[논문 리뷰] NetSecCC: A Scalable and Fault-tolerant Architecture without Outsourcing Cloud Network Security

Jin He, Mianxiong Dong외 3명|arXiv (Cornell University)|2014. 05. 04.

Cloud Data Security Solutions참고 문헌 11인용 수 3

한 줄 요약

NetSecCC는 외부 보안 서비스에 의존하지 않고 보안 검사 체인(SIC)을 동적 로드 밸런싱 및 주/비상 복구 메커니즘과 통합함으로써 확장성 있고 장애 내성인 클라우드 네트워크 보안 아키텍처를 제안한다. 이는 가상화된 클라우드 환경에서 외부 및 내부 네트워크 위협에 대한 종합적인 보호를 제공하면서도 최소한의 성능 오버헤드(지연 시간 14% 이내 증가, 처리량 11% 이내 감소)를 달성한다.

ABSTRACT

Modern cloud computing platforms based on virtual machine monitors carry a variety of complex business that present many network security vulnerabilities. At present, the traditional architecture employs a number of security devices at front-end of cloud computing to protect its network security. Under the new environment, however, this approach can not meet the needs of cloud security. New cloud security vendors and academia also made great efforts to solve network security of cloud computing, unfortunately, they also cannot provide a perfect and effective method to solve this problem. We introduce a novel network security architecture for cloud computing (NetSecCC) that addresses this problem. NetSecCC not only provides an effective solution for network security issues of cloud computing, but also greatly improves in scalability, fault-tolerant, resource utilization, etc. We have implemented a proof-of-concept prototype about NetSecCC and proved by experiments that NetSecCC is an effective architecture with minimal performance overhead that can be applied to the extensive practical promotion in cloud computing.

연구 동기 및 목표

• 기존 클라우드 보안 아키텍처의 내부 VM 간 보호 기능 부족, 확장성 및 장애 내성 부족 문제를 해결한다.
• AWS, VMware 등의 클라우드 제공업체 솔루션과 SecaaS 제안 사항의 단점인 통합적이고 확장성 있고 장애 내성 있는 메커니즘이 부족한 문제를 극복한다.
• 외부 보안 벤더에 의존하지 않고 종단 간 보호를 보장하는 자체 관리형 클라우드 내 보안 아키텍처를 개발한다.
• 동적 클라우드 워크로드에서 강력한 보안 보장을 유지하면서도 높은 자원 활용도와 낮은 성능 오버헤드를 달성한다.

제안 방법

• 사용자 정의 가능한 순서로 방화벽, WAF, 악성코드 방지, SSL/VPN 등의 보안 서비스를 차례로 통과시키는 보안 검사 체인(SIC) 아키텍처를 설계한다.
• 활성 중복 장비 노드 간 동적 로드 밸런싱을 구현하여 트래픽을 분산하고 과부하를 방지하며, 필요에 따라 자동으로 비활성 대체 노드로 전환한다.
• 하이브리드 장애 내성 메커니즘을 적용: 활성 노드가 과부하되지 않은 경우 즉시 장애 복구가 가능한 핫스탠바이(HS) 모드로 전환(1.2초 응답), 로드 불균형이 발생할 경우 새로운 활성 노드를 생성(3초 응답).
• 가상화된 가상 머신과 서비스 간에 세밀한 액세스 제어 정책을 시행하기 위해 보안 그룹을 통합한다.
• 가상화 및 소프트웨어 정의 네트워킹(SDN) 원칙을 활용하여 유연하고 프로그래머블한 보안 정책 배포 및 트래픽 유도를 가능하게 한다.
• 실제 워크로드(웹 및 이메일 액세스) 하에서 처리량과 지연 시간을 평가하기 위해 IXIA를 성능 테스트 도구로 사용한다.

실험 결과

연구 질문

• RQ1 외부 보안 기능 외주화 없이도 클라우드 네트워크 보안 아키텍처가 어떻게 고도의 확장성과 장애 내성을 달성할 수 있는가?
• RQ2 다양한 보안 서비스를 거쳐 종합적인 검사를 시행하는 클라우드 내 보안 아키텍처의 성능 오버헤드는 어느 정도인가?
• RQ3 동적 로드 밸런싱 및 장애 복구 전략이 중간 장비 장애 발생 시 응답 시간과 시스템 가용성에 어떤 영향을 미치는가?
• RQ4 자체 구동형 클라우드 내 보안 아키텍처는 가상화 환경에서 외부 및 내부 네트워크 위협에 효과적으로 대응할 수 있는가?
• RQ5 보안 검사 체인의 통합이 클라우드 워크로드에서 종단 간 지연 시간과 처리량에 어떤 영향을 미치는가?

주요 결과

• NetSecCC는 성능 오버헤드를 수용 가능한 수준으로 줄였으며, 보호되지 않은 구성 대비 웹 액세스 시 평균 지연 시간 증가율 9.3%, 암호화된 이메일 액세스 시 11.1%를 기록한다.
• 처리량 저하가 미미하여 웹 액세스 시 평균 0.4%, 이메일 액세스 시 5%에 그쳐 검사 워크로드 하에서도 높은 효율성을 보인다.
• 하이브리드 장애 내성 메커니즘이 저지연 장애 복구(핫스탠바이를 통한 1.2초 응답)를 보장하며, 스마트한 전환 전략으로 장애 복구 중 성능 저하를 방지한다.
• VM 간 보안 검사 체인을 강제 적용함으로써 외부 및 내부 공격 모두를 효과적으로 방지하여 기존 아키텍처 및 클라우드 제공업체 솔루션의 핵심적 약점을 메운다.
• 실험 결과 NetSecCC는 트래픽 폭증 상황에서도 높은 시스템 가용성과 성능을 유지함으로써 확장성과 견고성을 입증한다.
• 강력한 보안, 낮은 오버헤드, 높은 장애 내성의 균형을 달성하여 외부 보안 외주 없이 대규모 클라우드 환경에 적합한 솔루션이다.