방화벽 룰 재인증: 접근 권한 검토를 반복 가능한 프로세스로

사용되지 않거나 의심스러운 방화벽 룰을 찾아내는 것은 시작에 불과합니다.

더 어려운 일은 그 룰을 어떻게 처리할지 결정하는 것입니다.

해당 접근 권한이 여전히 유효한 비즈니스 목적에 부합합니까? 룰을 삭제해도 됩니까? 삭제 전에 누군가의 검토가 필요합니까? 그리고 나중에 같은 질문을 반복하지 않도록 그 결정을 어떻게 문서화하시겠습니까?

바로 이 지점에서 룰 재인증이 중요해집니다.

반복 가능한 재인증 프로세스는 불필요할 가능성이 있는 접근 권한을 식별하는 데서 한 걸음 더 나아가, 해당 접근 권한을 유지할지 여부를 체계적으로 판단할 수 있는 방법을 제공합니다.

탐지 결과를 의사결정으로 전환

위 영상에서 FireMon의 Global Field Engineering 수석 디렉터 Rob Rodriguez가 Policy Optimizer를 활용해 방화벽 룰을 검토하고 재인증하는 방법을 시연합니다.

이 예시에서 Rob은 미사용으로 식별된 룰을 살펴보며 검토에 활용할 수 있는 정보를 차례로 설명합니다.

여기에는 룰 자체와 분석 자료, 코멘트, 첨부 파일, 작업 이력, 검토 이력, 룰 사용 현황 정보가 포함됩니다.

이러한 정보가 함께 제공되므로 검토자는 결정을 내리기 전에 더 풍부한 맥락을 확보할 수 있습니다.

미사용 룰은 유용한 신호이지만, 그렇다고 해서 반드시 삭제해야 할 룰인 것은 아닙니다. 최근 해당 접근 권한이 사용되지 않은 데에는 정당한 이유가 있을 수 있습니다.

재인증은 단일 지표만 보고 조치하는 대신, 관련 근거를 검토하는 프로세스를 만듭니다.

접근 권한 검토의 일관성 확보

정의된 프로세스가 없으면 방화벽 룰 검토는 일관성을 잃기 쉽습니다.

어떤 팀은 분기마다 미사용 룰을 검토하고, 다른 팀은 감사 시점에만 확인합니다. 또 어떤 담당자는 스프레드시트나 티켓 이력, 혹은 해당 룰을 만든 엔지니어의 기억에 의존합니다.

이러한 상황에서는 신뢰할 수 있는 정책 거버넌스 체계를 확립하기 어렵습니다.

체계적인 재인증 workflow가 있으면 다음과 같은 기본 질문을 매번 동일하게 던질 수 있습니다:

• 이 접근 권한이 여전히 필요합니까?
• 최초의 비즈니스 요구가 여전히 유효합니까?
• 누가 이 결정을 승인해야 합니까?
• 룰을 유지하거나 삭제할 근거는 무엇입니까?
• 이 룰은 마지막으로 언제 검토되었습니까?

목표는 또 하나의 검토 업무를 만들어내는 것이 아닙니다. 그대로 두면 무기한 남아 있을 접근 권한에 대해 문서화된 의사결정 프로세스를 마련하는 것입니다.

룰 사용 현황을 출발점으로 활용

룰 사용 데이터는 어디서부터 시작할지 파악하는 데 도움이 됩니다.

룰이 장기간 사용되지 않았다면 애플리케이션이 변경되었거나, 프로젝트가 종료되었거나, 트래픽 경로가 바뀌었거나, 해당 접근 권한이 더 이상 필요하지 않다는 의미일 수 있습니다.

그러나 사용 현황만으로는 완전한 답을 얻을 수 없습니다.

사용 현황 정보를 룰 상세 내용, 소유자, 이전 검토 기록, 관련 문서와 결합하면 담당자는 해당 룰의 유지 여부를 더 정확한 근거에 기반해 판단할 수 있습니다.

모든 룰을 수작업으로 확인하는 것이 현실적으로 불가능한 대규모 환경에서는 특히 중요한 부분입니다.

목적을 다한 접근 권한을 방치하지 않기

방화벽 환경은 끊임없이 변합니다. 애플리케이션은 폐기되고, 사용자의 역할은 바뀌며, 인프라는 이전되고, 비즈니스 관계는 종료됩니다.

접근 권한도 이에 맞춰 함께 변경되어야 합니다.

FireMon Policy Optimizer는 검토가 필요한 룰을 식별하고 재인증을 정책 관리 프로세스에 내재화하도록 지원합니다. 이를 통해 담당자는 불필요할 가능성이 있는 접근 권한을 발견하는 단계에서 다음 조치를 문서화하는 단계까지 더 명확한 경로를 확보합니다.

그 결과, 아무도 다시 들여다보지 않았다는 이유만으로 과거의 접근 권한이 그대로 남는 대신, 방화벽 정책을 현재의 비즈니스 요구에 일관되게 맞출 수 있습니다.

방화벽 룰 정리와 재인증을 반복 가능한 프로세스로 만드십시오. 자세한 내용은 FireMon Policy Optimizer 페이지에서 불필요한 룰 식별, 접근 권한 검토, 지속적인 정책 정리를 어떻게 지원하는지 확인하십시오.

이 시리즈의 다른 글도 함께 확인해 보십시오:

• 방화벽 규칙이 너무 많습니까? 실제로 조치가 필요한 규칙을 찾는 것부터 시작하십시오
• 임시 접근 권한이 영구적인 방화벽 정책이 되어서는 안 됩니다