인터넷을 거대하고 북적이는 도시라고 상상해 보세요. 이 도시의 모든 건물은 "마이크로서비스"라고 불리는 작고 전문화된 일꾼들입니다. 모든 것을 다 하는 하나의 거대한 공장 대신, 이 일꾼들은 업무를 완수하기 위해 서로에게 쪽지를 전달합니다. 때로는 제과점에서 은행으로, 그다음에는 보안 요원으로, 마지막에는 금고로 쪽지가 전달되기도 합니다. 이것이 현대적인 앱이 작동하는 방식입니다. 앱은 이처럼 복잡한 춤을 추며 대화하는 수천 개의 작은 서비스들로 구성되어 있습니다.

하지만 여기서 까다로운 문제가 발생합니다. 보안 요원들은 보통 바로 눈앞에 서 있는 사람만을 확인합니다. 만약 제과점이 은행에 쪽지를 보낸다면, 보안 요원은 제과점이 은행과 대화할 권한이 있는지만 확인합니다. 그들은 제과점이 어떻게 그곳에 도달했는지는 들여다보지 않습니다. 이는 교묘한 허점을 만듭니다. 나쁜 녀석이 제과로 하여ty 은행에 쪽지를 보내도록 속일 수 있는데, 이때 은행은 "오, 제과점이 나에게 말을 걸고 있네, 괜찮아!"라고 생각할 수 있습니다. 하지만 실제로는 제과점이 해커에 의해 강요받아 행동한 것일 수도 있습니다. 이것을 "멀티 홉 공격(multi-hop attack)"이라고 부릅니다. 해커가 하나의 정당한 일꾼에서 다른 일꾼으로 옮겨 다니며, 매 단계마다 겉보기에는 괜찮아 보이는 신뢰의 사슬을 구축하여 결국 재앙을 초래하는 방식입니다.

여러분이 이제 읽게 될 eMicro라는 논문은 바로 이 문제를 다룹니다. 이 논문은 다음과 같이 질문합니다. "어떻게 하면 모든 것을 늦추거나 모든 일꾼에게 거대하고 무거운 역사의 배낭을 메게 하지 않으면서도, 이러한 교묘한 사슬을 막을 수 있을까?" 저자들(버지니아 공대, IBM 등의 연구진)은 마치 스마트하고 투명한 교통 경찰처럼 작동하는 시스템을 구축했습니다. 이 경찰은 단순히 문 앞에 서 있는 사람을 확인하는 대신, 쪽지가 지나온 전체 이야기를 알고 있습니다. 이들은 eBPF(프로그램이 컴퓨터의 핵심 엔진 내부에서 안전하게 실행될 수 있게 해주는 기술)라는 특별한 기술을 사용하여, 일꾼들의 유니폼을 바꿀 필요 없이 경로를 추적합니다. 또한, 그들은 DFA(결정적 유한 오토마타, 일종의 순서도)라는 영리한 수학적 기법을 사용하여 규칙을 매우 효율적으로 기억함으로써 공간을 거의 차지하지 않도록 했습니다. 그 결과, eMicro는 실시간으로 이러한 교묘한 공격을 차단하며, 놀라운 속도로 작동하고, 엄청난 클라우드 시스템 속에서도 무리 없이 적응합니다.

교묘한 연쇄 반응

사진 공유 앱이 있다고 가정해 봅시다. 이 앱에는 정문(nginx), 사진 편집기(media), 저장실(cloud), 그리고 비밀번호를 보관하는 금고(creds)가 있습니다. 평상시에는 사용자가 정문에 사진을 요청합니다. 그러면 정문은 편집기에 요청하고, 편집기는 저장실에 요청하며, 그 결과 사진이 짠 하고 나타납니다. 이것은 안전한 경로입니다.

이제 해커가 정문의 아주 작은 틈을 발견했다고 상상해 보세요. 그들은 정문을 속여서, 마치 정상적인 요청인 것처럼 가장하여 비밀번호 금고에 키를 요청하도록 만듭니다. 전통적인 보안 요원은 정문과 비밀번호 금고를 보고 이렇게 말할 것입니다. "헤이, 정문은 가끔 금고와 대화할 권한이 있으니까 통과시켜 줘!" 보안 요원은 정문이 원래 사진 편집기와 대화해야 했지, 금고와 대화해서는 안 되었다는 사실을 놓칩니다. 해커는 워크플로를 성공적으로 "왜곡"한 것입니다.

이것이 바로 "멀티 홉" 문제입니다. 공격은 한 번의 큰 폭발이 아니라, 작고 합법적으로 보이는 단계들이 모여 재앙이 되는 과정입니다. 논문은 기존 보안 시스템이 바로 앞의 사람만 보는 경료와 같다고 설명합니다. 그들은 그 사람이 다섯 단계 전의 낯선 사람에 의해 떠밀려 온 것인지 신경 쓰지 않습니다.

eMicro의 등장: 이야기 기록자

이 논문의 저자들은 이를 해결하기 위해 eMicro를 만들었습니다. eMicro를 모든 요청에 "이야기 태그"를 부여하는 시스템이라고 생각해 보세요. 요청이 시작될 때, 아주 작은 라벨이 붙습니다. 요청이 정문에서 편집기로 이동하면, 라벨은 "나는 정문으로부터 왔다"라고 업데이트됩니다. 편집기에서 저장실으로 이동하면, 라벨은 "나는 정문에서 왔고, 그다음 편집기를 거쳐 왔다"라고 표시됩니다.

만약 해커가 정문을 속여 금고로 바로 가게 만든다면, 라벨이 틀리게 됩니다. 라벨은 "나는 정문이다"라고 하겠지만, 금고는 "나는 정문에서 왔고, 그 다음 편집기를 거쳤다"라는 라벨을 기대합니다. 시스템은 이 불일치를 감지하고 즉시 요청을 차단합니다.

하지만 여기서 마법 같은 점이 있습니다. 모든 요청에 전체 이야기를 담은 태그를 들려 보내는 것은 무겁고 느릴 것입니다. 메시지를 보낼 때마다 이전에 대화했던 모든 사람의 50페이지짜리 전기(biography)를 첨부해야 한다고 상상해 보세요. 그것은 네트워크를 막히게 할 것입니다.

마법의 순서도 (DFA)

"무거운 배낭" 문제를 해결하기 위해, 연구진은 **결정적 유한 오토마타(DFA)**라는 영리한 수학적 기법을 사용했습니다. 전체 이야기를 글로 쓰는 대신, 시스템은 규칙을 거대한 효율적인 순서도로 변환합니다.

모든 단계가 당신을 새로운 원으로 이동시키는 순서도를 상상해 보세요.

• 원 0: 시작.
• 원 1: 정문과 대화함.
• 원 2: 정문과 대화한 후, 편집기와 대화함.
• 원 3: 정문, 편집기, 그리고 저장실과 대화함.

시스템은 "정문, 편집기, 저장실"이라는 단어를 들고 다니지 않습니다. 단지 당신이 현재 어떤 원 안에 있는지 나타내는 숫자(예: "원 3")를 들고 다닙니다. 만약 당신이 원 1에서 비밀번호 금고로 직접 점프하려고 하면, 순서도는 "잠깐, 원 1에서 금고로 가는 선은 없어!"라고 말하며 당신을 차단합니다.

이것은 믿을 수 없을 정도로 효율적입니다. 논문은 "표준적인" 방식으로 역사를 기록하는 데는 수백 비트(1과 0의 긴 문자열 같은 것)가 필요할 수 있지만, 이 순서도 방식은 이를 단 몇 비트로 줄인다고 보여줍니다. 테스트 결과, 그들은 5,000만 개의 보안 규칙을 단 100MB의 공간에 저장했습니다. 이는 수백만 권의 책이 담긴 도서관을 단 하나의 스마트폰에 집어넣는 것과 같습니다.

보이지 않는 교통 경찰 (eBPF)

eMicro는 어떻게 모든 컴퓨터 프로그램의 코드를 수정하지 않고도 이 라벨들을 빠르게 업데이트할까요? 정답은 eBPF입니다.

eBPF를 컴퓨터 엔진 내부에서 실행되는 작고 안전한 프로그램을 돌릴 수 있게 해주는 특별한 도구라고 생각하세요. 보통 무엇이 일어나고 있는지 추적하려면 모든 앱에 트래커를 설치하라고 요청해야 하는데, 이는 개발자들에게 악몽입니다. eMicro는 그렇게 하지 않습니다. 대신, 이들은 네트워크 파이프와 컴퓨터의 내부 프로세스에 자신들의 작은 프로그램을 부착합니다.

요청 패킷이 서비스에서 나갈 때, eBPF 프로그램이 이를 포착하여 "원 번호"(라벨)를 업데이트하고 통과시킵니다. 이 과정은 너무 빨라서 요청은 눈치채지도 못합니다. 논문은 이를 측정하여 eMicro가 요청을 확인하는 데 드는 시간을 1 마이크로초(100만 분의 1초) 미만으로 추가한다는 것을 밝혀냈습니다. 이는 인간의 눈이 깜빡이는 것보다 빠릅니다.

연구 결과

연구팀은 e-Micro가 실제로 작동하는지 확인하기 위해 몇 가지 다른 방식으로 테스트했습니다:

1. 공격 차단: 그들은 서비스들이 잘못된 곳과 대화하도록 속이는 것과 악성 소프트웨어를 사용하여 네트워크를 스캔하는 것을 포함한 세 가지 유형의 교묘한 공격을 시뮬레이션했습니다. eMicro는 이러한 공격을 100% 차단했습니다. 반면, 기존의 "옆집 확인" 방식의 보안 시스템은 아주 적은 부분만을 잡아냈습니다. 예를 들어, 6단계 체인에서 기존 방식은 나쁜 경로를 겨우 **0.3%**만 잡아낸 반면, eMicro는 모든 것을 잡아냈습니다.
2. 속도: 그들은 1,200만 건의 요청을 시스템에 통과시켰습니다. eMicro는 트래픽을 원활하게 유지하며 지연을 거의 발생시키지 않았습니다. 이는 매번 중앙의 상사에게 허가를 받기 위해 물어봐야 했던 기존의 중앙 집중식 시스템보다 35% 더 빨랐습니다.
3. 공간: 언급했듯이, 그들은 5,000만 개의 정책을 100MB의 메모리에 저장했습니다. 이는 기존 방식이 기가바이트 단위의 공간을 필요로 했던 것에 비해 엄청난 개선입니다.
4. 신뢰성: 그들은 네트워크의 컴퓨터가 충돌(crash)하는 경우에도 테스트를 진행했습니다. eMicro는 Raft라는 시스템을 사용하여 모든 컴퓨터가 규칙에 동의하도록 합니다. 만약 한 대가 고장 나더라도 다른 컴퓨터들이 그 역할을 이어받아 4초 이내에 시스템을 복구합니다.

이것이 중요한 이유

논문은 eMicro가 실용적이고 현실적인 솔루션이라고 결론짓습니다. 이는 세상의 모든 소프트웨어를 다시 쓸 것을 요구하지 않으며, 속도를 늦추지도 않습니다. 이는 모든 요청의 전체 이야기를 알 수 있는 보안 요원을 가질 수 있다는 것을 증명합니다.

저자들은 eMicro가 마이크로서비스에는 훌륭하지만, 모든 보안 문제를 해결하는 마법 지팡이는 아니라는 점을 주의 깊게 언급합니다. 이 시스템은 컴퓨터의 핵심 엔진(커널)이 안전하다고 가정합니다. 만약 해커가 컴퓨터의 두뇌에 대한 완전한 제어권을 얻는다면, 보안 요원을 끌 수 있습니다. 하지만 서비스 사이의 틈새를 통해 침투하려는 대부분의 클라우드 공격에 대해 eMicro는 그 구멍을 확실히 막아줍니다.

요약하자면, eMicro는 현대적인 앱의 복잡하고 보이지 않는 웹에 명확하고 빠르며 깨지지 않는 규칙을 부여합니다. 이는 혼란스러운 일꾼들의 도시를, 각자가 누구와 대화해야 하는지 정확히 알고 아무도 뒷문으로 몰래 들어올 수 없는 잘 조직된 팀으로 변화시킵니다.