데이터 수집 보안 고려 사항 이해
데이터 통합을 위해서는 미사용 시 및 전송 중인 데이터를 안전하게 처리해야 합니다. 데이터 통합 솔루션을 생성 전에 디자인 단계에서 보안 요구 사항을 고려해야 합니다. 처음에는 보안과 관련하여 원본 시스템의 적용 범위와 원본 시스템의 데이터를 수집하는 방법을 제공하면 됩니다. 그러나 다음 영역에서 중간 데이터 저장소의 보안도 캡슐화하는 전체적인 접근 방식이 필요합니다.
네트워크
네트워크 보안 설정에 대해 알고 있어야 하는 여러 가지 문제가 있습니다. 해당 영역 중 일부를 관리하기 위해 조직의 Azure 관리자와 협력해야 할 수도 있습니다.
가상 네트워크를 사용하여 Azure 리소스 보호
가상 네트워크는 Azure 서비스 간에 또는 온-프레미스 네트워크에 있는 서버와의 보안 통신을 허용합니다. 가상 네트워크 또는 VNet은 개인 네트워크를 구성하기 위한 기본 구성 요소입니다. 이를 통해 Azure 리소스, 인터넷의 서비스, 온-프레미스 네트워크의 서버 간에 보안 통신이 가능해집니다. Azure Data Factory는 온-프레미스 서버 또는 Azure 내에서 호스트되는 가상 머신에서 데이터를 수집할 수 있습니다. 이를 위해 자체 호스팅 통합 런타임을 가상 네트워크 내의 서버에 배포할 수 있습니다. 액세스를 제한하려면 관리 권한만 허용하도록 NSG(네트워크 보안 그룹)를 구성해야 합니다. Azure SSIS IR을 사용하는 경우 가상 네트워크에 조인하는 옵션이 제공됩니다. 이 옵션을 통해 Azure Data Factory에서 네트워크 리소스를 만들 수 있습니다. 예를 들어 네트워크 보안 그룹은 Azure Data Factory에 의해 자동으로 생성되고 포트 3389는 기본적으로 모든 트래픽에 대해 열려 있습니다. 관리자만 액세스할 수 있도록 하려면 이 잠금을 해제합니다.
서비스를 사용하여 침입 검색 및 방지
통합 런타임이 호스트된 가상 네트워크에서 DDoS(분산 서비스 거부) 보호 표준을 사용하도록 설정하여 알려진 IP 주소와의 통신을 거부할 수 있습니다. 또한, Azure Security Center 통합 위협 인텔리전스를 사용하여 알려진 악성 또는 사용되지 않는 인터넷 IP 주소와의 통신을 거부할 수 있습니다. 위협 인텔리전스를 사용하는 Azure Firewall을 통해 네트워크 액세스를 제어할 수 있습니다. 페이로드 검사를 기반으로 하는 침입 검색 및/또는 방지가 필요한 경우 Azure ExpressRoute 강제 터널링을 통해 방화벽 어플라이언스 또는 이 기능을 지원하는 네트워크 가상 어플라이언스로 트래픽을 리디렉션할 수 있습니다.
네트워크 서비스 태그를 사용하여 보안 규칙 관리 간소화
서비스 태그를 사용하여 가상 네트워크를 구성할 수 있습니다. 서비스 태그를 사용하면 관리 목적으로 지정된 Azure 서비스의 IP 주소 접두사를 함께 그룹화할 수 있습니다. 서비스 태그를 사용하여 관리 오버헤드를 줄이기 위해 서비스 태그를 기반으로 하는 네트워크 보안 그룹에서 네트워크 보안 규칙을 만들 수 있습니다. 서비스 태그 이름(예: DataFactoryManagement)을 규칙의 적절한 원본 또는 대상 필드에 지정하면 해당 서비스에 대한 인바운드 트래픽을 허용하거나 거부할 수 있습니다.
ID 및 액세스 제어
데이터에 대한 액세스 관리는 고려해야 할 중요한 영역입니다. 다음은 알아야 할 몇 가지 영역입니다.
관리자 계정
Azure Data Factory 관련 작업을 하고 Azure Data Factory를 관리하는 데 사용되는 관리 계정은 알려진 전용 계정이어야 하며, 손상되지 않았는지 확인하기 위해 정기적으로 모니터링 및 관리됩니다. 데이터 팩터리 인스턴스를 만들려면 Azure에 로그인하는 데 사용할 사용자 계정이 참여자 또는 소유자 역할의 구성원이거나, Azure 구독의 관리자여야 합니다. 보안 수준이 높은 환경에서는 모든 ADF 관리 작업의 관리 권한에 전용 머신을 사용하는 것이 좋습니다.
Active Directory를 통해 Single Sign-On 사용
Microsoft Entra ID 내에 서비스 주체를 등록하여 Azure Data Factory 서비스에서 Azure 리소스에 대한 인증을 간소화할 수 있도록 토큰 관리를 활용합니다. 특정 데이터 팩터리를 나타내는 Azure 리소스용 관리 ID와 데이터 팩터리를 연결할 수 있습니다. Azure SQL Database 인증에 관리 ID를 사용할 수 있습니다. 지정된 팩터리는 이 ID를 사용하여 데이터베이스에 액세스하고 해당 데이터베이스에 대해 데이터를 복사할 수 있습니다.
데이터 보호
다음 영역에서 의료 데이터 또는 재무 데이터와 같은 특정 데이터 유형을 특별히 고려해야 할 수 있습니다.
RBAC(역할 기반 액세스 제어)를 사용하여 리소스에 대한 액세스 제어
데이터 원본에 대한 RBAC를 사용하여 데이터에 대한 Azure Data Factory 서비스 주체의 액세스를 제어합니다.
중요한 데이터
중요한 데이터 작업을 하는 경우 고려해야 할 몇 가지 사항은 다음과 같습니다.
- 중요한 정보를 포함하는 데이터 저장소 목록 유지 관리
- 중요한 정보를 저장하거나 처리하는 시스템 격리
- 중요한 정보에 대한 무단 전송 모니터링 및 차단
- 전송 중인 중요한 정보 암호화
- 미사용 시 중요한 정보 암호화
로깅 및 모니터링
데이터에 액세스하는 사용자를 이해하는 것도 중요하며, 보안과 관련해서는 다음 영역을 고려해야 합니다.
중앙 보안 로그 관리 구성
Azure Monitor를 사용하여 Azure Data Factory에서 생성된 수집 로그의 스토리지를 중앙 집중화하고 Log Analytics를 사용하여 쿼리합니다. 또한, ADF 수집 작업의 기준을 설정하는 데이터를 포함하도록 Azure 스토리지 계정에 로그를 장기간 저장하는 전략을 설정합니다.
가상 네트워크, 서브넷, NIC의 구성 및 네트워크 패킷 트래픽을 모니터링 및 기록합니다.
Integration Runtime 배포를 보호하는 NSG에 대한 NSG(네트워크 보안 그룹) 흐름 로그를 사용하도록 설정하고, 트래픽 감사를 위해 Azure Storage 계정에 로그를 보냅니다. 또한 NSG 흐름 로그를 Log Analytics 작업 영역에 보내고, 트래픽 분석을 사용하여 Azure 클라우드의 트래픽 흐름에 대한 인사이트를 제공할 수 있습니다.
감사 로그 사용
Azure Data Factory 진단 설정을 사용하여 45일 동안 유지되는 파이프라인 실행 데이터를 추적하도록 진단 로그를 구성할 수 있습니다. 향후 분석을 위해 Azure Storage 계정에 진단 로그를 저장할 수 있습니다.
작업에 대한 경고 사용
Log Analytics에 로그를 전송하는 Azure Data Factory에 대한 진단 설정에는 관리자에게 작업을 경고할 수 있는 미리 정의된 조건 세트에 대해 구성된 경고가 포함될 수 있습니다.
조직 내의 표준 로깅 및 모니터링 표준 준수
로깅 및 모니터링에 대한 조직 표준을 확인하고 다음을 포함하여 표준에 맞춥니다.
- 감사 로깅
- 보안 로그
- 맬웨어 방지 로깅
- 로그 보존 정책