Cloudflare One 이해하기 시리즈 (8편 중 8편)
이전 글까지 트래픽을 검사하고, 허용·차단하고, 격리하는 방법을 살펴봤습니다. 시리즈의 마지막인 이번 글에서는 데이터 자체에 초점을 맞춥니다. 전송 중인 데이터와 SaaS에 저장된 데이터에서 민감 정보를 찾아내는 DLP, 그 탐지 결과를 체계적으로 분류하는 Data Classification, 그리고 SaaS 환경의 위험을 API로 점검하는 CASB의 역할과 차이를 정리하고, 시리즈 전체를 종합하는 제품 선택 기준으로 마무리합니다.
DLP: 민감 데이터를 탐지하는 엔진
Cloudflare DLP (Data Loss Prevention)는 웹 트래픽, SaaS 애플리케이션 파일, AI 프롬프트에서 국가 식별 번호·신용카드 번호 같은 개인 식별 정보 (PII), 금융 정보, 비밀 키, 소스 코드 등 민감 데이터를 찾아냅니다. 검사한 콘텐츠는 디스크에 쓰지 않고 메모리에서만 암호화해 임시로 다루며, 일치한 내용을 보관하려면 페이로드 로깅 (payload logging)이나 Logpush를 설정합니다.
DLP는 Zero Trust Enterprise 요금제의 애드온이며, Free와 Pay-as-you-go 요금제에서는 금융 정보와 사회보장·세금·식별 번호 관련 사전 정의 프로필 등 일부 기능만 사용할 수 있습니다.
DLP의 구성 요소
| 구성 요소 | 역할 |
|---|---|
| 탐지 항목 (Detection entries) | 민감 콘텐츠를 식별하는 재사용 가능한 탐지 로직. 정규식 패턴, 데이터셋 (예: 고객 ID 목록), 문서 핑거프린트 (document fingerprint), AI 프롬프트 주제, Cloudflare 사전 정의 탐지 |
| DLP 프로필 (DLP profiles) | 무엇을 탐지할지 정의하는 묶음. 탐지 항목, 데이터 클래스, 레이블을 조합 |
| DLP 정책 (DLP policies) | 프로필을 실제 트래픽에 적용해 로그 기록·차단 등 동작을 수행 |
DLP 프로필은 세 가지 유형이 있습니다.
- 사전 정의 프로필 (Predefined): 신용카드 번호, 국가 식별 번호, AI 프롬프트 등 흔한 민감 데이터용으로 Cloudflare가 관리하는 프로필입니다. 대부분 활성화한 탐지 항목 중 하나만 일치하면 프로필이 일치하지만, PII Record 프로필은 서로 다른 탐지 항목 3개 이상이 가까이 있어야 일치합니다.
- 사용자 정의 프로필 (Custom): 조직의 데이터와 위험 허용도에 맞춰 탐지 항목, 데이터 클래스, 레이블로 직접 구성합니다.
- 연동 프로필 (Integration): Microsoft Purview 민감도 레이블처럼 서드파티 플랫폼의 분류 정보를 가져와 사용합니다 (CASB 필요).
중요한 점은 DLP 프로필 자체는 탐지 정의일 뿐이라는 것입니다. 프로필은 Gateway HTTP 정책, CASB 연동, AI Gateway, Email security 아웃바운드 DLP 같은 적용 지점에서 참조될 때만 동작합니다.
DLP가 적용되는 위치
| 적용 위치 | 검사 대상 | 전제 조건 |
|---|---|---|
| 전송 중 데이터 (Data in transit) | Gateway를 통과하는 HTTP 요청·응답 본문 (업로드·다운로드 파일, 채팅 메시지, 폼 등. 헤더는 제외) | Gateway HTTP 필터링 + TLS Decryption |
| 저장된 데이터 (Data at rest) | SaaS 애플리케이션에 저장된 파일 | CASB 연동 |
| AI 애플리케이션 | AI Gateway를 통한 프롬프트와 응답, Gateway의 AI 앱 세부 동작 | AI Gateway DLP 설정 또는 Gateway HTTP 정책 |
| 이메일 | Microsoft 365의 발신 이메일 (Outlook 추가 기능) | Email security 아웃바운드 DLP |
전송 중 데이터 검사는 Gateway를 거치는 트래픽에만 적용됩니다. Do Not Inspect 정책에 일치하거나 Split Tunnels로 제외된 트래픽은 검사되지 않습니다. 반대로 저장된 데이터 검사는 CASB가 SaaS API로 파일을 직접 가져오므로 Gateway나 Client 설정의 영향을 받지 않습니다.
지원 파일 형식은 텍스트·CSV, Microsoft Office 2007 이후 문서 (.docx, .xlsx, .pptx), PDF, 그리고 이들을 담은 ZIP 파일이며, 이미지는 OCR 설정으로 검사할 수 있습니다.
DLP 정책 적용과 평가 순서
5편에서 본 것처럼 HTTP 정책은 처음 일치한 정책으로 먼저 결정·기록한 뒤 마지막 단계에서 요청 본문을 DLP로 검사합니다. 따라서 Allow 정책으로 허용 기록이 남은 요청이 이후 DLP Block 정책으로 실제로는 차단될 수 있어, 로그를 해석할 때 주의해야 합니다.
DLP는 오탐 (false positive)이 발생하기 쉬우므로 단계적으로 적용하는 것이 좋습니다.
- Passive Detection으로 현황 파악: DLP 정책 없이도 Gateway HTTP 본문의 무작위 샘플을 검사해, 어떤 민감 데이터가 어디로 흐르는지 대시보드로 보여 줍니다. 기존 트래픽 처리에는 영향을 주지 않습니다.
- 테스트 스캔 (Test scan): 샘플 콘텐츠로 프로필이 기대한 대로 탐지하는지 확인합니다.
- 로그 모드로 시작: 페이로드 로깅과 함께 Allow (로그만) 정책으로 운영하며 오탐을 조정합니다.
- 차단 전환: 탐지 정확도가 확인되면 파일럿 그룹부터 Block으로 전환합니다.
Data Classification: 탐지 결과를 체계적으로 분류
Data Classification은 DLP 위에 재사용 가능한 분류 계층을 더합니다. 모든 탐지 로직을 DLP 프로필 안에 직접 넣는 대신, 레이블과 분류 규칙을 정의해 여러 프로필에서 일관되게 사용할 수 있습니다.
| 구성 요소 | 역할 |
|---|---|
| 탐지 항목 (Detection entries) | 패턴, 데이터셋, 문서 핑거프린트, AI 프롬프트 주제 등 구체적인 콘텐츠를 탐지 |
| 레이블 (Labels) | 민감도 체계 (sensitivity schema)와 민감도 수준, 데이터 태그 그룹과 데이터 태그로 탐지된 콘텐츠를 설명 |
| 템플릿 (Templates) | 민감도 체계와 데이터 태그 그룹의 Cloudflare 관리형 시작점. 템플릿으로 만들면 계정에 편집 가능한 객체가 생성됨 |
| 데이터 클래스 (Data classes) | 탐지 항목, 다른 데이터 클래스, 민감도 수준, 데이터 태그를 조합한 재사용 가능한 분류 규칙 |
| DLP 프로필 | 탐지와 분류 로직을 실제 검사·적용 흐름에 적용 |
즉, 탐지 항목은 “무엇이 있는가”를 찾고, Data Classification은 “그것이 얼마나 민감하고 어떤 종류인가”를 정리하며, DLP 프로필과 정책은 “그래서 어떻게 할 것인가”를 실행합니다.
| 상황 | 적합한 방식 |
|---|---|
| 특정 정규식이나 사전 정의 탐지를 바로 정책에 적용하고 싶을 때 | 탐지 항목 + DLP 프로필 |
| 여러 탐지에 걸쳐 민감도 레이블을 표준화하고 싶을 때 | Data Classification |
| 관련된 탐지들을 하나의 재사용 가능한 규칙으로 묶고 싶을 때 | 데이터 클래스 |
| 같은 분류 로직을 여러 DLP 프로필에서 재사용하고 싶을 때 | 데이터 클래스 + 레이블 |
예를 들어 “기밀 (Confidential) 이상” 민감도 수준과 “고객 데이터” 태그를 정의하고, 고객 ID 데이터셋·계약서 문서 핑거프린트·신용카드 번호를 묶은 데이터 클래스를 만들면, Gateway용 프로필과 CASB용 프로필에서 같은 분류 기준을 그대로 재사용할 수 있습니다. 문서의 표현을 빌리면 차단이 목적이면 DLP 프로필을, 민감 콘텐츠를 재사용 가능한 방식으로 정리하고 레이블링하는 것이 목적이면 Data Classification을 사용합니다.
CASB: SaaS 환경의 위험을 API로 점검
Cloudflare CASB (Cloud Access Security Broker)는 SaaS 애플리케이션과 클라우드 환경의 API에 연결해, 사용자가 정상적으로 로그인한 이후에 발생할 수 있는 보안 문제를 점검합니다.
- 잘못된 설정 (Misconfiguration): 외부에 과도하게 공개된 파일 공유 설정 등
- 비인가 사용자 활동, Shadow IT, 기타 데이터 보안 문제
- 저장된 민감 데이터: DLP 프로필과 함께 사용하면 Google Drive, OneDrive, SharePoint, Box, Dropbox, AWS S3, GCP Cloud Storage 등에 저장된 파일의 민감 데이터를 찾습니다.
동작 방식
- API 기반, 트래픽 경로 밖 (out-of-band): CASB는 사용자 트래픽을 거치지 않고 SaaS API를 직접 호출합니다. 연동 권한은 스캔에 필요한 최소한의 읽기 전용 권한입니다.
- 주기적 스캔: 첫 스캔 이후 애플리케이션별로 대략 1시간에서 24시간 간격으로 자동 스캔합니다. 대규모 환경은 초기 스캔에 시간이 걸릴 수 있습니다.
- 탐지 결과 (Findings): 발견된 문제는 특정 자산과 인스턴스 단위로 표시되며, 웹훅 (webhook)으로 외부 시스템에 전달할 수 있습니다. 대부분의 조치 (remediation)는 SaaS 관리 콘솔에서 수행합니다.
- 이용 조건: 모든 Zero Trust 사용자가 사용할 수 있으며, Free 요금제는 연동 2개까지, 탐지 결과 인스턴스의 상세 정보는 Enterprise 요금제에서 확인할 수 있습니다.
CASB는 실시간으로 트래픽을 차단하지 않습니다. SaaS 안의 특정 동작 (예: 업로드, 공유)을 실시간으로 제어하려면 Gateway HTTP 정책의 애플리케이션 세부 제어 (Application Granular Controls)를 사용합니다. 흔히 이를 인라인 CASB, API 기반 점검을 API CASB로 구분해 부릅니다.
Gateway, DLP, CASB의 검사 방식 차이
| 구분 | Gateway (HTTP 정책) | DLP | CASB |
|---|---|---|---|
| 역할 | 트래픽 필터링·허용·차단 | 민감 데이터 탐지 엔진 | SaaS·클라우드 환경 보안 상태 점검 |
| 검사 방식 | 인라인 (트래픽 경로 위) | 적용 지점에 따라 인라인 (Gateway) 또는 API (CASB) | API 기반, 트래픽 경로 밖 |
| 검사 시점 | 요청마다 실시간 | 인라인: 실시간 / 저장 데이터: 주기적 | 주기적 (약 1~24시간) |
| 검사 대상 | URL, 파일 유형, 애플리케이션, 사용자·디바이스 | HTTP 본문, 파일 내용, AI 프롬프트 | SaaS 설정, 공유 권한, 사용자 활동, 저장 파일 |
| 데이터 상태 | 전송 중 | 전송 중 + 저장 | 저장 |
| 즉시 차단 | 가능 | Gateway를 통해 가능 | 불가 (탐지 후 조치) |
| Gateway·Client 설정 영향 | 받음 | 인라인은 받음 / CASB 스캔은 받지 않음 | 받지 않음 |
| 전제 조건 | On-ramp, TLS Decryption | Gateway + TLS Decryption 또는 CASB | SaaS 관리자 권한으로 API 연동 |
정리하면, DLP는 무엇이 민감한가를 판단하는 엔진이고, Gateway와 CASB는 그 엔진을 각각 전송 중 데이터와 저장된 데이터에 적용하는 통로입니다.
시리즈 종합: 요구 사항별 제품 선택 기준
마지막으로 시리즈에서 다룬 트래픽·데이터 보안 제품을 요구 사항별로 정리합니다.
| 요구 사항 | 선택 | 이유 |
|---|---|---|
| 악성·유해 도메인 전체 차단 | Gateway DNS 정책 | 연결 전에 차단, 모든 프로토콜에 적용 |
| SSH, RDP 등 비 HTTP 트래픽이나 특정 포트 통제 | Gateway Network 정책 | L4에서 IP·포트·프로토콜 기준 제어 |
| 특정 URL 경로, 파일 유형, SaaS 개인 계정 제어 | Gateway HTTP 정책 + TLS Decryption | 복호화해야 URL·본문을 볼 수 있음 |
| 업무상 필요하지만 위험한 사이트 (신규 도메인, 미분류 사이트) | Browser Isolation | 차단 대신 원격 실행으로 위험만 제거 |
| 비관리 디바이스의 사내·SaaS 앱 접근 시 데이터 반출 방지 | Browser Isolation (Clientless) + Access | 다운로드·복사·인쇄 제어 |
| 웹 업로드·AI 프롬프트로 민감 데이터 유출 방지 | DLP (Gateway HTTP 정책) | 전송 중 본문을 실시간 검사·차단 |
| SaaS에 이미 저장된 민감 파일 탐지 | DLP + CASB | API로 저장 데이터 검사 |
| SaaS의 과도한 공유 설정, 잘못된 구성 점검 | CASB | 로그인 이후의 보안 상태를 API로 점검 |
| SaaS 안의 특정 동작 (업로드·공유)을 실시간 차단 | Gateway HTTP 정책 (애플리케이션 세부 제어) | CASB는 실시간 차단 불가 |
| 민감도 기준을 조직 전체에 표준화 | Data Classification | 레이블과 데이터 클래스로 재사용 |
이 제품들은 서로를 대체하지 않고 계층적으로 조합됩니다. 예를 들어 협력사의 SaaS 접근이라는 하나의 시나리오에서도 Access가 사용자를 인가하고, Gateway가 트래픽을 검사하고, Browser Isolation이 다운로드를 막고, DLP가 업로드 내용을 검사하고, CASB가 SaaS의 공유 설정을 점검하는 식으로 각자 다른 역할을 합니다.
시리즈를 마치며
8편에 걸쳐 Cloudflare One을 두 개의 축으로 살펴봤습니다.
- 접근과 네트워크 연결 (1~4편): On-ramp와 Off-ramp로 사용자·디바이스·서버·지점 (Branch)을 연결하고 (1편), Client와 Device Posture로 디바이스를 연결·확인하며 (2편), Tunnel·Mesh·WAN으로 애플리케이션과 네트워크를 연결하고 (3편), Access로 누가 어떤 조건에서 접근할 수 있는지를 인가합니다 (4편).
- 트래픽과 데이터 보안 (5~8편): Gateway의 DNS·Network·HTTP 정책으로 트래픽을 계층별로 검사하고 (5편), TLS Decryption으로 HTTPS 내용을 볼 수 있게 하며 (6편), Browser Isolation으로 위험한 웹 콘텐츠를 격리하고 (7편), DLP·Data Classification·CASB로 전송 중인 데이터와 저장된 데이터를 보호합니다 (8편).
Cloudflare One의 모든 제품은 “트래픽을 Cloudflare로 들여오고, 가까운 데이터센터에서 ID·디바이스·콘텐츠 기준으로 정책을 적용한 뒤, 목적지로 내보낸다”는 하나의 흐름 위에서 동작합니다. 이 흐름을 기준으로 조직의 요구 사항을 하나씩 대응해 가면, 방대한 제품군도 필요한 것부터 단계적으로 도입할 수 있습니다.