Policy Planner Workbench 101: 언제, 어떻게 사용하는가

두 시스템 간 접근을 허용해 달라는 firewall 변경 요청이 접수됩니다. FireMon Rule Recommendation은 해당 firewall을 식별하고, 기존 rule의 범위가 지나치게 넓다는 이유로 그 위에 새 rule을 추가할 것을 제안합니다.

이 권고는 출발점을 제공합니다. 다만 다음 단계로 넘어가기 전에 기존 rule을 파악하고, 제안된 배치 위치를 평가하며, 불필요한 접근을 추가하지 않으면서 요청을 충족하는지 확인해야 합니다.

바로 이 지점에서 FireMon Policy Planner Workbench가 필요합니다.

Workbench는 FireMon Policy Planner에 새롭게 도입된 Change Plan 인터페이스입니다. rule 권고 검토, 기존 정책 점검, 수동 변경 설계를 하나의 작업 공간에서 수행할 수 있습니다. 엔지니어가 change plan을 다루는 방식이 달라질 뿐, 기존 Policy Planner의 기능이나 workflow 자체는 그대로 유지됩니다.

Workbench를 언제 사용해야 하는지, 그리고 권고에서 change plan까지 어떻게 진행하는지 살펴봅니다.

Policy Workbench는 firewall 변경 관리에서 어떤 역할을 하는가

firewall 변경은 어떤 rule을 추가할지 결정하는 것으로 끝나지 않습니다. 엔지니어에게는 기존 환경에 대한 가시성, 변경을 설계할 수단, 그리고 이를 검토하고 구현하는 프로세스가 모두 필요합니다.

FireMon은 서로 연결된 기능을 통해 이러한 작업을 지원합니다.

Security Manager는 정책 컨텍스트를 제공합니다. 지원되는 장비 전반의 firewall rule, 객체, 구성에 대한 가시성을 엔지니어에게 제공합니다.

Policy Planner는 변경 프로세스를 관리합니다. firewall 정책 변경의 생성, 분석, 승인, 구현, 검증을 위한 체계적인 workflow를 제공합니다.

Rule Recommendation은 가능한 변경안을 제안합니다. 요청된 접근을 분석해 대상 장비를 식별하고 적절한 정책 변경을 권고합니다. 환경에 따라 rule 추가, 기존 rule 수정을 권고하거나, 이미 접근이 허용되어 있는 경우 조치가 필요 없다고 판단할 수 있습니다.

Workbench는 Change Plan 설계 인터페이스를 제공합니다. Policy Planner의 일부로서 rule 권고, 정책 점검, 수동 설계를 테이블 기반의 통합 편집기로 모았습니다. 엔지니어는 정규화된 정책 컨텍스트를 확인하면서 지원되는 rule과 객체를 생성하거나 수정할 수 있습니다.

Workbench는 Rule Recommendation을 대체하거나 Policy Planner의 기본 workflow 기능을 변경하지 않습니다. 엔지니어가 이를 보다 유연하게 활용할 수 있도록 지원합니다.

엔지니어는 권고안을 평가하고 기존 정책을 조사할 수 있으며, 권고가 불완전하거나 보완이 필요할 때는 변경을 직접 설계할 수 있습니다.

한 가지 중요한 구분이 있습니다. Workbench에서 제안된 change plan을 저장한다고 해서 변경 사항이 firewall에 배포되지는 않습니다. 해당 계획은 구현 전에 해당하는 Policy Planner workflow를 거칩니다.

Policy Workbench는 언제 사용해야 하는가

모든 firewall 변경에 동일한 수준의 검토가 필요한 것은 아닙니다. 어떤 권고는 단순 명확합니다. 반면 기존 rule, 정책 배치 위치, 누락된 정보에 대한 의문을 남기는 경우도 있습니다.

Workbench는 다음 세 가지 일반적인 상황을 지원합니다.

rule 권고가 요청을 충족하는 경우

Rule Recommendation이 대상 firewall을 식별하고 요청된 접근을 충족하는 rule 추가를 제안했다고 가정해 보겠습니다.

제안된 변경을 점검하고 영향을 받는 정책을 검토한 뒤, 적절하다고 판단되면 해당 권고를 선택하면 됩니다.

목적은 권고 과정을 수동으로 반복하는 것이 아닙니다. 제안된 변경이 요구사항을 충족하고 조직의 정책 기준을 따르는지 확인하는 것입니다.

권고에 대한 추가 검토가 필요한 경우

앞서 제시한 예시를 다시 살펴보겠습니다.

Rule Recommendation은 기존 rule의 범위가 지나치게 넓다는 이유로 그 위에 새 rule을 생성할 것을 제안합니다.

이것이 왜 중요할까요?

firewall rule은 장비의 정책 동작 방식과 rule 순서에 따라 평가됩니다. 제안된 rule의 위치는 트래픽 처리 방식에 영향을 줄 수 있습니다.

권고를 수락하기 전에 기존 rule을 점검하고, 제안된 변경이 정책 내에서 어떻게 작동하는지 파악해야 합니다.

Workbench에서는 관련 보안 rule, 네트워크 객체, 서비스 객체를 확인할 수 있습니다. 제안된 배치 위치를 검토하고 권고된 설계가 적절한지 판단할 수 있습니다.

권고가 불완전하거나 제공되지 않는 경우

Rule Recommendation이 완전한 결과를 도출하지 못하는 경우도 있습니다.

정보 누락, 장비 선택, 지원되지 않는 구성 또는 분석에 영향을 주는 다른 조건이 원인일 수 있습니다.

Workbench는 문제를 조사하는 데 필요한 정보를 제공합니다. 가능한 범위에서 문제를 바로잡은 뒤 권고를 다시 요청할 수 있습니다.

그래도 권고를 얻을 수 없다면, 환경의 기능과 권한 범위 내에서 Workbench를 통해 변경을 직접 설계할 수 있습니다.

권고에 따른 변경과 수동 변경을 하나의 change plan에 함께 담을 수 있어, 자동화에만 의존하지 않고 작업을 이어갈 수 있습니다.

Policy Workbench 사용법: 권고에서 change plan까지

시작하기 전에 사용 환경에서 Workbench가 활성화되어 있는지 확인하십시오.

Workbench는 선택 기능이며 FireMon Support의 지원을 받아 API 호출로 활성화합니다. 정식 출시 시점에는 Access Request workflow만 지원합니다. Workbench가 활성화된 상태에서는 다른 workflow의 티켓을 처리할 수 없으며, 해당 티켓을 처리하려면 Workbench를 비활성화해야 합니다.

기존 workflow 작업과 승인 프로세스는 그대로 유지됩니다.

앞서의 시나리오를 그대로 따라가 보겠습니다.

접근 요청에 따라 firewall 정책 변경이 필요합니다. Rule Recommendation은 기존 rule의 범위가 지나치게 넓다는 이유로 그 위에 새 rule을 추가할 것을 제안합니다.

엔지니어가 Workbench에서 권고를 평가하고 change plan을 준비하는 방법은 다음과 같습니다.

1단계: 접근 요구사항 정의

제안된 firewall rule이 아니라 접근 요청에서 출발하십시오.

출발지, 목적지, 필요한 서비스, 비즈니스 목적을 확인하십시오. 이러한 정보가 해당 변경이 달성해야 할 목표를 규정합니다.

예를 들어 두 시스템 간 통신 허용 요청이라면, 어떤 시스템에 접근이 필요하고 어떤 서비스가 요구되는지 정확히 특정해야 합니다.

기존 rule의 넓은 권한을 새 접근에도 그대로 적용해도 된다고 가정해서는 안 됩니다.

목표는 적절히 범위가 한정된 접근으로 요청을 충족하는 것입니다.

2단계: Workbench에서 Change Plan 열기

Policy Planner에서 해당 티켓과 change plan이 필요한 요구사항을 찾습니다.

요구사항을 펼친 뒤 Add Change Plan을 선택합니다. 새 브라우저 탭에서 Change Plan Editor가 열립니다.

이 편집기에서는 rule 권고, 지원되는 수동 변경, 그리고 변경 설계에 필요한 정책 정보를 모두 확인할 수 있습니다.

권고를 요청하기 전에, 해당 요구사항이 의도한 접근을 정확히 기술하고 있는지 확인하십시오.

3단계: Rule Recommendation 검토

권장 사항 요청을 선택하여 권장 프로세스를 실행합니다. 결과가 준비되면 권장 사항 보기를 선택합니다.

Rule Recommendation은 사용 가능한 정책 정보, workflow 구성, 사용자 권한을 기반으로 대상 장비를 식별하고 변경 사항을 제안합니다.

이번 시나리오에서는 기존 룰의 범위가 지나치게 넓기 때문에, 해당 룰 위에 새로운 룰을 생성하도록 권장하는 결과가 나왔습니다.

선택하기 전에 제안된 장비, 룰, 배치 위치를 확인하십시오.

지원되는 릴리스에서는 이 권장 사항 정보 영역을 통해 특정 조치가 제안된 이유에 대한 추가 컨텍스트를 확인할 수 있습니다.

해당 정보를 활용해 권장 사항을 충분히 파악한 후, 변경 계획에 포함할지 여부를 결정하십시오.

4단계: 기존 정책 점검 및 설계 보완

권장 사항은 가능한 변경안을 제시할 뿐입니다. 그것이 실제로 타당한지는 직접 판단해야 합니다.

Workbench에서 기존 보안 룰과 여기에 연결된 네트워크 및 서비스 오브젝트를 점검하십시오.

현재 룰이 어떤 트래픽을 허용하는지, 그 범위가 요청된 접근과 어떻게 다른지 비교해 보십시오.

이 예시에서 핵심 질문은 기존 룰 위에 더 구체적인 룰을 추가하는 것이 요청을 올바르게 처리하는 방법인가입니다.

제안된 룰의 출발지, 목적지, 서비스, 배치 위치를 검토하십시오. 기존 명명 규칙 및 내부 정책 요건에 부합하는지도 함께 확인하십시오.

권장 사항이 적절하다면 변경 계획에 포함하도록 선택하십시오.

조정이 필요한 경우, Workbench는 지원 장비에서 룰과 오브젝트의 수동 변경을 지원합니다. 다른 변경안을 준비하거나, 필요한 경우 선택한 권장 사항을 보완할 수 있습니다.

사용 가능한 편집 작업은 장비, 정책 구성, 권한, 지원되는 workflow에 따라 달라집니다.

작업을 진행하는 동안 변경 계획 드로어에는 구성 중인 변경 사항이 표시됩니다. 이를 통해 권장 변경과 수동 변경을 별개의 작업으로 다루지 않고 한 화면에서 함께 검토할 수 있습니다.

목표는 접근 요건을 충족하는 완전하고 일관된 설계를 만드는 것입니다.

5단계: 변경 계획 저장 및 구현 전 리스크 검증

저장하기 전에 구성한 변경 계획을 검토하십시오.

대상 장비와 정책이 올바르게 포함되었는지 확인하십시오. 제안된 룰 정의, 오브젝트, 배치 위치를 점검하십시오. 수동으로 추가한 변경 사항이 선택한 권장 사항을 적절히 보완하는지도 확인하십시오.

계획이 준비되면 저장을 선택합니다.

저장은 제안된 변경 사항을 보관하는 작업이며, 방화벽에 실제로 적용하지는 않습니다.

바로 이 지점에서 FireMon의 변경 전 리스크 및 compliance 분석이 결정적인 역할을 합니다.

티켓이 Policy Planner의 workflow를 따라 진행되는 동안, FireMon은 제안된 변경 사항을 시뮬레이션하고 구현 전에 적용 대상 보안 및 compliance 통제 기준으로 평가할 수 있습니다.

이러한 평가는 제안된 변경이 정책 미준수를 유발하거나 리스크를 높이는지 파악하는 데 도움이 됩니다. 엔지니어는 접근 요청 충족 여부만으로 변경을 승인하는 대신, 잠재적인 보안 영향까지 함께 평가할 수 있습니다.

평가에서 문제가 발견되면, 팀은 그 결과를 검토하고 승인 전에 변경 계획을 수정해야 할지 판단할 수 있습니다.

이는 중요한 차이입니다. 어떤 변경은 요청된 접근을 충족하면서도 허용할 수 없는 수준의 리스크를 초래할 수 있습니다.

Workbench의 변경 설계 인터페이스와 Policy Planner의 변경 전 평가를 결합하면, 엔지니어는 해당 변경이 어떤 결과를 가져오는지, 그리고 조직의 보안 요건을 충족하는지 보다 명확히 파악한 상태에서 다음 단계로 진행할 수 있습니다.

필요한 평가와 승인이 완료되면, 티켓은 구성된 workflow에 따라 구현 및 검증 단계로 넘어갈 수 있습니다.

다음 단계로 넘어가기 전 확인할 사항

완성된 변경 계획은 무엇을 왜 변경해야 하는지 명확하게 설명해야 합니다.

티켓을 다음 단계로 넘기기 전에 다섯 가지 질문을 점검하십시오.

• 제안된 접근 권한이 요건과 일치합니까? 출발지, 목적지, 서비스, 업무상 목적이 최초 요청과 일치하는지 확인하십시오. 불필요하게 넓은 권한이 포함되어 있지 않은지 주의하십시오.
• 장비, 오브젝트, 룰 배치 위치가 적절합니까? 제안된 변경이 기존 정책과 어떻게 상호작용하는지 살펴보십시오. 이 예시에서는 범위가 넓은 룰 위에 새 룰을 삽입하는 방식이 의도한 동작을 구현하는지 확인하십시오.
• 경고나 불완전한 권장 사항을 처리했습니까? 권장 사항 오류나 누락된 정보가 있다면 원인을 확인하십시오. 결과가 불완전하다고 해서 변경이 필요 없다고 단정해서는 안 됩니다.
• 남아 있는 분석과 승인 절차는 무엇입니까? 구현 전에 필요한 리스크 평가, compliance 점검, workflow 승인 절차를 확인하십시오.
• 의도한 접근 권한을 어떻게 검증하시겠습니까? 배포 후 변경이 의도대로 동작하고 예기치 않은 접근을 허용하지 않는지 확인할 방법을 정하십시오.

이러한 점검을 통해 제안된 변경이 다음 단계로 넘어갈 준비가 되었는지 확인할 수 있습니다.

Rule Recommendation과 실무자의 판단을 함께 활용하기

Rule Recommendation은 엔지니어가 어디에 변경이 필요할 수 있는지, 어떤 조치가 접근 요청을 충족할 수 있는지 파악하도록 지원합니다.

Policy Planner Workbench는 이러한 권장 사항을 평가하고 변경 계획을 설계할 수 있는 통합 인터페이스를 제공합니다.

권장 사항이 명확한 경우 엔지니어는 이를 검토하고 선택하면 됩니다. 제안된 변경에 추가 검토가 필요하다면 기존 정책을 직접 점검할 수 있습니다. 권장 사항이 불완전한 경우에는 지원되는 수동 설계 기능으로 계획을 계속 구성할 수 있습니다.

그 결과, 자동화된 권장 사항과 정책 컨텍스트, 실무자의 판단이 함께 작동하는 보다 현실적인 방화벽 변경 설계 방식이 완성됩니다.

Policy Planner 살펴보기에서 FireMon이 변경 설계, 리스크 평가, 승인, 구현을 통제된 workflow로 통합하는 방식을 확인하십시오.