Carousell

Cloudflare Zero Trust로 Carousell의 내부 네트워크를 보호하고, 직원들이 원격으로 원활하게 액세스할 수 있음

2012년 Quek Siu Rui, Lucas Ngoo, Marcus Tan에게는 하나의 아이디어가 있었습니다. 스마트폰으로 채팅하는 것만큼 쉽게 상품을 살 수 있고 사진 한 장 찍는 것만큼 쉽게 팔 수 있는 마켓플레이스를 웹 기반으로 만드는 것이었습니다. Carousell은 그 아이디어를 현실로 만들었습니다.

Today, Carousell is one of Asia's largest C2C ecommerce marketplaces. They are one of the top lifestyle shopping apps in Singapore, Hong Kong, and Taiwan, and have a rapidly growing presence across Indonesia, Malaysia, Australia, and the Philippines. Carousell users turn to the site to buy cars, property, fashion, household appliances, assistive devices, and electronics. The site also hosts job listings and offers services across a continually expanding range of industries.

싱가포르 인구의 1/4 이상이 Carousell을 이용하며, 점점 더 많은 싱가포르와 세계의 이용자가 이 사이트에 들어오면서 숫자가 점점 더 늘어나고 있습니다.

Cloudflare WAF와 전역 클라우드 네트워크, 2016년부터 시작된 성공적인 파트너십

2016년에 Carousell은 Cloudflare를 이용하여 매달 1PB의 이미지를 서비스하면서 고객에게 원활한 사용자 경험을 제공했습니다. 트래픽이 늘어남에 따라 Cloudflare는 Carousell이 높은 성능 요구 사항을 충족하도록 하면서 해당 회사의 정기 반짝 세일과 같은 고 트래픽 이벤트 동안에도 가동 시간을 보장했습니다. Cloudflare를 이용하여 필요에 따라 동적 페이지를 캐시하면서 Carousell은 일반적인 트래픽량이 3배 이상 급증해도 이를 부담 없이 처리할 수 있습니다. 이는 경쟁 관계인 CDN 공급자들이 비슷한 데이터량에 대해 더 높은 비용을 치르고도 따라잡지 못한 수준의 성능이었습니다.

"Cloudflare와의 관계는 우리가 DNS 및 SSL 종료 요건을 위한 솔루션을 찾다가 시작되었습니다. 당시 우리는 Cloudflare Cache를 탐색하기 시작했고 다른 CDN에 있던 우리 자산을 이전하기 시작했습니다." Carousell 그룹의 DevOps, SR(사이트 안정성), 플랫폼, 사이버보안 엔지니어링 부문 선임 이사인 Sanjeev Jaiswal은 이렇게 설명합니다. "이제 캐싱은 100% 완료되었습니다. Cloudflare의 글로벌 에지 네트워크에서 우리의 CDN, WAF, 캐싱, SSL 엔드포인트, DNS 요건이 처리됩니다. Cloudflare는 우리가 사업 목표를 달성하도록 도와주고 투자대비 높은 수익을 올릴 수 있도록 해줍니다."

In addition to speeding up and scaling the platform, Cloudflare protects Carousell against volumetric security threats like DDoS attacks and resource-draining bots, as well as malicious activity like cross-site scripting (XSS). The Cloudflare Web Application Firewall (WAF) leverages collective threat intelligence to identify and prevent malicious requests, empowering Carousell to proactively defend against incoming attacks and ensure application availability.

“The Cloudflare WAF ticks all of our boxes with OWASP (Open Web Application Security Project) and Cloudflare specialized rules. We can also easily add custom rules, making Cloudflare a perfect fit for our needs,” recalls Jaiswal. “After turning on the firewall features, there was no measurable hit on latency. Cloudflare security features don’t impact our overall site performance, and our user experience doesn’t degrade as we put more checks in place. That is one of the biggest ongoing benefits we see using Cloudflare.”

Cloudflare Zero Trust로 인력 보안 문제 해결하기

Since 2019, Carousell has progressively embraced remote work to navigate the COVID-19 pandemic and to support an increasing international employee and contractor workforce. In light of these fundamental changes, Carousell began a strategic reexamination of its own organizational security. This meant a renewed focus on protecting internal infrastructure while providing secure employee access to corporate applications.

"우리는 모든 것을 새로운 시각으로 살펴보고 있습니다. 확장된 보안 팀을 온보딩하고 외부 감사인과 협력하여 새로운 보안 정책을 시행하며 보안 연구자 및 윤리적 해커들과 버그 바운티 프로그램에 참여하면서 말입니다." Jaiswal은 말합니다. "목표는 이러한 이니셔티브에서 발견한 사항을 적용하여 사이트 기능을 향상하고 Carousell 인프라 및 응용 프로그램에 대한 액세스를 개선하면서 ID 및 권한 관리에 대한 접근 방식을 조정하는 것입니다."

이 회사에서는 Cloudflare를 이용하기 전에 경쟁업체이자 초기에 Zero Trust 네트워크 액세스(ZTNA) 분야로 진입한 업체를 고려했습니다. 그러나 해당 공급업체의 솔루션이 복잡했기 때문에 채택하기 어렵고 최종 사용자의 입장에서도 바람직하지 않다고 판단했습니다.

"Carousell은 보안이나 액세스의 간편함 측면에서 훌륭한 아키텍처를 갖추고 있지 못했습니다. 매우 번거로운 구조였기 때문에 간소화하려는 마당에서 그러한 수준의 복잡성을 반복하고 싶지 않았습니다."라고 Jaiswal은 말했습니다. "우리가 고려했던 다른 솔루션은 구현하기에 너무 복잡했습니다. 하나의 장치에 단순한 SSH 액세스만 하는 데도 여러 명령줄 매개 변수가 필요했습니다. 그에 비해 Cloudflare Zero Trust 솔루션은 구현하기 쉬웠고 아주 잘 정의되어 있었습니다." 그는 이렇게 덧붙였습니다.

Carousell implemented Cloudflare Zero Trust to safeguard access to its internal applications, websites, and domains across cloud and on-premise environments. The solution eliminated the company’s concerns about using riskier alternative access methods, such as IP- and geolocation-based controls or catch-all passwords.

Cloudflare와 함께 하면서 Carousell은 이제 선호하는 ID 공급자 확인에 기반하여 응용 프로그램 액세스 권한을 부여하며, 관리자는 사용자 역할 및 그룹 멤버십을 기반으로 하여 앱별로 더욱 강력한 보안 정책을 구축합니다. 이 과정에서 Carousell은 단일 액세스 지점으로서의 기존 VPN에서 벗어나 모든 액세스 이벤트에 대한 가시성을 되찾았습니다.

Carousell은 Cloudflare Zero Trust를 이용하면 즉각적으로 이점을 누릴 수 있음을 알아보았습니다. Cloudflare Zero Trust 덕분에 응용 프로그램에 인증하는 직원과 그러한 액세스를 구성하는 보안 팀 모두가 시간을 절약하고 효율을 개선할 수 있었습니다.

"Cloudflare로 우리 개발자들은 원격 연결을 간소화하고 생산성을 개선합니다. VPN 프로필을 다운로드하고 액세스를 구성하며 어떤 리소스에 연결해야 할지 파악하는 대신, Zero Trust 솔루션은 쉽게 구성할 수 있는 하나의 에이전트를 미리 정의된 라우팅과 함께 제공합니다. 프로덕션 또는 비프로덕션 리소스에 쉽게 원활한 연결이 가능합니다. 이것만 해도 매달 사용자 1명당 최소 15분이 절약됩니다." Jaiswal은 말합니다.

"SRE 팀 입장에서는 훨씬 더 절약됩니다. 우리는 이제 다양한 프로덕션 환경을 위하여 신뢰할 수 없는 여러 VPN 터널의 문제를 해결하고 가용성을 유지할 필요가 없습니다." 계속해서 Jaiswal이 말합니다. "Cloudflare에 덕분에 엄청난 시간을 절약하고 문제 발생을 줄일 수 있었습니다. 절약한 시간을 활용해서 더 큰 프로젝트 및 이니셔티브에 집중할 수 있게 되었지요."

Zero Trust 네트워크 액세스를 구현함으로써 Carousell은 내부 보안 정책 유지에 쓰는 시간도 줄일 수 있었습니다. 중앙 집중화 관리를 하면 사용자 역할 생성과 유지 관리가 쉬워지며, 직원이 이직하면 권한을 취소하는 것도 쉬워집니다.

"Cloudflare는 사용자의 자격 증명을 역할과 연계하기 때문에 직원이 퇴사할 때도 SRE 팀이 쉽게 계정을 비활성화하고 제거하며 방화벽 액세스를 금지할 수 있습니다." Jaiswal이 말합니다. "단일 관리 지점을 이용하므로 작업이 크게 간편해집니다."

Carousell은 500개의 Zero Trust 라이선스로 시작되었으며 현재는 사업 부서 전체에 걸쳐 총 800~1000명의 기술 및 비기술 직원으로 확장할 계획입니다.

또한 Carousell SRE 팀에서는 Cloudflare 속도 제한을 기존의 클라우드 인프라와 통합하는 방법을 모색하고 있습니다. 이 팀은 5배나 더 비싸면서도 거의 동등한 기능을 제공하는 경쟁사 제품을 대체할 계획입니다.

전에 Cloudflare 솔루션으로 작업해본 적은 없었지만, 비슷한 서비스를 제공한다는 많은 제품을 경험해본 당사자로서 Jaiswal은 특히 Cloudflare의 간편한 사용과 지속되는 고객 지원에 감탄했습니다.

"Cloudflare의 명쾌한 온보딩 튜토리얼과 교육 자료를 기초로 우리 자체의 내부용 동영상을 만들면서 학습 속도가 빨라졌습니다." 그가 말합니다. "더욱 중요한 것은 Cloudflare 고객 팀이 쿼리에 대한 답변, 문제 해결, 향후 로드맵 발표 제공에 이르기까지 뛰어난 소통 능력으로 응대해준다는 점입니다."

"Cloudflare는 사용하기 쉽고 시계처럼 믿을만하면서도 복합적인 Zero Trust 보안 솔루션을 효율적으로 제공합니다." Jaiswal이 덧붙입니다. "저렴하고 별도의 조치 없이 바로 작동할 수 있으며 기존의 클라우드 환경과 인프라와도 원활하게 통합할 수 있습니다."