내외부 경계 사라진 보안, 제로트러스트 청사진은?

클라우드 때문에 경계 외부의 사용자와 애플리케이션에도 대응하는 보안 조치가 중요해졌다. 보안의 경계는 사라졌다. 제로 트러스트 아키텍처 도입이 시급해진 이유다.

아카마이가 발간한 '제로 트러스트 아키텍처를 위한 청사진' 백서에 의하면, 데이터센터 경계를 중심으로 한 전통적인 네트워크 아키텍처가 클라우드의 부상과 함께 무의미해졌다.

백서의 저자인 찰리 게로 아카마이 최고기술책임자(CTO)는 "네트워크 경계는 인식할 수 있는 형태로  더 이상 존재하지 않는다"며 "사용자 및 애플리케이션은 내부에도 존재하고 외부에도 존재하며, 정교한 위협이 지속적으로 발생하면서 기업은 의도치 않게 악의적 공격자가 보안 경계 내부에서 기업의 핵심 자산에 완전히 접근하도록 허용할 가능성이 높아졌다"고 밝혔다.

기존 경계 보안 방식은 외부 접근을 관리하는 방식이다. 기업 데이터센터를 방화벽으로 감싸 외부인의 악의적 침입을 차단하는 것인데, 클라우드와 원격근무의 일반화에 따라 내부인을 이용한 침입 위험이 커졌다.

찰리 게로 CTO는 "최근 5년간 일어난 막대한 데이터 유출 사건의 대부분은 네트워크 경계 내부에서 누군가가 신뢰 관계를 악용해 저지른 행위로 인한 것"이라며 "네트워크 경계 내부에 배포하도록 설계된 애플리케이션의 보안 프로필이 최악인 경우가 상당히 많아 이 문제는 더욱 커졌다"고 부연했다.

경계 구분없는 보안위협의 급증은 '제로 트러스트'란 보안 아키텍처에 주목하게 했다.

제로 트러스트 보안은 기업 방화벽 내부에 있다는 이유 하나만으로 누군가를 믿지 말아야 하며, 대신 매우 비관적인 방향으로 모든 컴퓨터, 사용자 서버를 신뢰할 수 있다고 입증하기 전까지 신뢰하지 않아야 한다는 발상이다.

제로 트러스트의 입증 방식은 강력한 인증과 권한이다. 신뢰 구축 전까지 어떠한 데이터도 전송하지 말아야 한다는 원칙을 갖는다. 또한, 분석·필터링·로깅 등으로 행동의 적절성을 확인하고 감염의 징후를 끊임없이 확인해야 한다.

아카마이는 제로 트러스트 원칙을 다섯가지로 요약했다. 네트워크는 항상 위험하다고 가정, 외부 및 내부 위협이 네트워크에 항상 존재, 네트워크의 신뢰 여부를 결정할 때 네트워크 위치는 충분하지 않음, 모든 디바이스와 사용자 그리고 네트워크를 인증하고 권한 확인, 최대한 많은 데이터 소스를 기반으로 자동적인 정책 수립 등이다.

제로 트러스트 아키텍처 방법론은 다양하다. 자체 위험존(DMZ) 내에서 실행되는 접속 프록시 아킼텍처가 먼저 유명해졌다. 이 방식은 공격 트래픽을 흡수하고, 캐싱을 위해 대역폭을 무한으로 제공하며, 필요할 때 리소스를 자동으로 확장하는 등의 기능 제약을 받을 수 있다.

아카마이 제로트러스트 보안 아키텍처. 제로 트러스트 아키텍처는 인증되고 권한이 부여된 사용자와 디바이스만 애플리케이션, 데이터에 접속하도록 허용한다. 이와 동시에 인터넷의 최신 위협으로부터 애플리케이션과 사용자를 보호한다.

아카마이는 ID 인지 프록시인 '제로 트러스트 네트워크 접속(ZTNA)' 기술을 설계해왔다. 기업의 장비가 아닌 아카마이 플랫폼에서 CPU에 많은 부담을 주는 리소스를 실행하고, 공격을 흡수하고, 캐시된 콘텐츠를 클라이언트 및 클라이언트 및 클라이언트리스 방법론을 통해 사용자와 가까운 위치에 제공하며, 애플리케이션 유형에 따라 달라진다. 이는 아카마이 엔터프라이즈 애플리케이션 액세스(EAA)라 불린다.

EAA 아키텍처는 전체 기업 네트워크 대신 애플리케 이션에만 접속을 제공한다. DMZ에 접속 프록시를 배치하는 대신, 아카마이 엔터프라이즈 애플리케이션 액세스 커넥터란 소형 가상머신을 방화벽 뒤에서 실행한다. 아카마이 커넥터의 주소는 프라이빗 IP 공간에 있고 인터넷에서 직접 접근하기 불가능하다. 접속한 이용자는 암호화된 트래픽으로 데이터를 주고 받는다.

찰리 게로 CTO는 "이런 방식이 VPN과 동일하게 여겨질 수 있는데, VPN은 네트워크 수준의 접속을 제공하는 반면 EAA는 애플리케이션 접속 권한을 얻기 위해 네트워크에 접속할 필요가 없다"며 "VPN 사용 시 제한 없는 수평적 접속의 보안상 단점을 극복하기위해 상당한 복잡성과 운영상 오버헤드가 발생하며, 성능 측면에서도 모든 트래픽이 데이터 센터 인프라로 다시 돌아가므로, 여기에서 일어나는 헤어핀 효과 때문에 인터넷 자산과 SaaS에 대한 연결속도가 극도로 느려질 수. 있고, 데이터센터내에서 페이스북이나 유튜브 같은 비즈니스와 무관한 트래픽에 대한 인터넷 업링크의 정체가 심해질 수 있다"고 설명했다.

그는 "VPN은 여러 데이터센터 인프라에 대한 사이트 간 접속에서 가장 빛을 발하지만, 네트워크 수준의 접속은 사용자의 애플리케이션 접속에 사용하기에 다소 적절한 패러다임이 아니다"라며 "아카마이 EAA 같은 프록시 기반 접근 방식은 애플리케이션 수준 접속을 제공해 성능과 보안을 복잡하지 않게 달성할 수 있다"고 밝혔다.

그는 "커피숍에서 또는 원격으로 근무하는 직원과 사무실의 직원이 완전히 동일하게 취급된다"며 "사용자가 인증되었는지와 사용하는 기계가 안전한지의 여부만 중요하다"고 덧붙였다.

아카마이는 바람직한 제로 트러스트 상태에 대해, 모든 애플리케이션은 위치와 목적에 따라 각자의 세부 페리미터로 분류돼야 한다고 조언했다. 마이크로 페리미터는 프라이빗 IP 공간의 프라이빗 VLAN에 있어야 하고, 마주한 접속 프록시를 제외하고 어떤 곳에서도 직접 접속할 수 없어야 한다.

인증과 권한 부여에서 그치지 않고 접속 프록시로 지나가는 트래픽을 검사하고 분석해야 한다.

또 위협 방어 측면에서 사용자가 만들어내는 모든 웹 요청을 검사하고 실시간 위협 인텔리전스와 고급 맬웨어 분석 기술로 안전한 콘텐츠만 전송될 수 있도록 해야 한다.

찰리 게로 CTO는 "새로운 아키텍처 배포는 간편하게 단계별로 전환할 수 있어야 한다"며 "최고의 접근 방식은 관리 가능한 작은 배치에서  애플리케이션을 제로 트러스트 접근 모델로 전환하기 시작하고, 테스트랩, 외부 사용자, 내부 사용자 등으로 각 애플리케이션의 사용자그룹을 적용하면서 확대해가야 한다"고 밝혔다.

그는 "현재 기업 정보가 유출되는 가장 큰 원인은 안전한 보안 아키텍처로 전환하지 못했기 때문이며, 이 문제는 앞으로 더 심각해질 전망"이라며 "기업은 경계 뒤편에 있어도 안전하지 않다는 뜻이며, 그 이유는 경계라는 것 자체가 존재하지 않기 때문"이라고 강조했다.

그는 "아카마이의 클라우드 보안 서비스들을 조합하면 포괄적인 제로 트러스트 아키텍처를 구축할 수 있다"며 "클라우드 네이티브 환경에서 안전한 애플리케이션 접속을 제공할 뿐만 아니라 클라우드를 활용하므로 내부 기업 네트워크의 필요성이 거의 필요 없어진다"고 덧붙였다.