TECH

안녕하세요 오늘은 레드햇 블로그에 좋은 글이 있어서, 번역해서 공유드립니다. 

이전에도 설명드렸지만 Lightspeed 을 내부에서 사용할수있는 방법으로 컨테이너를 설명드렸었고, 오늘은 Satellite를 사용하여 내부에 사용하는 방법을 안내드립니다. 

- 오늘날 많은 조직이 유럽연합(EU)의 일반 데이터 보호 규정(GDPR), 디지털 운영 탄력성법(DORA), NIS2 지침을 비롯해 다양한 국가 안보 분류 기준이나 금융 서비스, 의료, 정부, 국방 등 업종별 규제에 따라 엄격한 데이터 거버넌스 요구 사항 아래 운영되고 있습니다. 이러한 조직들 역시 오늘날 다른 기업들과 마찬가지로 AI 기반의 인프라 관리 및 인텔리전스를 도입하고자 하는 열망이 점점 커지고 있지만, 규제 제약으로 인해 데이터를 클라우드로 전송하지 않고 이를 구현할 방법을 찾아야 하는 과제를 안고 있습니다.

Red Hat Lightspeed(구 Red Hat Insights)는 사전에 인프라 상태를 분석하고, 취약점 스캔 보고를 수행하며, 수정 가이드를 제공하는 예측 분석 서비스입니다. 하지만 외부 네트워크와 단절된 '에어갭(air-gapped)' 환경이나 개인정보에 민감하고 규제가 엄격한 환경에서는 호스트의 원격 측정(Telemetry) 데이터를 외부 클라우드 서비스로 전송하는 것이 불가능하며, 물리적으로도 허용되지 않을 수 있습니다.

Red Hat Satellite 6.19가 이 문제를 해결해 줄 수 있습니다. Red Hat Lightspeed 온프레미스 기능을 활용하면 권고 엔진(advisor engine), 취약점 분석, 호스트 인벤토리, Kafka 메시지 버스, API 게이트웨이, 조치(remediation) 프레임워크가 모두 컨테이너화된 마이크로서비스 형태로 Satellite 서버에서 직접 실행됩니다. 단 하나의 데이터도 사용자의 인프라 외부로 나가지 않습니다. Red Hat은 향후 버전에서 Red Hat Lightspeed 온프레미스에 더 많은 기능을 추가할 계획입니다.

[참고] 이 기능은 원래 'Insights on Premises(IOP)'로 불렸습니다. 백엔드 호환성 및 통합을 위해 내부 서비스 아키텍처 내의 개별 컨테이너 이미지(iop-gateway-rhel9:6.19 등)와 기타 아티팩트에는 이 원래의 명칭이 그대로 유지됩니다.

--------------------------------------

데이터 주권(Data Sovereignty)을 위한 설계

--------------------------------------

Red Hat Lightspeed 온프레미스는 다음과 같은 규제를 받는 환경에 적합합니다:

* GDPR: 개인 데이터 처리가 사용자의 데이터 상주(Residency) 경계 내에 머무릅니다.

* DORA: 핵심 정보통신기술(ICT) 서비스 데이터가 규제 대상 기관의 통제 하에 유지됩니다.

* NIS2 지침: 필수 및 중요 기관의 인프라 데이터가 온프레미스에 유지됩니다.

* 국가 안보 분류: 외부 데이터 흐름이 전혀 없는 에어갭(폐쇄망) 배포 환경에서 작동합니다.

* 금융 서비스 규제(BaFin, FCA 등): 인프라 원격 측정 데이터가 규제 경계를 절대 벗어나지 않습니다.

* 의료(HIPAA 및 국가별 준수 규정): 시스템 구성 데이터가 해당 기관 내에만 머무릅니다.

Red Hat Lightspeed 온프레미스가 활성화되면:

- 모든 호스트 원격 측정 데이터가 로컬에 유지됩니다: 시스템 정보, 패키지 목록, 취약점 평가 및 권고 사항이 Satellite의 PostgreSQL 데이터베이스에 처리 및 저장됩니다. 외부로 아무것도 전송되지 않습니다.

- CVE 데이터 가져오기를 통제할 수 있습니다: 취약점 서비스는 정적인 cvemap.xml 파일을 사용합니다. 완전히 단절된 환경이라면 이 파일을 직접 다운로드하여 원하는 일정에 맞춰 전달할 수 있습니다. 보안 메타데이터가 환경에 들어오는 시기와 방식을 사용자가 직접 결정하며, 클라우드로는 단 1비트의 데이터도 가지 않습니다.

- Red Hat Lightspeed 온프레미스 서비스는 아웃바운드 네트워크 연결을 요구하지 않습니다. Satellite가 인터넷에 연결되어 있든, 완전히 차단된 에어갭 네트워크에 있든 동일하게 작동합니다.

--------------------------------------

Red Hat Lightspeed 온프레미스 설치하기

--------------------------------------

설치를 위한 사전 요구 사항은 다음과 같습니다:

- Red Hat Satellite 6.19(또는 6.18+) 설치 및 작동 중

- 내부 데이터베이스 사용 (내장된 PostgreSQL이 아닌 외부 데이터베이스를 사용하는 경우 Lightspeed 온프레미스를 사용할 수 없음)

- 충분한 여유 리소스: 19개의 Lightspeed 온프레미스 컨테이너가 추가되면서 약 4~6GB의 메모리와 약간의 CPU 사용량이 추가로 필요합니다.

설정 과정에서 Satellite 서비스가 재시작되므로, 정기 점검 창(Maintenance Window)을 통해 다음 단계를 진행하는 것이 좋습니다.

인터넷이 연결된 환경에서의 설정:

Satellite 서버에서 다음 명령어를 실행합니다:

=====================================

# satellite-installer --enable-iop

=====================================

설치 프로그램은 자동으로 다음 작업을 수행합니다:

1) registry.redhat.io에서 컨테이너 이미지를 다운로드합니다.

2) iop-core-network Podman 네트워크를 생성합니다.

3) 모든 Lightspeed 온프레미스 서비스를 systemd로 관리되는 Podman quadlet으로 배포하고 시작합니다.

4) Satellite 웹 UI에 Red Hat Lightspeed 메뉴 항목이 나타나도록 구성합니다.

5) 서비스 간 메시징을 위한 Kafka 토픽을 생성합니다.

(이미지 다운로드 속도에 따라 약 10~15분이 소요되며, CVE 데이터도 자동으로 채워집니다.)

단절된(에어갭) 환경에서의 설정:

Satellite ISO 파일에서 컨테이너 이미지를 로드합니다. 단절된 환경용으로 Satellite를 설치했다면 필요한 모든 컨테이너 이미지가 ISO에 포함되어 있습니다.

=====================================

# cd /media/sat6/

# ./setup_containers

=====================================

이 명령어는 Lightspeed 온프레미스 컨테이너 이미지를 로컬 Podman 스토리지로 로드합니다.

그 다음 온프레미스 기능을 활성화합니다:

=====================================

# satellite-installer --enable-iop

=====================================

이제 CVE 데이터를 이전해야 합니다. 인터넷이 연결된 별도의 호스트에서 다음 파일을 다운로드합니다:

==========================================================================

# curl -o cvemap.xml https://security.access.redhat.com/data/meta/v1/cvemap.xml

==========================================================================

승인된 보안 전송 방법(USB, 내부 망 연계 등)을 통해 cvemap.xml 파일을 Satellite 서버로 복사한 뒤 다음 경로로 이동시킵니다 (파일 크기는 약 50MB입니다):

=====================================

# cp cvemap.xml /var/lib/foreman/

=====================================

폐쇄망 환경에서는 취약점 데이터를 최신 상태로 유지하기 위해 주기적으로(매주 또는 패치 관리 주기에 맞춰) 이 데이터를 수동으로 갱신해 주어야 합니다.

--------------------------------------

Red Hat Lightspeed 온프레미스 사용하기

--------------------------------------

모든 기능이 올바르게 설치되면 Satellite GUI의 Red Hat Lightspeed 패널이 로컬 설치 환경을 가리키게 됩니다. 설치 후에는 권고 사항(Recommendations) 탭과 취약점(Vulnerabilities) 탭이 대시보드에 나타납니다.

그림 1. Red Hat Lightspeed 패널의 권장 사항 탭

취약점 탭도 확인해 보실 수 있습니다. 그림 2의 예시에서는 현재 식별된 CVE가 없는 시스템입니다.

그림 2. Red Hat Lightspeed 패널의 취약점 탭을 보여주는 스크린샷.

호스트 등록:

다음 단계는 호스트를 Red Hat Lightspeed 온프레미스에 등록하는 것입니다. 호스트가 이미 Satellite 서버에 등록되어 있다면 다음 명령어를 실행합니다:

=====================================

# sudo dnf install insights-client

# sudo insights-client --register

=====================================

대규모 환경에서는 Satellite의 원격 실행(Remote Execution) 기능이나 Red Hat Ansible Automation Platform을 사용하여 클라이언트를 대량으로 설치하는 것이 좋습니다. 시스템이 이미 등록되어 있고 데이터를 즉시 강제로 업로드하려는 경우에는 다음 명령어를 사용합니다:

=====================================

# sudo insights-client

=====================================

새로운 호스트의 경우 Satellite UI의 호스트 등록 워크플로우를 사용합니다:

1) Hosts > Register Host로 이동합니다.

2) 등록 스크립트를 생성합니다.

3) Setup Red Hat Lightspeed 항목을 Yes (override)로 설정합니다.

4) 대상 호스트에서 생성된 스크립트를 실행합니다.

등록이 완료되면 insights-client에 의해 호스트 정보와 패키지 데이터가 수집됩니다. 데이터가 성공적으로 온프레미스 엔진으로 전송되면 대시보드에 권고 사항과 취약점 평가 결과가 나타나기 시작합니다.

예를 들어 시스템에서 Leapp 업그레이드 사전 점검을 수행한 경우, 업그레이드를 차단하는 요소(inhibitor)가 권고 사항에 플래그로 표시됩니다. 잘못된 구성이 발생하면 권고 사항 탭에 명확한 문제 설명과 함께 조치 계획을 세울 수 있는 시작점이 제공됩니다. 이는 수많은 서버 차량(fleets)에 걸쳐 Red Hat Enterprise Linux의 주요 버전 업그레이드를 동시에 안전하고 빠르게 진행할 수 있도록 돕는 플랫폼의 강력한 조치 능력을 잘 보여줍니다. 또한 CVE 취약점이 식별되면 사용자는 취약점 탭에서 상세 내용을 확인하고 해결 플랜을 수립할 수 있습니다.

그림 3. Red Hat Lightspeed는 문제점 및 잠재적인 해결 방안에 대한 권장 사항을 제공합니다.

그림 4는 Red Hat Lightspeed의 취약점 평가를 보여줍니다. CVE가 식별된 경우 사용자는 Red Hat Lightspeed 패널의 취약점 탭에서 자세한 내용을 확인하고 해결 계획을 세울 수 있습니다.

그림 4. Red Hat Lightspeed 내의 취약점 패널