[솔루션 가이드] '아카마이 가디코어 플랫폼', ZTA 모델 활용 극대화하는 전방위 통합 보안 솔루션
예로부터 천연자원이 부족한 한국에서는 인적 자원이 가장 내세울만한 자원으로 알려져 왔다. 실제로 한국은 교육열이 높아 국민 교육 수준이 세계적이다. 고학력 인재가 가장 귀한 자원이라면 이들이 만들어 낸 지적 자산이 그 다음으로 중요한 자원이라고 할 수 있는데, 점차 지식재산권 침해를 노린 사이버 공격이 증가하고 있는 추세다.
아카마이(Acamai)가 발표한 2023년 인터넷 보안 현황(SOTI) 보고서에 따르면, 한국은 아시아 태평양 및 일본(APJ) 지역 5대 웹 공격 표적 국가 중 하나다. 이 보고서에 따르면, 제조·건설·에너지 등 한국 주요 산업이 사이버 공격 표적 5대 산업 중의 세가지를 차지했다. 또한, 2022년~2023년 APJ 지역에서 랜섬웨어 공격이 200% 증가했다는 사실도 주목할 필요가 있다. 한국 기업들이 보안 인프라를 강화하여 보안 취약성을 해소해야 하는 상황임을 알 수 있다.
한국 정부는 자국의 지식재산권 보호의 중요성을 인식해왔으며, 과학기술정보통신부가 10개월 간의 심층분석과 준비 작업을 거쳐 2023년 7월에 최초로 '제로 트러스트 가이드라인 1.0'(Zero Trust Guidelines 1.0) 한국어판을 발표했다. 이 가이드라인에는 대통령 직속 디지털플랫폼정부위원회가 수립한 국가적 차원의 제로 트러스트 보안 철학이 반영되어 있다.
최근 사이버 공격 증가로 기업들이 온라인 보안을 강화하고 있는 추세 속에서 '제로 트러스트 보안'이 주목받고 있다. 올해 초에는 아카마이가 계정정보 보안 분석 기관인 쿠핑어콜(KuppingerCole)의 제로 트러스트 네트워크(Zero Trust Network) 액세스 부문에서 종합 리더로 선정되는 영예를 안았다.
ZTA(제로 트러스트 아키텍처)로도 알려진 '제로 트러스트 보안 모델(zero trust security model)'이라는 용어는 1994년에 스티븐 폴 마쉬(Stephen Paul Marsh)가 처음 사용하였다. 인터넷 네트워크에 연결되어 있다고 해서 사용 중인 컴퓨터를 전적으로 신뢰하지 않아야 한다는 것이 이 모델의 핵심 명제다.
종래에는 컴퓨터 보안 전문가나 주요 개념들이 신뢰할 수 있는 컴퓨터 네트워크 환경을 구축하는데 초점을 맞췄고, 이후에는 외부 위협으로부터 네트워크를 보호하는 것이 관건이었다. 보안 공격자가 주로 외부 네트워크와 네트워크 경계에서 활동한다는 전제 하에 여기에 중점을 둔 방어의 필요성을 피력했다.
그러나 ZTA는 획기적으로 네트워크 내부에서 발생하는 공격에 착안하여 모든 사용자와 애플리케이션, 자원에 대한 검증이 항상 필요하다고 강조한다. ZTA에서는 엄격한 디폴트 보안, 액세스 제어 목록, 네트워크 동향 전반에 관한 통합 모니터링이 필요하다. 즉, 기본적으로 모든 접속이 금지되어 있고, 이용 중인 접속에 대해서는 승인·모니터링이 수반된다.
제로 트러스트 보안 모델은 이론적으로 난해하기도 하지만 실제 적용은 더욱 쉽지 않다. 네트워크 접속 시마다 승인을 거쳐 모니터링되도록 하려면 결국 누군가는 노동력과 자원을 투입해서 승인· 모니터링 업무를 수행해야 하기 때문이다. 일반적인 컴퓨터는 전원을 켜고 설정을 완료하면 누구든 곧바로 사용할 수 있도록 설계되어 있기 때문에 ZTA를 도입한 조직 내 모든 라우터와 노트북 컴퓨터를 관리하려면 별도의 인력이 소요될 수밖에 없다. 바로 이러한 이유 때문에 제로 트러스트 모델을 도입한 기업이 제대로 활용 하지 못하는 경우가 흔하다.
아카마이는 이러한 현실적인 문제들을 해결하기 위해 아카마이 가디코어 플랫폼(Akamai Guardicore Platform)을 최근 공개했다. 이 플랫폼은 제로 트러스트 보안 모델을 효과적으로 도입·관리할 수 있는 통합 솔루션으로 하나의 인터페이스로 제로 트러스트 네트워크 액세스(Zero Trust Network Access) 제어부터 마이크로 세그멘테이션(microsegmentation)에 이르기까지 멀티팩터 인증(MFA), DNS 방화벽을 통해 네트워크 위협 방어를 전방위로 지원하고 있다.
마이크로 세그멘테이션은 제로 트러스트 보안 모델을 실행하기 위해 반드시 필요한 전제 조건이다. 이 단계에서 대부분의 기업들이 어려움을 겪는다. 예를 들어, 기업 인사팀 내 컴퓨터에서는 인사팀 데이터에만, 회계팀 데이터는 재무 정보에만 액세스가 가능하도록 설정하는 것이 이상적이다. 그러나 이렇게 네트워크를 적절히 세분화하고 있는 기업이 드문 실정이다.
네트워크 세그멘테이션을 완료한 기업일지라도 마이크로 세그멘테이션은 부서 단위 이상의 네트워크를 구분하는 작업이 별도로 필요하다. 직무별로 사용자를 분류하고 업무 절차를 각기 다른 카테고리로 분류해야 한다. 효과적인 마이크로 세그멘테이션이라면 모든 개인과 디바이스에 대해 승인 세부 내역과 직무 등을 꼼꼼히 기재하여 레이블링해야 한다.
아카마이 가디코어 플랫폼을 활용하면 시간이 오래 걸리고 오류도 발생하기 쉬운 작업을 손쉽게 처리할 수 있다. 참고할만한 사례 등 관련 정책을 신속히 적용하고 스마트 인공지능(AI) 의사결정 기법을 사용하여 네트워크 디바이스를 자동 분류할 수 있다.
마이크로 세그멘테이션 및 기업 네트워크 분류·레이블링을 완료한 기업은 이제 ZTA를 적용하면 된다. 기업별로 세부 진행 단계는 상이하지만 일반적으로 △첫째, '아무 것도 신뢰하지 말고 항상 검증' △둘째, '최소한의 액세스만 허용' △셋째, '위협을 지속적으로 모니터링'하는 세 가지 전략 목표를 추구해야 한다.
첫 번째 목표를 이행할 때 기업 경영을 방해하지 않으면서 네트워크 사용자 및 디바이스를 지속적으로 검증까지 해야 하는 도전과제에 직면할 수 있다. 따라서, 간편한 네트워크 정책 시행 방법을 강구하여 모든 액세스와 접속 유형에 대한 가시성을 확보할 필요가 있다.
두 번째 목표는 최소한의 엑세스만 허용하는 전략으로, 제로 트러스트 보안 모델의 핵심 요소라고 할 수 있다. 네트워크상 각 개인과 디바이스는 명시적인 승인을 득한 작업만 수행할 수 있어야 한다. 이러한 환경에서 허가를 득하지 못한 개인은 모든 민감 데이터에 액세스 할 수 없어야 하며 중요 비즈니스 절차를 방해하지 않아야 한다.
세 번째 목표와 관련해서는 제로 트러스트 보안설정에서 위협을 지속적으로 모니터링하는 것이 특히 중요하다. 이러한 모니터링을 통해 내부(동-서) 및 외부(남-북) 네트워크 트래픽을 실시간으로 모니터링할 수 있다. 모든 활동을 밀착 추적하고 검증하면 특이한 패턴을 빠르게 감지하여 대처할 수 있다. 한 번 파악된 위협에 대해서는 어느 보안 요소에서든 중단시킬 수 있다.
이러한 모든 과정을 아카마이 가디코어 플랫폼은 하나의 직관적인 사용자 인터페이스로 통합하면 손쉽게 진행할 수 있다. 사용자는 이 플랫폼을 이용하여 종합적인 네트워크 트래픽 관련 정책을 수립할 수 있고, 두 노드 간 통신을 각각 면밀히 검토하여 의사소통 관련 적절한 보안 정책을 만들어 모니터링할 수 있다. 새 인터페이스에서는 모든 자산 및 사용자를 그래프 내 노드로 나타낼 수 있는 기능이 있어 흥미로우며, 전반적 구조와 세부 내용을 한눈에 볼 수 있어 간편하게 분석할 수 있다는 장점이 있다.
이러한 장점 외에도 아카마이 가디코어 플랫폼은 멀티팩터 인증(MFA), DNS 방화벽, 위협 탐지 기능도 탑재하고 있다. 아카마이는 이를 기반으로 현재는 물론 미래의 어떤 보안 이슈에도 대응 가능한 통합 보안 솔루션을 제시하겠다는 목표를 추진하고 있다.
또한 아카마이 가디코어 플랫폼에는 지난해 과학기술정보통신부가 발표한 제로 트러스트 지침 1.0에 따른 제로 트러스트 보안 모델이 적용되어 한국 고객에도 최적화되어 있다.
지점 30개와 10개 핵심 애플리케이션을 보유한 A은행이 외부 액세스 제한을 통해 내부 보안을 강화하고자 한 사례가 있다. A은행은 보안 강화 작업 중 기존의 복잡한 레거시 인프라로 인해 네트워크 맵핑을 하기 어려운 문제가 있었다.
아카마이 가디코어 플랫폼은 4명이 약 18개월 동안 진행해야 하는 노동 집약적인 프로젝트를 1명이 단 2개월 만에 완료할 수 있도록 프로젝트 효율성을 대폭 개선했다. A은행은 이 플랫폼으로 네트워크 트래픽 관련 탁월한 가시성을 확보했고, 이를 통해 더욱 안전하고 작업 처리가 신속한 인프라를 구축해냈으며, 주요 애플리케이션을 세분화하고 외부 액세스 제한을 강화하여 내부 보안 목표를 달성하는 성과를 올렸다.
위 사례에서 아카마이 가디코어 플랫폼의 도입으로 탄생한 가장 큰 자산은 올바른 사업 결정으로 귀결된 핵심 정보였다고 할 수 있다.
또 다른 사례로 제조업종에 있는 B기업의 사례가 있다. 이 회사는 전 세계 각지에서 IT 보안을 담당하고 있고, 사무실과 제조 설비 공간이 섞여 있는 경우가 많았다. 이에 보안팀이 방화벽 같은 기존의 솔루션만 가지고는 시간이 너무 오래 걸려 사업장별 보안 제어를 표준화하고 전체 네트워크를 파악하기가 어려웠다. 또한, 노드 통신을 제한하지 않아 보안 문제 발생 가능성이 높은 상황이었다.
B기업 내 IT 보안팀은 아카마이 가디코어 플랫폼을 약 2000개 워크스테이션에 도입한 후 플랫폼의 네트워크 가시화 및 PC와 PC간 통신 추적 등의 모니터링 기능에 힘입어 훨씬 더 좋은 가시성을 확보했다. 이로써 회사 하드웨어에 가정용 프린터 소프트웨어를 설치하여 멀웨어 리스크를 높이고, 네트워크 자원을 소모시킨 직원을 적발하기도 했다. B기업은 아카마이와 함께 이 문제에 신속히 대처했다.
한편, 아카마이 헌트(Akamai Hunt) 서비스를 통해 회사 컴퓨터에서 골든 스파이(GoldenSpy) 멀웨어를 자동 감지 후 격리하여 네트워크 내 확산을 미연에 방지하였다. B기업은 시스템 속도와 유연한 대응으로 수일이 소요되던 방화벽 제어 변경을 거리와 무관하게 1시간 미만으로 축소시켰다며 감탄을 표하기도 했다. 이제는 변경 가능한 예외를 명시한 글로벌 워크스테이션 정책을 본사 주도 하에 수립하여 실시하고 있다. B기업은 아카마이 서비스를 확대 시행하여 다른 핵심 디지털 자산 보호에도 주력할 계획이다.
위 사례들은 아카마이 가디코어 플랫폼 도입 시 기업이 누릴 수 있는 이점을 잘 보여주고 있다. 이 플랫폼은 제로 트러스트 정책의 견고한 보안을 최고급 솔루션의 사용자 친화적인 인터페이스와 결합한 제품으로서, 접근성이 좋고 활용도가 높은 정보를 제공하여 모든 기업이 경영 혁신을 달성할 수 있도록 지원한다.
제로 트러스트를 올바르게 적용한 기업이라면 별다른 어려움 없이 민감 데이터 관련 규제 요건을 충족할 수 있다. 기업은 엄격한 인증·허가 프로토콜을 통해 승인된 사용자만 민감 데이터에 액세스할 수 있게 해 규제 수위가 가장 높은 데이터 보안에 관한 보건 관련 규제도 충분히 준수할 수 있다. 또한, 제로 트러스트를 이용하는 기업은 여러 곳에서 일하거나 재택근무를 하는 분산된 인력으로 인한 보안 문제를 우려할 필요가 없다. 제로 트러스트가 검증·모니터링을 수행하여 접속 중 보안을 관리해주기 때문이다.
제로 트러스트는 대내외 네트워크 활동을 실시간으로 파악하므로 정보에 기반하여 클라우드 마이그레이션(cloud migration)을 결정할 수 있고, 랜섬웨어 등 사이버 공격 대비 방어 기능 역시 탁월하다. 아카마이 가디코어 플랫폼은 데이터 침투를 노리는 해커로부터 기업을 보호한다.
한 가지 불변의 진리가 있다면 사이버 보안은 항상 변화하고 지능화되는 분야라는 사실이다. 한때 과거에 보안을 잘 유지했더라도 보안 방어를 우회하는 공격 기법이 개발되면 보안이 금새 불안정해질 수 있다. 완벽하고 영원한 보안 솔루션은 없기에 아카마이는 변화무쌍한 보안 전쟁에서 기업 데이터 보안을 사수하고 있다.
하루가 다르게 변화하는 보안 업계에서 제로 트러스트는 지속적인 검증 모니터링의 필요성을 보여주는 가치라고 할 수 있다. 보안 동향이 변할 수밖에 없다면 검증 방법 역시 변화해야 한다. 과거 패스워드가 표준이었다면, 2단계 인증이나 생체 인증 등 발전된 인증 방식이 보안 수준을 한층 더 높여주고 있다. 그러나 더 나은 솔루션에 대한 수요는 항상 존재한다. 아카마이는 이제 향후 거둬들일 보안 혁신을 한데 모아 최고의 보안 솔루션에 반영할 준비가 되어 있다.
이외에 인공지능(AI)과 양자 컴퓨팅 기술도 보안 업계 혁신을 이끌 잠재력이 있다. AI는 개인을 기만하기 위한 도구로 악용된 적이 있는 만큼 보안 사슬 내에는 취약성이 있다. AI 위협에 대응하려면 AI에 기반한 보안 솔루션이 필요할 수 있다. 아카마이는 이미AI 기반 보안 분야 경쟁에서 앞서 나가고 있다.
미래는 누구에게나 불확실하기 마련이지만 현재는 통제할 수 있다. 우리나라의 인재들이 만들어 낸 귀중한 자산의 지식재산권을 보호할 최고 수준의 보안력과 평정심만 있다면 현재는 우리 손 안에 있다고 할 수 있다.
[알림] GTT KOREA와 전자신문인터넷이 오는 5월 23일 인터컨티넨탈 서울 코엑스에서 공동으로 주최하는 'SECaaS Summit 2024'에서는 “AI와 클라우드를 위한 보안 혁신”을 주제로 글로벌 보안 산업을 이끌고 있는 리더들이 AI와 클라우드 인프라 환경과 데이터 및 애플리케이션 보안을 위한 신기술을 조망하고 기업 맞춤형의 혁신적인 보안 전략을 제시한다.
유은정 기자 judy6956@etnews.com
