Cloudflare가 Cloudflare Gateway와 Data Loss Prevention을 엣지 컴퓨팅 플랫폼인 Cloudflare Workers와 통합한다고 발표했다. 이는 보안 웹 게이트웨이를 허용, 차단, 격리와 같은 고정된 의사결정 모델에서 벗어나 보안 정책 평가 경로 자체에서 사용자 지정 코드를 실행하는 모델로 전환하는 단계다.
이 통합은 Zero Trust 요금제에서 이용할 수 있으며, Gateway 정책에서 Worker를 호출하는 두 가지 주요 경로를 제공한다. 하나는 현재 공개 베타 단계에서 이용할 수 있는 Forward라는 새로운 작업이고, 다른 하나는 2026년 말 이전에 출시될 예정인 Custom Functions다.
요청 전달 또는 사용자 지정 로직 실행
Forward 작업은 정책과 일치하는 요청을 위한 인라인 프록시로 작동한다. Worker는 HTTP 요청 헤더와 본문을 수신하고, 이를 원본 서비스로 전송하기 전에 수정할 수 있으며, 응답을 사용자에게 반환하기 전에 응답도 수정할 수 있다. Gateway는 TCP 연결과 TLS 종료, 재암호화, 인증서 관리, HTTP 버전 협상을 담당하므로 Worker에는 전달 로직만 맡길 수 있다.
Forward는 요청 경로를 중단하지 않고 Slack 또는 PagerDuty로 알림 전송, R2에 데이터 기록, webhook 호출, KV 저장소 업데이트와 같은 부수 작업을 수행하는 데에도 사용할 수 있다. Cloudflare는 Worker 호출이 Gateway를 실행하는 동일한 인프라에서 수행되며, 트래픽을 별도 네트워크를 통해 전달할 필요 없이 로컬 호출로 처리된다고 설명한다.
Custom Functions는 정책 평가 중에 Worker를 호출하고 문자열, 숫자 또는 부울 값을 반환한다. 이 값은 HTTP 또는 네트워크 정책의 selector로 사용할 수 있다. Worker는 정책 단계에 따라 소스 IP 주소, 사용자 신원, 기기 상태, HTTP 헤더 및 연결 데이터를 포함한 컨텍스트를 수신할 수 있다.
사용 사례
Cloudflare는 사용자 지정 함수가 JWT 클레임을 읽고 사용자의 역할 또는 그룹을 추출한 다음, 그 결과를 사용해 접근을 허용하거나 원본 서비스로 향하는 요청에 X-App-Role과 같은 헤더를 추가할 수 있다고 설명한다. 또한 사용자에게 민감한 대상에 접근하는 이유를 입력하도록 요청하는 가로채기 페이지를 구축하고, 세션은 KV에 저장하며 감사 기록은 D1 또는 Hyperdrive를 통한 내부 데이터베이스에 저장할 수도 있다.
그 밖의 사용 사례로는 외부 sandbox 서비스를 통한 파일 검사, DLP 규칙이 일치할 때 즉시 알림 전송, 여러 내부 소스를 기반으로 한 위험 계산 수행 등이 있다. Cloudflare는 두 경로를 명확히 구분한다. Custom Functions는 빠르고 특정 목적에 맞으며 상태가 없는 평가에 적합하고, Forward는 실시간 요청 전달 및 요청과 응답 처리를 대상으로 한다.
DLP 기능 확장
Cloudflare는 DLP를 위한 사용자 지정 검증 함수도 제공한다고 발표했다. 이 함수는 고객이 자체적으로 보유한 진실의 원천을 사용해 탐지 결과를 검증한 뒤 집행 결정을 내릴 수 있도록 한다. 예를 들어 탐지된 GitHub 키가 실제로 활성 상태인지 확인할 수 있으며, 비밀 또는 토큰과 유사한 패턴과 일치하는지만 확인하는 데 그치지 않는다.
검증 함수는 데이터 일부와 일치한 부분의 위치를 수신한 뒤 외부 API를 호출하고 일치 점수 또는 거부(veto) 결정을 포함한 결과를 반환할 수 있다. 이를 통해 민감한 패턴이 존재하는지 여부와 특정 사례가 실제 유출 또는 부적절한 사용을 나타내는지를 구분할 수 있다.
실질적으로 무엇이 달라지는가?
Cloudflare는 JWT 클레임을 읽거나 헤더를 수정하는 데만 사용되는 NGINX 그룹과 같은 보안 팀 관리형 중간 인프라의 필요성을 줄이려 한다. 그러나 새로운 유연성은 일부 책임을 고객 코드로 이전한다. Forward를 사용하는 애플리케이션은 사용자 경험에 부정적인 영향을 주지 않도록 신중하게 설계해야 하며, Custom Function이 실패하거나 실행 시간이 초과될 경우를 대비해 대체 동작도 미리 정해야 한다.
Workers로 전달된 트래픽은 일반 Workers 요청으로 집계된다. 이 기능은 Workers Free, Workers Paid 및 Workers for Enterprise와 함께 작동하지만, 무료 요금제는 실행 시간과 일일 요청 수에 제한을 둔다. Cloudflare는 두 경로 모두 모든 고객과 모든 유형의 요금제에서 일반적으로 제공될 예정이라고 밝혔다. 또한 Cloudflare One 제품군 내 통합 지점을 확대할 계획이며, 다음 단계로 Email Security를 고려하고 있다.