Cloudflare / database-design

From the endpoint to the prompt: a unified data security vision in Cloudflare One (새 탭에서 열림)

Cloudflare One은 현대 기업 보안의 핵심을 '데이터 보안'으로 정의하며, 데이터가 이동하는 모든 경로를 단일 모델로 보호하는 통합 비전을 제시합니다. 데이터는 네트워크 경계를 넘어 엔드포인트, SaaS, 그리고 이제는 AI 프롬프트까지 매우 빠르게 이동하기 때문에, 보안 정책 역시 도구가 아닌 데이터 자체를 따라가야 한다는 것이 핵심입니다. 이를 위해 Cloudflare는 전송 중인 데이터(In Transit)와 저장된 데이터(At Rest)를 넘어, 사용 중인 데이터(In Use)와 AI 상호작용 단계까지 아우르는 포괄적인 통제 기능을 강화하고 있습니다. ### 브라우저 기반 RDP 클립보드 제어 외부 협력업체나 파트너에게 제공되는 브라우저 기반 원격 데스크톱(RDP) 접속 환경에 더욱 세밀한 데이터 보호 기능을 추가했습니다. * **양방향 제어:** 관리자는 로컬 장치와 브라우저 RDP 세션 간의 복사 및 붙여넣기 허용 여부를 정책에 따라 결정할 수 있습니다. * **맥락 기반 정책:** 예를 들어 고객 지원 포털 접속 시, 세션 내부로의 붙여넣기는 허용하여 생산성을 유지하되, 외부로의 복사는 차단하여 민감 정보가 관리되지 않는 기기로 유출되는 것을 방지합니다. * **설정 편의성:** 해당 기능은 Cloudflare One의 Access 애플리케이션 정책 설정 내에서 간편하게 활성화할 수 있습니다. ### 로그 내 작업 매핑을 통한 가시성 강화 단순한 HTTP 요청 데이터만으로는 파악하기 힘든 사용자의 구체적인 행위를 직관적으로 이해할 수 있도록 로그 시스템을 개선했습니다. * **작업 매핑(Operation Mapping):** 복잡한 HTTP 요청을 '프롬프트 전송(SendPrompt)'이나 '업로드(Upload)'와 같은 의미 있는 작업으로 해석하여 기록합니다. * **애플리케이션 제어 그룹:** 유사한 행위들을 그룹화하여 로그에 표시함으로써, 관리자가 별도의 분석 없이도 SaaS 애플리케이션 내의 활동 패턴을 즉시 파악할 수 있습니다. * **조사 가속화:** 강화된 로그 문맥을 통해 보안 사고 조사 시 원인을 빠르게 규명하고, 사용자 업무 방해를 최소화하면서 정책을 정교하게 튜닝할 수 있습니다. ### Cloudflare One 클라이언트 기반 엔드포인트 DLP 데이터가 브라우저를 벗어나 OS 클립보드로 이동하는 순간 발생하는 보안 공백을 메우기 위해 '엔드포인트 DLP' 기능을 통합했습니다. * **사용 중인 데이터(In Use) 보호:** 민감한 코드가 고객 정보가 SaaS 앱에서 복사되어 권한이 없는 AI 도구나 개인 메일로 붙여넣기 되는 상황을 실시간으로 차단합니다. * **단일 에이전트 전략:** 별도의 보안 솔루션을 추가로 설치할 필요 없이, 기존 Cloudflare One 클라이언트 하나로 네트워크 게이트웨이부터 엔드포인트 데이터 보호까지 수행합니다. * **정책 일관성:** 브라우저 탭을 떠난 콘텐츠에 대해서도 기존의 데이터 보호 정책을 일관되게 적용하여 '엔드포인트에서 프롬프트까지'의 보안 체인을 완성합니다. ### API CASB를 통한 Microsoft 365 Copilot 스캔 AI가 기업 데이터의 새로운 인터페이스로 자리 잡음에 따라, Microsoft 365 Copilot 내에서 발생하는 보안 위험을 탐지하는 기능을 도입했습니다. * **AI 활동 분석:** API 기반의 CASB(Cloud Access Security Broker)를 통해 Copilot 내의 채팅 내용과 업로드된 파일이 기업의 DLP 프로필에 위배되는지 스캔합니다. * **풍부한 컨텍스트 제공:** 단순히 위반 사실만 알리는 것이 아니라, 참조된 파일, 매칭된 DLP 프로필 정보, 상호작용 메타데이터를 함께 제공하여 신속한 대응을 돕습니다. * **확장된 AI 커버리지:** ChatGPT, Claude, Gemini에 이어 M365 Copilot까지 지원 범위를 넓혀 기업 내 생성형 AI 사용에 대한 가시성 사각지대를 제거합니다. 현대 보안 환경에서는 데이터가 제품이나 네트워크의 경계를 넘나들기 때문에, 특정 도구에 종속된 보안이 아닌 데이터 중심의 통합 보안 모델을 구축하는 것이 필수적입니다. Cloudflare One이 제공하는 엔드포인트부터 AI 프롬프트까지의 통합 가시성과 통제력을 활용하여, 보안성과 생산성 사이의 균형을 유지하면서도 데이터 유출 위험을 근본적으로 낮추는 전략을 권장합니다.

Introducing the 2026 Cloudflare Threat Report (새 탭에서 열림)

2026년의 사이버 위협 지형은 단순한 기술적 정교함을 넘어 결과 중심의 '효율성 측정(MOE, Measure of Effectiveness)'을 최우선시하는 산업화된 구조로 진화했습니다. 공격자들은 이제 막대한 비용이 드는 제로데이 취약점 대신 탈취된 세션 토큰이나 신뢰받는 클라우드 도구를 활용하여 방어망을 교묘히 우회하고 있습니다. 이번 보고서는 이러한 고신뢰 기반 착취 모델과 AI 기반의 고속화된 공격 전략에 대응하기 위한 전략적 로드맵을 제시합니다. ### 공격의 새로운 기준: 효율성 측정(MOE)의 부상 * 현대의 공격자들은 복잡하고 값비싼 일회성 해킹 기법보다는 최소한의 노력으로 최대의 결과를 얻을 수 있는 '처리량(Throughput)' 중심의 MOE 지표를 따릅니다. * 공격자들은 비싼 제로데이 취약점을 찾는 대신, 이미 인증된 세션 토큰을 탈취하거나 평판이 좋은 클라우드 인프라(LotX)를 활용해 탐지를 피하면서 전달률을 높이는 경제적 선택을 합니다. * AI는 민감 데이터의 연결 고리를 식별하는 작업을 자동화하여, 공격자가 가장 짧은 시간 내에 임무를 완수할 수 있는 연속적인 시스템을 구축하도록 돕습니다. ### 2026년의 8대 핵심 보안 트렌드 * **AI 기반 고속 운영**: 생성형 AI를 활용한 실시간 네트워크 매핑과 공격 코드 개발, 딥페이크 제작이 보편화되면서 숙련도가 낮은 공격자도 고영향도 작전을 수행할 수 있게 되었습니다. * **국가 주도 인프라 침투**: 중국 기반 공격 그룹인 Salt Typhoon과 Linen Typhoon 등은 장기적인 지정학적 우위를 점하기 위해 북미의 통신, 정부, IT 서비스 인프라에 사전 침투해 거점을 마련하고 있습니다. * **SaaS 통합 리스크 확장**: 과도한 권한이 부여된 서드파티 API 연동(Salesloft 사례 등)을 통해 단일 접점의 침투가 수백 개의 기업 환경으로 확산되는 연쇄 피해가 발생하고 있습니다. * **신뢰 기반 도구의 무기화**: 구글 캘린더, 드롭박스, 깃허브 등 합법적인 SaaS 및 IaaS 도구를 악용해 명령 및 제어(C2) 트래픽을 정상적인 기업 활동처럼 위장합니다. * **딥페이크 위장 취업**: 북한의 국가 주도 해커들이 딥페이크와 허위 신분으로 서구 기업에 원격 IT 인력으로 위장 취업하여 첩보 활동과 불법 수익 창출을 병행하고 있습니다. * **다중 인증(MFA) 무력화**: LummaC2와 같은 정보 탈취 도구를 사용해 활성 세션 토큰을 직접 수확함으로써, 기존의 다중 인증 절차를 건너뛰고 바로 사후 인증 단계로 진입합니다. * **브랜드 위장 피싱**: 메일 서버의 발신자 재검증 허점을 노린 피싱 봇들이 신뢰도 높은 브랜드로 위장해 사용자 편지함에 직접 침투하는 사례가 늘고 있습니다. * **초대형 DDoS 공격**: Aisuru와 같은 대규모 봇넷을 이용한 하이퍼 볼륨 DDoS 공격이 기록을 경신하며, 인간이 대응할 수 있는 시간적 여유를 완전히 박탈하고 있습니다. ### 클라우드 서비스의 'Living off the Land' 전략 * 공격자들은 자체 악성 서버를 운영하는 대신 구글 드라이브, MS 팀즈, 아마존 S3와 같은 합법적인 클라우드 생태계를 활용하는 'Living off anything-as-a-service' 전략을 구사합니다. * Amazon SES나 SendGrid와 같이 대량 메일 발송을 위해 설계된 서비스를 악용하여 정교한 피싱 및 멀웨어를 유포함으로써 기존 스팸 필터를 효과적으로 우회합니다. * 이러한 방식은 신뢰받는 서비스의 외피를 입고 수행되기에 정상적인 기업 트래픽과 구분이 거의 불가능하며, 공격 인프라의 확장성과 신뢰성을 동시에 확보해 줍니다. 조직은 더 이상 고전적인 경계 보안이나 단순 기술적 방어에만 의존해서는 안 됩니다. 공격자들의 MOE 중심 전략을 이해하고, 신뢰받는 SaaS 도구에 대한 가시성 확보 및 세션 토큰 보호와 같은 'ID 중심 보안' 체계로의 근본적인 전환이 필요합니다.

Evolving Cloudflare’s Threat Intelligence Platform: actionable, scalable, and ETL-less (새 탭에서 열림)

Cloudflare는 복잡한 ETL(추출, 변환, 적재) 파이프라인을 제거하고 SQLite 기반의 샤딩된 아키텍처를 활용하여 차세대 위협 인텔리전스 플랫폼(TIP)을 구축했습니다. 이 플랫폼은 전 세계 네트워크 엣지에서 GraphQL을 직접 실행함으로써 수백만 건의 위협 이벤트를 1초 미만의 지연 시간으로 쿼리하고 시각화할 수 있는 성능을 제공합니다. 이를 통해 보안 팀은 단순히 위협을 관찰하는 수준을 넘어, 위협 행위자와 멀웨어를 실시간으로 연결하고 Cloudflare 네트워크 전체에서 공격을 선제적으로 차단할 수 있는 통합된 방어 체계를 갖추게 되었습니다. ### 위협 인텔리전스 플랫폼의 필요성과 진화 Cloudforce One 팀이 공격자 인프라를 추적하기 위해 내부용으로 개발했던 도구가 이제 모든 사용자를 위한 클라우드 네이티브 위협 인텔리전스 플랫폼으로 발전했습니다. 단순히 데이터를 나열하는 것이 아니라 위협의 전체 생명주기를 매핑하여 공격자와 멀웨어, 케이스, 지표를 하나로 연결합니다. * **데이터의 유용성 확보:** 방대한 텔레메트리 데이터 속에서 실행 가능한 통찰력을 추출하여 보안 운영 센터(SOC)의 의사결정을 지원합니다. * **엣지 기반의 혁신:** Cloudflare Workers 환경을 활용하여 실시간으로 위협 이벤트를 그래프와 다이어그램으로 합성하며, 데이터 수집과 가용성 사이의 지연 시간을 완전히 제거했습니다. ### SIEM의 한계 극복과 지능형 강화 실시간 로그 집계와 알람에 최적화된 기존 SIEM과 달리, TIP는 공격자 패턴을 추적하기 위한 전용 스키마와 장기 보관 기능을 제공하여 보안 생태계를 보완합니다. * **상황 맥락 제공:** 단순한 IP나 해시 값을 넘어 해당 지표의 역사, 관련 위협 행위자, 캠페인 내 역할 및 위험 점수를 즉각적으로 제공하여 분석가의 수동 조사 시간을 단축합니다. * **선순환 피드백 루프:** 분석가가 발견한 새로운 침해 지표(IOC)를 플랫폼에 다시 입력하면 자동화된 방어 기능이 강화되어, 모든 사용자가 실시간으로 업데이트된 인텔리전스의 혜택을 누릴 수 있습니다. ### 병목 현상을 제거한 ETL-less 아키텍처 중앙 집중식 데이터베이스의 성능 한계를 극복하기 위해 SQLite 기반의 Durable Objects를 활용한 분산 샤딩 구조를 채택했습니다. * **고가용성 샤딩:** 위협 이벤트를 수천 개의 논리적 샤드(Durable Objects)로 분산 저장하여 쓰기 병목 현상을 방지하고 고성능 트랜잭션을 보장합니다. * **계층화된 저장소:** 고부하 공격 시 발생하는 데이터 스파이크를 Cloudflare Queues로 처리하며, 장기 데이터는 R2에 저장하고 즉각적인 조회가 필요한 인덱스는 Durable Object 내의 SQLite에 유지합니다. ### 엣지에서의 병렬 쿼리 실행 사용자가 GraphQL 엔드포인트를 통해 검색을 수행하면 플랫폼은 단일 테이블이 아닌 네트워크 전역에 분산된 여러 샤드에 쿼리를 동시에 전송(Fan-out)합니다. * **지연 시간 최소화:** Smart Placement 기술을 통해 쿼리를 처리하는 Worker를 데이터가 보관된 Durable Object와 물리적으로 가까운 곳에 배치하여 응답 속도를 극대화했습니다. * **권한 기반 필터링:** 쿼리 실행 전 사용자 권한과 날짜 기반 샤드 필터링을 거쳐 필요한 데이터만 병렬로 취합함으로써 효율적인 데이터 검색을 실현합니다. 보안 운영의 효율성을 높이기 위해서는 데이터의 양보다 그 데이터가 얼마나 빠르게 실행 가능한 정보로 전환되는지가 중요합니다. Cloudflare의 새로운 TIP는 인텔리전스를 별도의 분리된 데이터셋이 아닌 방어 체계의 일부로 통합함으로써, 보안 팀이 사후 대응 방식에서 벗어나 선제적이고 능동적인 방어 태세를 구축할 수 있도록 돕습니다.

See risk, fix risk: introducing Remediation in Cloudflare CASB (새 탭에서 열림)

Cloudflare가 자사의 Cloud Access Security Broker(CASB)에 탐지된 보안 위험을 대시보드에서 즉시 수정할 수 있는 '리메디이에션(Remediation)' 기능을 도입했습니다. 그동안 CASB가 SaaS 앱 내의 설정 오류나 과도한 파일 공유를 시각화하는 데 집중했다면, 이제는 보안 팀이 별도의 관리 도구 없이 원클릭으로 문제를 해결할 수 있는 능동적인 제어 평면으로 진화했습니다. 이 기능은 먼저 Microsoft 365와 Google Workspace를 대상으로 출시되어 비즈니스 크리티컬한 데이터의 노출을 신속하게 차단합니다. **SaaS 보안 가시성에서 즉각적인 조치로의 확장** * Cloudflare CASB는 Microsoft 365, Google Workspace, Slack, GitHub 등 다양한 SaaS 환경과 API로 연결되어 통합된 보안 뷰를 제공합니다. * 기존 프로세스에서는 보안 팀이 발견된 위험을 해결하기 위해 각 앱의 개별 관리자 UI에 접속하거나 해당 툴의 담당자에게 티켓을 발송해야 하는 번거로움이 있었습니다. * 리메디이에션 기능은 이러한 루프를 폐쇄하여, 발견(Finding) 페이지에서 직접 공유 설정을 변경함으로써 조치 시간을 획기적으로 단축합니다. **고위험 파일 공유 리스크 해결** * 인터넷상의 누구나 접근 가능한 공공 링크, 전사적 공유 설정, 외부 도메인이나 개인 계정으로의 공유 등 가장 빈번하고 위험한 공유 패턴을 즉시 해제합니다. * 특히 고객 정보나 금융 데이터 등 민감 정보를 포함한 DLP(데이터 손실 방지) 프로필과 일치하는 파일에 대해 우선적인 조치가 가능합니다. * 이 기능은 파일 자체를 삭제하거나 소유권을 변경하지 않고 '위험한 공유 구성'만을 제거하여 업무의 연속성을 해치지 않으면서 보안을 강화합니다. **서버리스 아키텍처를 통한 기술적 안정성 확보** * Cloudflare Workers, Workflows, Queues, Hyperdrive 등 자사의 기술 스택을 활용해 대규모 환경에서도 빠르고 견고한 실행 환경을 구축했습니다. * 서드파티 API 호출 시 발생하는 속도 제한(429 에러) 문제를 Workflows의 기본 재시도(Retry) 기능을 통해 별도의 복잡한 상태 추적 시스템 없이도 효율적으로 관리합니다. * 성능 테스트 결과, 작업 완료 시간 중간값(p50)은 48초, 90분위수(p90)는 72초로 매우 빠른 응답성을 보이며 모든 조치 내역은 SIEM 연동을 위해 관리자 로그에 기록됩니다. **향후 계획 및 자동화 방향** * 향후 고위험 파일을 안전한 장소로 격리하는 'Quarantine' 조치와 티켓 생성 등 외부 워크플로우를 트리거하는 '커스텀 웹훅' 기능을 추가할 예정입니다. * 보안 정책에 따라 CASB가 자동으로 위험을 수정하는 '자동 리메디이에션(Autoremediation)' 정책을 도입하여 보안 운영의 효율성을 더욱 높일 계획입니다. SaaS 환경에서 발생하는 데이터 유출 사고의 상당수가 실수로 설정된 공유 권한에서 기인하는 만큼, Microsoft 365나 Google Workspace를 사용하는 조직은 CASB 리메디이에션 기능을 통해 '가시성 확보'와 '즉각적인 위험 제거'라는 두 마리 토끼를 잡을 것을 권장합니다. 특히 DLP 프로필과 연계하여 민감한 데이터가 포함된 파일의 외부 공유를 정기적으로 점검하고 즉시 조치하는 프로세스를 수립하는 것이 좋습니다.