[데이터넷] 클라우드는 비즈니스 속도를 가속화 할 수 있지만, 그만큼 보안위협도 높아진다는 문제가 있다. 클라우드의 속도를 보장하면서 보안을 적용하기 위해서는 서비스 개발·배포 과정 뿐 아니라 실시간 운영 과정에서도 위협을 차단하고 오류를 제거하는 방법이 필요하다. RASP·CSPM과 같은 새로운 클라우드 보안·운영 기술이 이러한 요구에 의해 조명받고 있다. <편집자>

멀티 클라우드 환경 보호를 위해 가시성 확보와 도커·컨테이너와 같은 새로운 워크로드에 대한 보안 방안이 필요하다. 이에 ‘클라우드 네이티브 애플리케이션에 대한 보안(Cloud Native Application Security)’과 ‘멀티 클라우드 설정 감사 및 실시간 위협 관리’에 대한 새로운 클라우드 보안 요구사항을 분석하고 효과적인 보안 적용 방안을 살펴본다. 

클라우드 네이티브 애플리케이션 보안
도커, 컨테이너, 데브옵스(DevOps), CI/CD 파이프라인, 서버리스(Serverless)는 클라우드 환경에서 쉽게 접할 수 있는 용어다. 기업 내 클라우드 관련 미팅에서 이 용어의 뜻을 설명하지 않아도 될 만큼 기업의 클라우드 환경에서 많이 사용되는 단어가 됐다. 

기업의 컴퓨팅 환경이 클라우드 인프라를 도입한 수준에 머무는 것이 아니라 애플리케이션 개발, 배포, 운영을 위한 애플리케이션 아키텍처도 클라우드 네이티브 환경으로 변화하고 있다는 것을 의미한다. 기업이 클라우드 인프라 환경의 구성과 운영의 부담을 덜기 위해 서버리스, FaaS(Function as a Service) 서비스 사용도 증가하고 있는 추세를 보이고 있다는 점도 주목해야 한다.

클라우드 네이티브 애플리케이션 아키텍처는 클라우드 환경의 장점을 극대화해 기업이 고객의 요구사항을 빠르게 애플리케이션에 적용해 배포할 수 있도록 지원한다. 전통적인 애플리케이션 아키텍처와 비교했을 때, 개발과 배포, 운영의 효율성을 높여준다. 

클라우드 네이티브 애플리케이션은 애자일(Agile) 애플리케이션 개발과 배포를 지원해 신속한 애플리케이션 개발, 운영 프로세스를 구축한다. 또한 개발과 운영을 통합한 데브옵스를 채택해 애플리케이션 개발 스트림에 대한 데브옵스의 CI/CD 파이프라인 구성으로 기업의 애플리케이션 생산성을 높인다. 

컨테이너 기반 애플리케이션 구조는 애플리케이션을 작은 단위로 구성하고 배포할 수 있어 애플리케이션을 플랫폼에 종속되지 않도록 한다. 도커가 설치된 기업의 모든 클라우드 환경에 배포, 실행할 수 있는 유연성과 모든 프로세스에 대한 자동화를 구현할 수 있다. 

실행 중 애플리케이션 가시성 확보 어려워
클라우드 애플리케이션은 여러 강점을 갖고 있지만, 애플리케이션 실행에 대한 가시성 확보가 쉽지 않다는 문제가 있다. 애플리케이션이 실행되면서 비즈니스 로직의 흐름과 처리되는 데이터에 대한 검증이 쉽지 않아 애플리케이션 실행 시 이용될 수 있는 공격을 탐지하고 방어하기 어렵다. 

서버리스 환경에서는 애플리케이션 실행 환경을 코드로만 접근할 수 있기 때문에 애플리케이션 실행에 대한 가시성을 확보하는 것이 쉽지 않으며, 애플리케이션에 대한 공격 탐지와 방어가 어렵다. 

많은 기업이 소스코드 보안을 도입하고 있지만 클라우드 네이티브 애플리케이션 환경에서 소스코드 보안은 한계가 있다. 애플리케이션에 대한 인젝션 공격, 원격 코드 실행, 리다이렉트 형태의 공격과 사용자와 주고받는 데이터를 이용한 악성페이로드, 악성파일 업로드 등 데이터를 이용한 공격, 허가되지 않은 파일 접근, API 호출에 대한 위협에 대한 공격 가능성은 항상 존재한다. 

애플리케이션 실행에 대한 가시성 확보가 어려운 클라우드 환경에서는 이러한 위협에 대한 탐지·방어가 어렵다. 이 문제를 해결할 효과적인 방법은 RASP(Runtime Application Self Protection) 방법이 제안된다. RASP는 개발단계에서 소스코드에 제어 흐름과 입출력 되는 데이터에 대한 안전성을 검증하는 코드를 추가한다. 애플리케이션 실행 중 보안 검증 수단을 애플리케이션에 부트 스트랩한다.

실행 시간에 애플리케이션이 스스로 자신의 제어 흐름과 처리하는 데이터를 검증하고, 불법적인 데이터 처리와 실행을 탐지하고 방어할 수 있도록 구현한다. 서버리스, 애플리케이션 보안 라이브러리에 포함시키고 애플리케이션 키를 사용해 보안 기능을 활성화하고 허가받지 않은 애플리케이션 사용과 동작을 실시간으로 탐지·차단해 기업의 자료와 비즈니스 로직을 보호한다. 

애플리케이션 실행 중 공격이 발생한 시간과 출처, 공격 유형 등 상세 공격 정보를 하나의 관리 콘솔에서 확인할 수 있도록 해 클라우드 애플리케이션에 대한 실행시간 가시성을 확보할 수 있다. 

이를 통해 보안 팀이 공격상황을 판단하고 분석해 적절한 리소스를 배포할 수 있도록 지원하며 개발자에게 코드 라인에 대한 스택 트레이스(Stack trace), 매개 변수(Parameter variable) 모니터링 정보와 애플리케이션 동작 수정 방법 등 코드의 취약점이 악용될 수 있는 방법에 대한 완벽한 가시성을 제공한다. 

RASP 기반 클라우드 애플리케이션 보안은 애플리케이션과 고객의 데이터 처리를 실시간으로 보호해야하는 애플리케이션 개발자에게 큰 변화를 요구한다. 따라서 애플리케이션 개발 스트림과 배포, 실행의 성능에 영향을 최소화하고 최신 위협 정보를 실시간으로 확인 가능한 인텔리전스의 통합도 필수다. 

멀티 클라우드 위한 설정 감사·실시간 위협 관리
가트너의 ‘클라우드 보안 형상 관리(CSPM)’를 위한 혁신 인사이트’ 보고서에서는 “2023년까지 발생하는 클라우드 보안 장애의 99%는 고객들의 실수로 인해 발생할 것”이라고 전망했다. 이처럼 클라우드 구성 오류를 이용한 공격이 빈번하게 발생하면서 CSPM 도입 필요성이 높아지고 있다. 멀티 클라우드 운영, 보안 관리에 대한 이슈가 발생하는 이유는 다음과 같다.

● 새로운 클라우드 서비스 폭발적인 증가
새로운 클라우드 서비스가 출시되고 기업의 사용이 증가하면서 새롭게 고려해야 하는 관리 포인트가 증가하는 것은 당연하지만 새로운 클라우드 서비스에 대한 경험이 부족하기 때문에 그만큼 시행착오에 대한 부담이 증가하고 최적화까지 시간과 비용이 발생된다. 이는 새로운 클라우드 서비스를 구성할 때 항상 반복된다. 

● 클라우드에 대한 다양한 의견 반영
기업 내 다수 조직이 클라우드 환경을 이용하게 되면서 관리 수립과 정책 적용, 관리에 필요한 의사 결정에 많은 팀의 의견이 반영돼야 하는 이유로 이슈가 생겨난다. 전사적인 클라우드 인프라, 서비스에 대한 정책 결정과 적용에 복잡하고 어려운 과정이 필요하게 된다. 

● 클라우드 가시성 확보 어려움
클라우드 환경에 대한 가시성 확보에 어려움이 발생한다. 기업 내 각각 부서의 업무 특성과 목적에 따라 다양한 서비스를 이용하게 되고 클라우드 워크로드의 물리적 위치도 글로벌하게 다양한 리전에 구성될 수 있기 때문에 한눈에 전체적인 클라우드 인프라와 서비스에 대한 가시성 확보가 어렵고, 끊임없이 확장·축소(Scale Out·Scale In)를 반복하는 클라우드 환경의 특성으로 정확한 가시성을 확보하기는 점점 불가능하게 된다. 가시성 부족으로 클라우드 환경에 대한 정확한 비용 계획, 비용 관리 또한 어렵게 된다. 

● 실시간 보안 관리 어려움
동적이고 복잡한 구성을 필요로 하는 클라우드 구성의 잘못된 설정으로 발생하는 다양한 공격 벡터에 대한 모니터링과 글로벌 리전이 속한 국가마다 다른 보안규정(컴플라이언스) 유지에 대한 이슈가 발생하게 된다.

멀티 클라우드 운영 복잡성을 해결하기 위해 제안되는 CSPM은 가장 먼저 클라우드 서비스에 대한 정확한 구성 가이드 기반의 클라우드 설정 감사 기능이 필요하다. 기업이 사용하고 있는 클라우드 서비스에 대해 정확한 구성과 설정 가이드 기반으로 모니터링해 잘못된 구성과 설정으로 발생할 수 있는 잠재적 이슈를 보고하고 가이드에 따라 해결 방법을 제공할 수 있어야한다. 

또한 실시간으로 변화하는 클라우드 환경에 대한 잘 알려진 표준 보안규정(예, GDPR, NIST, PCI-DSS, CIS, HIPPA 등)에 대한 위배 정보를 실시간으로 보고하고 수정 방안을 상세하게 제공하는 것이 필요하다. 물론 국내와 같이 특정 국가에만 적용되는 보안규정을 관리자가 적용하고 그에 대한 실시간 보고를 확인할 수 있는 기능 지원도 중요하다. 

이러한 클라우드 설정 감사와 보안 규정에 대한 실시간 검사를 통해 클라우드 환경에 대한 실시간 위협에 대한 추가적인 보고서를 생성하고 빠르고 정확한 해결방안을 제시하는 것이 클라우드 보안에서 CSPM의 중요한 부분이 될 것이다. 아울러 기업의 복잡한 클라우드 환경과에 단순하고 쉬운 연동 수단을 제공해 CSPM의 적용에 대한 큰 효과를 얻을 수 있을 것이다.