|
금융IT |
[은행 논리 망분리]VM웨어 코리아 ‘데스크탑 가상화’“장기적 클라우드 전환 준비해야” |
|
보안 관리자 ‘자료 개인저장’을 경계
PC유지비 감안하면 가격경쟁력 높아
VM웨어는 금융회사의 ‘망분리’가 나오게 된 궁극적인 배경이 무엇인지를 고려해 이 시장에 접근하고 있다.
임경훈 VM웨어 코리아 과장은 “금융회사의 경우, 보안관리자는 PC에 자료를 저장하는 방식이 보안의 위협요인이라고 보고 있다”며 “중복 투자 예방을 위해 데스크탑 가상화 방식을 채택하는게 적절하다”는 제안을 내놓았다.
실제로, 금융회사 망 분리의 태생은 2011년 잇따른 금융보안 사고에서 기인한다. 따라서 정책의 합목적성을 따라가면, 결국 ‘금융회사 클라우드 진입’이라는 테제로 귀결된다.
◆VDI 활용 논리 망분리 = 가상화의 요소기술을 모두 보유하고 있는 VM웨어는 VDI를 활용한 망분리 방식을 제안한다.
VM웨어 VDI(Virtual Desktop Infrastructure)란, X86 가상화 VM(가상머신)에 클라이언트 OS를 설치한 것으로 보면 된다.
데스크탑은 소위 씬 클라이언트, 즉 최소의 HW 조건만 갖고, 데스크탑이 가상머신의 클라이언트 OS를 사용하는 방식이다. <그림1 ‘그림1 VM웨어의 가상화 이용 은행 망분리 예시’ 참조>
| |
 |
|
| ▲ 그림1 'VM웨어의 가상화 이용 은행 망분리' 예시 |
이 경우, 사용자는 첫 부팅시 또는 로그인시 업무용/인터넷용 VM으로 선택적 접속을 유도 받는다.
즉 사용자는 VM웨어의 VDI 플랫폼 View 5.0 매니저에 접속하고 이어 AD에 사용자 인증 확인 절차를 거쳐, View 매니저가 VM엔진 구동 v스피어에서 사용자에게 맞는 VM 데스크톱을 지정해 준다.
지정된 VM데스크톱 화면이 최종 사용자에게 전달된다.
예를 들어, 은행의 경우 콜센터, 통합단말, 인터넷VM 중 선택해 접속하도록 유도 받는다.<그림2 ‘VM웨어 View 접속 구조’ 참조>
| |
 |
|
| ▲ 그림2 'VM웨어 View 접속' 구조 |
VM사이를 이동해 용도별 VM을 사용하면서도 VM사이의 데이터 이동은 불가능해 논리적 망분리 효과를 거둘 수 있다.
◆VDI 활용 망 분리 효과는 = VM웨어 VDI를 활용하면, 초기 투자 비용은 다소 늘더라도 보안의 궁극적 목적을 달성, 결국 ‘클라우드’ 실현에 한발 다가서는 긍정의 효과가 기대된다.
사용자 측면에서 여러 세션을 동시에 접속 및 사용이 가능하고, 요즘 은행에서 유행하는 창구 쌍방향 모니터에 대응, 멀티모니터 사용시 모니터별 구동도 손쉽다.
VM웨어 View가 내장된 제로 클라이언트를 사용할 경우, 부팅시간은 15초 이내, OS가 없어 높은 보안성이 유지된다.
동시접속은 지원되지 않으나 ‘연결해제’ 버튼을 이용, 다른VM으로 스위칭해 사용이 가능하다.
은행 직원이 콜센터와 통합단말에 접속한다는 설정으로 예를 들면, 콜센터접속-->연결해제버튼-->통합단말 접속-->사용용도에 따라 할당된 VM에 자유로이 접속하는 식이다.
◆가상화 서버 ‘보안’ 완벽 추구 = 서버에 있는 가상 운영체제를 활용하는 이같은 방식에 대해 일각에서는 ‘보안’ 취약성을 지적하기도 한다.
서버가 다운될 경우, 전 단말시스템 사용이 불가능해진다는 주장이다.
이에 대해 VM웨어는 VDI 서버가 외부 공격에 대비하는 다양한 보안장치를 갖고 있다는 점을 강조한다.
VM웨어는 VDI를 구축할 경우, 모든 데이터는 중앙 데이터센터 스토리지에 저장된다. 따라서 중앙 정책을 통한 USB, CD-ROM, 프린터 사용 제한돼 가상화 구성만으로 1차적인 보안이 완성된다.
또 VM웨어 v쉴드 엔드포인트를 이용한 안티바이러스 정책도 제공한다.
이 방식을 활용하면, 바이러스 백신 기능이 가상화 단계에서 이뤄져 PC에서 각자 관리되던 바이러스 백신의 미작동에 따른 사내 감사 불충분 사유가 현격하게 감소된다.
주요 백신 업체의 다양한 솔루션을 지원하는 VM웨어 VDI는 기존 바이러스 백신이 가진 구조적 문제 제거, 즉 바이러스가 PC에 전송된 이후 검사를 통해 치료하는 구조를 근본적으로 개선한다.
아울러 VM웨어 V쉴드는 가상 데이터센터의 기반 네트워크 보안을 제공하는 ‘v쉴드 엣지(EDGE)’, NIC 단위 방화벽 제공 및 네트워크 기반 위협에서 애플리케이션을 보호하는 ‘v쉴드 앱엔존스(App&Zones)’ 기능을 제공한다.
VM웨어 VDI를 활용하면, 관리서버를 분리 운영해 운영시스템 안정화를 꾀할 수 있다.
관리서버란, ESX서버 v센터(Center), 뷰 매니저(View Manager), 액티브 디렉토리 서버(Active Directory Server) 등으로 사용자는 기존 서버기준의 보안 네트워크 정책을 적용 가능하다.
단말측면의 보안도 제공한다. 단말기는 브로커(VDM)서버로 로그인만 가능하고, 브로커에서 할당한 데스크탑으로 접속만 가능하도록 설정된다.
가상데스크탑의 화면, 키입력 등의 정보만 송수신된다. 단말기에서 콜센터/인터넷 VM에 동시접속 한 경우 파일/텍스트의 복사 및 붙이기(Copy& Paste)가 불가능해진다.
화면데이터는 128Bit 암호화 기술을 사용했고, 로그인 인증은 SSL 암호화로 보호된다.
◆속도문제 ‘하이퍼바이저 프로비저닝’, ‘VAAI’로 간편 해결 = VM웨어 VDI를 활용하면, ‘속도’나 하드웨어 리소스의 적절한 배분, 스토리지 IO 등 난제를 손쉽게 해결할 수 있다.
가상화 자원을 배분해야 하는 문제가 발생할 경우, VM웨어가 제공하는 자동 배치(Auto Deploy) 서버를 사용해 VM웨어 ESXi 소프트웨어가 포함된 수백 대의 물리적 호스트를 프로비저닝할 수 있다.
VDI를 구축하면, VM의 생성, 복제, 이동이 무한 반복되는 스토리지 의존도가 높은 구조가 만들어진다.
VM웨어는 이를 VAAI(vStorage APIs for Array Integration) 기술로 해소한다. ESXi에 탑재된 기능으로 스토리지 장비의 최대 성능까지 끌어낼 수 있는 일종의 하드웨어 가속 기능이다. <그림3 ‘VAAI 활용전후 비교 예시’ 참조>
| |
 |
|
| ▲ 그림3 'VM웨어 VAAI 활용 전후' 예시 |
VAAI는 추가적인 투자없이 v스피어를 사용하는 것만으로 이용이 가능하다.
네트워크 I/O 제어 기능은 VM웨어 VDI 기술의 정점을 말해준다.
플로우 타입(Flow type, iSCSI, NFS 등) 별로 서비스 우선순위에 따라 네트워크 품질을 설정할 수 있다.
통합서버 및 가상머신에 대한 성능 모니터링을 통해 사용자는 비즈니스 우선 순위에 따라 필요한 네트워크 리소스 접근에 대한 우선 순위를 정할 수 있다. 즉 VM에 ‘고속’ 또는 ‘전용 IO 구간’ 생성이 가능하다.
이 밖에도 소위 출근 전쟁을 치를 때 ‘부팅’이 몰리면서 나타나는 병목현상도 해소할 수 있다.
VM웨어는 VAAI와 같은 스토리지 가속 기능을 하이퍼바이저에서 사용해 60% 이상 성능을 개선할 수 있다. 또 콘텐트 기반 리드 캐시(Content Based Read Cache)를 활용, 60% 이상 성능 개선 효과를 거둔다.
정책적으로 ▲출근 시간 전 미리 VM들을 가동시켜 버퍼 확보 ▲OS 이미지를 SSD에 저장해 I/O 병목 해소 등 방법 활용도 가능하다.
◆VDI 구축 사례는 = 글로벌 기준, VM웨어 VDI를 구축한 사례는 도쿄 미쯔비시 UFJ 은행, UBS은행 등이다.
한국의 경우, 기업은행을 비롯해 S화재, M생명, S전자 종합기술원, N은행 등을 꼽을 수 있다.
<김동기 기자>kdk@bikorea.net
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
