 열고 필요한 액세스 권한 제공 요청을 제출해야 했습니다. 신청서에 오류가 있어서 상황을 바로잡기 위한 전화와 서신이 접수되었습니다. 동시에 VM은 10-15-20개의 액세스를 가질 수 있으며 각각을 처리하는 데 시간이 걸렸습니다. 악마의 과정.

또한 원격 가상 머신의 수명 활동 흔적을 "정리"하려면 특별한 주의가 필요했습니다. 제거된 후에도 수천 개의 액세스 규칙이 방화벽에 남아 장비를 로드했습니다. 이는 추가 부담이자 보안 허점입니다.

클라우드의 규칙으로는 이 작업을 수행할 수 없습니다. 불편하고 안전하지 않습니다.

VM에 대한 접근 제공에 소요되는 시간을 최소화하고 관리의 편리성을 높이기 위해 VM에 대한 네트워크 접근 관리 서비스를 개발하였습니다.

상황에 맞는 메뉴에서 가상 머신 수준의 사용자는 항목을 선택하여 액세스 규칙을 생성한 다음 열리는 양식에서 프로토콜 유형, 포트 번호, 위치, 위치 등 매개변수를 지정합니다. 양식을 작성하고 제출하면 HP Service Manager를 기반으로 하는 사용자 기술 지원 시스템에서 필요한 티켓이 자동으로 생성됩니다. 이들은 이러한 액세스 또는 해당 액세스를 승인할 책임이 있으며, 액세스가 승인된 경우 아직 자동화되지 않은 일부 작업을 수행하는 전문가에게 책임이 있습니다.

전문가가 참여하는 비즈니스 프로세스 단계가 완료되면 방화벽에 대한 규칙을 자동으로 생성하는 서비스 부분이 시작됩니다.

마지막 코드로 사용자는 포털에서 성공적으로 완료된 요청을 확인합니다. 이는 규칙이 생성되었으며 보기, 변경, 삭제 등의 작업을 수행할 수 있음을 의미합니다.

최종 혜택 점수

기본적으로 우리는 프라이빗 클라우드의 작은 측면을 현대화했지만 은행은 눈에 띄는 효과를 얻었습니다. 이제 사용자는 서비스 데스크를 직접 처리하지 않고 포털을 통해서만 네트워크 액세스를 받습니다. 필수 양식 필드, 입력된 데이터의 정확성에 대한 유효성 검사, 사전 구성된 목록, 추가 데이터 - 이 모든 것은 정확한 액세스 요청을 작성하는 데 도움이 되며 높은 확률로 정보 보안 직원이 고려하고 거부하지 않을 것입니다. 오류를 입력합니다. 가상 머신은 더 이상 블랙박스가 아닙니다. 포털에서 변경하여 계속 작업할 수 있습니다.

그 결과, 오늘날 은행의 IT 전문가들은 액세스 권한을 얻기 위한 보다 편리한 도구를 마음대로 사용할 수 있게 되었으며, 없이는 절대 할 수 없는 사람들만 프로세스에 참여하게 되었습니다. 전체적으로 인건비 측면에서 이는 최소 1인의 일일 전체 부하에서 벗어나 사용자에게 수십 시간을 절약해 줍니다. 규칙 생성 자동화를 통해 은행 직원에게 부담을 주지 않는 미세 세분화 솔루션 구현이 가능해졌습니다.

그리고 마지막으로 "액세스 규칙"이 클라우드의 회계 단위가 되었습니다. 즉, 이제 클라우드는 모든 VM의 규칙에 대한 정보를 저장하고 가상 머신이 삭제되면 이를 정리합니다.

곧 현대화의 이점이 은행 전체의 클라우드로 확산될 것입니다. VM 생성 프로세스 자동화 및 마이크로 세분화가 DMZ를 넘어 다른 세그먼트까지 포착했습니다. 그리고 이는 클라우드 전체의 보안을 강화했습니다.

구현된 솔루션은 은행이 개발 프로세스 속도를 높이고 이 기준에 따라 IT 회사 모델에 더 가까워진다는 점에서도 흥미롭습니다. 결국, 모바일 애플리케이션, 포털, 고객 서비스와 관련하여 오늘날의 모든 대기업은 디지털 제품 생산을 위한 "공장"이 되기 위해 노력하고 있습니다. 이러한 의미에서 은행은 사실상 가장 강력한 IT 회사와 동등한 수준으로 새로운 애플리케이션 생성을 따라잡습니다. 그리고 프라이빗 클라우드 모델을 기반으로 구축된 IT 인프라의 기능을 통해 이에 필요한 리소스를 몇 분 안에 최대한 안전하게 할당할 수 있다면 좋습니다.

저자 :
Vyacheslav Medvedev, Jet Infosystems 클라우드 컴퓨팅 부서 책임자,
Jet Infosystems 클라우드 컴퓨팅 부서의 수석 엔지니어 Ilya Kuikin

출처 : habr.com