인그레스와 이그레스: 네트워킹에서 어떤 차이가 있을까요?

인그레스(Ingress) 는 정의된 네트워크, 장치 또는 인터페이스로 들어오는 네트워크 트래픽이고, 이그레스(Egress) 는 해당 영역 밖으로 나가는 트래픽입니다. 이 용어들은 측정 지점을 기준으로 상대적인 개념이며, 패킷에 영구적으로 붙는 레이블이 아닙니다. 예를 들어, 랩톱에서 클라우드 서비스로의 요청은 랩톱 또는 사무실 네트워크에서 나가는 트래픽에 해당하고, 클라우드 서비스로 들어오는 트래픽에 해당합니다. 방화벽 규칙의 경우, 클라우드 플랫폼에서는 일반적으로 인그레스를 대상에 들어오는 패킷으로, 이그레스를 대상에서 나가는 패킷으로 정의합니다. Google Cloud의 인그레스 및 이그레스 트래픽 정의를 참조하십시오 .

사설 LAN으로 들어오는 인터넷 트래픽을 인그레스(ingress)로, LAN에서 인터넷으로 나가는 트래픽을 그렉(exgress)으로 나타낸 네트워크 다이어그램 — LAN 경계에서 사설 네트워크로 들어오는 트래픽을 인그레스(ingress)라고 하고, 사설 네트워크에서 나가는 트래픽을 그렉(exgress)이라고 합니다.

진입과 진출의 차이점을 한눈에 보기

용어	선택된 경계에 대한 상대적인 의미	예시
인그레스	수신; 대상에서 수신됨	웹 서버 또는 클라우드 가상 머신에 도착하는 연결
출구	발신; 대상에서 보낸 메시지	노트북이 클라우드 저장소에 파일을 업로드하는 모습

관점이 중요한 이유

직원이 웹사이트를 여는 상황을 상상해 보세요. 요청은 직원의 노트북과 회사 LAN을 벗어나므로 해당 시스템에서 나가는 트래픽입니다. 패킷이 회사 게이트웨이에 도달하면 LAN 연결 인터페이스를 통해 게이트웨이로 들어가 인터넷 연결 인터페이스를 통해 나갑니다. 웹사이트 서버에서는 동일한 요청이 들어오는 트래픽입니다. 응답은 반대 경로를 따라 전송됩니다.

이러한 이유로 네트워크 도구는 단순히 유입 및 유출 트래픽 대신 수신/송신 또는 Rx/Tx와 같은 표현을 표시할 수 있습니다 . 대시 보드 의 " 유입 " 값은 일반적으로 측정 대상 인터페이스를 통해 수신된 트래픽을 나타내며, 조직 전체로 유입되는 트래픽을 의미하는 것은 아닙니다. 따라서 컨텍스트가 호스트, 인터페이스, 서브넷, 방화벽, 클라우드 리소스 또는 전체 네트워크인지 항상 확인해야 합니다.

네트워크 경계에서의 유입 및 유출 트래픽과 단일 네트워크 인터페이스에서의 수신 및 전송 트래픽을 비교하는 다이어그램 — 진입 및 진출은 경계에 따라 달라집니다. 네트워크 수준의 관점은 단일 인터페이스 수준의 관점과 다릅니다.

출입국을 모니터링하는 방법

네트워크 모니터링 소프트웨어는 인터페이스 카운터, 처리량, 오류 및 폐기, 지연 시간, 장치 가용성 등의 데이터를 수집합니다. 일반적으로 SNMP(단순 네트워크 관리 프로토콜)는 지원되는 스위치, 라우터, 방화벽 및 서버를 폴링합니다. IETF의 인터페이스 그룹 MIB 사양(RFC 2863)은ifInOctets 수신 및 전송된 바이트에 대한 카운터 를 정의합니다 ifOutOctets. 가능한 경우 고속 링크에서는 64비트 고용량 카운터를 사용하십시오.

SNMP는 트래픽 양을 보여주지만 어떤 애플리케이션이나 엔드포인트가 트래픽을 발생시켰는지 항상 알려주지는 않습니다. NetFlow, IPFIX, sFlow 또는 jFlow를 사용하면 소스/대상 IP 주소, 포트, 프로토콜 및 트래픽 양을 추가할 수 있습니다. 패킷 캡처는 더 자세한 정보를 제공하지만 더 많은 저장 공간이 필요하고 민감한 정보가 노출될 수 있습니다. 가능한 경우 SNMPv3을 사용하고 모니터링 접근 권한을 제한하십시오.

네트워크 모니터링 도구를 사용하여 평가합니다.

SolarWinds Network Performance Monitor는 네트워크 환경 전반에 걸쳐 인터페이스 사용률, 장치 상태, 경로, 경고 및 성능 추세를 추적합니다.
ManageEngine OpManager는 장치 및 인터페이스 모니터링, 트래픽 가시성, 검색 및 보고 기능을 제공하며, 추가적인 흐름 분석 기능은 선택한 구성 요소에 따라 달라집니다.
Paessler PRTG는 SNMP 인터페이스 모니터링과 플로우 프로토콜, 그리고 구성 가능한 대역폭 경고 기능을 결합한 솔루션입니다.

장치 지원, 프로토콜, 데이터 보존, 알림, 배포, 필요한 인터페이스 또는 메트릭 수를 비교하십시오. SNMP는 전체 대역폭을 보여주고, 흐름 데이터는 대역폭을 소비하는 요소를 파악하는 데 도움이 됩니다. 모니터링만으로는 트래픽을 차단할 수 없습니다.

데이터 보안에서의 출구

외부 트래픽은 정상적인 현상입니다. 위험은 민감한 파일을 개인 이메일, 승인되지 않은 클라우드 서비스 또는 의심스러운 외부 서버로 전송하는 것과 같은 무단 데이터 유출에 있습니다. 대용량 업로드 자체만으로는 침해를 입증할 수 없습니다. 새로운 목적지, 비정상적인 트래픽 양, 익숙하지 않은 앱이나 계정, 근무 시간 외 활동 또는 조직의 기준치와 다른 전송 내역을 확인해야 합니다.

방화벽을 통과하는 의심스러운 외부 데이터 전송을 강조 표시하는 네트워크 보안 모니터링 대시보드 — 출국 교통량 모니터링은 특이한 목적지나 환승 패턴이 조사의 계기가 될 때 가장 유용합니다.

단일 대시보드에 의존하기보다는 계층형 제어 방식을 사용하세요.

정책을 설정하세요: 승인된 서비스 목록을 작성하고, 민감한 데이터를 분류하고, 공유 규칙을 설명하세요.
외부 액세스 제한: 방화벽 규칙, 보안 웹 게이트웨이 또는 DNS 필터링을 사용하여 불필요한 목적지 및 서비스를 제한하십시오.
로그 수집: 방화벽, 엔드포인트, ID, 클라우드 및 파일 액세스 이벤트를 상호 연관시켜 분석하고, 정상 트래픽과의 의미 있는 편차에 대해 알림을 보냅니다.
중요 데이터를 보호하십시오. 데이터 손실 방지(DLP) 및 업로드, 복사, 이동식 저장 매체에 대한 엔드포인트 제어를 고려하십시오. 정상적인 업무에 지장을 주지 않도록 정책을 테스트하십시오.

SIEM 도구의 활용 분야

보안 정보 및 이벤트 관리(SIEM) 플랫폼은 로그를 중앙 집중화하고 이벤트를 상호 연관시켜 분석가가 데이터 도난이나 계정 침해 가능성을 조사할 수 있도록 지원합니다. SIEM 플랫폼은 방화벽 규칙, DLP(데이터 유출 방지) 또는 엔드포인트 보호 기능을 보완하지만, 이러한 기능을 대체하지는 않습니다. 주요 옵션으로는 SolarWinds Security Event Manager , Splunk Enterprise Security , ManageEngine Log360 등이 있습니다 . 각 플랫폼의 현재 기능, 라이선스, 데이터 용량 및 보존 기간을 비교해 보십시오.

빠른 체크리스트

호스트, 인터페이스, 서브넷, 방화벽 또는 클라우드 리소스와 같은 정확한 경계를 기록하십시오.
해당 도구에서 인바운드/아웃바운드, 수신/발송, Rx/Tx가 의미하는 바를 확인하십시오.
방향, 목적지, 프로토콜, 시간 및 비즈니스 프로세스별 기준 트래픽.
유용한 알림을 설정하고 누가 해당 알림을 조사할지 정의하세요.
승인된 워크플로와 승인되지 않은 목적지 모두에 대해 출력 제한을 테스트합니다.

결론적으로, 인그레스는 "들어오는" 트래픽을, 이그레스는 "나가는" 트래픽을 의미하지만, 그 전에 어떤 트래픽이 들어오고 나가는지 파악해야 합니다. 인터페이스 카운터와 플로우 데이터를 활용하여 성능을 분석하고, 아웃바운드 활동을 ID, 엔드포인트, 애플리케이션 로그와 연관시켜 보안 위험을 조사하십시오.