플랫폼에 통합한 솔루션으로 하이브리드 업무 환경 보호
[데이터넷] 최근 사이버 보안 분야에서 ‘제로 트러스트(Zero Trust)’가 가장 많이 언급되고 있다. 제로 트러스트 아키텍처(ZTA), 제로 트러스트 네트워크 액세스(ZTNA), 제로 트러스트 엣지(ZTE) 등 다양한 제로 트러스트 구현 방법론도 제안된다.
제로 트러스트는 ‘아무것도 신뢰하지 않는다’는 것을 전제로 한다. 제로 트러스트에서 ‘신뢰’는 인증(Authentication)과 권한(Authority) 부여를 의미한다. 모든 접근을 신뢰하지 않는 상태에서 시작하며, 정상 사용자 계정으로, 정상 권한 내에서, 정상 상황에서 접근을 시도하는지 검증한다. 정상 계정·권한이라도 접근 가능한 범위를 최소화하는 최소 권한 원칙을 적용하며, 지속적인 검증과 모니터 링으로 비즈니스 전반에서 보안 수준을 유지할 수 있도록 한다.
미국표준기술연구소(NIST)의 ‘NIST SP 800-207 제로 트러스트 아키텍처’에 서는 제로 트러스트 7가지 원칙을 아래와 같이 설명한다.
- 모든 데이터 소스와 컴퓨팅 서비스는 리소스로 간주한다
- 네트워크 위치와 관계없이 모든 통신을 안전하게 만든다.
- 개별 엔터프라이즈 리소스에 대한 액세스는 세션 각각으로 승인된다.
- 리소스에 대한 액세스는 클라이언트 ID와 애플리케이션, 서비스, 요청 자산의 관측 가능 한 상태 등 동적 정책에 의해 결정된다. 또 다른 동작, 환경적 속성이 포함될 수도 있다.
- 기업은 모든 소유 및 관련 자산의 무결성과 보안 상태를 모니터링하고 측정한다.
- 모든 리소스 인증 및 권한 승인은 가변적이며 액세스를 허용하기 전에 엄격히 적용한다
- 기업은 자산, 네트워크, 인프라, 통신의 현재 상태에 대한 정보를 가능한 한 많이 수집 하고, 이를 활용해 보안 상태를 개선한다.
현실에 적용 어려운 ZTNA
제로 트러스트 보안은 현재 사용 중인 다양한 보안 솔루션과 안전한 업무 환경을 추구한다는 목적은 동일하지만 동작 방식에서 큰 차이가 있다. 간단한 예로 안티바이러스(AV) 솔루션의 경우, 사용자 PC에 생성(다운로드)되는 파일을 블랙리스트 방식으로 검사한다. 기존에 보고된 사례가 있거나 유사한 패턴의 악성코드는 차단되지만 기존에 알려지지 않은 정상 소프트웨어 구조 코드는 차단하지 않는다.
공공·금융기관과 개인정보 시스템 등에 적용된 망분리는 인터넷 영역의 악성코드가 유입될 수 없도록 하지만, 외부와 연계되는 업무를 수행하는 사람과 기기, 외부로 서비스를 해야 하는 장비가 위치하는 별도의 망(DMZ)을 구성하고 있어 예외상황으로 인한 악성코드 침입 가능성이 있다.
제로 트러스트 보안 원칙이 이러한 보안 문제를 모두 해결할 수는 없다. 아무것도 신뢰할 수 없는 상황에서 기존 업무를 수행할 수 있는 환경을 구성하기 위해 많은 어려움이 따른다.
대표적인 제로 트러스트 보안 제품인 ITU/SDP의 경우, 사전에 허용된 소프트웨어, 프로토콜만 허용하기 위해 현재 사용 중인 업무 환경의 모든 정보(소프트웨어 구조, 프로토콜 등)를 수집해 각각의 환경에 대한 검증, 예외처리를 하는 복잡한 사전 과정을 거쳐야 한다. 또한 지속적인 소프트웨어 업데이트 등 변경을 지원해야 해 관리 복잡성과 설정오류로 인한 보안 취약점이나 업무 불편이 수반될 수밖에 없다.
최근 어디서나 일하는(WFA) 하이브리드 업무 환경이 확산되면서 집, 커피숍, 해외 및 원격지 등 장소 제한 없이 일하게 되면서 제로 트러스트 원칙이 더 강조되는데, 유연하고 자유롭게 일하고자 하는 직원에 대해 지속적으로 검증하고 모니터링한다며 업무를 불편하게 만들어서는 안된다.
마찬가지로 보안 조직이 심각한 업무 폭증을 겪어서도 안 된다. 도입하려는 조직의 IT·업무환경에 대한 깊이 있는 이해를 바탕으로 초기 설계부터 제대로 구축해야 한다.
이러한 이상을 만족하기에는 보안 현장에 제로 트러스트 원칙에 대한 전문성도 충분하지 않고, 기존의 IT 및 업무환경이 제로 트러스트를 적용하기에 적합하지 않은 면도 있다.
강력한 보안 지원하는 IPSec VPN
원격접속을 위해 VPN을 주로 사용하는데, VPN은 인터넷 과 같은 외부 네트워크 환경에서 기업·기관의 내부 네트워크에 안전하게 연결할 수 있도록 한다. VPN은 연결 방식에 따라 네트워크와 네트워크를 연결(Site to Site)하는 IPSec VPN과 클라이언트와 네트워크를 연결(Client to Site)하는 SSL VPN으로 나눌 수 있다.
일반적인 사용자 원격근무에는 SSL VPN을 많이 사용하고 있다. 코로나19로 인해 많은 기관·기업이 과거 도입한 SSL VPN의 낮은 버전을 최신 버전으로 업그레이드하거나, 신규 도입하는 사례가 기하급수적으로 늘어 2020년 하반기, 2021년 SSL VPN 개발사의 매출이 급격히 올랐다.
SSL VPN은 OSI 7계층 중 6계층인 표면 계층에서 데이터를 암호화하는 방식으로 보안을 수행하며, 하나의 장비로 구성할 수 있어 비용 부담이 상대적으로 낮다. 그러나 최근 높은 보안 수준을 요구하는 환경이나 클라우드 환경, UDP 프로토 콜 사용에 제약이 있어 IPSec VPN의 수요도 높은 편이다.
IPSec(Internet Protocol Security)은 국제 인터넷 표준화 기구(IETF)에서 설계한 표준(RFC2401)으로 IPv4에서 보안이 필요한 경우에만 선택적으로 사용했지만, IPv6부터는 기본 스펙에 포함돼 있다.
IPSec에서 지원하는 보안 기능은 아래와 같다.
- 기밀성(Confidentiality): 대칭 암호화를 통해 기밀성 제공. 단 AH 프로토콜은 암호화를 지원하지 않으며 ESP 프로토콜만 암호화를 지원
- 비연결형 무결성(Connectionless Integrity): 메시지 인증 코드(MAC)를 통해 각 IP 패킷별로 무결성 보장. 송신측에서 인증 데이터·MAC 값을 계산해 전송하고 수신측에서 이를 검증한다.
- 데이터 원천 인증·송신처 인증(Data Origin Authentication): 메시지 인증 코드를 통해 IP 패킷이 올바른 송신처로부터 온 것임을 보장해준다.
- 재전송 공격 방지(Protection Against Replays): 송신 측에서 IP 패킷별로 순서번호(Sequence Number)를 전송하고 수신 측에서 해당 보안연관(SA)에 순서번호를 유지하고 이를 검증함으로써 재전송 공격을 방지한다.
- 접근 제어(Access Control): 보안 정책을 통해 송수신 IP 패킷에 대한 시스템 접근을 제어한다. 접근 제어 방식은 IP 패킷의 허 용, 폐기, 보호 등이 있다.
- 제한된 트래픽 흐름의 기밀성(Limited Traffic Flow Confidentiality): ESP/터널모드의 경우 뉴 IP헤더를 통해 터널·보안 게이트웨이 구간의 트래픽 흐름 정보는 노출되지만 원본 IP 헤더는 암호화 되어 있기 때문에 터널/보안 게이트웨이와 종단 노드 구간의 트 래픽 흐름의 기밀성은 보장된다.
(자료: https://itragdoll.tistory.com/52)
IPSec VPN은 OSI 7계층 중 3계층인 네트워크 계층(IP 프 로토콜 사용)에서 암호화를 수행하므로 IPSec VPN 터널을 통해 이동하는 패킷이 가진 헤더, IP 주소, 데이터부분이 모두 암호화 처리돼 전달된다. 즉 안정적이고, 기밀성을 유지하고 애플리케이션에 대한 의존성이 없다. 이처럼 안정적인 네트워크 연결을 지원하거나 다양한 클라우드 환경을 지원하기 위해서는 IPsec VPN이 필수다.
IPSec VPN·ZTNA 결합으로 하이브리드 업무 보호
IPSec VPN은 안전한 네트워크 확장을 위한 최적의 솔루 션이다. 하지만 사용자 인증 탈취나 장비(PC)가 악성코드에 노출된 상황은 IPSec VPN의 보안 영역을 벗어나 AV, 방화 벽, 2차 인증(OTP, MFA) 등의 추가적인 보안 수단이 필요 하다.
특히 사용자 인증 정보를 탈취하는 공격은 제로 트러스트 원칙의 최소 권한 정책과 블랙리스트 보안을 적용해야 한다. 그러나 실제로 이를 적용하면 사용자 경험이 저하되고 보안 복 잡성이 높아지며 보안 관리자 업무가 폭증한 다는 문제가 있다.
가트너의 ‘2022년 주요 보안 리스크 관리 트렌드’에서는 최신 보안위협에 대해 ▲공격 영역 확장 ▲디지털 공급망 리스크 ▲신원 위협 탐지 및 대응 ▲인식을 넘어서다 등으로 요약하며, 다양한 공격과 위협에 대해 경고했다. 이어 그 대응책으로 ▲의사 결정 분산 ▲공급업체 통합 ▲사이버 보안 메시 아키텍처(CMSA)와 같은 대응 방안을 제시하고 있다.
이 방안 중 공급업체 통합은 보안 리스크를 줄이고, 관리 효율성을 높이며, 총비용을 낮추고, 운영 효율성을 향상시키는 장점이 있다. 그래서 여러 보안 기술을 통합한 솔루션이 잇달아 등장하고 있다. 그 예로 퓨쳐시스템의 IPSec VPN과 엠엘소프트의 SDP의 융합 솔루션이 있다. 이는 본사와 지사, 지사와 지사, 회사 대 회사 공통업무 혹은 다수가 동시에 업무를 진행해야 할 때 유용하게 사용될 수 있다.
ITU/VPN(IPSec VPN) 기능을 활용하면 안정적인 네트워크 환경하에 업무를 할 수 있다. 1인이 출장지나 휴가지에서 또는 긴급하게 본사나 지사로 업무를 위해 네트워크 접근 시 ITU/VPN(SDP)를 활용해 원격지에서 안전하게 업무를 수행할 수 있다.
한편 퓨쳐시스템은 빅데이터 기반 분석솔루션 ‘X-ITM’에서 강화된 탐지 및 대응, 보안 서비스, 엣지, 클라우드 네이티브 애플리케이션 보호 플랫폼 등 새로운 플랫폼 접근 방식으로 융합 솔루션의 이점을 제공한다.
