'제로 트러스트'의 구체적 방법

[김덕수 칼럼] 2019 신경향 신보안②

김덕수 펜타시큐리티 CSO

"아무도 믿지 마라!", '제로 트러스트(Zero Trust)' 보안론이 유행이다. 2010년 시장조사업체 '포레스터 리서치'의 애널리스트 존 킨더박(John Kindervag)이 기본 모형을 제시하고, 미국 역사상 최악의 정보보안 사고 중 하나로 기록된 인사관리처(OPM) 개인정보 유출 사건을 분석한 2015년 연방정부 보고서를 통해 공식화된 용어다.

제로 트러스트. 시스템 외부와 내부를 따로 나누지 않고 모든 곳이 위험하다고 전제하고, 적절한 인증 절차 없이는 그 누구도 믿어서는 안 되며, 누구든 시스템에 접근하려면 권한을 부여하기 전에 재차 신원을 확인해야 한다는, 어찌 보면 원래 그랬어야 했던 당연한 이야기가 새삼스럽게 요란한 것 같기도 하다. 하지만 이렇듯 깔끔하게 용어 하나로 딱 정리되니 그 계몽적 집중 효과는 기대해 볼 만하겠다.

■ '제로 트러스트' 방법?

주로 거론되는 '제로 트러스트' 방법론은 보안을 바라보는 관점과 정책에 집중된다. 시스템 전체를 한꺼번에 지켜야 할 하나의 큰 덩어리로 보지 않고 모든 부분들을 '미세-분할(micro-segmentation)' 요소로 나누고, 각 요소에 대해 '과립형 경계 시행(granular perimeter enforcement)' 방식으로 보안을 적용해야 한다는 '제로 트러스트' 모형은 보안의 관점과 정책 문제다.

위험은 시스템 바깥에만 존재하고 내부는 안전하다는 전제로 세운 기존 보안정책은 위험하니 당장 폐기하라고 경고하고, 외곽 경계 차단 방식의 보안은 전혀 효과 없다는 사실이 숱한 보안사고들을 통해 증명되었는데도 아직도 '내부는 무조건 안전해야만 해' 고집하는 안일한 태도를 지적한다. 혹독한 현실을 똑바로 직시함으로써 시스템의 안이든 밖이든 모든 게 다 위험하니 철저히 대비해야 한다는 것이 '제로 트러스트' 모형의 핵심 메시지다. 적절하다. 하지만 구체적으로 뭘 어떻게 하라는 말인지, 뜻은 다소 모호하다.

제로 트러스트 보안의 실제 적용 방법으로 오케스트레이션, 애널리틱스, 스코어링 등이 열거된다. 여러 보안도구 및 보안체계를 종합해 분석함으로써 전체적 보안조치의 효율을 높이고 수준을 제고하자는 취지의 '오케스트레이션', 데이터 분석을 통한 위협 탐지 '애널리틱스', 전체 시스템을 이루는 각 부분들의 보안 수준을 점수화해 관리함으로써 전체 보안수준을 높이자는 '스코어링' 등은 주로 보안관리 측면에 초점을 맞춘 방법들이다. 요긴한 방법들이긴 하나 '제로 트러스트'의 기본 모형인 미세-분할과 과립형 경계 시행 원칙을 구체화한 방법이라고 보기는 어렵다.

그렇다면 제로 트러스트의 구체적 방법은 뭘까. 우선 제로 트러스트의 원래 의미를 되짚어 보자.

■ '제로 트러스트', 그 뜻에 따른 구체적 방법

지금까지 대부분의 기업들은 마치 성을 짓듯 네트워크 바깥 경계선(perimeter)에 벽을 쌓는 방식의 보안조치를 통해 외부로부터의 침입 방지에만 최우선 집중하는 보안을 고집해 왔다. 그 까닭은 뭘까. 순전히 업무 편의 때문이다. 시스템 내부는 무조건 안전하다고 믿어야만 그 울타리 안에서 내부자들의 자유로운 활동이 가능하고 번거롭고 불편한 보안정책이 업무를 방해하지 않는다고 생각하기 때문이다. 하지만 그러한 시스템은 일단 침입하기만 하면 이후 데이터 유출을 막을 방법이 없다.

보안조치를 네트워크 바깥 경계선(perimeter)이 아니라 모든 '유의미(relevant)'한 데이터 각각의 바깥 경계선(microperimeter)에 적용해 데이터를 과립 형태로 보호하자는, 즉 미세-분할 그리고 과립형 경계 시행을 적용하자는 것이 바로 '제로 트러스트' 보안이다. 그럼 그 뜻에 따라 구체적 방법을 살펴보자.

1) 지능형 WAF: 패킷 아닌 데이터 단위 분석 웹 보안

웹은 가장 많은 보안사고가 발생하는 가장 위험한 지점이다. 따라서 최우선 방어해야 한다. 웹을 통한 침입에 대비해 데이터 단위 분석이 가능한 웹 보안을 적용한다. 기존 바깥 경계선 보안의 대표적 도구인 방화벽과 IPS는 데이터 단위 분석이 불가능하므로 웹을 오가는 패킷이 데이터로 합쳐진 뒤, 즉 유의미 분석이 가능한 상태로 만들고 나서 데이터 분석을 통해 악의적 침입을 차단한다. 분할해 경계를 감시할 과립형 요소의 단위가 무엇이냐의 문제다. '유의미' 기준에 따라 패킷이 아니라 데이터다. 이를 위해 의미 및 구문 분석이 가능한 논리 엔진을 탑재한 '지능형 웹 애플리케이션 방화벽(intelligent WAF)' 이용을 권장한다.

2) 컬럼 단위 암호화: 암호화 내용 공개 범위 최소화해야 안전

데이터 암호화는 너무나 당연한 일이다. 무조건 해야만 한다. 그 방법이 문제일 뿐. 암호화의 왕도는 최소 범위를 최소 인원에게 최단 시간 동안 노출하는 것이다. 많은 데이터를 많은 사람에게 오래 노출하면 할수록 위험하다. 이를테면 데이터베이스 전체 암호화를 적용했다고 가정해 보자. 업무시간 전체에 걸쳐 내부 사용자 전원에게 암호화되지 않은 상태로 내용을 공개해야만 업무가 가능하다. 전체 암호화 방식은 그 자체로 보안성이 취약한 것이다. DB 내용 중 암호화가 필요한 비밀정보의 양은 그리 많지 않다. 그리고 대개 일정한 컬럼 형태로 군집을 이룬다. 비밀정보만 컬럼 단위로 암호화해 두고 나머지는 평문 상태로 자유롭게 이용하되, 암호화한 내용이 필요한 경우 제한된 사용자 그리고 제한된 시간에 한정해 공개하는 '컬럼 단위 암호화' 방식이 가장 안전하고 효율적이다. 제로 트러스트의 미세-분할 방향성에도 부합한다.

3) 클라우드 환경 유리: 자체 설비 관리 부담에 따른 권한 오남용

회사가 자체 보유한 하드웨어 관리 부담에 따른 '인간적' 보안사고가 아주 빈번하다. 하드웨어를 기준으로 한 보안정책은 대개 서버 관리자, 시스템 관리자 등 직책과 임무로서 지정되기 때문에 인간적 잘못이 발생할 위험이 크다. 업무 편리, 담당자 부재시 상황 대응, 보안의식 낮음 등의 이유로 권한 관리가 실패한다. 단지 "불편하다"는 이유로 임의로 서버 접근 권한을 아무에게나 부여해 버리는 사례도 빈번하다. 보안정책을 원론적으로 적용하고 보다 투명하게 관리할 수 있다는 점에서 클라우드 환경이 오히려 보안에 유리하다고 볼 수 있다. 웹보안, 데이터 암호화 등 필수적 기업정보보안 도구들은 기존 전산 환경뿐 아니라 클라우드 환경도 충분히 지원하고 있다. 반면, 클라우드는 클라우드의 보안 위험성이 따로 존재하므로 주의를 요한다. 이에 대해서는 우선 클라우드 보안 전문기업의 컨설팅을 받아 보길 권한다.

4) 사용성 저하 방지: 보안 수준은 높이되 사용자 불편은 줄여야

데이터 접근은 엄격히 제한하되, 사용자 편의성은 낮아지지 않아야 한다. 절차가 너무 복잡하면 효율이 급격히 저하된다. 그에 따라 불편이 핑계인 편법이 만연하게 되는데, 이를 단지 개인의 보안의식 부족 탓으로만 모는 지적은 결국 쓸데없는 헛된 말로 그치고 마는 게 현실이다. 인간은 뭐든 조금이라도 불편하면 무조건 편한 방법을 찾기 마련이니까. 통합인증 SSO(Single Sign On) 등 시스템 접근 도구를 이용해 편의성과 사용성을 높이되, 그것만으로는 안전하지 않으니 추가로 보안성까지 충족하게끔 보강된 '보안 SSO(Secure SSO)' 사용을 권한다.

여기에 앞서 열거한 오케스트레이션, 애널리틱스, 스코어링 등 보안관리 정책까지 더해야지 제로 트러스트 보안론에 충실한 보안을 제대로 적용했다고 할 수 있다. 하지만 '제로 트러스트'란 어떤 방향성이니, 애초에 방법론 완성이란 게 없는 일이다. 취지에 맞게끔 구체적 방법을 설계하고 적절한 도구를 배치하고 엄격한 정책을 적용하고 또 계속 보완해 갈 일이고, 그 기준은 '미세-분할'과 '과립형 경계 시행' 원론이다. 다시 말해, 보안의 기본에서 찾을 일이다.

*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.