기업 데이터 센터에 대한 사이버 공격의 정교함과 빈도가 증가함에 따라 견고하고 포괄적인 보안 조치가 요구됩니다. 기존의 방화벽 기반 접근 방식은 민감한 정보를 보호하기에 점점 더 부적절해지고 있으며, 특히 공격자가 내부 데이터 흐름의 취약성을 악용하고 있습니다. 전송 중인 데이터의 보안을 보장하는 것이 중요한 초점이 되었으며, 전송 중 암호화는 SAN(Storage Area Network) 내에서 데이터 침해와 무단 액세스를 방지하는 강력한 솔루션을 제공합니다.
데이터 센터 보안의 혁신을 가져온 에뮬렉스 시큐어 파이버 채널 호스트 버스 어댑터 (HBA)를 소개합니다 . 이 HBA는 파이버 채널 SAN에 강력한 세션 기반 암호화를 제공하여 기업이 내부 데이터 트래픽에 대한 제로 트러스트 접근 방식을 채택할 수 있도록 지원합니다. 에뮬렉스 시큐어 HBA는 곧 출시될 파이버 채널 보안 프로토콜(FC-SP-3) 및 상용 국가 보안 알고리즘 제품군 2.0(CNSA 2.0)과 같은 엄격한 표준을 준수하여 기존 인프라 내에서 원활하게 작동하는 양자 컴퓨팅 공격에도 견딜 수 있는 암호화를 제공합니다. 특히, 이 솔루션은 하드웨어 오프로드 방식을 채택하여 보안 강화에도 불구하고 성능 저하가 발생하지 않습니다.
고객들은 높은 비용, 복잡성, 상당한 애플리케이션 성능 저하를 포함한 여러 가지 이유로 비행 중 암호화 솔루션(EDIF)을 배포하기를 꺼려했습니다. Storagereview Lab 팀은 소프트웨어와 하드웨어 암호화를 비교했을 때 동일한 결과를 경험하고 기록했습니다. Emulex Secure HBA는 이러한 이론을 해소하고 서버 성능을 저하시키지 않으면서 비행 중 데이터를 암호화하고 손상되지 않은 처리량을 유지하기 위해 비행 중 암호화를 목록의 맨 위에 놓을 준비가 되었습니다.
Emulex Secure HBA의 또 다른 중요한 장점은 특히 스토리지 어레이 공급업체에 대한 원활한 통합입니다. 암호화가 HBA 하드웨어로 완전히 오프로드됨에 따라 스토리지 공급업체는 광범위한 소프트웨어 리엔지니어링의 부담 없이 성능과 어레이별 기능에 집중할 수 있습니다.
이러한 채택의 용이성은 업계 전체에서 광범위한 수용을 촉진할 것으로 예상됩니다. 파이버 채널 산업의 파이버 채널 제품에 대한 보안 기술 사양의 최신 업데이트인 INCITS 파이버 채널 보안 프로토콜 3(FC-SP-3)은 상호 운용 가능한 파이버 채널 제품에 대한 표준을 수립합니다. 이 최신 업데이트에는 파이버 채널 엔터티를 인증하는 프로토콜, 세션 키를 설정하는 프로토콜, 프레임별 무결성과 기밀성을 보장하는 데 필요한 매개변수를 협상하는 프로토콜의 정의가 포함됩니다.
Emulex 엔지니어는 파이버 채널이 현대 데이터 센터에 필요한 보안 과제를 해결하는 최전선에 있도록 표준 개발에 적극적으로 참여했습니다. 규제 압력이 증가하고 사이버 위협이 진화함에 따라 Emulex Secure HBA를 채택하면 SAN 공급업체가 최소한의 노력으로 견고하고 미래 지향적인 보안 솔루션을 제공할 수 있습니다. 파이버 채널을 사용하는 기업의 경우 현재 SP3 표준은 미래 지향적인 데이터 보안을 위한 중요한 단계입니다.
실습 데모를 통해 Emulex Secure HBA를 배포하는 이점을 설명하고 타협 없는 보안을 제공하면서도 고성능을 유지할 수 있는 능력을 보여줍니다. 데이터 유출 방지에서 실시간 이상 감지까지 이러한 HBA는 현대적 위협으로부터 엔터프라이즈 데이터 센터를 보호하는 데 있어 상당한 도약을 나타냅니다.
Emulex 보안 HBA 기술 이해
세션 기반 암호화와 제로 트러스트 원칙에 대한 개요입니다.
세션 기반 암호화
Emulex Secure HBA는 간단한 세션 기반 암호화 솔루션입니다. 새로운 ANSI/INCITS FC-SP-3 표준을 기반으로 하는 세션 기반 키 관리 솔루션은 복잡하고 엄청나게 비싼 키 관리 소프트웨어가 필요하지 않습니다. Secure HBA와 스토리지 어레이 포트 간에 암호화 세션을 설정하는 것은 간단하고, 현재 SAN 스위치와 작동하며, 패브릭 관리를 변경할 필요가 없습니다. 포트 로그인 시 하드웨어에서 완전히 수행되며, 두 엔드포인트는 보안 기능을 검증하고, 인증 및 연결을 시작하고, 파이버 채널 프레임을 암호화하기 시작합니다. 보안 세션 키 새로 고침은 트래픽 중단 없이 자동으로 이루어집니다. 이 모든 것이 하드웨어에서 수행되므로 소프트웨어를 변경할 필요가 없으며 Multipath 소프트웨어는 영향을 받지 않습니다. 이 솔루션은 EDIF가 가능하지 않을 수 있는 이전 어레이와 자동 협상하여 이전 버전과의 호환성을 지원합니다.
제로 트러스트
제로 트러스트 보안은 "절대 신뢰하지 말고 항상 확인하라"는 원칙에 따라 작동하며, 모든 액세스 요청이 인증되고, 승인되고, 지속적으로 모니터링되도록 보장합니다. 기존의 경계 기반 모델과 달리 제로 트러스트는 신원 확인을 요구하고 사용자와 기기에 대한 최소 권한 액세스를 시행하여 침해 위험을 최소화합니다.
Zero-Trust 보안을 구현하는 데는 몇 가지 핵심적인 이점이 있습니다. Zero-Trust로 구현된 지속적인 검증은 전반적인 공격 표면을 줄입니다. 또한 적응성이 있어 하이브리드 인력, 클라우드 도입 및 원활한 IoT 통합을 지원합니다. 물론 대부분 국가의 최우선 과제는 규정 준수입니다. Zero-Trust는 진화하는 규정을 충족하기 위해 엄격한 데이터 보안 표준과 일치합니다.
제로 트러스트는 다중 요소 인증, 마이크로 세분화, 행동 분석과 같은 기술을 활용하여 민감한 조직 데이터를 보호하는 데 필수적인 탄력적이고 적응 가능한 보안 태세를 보장합니다.
보안 HBA는 펌웨어와 ASIC의 무결성을 보호하기 위해 양자 저항성 실리콘 신뢰 루트를 도입합니다.
하드웨어 오프로드 암호화
하드웨어 오프로드 암호화는 HBA 내부의 전용 하드웨어 게이트에 암호화 작업을 위임하여 성능과 보안을 강화합니다. 이러한 오프로드는 암호화 프로세스를 가속화하는 동시에 CPU의 계산 부담을 줄입니다.
하드웨어 오프로드 암호화는 향상된 성능을 제공합니다. 전용 하드웨어는 암호화 작업을 가속화하고 지연 시간과 처리를 줄입니다. CPU 사이클은 다른 작업을 위해 비워져 전체 시스템 효율성을 높입니다. 격리된 하드웨어 모듈을 배포하면 변조 방지가 가능하고 취약성이 줄어듭니다.
이 접근 방식은 전반적인 성능에 영향을 미치지 않고 데이터 센터 내에서 광범위한 사용을 가능하게 하는 데 특히 효과적입니다. 이를 통해 조직은 성능을 저하시키지 않고도 견고하고 확장 가능하며 에너지 효율적인 암호화를 달성할 수 있습니다.
이점 입증
산업 표준 플러그 앤 플레이 암호화
Emulex는 암호화를 활성화하고 비활성화했을 때의 최소 성능 차이를 보여주는 데모를 통해 이 솔루션이 전송 중인 데이터에 얼마나 많은 오버헤드를 추가하는지 확인했습니다. 아래 단계는 Emulex Secure FC Host HBA에서 암호화를 활성화하거나 비활성화하는 방법을 설명합니다. 호스트와 어레이에서 사용된 HBA는 Emulex LPe38102 64G였으며, Emulex는 테스트 목적으로 간단한 드라이버 업데이트로 플래시 어레이 내에서 작동하도록 만들었다고 말했습니다.
데모 토폴로지
Emulex HBA는 하드웨어에서 모든 Encrypted Data In Flight(EDIF)를 처리합니다. HBA에는 8코어 SoC가 있어 워크로드를 관리하고 암호화 오프로드 엔진을 통해 데이터 패킷을 전달합니다. 암호화가 오프로드되므로 호스트 CPU는 이러한 암호화 작업의 영향을 받지 않습니다.
첫 번째 연습은 EDIF를 비활성화한 데이터베이스 로드 생성기로 HammerDB를 활용하는 TPROC-H 워크로드를 실행하는 것이었습니다. Emulex Secure HBA의 기본 동작은 호환 대상 포트에 연결할 때 EDIF를 활성화하는 것이지만 대상이 EDIF를 지원하지 않는 경우 이전 버전과의 호환성도 허용합니다. Emulex hbacmd 유틸리티는 HBA 포트의 EDIF 기능을 끄고 설정 변경을 확인하는 데 사용됩니다.
설정이 검증되자, 우리는 데이터베이스에서 워크로드를 시작했습니다. 읽기 중심 데모는 64G FC 파이프가 얼마나 많이 사용되는지 보여주는데, 이는 대부분의 테스트에서 라인 속도에 쉽게 도달했습니다.
이제 HBA에서 암호화를 활성화하기 위한 매개변수를 변경할 시간입니다. 다시 한번, Emulex hbacmd 유틸리티를 사용하여 HBA 포트의 EDIF 기능을 켜고 설정 변경을 확인합니다. 아래 화면은 명령과 출력을 보여줍니다. 간단히 EDIF 상태를 1로 설정하면 전송 중 암호화가 켜집니다. EDIF 매개변수 edif-state=1을 설정합니다. 변경 사항이 수락되면 "새로운 edif 매개변수 설정이 설정되었습니다"라는 메시지가 표시됩니다. EDIF 상태의 변경 사항을 적용하려면 호스트를 다시 시작해야 합니다.
변경 사항이 적용되었는지 확인하려면 "hbacmd GetEDIFParams" 명령을 실행합니다. 결과는 EDIF 상태가 활성화되고 Required-Encryption 옵션이 비활성화되었음을 나타냅니다.
HBA의 포트가 연결되었고 EDIF가 활성화되었는지 확인하려면 "hbacmd GetConnectionInfo" 명령을 실행합니다. 출력은 아래 이미지와 같아야 합니다.
암호화를 활성화한 상태에서 동일한 쿼리 세트를 실행했습니다. 비행 중에 암호화를 활성화한 상태에서도 결과는 암호화를 비활성화했을 때와 매우 유사했으며, 유일한 차이는 암호화 프레이밍을 위한 FC 표준에 따라 지정된 대로 약간 더 작은 FC 프레임 페이로드로 설명할 수 있습니다.
Emulex는 이전에 강조한 것과 동일한 테스트 구성을 사용하여 인기 있는 데이터베이스 암호화 솔루션에 대한 성능 데이터를 제공했습니다. 동일한 AES-256 수준의 암호화를 사용하여 데이터베이스 애플리케이션은 소프트웨어의 추가 서버 처리 오버헤드로 인해 HBA와 동일한 수준의 애플리케이션 성능을 제공하는 데 어려움을 겪습니다. 22개 데이터베이스 쿼리에 대한 완료 시간의 TPROC-H 벤치마크 메트릭은 데이터베이스 애플리케이션 수준 암호화의 경우 40% 더 길며, 애플리케이션 지연 시간이 증가하여 디스크 대역폭이 상당히 감소했습니다.
전반적으로 보안 HBA 암호화는 I/O 집약적 데이터베이스 작업 부하에서 처리량이나 대기 시간에 미치는 영향이 미미하고 애플리케이션 기반 대안보다 훨씬 뛰어나다는 점이 흥미롭습니다.
맺음말
기업 보안 위협이 규모와 정교함이 커짐에 따라 이동 중인 데이터를 보호하는 것이 정지 중인 데이터를 보호하는 것만큼 중요해졌습니다. 기존의 방화벽 기반 방어 및 소프트웨어 암호화 솔루션은 많은 조직이 감당할 수 없는 성능 상쇄를 도입합니다. Emulex Secure HBA는 기존 서버 및 파이버 채널 SAN에 원활하게 통합되는 표준 기반 하드웨어 오프로드 암호화를 제공함으로써 이러한 방정식을 변경합니다.
테스트 결과, Emulex Secure HBA는 성능 저하 없이 비행 중 암호화를 가능하게 하여 EDIF 도입과 관련된 가장 큰 문제 중 하나를 해결했습니다. 암호화가 HBA로 완전히 오프로드되면 압축 및 중복 제거와 같은 스토리지 서비스가 그대로 유지되어 기업이 보안을 위해 효율성을 희생할 필요가 없습니다. I/O 집약적 데이터베이스 워크로드에서도 영향은 미미하여 속도와 효율성 면에서 기존 소프트웨어 기반 암호화 방법보다 훨씬 우수했습니다.
이러한 HBA의 플러그 앤 플레이 특성은 SAN 아키텍처나 스토리지 스택에 큰 변경이 필요 없이 배포하기가 매우 쉽습니다. 스토리지 공급업체의 경우, 이는 INCITS FC-SP-3 표준에 맞춰 Fibre Channel을 차세대 제로 트러스트 보안에 배치하는 동시에 마찰이 적고 가치가 높은 보안 향상입니다.
앞으로 Emulex Secure HBA가 2025년 SAN 보안의 표준 계층이 될 것으로 예상합니다. 규제 압력이 증가하고 랜섬웨어와 내부 위협이 계속 증가함에 따라 기업은 새로운 병목 현상을 일으키지 않는 견고하고 투명하며 고성능 암호화 솔루션이 필요합니다. Emulex Secure HBA는 기업이 오늘 자신 있게 채택할 수 있는 미래 지향적 보안 업그레이드를 정확히 제공합니다.
이 보고서는 Broadcom의 후원을 받습니다. 이 보고서에 표현된 모든 견해와 의견은 고려 중인 제품에 대한 우리의 편견 없는 견해에 기초합니다.
아마존