Fly.io 보안 관행과 규정 준수 (Fly.io security practices and compliance)
이 문서는 Fly.io의 보안 관행을 세 가지 영역—기업 보안(CorpSec), 네트워크/인프라 보안(InfraSec), 애플리케이션 보안(AppSec)—으로 나누어 설명해요. 또한 취약점 대응 일정과 SOC2, HIPAA 규정 준수에 대해서도 다뤄요.
**문제 보고**: 보안 우려가 있거나 인프라 일부에서 취약점을 발견했다고 생각되면 저희에게 연락해 주세요. [**security@fly.io**](mailto:security@fly.io)로 연락할 수 있으며, 민감한 정보를 전달해야 한다면 필요 시 Signal 번호를 제공해 드릴 수 있어요.기업 보안 (“CorpSec”)
CorpSec은 Fly.io 팀원들이 Fly.io 회사 인프라에 안전하게 접근할 수 있도록 하고, 보안 채널만이 Fly.io에 노출된 유일한 채널이 되도록 하는 관행이에요. CorpSec 통제는 SOC2 같은 표준의 주요 관심사예요.
- 우리의 서비스와 애플리케이션에 대한 접근은 SSO Identity Provider에 의해 게이트돼요.
- 등록된 모든 IdP 계정에서 강력하고 피싱에 강한 2FA를 요구해요.
- 내부 애플리케이션에 접근하기 위해 기본 거부(default-deny)의 역할 기반 접근 통제가 있는 IdP 기반 WireGuard에 의존해요.
- 팀 온보딩/오프보딩과 접근 요청을 포함한 정책과 감사 통제의 중앙 저장소를 보유하며, 내부 시스템에 대한 접근을 정기적으로 감사해요.
프로세스 통제: 네트워크/인프라 보안 (“InfraSec”)
InfraSec은 우리가 네트워크에 배포하는 구성 요소에 대해 강화된(hardened), 최소한의 공격 표면을 보장하는 관행이에요. 관례적으로 현대 InfraSec은 "클라우드 보안"에 중심을 두는데, 물론 우리 자신이 클라우드 제공업체라서 그 일이 더 흥미로워져요.
- 우리는 Equinix 같은 보안 데이터 센터에 배포된 자체 하드웨어에서 운영돼요.
- 우리 플랫폼 네트워킹은 추가 BPF 기반 접근 통제가 있는 WireGuard 메쉬 위에서 실행돼요. 모든 것이 전송 중에 여러 계층에서 암호화돼요.
- 원격 관리는 대부분 자동화되어 있고 완전히 감사되며, 원격 접근은 전사(transcript) 수준 감사 추적이 있는 IdP 기반 인증서 사용 SSH 시스템을 통해 이루어져요.
- Fly.io는 대규모 로깅 및 메트릭 클러스터를 운영해요(그것이 우리 플랫폼의 기능이에요!).
- 우리 내부 클라이언트/서버 서비스는 Mutual TLS로 더욱 잠겨 있어요.
- 업스트림 트래픽 제공업체와 협력해 자동 및 수동 DDoS 완화를 수행해요.
- Fly.io의 컴퓨트 작업은 AWS가 Lambda와 Fargate의 엔진으로 개발한 가상화 엔진인 Firecracker를 사용해 가상화돼요.
- Fly.io의 데이터베이스와 볼륨의 고객 정보는 Linux LUKS 블록 스토리지 암호화 시크릿으로 암호화돼요.
애플리케이션 보안 (“AppSec”)
AppSec은 소프트웨어가 설계상 안전하고, 개발 중에 보안되고, 테스트와 검토로 보안되며, 안전하게 배포되도록 보장하는 관행이에요.
- 우리 소프트웨어는 메모리 안전 프로그래밍 언어로 빌드돼요. 여기에는 Rust(Anycast 전달 경로용)와 Golang(배포 및 제어 평면용)이 포함돼요.
- 우리는 공격 표면을 최소화하는 결정을 내려요. Fly.io와의 대부분의 상호작용은 GraphQL API에 잘 기술되어 있고, 오픈소스 커맨드라인 도구인 flyctl을 통해 이루어져요.
- 현대적인 PR 기반 개발 워크플로우로 내부 코드 검토를 수행하고, 외부 테스트 업체와 계약해 소프트웨어 보안을 평가해요.
출처: 문서
본문
취약점 대응 (Vulnerability Remediation)
Fly.io의 시스템과 서비스에 직접 영향을 주는 취약점은 취약점의 심각도에 적합한 기간 내에 패치되거나 달리 해결돼요. 단, 패치나 다른 해결 지침의 공개적 가용성에 따릅니다.
심각도: 기간
- Critical(심각): 24시간
- High(높음): 1주
- Medium(중간): 1개월
- Low(낮음): 3개월
- Informational(정보): 필요에 따라
취약점 공개에 심각도 등급이 함께 온다면, 일반적으로 그것을 출발점으로 삼지만 최선의 판단에 따라 심각도를 올리거나 내릴 수 있어요.
SOC2와 HIPAA
우리는 SOC2 Type 2를 보유하고 있으며 여기에 이러한 통제 중 상당수가 문서화되어 있어요. 또한 우리 플랫폼에서 HIPAA 규정 준수 애플리케이션을 실행하는 것을 탐구하는 분들을 위해 여러 통제를 상세히 설명했어요.