Cato Cloud에서 WebSocket 검사

참고

참고: 이 기능의 활성화 및 사용에 관한 더 많은 정보를 원하시면 feature-releases@catonetworks.com에 연락하세요.

개요

현대 기업 애플리케이션은 점점 더 전통적인 HTTP 요청/응답 모델 대신 WebSocket(WS) 통신에 의존합니다. Slack, Microsoft Teams, Zoom 같은 플랫폼과 ChatGPT, Copilot 같은 AI 서비스는 실시간 양방향 통신을 위해 WebSockets를 사용하여 단일 지속 연결 위에서 작동합니다.

이러한 변화는 중요한 가시성과 보안 격차를 초래합니다: HTTP 트래픽에 중점을 둔 전통적인 검사 기술은 연결이 설정된 후 WebSocket 페이로드를 분석할 수 없습니다.

Cato Cloud는 CASB, DLP, AI 보안 사용 사례 전반에 걸쳐 전체 가시성과 강제 적용을 가능케하는 깊은 WebSocket 검사로 이러한 도전을 해결합니다.

핵심 혜택

현대 앱 전반에 걸쳐 완전한 애플리케이션 계층 가시성
SaaS 및 AI 서비스에 대한 정확한 정책 강제 적용
실시간 데이터 보호를 위한 개선된 DLP 기능
완전한 감사 로그로 강화된 준수 성격
WebSocket 블라인드 스팟의 제거

사용 사례

AI 보안 (AI 방화벽)

AI 애플리케이션은 WebSocket 스트리밍에 크게 의존합니다.

검사 없음:

프롬프트와 대응은 보이지 않습니다
민감한 데이터 (PII, 소스 코드)가 감지되지 않고 누출될 수 있습니다

검사 있음:

프롬프트와 대응에 대한 전체 가시성
감지 능력:
- 데이터 누출
- 정책 위반
- 악성 또는 안전하지 않은 AI 출력물

CASB 강제 적용

현대 SaaS 플랫폼은 핵심 작업에 WebSockets를 사용합니다.

검사 없음:

오직 연결 수준의 가시성 (예: “Slack에 연결됨”)
사용자 활동을 구분할 수 없음

검사 있음:

세세한 활동 감지:
- 파일 업로드/다운로드
- 메시지 게시
- 데이터 공유
작업마다의 정책 강제 적용 (예: 민감한 업로드 차단)

가시성, 로깅, 그리고 준수

WebSocket 파싱 없음:

애플리케이션 계층 로그 누락
미완성 SIEM 데이터
DLP와 감사 실패

파싱 있음:

완전한 사건 재구성
정확한 감사 기록
준수 준비 로깅

WebSocket 검사가 필요한 이유

초기 HTTP 업그레이드 핸드셰이크 후, WebSocket 연결은 프레임 메시지의 연속 스트림으로 애플리케이션 데이터를 전달합니다. 이 메시지들:

표준 HTTP 검사 엔진에 보이지 않습니다
구조화된 또는 비구조화된 데이터 (JSON, 바이너리, 독점 형식)를 포함할 수 있습니다
다음과 같은 민감한 정보를 포함할 수 있습니다:
- 사용자가 생성한 콘텐츠
- 파일 전송
- AI 프롬프트와 대응

적절한 파싱이 없으면, 보안 엔진은 메타데이터 (예: IP, 포트, TLS 세션)만 보고 애플리케이션 계층의 모든 컨텍스트를 잃게 됩니다.

WebSockets 검사의 어려움

프로토콜 특성로 인해 WebSocket 검사는 복잡합니다:

프레임 단편화 – 메시지는 여러 프레임에 걸쳐 분할될 수 있습니다
마스킹 – 클라이언트에서 서버로의 페이로드가 혼란스럽습니다
멀티플렉싱 – 여러 논리적 메시지가 하나의 연결을 공유할 수 있습니다
프로토콜 다양성 – 페이로드는 JSON, GraphQL, MessagePack, 또는 독점 형식을 사용할 수 있습니다

효과적인 검사는 보안 분석이 발생하기 전에 전체 파싱, 재조립, 그리고 디코딩을 요구합니다.

Cato Cloud가 WebSockets를 검사하는 방법

Cato Cloud는 다층 접근 방식을 사용하여 실시간으로 WebSocket 검사를 수행합니다:

프레임 수준 파싱
- 표준 HTTP 검사 엔진에 보이지 않습니다
- 구조화된 또는 비구조화된 데이터 (JSON, 바이너리, 독점 형식)를 포함할 수 있습니다
- 다음과 같은 민감한 정보를 포함할 수 있습니다:
  - 사용자가 생성한 콘텐츠
  - 파일 전송
  - AI 프롬프트와 대응
프로토콜 인식 디코딩
- 애플리케이션 프로토콜을 식별합니다 (예: JSON, GraphQL)
- 구조화된 데이터 필드를 추출합니다
이벤트 추출
- 메시지를 의도에 맞는 보안 이벤트로 전환합니다, 예를 들어:
  - 사용자 작업
  - 데이터 전송
  - AI 상호작용
엔진 통합
- 파싱된 데이터를 전송합니다:
  - CASB 정책
  - DLP 검사
  - AI 방화벽 분석