View a markdown version of this page

AWS Network Security Manager 작동 방식 - AWS 네트워크 보안 관리자
AWS Network Security Manager 리소스 모델AWS Network Security Manager 리소스 수명 주기, 병합 및 동기화

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Network Security Manager 작동 방식

AWS Network Security Manager 리소스 모델을 사용하여 단일 계정 또는 조직의 여러 계정에 있는 리소스에 대한 네트워크 보안 보호를 설계하고 관리합니다. 이 장에서는 다섯 가지 리소스 유형, 계층 구조를 구성하는 방법, 해당 동작을 관리하는 주요 개념을 설명합니다.

AWS Network Security Manager 리소스 모델

AWS Network Security Manager는 구성 계층 구조에 배열된 5가지 리소스 유형을 사용합니다.

규칙과 템플릿은 정책에 포함되어 있습니다. 배포는 정책을 범위에 조인합니다.

리소스는 계층 구조를 통해 서로 위쪽으로 참조합니다. 규칙은 템플릿 및 정책 내에서 사용됩니다. 템플릿, 규칙 또는 둘 다 정책 내에서 사용됩니다. 범위는 정책이 배포 내에서 보호하는 리소스를 참조합니다.

다음 섹션에서는 계층 구조의 각 리소스 유형에 대해 설명합니다.

규칙 - 네트워크 보안 구성의 원자 단위입니다. 규칙에는 트래픽 검사 규칙과 방화벽 구성 규칙이라는 두 가지 유형이 있습니다. 트래픽 검사는 보안 서비스가 트래픽을 처리하는 방법에 중점을 둡니다. 구성 규칙은 트래픽 검사 외부의 시스템 작업을 지정합니다. 규칙의 구조는 방화벽 유형에 따라 다릅니다.

템플릿 - 단일 방화벽 유형에 대한 순서가 지정되고 재사용 가능한 규칙 그룹입니다. 템플릿을 사용하여 관련 규칙을 함께 패키징하고 여러 정책에서 공유할 수 있습니다. 템플릿은 선택 사항입니다.

정책 - 순서가 지정된 템플릿 및 규칙 집합을 방화벽 유형에 대한 적용 설정과 결합합니다. 각 정책에는 우선 순위가 있습니다(숫자가 작을수록 우선 순위가 높음을 나타냄). 여러 정책이 동일한 리소스를 보호하는 경우 우선 순위에 따라 충돌 해결 방법이 결정됩니다. 트래픽 검사 규칙의 경우 우선 순위에 따라 규칙이 집계되는 순서가 결정됩니다. 방화벽 구성 규칙의 경우 우선 순위에 따라 각 리소스에 적용되는 구성과 범위 내 정책이 결정됩니다.

범위 - 보호가 적용되는 선언적 선택입니다. 범위는 보호할 리소스 유형을 지정하며 선택적으로 태그 또는 구성 속성을 기준으로 리소스를 필터링할 수 있습니다. 다중 계정 모드에서 범위는 포함하거나 제외할 계정 또는 OUs도 지정합니다. 단일 계정 모드에서 범위는 계정 자체에 적용됩니다. 범위 모드는 생성할 때 수정됩니다. 한 방향으로는 다중 계정 모드와 단일 계정 모드 간에 범위를 전환할 수 없으므로 다중 계정 범위는 절대 단일 계정 범위가 될 수 없으며 반대의 경우도 될 수 없습니다.

배포 - 하나 이상의 정책을 범위에 바인딩합니다. 배포를 게시하면 적용이 활성화됩니다. AWS Network Security Manager는 범위의 리소스를 검색하고, 의도한 구성을 계산하고, 선택적으로 out-of-sync 리소스를 수정합니다.

리소스 구성 제한은 섹션을 참조하세요AWS Network Security Manager 할당량.

AWS Network Security Manager 리소스 수명 주기, 병합 및 동기화

다음 섹션에서는 AWS Network Security Manager 리소스를 생성한 후 리소스가 작동하는 방식을 제어하는 동작과 메커니즘을 설명합니다.

초안 및 활성 수명 주기

규칙, 템플릿, 정책, 범위 및 배포를 포함한 모든 AWS Network Security Manager 리소스의 상태는 초안 또는 활성입니다.

  • 활성 - 기본 상태입니다. 리소스가 게시되어 사용할 수 있습니다. 다른 리소스는 이를 참조할 수 있으며, 이를 포함하는 배포는 구성을 적용합니다.

  • 초안 - 리소스가 저장되었지만 아직 활성화되지 않았습니다. 초안 리소스는 적용되지 않으며 다른 리소스에서 참조할 수 없습니다. 리소스를 생성하거나 업데이트할 때 초안 저장을 선택하여 초안 상태를 유지합니다.

기본적으로 AWS Network Security Manager는 리소스를 활성으로 생성합니다. API를 사용하여 리소스를 초안으로 생성하려면 생성 또는 업데이트 작업false에서 isPublished 파라미터를 로 설정합니다.

리소스를 업데이트할 때 다음 시나리오가 적용됩니다.

현재 상태 작업 결과
Draft 초안 저장을 선택합니다. 초안 업데이트(초안으로 유지)
Draft 게시 선택 초안 게시(활성 상태가 됨)
활성 게시 선택 업데이트 및 활성 상태 유지(활성)
활성 초안 저장을 선택합니다. 초안 오버레이 생성(아래에 활성 리소스가 있는 초안이 됨)

hasPublishedVersion 필드가 목록에 나타나고 응답을 가져옵니다. 이 필드는 게시된 활성 리소스가 초안 아래에 존재하는지 여부를 알려줍니다. 리소스의 초안 상태가 및 이면 hasPublishedVersion: true보류 중인 초안이 게시된 라이브 활성 리소스 위에 배치됩니다.

다른 활성 리소스가 참조하는 활성 리소스는 삭제할 수 없습니다.

버전 관리

규칙, 템플릿, 정책, 범위 및 배포를 포함한 모든 AWS Network Security Manager 리소스의 버전을 지정할 수 있습니다. 활성 리소스의 버전을 생성하려면 리소스를 선택하고 작업을 선택한 다음 버전이 지정된 스냅샷 생성을 선택합니다. 업데이트 시마다 버전이 자동으로 생성되는 것은 아닙니다.

AWS CLI 대체

활성 리소스에서 Create{Resource}Snapshot API 작업을 사용하여 버전을 생성할 수도 있습니다.

키 버전 속성:

  • 각 버전에는 고유한 숫자(순차 정수)와 버전 검증 ARN(예: )이 있습니다arn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3.

  • 버전은 변경할 수 없습니다. 업데이트할 수 없습니다.

  • 리소스당 최대 10개의 버전을 생성할 수 있습니다.

  • 버전에는 태그를 지정할 수 있습니다.

버전을 사용하여 원하는 구성 변형을 보존합니다. 리소스를 롤백하려면 버전을 읽은 다음 라이브 리소스를 버전에서 원하는 구성으로 업데이트합니다.

우선순위 기반 정책 병합

여러 정책이 동일한 리소스를 보호하면 AWS Network Security Manager는 구성을 단일 결과로 병합합니다. 우선 순위 번호가 낮을수록 우선 순위가 높음을 나타냅니다(우선 순위 1이 우선 순위 2보다 우선함). AWS Network Security Manager가 트래픽 검사 규칙이 포함된 정책을 병합하면 우선 순위에 따라 규칙이 집계되는 순서가 결정됩니다. 방화벽 구성 규칙의 경우 우선 순위가 더 높은 정책에 따라 적용되는 구성이 결정됩니다.

AWS Network Security Manager는 다음 순서에 따라 두 수준에서 우선 순위를 평가합니다.

  1. 관리자 우선 순위 - AWS Network Security Manager는 관리자 우선 순위를 먼저 평가합니다. 에 설명된 대로 각 조직 관리자에게 우선 순위가 할당됩니다관리자 및 멤버 계정. AWS Network Security Manager는 정책을 병합할 때 멤버 계정의 자체 단일 계정 정책보다 높은 관리자 정책의 순위를 매깁니다. 관리자 정책과 멤버 계정의 단일 계정 정책이 모두 리소스에 적용되고 충돌하는 경우 관리자 정책의 구성이 성공합니다. 멤버 계정은 관리자 정책을 옵트아웃, 재정의 또는 제외할 수 없습니다.

  2. 정책 우선 순위 - 각 계정 내에서 AWS Network Security Manager는 정책 우선 순위를 사용하여 나머지 충돌을 해결합니다. 정책 우선 순위 값은 1부터 시작하는 정수이며 계정별로 고유해야 합니다.

PutAdminAccount 작업의 필수 priority 필드인 1~10의 정수로 관리자 우선 순위를 설정합니다. 우선 순위 값은 고유하므로 두 관리자가 우선 순위를 공유하지 않으며 타이 브레이크가 필요하지 않습니다. 자세한 내용은 AWS Network Security Manager API 참조를 참조하세요.

리소스에 적용 가능한 모든 정책의 병합 결과는 효과적인 방화벽 구성입니다. AWS Network Security Manager는이 구성을 계산하여 리소스의 실제 구성과 비교하고 모든 차이를 동기화 상태로 보고합니다.

정책이 충돌하면 AWS Network Security Manager는 각 속성을 비교하고 우선 순위가 높은 정책의 값을 적용합니다. 우선 순위가 높은 정책이 속성을 정의하지 않으면 우선 순위가 낮은 정책 값이 적용됩니다. 유효 구성과 일치하는 리소스는 IN_SYNC입니다. 우선 순위가 낮은 정책으로 보호되는 리소스로, 우선 순위가 높은 정책에서 설정이 우선 순위가 낮은 배포에 대해 OUT_OF_SYNC로 재정의됩니다. 이는 장애가 아닌 예상되는 동작입니다.

AWS Config를 사용한 리소스 검색

AWS Network Security Manager는 서비스 연결 AWS Config 구성 레코더를 사용하여 계정에서 보호된 리소스를 검색합니다. 이 레코더는 해당 계정이 배포 범위에 들어갈 때 각 계정에 자동으로 생성됩니다. AWS Firewall Manager와 달리 추가 설정을 수행할 필요가 없습니다. AWS Network Security Manager의 AWS 구성 사용은 AWS Network Security Manager 고객에게 청구되지 않습니다.

서비스 연결 레코더의 주요 특성:

  • 이 역할은 AWSConfigurationRecorderForNetworkSecurityManager로 명명됩니다.

  • 계정의 고객 관리형 구성 레코더와는 별개입니다.

  • 활성 범위 및 배포와 관련된 리소스 유형만 기록합니다.

  • AWS Config를 설정하거나 구성 레코더를 생성할 필요가 없습니다. AWS Network Security Manager는 이를 자동으로 관리합니다. AWS Network Security Manager의 AWS 구성 사용은 고객에게 청구되지 않습니다.

  • 레코더가 사용 중인 동안에는 레코더를 수정하거나 삭제할 수 없습니다. AWS Network Security Manager는 수명 주기를 자동으로 관리합니다.

AWS Network Security Manager가 작동하려면 AWS Config를 수동으로 활성화하거나 구성할 필요가 없습니다. 이 서비스는 배포를 게시한 후 리소스 검색을 자동으로 처리합니다.

동기화 및 문제 해결

AWS Network Security Manager의 적용은 비동기식이며 최종적으로 일관됩니다. 배포를 게시한 후 또는 리소스가 변경되면 다음 단계가 발생합니다.

  1. 리소스 검색 - AWS Network Security Manager는 서비스 연결 AWS Config 레코더를 사용하여 범위 내 리소스를 검색합니다.

  2. 구성 계산 - 검색된 각 리소스에 대해 AWS Network Security Manager는 우선 순위별로 적용 가능한 모든 정책을 병합하여 효과적인 방화벽 구성을 계산합니다.

  3. 동기화 평가 - AWS Network Security Manager는 유효 구성을 리소스의 실제 구성과 비교하고 동기화 상태를 기록합니다.

  4. 문제 해결(선택 사항) - 정책에 remediationEnabled를 설정한 경우 AWS Network Security Manager는 out-of-sync 리소스를 수정합니다.

각 단계는 비동기식입니다. 워크플로의 결과:

  • 배포 게시와 리소스 보호 사이에는 지연이 있습니다.

  • 범위에 새 리소스를 생성하는 것과 보호되는 사이에 지연이 있습니다.

  • 동기화 상태 항목의 Last Checked 타임스탬프는 AWS Network Security Manager가 리소스를 마지막으로 평가한 시기를 알려줍니다.

문제 해결 및 리소스 정리는 정책 수준 설정입니다. policyConfiguration 객체의 정책당 각각을 구성합니다.

remediationEnabled

AWS Network Security Manager가 규정 미준수 리소스를 자동으로 수정할지 여부를 지정합니다. 이 설정을 활성화하면 AWS Network Security Manager는 효과적인 구성과 일치하도록 out-of-sync 리소스를 수정합니다.

resourcesCleanUp

AWS Network Security Manager가 더 이상 필요하지 않을 때 생성한 리소스를 자동으로 제거할지 여부를 지정합니다. AWS Network Security Manager는 배포를 제거할 때 또는 계정 또는 리소스가 범위를 벗어날 때 생성한 방화벽을 삭제합니다.

remediationEnabled 및 resourcesCleanUp 설정 모두 기본값은 입니다false. AWS Network Security Manager는 이러한 설정을 활성화할 때까지 리소스를 수정하거나 정리하지 않습니다. policyConfiguration 객체에는 AWS WAF 정책에 wafConfig적용되는 도 들어 있습니다. 자세한 내용은 AWS Network Security Manager API 참조를 참조하세요.

리소스가 동기화되지 않은 경우 동기화 상태에는 실제 값과 비교하여 예상 값을 표시하는 설정별 세부 정보가 포함된 out-of-sync 이유가 포함됩니다. 이유는 다음과 같은 범주로 구성됩니다.

  • missingFirewall - 리소스와 연결된 방화벽 보호가 없습니다.

  • invalidFirewall - 방화벽이 존재하지만 해당 구성이 유효 구성과 다릅니다. 여기에는 , incorrectSingleValueConfigurations, , missingAppendableConfigurationValues, unexpectedAppendableConfigurationValues및의 6가지 세부 버킷incorrectAppendableConfigurationOrdermissingMergeableConfigurationValues이 포함됩니다unexpectedMergeableConfigurationValues.

문제 해결이 활성화되었지만 AWS Network Security Manager가 리소스를 수정할 수 없는 경우 remediationIssues 필드는 , 문제를 issueType message 설명하는 및 문제 해결 방법을 correctiveAction 제안하는를 제공합니다.

AWS Network Security Manager는 관리하지 않는 설정을 평가하지 않습니다. 필드가 기여 규칙에 표시되지 않으면 AWS Network Security Manager는 동기화 평가 중에 필드를 무시합니다.

관리자 및 멤버 계정

AWS Network Security Manager는 AWS Organizations를 기반으로 구축된 교차 계정 관리 모델을 사용합니다.

  • 관리자 계정 - AWS Network Security Manager 리소스(규칙, 템플릿, 정책, 범위 및 배포)를 생성하고 관리하는 계정입니다. 관리자 계정을 하나 이상 지정합니다. 각 계정의 우선 순위는 1~10입니다.

  • 멤버 계정 - AWS Network Security Manager가 리소스를 검색하고, 동기화 상태를 평가하고, 선택적으로 out-of-sync 구성을 수정하는 계정입니다. AWS Network Security Manager는 서비스 연결 역할을 통해 멤버 계정에서 작동합니다. 자세한 내용은 서비스 연결 역할 섹션을 참조하세요.

필요에 따라 각 관리자의 범위를 계정, OUs 및 방화벽 유형의 하위 집합으로 지정할 수 있습니다. 이 기능을 사용하여 특정 영역의 관리를 다른 팀에 위임합니다.

AWS Network Security Manager는 리전 서비스입니다. 리전 간 종속성 없이 리전당 리소스 및 배포를 생성합니다.

서비스 연결 역할

AWS Network Security Manager는 라는 IAM 서비스 연결 역할을 AWSServiceRoleForNetworkSecurityManager 사용하여 사용자를 대신하여 조직의 멤버 계정에서 작업합니다. 이 역할은 network-security-manager.amazonaws.com 서비스 보안 주체를 신뢰합니다. NetworkSecurityManagerServiceRolePolicy AWS 관리형 정책을 사용합니다.

AWS Network Security Manager는 서비스를 활성화할 때이 역할을 자동으로 생성하므로 수동 설정이 없습니다. 이 역할을 통해 AWS Network Security Manager는 AWS WAF 및 AWS Shield Advanced 보호를 관리하고, AWS Config를 통해 보호된 리소스를 검색하고, 교차 계정 작업을 수행할 수 있습니다. 자세한 내용은 AWS Network Security Manager에 서비스 연결 역할 사용 섹션을 참조하세요.