Azure의 Red Hat Enterprise Linux에 대한 보안 고려 사항
이 문서에서는 RHEL(Red Hat Enterprise Linux) 환경에서 보안을 구현하기 위한 고려 사항 및 권장 사항을 설명합니다. RHEL 시스템에 대한 보안을 제공하려면 여러 영역을 대상으로 하는 접근 방식을 사용합니다. 보안을 위해서는 모든 팀이 함께 작업하여 워크로드를 보호해야 합니다. 배포하는 제품 또는 플랫폼은 사용자 환경에 대한 보안만을 보장할 수 없습니다.
동작, 관리 및 엔지니어링 구성 요소를 포함하는 엄격한 프로세스를 구현하고 준수합니다. Azure 랜딩 존에 RHEL을 배포하는 경우 몇 가지 보안 요소를 평가해야 합니다. 안전하고 복원력 있는 클라우드 환경을 만들려면 Azure 및 Red Hat 보안 메커니즘을 모두 적용하는 전략적 접근 방식을 구현합니다.
디자인 고려 사항
AZURE 또는 다른 곳에서 RHEL 시스템에 대한 보안을 제공하려면 확인되고 유효성이 검사된 콘텐츠로 시작해야 합니다. 최신 클라우드 환경에서 이진 파일 및 코드는 다양한 소스에서 비롯할 수 있습니다. 배포에 대한 첫 번째 고려 사항으로 소프트웨어 공급망을 보호합니다.
이미지 강화
Azure Marketplace 및 프라이빗 제품 제품 섹션에서 유럽, 중동 및 아프리카(EMEA) 지역에서 Red Hat 또는 Red Hat Limited가 레코드를 게시하는 이미지를 찾을 수 있습니다. Red Hat 및 Microsoft는 이러한 이미지를 확인하고 유효성을 검사하여 원본 무결성을 보장하고 RHEL 운영 체제 인스턴스에 대한 보안 기본 구성을 제공합니다.
대상 워크로드에 대한 조직의 런타임 보안 요구 사항을 충족하려면 이러한 이미지에서 빌드하는 인스턴스를 올바르게 구성합니다. 보안 조치를 간소화하려면 Azure Marketplace의 Red Hat 게시된 이미지를 사용하여 RHEL 시스템을 배포합니다. 워크로드에 대한 시스템 및 이미지 사양에 대한 Red Hat 지침을 따릅니다. 공격 표면을 줄이려면 최소한의 Azure 최적화 RHEL 이미지로 시작합니다. 이 기본 이미지에서 모든 인스턴스를 만들고 구성할 필요는 없습니다. 다양한 강화 요구 사항을 충족하려면 구성 가능한 구성 요소를 사용하여 워크로드별 이미지를 빌드하는 것이 좋습니다.
GitOps 사례를 사용하여 이미지 파이프라인을 개발할 수도 있습니다. 이 방법은 우수한 방법론입니다. 이러한 파이프라인은 구성 코드로 정의된 구성 가능한 구성 요소를 초기 이미지에 계층화하여 워크로드 이미지를 생성합니다.
이미지를 효과적으로 사용하려면 다음 고려 사항을 구현합니다.
최소한의 권한 모델을 준수하는 강화된 기본 이미지를 만들어 견고한 기반을 제공합니다.
소프트웨어 및 보안 구성을 함께 계층화하여 재사용을 촉진하고 표준 운영 환경 및 DevSecOps 모범 사례를 따릅니다.
이미지에 컴퍼지션 모델을 사용하여 테스트 및 인증 노력을 줄이고 유지 관리 비용을 줄입니다.
컴퍼지션 모델을 사용하여 유연성을 높이고 새 워크로드에 대한 전송 시간을 가속화합니다.
모델에 대한 이미지의 빌드, 테스트 및 배달 프로세스를 자동화합니다.
이미지 업데이트
또한 이미지를 정기적으로 업데이트해야 합니다. 임시 인스턴스는 일반적으로 현재 이미지에서 배포하기 때문에 최신 이미지가 있을 수 있습니다. 그러나 중앙 패치 시스템을 사용하여 장기 인스턴스를 정기적으로 업데이트해야 합니다. 이 단계는 사용자 환경에서 패치된 시스템의 상태를 조사하는 데 도움이 됩니다. 배포 가변성을 최소화하면 모니터링 노이즈가 줄어들고 변칙을 보다 정확하고 신속하게 식별할 수 있습니다. 이 방법은 자동화된 검색 및 수정 작업의 성공률을 높입니다.
엄격한 액세스 제어를 유지하려면 중앙 집중식 시스템을 구현하는 것이 좋습니다. 많은 오픈 소스 프로젝트와 상용 상용 애플리케이션은 로컬 계정 또는 로컬로 배포된 공개 키를 사용하는 간단한 배포 예제를 제공합니다. 이러한 예제는 보안 구성을 제공할 수 있지만 클라우드 공간이 확장됨에 따라 자동화를 사용하더라도 지역화된 구성을 유지하려는 노력이 문제가 될 수 있습니다. 자동화 부하는 각 인스턴스에 대해 선형적으로 증가하지만 보안 로깅 및 모니터링 부하는 기하급수적으로 에스컬레이션될 수 있습니다. 이러한 변경으로 컴퓨팅, 스토리지 및 분석 리소스에 과도한 부담이 발생합니다. 중앙 집중식 액세스 제어는 구성 지점을 줄여 자동화 및 로깅 부하를 줄이고, 변경을 최소화하며, 리소스 액세스에 대한 엄격한 제어를 유지하면서 감사 가능성을 간소화합니다.
워크로드에서 암호화 표준 및 규정 준수 기준을 준수해야 하는 영역에서는 개방형 표준을 지원하는 통합 플랫폼 기능을 사용하여 클라우드 워크로드와의 호환성을 보장하는 것이 좋습니다. Red Hat과 Microsoft는 글로벌 표준 기관을 준수하고 참여하며 적절한 도구를 제공합니다. 예를 들어 개별 인스턴스의 많은 구성 파일에는 시스템 서비스 및 애플리케이션에 대한 암호화 암호화 구성이 있습니다. 분산은 대상 워크로드 내의 시스템 및 플릿 간에 쉽게 발생할 수 있습니다. 규정 준수 측정을 정의하려면 개방형 표준을 사용하는 것이 좋습니다. Red Hat 및 Microsoft 도구는 모두 표준화된 파일 형식을 사용하여 최신 취약성 및 구성 데이터를 제공합니다. Red Hat은 Red Hat 플랫폼 구성 요소에 대한 Red Hat 제품 보안 팀의 최신 OVAL(Open Vulnerability and Assessment Language) 피드를 제공합니다.
Azure는 클라우드 관련 기능을 사용하고 보안 및 규정 준수에 대한 모범 사례를 유지할 수 있는 고유한 기회를 제공합니다. Azure 인프라 내의 보안 기능 및 서비스는 다음과 같습니다.
VM에 대한 신뢰할 수 있는 시작: 보안 인스턴스 BIOS 및 구성. VM에 대해 신뢰할 수 있는 시작을 사용하여 시작 프로세스를 보호하여 VM이 확인된 코드로 시작되도록 할 수 있습니다.
Azure Key Vault의 Azure 디스크 암호화: 미사용 데이터 암호화 미사용 데이터를 보호하려면 Key Vault에서 Azure 디스크 암호화를 사용하여 암호화 키 및 비밀을 관리합니다. Key Vault는 자격 증명 모음 및 HSM(관리형 하드웨어 보안 모듈) 풀이라는 두 가지 유형의 컨테이너를 지원합니다. 자격 증명 모음에 소프트웨어, HSM 지원 키, 비밀 및 인증서를 저장할 수 있습니다.
클라우드용 Microsoft Defender: 중앙 집중식 시스템 감사를 확인합니다. 클라우드용 Defender 통합 보안 관리 및 위협 방지를 위한 중앙 집중식 뷰포트를 제공할 수 있습니다.
디자인 권장 사항
Azure에서 RHEL 환경을 디자인할 때 Red Hat 네이티브 보안 기능 및 Azure 클라우드 보안 기능을 활용하여 강력하고 안전하며 효율적인 배포를 보장합니다. 유효성이 검사된 알려진 이진 파일을 사용하여 강화하고 빌드하는 이미지로 시작합니다. Azure Marketplace의 RHEL 이미지는 클라우드 성능 및 보안을 위해 간소화됩니다. 비즈니스에 대한 특정 보안 요구 사항이 있는 경우 Red Hat에서 제공하는 이진 파일에서 빌드하는 사용자 지정되고 강화된 이미지로 시작해야 합니다. Red Hat Satellite는 Red Hat, Microsoft 및 파트너 코드 또는 사용자 지정 애플리케이션 코드를 유지 관리하고 관리할 수 있습니다. 위성은 관리되는 콘텐츠 자격 증명 및 서명을 통해 코드의 유효성을 검사할 수 있습니다. RHEL은 원본에서 디스크로 소프트웨어의 일관성과 신뢰성을 확인합니다.
Azure 및 Red Hat 관리 도구를 사용하여 자동화된 워크플로를 개발하는 경우 Red Hat은 인증된 Ansible Automation Platform 컬렉션을 사용하는 것이 좋습니다.
워크플로가 다음을 수행하도록 합니다.
- 기준 및 워크로드 이미지를 생성, 유지 관리 및 테스트합니다.
- 임시 인스턴스를 테스트하고 배포합니다.
- 패치 주기 테스트 및 영구 VM 인스턴스 제공
- 자동화 파이프라인을 사용합니다. 자동화 파이프라인은 관리 노력을 크게 줄이고, 일관된 정책 적용을 보장하며, 변칙 검색을 개선하고, RHEL 랜딩 존 전체에서 수정을 가속화합니다.
또한 Azure Compute 갤러리를 사용하는 것이 좋습니다. 조직에서 사용하는 모든 필수 보안 메커니즘을 사용하여 Red Hat 이미지를 빌드하고 해당 VM의 이미지를 만들 수 있습니다. 그런 다음 Azure 환경의 구독 및 지역에서 보안 규격 이미지를 공유할 수 있습니다. VM 이미지에 대한 보다 세부적인 제어를 위해 버전 관리를 사용할 수도 있습니다. 이 방법을 사용하면 환경에서 사용하는 컴퓨팅 인스턴스 보안 패치 및 도구를 통합할 수 있습니다.
업데이트 관리 프로세스의 일부로 Azure Update Manager를 구현하는 것이 좋습니다. 업데이트 관리자는 배포 전체에서 업데이트를 모니터링하는 데 사용할 수 있는 통합 서비스입니다. Update Manager를 사용하여 Azure, 온-프레미스 및 기타 클라우드의 전체 머신을 조사합니다.
ID 및 액세스 관리
엄격한 액세스 정책을 중앙에서 적용하려면 IdM(Red Hat Identity Management)을 통합 합니다. IdM은 트러스트 및 OpenID Connect 통합을 사용하여 자격 증명 동기화 없이 다음 기능의 네이티브 Linux 구현을 엔터프라이즈 보안 모델로 통합합니다.
- RBAC(역할 기반 액세스 제어)
- 호스트 기반 액세스 제어
- 권한 상승 정책
- SELinux 사용자 매핑 정책
- 기타 중요한 Linux 서비스
기존 Linux 배포에 비해 이 방법은 다음과 같은 이점을 생성합니다.
- 자동화 터치 포인트를 줄여서 변경 제어를 간소화했습니다.
- 로깅 및 분석 관련 부하가 감소했습니다.
- 인증 감사 요구 사항 준수
- 정책 일관성.
IdM은 중앙 집중식 Linux 보안 정책을 관리하는 장점을 제공합니다.
Red Hat은 개발, 테스트 및 프로덕션 환경을 포함하여 모든 RHEL 기반 인스턴스에서 SELinux를 사용하도록 설정하고 실행하는 것이 좋습니다. Red Hat에서 생성된 모든 이미지 및 설치는 기본적으로 적용 모드에서 SELinux를 실행할 수 있습니다. 워크로드 배포를 디자인할 때 전체 인스턴스 또는 인스턴스 내의 개별 서비스에 대해 허용 모드로 SELinux를 실행할 수 있습니다. 그런 다음 개발, 보안 및 운영 팀은 애플리케이션의 액세스 특성을 확인하고 SELinux 도구에서 감사 로그 데이터를 사용하여 대상 워크로드에 적절한 SELinux 정책을 생성할 수 있습니다.
SELinux 정책 생성 도구는 표준화된 이미지 배포를 위해 콘텐츠 리포지토리에 포함할 RPM 기반 정책 파일을 생성할 수 있습니다. 개발, 보안 및 운영 팀은 파이프라인 내에서 반복적인 방식으로 아티팩트를 업스트림으로 제공할 수 있습니다. 테스트에 따라 SELinux 위반이 생성되지 않는 것으로 확인되면 SELinux 구성을 적용 모드로 설정할 수 있습니다. 프로덕션 중에 생성된 SELinux 위반은 허용 가능한 애플리케이션 동작에서 상당한 편차를 나타냅니다. 이러한 위반에 플래그를 지정하고 조사해야 합니다. SELinux를 사용하여 포괄적인 가시성 및 사전 위협 관리를 제공합니다.
RHEL 머신에 할당하는 RBAC 역할을 정의하려면 팀의 역할 및 책임을 이해합니다. 관련 팀은 VM(가상 머신)에 대한 높은 액세스 권한이 필요할 수 있습니다. VM에 액세스하려면 Virtual Machine 기여자, Virtual Machine 판독기 및 유사한 역할을 고려합니다. 대기 액세스가 필요하지 않은 경우 Just-In-Time 액세스를 고려합니다. RHEL 시스템이 Azure를 사용하여 인증해야 하는 경우 관리 ID를 고려합니다. 시스템 할당 관리 ID는 서비스 주체보다 더 많은 보안을 제공하며 VM 리소스와 연결됩니다. RBAC 역할 외에도 Azure 환경에 액세스해야 하는 사용자를 위한 조건부 액세스를 고려합니다. 조건부 액세스를 사용하여 위치, IP 주소 및 기타 기준에 따라 Azure 환경에 대한 사용자 액세스를 제한합니다.
바이러스 백신 소프트웨어 사용
RHEL 컴퓨터에 적절한 바이러스 백신 소프트웨어가 있는지 확인합니다. 최신 취약성에 대한 보호를 위해 Linux에서 엔드포인트용 Microsoft Defender 온보딩하는 것이 좋습니다. SAP 데이터베이스를 호스트하는 데 사용하는 RHEL 컴퓨터에서 클라우드용 Defender Standard를 사용하도록 설정해서는 안 됩니다. 각 RHEL 머신 및 워크로드가 엔드포인트 보호 소프트웨어를 실행할 수 있는지 확인합니다.
비밀 관리
Red Hat은 가능한 경우 모든 인스턴스에 대해 시스템 차원의 암호화 정책을 설정하는 것이 좋습니다. 다양성을 통해 클라우드 배포의 특징을 지정할 수 있습니다. 워크로드 팀은 고유한 라이브러리, 언어, 유틸리티 및 암호화 공급자를 선택하여 특정 솔루션의 요구 사항을 충족합니다. 표준 구현, 애플리케이션 구성 요소 팩터링, 구성성 및 기타 기술은 가변성을 줄일 수 있지만 지정된 인스턴스 내의 여러 위치에서 애플리케이션 및 서비스에 대한 암호화 설정을 구성합니다.
새 구성 요소를 현명하게 구성하려면 상당한 노력과 종종 깊은 암호화 지식이 필요합니다. 오래되었거나 잘못 구성된 암호화 정책으로 인해 위험이 발생합니다. 시스템 차원의 암호화 정책은 TLS(전송 계층 보안), IPSec(인터넷 프로토콜 보안), DNSSEC(도메인 이름 시스템 보안 확장) 및 Kerberos 프로토콜을 포함하는 핵심 암호화 하위 시스템의 구성을 조정합니다. RHEL 시스템 차원의 암호화 DEFAULT 정책은 TLS v1.1 및 이전 버전과 같은 레거시 통신 프로토콜을 사용하지 않도록 설정하여 전체 위협 클래스를 제거하는 보수적인 구성을 구현합니다. FUTURE 및 FIPS 정책은 더 엄격한 구성을 제공합니다. 사용자 지정 정책을 만들 수도 있습니다.
RHEL 시스템 감사 및 보안 준수 도구를 통합할 수 있습니다. 업계 표준에 맞는 자동화된 검사 및 수정에 집중합니다.
RHEL 감사 디먼이 감사되고 중앙 로깅 디먼이 저널됩니다. Azure Monitor는 감사 및 저널링된 데이터를 수집하여 RHEL 시스템 보안 이벤트를 모니터링하고 Microsoft Sentinel 또는 SIEM(기타 보안 정보 및 이벤트 관리) 서비스를 공급할 수 있습니다.
DISA-STIG(Defense Information Systems Agency Security Technical Implementation Guide) 규정 준수를 충족해야 하는 RHEL 시스템에는 AIDE(Advanced Intrusion Detection Environment) 유틸리티가 필요합니다. AZURE에 AIDE 출력을 기록해야 합니다.
Ansible Automation Platform을 모니터링하고 통합하여 중요한 시스템 파일을 식별, 경고 및 수정합니다.
모든 Azure 기반 RHEL 인스턴스에서 무료 운영 체제 수준 구성 요소를 사용합니다.
코드 실행 정책 적용: fapolicyd 디먼을 사용하여 RHEL 인스턴스에서 실행할 수 있는 애플리케이션을 제한합니다.
인스턴스 수신 및 송신 트래픽 관리: Azure NSG(네트워크 보안 그룹)와 함께 방화벽을 사용하여 VM에 대한 북바운드 및 남향 트래픽을 효과적으로 관리합니다.
자동화를 통해 중앙에서 구성 관리: GitOps 방법론을 사용하여 배포 중 및 RHEL 워크로드의 2일째 작업을 통해 일관된 구성 관리를 보장합니다.
정부 워크로드에 대한 FIPS 준수 모드 구현: 지정된 RHEL 인스턴스가 암호화 표준을 준수하기 위해 FIPS 모드에서 실행되는지 확인합니다. 포괄적인 규정 준수 상태를 위해 Azure 규정 준수 제품을 사용합니다.
항상 SELinux 실행: 허용 모드에서 SELinux를 사용하여 워크로드 액세스 프로필을 식별하고 RHEL VM의 적용 모드에서 SELinux를 실행하는 적절한 정책을 확인합니다. SELinux는 Azure에서 실행되는 애플리케이션 및 서비스에 대한 공격 노출 영역을 크게 줄입니다.
Red Hat 위성을 통해 RED Hat Insights에 RHEL 서버를 등록합니다. Red Hat Insights는 Red Hat의 문제 해결 데이터베이스 분석을 활용합니다. Insights는 이 분석을 사용하여 작업에 영향을 미치기 전에 배포 및 구성 문제에 대한 수정 사항을 사전에 식별하고 생성합니다. 이 전략은 보안 상태 및 운영 효율성을 향상시킵니다. 모든 RHEL 구독에는 Insights가 포함됩니다. 모든 RHEL 클라우드 기반 구독에는 Red Hat Satellite 구독이 포함됩니다. 또는 Cloud Access RHEL 구독을 사용하여 Red Hat Satellite 구독을 구매할 수 있습니다.
참고 항목
Insights는 Azure 외부에서 원격 분석 시스템 정보를 보냅니다.
네트워킹 구성
NSG를 네트워크 인터페이스 수준 또는 서브넷 수준에 적용할 수 있습니다. 특정 요구 사항에 네트워크 인터페이스 수준에서 NSG가 필요하지 않은 경우 서브넷 수준을 사용하는 것이 좋습니다. 이 방법은 네트워크 통신 관리를 간소화합니다. 애플리케이션 보안 그룹을 사용하여 서브넷 간의 통신을 전체적으로 분할하는 애플리케이션 통신을 허용할 수 있습니다. 시나리오에 가장 적합한 방법을 결정하고 RHEL 컴퓨터가 필요한 리포지토리에 대해 인터넷에 적절하게 액세스할 수 있는지 확인합니다. 가장 잠긴 환경에서 이러한 리포지토리에 대한 URL을 허용 목록에 추가해야 할 수 있습니다. 프라이빗 엔드포인트는 Azure 리소스가 기본적으로 수신할 수 있는 유일한 트래픽이 Azure 게이트웨이가 있는 경우 온-프레미스의 연결을 포함하여 Azure 네트워크에서 발생하는 트래픽뿐인지 확인합니다.
SIEM 또는 SOAR 도구 구현
RHEL 시스템의 보안 오케스트레이션, 자동화 및 응답(SOAR) 도구 또는 SIEM 도구에 대해 Microsoft Sentinel을 고려합니다. Microsoft Sentinel은 AI를 사용하여 시스템에 대한 위협을 감지하는 방법을 조정합니다. Runbook을 통해 공격에 대한 응답을 자동화할 수 있습니다. 사전 위협 탐지, 위협 헌팅 및 위협 대응에 Microsoft Sentinel을 사용합니다.
기밀 컴퓨팅 고려
RHEL은 특정 RHEL 운영 체제 옵션에 대한 기밀 이미지를 제공합니다. 기밀 컴퓨팅 사용 사례를 고려합니다.