"클라우드 보안, 자동화가 곧 위험 최소화"

윔 코어캐어츠 오라클 보안 전문 수석부사장 인터뷰

"데이터 침해의 대부분은 패치 지연, 또는 시스템 구성 오류로 발생한다. 두 가지 모두 대부분 인간의 실수 때문이다. 많은 기업이 모든 영역에서 최소 권한 부여와 암호화를 적용하지 않고 있다. 사람과 프로세스에 대해 과도한 특권을 없애야 문제가 사라질 수 있다."

윔 코어캐어츠 오라클 보안 전문 수석부사장은 최근 인터뷰에서 데이터 침해 사고의 원인에 대해 이같이 강조했다.

오라클 자체 조사에 따르면, 배포되는 보안 패치의 25%는 모든 기기에 적용되지 않는다. 정전이나 예기치 않은 상황에 의해 패치가 적용되지 못하는 경우가 발생하는데, 이는 완벽하지 않은 보안 상태를 초래하게 된다는 설명이다.

오라클이 자율 운영 기술을 강조하는 이유기도 하다. 클라우드 시스템 상의 오류, 지연된 패치, 인적 오류를 해결하는 것이 숙제인데, 머신러닝과 자동화 없인 완벽한 대응을 하기 어렵다는 것.

윔 코어캐어츠 오라클 부사장은 리눅스와 가상화, 매니지드 클라우드 서비스, 비주얼 빌더 클라우드 서비스, 데이터베이스 클라우드 서비스 등 여러 프로젝트와 클라우드 서비스를 담당하고 있다. 리눅스 재단 부회장으로도 활동하고 있다.

다음은 코어캐어츠 부사장과의 일문일답.

윔 코어캐어츠 오라클 보안 전문 수석부사장

-최근 클라우드를 대상으로 한 사이버 공격 흐름을 고려할 때, 클라우드의 어떤 부분이 보안 측면에서 가장 취약한가.

클라우드 관련 보안 사고와 정보 손실 사고 중 상당 부분은 클라우드 상에서의 잘못된 보안 구성 때문에 발생한다. 퍼블릭 클라우드 서비스 공급업체들은 사용자들이 사용할 수 있도록 보안 툴을 제공한다. 그러나 모두가 ‘베스트 프랙티스(best practice)’, 즉 업계 최고 수준의 성과를 만들어 낸 방식에 맞추지 않고 있다. 보안에 대한 책임은 고객사의 보안 전문 부서와 클라우드 애플리케이션을 사용하는 특정 현업 부서 사이에서 불분명하게 갈라지게 된다. 이는 곧 기업의 보안 통제라는 것이 일관되지 않거나, 부정확하게, 혹은 전문적 지식이 없는 상태에서 이뤄진다는 것을 의미한다."

-1세대 클라우드는 최소 권한 모델을 적용하는 데 있어 어떤 점이 미비했나. 2세대 클라우드에서는 어떤 점이 개선됐나.

"최소 권한 모델은 클라우드 리소스에 대한 접근을 제한하는 것이 골자다. 즉 특정 사람이거나 혹은 애플리케이션, 프로세스 등 접근 주체에 맞춰 지극히 최소한의 접근 대상을 부여한다는 것이다.

1세대 클라우드 인프라에선 사용자의 권한을 최대한 부여하는 것이 기본 개념이었다. 즉 공유된 퍼블릭 클라우드 인프라에서 가능한 많은 사용자들을 허용하는 것이었다. 이같은 초기 설계는 성능 극대화와 접근 장벽을 제한하자는 것에 최적화한 것이다.

퍼블릭 클라우드 사용이 증가하고 관련 보안 위협에 대한 이해가 늘어나면서부터 보안과 최소 단위의 접근 관리 개념이 떠오르게 됐다. 2세대 아키텍처는 1세대의 축적된 경험과 한계에 대한 깨달음으로부터 개선되고 발전된 개념이다. 2세대 클라우드는 클라우드 하드웨어 뿐만 아니라 가상화 레이어를 대상으로 한 보안 공격 위험을 제한, 관리할 수 있도록 설계됐다.

2세대 클라우드 상에서 제공되는 클라우드 네이티브 보안 서비스는 클라우드 애플리케이션의 보안 복잡성을 줄일 수 있도록 설계, 탑재됐다. 클라우드 네이티브에서의 클라우드 애플리케이션이 온프레미스와는 다르게 연결, 접근 패턴이 다르게 이뤄지는 것을 이해하고 있기 때문이다.

오라클 클라우드 인프라(OCI)에서의 접근 관리과 클라우드 네이티브 서비스는 클라우드 사용자들로 하여금 부서별, 조직별 테넌시를 구분할 수 있게 하며 요청 사항을 그룹화하고, 관련 리소스에 대한 최소 권한 접근을 집행할 수 있도록 하는 기능을 제공하고 있다."

-2세대 클라우드의 각 계층에 적용된 보안 요소는?

"2세대 클라우드 인프라는 차별화되고 앞선 보안 요소들을 갖추고 있다.

하이퍼바이저와 클라우드 펌웨어에 대한 공격을 축소, 차단하는 보호 기능이 그 중 하나다. 이런 보호는 클라우드의 어떤 특정 사용자가 다른 사용자들에게 미칠 수 있는 보안 위험을 구체적으로 특정함으로서 이뤄지게 된다. 오라클의 2세대 클라우드 인프라는 공유 클라우드 네트워크 상에서 보안 공격의 감염 등을 차단할 수 있는 맞춤화된 가상화 네트워크 하드웨어를 통해 고객 상호 간 분리 고립을 통해 보안을 담보한다.

사용자 간에 클라우드 호스트 정보를 지워내는 기능도 있다. 때문에 어떤 특정 사용자에 의해 의도적이거나, 혹은 부주의하게 남겨진 맬웨어가 같은 하드웨어를 사용하는 다른 사용자에 미칠 수 있는 보안 감염 공격을 방지해준다.

이에 더해 OCI는 서비스 중단 공격 보호는 물론, 가상 클라우드 네트워크 분할 처리, 그리고 내장된 클라우드 네이티브 기능으로 클라우드 리소스를 관리하고 사용할 수 있는 권한을 부여 받은 사용자와 애플리케이션만을 대상으로 접근을 제한하는 탑재형 관리 기능을 갖추고 있다."

-고객별 워크로드와 클라우드 제어 코드를 격리하는 것은 왜 필요한가.

"고객 간 격리는 퍼블릭 클라우드 상에서 고객의 데이터 프라이버시와 보안에 있어 필수다. 어떤 고객이, 어떤 방법을 통해 보안 피해를 입을 경우 클라우드 인프라는 클라우드 상에서 진행되는 보안 공격 확산의 위험을 제한해주는 설계를 통해 다른 고객을 보호해야 하기 때문이다. 그런 보안 공격으로부터의 위험을 감소해주는 하나의 분명한 방법이 바로 클라우드 제어 코드를 보호하는 것이다. 공격자로 하여금 접근을 매우 어렵게 만드는 것이다. 이런 접근이 바로 2세대 클라우드가 공격자들로 하여금 파악과 접근 작업이 어렵도록 클라우드 제어 코드를 별도의 네트워크에 둔 이유다."

-보안 강화를 고려해 오라클 2세대 클라우드로 이전한 사례는?

"대표적인 고객 사례는 '시스코 테트레이션(Cisco Tetration)'이다. 대규모의 단일 리치 데이터를 대상으로 상관관계 분석을 실시해 보안을 돕는 사이버 보안 분석 플랫폼이다. 시스코 테트레이션은 이 플랫폼을 오라클 클라우드 인프라 상에서 운영하고 있다.

시스코 테트레이션 측은 OCI로 이전했을 때 활용도가 75% 증가하고, 성능은 60배 가량 향상됐다고 밝혔다. 오라클의 베어메탈 아키텍처를 통해 시스코 테트레이션 서버는 다른 사용자의 네트워크 트래픽 또는 오라클 자체 클라우드 관리 트래픽에서 격리된다. 결과적으로 서비스의 소프트웨어 구성을 완벽하게 제어할 수 있다. 따라서 보안 침해에 대한 우려 없이 개별 베어메탈 제품 위에 가상머신과 컨테이너를 조정할 수 있었다."

-클라우드 보안 역량 강화를 위해 어떤 것을 개발, 투자하고 있나.

"오라클에는 수천명 이상의 엔지니어들과 보안 전문가들이 전 세계 고객 기업들의 핵심인 데이터와 애플리케이션, 인프라의 보호를 목표로 관련 임무를 수행하고 있다.

오라클의 보안 분야를 위한 큰 공헌 부분 중 하나는, 보안의 베스트 프랙티스와 보안 모니터링, 보안 위협 감소 등을 자동화해주는 일련의 혁신기술들이다. 사람의 간섭과 일손 없이 보안 패치를 적용하는 오라클의 자율운영 데이터베이스와 자율운영 리눅스는 그 대표적인 혁신 기술이라고 할 수 있다.

패칭이야말로 가장 효과적인 보안 베스트 프랙티스다. 그러나 고객들은 다운타임이 두려워 곧잘 이 패칭 작업을 주저한다. 오라클은 이 패치 적용 작업을 보다 빠르고 간섭이나 충돌 없이 이뤄지도록 해왔다. 오라클은 이런 접근 방법을 클라우드 보안 형상관리(CSPM)와 교정(remediation) 등의 작업들을 자동화하는 것에까지 확장 적용하고 있다."

-보안 사고를 막기 위해 클라우드 사업자는 공통적으로 어떤 것을 지향해야 하나.

"클라우드 서비스 제공업체(CSP)들은 공유 인프라를 보호함에 있어서 최고의 전문성을 보유하고 있다. 클라우드 사업자들은 그들의 고객들(tenancy)을 보호하고 보안을 강화하기 위해 보안에 관한 베스트 프랙티스를 받아들이고, 그들이 깊은 전문성이나 별도의 시간이나 노력을 들이지 않고도 그것을 적용할 수 있도록 도와줘야 한다. 그리고 또한 클라우드 상에서의 보안이 관련 툴을 통해서뿐만이 아니라 자동화와 교육, 고객 지원, 그리고 폭넓은 기술 에코시스템과 서비스 옵션 등을 통해서 이뤄질 수 있도록 적극적으로 고객들을 도와줘야 한다.