AWS 클라우드에 마이크로서비스를 구축해 비즈니스 기능을 운영하는 사례는 이미 대세가 됐지만 많은 보안 정책은 이러한 기술을 고려하지 않고 작성한 레거시 성격을 띠고 있어 AWS 기반 마이크로서비스 보안에 관해 참고할 수 있는 자료가 많지 않은 것이 사실이다. AWS, 마이크로서비스 아키텍처, 보안에 대한 기본 지식을 가진 독자가 AWS가 제공하는 도구를 활용해 마이크로서비스 보호 대책을 수립 및 적용할 수 있게 해줌으로써 보안 이슈에 대한 해결책을 제시하는 책이다.
마이크로서비스나 AWS 클라우드 전반을 다룬 책은 시중에 많지만 AWS 클라우드에 구축한 마이크로서비스 보안을 핵심 주제로 집필한 책은 아직 없다. 관련 주제를 고민 중인 보안 담당자에게 도움을 줄 수 있는 책이 됐으면 한다.
이 책의 구성은 다음과 같다.
1장, 클라우드 기반 마이크로서비스 소개
정보 보안 용어에 대한 정의를 시작으로 클라우드와 마이크로서비스 아키텍처에 대한 기본 지식을 소개함으로써 AWS 클라우드 기반 마이크로서비스를 보호하는 데 필요한 배경지식을 전달한다.
2장, 인가와 인증 기초
모놀리식과 마이크로서비스 애플리케이션의 접근 통제 정책을 비교하고, 접근 정책을 중앙 집중화해 관리할 수 있는 AWS IAM 서비스를 사용해 마이크로서비스 아키텍처에서 비인가 요청을 차단하기 위한 인증과 인가 정책을 구현하는 방법을 설명한다.
3장, 암호화의 기초
물리적 인프라를 여러 고객이 공유해서 사용하는 클라우드 리소스의 특성을 고려한 심층 방어 전략의 일환으로, 인증이나 인가 절차 등 다른 통제가 동작하지 않을 때 비인가자에게 데이터를 노출하지 않도록 보호하기 위한 암호화의 개념과 구현 방법도 알아본다.
4장, 저장된 데이터 보안
데이터를 분산해 저장하는 마이크로서비스 아키텍처의 특징을 알아보고 암호화와 접근 통제를 사용해 S3, 람다, 데이터베이스 등 AWS의 저장소 메커니즘을 보호하는 방법을 소개한다.
5장, 네트워크 보안
AWS 네트워킹에 대한 이해를 도울 수 있는 배경지식을 전달하고 VPC 간 통신을 가능하게 하는 방법들과 AWS에 추가할 수 있는 다양한 네트워크 통제에 대해 다룬다.
6장, 대외 공개 서비스
최종 사용자와 상호작용의 필요성 때문에 퍼블릭 영역에서 운영해야 하는 서비스를 API Gateway, 배스천 호스트, AWS CloudFront, WAF, Shield 등으로 안전하게 설계하고 보호하는 방법을 설명한다.
7장, 전송 보안
전송 암호화를 구현하는 데 사용할 TLS 관련 배경지식과 다양한 마이크로서비스 통신 패턴에 TLS를 적용하는 방법을 전달하고 CloudFront의 필드 수준 암호화 기능을 소개한다.
8장, 조직의 복잡성을 고려한 보안 설계
마이크로서비스를 개발 및 운영하는 조직 구조에 맞게끔 보안 조치를 설계하는 방법과 이를 지원하는 AWS 도구들을 살펴본다.
9장, 모니터링과 사고 대응
미국 국립 표준 기술원의 사고 대응 프레임워크를 간략히 소개하고, 해당 프레임워크에 맞춰 대응할 수 있도록 도와주는 AWS의 서비스 및 도구를 살펴볼뿐만 아니라 보안 인프라를 보호하기 위한 모범 사례를 다룬다.
마이크로서비스 아키텍처(MSA, Microservices Architecture)는 단일 애플리케이션을 작고 독립적으로 배포할 수 있는 작은 서비스 집합으로 개발하는 방법이다. MSA는 일체형을 의미하는 모놀리식 아키텍처와 달리 보안을 위한 새로운 접근 방식이 필요하다. 이 책은 다양한 예제 코드와 쿠버네티스, 도커, 이스티오 서비스 메시와 같은 최신 기술을 사용해 마이크로서비스를 안전하게 보호하는 방법을 설명하고 배경지식이 부족한 독자를 위한 부록을 제공함으로써 마이크로서비스 보안 이슈 해결에 필요한 지침을 알려준다.
먼저 1부의 마이크로서비스 보안 기본 원칙으로 시작해, 2부에서 마이크로서비스 경계 지점과 진입점에서 마이크로서비스를 보호하는 방법을 설명하고, 3부에서 클라이언트 요청으로 발생한 마이크로서비스 간 통신을 보호하는 방법을 알아본다.
이어서 4부에서는 컨테이너 환경으로 구성한 마이크로서비스를 보호하는 방법을 다루며 마지막 5부에서 보안 점검 자동화 방안을 개발 프로세스에 적용하는 방법을 살펴본다. 이를 통해 마이크로서비스 아키텍처로 전환을 고려하고 있지만 보안 이슈를 간과하거나, 어떤 보안 이슈가 있을 수 있는지와 보안 이슈를 어떻게 해결해야 할지 고민하는 개발자와 보안 담당자에게 지식을 전달한다.
마이크로서비스를 전반적으로 다루는 책은 시중에 많고 해당 책의 세부 주제 중 하나로 보안을 언급하는 경우 또한 많다. 하지만 보안을 메인 주제로 마이크로서비스를 다룬 책은 국내에 아직 없어서 번역하면 많은 분에게 도움이 될 것이란 기대감에 시작한 번역이라 필요한 분들에게 의미 있는 책이 됐으면 하는 바람이다.
