Cloudflare

196 개의 포스트

blog.cloudflare.com

태그로 필터

cloudflare원문

추상 구문 트리(AST)를 사용하여 워크플로 코드를 시각적 다이어그램으로 변환하는 방법 (새 탭에서 열림)

Cloudflare Workflows는 코드로 작성된 복잡한 실행 로직을 추상 구문 트리(AST) 분석을 통해 시각적인 다이어그램으로 변환하여 제공합니다. 기존의 선언적 방식(JSON, YAML)과 달리 자유로운 코드 작성이 가능한 동적 실행 모델을 채택하고 있어, 정적 분석을 통해 비동기 관계와 실행 흐름을 파악하는 것이 핵심입니다. 이를 통해 개발자는 병렬 처리, 루프, 조건문이 포함된 복잡한 워크플로우의 구조를 대시보드에서 한눈에 파악하고 검증할 수 있습니다. ### 동적 실행 모델과 시각화의 도전 과제 * Cloudflare Workflows는 순차적인 정적 실행이 아닌, 런타임이 코드를 읽으며 단계를 만날 때마다 엔진에 실행을 넘기는 동적 모델을 따릅니다. * `await`를 사용하지 않은 단계(step)들은 기본적으로 병렬로 실행되며, 엔진은 실행 시점에 전체 경로를 미리 알 수 없기 때문에 시각화를 위한 별도의 분석이 필요합니다. * 개발자가 작성한 유연한 제어 흐름(Promise.all, 루프, 중첩 함수 등)을 정확한 그래프 형태로 표현하기 위해 정적 분석 기술이 도입되었습니다. ### AST를 활용한 코드 파싱 및 그래프 생성 * 워크플로우 배포 시점에 스크립트를 캡처하여 추상 구문 트리(AST)로 파싱하고, 전체 구조를 분석하는 과정을 거칩니다. * 코드 내에서 `Promise`와 `await` 사이의 관계를 추적하여, 어떤 작업이 블로킹(Blocking)되는지 또는 병렬로 연결되는지를 식별합니다. * 내부 서비스를 통해 `WorkflowEntrypoints`와 각 단계(step) 호출을 연결하는 중간 그래프를 생성한 뒤, 이를 기반으로 최종 다이어그램을 렌더링합니다. ### 번들링 및 압축된 코드의 처리 * 배포되는 코드는 보통 esbuild와 같은 번들러에 의해 압축(Minify) 및 변형되어 가독성이 매우 낮은 상태가 됩니다. * 난독화된 JavaScript 코드 내에서도 `step.do`와 같은 핵심 호출 패턴을 정확히 찾아내어 워크플로우의 논리적 단계를 복구합니다. * 번들러마다 다른 압축 방식에도 대응할 수 있도록 AST 기반의 탐색 로직을 최적화하여, 복잡한 비동기 에이전트 로직도 정확하게 시각화합니다. 개발자는 이제 AI 에이전트나 복잡한 데이터 파이프라인을 코드로 작성한 후, 대시보드에서 자동으로 생성된 다이어그램을 통해 로직의 의도대로 흐름이 구성되었는지 즉시 확인할 수 있습니다. 시각화된 그래프는 코드 가독성을 보완하며, 특히 비동기 병렬 작업이 많은 워크플로우의 디버깅과 관리에 유용합니다.

cloudflare원문

연간 600시간을 절약한 쿠버네티스 한 줄 수정 (새 탭에서 열림)

쿠버네티스 환경에서 테라폼(Terraform) 운영 도구인 아틀란티스(Atlantis)의 재시작 시간을 30분에서 수 초 내외로 단축하여, 연간 600시간의 엔지니어링 대기 시간을 줄인 사례를 소개합니다. 문제의 원인은 수백만 개의 파일을 포함한 퍼시스턴트 볼륨(PV)을 마운트할 때 쿠버네티스가 기본적으로 수행하는 파일 권한 변경 작업이었습니다. 이를 해결하기 위해 `securityContext`에 단 한 줄의 설정을 추가함으로써 불필요한 재귀적 권한 검사를 방지하고 시스템 효율성을 극대화했습니다. ### 원인 불명의 느린 재시작 문제 아틀란티스는 테라폼 프로젝트의 상태를 유지하기 위해 퍼시스턴트 볼륨(PV)을 사용하는 싱글톤 스테이트풀셋(StatefulSet)으로 운영됩니다. 자격 증명 갱신이나 프로젝트 온보딩 시 재시작이 필수적인데, 이때마다 다음과 같은 심각한 지연이 발생했습니다. * **지속적인 지연:** 매 재시작 시 30분 동안 포드가 `Init:0/1` 상태에 머물며 인프라 변경 작업이 완전히 중단됨. * **운영 부담:** 매달 약 100회의 재시작이 발생하여 월 50시간, 연간 600시간의 엔지니어링 시간이 낭비되고 온콜 엔지니어에게 불필요한 알람이 전송됨. * **한계 도달:** 파일 시스템의 아이노드(Inode) 고갈로 볼륨 크기를 키워야 하는 상황에서, 재시작 지연 문제는 더욱 두드러짐. ### Kubelet 로그를 통한 기술적 병목 파악 일반적인 `kubectl events`로는 포드가 이미지를 풀링하기 전 단계에서 왜 멈춰 있는지 알 수 없었습니다. 팀은 노드 레벨의 `kubelet` 로그를 분석하여 구체적인 원인을 찾아냈습니다. * **로그 추적:** 로그상에서 볼륨 마운트 성공 메시지 이후 `context deadline exceeded` 오류가 반복적으로 발생하며 포드 생성이 지연됨을 확인. * **fsGroup 권한 설정:** 쿠버네티스는 볼륨을 마운트할 때 포드의 `fsGroup` 설정과 일치시키기 위해 볼륨 내의 모든 파일과 디렉토리에 대해 재귀적으로 `chown` 및 `chmod`를 실행함. * **파일 개수의 영향:** 아틀란티스 볼륨에 쌓인 수백만 개의 파일에 대해 매번 이 작업을 수행하면서 30분이라는 막대한 시간이 소요됨. ### 단 한 줄의 설정 변경으로 문제 해결 쿠버네티스 1.20 버전(GA 기준)부터 도입된 `fsGroupChangePolicy` 설정을 통해 이 문제를 간단히 해결할 수 있었습니다. * **기본값(Always):** 포드가 시작될 때마다 항상 모든 파일의 권한을 재귀적으로 변경함. * **해결책(OnRootMismatch):** 볼륨 루트 디렉토리의 권한이 `fsGroup`과 일치하지 않을 때만 재귀적 변경을 수행함. 이미 권한이 올바르게 설정되어 있다면 이 과정을 건너뜀. * **적용 코드:** ```yaml securityContext: fsGroup: 1000 fsGroupChangePolicy: "OnRootMismatch" ``` ### 실용적인 권장 사항 수백만 개의 작은 파일이 포함된 대규모 볼륨을 사용하는 애플리케이션(예: Prometheus, Atlantis, Jenkins 등)을 쿠버네티스에서 운영 중이라면, `fsGroupChangePolicy: "OnRootMismatch"` 설정을 기본적으로 적용하는 것이 좋습니다. 이를 통해 볼륨 마운트 시 발생하는 불필요한 디스크 I/O를 제거하고, 포드 시작 시간을 획기적으로 개선하여 인프라 운영의 가용성을 높일 수 있습니다.

cloudflare원문

AI 에이전트 샌드박싱, 100배 더 빠르게 (새 탭에서 열림)

Cloudflare는 AI 에이전트가 생성한 코드를 안전하고 신속하게 실행할 수 있는 'Dynamic Worker Loader' API를 공개했습니다. 이 기술은 기존 컨테이너 방식보다 100배 빠른 실행 속도와 뛰어난 메모리 효율성을 제공하여, 수백만 명의 사용자를 대상으로 하는 대규모 AI 에이전트 서비스의 보안 및 성능 문제를 해결합니다. 개발자는 이를 통해 AI가 작성한 코드를 독립된 V8 Isolate 환경에서 즉시 실행하고, TypeScript 인터페이스를 통해 효율적으로 도구(Tool)를 연동할 수 있습니다. ### 기존 컨테이너 기반 샌드박스의 한계 * AI가 생성한 코드를 직접 실행(eval)하는 것은 보안상 매우 위험하므로 격리된 샌드박스 환경이 필수적입니다. * 기존의 리눅스 기반 컨테이너 샌드박스는 부팅에 수백 밀리초(ms)가 소요되고 수백 메가바이트(MB)의 메모리를 점유하여 비용이 많이 듭니다. * 지연 시간을 줄이기 위해 컨테이너를 미리 띄워두는 방식은 자원 낭비가 심하며, 컨테이너를 재사용할 경우 보안성이 취약해지는 딜레마가 있습니다. ### V8 Isolate 기반의 'Dynamic Worker Loader' * Cloudflare는 구글 크롬에서 사용하는 V8 엔진의 격리 기술인 'Isolate'를 활용해 런타임에 워커를 즉시 생성하는 API를 제공합니다. * Isolate 기술은 실행에 단 몇 밀리초만 소요되며 수 메가바이트의 메모리만 사용하므로, 컨테이너 대비 속도는 100배 빠르고 메모리 효율은 10~100배 더 뛰어납니다. * 모든 유료 워커 사용자는 이 API를 통해 요청마다 독립된 샌드박스를 생성하고, 실행이 끝나면 즉시 폐기하는 방식을 비용 효율적으로 구현할 수 있습니다. ### 무한한 확장성과 제로 레이턴시 * 동적 워커 로더는 전역 동시 실행 수나 생성 속도에 제한이 없어, 초당 수백만 건의 요청이 발생하는 대규모 트래픽도 안정적으로 처리할 수 있습니다. * 샌드박스가 코드를 호출한 워커와 동일한 머신 혹은 동일한 스레드 내에서 실행되므로, 전 세계 어느 지역에서든 네트워크 지연 없이 즉각적인 코드 실행이 가능합니다. * 특정 API에 대한 접근 권한을 부여하거나 외부 인터넷 접속을 차단하는 등 세밀한 보안 제어가 가능합니다. ### AI 친화적인 TypeScript 도구 정의 * AI 에이전트는 이미 자바스크립트와 타입스크립트에 능숙하며, 이러한 언어들은 태생적으로 웹 샌드박스 환경에 최적화되어 있습니다. * 장황한 OpenAPI 명세 대신 간결한 TypeScript 인터페이스를 사용하여 에이전트에게 API 도구를 설명함으로써 토큰 사용량을 80% 이상 절감할 수 있습니다. * `env.LOADER.load()` 함수를 통해 생성된 워커에 RPC(Remote Procedure Call) 스텁을 전달하여 에이전트가 안전하게 외부 기능을 호출하도록 설계되었습니다. 대규모 AI 에이전트 서비스를 구축하려는 개발자에게 Cloudflare의 Dynamic Worker Loader는 최적의 선택지입니다. 기존의 무거운 컨테이너 방식에서 벗어나 V8 Isolate 기반의 가벼운 샌드박스를 채택하고, 도구 정의를 TypeScript로 전환함으로써 성능 최적화와 비용 절감을 동시에 달성할 수 있습니다.

cloudflare원문

Cloudflare의 13세대 서버 출시 - 캐시를 코어로 바꿔 엣지 컴퓨팅 성능 2배 향상 (새 탭에서 열림)

Cloudflare는 차세대 에지 컴퓨팅 성능을 2배로 끌어올리기 위해 AMD EPYC 5세대 'Turin' 프로세서를 기반으로 한 13세대(Gen 13) 서버를 도입했습니다. 기존 12세대 서버가 거대한 L3 캐시(3D V-Cache)에 의존했던 것과 달리, 13세대는 캐시 용량을 줄이는 대신 코어 수를 대폭 늘려 처리량을 극대화하는 전략을 선택했습니다. 이러한 하드웨어 변화는 Rust 기반의 새로운 요청 처리 계층인 'FL2'로의 전환이 있었기에 가능했으며, 이를 통해 캐시 의존성을 탈피하고 늘어난 코어 성능을 온전히 활용할 수 있게 되었습니다. ### AMD Turin 아키텍처의 혁신과 캐시 트레이드오프 AMD EPYC 5세대 Turin 프로세서는 단순한 코어 수 증설 이상의 아키텍처적 개선을 제공합니다. * **코어 밀도 및 효율성:** 12세대의 96코어에서 2배 늘어난 최대 192코어(384스레드)를 지원하며, Zen 5 아키텍처 적용으로 IPC(사이클당 명령어 처리 수)가 향상되었습니다. 코어당 전력 소모량은 오히려 32% 감소하여 전력 효율성이 개선되었습니다. * **메모리 대역폭 확장:** DDR5-6400 메모리를 지원하여 늘어난 코어들이 데이터를 신속하게 주고받을 수 있는 환경을 구축했습니다. * **캐시 감소의 한계:** 하지만 고밀도 설계를 위해 코어당 L3 캐시 용량은 12세대의 12MB에서 2MB로 크게 줄었습니다. 이는 캐시 로컬리티에 의존적인 기존 워크로드에 심각한 성능 병목을 일으킬 수 있는 구조적 변화입니다. ### 기존 FL1 스택에서의 성능 병목 분석 Cloudflare의 기존 NGINX 및 LuaJIT 기반 요청 처리 계층인 FL1은 줄어든 캐시 환경에서 심각한 지연 시간 문제를 노출했습니다. * **지연 시간 급증:** AMD uProf 도구 분석 결과, L3 캐시 미스 시 데이터 접근 시간이 50사이클에서 350사이클(DRAM 접근 시)로 7배 이상 증가하는 것을 확인했습니다. * **처리량과 지연 시간의 상충:** Turin 9965 프로세서에서 FL1을 실행했을 때 처리량(Throughput)은 62% 증가했지만, 높은 CPU 사용률 구간에서 지연 시간(Latency)이 50% 이상 늘어나는 결과가 나타나 실제 서비스 적용에 부적합 판정을 받았습니다. ### 하드웨어 튜닝 및 PQOS를 통한 최적화 실험 하드웨어의 한계를 극복하고 최적의 성능 지점을 찾기 위해 AMD와 협업하여 다양한 최적화 기술을 적용했습니다. * **하드웨어 튜닝:** 프리페처(Prefetcher) 및 데이터 패브릭(DF) 프로브 필터 조정 등을 시도했으나 성능 향상 폭은 미미했습니다. * **AMD PQOS 적용:** L3 캐시와 메모리 대역폭을 미세 조정할 수 있는 PQOS(Platform Quality of Service) 기술을 사용했습니다. * **NUMA 인지 구성:** 특정 CCD(Core Complex Die)를 FL 전용으로 할당하는 NUMA 인지형 코어 어피니티 설정을 통해, 지연 시간을 허용 범위 내로 유지하면서도 약 15%의 추가 처리량 이득을 확보하는 데 성공했습니다. ### Rust 기반 FL2 스택을 통한 성능 해방 결국 하드웨어의 잠재력을 100% 끌어올린 핵심 동력은 소프트웨어 재작성이었습니다. * **캐시 의존성 탈피:** Rust로 작성된 FL2는 효율적인 메모리 관리와 현대적인 설계를 통해 캐시 크기에 민감하게 반응하던 FL1의 한계를 극복했습니다. * **선형적 성능 확장:** FL2 도입을 통해 Turin 프로세서의 192코어 성능을 지연 시간 하락 없이 온전히 사용할 수 있게 되었으며, 이는 Cloudflare 에지 네트워크의 총 소유 비용(TCO) 최적화로 이어졌습니다. 인프라의 세대 교체 시 하드웨어 사양(코어 수, 캐시 용량 등)의 변화가 기존 소프트웨어 스택의 설계 원칙과 충돌할 수 있습니다. Cloudflare의 사례처럼 하드웨어 성능 최적화가 한계에 다다랐을 때는, Rust와 같은 현대적인 언어로 소프트웨어 아키텍처를 재설계함으로써 하드웨어의 물리적 변화를 성능 도약의 기회로 전환하는 전략이 필요합니다.

cloudflare원문

Gen 13 내부: 역대 가장 강력한 서버를 구축한 방법 (새 탭에서 열림)

Cloudflare는 Rust 기반의 새로운 요청 처리 계층인 FL2로의 전환에 맞춰, 하드웨어 성능과 효율성을 극대화한 'Gen 13' 서버를 설계했습니다. Gen 13은 192코어의 AMD EPYC Turin 프로세서와 향상된 메모리/네트워크 대역폭을 통해 이전 세대 대비 최대 2배의 처리량을 제공하면서도 전력 효율은 50% 개선했습니다. 결과적으로 하드웨어와 소프트웨어의 최적화된 결합을 통해 글로벌 네트워크 전반의 운영 비용을 절감하고 서비스 확장성을 확보하게 되었습니다. **소프트웨어 변화에 최적화된 CPU 선택** * **FL2와 L3 캐시 의존도 감소:** 이전 세대(Gen 12)는 대용량 L3 캐시가 특징인 Genoa-X를 사용했으나, Rust로 재작성된 FL2 스택은 L3 캐시 의존도가 낮아진 대신 코어 수에 따라 성능이 선형적으로 확장되는 특성을 보입니다. * **AMD EPYC 9965(Turin) 채택:** 코어당 캐시 용량은 줄었으나, 코어 수를 192개(Gen 12 대비 2배)로 늘려 총 처리량(Requests per second)을 극대화했습니다. * **전력 및 운영 효율성:** 500W TDP 설정에서 최적의 와트당 성능을 구현하며, 서버 한 대당 처리 능력을 높여 관리해야 할 노드 수를 줄임으로써 운영 복잡성을 낮췄습니다. * **미래 지향적 설계:** DDR5-6400, PCIe 5.0, CXL 2.0을 지원하며 AMD의 최신 아키텍처를 통해 더 긴 보안 지원 주기와 시스템 수명을 보장받습니다. **메모리 대역폭 및 용량의 극대화** * **12채널 구성:** AMD Turin 프로세서의 성능을 뒷받침하기 위해 12개의 메모리 채널을 모두 사용하는 '1 DIMM per channel(1DPC)' 구성을 채택했습니다. * **대역폭 33% 향상:** DDR5-6400 ECC RDIMM을 사용하여 초당 614GB의 최대 메모리 대역폭을 확보했으며, 이는 메모리 집약적인 병렬 작업 시 병목 현상을 방지합니다. * **용량 최적화:** 코어 수가 늘어남에 따라 전체 메모리 용량을 768GB로 증설하여, Cloudflare가 최적으로 판단하는 '코어당 4GB'의 메모리 비율을 유지했습니다. * **메모리 인터리빙:** 동일한 용량과 규격의 메모리를 12개 채널에 균등하게 배치하여 데이터 액세스 속도를 높이는 인터리빙 기술을 적용했습니다. **네트워크 및 스토리지 가속화** * **4배 더 빠른 네트워크:** 기존 25GbE에서 듀얼 100GbE NIC(네트워크 인터페이스 카드)로 전환하여 폭발적인 데이터 유입에도 지연 시간(SLA) 내에 처리가 가능하도록 설계했습니다. * **PCIe 5.0 기반 스토리지:** 24TB의 PCIe 5.0 NVMe 스토리지를 탑재하여 데이터 입출력 속도를 개선하고 용량을 1.5배 늘렸습니다. * **보안 강화:** 메모리 암호화뿐만 아니라 PCIe 암호화 하드웨어 지원을 추가하여 데이터 이동 시 보안성을 강화했습니다. Gen 13 서버는 단순한 사양 업그레이드를 넘어, 소프트웨어 아키텍처(Rust FL2)의 변화가 하드웨어 설계의 방향을 어떻게 바꿀 수 있는지 보여주는 사례입니다. 고밀도 컴퓨팅이 필요한 환경이라면 대용량 캐시에 의존하기보다, 최신 아키텍처 기반의 다코어 CPU와 이를 뒷받침할 수 있는 충분한 메모리 대역폭 및 네트워크 속도를 확보하는 것이 성능과 비용 효율성 측면에서 유리할 것입니다.

cloudflare원문

에이전트에 힘을 더하다: Workers AI, 이제 Kimi K2.5를 시작으로 대규모 모델 실행 지원 (새 탭에서 열림)

Cloudflare는 자사의 AI 추론 플랫폼인 Workers AI에서 Moonshot AI의 **Kimi K2.5**를 시작으로 대규모 프런티어 모델 지원을 공식화했습니다. 이를 통해 개발자는 Durable Objects, Workflows 등 기존의 강력한 인프라와 고성능 LLM을 결합하여 에이전트의 전체 라이프사이클을 단일 플랫폼에서 관리할 수 있게 되었습니다. 특히 대형 모델의 추론 비용을 획기적으로 낮추고 성능을 최적화함으로써, 복잡한 추론 기능이 필요한 지능형 에이전트 구축의 진입 장벽을 제거했다는 점이 핵심입니다. ### Kimi K2.5 도입과 경제적 효용성 * **성능 사양:** 256k의 방대한 컨텍스트 윈도우를 지원하며, 멀티턴 도구 호출(Tool Calling), 비전 입력, 구조화된 출력 기능에 특화되어 복잡한 에이전트 작업에 적합합니다. * **비용 절감:** Cloudflare 내부의 보안 리뷰 에이전트에 적용한 결과, 기존 유료 독점 모델 대비 성능 저하 없이 비용을 약 77% 절감하는 효과를 거두었습니다. * **확장성:** 개인용 에이전트나 코딩 에이전트의 사용량이 급증하는 추세에서, 독점 모델의 높은 비용 문제를 해결하고 엔터프라이즈급 추론 능력을 경제적으로 제공합니다. ### 대규모 모델 추론 스택의 기술적 최적화 * **커스텀 커널 및 엔진:** 자체 추론 엔진인 'Infire'를 기반으로 Kimi K2.5에 최적화된 커스텀 커널을 적용하여 GPU 활용도와 처리 속도를 극대화했습니다. * **병렬화 및 분산 처리:** 데이터, 텐서, 전문가(Expert) 병렬화 기술뿐만 아니라, 프리필(Prefill)과 생성(Generation) 단계를 분리하는 '분산 프리필' 전략을 통해 높은 처리량을 확보했습니다. * **서버리스 편의성:** ML 엔지니어나 DevOps 전문가 없이도 API 호출만으로 이러한 고차원적인 최적화 기술이 적용된 대형 모델을 즉시 사용할 수 있습니다. ### 에이전트 워크로드를 위한 플랫폼 개선 * **프리픽스 캐싱(Prefix Caching):** 대화 맥락이나 시스템 프롬프트 등 중복되는 입력 텐서를 캐싱하여 프리필 단계의 계산을 생략함으로써, 첫 토큰 생성 시간(TTFT)을 단축하고 처리량을 높였습니다. * **세션 어피니티(Session Affinity) 헤더:** `x-session-affinity` 헤더를 도입하여 요청을 동일한 모델 인스턴스로 라우팅함으로써 캐시 히트율을 높이고 추론 비용을 추가로 절감할 수 있도록 지원합니다. * **캐시 토큰 할인:** 캐싱된 토큰 사용량을 명확히 시각화하여 제공하며, 일반 입력 토큰보다 저렴한 가격 정책을 적용하여 대규모 컨텍스트를 사용하는 에이전트의 비용 부담을 줄였습니다. 고성능 추론 능력이 필요한 복잡한 AI 에이전트를 구축하고자 한다면, Cloudflare Workers AI 플랫폼에서 Kimi K2.5와 세션 어피니티 기능을 활용해 보시기 바랍니다. 인프라 구축의 복잡성을 Cloudflare에 맡김으로써 개발자는 에이전트의 논리와 비즈니스 가치 창출에만 집중할 수 있습니다.

cloudflare원문

정밀한 데이터 제어를 위한 커스텀 리전 소개 (새 탭에서 열림)

Cloudflare는 전 세계적인 보안망을 유지하면서도 각국의 데이터 주권 및 규제 요구사항을 충족할 수 있도록 돕는 '지역 서비스(Regional Services)'를 대폭 강화했습니다. 이번 업데이트를 통해 터키, UAE 등을 포함한 35개 이상의 관리형 지역을 제공할 뿐만 아니라, 고객이 직접 데이터 처리 경계를 정의할 수 있는 '사용자 정의 지역(Custom Regions)' 기능을 새롭게 도입했습니다. 이를 통해 기업은 글로벌 수준의 DDoS 방어 성능을 누리면서도, 특정 지리적 경계 내에서만 데이터 복호화와 서비스 처리가 이루어지도록 정교하게 제어할 수 있습니다. **지역 서비스의 독특한 보안 아키텍처** * **글로벌 수집 및 L3/L4 DDoS 방어**: 트래픽은 전 세계에서 가장 가까운 Cloudflare 데이터 센터로 유입되며, 이 시점에서 대규모 볼륨 공격을 차단하여 클린 트래픽만 내부로 전달합니다. * **지능형 지역 내 라우팅**: 데이터가 복호화되기 전 메타데이터를 검사하여, 지정된 지역 외부의 데이터 센터에 도착한 경우 Cloudflare의 전용 프라이빗 백본을 통해 해당 지역 내의 데이터 센터로 신속하게 전달합니다. * **지역 내 TLS 종단 및 L7 처리**: 지정된 지역 내의 데이터 센터에 도착한 후에만 TLS 복호화가 수행되며, WAF(웹 방화벽), 봇 관리, Cloudflare Workers 등의 애플리케이션 계층 서비스가 실행됩니다. * **안전한 원격지 전송**: 처리가 완료된 요청은 다시 암호화되어 고객의 원본(Origin) 서버로 안전하게 전송됩니다. **사용자 정의 지역(Custom Regions)을 통한 정교한 제어** * **유연한 경계 설정**: 사전 정의된 목록에서 선택하는 대신, 특정 국가 코드(`country_code`)를 조합하거나 특정 국가를 제외하는 논리식을 사용하여 고유한 처리 지역을 구축할 수 있습니다. * **AI 및 데이터 현지화**: LLM 프롬프트와 응답 데이터를 특정 국가 그룹 내에 유지하여 성능을 최적화하고 법적 의무를 준수할 수 있습니다. * **기업 및 정부 요구사항 대응**: EMEA(유럽·중동·아프리카)나 APAC(아시아 태평양)과 같은 기업 내부 조직 구조에 맞추거나, 정부 기관과의 계약에 명시된 지리적 제약 조건을 완벽하게 이행할 수 있습니다. * **하이퍼 타겟 마케팅**: 특정 국가 조합에 최적화된 콘텐츠 서비스 및 캠페인 운영이 가능해집니다. 데이터 주권법이 강화되는 현대 비즈니스 환경에서 Cloudflare의 사용자 정의 지역은 보안성 저하 없이 규제를 준수할 수 있는 실질적인 해법을 제시합니다. 특정 지역 내에서만 민감한 데이터를 처리해야 하는 금융, 의료, 정부 관련 기업은 이 기능을 통해 글로벌 인프라의 확장성과 지역적 통제권을 동시에 확보할 것을 권장합니다.

cloudflare원문

개방형 인터넷을 옹호하며: 이탈리아 ‘파이러시 실드’ 벌금 부과에 항소한 이유 (새 탭에서 열림)

클라우드플레어는 이탈리아의 저작권 보호 시스템인 '파이러시 실드(Piracy Shield)' 가입 거부로 부과된 1,400만 유로(약 210억 원)의 과징금에 대해 항소를 제기하며 법적 대응을 이어가고 있습니다. 이들은 해당 시스템이 사법적 감시 없이 민간 기업의 경제적 이익을 위해 인터넷 인프라를 무분별하게 차단함으로써 개방형 인터넷 구조를 위협한다고 주장합니다. 결과적으로 이번 소송은 특정 국가의 규제가 글로벌 인터넷의 투명성과 정당한 법적 절차를 훼손하지 않도록 막기 위한 원칙적인 투쟁임을 강조하고 있습니다. ### 파이러시 실드(Piracy Shield)의 정체와 구조적 결함 이탈리아 통신 규제 기관인 AGCOM이 도입한 이 시스템은 저작권 침해 방지를 명분으로 내세우고 있으나, 실질적으로는 사법적 보호 장치가 결여된 강력한 통제 도구로 작동하고 있습니다. * **사법적 감시 부재:** 판사나 정부 관리가 아닌, 익명의 민간 미디어 기업들이 직접 차단 대상을 결정하며 온라인 서비스 제공자에게 30분 이내 차단을 강제합니다. * **불투명한 '블랙박스' 운영:** 누가, 어떤 근거로 차단을 요청했는지 대중은 물론 서비스를 제공하는 기업조차 알 수 없는 구조로 운영됩니다. * **정당한 절차 및 구제 수단 결여:** 웹사이트 소유자가 차단 전 이의를 제기할 메커니즘이 없으며, 오차단이 발생하더라도 이를 바로잡을 실질적인 방법이 존재하지 않습니다. * **이해관계의 충돌:** 시스템 개발 및 기부 주체가 이탈리아 프로축구 리그(Serie A) 등 주요 수혜자들을 대리하는 법무법인의 계열사(SP Tech)라는 점이 드러났습니다. ### 무분별한 IP 차단으로 인한 실질적 피해 사례 파이러시 실드는 수천 개의 웹사이트가 공유하는 IP 주소를 통째로 차단하는 방식을 사용하여, 저작권과 무관한 수많은 합법적 사이트들에 심각한 피해를 입혔습니다. * **공공 및 교육 인프라 마비:** 우크라이나 정부의 학교 교육 사이트와 과학 연구 웹사이트 등 수만 개의 정상적인 사이트가 이탈리아 내에서 접속 불능 상태가 되었습니다. * **필수 서비스 중단:** 구글 드라이브(Google Drive)가 12시간 이상 차단되어 이탈리아 내 수많은 학생과 전문가들이 업무 및 학업에 큰 지장을 겪었습니다. * **소상공인 및 NGO 피해:** 여성 및 아동 복지 프로그램을 운영하는 유럽 내 여러 비정부 기구와 소규모 비즈니스 웹사이트들이 예기치 않게 차단되었습니다. * **지속적인 과잉 차단:** 네덜란드 트벤테 대학교의 연구에 따르면, 한 번 차단된 합법적 사이트들이 수개월 동안 복구되지 않고 방치되는 사례가 빈번하게 확인되었습니다. ### 법적 대응 근거와 클라우드플레어의 입장 클라우드플레어는 파이러시 실드가 유럽 연합(EU)의 상위 법령과 충돌하며, 인터넷의 기본 원칙을 저해한다는 점을 명확히 하고 있습니다. * **EU 디지털 서비스법(DSA) 위반:** 콘텐츠 제한은 반드시 비례적이어야 하며 엄격한 절차적 보호를 받아야 한다는 DSA의 원칙에 위배된다는 것이 핵심 주장입니다. * **집행위원회 및 사법부의 반응:** 유럽 집행위원회는 해당 시스템의 감시 부족에 우려를 표명했으며, 이탈리아 행정법원은 AGCOM에 차단 명령의 근거 기록을 클라우드플레어 측에 공개하라고 판결했습니다. * **보복성 과징금 산정의 부당성:** 법원의 기록 공개 명령이 내려진 지 일주일 만에 AGCOM은 산정 근거가 불분명한 1,400만 유로의 과징금을 부과했으며, 이는 법적 다툼이 끝나기 전에 내려진 무리한 조치로 평가받습니다. 인터넷은 전 세계가 공유하는 공공의 인프라인 만큼, 특정 권리자의 경제적 편의를 위해 적법한 절차 없이 통제되어서는 안 됩니다. 이번 사례는 저작권 보호라는 명분이 인터넷의 핵심 아키텍처와 투명성을 훼손하는 수단으로 악용될 때 발생하는 위험을 경고하고 있습니다. 향후 글로벌 서비스 제공자들은 각국 정부의 규제가 국제적인 법적 기준과 조화를 이루는지 면밀히 감시하고 공동으로 대응할 필요가 있습니다.

cloudflare원문

레거시 아키텍처에서 Cloudflare One으로의 전환 (새 탭에서 열림)

전통적인 VPN 중심의 레거시 아키텍처에서 제로 트러스트(Zero Trust) 및 SASE 아키텍처로 전환하는 과정은 '빅뱅' 방식의 일괄 마이그레이션이 수반하는 가동 중단 위험 때문에 많은 기업에 큰 부담이 됩니다. Cloudflare와 CDW는 이러한 위험을 줄이기 위해 모든 애플리케이션을 복잡도에 따라 계층화하고, 레거시 앱을 현대적인 보안 계층으로 감싸는 단계적 방법론을 제시합니다. 결과적으로 기업은 서비스 중단 없이 보안 부채를 해결하고, 신원 및 기기 상태 기반의 정교한 보안 태세를 구축할 수 있습니다. ### 단계별 방법론을 통한 마이그레이션 함정 회피 단순히 네트워크 연결 방식만 바꾸는 '리프트 앤 시프트(Lift and Shift)' 방식은 복잡한 애플리케이션 간의 상호 의존성을 간과하여 대규모 장애를 초래할 수 있습니다. * **리스크 기반 계층화:** 모든 애플리케이션을 기술적 복잡도에 따라 분류하고, 현대적인 앱부터 우선 이동하여 동력을 확보한 뒤 복잡한 레거시 시스템을 나중에 제어된 환경에서 전환합니다. * **실패 사례 분석:** 500개 이상의 앱을 한꺼번에 이전하려다 서비스 중단을 겪은 공공 부문 사례를 교훈 삼아, 마이그레이션을 단순 연결 교체가 아닌 '애플리케이션 현대화 프로젝트'로 취급합니다. * **보안 내재화:** 마이그레이션 전략 수립 단계부터 보안 요구사항을 기초 아키텍처에 포함하여, 사후에 보안을 덧붙이는 방식에서 벗어납니다. ### Cloudflare Access와 Tunnel을 활용한 레거시 현대화 레거시 애플리케이션의 코드를 수정하지 않고도 Cloudflare Access를 통해 제로 트러스트 모델을 적용하여 보안 수준을 높일 수 있습니다. * **VPN 경계 대체:** 특정 네트워크 세그먼트 전체에 권한을 주는 VPN 대신, 신원과 기기 상태를 기반으로 모든 개별 요청을 평가하는 모델로 전환합니다. * **Cloudflare Tunnel 활용:** 외부 노출 없이 내부에서 외부로 나가는(Outbound-only) 연결을 생성하여, 레거시 앱에 공인 IP 주소를 부여하지 않고도 안전하게 외부에 노출할 수 있습니다. * **보안 래핑(Wrapping):** 자체 MFA(다요소 인증) 기능이 없는 구형 앱에 SSO 및 하드웨어 기반 MFA를 강제 적용하며, 데이터가 서버에 도달하기 전 엣지(Edge) 단에서 보안 정책을 검증합니다. ### 마이그레이션 전 아키텍처 감사 및 준비 사항 안정적인 전환을 위해 IT 리더는 파일럿 프로젝트 이전에 환경의 기술적 호환성을 철저히 점검해야 합니다. * **ID 제공업체 및 종속성 맵핑:** Okta와 같은 페더레이션 ID 제공업체 활용 여부를 확인하고, 백엔드 데이터베이스나 API 호출 관계를 문서화하여 서비스 단절을 방지합니다. * **전략과 실행 그룹의 분리(Firebreak):** 보안 표준을 설정하는 전략 그룹과 효율성을 중시하는 실행 그룹을 분리하여, 배포 속도 때문에 보안 요건이 무시되지 않도록 합니다. * **세션 지속성 테스트:** 셀룰러 타워 전환 시에도 세션이 유지되어야 하는 앱을 식별하고, Cloudflare의 PMTUD(Dynamic Path MTU Discovery) 기술을 통해 안정적인 연결을 보장합니다. ### 애플리케이션 유형별 마이그레이션 전략 전환에 소요되는 시간과 노력을 기준으로 애플리케이션을 세 가지 티어로 분류하여 현실적인 일정을 수립합니다. * **Tier 0 (SaaS):** 현대적인 인증 프로토콜을 지원하는 앱으로, 클라이언트리스 프록시를 통해 1~3시간 내외로 빠르게 전환 가능합니다. * **Tier 1 (내부 웹 앱):** 현대적 웹 프로토콜을 사용하는 내부 앱으로, Cloudflare Tunnel을 활용해 3~6시간 정도 소요됩니다. * **Tier 2 (비 웹 및 Thick-Client):** 특정 포트나 프로토콜 지원이 필요한 앱으로, Cloudflare One Client와 Tunnel을 병행 배포해야 하며 앱당 4~8시간이 소요됩니다. 성공적인 제로 트러스트 전환을 위해서는 속도보다 **'가시성'과 '단계적 접근'**이 중요합니다. 레거시 시스템을 한꺼번에 교체하려 하기보다, Cloudflare의 엣지 보안 계층으로 기존 앱을 보호하면서 점진적으로 현대화해 나가는 것이 운영 안정성을 확보하는 최선의 방법입니다.

cloudflare원문

Cloudflare Account Abuse Protection 발표: 봇과 인간의 사기 공격 방지 (새 탭에서 열림)

Cloudflare는 자동화된 봇뿐만 아니라 실제 사람이 개입된 정교한 계정 부정 사용을 방지하기 위한 '계정 남용 방지(Account Abuse Protection)' 기능을 새롭게 발표했습니다. 이 서비스는 단순히 접속자가 기계인지 판단하는 것을 넘어, 접속 시도의 진위성과 의도를 분석하여 계정 탈취(ATO) 및 허위 계정 생성을 차단하는 데 중점을 둡니다. 이를 통해 기업은 유출된 자격 증명 활용, 일회용 이메일을 통한 프로모션 남용 등 갈수록 산업화되는 부정 행위에 효과적으로 대응할 수 있습니다. **자격 증명 유출 및 계정 탈취 대응** * **유출된 자격 증명 검사:** Cloudflare 네트워크 전체 로그인 시도의 약 41%가 이미 유출된 정보를 사용하는 것으로 나타났으며, 이를 방지하기 위해 일반 텍스트 비밀번호를 저장하지 않고 암호화된 해시값을 비교하는 프라이버시 보호 방식의 검사 기능을 제공합니다. * **ATO(계정 탈취) 탐지:** 로그인 페이지에 유입되는 트래픽의 60% 이상이 자동화된 봇이라는 점에 착안하여, 고객사별 고유한 행동 패턴 분석을 통해 비정상적인 로그인 시도를 실시간으로 감지하고 차단합니다. * **계층적 방어 체계:** 매일 평균 69억 건의 의심스러운 로그인 시도를 포착하고 있으며, 봇 관리 솔루션과 연동하여 자동화된 공격에 대한 다각적인 방어막을 형성합니다. **인간의 의도와 신원 확인을 통한 보안 강화** * **진위성 검증의 필요성:** 공격자들이 '인간 농장(fraud farms)'을 운영하거나 합성 신원을 만들어 인간과 유사한 속도로 활동함에 따라, 단순히 봇 여부를 가리는 것보다 해당 사용자가 실제 신뢰할 수 있는 사용자인지 확인하는 기능이 중요해졌습니다. * **AI 및 에이전트 대응:** AI 에이전트와 에이전트 기능을 탑재한 브라우저의 확산으로 인해 자동화 도구와 인간의 의도가 결합된 하이브리드 형태의 공격이 증가하고 있으며, 이에 대응하기 위한 무결성 검사를 강화했습니다. **신규 보안 도구 및 프라이버시 보호 기술** * **일회용 이메일 및 위험도 체크:** 허위 계정 생성이나 프로모션 남용에 흔히 쓰이는 일회용(throwaway) 이메일 주소를 식별하고, 이메일 패턴과 인프라를 분석하여 위험도를 평가합니다. * **해시된 사용자 ID(Hashed User IDs):** 사용자 이름을 암호화된 해시값으로 변환하여 도메인별 식별자를 생성함으로써, 개인정보를 침해하지 않으면서도 특정 계정의 의심스러운 활동을 추적하고 가시성을 확보할 수 있게 합니다. Cloudflare의 계정 남용 방지 기능은 현재 조기 액세스(Early Access) 단계이며, 봇 관리 서비스를 이용 중인 엔터프라이즈 고객은 올해 말 'Cloudflare 사기 방지(Fraud Prevention)' 솔루션이 정식 출시되기 전까지 추가 비용 없이 해당 기능을 체험해 볼 수 있습니다. 현재 운영 중인 서비스의 안전을 위해 '유출된 자격 증명 검사' 기능을 즉시 활성화하고, 의심스러운 신규 가입 시도를 차단하기 위한 일회용 이메일 체크 규칙 설정을 권장합니다.

cloudflare원문

RFC 9457 준수 오류 응답으로 에이전트 토큰 비용 98% 절감하기 (새 탭에서 열림)

Cloudflare는 AI 에이전트가 에러 발생 시 불필요한 토큰을 낭비하지 않도록 RFC 9457 표준을 준수하는 마크다운(Markdown) 및 JSON 형식의 구조화된 에러 응답 기능을 도입했습니다. 기존의 무거운 HTML 페이지 대신 기계가 읽을 수 있는 지침을 제공함으로써 에러 응답의 페이로드 크기와 토큰 사용량을 98% 이상 절감했습니다. 이를 통해 AI 에이전트는 에러의 원인을 정확히 파악하고 재시도 여부나 대기 시간 등을 즉각적으로 판단하여 효율적인 워크플로우를 유지할 수 있게 되었습니다. ### 기존 HTML 에러 응답의 문제점 * 기존의 에러 페이지는 브라우저를 사용하는 사람을 위해 수백 줄의 HTML, CSS, 마크업으로 구성되어 있어 AI 에이전트에게는 불필요한 데이터가 너무 많았습니다. * 에이전트가 HTML을 파싱하더라도 단순히 "접근 거부"와 같은 상태만 알 수 있을 뿐, 재시도가 가능한지 또는 얼마나 기다려야 하는지에 대한 실행 가능한 지침을 얻기 어려웠습니다. * 에이전트 개발자들은 사이트별로 각기 다른 에러 페이지를 처리해야 하는 번거로움이 있었으며, 이는 높은 비용과 비효율성을 초래했습니다. ### RFC 9457 기반의 구조화된 응답 도입 * Cloudflare는 HTTP API의 에러 보고 표준인 RFC 9457(Problem Details for HTTP APIs)을 준수하는 응답을 제공합니다. * 에이전트가 요청 헤더에 `Accept: text/markdown`, `Accept: application/json`, 또는 `Accept: application/problem+json`을 포함하면 Cloudflare는 그에 맞는 구조화된 응답을 반환합니다. * 현재 DNS 오류, WAF 차단, 속도 제한(Rate limiting) 등을 포함하는 모든 '1xxx' 클래스 에러에 적용되었으며, 향후 Cloudflare가 생성하는 4xx 및 5xx 에러로 확대될 예정입니다. ### 에이전트를 위한 실행 가능한 지침 제공 * **마크다운 형식:** 기계가 읽을 수 있는 YAML 프론트매터(Frontmatter)와 사람이 읽을 수 있는 구체적인 지침(What happened, What you should do) 섹션으로 나뉩니다. * **핵심 데이터 필드:** 응답에는 `error_code`, `retryable`(재시도 가능 여부), `retry_after`(재시도 대기 시간), `owner_action_required`(소유자 조치 필요 여부) 등 에이전트의 제어 흐름에 직접 활용 가능한 필드가 포함됩니다. * **표준화된 스키마:** RFC 9457의 `type`, `status`, `title`, `detail`, `instance` 멤버를 사용하여 특정 API에 의존하지 않고도 범용적으로 에러를 해석할 수 있게 설계되었습니다. ### 효율성 및 구현 방식 * 실제 '1015(속도 제한)' 에러 응답을 기준으로 측정했을 때, HTML 대비 페이로드 크기와 토큰 사용량이 98% 이상 감소했습니다. * 이 기능은 Cloudflare 네트워크 전반에 자동으로 적용되므로 사이트 소유자가 별도로 설정할 필요가 없습니다. * 클라이언트가 명시적으로 마크다운이나 JSON을 요청하지 않는 한, 일반 브라우저 사용자에게는 이전과 동일한 HTML 페이지가 제공되어 하위 호환성을 유지합니다. AI 에이전트나 자동화 도구를 개발하고 있다면, 요청 헤더에 적절한 `Accept` 타입을 설정하는 것만으로도 인프라 비용을 획기적으로 줄이고 에러 처리 로직의 신뢰성을 높일 수 있습니다. 이는 더 이상 에러 페이지가 단순한 '차단벽'이 아니라 에이전트를 위한 '실행 지침'으로 기능함을 의미합니다.

cloudflare원문

앱을 위한 AI 보안 기능 정식 출시 (새 탭에서 열림)

Cloudflare는 AI 기반 애플리케이션에 대한 위협을 실시간으로 탐지하고 방어하는 'AI Security for Apps'를 정식 출시(GA)하며, 모든 요금제 사용자에게 AI 엔드포인트 탐색 기능을 무료로 제공합니다. 이 서비스는 프롬프트 주입이나 민감 정보 유출 등 AI 특유의 보안 위험을 관리하고, 기존 Cloudflare WAF와 결합하여 고도화된 방어 체계를 구축할 수 있도록 지원합니다. 특히 사용자 정의 주제 탐지와 프롬프트 추출 기능이 추가되어 기업별 맞춤형 보안 정책 수립이 가능해진 것이 핵심입니다. ### AI 엔드포인트 자동 탐색 (Discovery) * 웹 자산 내에서 LLM(대규모 언어 모델)이 사용되는 모든 엔드포인트를 자동으로 식별하고 `cf-llm` 라벨을 부여하여 가시성을 제공합니다. * 단순히 `/chat`과 같은 경로 패턴을 매칭하는 방식이 아니라, 엔드포인트의 실제 동작 방식을 분석하기 때문에 추천 엔진이나 속성 평가 도구처럼 채팅 인터페이스가 없는 AI 서비스도 감지할 수 있습니다. * Free, Pro, Business를 포함한 모든 요금제 고객에게 무료로 제공되어, 보안 팀이 파악하지 못한 '섀도우 AI' 배포를 효과적으로 관리할 수 있게 돕습니다. ### 지능형 위협 탐지 및 사용자 정의 기능 (Detection) * 프롬프트 주입(Prompt Injection), 개인정보(PII) 노출, 유해한 주제 등을 실시간으로 감지하는 상시 보안 모듈을 가동합니다. * **사용자 정의 주제 탐지:** 기업의 필요에 따라 특정 금융 상품, 환자 데이터, 경쟁사 언급 등 차단하거나 모니터링해야 할 특정 주제를 정의하고 관련성 점수를 출력할 수 있습니다. * **프롬프트 추출 및 최적화:** OpenAI, Anthropic, Google Gemini 등 주요 AI 공급자의 데이터 구조를 기본 지원하며, 향후 JSONPath를 통해 프롬프트가 위치한 특정 필드를 직접 지정함으로써 오탐(False Positive)을 최소화할 수 있습니다. ### WAF 연동을 통한 통합 방어 (Mitigation) * 탐지된 위협 신호를 기존 Cloudflare WAF 룰 빌더와 연동하여 차단, 로그 기록, 커스텀 응답 등의 조치를 즉각적으로 취할 수 있습니다. * AI 전용 보안 신호와 IP 평판, 봇 탐지 데이터, 브라우저 핑거프린트 등 기존의 풍부한 보안 데이터를 결합하여 다각적인 상관관계 분석이 가능합니다. * 이는 AI 레이어만 보는 포인트 솔루션과 달리, 네트워크 계층부터 애플리케이션 계층까지 아우르는 통합 보안 계층을 제공한다는 강점이 있습니다. AI가 단순한 챗봇을 넘어 시스템 권한을 가진 '에이전트'로 진화함에 따라 프롬프트 하나가 심각한 보안 사고로 이어질 수 있습니다. 기업은 Cloudflare가 제공하는 무료 탐색 기능을 활용해 조직 내 AI 노출 범위를 우선적으로 파악하고, WAF 기반의 가드레일을 설정하여 확률적으로 발생하는 AI 입력값에 대한 안전 장치를 마련하는 것이 좋습니다.

cloudflare원문

로그 탐색기에서 멀티 (새 탭에서 열림)

Cloudflare Log Explorer는 애플리케이션 서비스와 Cloudflare One(Zero Trust) 포트폴리오를 아우르는 14개 이상의 데이터셋을 통합하여 다중 벡터(multi-vector) 공격에 대한 360도 가시성을 제공합니다. 보안 분석가는 애플리케이션 계층의 HTTP 요청, 네트워크 계층의 DDoS 및 방화벽 로그, 제로 트러스트 인증 이벤트를 상호 연관시켜 분석함으로써 평균 탐지 시간(MTTD)을 획기적으로 단축할 수 있습니다. 결과적으로 이 플랫폼은 정교하게 설계된 다층적 공격의 실체를 신속하게 파악하고 대응할 수 있는 강력한 포렌식 환경을 구축합니다. ### 클라우드 스택 전체를 위한 '비행 기록 장치' * Log Explorer는 애플리케이션의 모든 상호작용, 공격 시도, 성능 병목 현상을 캡처하는 '비행 기록 장치(Flight Recorder)' 역할을 수행하며, 중앙 집중화된 인터페이스를 통해 신속한 조사를 지원합니다. * Cloudflare는 사용자와 서버 사이의 에지(Edge)에서 작동하므로, 요청이 실제 기업 인프라에 도달하기 전에 모든 이벤트를 로깅하여 보안 사각지대를 제거합니다. ### 영역(Zone) 기반의 외부 트래픽 보안 로그 * **HTTP Requests & Firewall Events:** 애플리케이션 계층 트래픽의 기본 기록으로서 세션 활동을 재구성하고, WAF 규칙이나 IP 평판에 의해 차단된 위협의 구체적 증거를 제공합니다. * **DNS & Spectrum Logs:** DNS 캐시 포이즈닝 시도나 도메인 하이재킹을 식별하며, SSH/RDP와 같은 비웹(L4) 프로토콜에 대한 무차별 대입 공격을 모니터링합니다. * **Page Shield & Zaraz Events:** 사이트 내 자바스크립트의 무단 변경을 감시하고 제3자 스크립트의 데이터 상호작용을 감사하여 클라이언트 측 보안과 개인정보 보호를 강화합니다. ### 계정(Account) 기반의 내부 및 제로 트러스트 로그 * **Access & Gateway Logs:** 사용자의 신원 기반 인증 이벤트를 추적하고, 네트워크 전체(DNS/HTTP/L3)의 트래픽을 모니터링하여 섀도우 IT나 악성 페이로드 다운로드를 탐지합니다. * **Magic IDS & IPSec:** 네트워크 계층(L3/L4)에서 침입 탐지 시그니처를 대조하여 알려진 익스플로잇 패턴이나 터널 상태, BGP 라우팅 변경 등을 감시합니다. * **Device Posture & DEX:** 연결된 기기의 보안 준수 상태를 확인하고, 사용자 관점의 성능 지표를 통해 보안 사고와 단순 성능 저하를 구분합니다. * **CASB & Email Security:** SaaS 애플리케이션(Google Drive, MS 365 등)의 설정 오류와 데이터 노출 위험을 진단하고, 게이트웨이 단계에서 피싱 및 이메일 기반 공격 유입을 추적합니다. ### 단계별 공격 탐지 및 포렌식 활용 * **정찰 단계(Reconnaissance) 탐지:** `http_requests` 로그에서 특정 IP가 401, 403, 404 상태 코드를 과도하게 생성하거나 `/.env`, `/wp-admin` 같은 민감한 경로에 접근하는 패턴을 쿼리하여 스캐닝 도구를 식별합니다. * **네트워크 계층 분석:** `magic_ids_detections` 로그를 사용하여 단일 소스 IP가 짧은 시간 내에 여러 포트에서 시그니처 기반 탐지를 유발하는지 분석함으로써 Nmap 스캔이나 SYN 스텔스 스캔을 파악합니다. * **내부 이동 추적:** 자격 증명이 탈취된 경우, `Access` 및 `Audit` 로그를 통해 공격자가 내부 네트워크에서 이동한 경로와 변경한 구성 설정을 추적하여 피해 범위를 확정합니다. 보안 팀은 Log Explorer를 활용해 외부에서 유입되는 정찰 활동부터 내부망에서의 수평 이동(Lateral Movement)에 이르기까지 공격의 전 과정을 단일 플랫폼에서 시각화할 수 있습니다. 특히 다양한 로그 소스를 상호 참조함으로써 개별적으로는 무해해 보이는 활동들이 결합되어 발생하는 정교한 보안 위협을 효과적으로 차단할 것을 권장합니다.

cloudflare원문

실행 가능한 인사이트를 위한 보안 (새 탭에서 열림)

Cloudflare는 보안 팀이 방대한 데이터 속에서 소음이 아닌 실제 행동으로 이어질 수 있는 통찰력을 얻을 수 있도록 보안 개요(Security Overview) 대시보드를 새롭게 개편했습니다. 이번 업데이트의 핵심은 단순한 모니터링을 넘어 '보안 액션 아이템'을 통해 조치가 필요한 취약점을 우선순위에 따라 제시하고, 보안 도구가 실제로 활성화되어 있는지 확인하는 '설정 공백'을 메우는 데 있습니다. 이를 위해 하루 1,000만 개 이상의 통찰력을 생성하는 마이크로서비스 기반의 엔진을 구축하여 실시간 대응과 정기적인 정밀 검사를 동시에 실현했습니다. **보안 액션 아이템을 통한 우선순위화** * 수많은 로그 속에서 길을 잃지 않도록 심각도(Critical, Moderate, Low)에 따라 보안 위험을 분류하여 즉시 조치가 필요한 항목을 상단에 배치합니다. * '의심스러운 활동'이나 '안전하지 않은 설정'과 같은 통찰력 유형별 필터링 기능을 제공하여 조직이 직면한 특정 위협에 맞춰 워크플로우를 최적화할 수 있습니다. * 탐지와 조사를 연결하는 기능적 가교 역할을 수행함으로써 보안 분석가가 "지금 무엇을 고쳐야 하는가?"라는 질문에 즉각 답할 수 있게 합니다. **탐지 도구 모듈과 설정 공백 해소** * 보안 사고의 주요 원인 중 하나인 '도구의 비활성화' 또는 '잘못된 설정' 문제를 해결하기 위해 전체 Cloudflare 보안 스택의 상태를 한눈에 보여줍니다. * 주요 방어 체계가 실제 차단 모드인지, 아니면 단순히 '로그 전용(Log Only)' 모드인지 직관적으로 확인하여 방어 공백을 제거합니다. * 섀도우 API(Shadow API) 발견 여부 등 보안 도구의 활성화 상태를 실시간으로 노출하여 도구의 보유 여부보다 '실제 보호 여부'에 집중하게 합니다. **워크플로우 효율을 높이는 통합 가시성 및 딥 링크** * 보안 개요 페이지의 '의심스러운 활동' 카드를 클릭하면 관련 필터가 자동 적용된 상태로 보안 분석(Security Analytics) 페이지로 즉시 이동하는 딥 링크 기능을 제공합니다. * 여러 도구 사이를 오가며 수동으로 필터를 재설정해야 하는 '탭 전환 비용(Tab switching tax)'을 없애 침해 사고 대응 속도를 높였습니다. * 통합된 데이터 뷰를 통해 대시보드의 요약 정보와 상세 분석 데이터 간의 일관성을 유지합니다. **마이크로서비스 '체커(Checker)' 아키텍처** * **스케줄 기반 체크(Scheduled Checks):** DNS 레코드와 같은 자산을 정기적으로 정밀 검사하며, 병렬 시스템을 통해 도메인 설정 오류나 취약점을 찾아내고 조치 여부에 따라 통찰력을 업데이트하거나 삭제합니다. * **이벤트 핸들러(Event Handlers):** 제어 평면(Control plane)의 신호를 실시간으로 경청하여, WAF 규칙이 변경되거나 취약한 설정이 적용되는 즉시 이를 감지하고 대시보드에 반영합니다. * **분산형 구조:** 각 서비스 영역에 특화된 마이크로서비스들이 독립적으로 확장 가능하게 설계되어, 단순한 SSL 인증서 검사부터 복잡한 AI 봇 설정까지 광범위한 보안 스택을 커버합니다. 보안 담당자는 새로운 대시보드의 '액션 아이템'을 일일 업무의 시작점으로 활용함으로써 가장 위험한 취약점부터 체계적으로 해결할 수 있습니다. 특히 탐지 도구 모듈을 정기적으로 확인하여 핵심 보안 기능이 '로그 전용' 모드에 머물러 있지 않은지 점검하고, 시스템이 제안하는 최적화 권장 사항을 적용해 선제적인 방어 태세를 유지할 것을 권장합니다.

cloudflare원문

위험 인사이트를 실행 가능한 보호로 전환: Cloudflare 및 Mastercard를 통한 보안 태세 강화 (새 탭에서 열림)

클라우드플레어는 마스터카드(Mastercard)의 'RiskRecon' 공격 표면 지능(Attack Surface Intelligence) 기능을 자사 대시보드에 통합하여, 기업이 인지하지 못한 '그림자 IT(Shadow IT)'와 보안 사각지대를 자동으로 탐지하고 즉각 조치할 수 있도록 지원합니다. 이 협업을 통해 조직은 공격자의 시각에서 전체 인터넷 자산을 실시간으로 모니터링하고, 발견된 취약점을 클라우드플레어의 보안 컨트롤로 즉시 보완함으로써 랜섬웨어 및 데이터 유출 위험을 선제적으로 차단할 수 있습니다. 특히 프록시 기술과 외부 스캐닝 데이터를 결합하여 가시성 확보부터 실제 방어까지의 과정을 단일 플랫폼에서 자동화한다는 점이 핵심입니다. ### 공격 표면 지능을 통한 보안 사각지대 탐지 * 마스터카드의 RiskRecon은 공개된 데이터만을 활용하는 '아웃사이드-인(Outside-in)' 스캔 방식을 통해 조직의 전체 인터넷 발자국을 매핑하며, 내부 스캔으로 놓치기 쉬운 잊혀진 서브도메인이나 승인되지 않은 클라우드 서버를 찾아냅니다. * 마스터카드의 연구에 따르면, 보안 관리가 부실한 조직은 건전한 조직에 비해 랜섬웨어 공격을 받을 확률이 5.3배, 데이터 유출 사고를 겪을 확률이 3.6배나 높습니다. * 공격자들이 주로 노리는 취약점은 패치되지 않은 소프트웨어, 노출된 데이터베이스 및 원격 관리 서비스, 취약한 애플리케이션 인증 및 암호화 설정 등입니다. ### 클라우드플레어 프록시 도입의 보안 강화 효과 * 약 38만 개 조직의 1,800만 개 시스템을 분석한 결과, 클라우드플레어 프록시를 사용하는 시스템은 그렇지 않은 시스템보다 보안 위생 지표가 월등히 우수했습니다. * 구체적으로 소프트웨어 패치 취약점은 53%, SSL/TLS 암호화 관련 설정 오류는 58% 더 적게 발견되었습니다. * 특히 봇넷 명령 및 제어 서버와의 통신이나 피싱 사이트 호스팅 등 악성 행위에 연루되는 사례는 98%나 낮게 나타났습니다. ### 자산 식별부터 중요도 기반의 즉각적 대응 * 이번 통합으로 클라우드플레어의 'Security Insights'는 기존에 관리되던 도메인뿐만 아니라, 프록시되지 않은 외부의 미관리 자산(Shadow IT)까지 포함하여 포괄적인 가시성을 제공합니다. * 발견된 각 호스트는 민감 데이터 수집 여부 및 서비스 성격에 따라 세 단계의 중요도(High, Medium, Low)로 분류되어 보안 팀이 우선순위를 정할 수 있도록 돕습니다. * 단순한 정보 제공에 그치지 않고, 대시보드 내에서 즉시 WAF(웹 애플리케이션 방화벽) 활성화, DDoS 방어 설정, TLS 암호화 강화 등의 조치를 실행하여 취약점을 즉각 해결할 수 있습니다. ### 향후 로드맵 및 지능형 보안 진단 * 해당 통합 기능은 2026년 3분기에 유료 및 엔터프라이즈 계정을 대상으로 미리보기가 제공될 예정입니다. * 향후에는 리스크 스코어링 시스템과 AI 지원 진단 경로를 도입하여, 탐지된 위험에 대해 최적의 WAF 규칙이나 API Shield 구성을 AI가 직접 제안하는 기능을 추가할 계획입니다. * 보안 담당자는 대시보드를 통해 단순히 문제를 확인하는 것을 넘어, 위협 간의 상관관계를 분석하고 자동화된 대응 경로를 구축할 수 있게 됩니다.