클라우드플레어, 게이트웨이 및 DLP에 프로그래밍 가능성 도입

새로운 프로그래밍 기능

클라우드플레어가 자사의 엣지 컴퓨팅 플랫폼을 클라우드플레어 게이트웨이(Gateway) 및 데이터 손실 방지(DLP) 서비스와 통합하여 '진정한 프로그래밍 가능성'을 도입한다. 이로써 사용자는 보안 정책 평가 경로에 직접 사용자 정의 코드를 실행할 수 있게 된다.

주요 기능으로는 새로운 게이트웨이 액션인 '포워드(Forward)'와 사용자 정의 검증 함수가 있으며, 이는 모든 제로 트러스트(Zero Trust) 요금제에서 사용할 수 있다. '포워드' 액션은 현재 공개 베타로 제공되며, '커스텀 함수'는 연말 이전에 출시될 예정이다. 정식 출시 시점에는 두 기능 모두 모든 요금제 고객에게 제공된다.

기존 보안 모델의 한계

기존 보안 웹 게이트웨이(SWG)는 트래픽이 조건에 일치하면 허용, 차단, 격리, 로깅과 같은 고정된 터미널 액션을 수행하는 방식으로 작동한다. 이 모델은 일반적인 경우에 효과적이지만, 복잡한 환경을 가진 고객들은 최대 사용자 정의 및 유연성 확보에 한계를 경험한다.

예를 들어, 내부 애플리케이션 접근 제어를 위해 JSON 웹 토큰(JWT) 클레임 기반으로 HTTP 헤더를 삽입하거나, 새로운 SaaS 서비스 가입 시 실시간 알림을 받거나, 민감한 목적지 접근 전 사용자에게 정당화를 요구하는 경고 페이지를 제공하는 등의 요구사항은 기존 방식으로는 구현하기 어렵다.

이러한 요구사항을 해결하기 위해 기업들은 별도의 NGINX 프록시 풀이나 복잡한 로깅 파이프라인과 같은 추가 인프라를 구축하고 유지보수해야 했다. 클라우드플레어는 분산된 고객 컴퓨팅 플랫폼인 워커스(Workers)와 완전한 기능을 갖춘 보안 웹 게이트웨이 및 방화벽을 동일한 글로벌 분산 네트워크에서 운영하는 독점적인 위치를 활용하여 이 문제를 해결한다.

게이트웨이와 워커는 동일한 인프라 위에 구축되어, 워커로의 디스패치는 네트워크 경계를 넘지 않는 로컬 함수 호출로 이루어져 추가 지연이 발생하지 않는다. 이는 고객이 프록시된 트래픽을 처리하는 방식에 대해 인프라 유지보수 없이 완전한 제어를 가능하게 한다.

포워드 액션과 커스텀 함수

**포워드 액션:** HTTP 정책에 의해 허용된 트래픽에 대해 작동하며, 일치하는 HTTP 요청을 프록시 역할을 하는 워커로 라우팅한다. 워커는 전체 헤더와 요청 본문을 수신하여 수정하거나, 요청을 원본 서버로 전달하고, 응답을 수신하여 다시 수정 후 사용자에게 최종 응답을 반환할 수 있다. 게이트웨이는 TCP 연결, TLS 종료 및 재암호화, 인증서 관리, HTTP 버전 협상을 처리하며, 워커는 변환 로직만 담당한다.

요청 변환 외에도 Slack 메시지 전송, R2 저장, 외부 파이프라인 로깅, 웹훅 호출, KV 스토어 업데이트 등 비동기 작업을 수행할 수 있다. 이는 기존 HTTP 프록시 호스팅의 운영 비용 없이 사용자 정의 가능한 확장 지점을 제공한다.

**커스텀 함수:** 게이트웨이 정책 평가 과정에서 워커를 인라인으로 호출하고 값을 반환한다. 워커는 소스 IP, 목적지, 사용자 ID, 장치 상태, HTTP 헤더 등 요청에 대한 컨텍스트를 수신하며, 문자열, 숫자 또는 불리언(boolean)과 같은 유형화된 값을 반환한다. 이 함수는 게이트웨이 정책 빌더에서 선택자로 노출되어, 소스 IP나 콘텐츠 카테고리와 같은 내장 선택자와 동일하게 네트워크 또는 HTTP 게이트웨이 규칙의 조건으로 사용될 수 있다.

커스텀 함수는 HTTP 트래픽뿐만 아니라 레이어 4(Layer 4) 포트 및 프로토콜 트래픽에도 적용 가능하다. 워커 자체는 외부 API 호출, KV 또는 D1 읽기, 워커스 AI(Workers AI) 호출 등 기존 워커가 수행할 수 있는 모든 작업을 할 수 있지만, 게이트웨이 관점에서는 '데이터 입력, 값 출력'의 결정론적 함수로 작동한다.

DLP를 위한 커스텀 검증 함수

클라우드플레어의 DLP 서비스도 컴퓨트 플랫폼과의 통합을 통해 사용자 정의 결과를 지원한다. 기존 DLP 제품은 알려진 패턴(정규식, 단어 목록)에 일치하는 데이터를 탐지하지만, 특정 데이터 인스턴스가 실제 데이터 유출 또는 오용을 나타내는지 판단하는 데 한계가 있다.

DLP 커스텀 검증 함수는 고객이 자체 진실의 원천(source of truth)을 사용하여 워커 내에서 직접 검증 로직을 정의하고, 이를 DLP가 적용되는 모든 곳에 적용할 수 있게 한다. 이는 정책 적용 결정 이전에 아웃바운드 워커를 디스패치하여 검증 로직을 실행한다.

예를 들어, GitHub 비밀(secret) 사용을 탐지하는 DLP 프로필이 일치했을 때, 워커를 통해 해당 키의 상태를 조회하고 활성 상태인지 확인한 후 DLP 정책 적용 여부를 결정할 수 있다. 이 기능은 민감 데이터 보호의 정확도를 크게 향상시킨다.

개발자 및 사용자 영향

개발자는 NGINX 프록시 풀과 같은 추가 인프라 유지보수 없이 동적 HTTP 헤더 삽입을 구현할 수 있다. 또한, 민감한 목적지에 대한 접근 시 사용자에게 정당화를 요구하는 경고 페이지를 제공하고, 사용자 ID와 정당화 내용을 D1 또는 내부 데이터베이스에 기록하여 감사 추적을 생성할 수 있다.

파일 다운로드 시 특정 기준에 일치하면 파일을 서드파티 샌드박싱 서비스로 보내 분석하거나, R2에 영구 기록으로 저장하여 클라우드플레어 네트워크 내에서 파일 검사를 수행할 수 있다. DLP 프로필이 일치할 때 사용자 이메일, 트리거된 규칙, 목적지 URL을 포함한 메시지를 Slack 또는 PagerDuty로 실시간 전송하는 알림 시스템을 구축하는 것도 가능하다.

내부 위험 점수 시스템이나 복잡한 사용자, 그룹, 조건부 멤버십 맵과 같은 복잡한 평가 로직을 커스텀 함수를 통해 게이트웨이로 단일 값을 반환하도록 구현할 수 있다. 성능 측면에서 게이트웨이와 워커 서비스가 동일한 클라우드플레어 네트워크 내에서 실행되므로, 워커로의 디스패치는 네트워크 홉을 발생시키지 않아 워커 코드 실행 시간만큼의 성능 영향만 발생한다.

커스텀 함수 실패 시(예외 발생, 시간 초과, 예상치 못한 값 반환) 함수별로 대체 동작을 구성할 수 있으며, 기본값(Default values)이 필수로 요구되어 동작 예측이 용이하다.

적용 조건 및 향후 계획

'포워드' 액션은 현재 공개 베타로 제공되며, '커스텀 함수'는 연말 이전에 출시될 예정이다. 워커로 디스패치되는 트래픽은 표준 워커 요청으로 과금되며, 워커스 프리(Workers Free), 워커스 페이드(Workers Paid), 워커스 포 엔터프라이즈(Workers for Enterprise) 요금제에서 기능 제한 없이 작동한다.

워커스 프리 요금제는 실행 시간 및 일일 요청 제한이 있으므로, 게이트웨이 트래픽 볼륨이 증가할 경우 이를 고려해야 한다. 커스텀 함수는 빠르고, 제한적이며, 상태 비저장(stateless) 데이터 평가에 적합하며, 게이트웨이 선택자에서 이미 평가 가능한 데이터와 유사하게 사용된다.

'포워드' 액션은 사용자 라이브 요청에 대한 강력한 인라인 변환에 사용될 수 있으나, 최종 사용자 경험에 부정적인 영향을 미치지 않도록 신중하게 설계해야 한다. 클라우드플레어는 향후 이메일 보안(Email Security)을 포함한 클라우드플레어 원(Cloudflare One) 스위트 전체에서 사용자 정의 기능을 디스패치할 수 있는 진입점을 확대할 계획이다.