이 섹션에서는 VMware Unified Access Gateway에 대한 보안 관련 질문과 대답을 소개합니다.
Unified Access Gateway에 타사 에이전트 및/또는 바이러스 백신 소프트웨어를 설치할 수 있습니까?
아니요. Unified Access Gateway 장치에서는 바이러스 백신 소프트웨어 또는 타사 에이전트가 필요하지 않고, 이러한 소프트웨어의 사용은 지원되지 않습니다. 이러한 사항은 모든 VMware 브랜딩 가상 장치에 적용됩니다. 자세한 내용은 https://kb.vmware.com/s/article/80767 및 https://kb.vmware.com/s/article/2090839를 참조하십시오.
Unified Access Gateway는 CVE-XXX-XXXX의 영향을 받습니까?
Unified Access Gateway는 업계 최고의 코드 검색, 소프트웨어 구성 분석 및 취약성 검사 도구를 활용하고 새로 식별된 잠재적 취약점에 대한 업계 피드를 모니터링합니다. 취약성이 감지되면 VMware 보안 응답 정책에 따라 해결됩니다.
필요한 경우 고객은 VMSA(VMware 보안 권고)를 통해 책임 있는 공개 방침에 따라 알림을 받을 수 있습니다. https://www.vmware.com/security/advisories.html에서 새로 게시된 권고에 대한 알림을 받도록 구독할 수 있습니다. 최신 보안, 안정성 및 기능 향상을 활용할 수 있도록 정기적인 제품 업데이트를 적용하는 것이 좋습니다.
Unified Access Gateway 릴리스에 대한 자세한 내용은 #GUID-0E29BCFB-2FB5-426E-BA24-C540392B36A8 항목을 참조하십시오.
Unified Access Gateway와 같은 VMware 가상 장치를 VMware에서 릴리스한 후에는 릴리스 날짜 중간에 Photon 보안 업데이트를 사용할 수 있는 상황이 불가피하게 발생합니다. 이러한 보안 업데이트의 심각도는 일반적이며 대부분은 Unified Access Gateway 자체의 보안에 영향을 주지 않습니다. Unified Access Gateway에서는 영향을 받는 구성 요소를 사용하지 않거나 Unified Access Gateway에서 지원하지 않는 구성 요소의 기능에서 취약점이 나타나기 때문일 수 있습니다. 이러한 Photon 구성 요소의 허가되지 않은 동적 업데이트를 수행하면 장치가 불안정해질 수 있으며 릴리스 전에 테스트 동안 감지할 수 없는 새로운 취약점이 발생할 수 있습니다.
모든 VMware 장치는 원래 릴리스에 포함된 구성 요소 및 버전을 기준으로 철저히 테스트되고 검증됩니다. 따라서 가상 장치에서 구성 요소를 업데이트하거나 변경하면 시스템에서 예기치 않은 동작이 발생할 수 있으므로 무단 업데이트가 지원되지 않습니다.
VMware 브랜드의 다른 가상 장치와 일관되게 VMware 브랜딩 가상 장치에 포함된 기본 운영 체제 및 패키지에 대한 수정 또는 사용자 지정은 지원하지 않습니다. 여기에는 패키지 추가, 업데이트 또는 제거, 장치 운영 체제 내에서의 사용자 지정 스크립트 활용이 포함됩니다. 가상 장치에 대한 VMware 정책에 대한 자세한 내용은 https://kb.vmware.com/s/article/2090839를 참조하십시오.
보안 취약점이 VMware, 고객 또는 다른 사람에 의해 식별되면 이를 보고하고 특정 제품에 적용되는 심각도를 기준으로 VMware에서 응답하는 것과 관련해서 정의된 정책이 있습니다. 자세한 내용은 보안 응답 정책을 참조하십시오.
Unified Access Gateway에서 사용되지 않거나 Unified Access Gateway 기능에 적용되지 않는 Photon 구성 요소의 심각한 보안 취약점은 보안에 의미가 없으므로 Unified Access Gateway 컨텍스트에서 중요하지 않습니다.
심각한 보안 취약점이 Unified Access Gateway에 영향을 미치는 것으로 확인되면 VMware는 다음 분기별 릴리스에서 업데이트를 제공하는 것 외에도 패치가 적용된 장치 버전을 릴리스할 수 있습니다. 이러한 취약점이 Unified Access Gateway에 적용되지만 해결 방법이 없는 중요한 문제에 대한 것일 수 있습니다. 이러한 취약성을 알리기 위해 VMware는 때때로 보안 권고를 게시합니다.
VMware는 새 Unified Access Gateway 버전을 얼마나 자주 릴리스합니까?
자세한 내용은 #GUID-0E29BCFB-2FB5-426E-BA24-C540392B36A8의 내용을 참조하십시오.
Photon 패키지 업데이트가 Unified Access Gateway에 적용되는 시기는 언제입니까?
Unified Access Gateway의 계획된 모든 릴리스에는 가상 장치가 구축될 때 결정된 최신 Photon 및 Java 버전이 포함됩니다. 일반적으로 이 시기는 GA(일반 가용성) 날짜가 되기 약 2주 전으로, 최종 부서 간 팀 및 보안 검증 팀이 패키지 버전 조합이 제대로 작동할 수 있는지 확인할 수 있는 기회를 제공합니다. Photon 패키지는 Unified Access Gateway에 적용되지 않는 취약점을 해결하기 위한 업데이트인 경우에도 업데이트됩니다.
Unified Access Gateway에 심각한 Photon 취약점 업데이트를 자동으로 다운로드하고 적용하는 메커니즘이 있습니까?
예. 이 기능은 버전 2009에 추가되었습니다. 경우에 따라 VMware에서 특정 버전의 Unified Access Gateway에 영향을 주는 심각한 취약점을 수정하려고 하며 실행 가능한 해결 방법을 사용할 수 없는 경우 하나 이상의 OS 패키지 업데이트를 승인할 수 있습니다. Unified Access Gateway 버전 2009부터 관리자가 인증된 패키지 업데이트에 대한 자동 확인을 구성할 수 있는 새로운 기능을 사용할 수 있습니다. 자세한 내용은 #GUID-0E29BCFB-2FB5-426E-BA24-C540392B36A8의 "자동 확인 구성" 섹션을 참조하십시오.
스캐너가 오래된 Photon 패키지를 보고한다면 Unified Access Gateway가 취약하다는 것을 의미합니까?
검사 보고서는 경우에 따라 취약점을 나타낼 수 있지만 대부분의 경우 사용 가능한 최신 버전의 패키지에 대한 보고서를 Unified Access Gateway에 적용할 수 없습니다. 취약점을 완화하기 위한 수정 작업이 이미 적용되었거나 취약성이 Unified Access Gateway에서 사용되거나 활성화되지 않은 구성 요소에 있기 때문일 수 있습니다. 취약점 스캐너는 올바르게 구성되고 최신 상태로 유지되더라도 가양성이 발생하기 쉽습니다.
‘가양성’ 취약점 검사 보고서가 있는 경우 해당 패키지에 대한 패키지 업데이트를 적용하면 Unified Access Gateway가 더 안전해집니까?
이 경우 패키지 업데이트를 적용해도 Unified Access Gateway가 ‘가양성’에 취약하지 않으므로 차이가 없습니다. VMware는 VMware 브랜딩 가상 장치에 패키지 업데이트를 적용하는 것을 지원하지 않습니다. 구성 요소를 업데이트하거나 변경하면 시스템에서 예기치 않은 동작이 발생할 수 있습니다.
VMware는 VMware 브랜딩 가상 장치에서 Photon 패키지의 고객 수정/업데이트를 지원하지 않는 이유는 무엇입니까?
- 이러한 경우 장치의 다른 소프트웨어와의 비호환성 및 구성에 대한 이전 버전과의 호환성 문제로 인해 예기치 않은 시스템 동작이 발생할 수 있기 때문입니다.
- 패키지를 업데이트하면 원래 장치 릴리스 이전에 보안 테스트 동안 감지되지 않는 새로운 보안 취약점이 발생할 수 있습니다.
- ‘가양성’의 경우 패키지 버전 업데이트를 적용해도 보안이 향상되지 않습니다.
VMware에서 수행하는 테스트는 원래 릴리스된 것과 정확히 일치하는 가상 장치 이미지로 구성되는 구성 요소 집합에서 수행됩니다.
스캐너 취약점 보고서가 우려되는 경우 VMware에서 해당 보고서에 대한 정보를 요청할 수 있습니까?
대부분의 스캐너는 네트워크에서 실행 중인 제품 및 버전을 식별하고 해당 정보를 공개적으로 알려진 취약점 목록과 비교하는 방식으로 작동합니다. 취약점 스캐너는 올바르게 구성되고 최신 상태로 유지되더라도 가양성이 발생하기 쉽습니다. 고객이 지원 요청을 제기하면 VMware 지원과 vSRC(VMware 보안 응답 센터)가 응답하고 업데이트가 특정 장치에 적용되지 않는 이유를 설명합니다.
VMware는 Unified Access Gateway 장치에서 정기적으로 검사를 실행합니까?
예. VMware 보안 개발 수명 주기에는 VMware에서 조기 분석을 수행할 수 있도록 장치의 정기적인 자동 검색이 포함됩니다.
Photon 패키지 버전은 얼마나 자주 업데이트됩니까?
여러 Photon 커널 및 패키지 업데이트가 매월 릴리스됩니다. 대부분의 경우 이러한 릴리스는 Unified Access Gateway용으로 릴리스되지 않으며 계획된 다음 Unified Access Gateway 릴리스에서 일괄적으로 릴리스됩니다.
Unified Access Gateway에 영향을 미치는 심각한 Photon 패키지 또는 Unified Access Gateway 소프트웨어 보안 취약점이 식별될 경우 이에 대해 어떻게 알 수 있습니까?
고객은 VMware 제품에 영향을 미치는 알려진 취약점으로부터 제품을 보호하기 위해 수행해야 하는 작업을 고객에게 알리기 위해 게시된 VMware 보안 권고를 구독할 수 있습니다.
Unified Access Gateway의 심각한 취약점이 식별될 경우 VMware는 어떻게 응답합니까? 계획된 다음 버전 릴리스를 기다려야 합니까?
VMware는 식별된 보안 취약점에 대한 응답 시간을 정의하는 보안 응답 정책을 게시합니다. 응답 시간은 특정 제품에 적용되는 심각도를 기준으로 합니다. 예를 들어 Unified Access Gateway에서 심각한 보안 취약점이 감지되면 VMware에서는 수정 또는 수정 작업을 즉시 시작해야 합니다. VMware는 상업적으로 타당한 가장 짧은 시간에 고객에게 수정 사항 또는 수정 작업을 제공합니다. 수정 사항은 패치 이미지 릴리스로 제공되며 고객은 가능한 한 빨리 해당 버전으로 업그레이드해야 합니다. 계획된 다음 Unified Access Gateway 릴리스까지 기다리지 마십시오. 이 경우 VMware는 보안 권고를 게시하고 해당 업데이트를 자동 업데이트로 제공할 수도 있습니다. 보안 응답 정책을 참조하십시오.
