ISA + WebKnight 구성은 최적화 웹방화벽 솔루션 제공

보안과 성능이라는 범주에서 볼 때, 간혹 전혀 예측하지 않았던 곳에서 성과를 보이거나, 문제 해결의 단초가 발견되는 경우가 종종 있다. 꼭 엄청난 고가의 장비만으로 해결될 수 있는 문제만 있는 것은 아니라고 본다.
때로는 그러한 고가 장비로의 맹신이 프로젝트를 그르치고, 문제를 더 어렵게 만드는 제일 원인이 될수 있다고 본다.

노하우, 그리고 우리 시스템에 가장 최적화된 환경을 구축하고, 업그레이드 시켜가는 것이 최선이다. 아래에서 제시한 ISA + WebKnight 구성은 거의 적용된 사례를 본 적도 들어본적도 없지만, 나름 성과를 가지고 계시다니, 한번쯤 테스트해서 나쁠 것은 없다고 본다.

본인도 몇 해 전에 윈도우즈 웹서버 동기화 문제를 Windows Server의 DFS를 통해서 해결했던 적이 있다. 당시에 그러한 사례는 거의 전무했고, 현재도 비슷한 상황이 아닐까 한다. 나중에 이 건에 관해서는 예전 정리된 자료를 찾아 포스팅 하도록 하겠다.

다시 돌아와서, 중소기업 등의 비용 문제가 심각한 현실에서는 최대한 적은 비용과 되도록이면 돈을 들이지 않는 방법을 통해 최적화를 하려고 한다. 이는 비단, 일부의 문제가 아니라, 대부분의 기업에서 요구하는 부분일 것이다. 조금 더 관심을 가지고 지속적인 노력을 해간다면, 충분히 우리 주변에서 적은 비용으로, 성능과 보안의 양쪽 측면을 다 잡아가는 사례도 찾을 수 있을 것이고, 또한 우리 스스로도 그런 시스템을 만들어갈 수 있지 않을까 싶다. 아래에서 말씀하시는 것과 같이 비슷한 성과를 나 또한 본다면, 우리 시스템에도 도입하여 적용할 계획이다.

=======================================================================================================

최근 몇 업체에 웹방화벽(WebKnight)과 함께 일반 방화벽(Firewall)을 함께 설치하다보니 애로사항이 많이 있습니다. 그 중에서 가장 큰 문제는 바로 관리상의 어려움이 아닐까 싶습니다.

  현재 사용되고 있는 대부분의 방화벽은 외부로 부터 기본적인 접근 제어 및 관리가 가능하지만, 네트워크의 패킷 단위로만 관리가 되다보니 초고가의 장비(거의 1억에 근접한...)가 아니고서는 원하고자 하는 다양한 기능을 제공받기란 힘듭니다. 사실 단순한 방화벽의 기능만을 가지고 본다면, 일반 박스장비 이상의 선택은 없을지도 모르지요.
 
 그러나, 현실적으로 접근해 볼 때 대부분의 회사에서 제공받기를 원하는 기능은 초고가의 장비에 속합니다. 하지만, 실제 현장에서 사용가능한 비용은 1500만원 미만. 이렇다보니 네트워크 상에서 방화벽으로도 신경을 못쓰고 웹방화벽으로도 신경을 못써서 어정쩡한 단계에 머무는 경우가 다수입니다. 이렇다가 사고가 나면 다시 이걸 처리하기 위해서 시간 비용과 기술 비용이 들어가고 다시 며칠동안 고생하는 상황이 발생합니다.

 비용과 시간이라는 두 축을 포기할 수 없는 상황에서 그나마 많이 신경써서 구축 가능한 환경이 바로 방화벽으로 ISA의 도입과 웹서버에 웹방화벽으로 WebKnight의 설치입니다. 생각보다 이 둘의 매칭이 대단히 잘 맞더군요. 이 둘의 궁합을 해봤더니, 의외의 결과를 얻고 있습니다.

 일단 ISA가 소프트웨어기반의 방화벽이지만, 일반 하드웨어 방화벽이 지원하지 못하는 기능들이 제공됩니다. 직접 설치하고 운영하는 것 보다 박스 장비의 ISA를 도입했더니

• 손쉬운 장애 처리
• 하드웨어 장비의 한계를 넘는 능력
• 박스 장비과 크게 다르지 않는 손쉬운 관리 방법

을 제공 받을 수 있더군요. 비교적 싼 방화벽 비용으로 더 높고 다양한 기능이 커버됐습니다. 세부적으로 ISA와 WebKnight가 함께 도입했을 때 효과는 다음과 같이 이야기 할 수 있습니다.

ISA 부분

1. 기본적인 방화벽 기능
2. L4가 대처 가능한 수준의 강력한 세션 관리
3. L7 장비 레벨의 서비스 가능
4. 클라이언트->ISA->웹 서버 구성으로 ISA의 세션 관리 기능이 탁월함
5. ISA의 방화벽 기능으로 ARP Spoofing 공격 방어(2007년 추가된 해킹 유형)
6. 기존 방화벽과는 다른 실시간 레벨의 강력한 모니터링
7. ISA의 강력하고 쉬운 세션 모니터링 필터 가능
8. ISA가 제공하는 불필요한 접속 필터링(실제 웹서버의 로그가 10%이상 감소)
9. 웹서버와 외부 사이의 불 필요한 접속 통제로 WebKnight의 부하 최소화

어플리케이션의 안전한 인터넷 게시 구성도

WebKnight 부분

1. 방화벽에서 처리하지 못하는 부분에 대한 웹 서버의 로그 관리
2. 간편한 로그 정리 및 모니터링
3. 간편한 웹 해킹의 대응책
4. 간편한 웹 에러의 정리

 여기에 왜 일반 방화벽이 아닌 ISA를 사용했을 때 더 효능이 높았는가를 곰곰히 생각을 해봤습니다.

1. 하드웨어 방화벽에서는 제공하지 못하는 세션 관리
2. 단순한 포트의 연결이 아닌 실제 패킷 데이터의 관리
3. 더 높은 성능을 원한다면, 더 높은 하드웨어의 요청

물론, ISA 역시 ISA의 구조상 몇가지 가질 수 밖에 없는 단점들이 있습니다. 하지만 ISA의 도입이 가능하다면, ISA의 도입만으로 WebKnight의 로그가 줄어들고 보다 정확한 데이터를 얻을 수 있기에 저로써는 만족할만한 성과를 얻었습니다.

출처 : NTFAQ