CSA Summit Korea 2013 Secure Working on the Cloud VDI 및 망분리를 통한 보안 전략 (VMWARE HORIZON SUITE 소개) VMware Korea 신정우 이사
목 차 기업용 데스크톱과 보안 (Security) 보안강화를 위한 망분리 프로젝트 망분리에 대한 이해 망분리에 대한 VMware의 접근 전략 VDI를 통한 망분리 구조 VMware Horizon View를 이용한 망분리 구성방안 금융권 고객사의 망분리 기본 방향 망분리 구성안 전산센터 망분리 구성안 본사 및 영업점 (구성안1, 2, 3) 기업용 데스크톱의 미래 VMware Horizon Suite
기업용 데스크톱의 현황 업무용 데이터 개인용 데이터 Windows Applications
데스크톱에 대한 보안 위협사례 메일의 첨부파일을 통한 감염 인터넷 웹사이트의 첨부파일을 통한 감염 ActiveX의 다운로드를 통한 감염 특정 어플리케이션의 자동 업데이트 프로그램을 통한 감염 중앙 패치관리 서버로부터 감염파일 전파 감염된 데이터파일을 통해 전파 데스크톱의 관리자 계정 탈취를 통한 제어권 취득으로 좀비PC화 감염된 PC를 매개체로 하여 확산 및 전파 PC를 좀비PC로 만들어 네트워크상의 보안공격 도구로 활용 활용된 좀비PC 파괴 (바이오스 손상 및 하드디스크 MBR 손상)
망분리에 대한 이해 Router L3 Switch L2 Switch Internet 데스크톱 PC 데스크톱 사용자 Datacenter 사내 직원 PC Internet 접속을 위한 네트워크 및 작업공간과 사내 업무용 네트워크 및 작업공간을 분리하는 것
데스크톱 보안 강화를 위한 구조적 접근 - 망분리 Router L3 Switch L2 Switch 인터넷업무 Internet 사내업무 데스크톱 PC 데스크톱 사용자 Datacenter 사내 직원 PC 격리 보안성 강화 강력한 중앙 통제
망분리에 대한 VMware의 전략 VMware Horizon View Desktop PC Zero/Thin Client View Connection (PCoIP) TCP/IP VDI를 위한 PCoIP 프로토콜을 통한 보안된 원격 접속 기존 데스크톱 PC를 서버상의 가상화 환경에서 동일하게 구성 Datacenter 개별 가상머신 (Virtual Machine)은 완벽하게 독립된 (isolation) 환경 VMware Horizon View 솔루션을 이용하여 기업용 VDI환경 구현 View Client를 이용하여 사용자의 가상데스크톱 (VDI)에 접속하여 사용 사용자의 Client단말은 가상 데스크톱으로부터 화면 이미지만 전송 받음 VDI Server VMware vsphere 위에 독립된 가상데스크톱 (VDI)을 제공하여 작업공간에 대한 분리
VDI는 PC사용자와 실제 데스크톱의 위치를 분리 1 View Client 프로그램을 통해 View Manager 접속 Centralized Virtual Desktop 2 AD를 통해 사용자 인증 및 가상데스크톱 할당 3 PCoIP 프로토콜을 이용해 가상데스크탑 접속 4 사용자 단말로 압축된 화면 이미지를 전송 APP View Client PCoIP Session 128bit 암호화 Window 7 View Connection Manager Thin Client 혹은 Desktop PC 화면 이미지 데이터만 전송
VDI는 SBC(Server Based Computing), 핵심은 가상화 인프라 가상화 시스템 (Virtual Machine) VMware vsphere 가상스위치 (vswitch) VLAN100 가상 네트워크 (Virtual Networking) 가상스위치 (vswitch) VLAN200 가상화 계층 (Virtualization Layer) : VMkernel NIC0 NIC1 NIC0 NIC1 Network Switch Network Switch Network Switch vsphere (ESXi) 업계 최고의 보안 아키텍처 적용 가상화계층 VMkernel 모듈 보호 기술 적용 가상스위치에서 VLAN구성으로 네트워크 분할 VMware vsphere CCC EAL4+ * VMware vsphere의 CCC (Common Criteria Certification) 정보 : http://www.vmware.com/support/support-resources/certifications.html
VDI 환경에서 데스크톱 보안 이슈 발생 시 대응 방안 보안이슈 유형 대응 방안 Introspection VMware vsphere 감염된 PC 확산 VM간 트래픽 모니터링을 통한 보안 및 침입탐지 적용 가능 OS영역 손상 VM Image VM 재배포 MBR 손상 Local HDD손상 중앙에서 손상된 VM재배포 사용자 데이터 손상 통합스토리지 Local HDD손상 통합스토리지에서 백업본으로 복구
VDI =기존과 동일한 사용자 환경 + 망분리 + 클라우드 기반 VDI는 사용자의 기존 PC환경과 동일한 사용자 환경을 제공하면서도 망분리 구조를 제공 사용자의 업무용 데이터가 중앙 데이터센터에 통합보관되어 로컬 PC에 데이터 저장 없음. 이동 업무환경에서도 작업중인 PC환경에 대해 지속적으로 접속할 수 있기 때문에 업무의 연속성, 보안성 그리고 유연성까지 제공 데스크톱 장애 혹은 OS 영역에 문제가 발생할 경우 가상데스크톱 마스터 이미지 (VM Master Image) 에서 신속하게 복구 혹은 재배포 데스크톱 OS영역과 데이터 영역을 별도 보관하여 업무용 데이터의 접근성과 보안성을 향상 하이퍼바이저 상에서 제공하는 강화된 보안기능 및 추가 3rd-party 보안솔루션의 적용 가능
금융 고객사의 망분리 기본 방향 전산센터 본사 및 영업점 망분리 기본요건 물리적 망분리 논리적 망분리 네트워크 분리방법 물리적 네트워크 분리 논리적 네트워크 분리 사용자 단말환경 물리적 단말기 분리 논리적 단말기 분리
망분리 구성안 전산센터 : 물리적인 망분리 적용 Internet 사내업무 시스템 data 별도의 독립된 VDI Pool로 구성 인터넷 연결용 VDI와 사내업무용 VDI서버를 분리 인터넷 VDI Pool은 업무용 VDI보다높은 VM 직접도 적용 인터넷 연결용 VDI Pool Network Switch 사내 업무용 VDI Pool Network Switch 물리적으로 독립된 네트워크 인터넷망과 사내망을 연결하는 네트워크 스위치를 별도로 구성 Zero Client와 VDI 서버를 연결 Zero Client Zero Client Zero Client 단말기 적용 물리적으로 독립된 단말기 구성 OS 및 HDD가 없는 단말기 형태 View Client만 탑재
망분리 구성안 본사&영업점 : 논리적 망분리 적용 (Case 1) Internet 사내업무 시스템 data 별도의 독립된 VDI Pool로 구성 인터넷 연결용 VDI와 사내업무용 VDI서버를 분리 인터넷 VDI Pool은 업무용 VDI보다높은 VM 직접도 적용 인터넷 연결용 VDI Pool 사내 업무용 VDI Pool 논리적으로 독립된 네트워크 인터넷망과 사내망을 연결하는 네트워크를 논리적으로 분할 네트워크 트래픽 정책 적용 Client Devices Network Switch 다양한 종류의 단말기 적용 업무용 및 인터넷용으로 2개의 VDI VM을 할당할 경우 Local OS가 없는 형태의 Zero Client 권장 모바일 및 기존 단말활용 가능
망분리 구성안 본사&영업점 : 논리적 망분리 적용 (Case 2) Internet 사내업무 시스템 업무용 VDI Pool 구성 업무용 데스크톱을 VDI로 구성 인터넷 업무는 Client 단말의 OS환경에서 사용 단말기에서 인프라 시스템 직접 접속 차단 Client Devices 사내 업무용 VDI Pool Network Switch 논리적으로 독립된 네트워크 인터넷망과 사내망을 연결하는 네트워크를 논리적으로 분할 Client단말은 VDI까지만 접속 가능 네트워크 트래픽 정책 적용 다양한 종류의 단말기 적용 사내 업무는 VDI환경에서 작업 단말기에서 직접 인터넷 접속 단말기에서 사내 시스템 접속 차단
망분리 구성안 본사&영업점 : 논리적 망분리 적용 (Case 3) Internet 사내업무 시스템 인터넷용 VDI Pool 구성 인터넷용 데스크톱을 VDI로 구성 사내 업무는 Client 단말의 OS환경에서 사용 인터넷 연결용 VDI Pool Network Switch Client Devices 단말기에서 인터넷 직접 접속 차단 논리적으로 독립된 네트워크 인터넷망과 사내망을 연결하는 네트워크를 논리적으로 분할 Client 단말기는 VDI로 접속만 가능 네트워크 트래픽 정책 적용 다양한 종류의 단말기 적용 사내 업무는 내장 OS환경에서 작업 인터넷은 인터넷용 VDI에서 작업 사용자 Client에서 직접 인터넷 접속은 차단
망분리 구성방안에 대한 정리 (본사&영업점) 항목 구성안 1 구성안 2 구성안 3 업무용 데스크톱 업무용 VDI Pool 업무용 VDI Pool Local PC, Notebook 사용 인터넷용 데스크톱 인터넷용 VDI Pool Local 단말에서 연결 인터넷용 VDI Pool 네트워크 분리 유형 논리적 논리적 논리적 사용자 단말기 Zero Client, Thin Client Thin Client, S/W Client(기존 사용자 단말) 기존 사용자 단말 사용 사용자 데이터 보관위치 통합외장 스토리지 통합외장 스토리지 사용자 PC HDD 모바일 환경 지원 (외부에서 모바일 디바스를 통한 데스크톱 접속) 권장 적용 시나리오 장애시 복구방법 지원 업무용 데스크톱을 VDI로 전환하였기 때문에 모바일환경에서 업무용 데스크톱 접속 가능 기업의 데스크톱 환경에 대한 로드맵 적용 가능 VDI VM은 이미지에서 바로 복구 데이터는 통합스토리지의 snapshot에서 복구 지원 업무용 데스크톱을 VDI로 전환하였기 때문에 모바일환경에서 업무용 데스크톱 접속 가능 기존 PC 혹은 단말기를 활용하고자 할경우 기존 단말을 인터넷 연결용으로 활용 VDI VM은 이미지에서 바로 복구 데이터는 통합스토리지의 snapshot에서 복구 미지원 업무용 데스크톱은 기존환경과 동일하며 인터넷 단말만 VDI를 적용하였기 때문에 모바일 환경은 지원 불가 별도의 요구사항 혹은 환경으로 인해 업무용 데스크톱을 VDI로 전환하기 어려운 경우 인터넷 VDI VM은 이미지에서 바로 복구 PC는 사용자/관리자에 의한 수동 재설치필요 PC 데이터는 사용자에 의한 백업 방법에 의존
기업용 데스크톱의 현안들 Mobile 서비스 적용 어플리케이션의 다양성 및 유지보수 기업 IT환경에서 다양한 모바일 단말기 지원 Windows XP Windows 7 마이그레이션 Windows OS변경에 대한 어플리케이션 호환성 중요 데스크톱에 대한 Backup & Restore 방안 데스크톱에서 만들어지고 관리되는 문서 및 데이터자료 관리 지속적인 데스크톱 보안 강화 정책 BYOD (Bring Your Own Device) 지원 POST-PC 환경에서 사용자 컴퓨팅의 로드맵
이전과는 다른 새로운 접근이 필요 Transform 사용자 컴퓨팅 환경을 서비스 기반으로 Broker 정책에 기반한 통일된 서비스 접근 Deliver 다양한 디바이스 지원
VMware Horizon Suite은 기업의 사용자 컴퓨팅을 위한 최적의 플랫폼 Transform: 데스크톱, 다양한 App, 사용자 데이터를 서비스 형태로통합 Broker: 정책기반의 통합 사용자 포털을 통해 관리 및 보안성 강화 Deliver: 다양한 디바이스 종류, 위치에 대한 유연한 접속지원으로 사용자 업무효율 향상
VMware Horizon Suite의 적용 화면 Private Cloud 기반의 기업내부 App설치절차 데이터 없는 서비스 새로운 기구축된 App배포 VDI서비스와 및 기업용 통합하여 S/W라이센스 EUC전체 관리 서비스를 클라우드 기반으로 제공 개인화된 웹기반의 사용자 인터페이스 ThinApp을 통한 Win App가상화 및 App관리강화 VDI 서비스와 통합 다양한 단말환경 에대해서 통일된 사용자 경험제공
다양한 기능들을 하나의 Suite으로 제공 가능합나다. HORIZON SUITE 업무환경의 이동성을 제공하는 플랫폼 물리 데스크톱 가상 데스크톱 멀티디바이스 업무환경
VMware는 데스크톱 가상화 시장에서도 리더입니다. 13년 이상 동안 계속적인 혁신 제공 21,000개 이상의 Horizon View 고객(국내 150개) 가장 큰 고객은 100,000개 이상을 사용 2013 2012 2011 하드웨어 가속 3D 그래픽 HTML5 웹브라우저로 접속 Windows 8 데스크톱 지원 모바일 장치에서의 기능 향상 투자비용 및 운영 비용 절감 Storage Accelerator VCAI (VAAI) 완전환 가상 3D, UC, Persona Mgmt, 대역폭 절감 기능 900개 이상의 Desktop Competency 파트너 활동 2012 & 2013 Virtualization Review Reader s Choice Award 수상 2010 2009 2006 2001 1999 Local Mode PColP VDI ESX Workstation
감사합니다!