윈도우 서버 2019의 보안·재해복구 관련 신기능 정리

마이크로소프트가 윈도우 서버 2019에 탄력성과 리던던시(redundancy), 보호된 가상머신(Shielded Virtual Machines) 보안 제어 등 기능을 강화, 추가했다.



보호된 VM은 본래 가상머신 자산을 보호하는 방법으로 개발됐다. VM을 하이퍼바이저 인프라스트럭처에서 격리하는 방식을 사용했다. 이는 감사 실무자가 시스템을 적절하게 분리해 제어하고 있음을 증명하는 데도 도움이 됐다. 윈도우 서버 2019에서는 보호된 VM 관련 기능이 더 좋아졌다. 이를 이용하면 실시간 장애 복구 구성이 가능하고, 호스트와 정책 기반 보안을 강화할 수 있다.

호스트 키 인증
윈도우 서버 2016에서는 키 인증이 TPM(trusted platform module) 보안 프로세서와 마이크로소프트 AD(Active Directory)를 기반으로 처리됐다. 이들은 모두 훌륭한 솔루션이지만 확장성과 리던던시 측면에서는 한계가 있었다.

윈도우 서버 2019에 추가된 호스트 키 인증 기능은 인증 기반 솔루션이다. 이를 이용하면 기업이 표준 저장 메커니즘을 이용해 키를 저장할 수 있다. 또한, 기존처럼 보호된 VM을 TPM 기반 시스템으로 격리하고자 하는 기업은 TPM 기반 인증을 이용할 수 있다. 이에 따라 액티브 디렉터리나 TPM 기반 환경에 구애될 필요가 없게 됐다. 또한, 이번 버전에는 보호된 VM 확장 외에도 보호된 VM의 리던던시를 향상하는 기능 개선도 포함됐다.

재해복구 구성
윈도우 서버 2016의 HGS(Host guardian service) 기능은 보호된 호스트와 VM을 구성하는 용도로 개발됐다. 보호된 VM을 실행하는 데 필요한 인증과 키 보호도 담당한다. 문제는 HGS에 접속할 수 없는데 보호된 VM 시스템을 부트해야 하는 상황이다. 윈도우 서버 2019는 이를 위해 재해복구 구성 기능을 추가했다. 이는 HGS 리던던시에 대한 새로운 계층을 제공한다. 즉 제1, 제2 HGS 서버를 통해 보호된 VM 환경을 구성할 수 있다. 이렇게 되면 제1 서버가 다운됐을 때 보호된 VM이 제2 HGS 서버를 이용해 부팅 절차를 인증하게 된다.

이 기능은 지사나 출장소에서 운영하는 시스템에서도 유용하다. 서버 장애로 심각한 오류가 발생해 로컬 HGS 서버가 인터넷에 연결되지 않거나 심각한 상황인 경우다. 지사에서는 이럴 때도 시스템을 부트해 운영해야 한다. 이런 상황에서 재해복구 구성을 이용하면, 일단 지사 시스템이 로컬 HGS 서버에 인증을 시도하고 실패했을 때, 시스템은 WAN을 통해 메인 데이터센터 HGS 서버에 접속해 인증하고 부팅 절차를 진행할 수 있다. 이러한 복원 기능은 사용자가 선택적으로 구성할 수 있다.

보호된 VM용 툴과 정책 개선
이밖에도 윈도우 서버 2019의 보호된 VM에는 많은 개선사항이 포함됐다. 주요 내용은 다음과 같다.

- VM커넥트(VMConnect)와 PS 다이렉트(PS Direct): 윈도우 서버 2016의 보호된 VM은 VM커넥트를 이용한 호스트 시스템 콘솔 접속이 불가능했다. PS 다이렉트를 이용한 콘솔 원격 접속도 마찬가지였다. 이와 같은 제한을 둔 이유는 악의적인 호스트 관리자가 보호된 VM에 접근하는 것을 막기 위해서였다. 호스트 관리자는 보호된 VM 시스템 혹은 애플리케이션 소유자와 함께 작업해야 하는 경우가 종종 있다. 예를 들어 보호된 VM과 호스트 인프라스트럭처 간의 네트워킹이나 통신 제어를 확인해야 하는 경우다. 윈도우 서버 2019에서는 VM커넥트와 PS 다이렉트를 통한 보호된 VM 접속 기능이 다시 추가됐다. 외부에서 보호된 VM의 컴포넌트에 접속해 문제를 해결하거나 디버깅해야 하는 필요에 대응할 수 있게 됐다.

- 보호된 VM 파워셸 Cmdlets: 마이크로소프트는 GFT(Guarded Fabric Tools) 모듈을 새로 공개했다. 윈도우 서버 2019와 윈도우 서버 2016에서 작동한다. 여기에는 새로운 cmdlets가 추가됐는데 New-ShieldedVM, New-ShieldingDataAnswerFile 등이 대표적이다. 이를 이용한 파워셸로 보호된 VM 배포 작업을 제어할 수 있다. 기업이 표준 배포 템플릿으로 파워셸을 점점 더 많이 이용하는 가운데, 이들 새로운 cmdlets는 기업 환경에서 보호된 VM을 만드는 일관성을 제공할 것으로 보인다.

- 코드 무결성 정책: 마이크로소프트 디바이스 가드(Device Guard)의 추가 기능이다. 디바이스 가드는 윈도우 서버 2016의 2017년 9월 업데이트인 '윈도우 서버 1709버전'부터 추가된 것으로, 기업이 시스템을 평가해 검증된 코드를 적용하도록 하는 정책 예제를 제공한다. 이를 이용하면 악성코드가 시스템에 침투해 시스템 몰래 실행되는 것을 막는다. 이런 시도가 있으면 시스템이 비표준의 지원되지 않는 불확실한 코드가 실행된다는 경고를 보여준다. 이 코드 무결성 정책은 보호된 VM을 사용하는 기업이 보안 위협을 감지할 수 있도록 돕는다.

여기서 소개한 기능을 포함해 윈도우 서버 2019의 다른 새로운 기능이 궁금하다면 마이크로소프트 웹사이트를 참고하면 된다. ciokr@idg.co.kr