금융위원회가 7월 발표한 ‘전자금융 안전성 제고를 위한 금융전산 보안 강화 종합대책’에 따르면 금융회사의 전산센터는 2014년까지 물리적 망분리를 의무적으로 실시하고, 본점과 영업점은 규모에 따라 단계적으로 추진하되, 망분리 방식은 선택할 수 있도록 했다.
금융위는 이에 대한 가이드라인을 8월 중 배포할 예정이며, 금융회사는 망분리 구축시 기획 단계에서 금융감독원의 사전검토를 받고, 시스템 운영 이전에 사전 검토에서 발견된 취약점을 제거해야 한다. 이번 대책에서 주목되는 점은 전산센터에 대한 물리적 망분리를 의무화했다는 점이다. 망분리 시장은 논리적 망분리가 대세를 이루고 있으며, 물리적 망분리를 검토했던 기관들도 거의 대부분 논리적 망분리로 돌아선 상황이다.
금융위가 전산센터의 물리적 망분리를 지정한 것은 3·20 전산망 마비 사고가 큰 영향을 미친 것으로 파악된다. 3·20 사고 당시 일부 피해기관은 안티바이러스 소프트웨어의 업데이트 서버가 감염돼 내부망을 마비시켰는데, 망분리가 적용됐다면 이러한 사고를 방지할 수 있었을 것이라는 주장이 강력하게 제기된 바 있다.
물리적 망분리는 업무망과 외부 인터넷망을 물리적으로 분리하는 것으로, 2대의 PC를 이용해 다른 네트워크 망을 통해 업무를 수행한다. 지능형 타깃공격이 성행하면서 예기치 못한 보안 취약점을 파고드는 보안사고가 연이어 일어나면서 강력한 수준의 보안이 요구됐으며, 금융권의 중요한 전산시설은 물리적 망분리를 도입하도록 했다.
물리적 망분리, 높은 비용으로 확산 어려워
망분리는 업무에 사용하는 네트워크와 외부 인터넷 사용을 위한 네트워크를 분리해, 내부정보를 보호한다. 망분리는 가장 강력한 보안 환경으로 인정받고 있으며, 선진국에서도 중요한 국가기반 시설이나 금융기관의 주요 전산시설 등에 물리적 망분리 환경을 도입하고 있다.
우리나라에서는 내부정보 유출 방지를 위해 공공기관 망분리 사업이 진행되고 있으며, 정보통신망법과 금융위원회 금융전산 보안 대책을 근거로 통신사, 대형 인터넷 서비스 기업, 금융권 등에서 망분리 사업이 진행되고 있다.
이효 VM웨어코리아 이사는 “선진국의 망분리와 우리나라의 망분리는 성격이 다르다. 미국, 일본 등에서는 물리적 망분리를 통해 보안을 강화하거나 데스크톱 가상화를 이용해 가상PC를 통해 업무를 진행해 스마트워크로 활용한다. 우리나라에서는 업무 환경 변화 없이 보안을 강화할 수 있도록 망분리 기술을 적용하고 있어 요구수준이 매우 높은 편”이라고 말했다.
우리나라 사람들의 PC 사용 습관은 여러개의 애플리케이션을 동시에 구동시키며, 웹 브라우저도 여러 페이지를 열어두고 사용한다. 업무시간에도 개인적인 일을 처리하기 위해 인터넷을 이용하기 때문에 업무용 애플리케이션 이외의 프로그램도 PC에서 구동시킬 수 있어야 한다.
물리적 망분리는 업무환경의 변화 없이 강력한 보안을 제공할 수 있다. 업무용 네트워크에서 실제 업무를 진행하고, 업무 혹은 사적인 용도로 외부 인터넷 작업을 수행할 때에는 인터넷 전용 PC를 이용한다. 한 사람이 2대의 PC를 사용하는 경우도 있고, 인터넷 전용으로 사용하는 공용PC를 두고 여러 사람이 함께 사용하기도 한다.
물리적 망분리는 막대한 비용이 든다는 한계가 있다. 업무용 폐쇄망과 인터넷 망을 함께 운영하기 때문에 네트워크 구축·운영 비용이 2배로 늘어난다. 업무망과 인터넷망의 네트워크 장비가 도입돼야 하며, 각 구간마다 필요한 보안장비도 별도로 적용해야 한다. PC 역시 업무용 PC와 인터넷용 PC를 마련해야 한다. 모든 장비와 PC에 탑재되는 각종 소프트웨어 라이선스도 2배로 늘어나고, 전기요금도 매우 높아진다.
일부 기업/기관의 경우, 건물이 노후화돼 네트워크 증설이 어려워 물리적 망분리가 불가능한 경우도 있으며, 직원의 책상에 2대의 PC가 구동돼 발열과 소음, 비좁은 공간 문제로 업무 생산성을 떨어뜨릴 수 있다.
망분리 기술 중 물리적 망분리가 가장 강력한 보안을 제공하는 것은 사실이지만, 보안홀이 아주 없는 것은 아니다. 업무를 진행하다 보면 인터넷 검색을 통해 얻은 콘텐츠를 내부 업무에 적용해야 하는 일이 발생할 수 있다. 내부 업무를 외부 인터넷을 통해 게시하거나 외부에 이메일로 전송해야 하는 일도 있다.
이럴 때 망연계 솔루션을 이용해 내부망과 외부망의 콘텐츠를 이동시킬 수 있는데, 망연계 구간이 보안홀이 될 수 있다. 전체 네트워크를 통제하는 것 보다 망연계 구간만 통제함으로써 보안 취약점을 효과적으로 관리할 수 있다. 그러나 물리적 망분리 환경에서는 인터넷 망에 대한 관리가 제대로 이뤄지지 않기 때문에 인터넷망을 감염시킨 악성코드가 망연계 솔루션을 타고 내부 시스템으로 곧장 진입할 수 있다.
또한 사용자들이 인터넷 전용으로 사용하는 PC는 관리하지 않아도 된다는 생각으로, 보안관리를 제대로 하지 않아 수많은 악성코드에 감염되고, 인터넷 PC가 심각한 보안홀이 될 수 있다. 실제로 금융기관 등에서 인터넷 전용으로 공용PC를 사용하면, 해당 PC에 수십명 직원의 공인인증서가 저장돼 있는가 하면 수많은 바이러스에 감염돼 PC가 제대로 구동되지 않는 등의 문제가 있었다.
의외의 고비용 소요되는 논리적 망분리
논리적 망분리는 가상화 기술을 이용해 업무용과 인터넷으로 네트워크를 나눠 사용하는 방식으로, 서버에 가상PC를 두고 원격에서 접속해 사용하는 서버기반 컴퓨팅(SBC)과 사용자 단말에 가상화를 적용해 단일 단말에서 업무와 인터넷을 사용하도록 하는 클라이언트 기반 컴퓨팅(CBC)으로 나뉜다.
SBC는 스마트워크를 위해 제안되는 기술로, 서버에서 가상PC를 구동하기 때문에 PC보다 높은 서버 성능을 이용할 수 있고, 단말기 제약 없이 업무를 진행할 수 있어 BYOD나 스마트워크 환경에 적합하다. PC에 데이터가 저장되지 않아 정보유출 문제를 걱정하지 않아도 된다.
SBC는 제로클라이언트에서 2개의 가상PC를 사용하는 방법과 인터넷 검색 등 기본 기능만 제공하는 씬클라이언트에 데스크톱 가상화(VDI)를 적용해 가상PC에서 업무를 수행하도록 하는 방법, 그리고 기존 PC에서 업무를 수행하고 VDI를 적용한 가상PC에서 외부 인터넷에 연결하는 방법 등의 형태로 구축될 수 있다.
SBC는 모든 업무를 네트워크를 통해 진행해야 하므로 네트워크 트래픽이 과다하게 발생하며, 동영상 등 대용량 파일을 이용한 업무를 진행하는 데에는 한계가 있다. 전송 프로토콜의 압축과 가속 기능으로 문제를 해결하고 있지만, 로컬 PC를 사용하는 수준에는 미치지 못한다.
SBC는 클라이언트 제약이 없기 때문에 PC를 교체해야 하는 문제는 없지만, 서버, 스토리지, 네트워크 인프라를 추가 확장해야 하기 때문에 상당히 많은 비용이 소요된다. 망분리 예산을 산출할 때물리적 망분리와 SBC는 1인당 200~250만원, CBC는 50~70만원 정도 비용이 드는 것으로 계산한다.
CBC 기술은 PC 하드웨어에 곧바로 하이퍼바이저를 적용해 2개의 다른 OS를 사용해 업무와 인터넷을 활용할 수 있도록 하는 방법과, PC 자체에 가상화 기술을 적용해 가상영역에서만 인터넷에 적용하도록 하는 방법으로 나뉜다.
CBC는 망분리 방식 중 가장 낮은 비용으로 구축할 수 있으며, 기존 PC를 사용할 수 있지만, 커스터마이징이 지속적으로 필요하다는 문제가 있다. PC에 가상화 기술을 적용하는 방식의 경우, 인터넷 영역에서 구동되지 않는 애플리케이션이 많고, PC에 설치된 다른 응용프로그램과 충돌하는 일이 잦으며, 문제를 해결한 후 응용프로그램의 패치 업데이트나 버전 업그레이드시 다시 충돌하는 일도 발생한다.
2개의 OS를 사용하는 기술은 논리적 망분리 기술 중 가장 높은 안정성과 보안성을 보장할 수 있지만, PC 성능이 뒷받침돼야 하기 때문에 PC를 교체해야 하는 경우가 많다. 또한 수천명 이상 대규모 환경에 적용된 경험이 적어 안정성이 충분히 입증됐다고 보기 어렵다는 지적도 있다.
3·20 사고로 망분리 시장 급부상
현재 국내에 망분리 솔루션을 공급하는 기업은 ▲물리적 망분리: SGA, 제이씨현 ▲SBC: VM웨어, 시트릭스, 틸론 ▲CBC: 미라지웍스, 안랩, VM크래프트, 소프트캠프 등이다. 소프트캠프는 초기 망분리 시장에서 적극적으로 영업을 전개했으나 사업부진으로 중단했다가 최근 다시 신제품을 내놓았다.
이외에 컴트루테크놀로지가 망분리 신제품을 출시하고 자사의 다양한 보안 제품과의 연동을 적극 강조하고 있으며, VM웨어 총판인 굿모닝아이텍이 망분리 인프라를 단일 어플라이언스로 통합한 신제품을 출시하면서 공격적인 전략을 펼치고 있다.
VM웨어의 모회사인 EMC는 클라우드 서비스 사업의 일환으로 VDI 사업을 전개하면서 망분리 시장에 적극적인 행보를 보이고 있다. VDI 전용 어플라이언스를 국내 망분리 환경에 맞게 조합해 제공하며, 금융권을 중심으로 다양한 레퍼런스를 확보하고 있다.
망분리 시장에 이처럼 다양한 기술기업들이 적극적인 행보를 보이고 있는 것은 컴플라이언스 때문만은 아니다. 3·20 전산망 마비사고 당시 내부망이 정지되고 PC가 파괴됐는데 망분리가 제대로 이뤄졌으면 피해를 줄일 수 있었을 것이라는 지적이 나온 바 있다. 지능형 공격이 성행하고 있는 가운데, 내부 업무를 중단시켜 비즈니스에 피해를 입히는 공격이 실제화되면서 업무망에 대한 철저한 보호 대책이 필요하다는 주장에 힘이 실리면서 망분리 도입이 가속되고 있다.
이러한 분위기에서 물리적 망분리가 다시 주목받고 있다는 점도 주의깊게 살펴봐야 한다. 초기 망분리 시장에서는 물리적 망분리가 대세를 이뤘으며, 논리적 망분리는 기술 성숙도가 낮고 안정성이 떨어진다는 한계로 인해 좀처럼 확산되지 못했다. 그러나 물리적 망분리는 IT 인프라의 구축·운영·관리 비용이 2배 가까이 증가했으며, 2대의 PC를 사용하면서 생기는 공간·전력·소음문제 때문에 현업의 반발이 심했다.
업무PC와 인터넷PC를 오가면서 업무를 수행하다보니 인터넷 PC에서 악성코드에 감염된 파일이 업무PC로 옮겨오게 돼 망분리의 효과가 무용지물이 되는 사고도 일어났다. 업무망과 인터넷망으로 나뉜 네트워크 인프라를 관리해야 하는데, 관리조직의 인력이 늘지 않아 인터넷 망에 대한 관리는 소홀하게 됐으며, 인터넷 망에서 발생한 보안취약점이 업무망을 위협하는 문제도 생겼다.
논리적 망분리 기술이 안정화되고 차츰 대규모 조직에 적용돼 성공사례를 발표하게 되면서 논리적 망분리 기술이 대세를 이루게 됐으며, 우정사업본부의 CBC 기반 망분리 사업이 진행되면서 논리적 망분리가 완전히 시장을 주도하게 됐다.
그러나 이번 금융위 대책에서 금융회사의 전산센터에 물리적 망분리를 의무화하면서 반전이 시작됐다. 지능형 공격을 막기 위해서는 업무망과 외부망을 완전히 물리적으로 나누는 환경이 필요하다는 인식이 확산된 것이다. 3·20 사고를 계기로 일부 금융권에서 논리적 망분리 대신 물리적 망분리를 검토하는 분위기도 감지된 바 있다.
김상욱 시트릭스코리아 차장은 “3·20 사고는 PC의 하드웨어의 부팅구간을 파괴시킨 것이어서 OS 위에서 가상영역을 구동하는 방식의 CBC로는 이와 같은 사고의 피해를 막을 수 없다”며 “클라이언트 기반 가상화 기술은 PC가 갖고 있는 보안 취약점을 그대로 안고 있기 때문에 망분리 효과를 제대로 볼 수 없다”고 지적했다.
