사이버공격 피해 7천조 원, 시크릿 통합관리로 해결

“사이버범죄 보고서에 따르면 지난해 피해가 7천조 원에 달할 것으로 분석했다. 피해범위가 더욱 늘어나고 있는 만큼 기업 최고경영자(CEO)들은 해킹 등 사이버공격을 비즈니스 1순위 위협으로 판단하고 있다. 사이버공격 차단은 시크릿 관리에서 시작한다.”

6일 하시코프 김정훈 전무는 서울 삼성동 오크우드호텔에서 개최한 기자 간담회를 통해 위와 같이 말하며 기업 인프라를 유연하고 안전하게 운영하는 방안을 소개했다.

김 전무는 “한국 IT 환경이 하드웨어 중심에서 소프트웨어로 이동하면서 정적이었던 전통 데이터센터에서 동적인 셀프서비스 기반의 현대화된 데이터센터로 변화했다”며 “IT 조직 전반의 패러다임이 변화하면서 종속되지 않는 인프라 운영 방안을 고민하게 된다”며 종속되지 않는 시크릿 관리를 지원하는 볼트를 대안으로 제시했다.

시크릿은 ‘비밀번호, 인증서, 토큰, SSH키, API키 등 보호된 리소스 또는 민감한 정보의 잠금을 해제하는 키로 작동하는 중요 정보’를 의미한다.

볼트는 누가 어디에 어떻게 접근하는지에 따라 효과적인 ‘시크릿 정책’을 설정하고 보다 효과적인 인증 환경을 위한 ‘자동화’를 제공하는 솔루션이다.

볼트의 시크릿 발급 절차는 호텔의 카드키 발급 절차와 비슷하다. 호텔 리셉션을 볼트라고 가정하면, 신분증/여권을 통한 신원 확인 후 예약한 호텔 객실 열쇠를 제공하듯이 볼트도 중앙에서 각 사용자를 정책에 따라 분류해 인증하고 권한을 부여한다.

인증이 완료되면 객실에 들어가기 위해 카드키를 사용하게 되는데 임시로만 출입을 허가한다. 볼트도 토큰과 정책을 임시로 사용할 수 있게, 승인된 대상에만 정책에 의해서 접속할 수 있는 시크릿을 발급한다.

인가된 대상만 클라우드, DB, 서버와 같은 대상에 접속할 수 있게 함으로써 보안 취약점을 최소화한다.

인프라가 다양해지면서 많은 곳에 시크릿 정보가 퍼져 있는 현상을 ‘시크릿 스프롤’ 현상이라고 하는데 이러한 환경에서는 시크릿이 쉽게 유출될 수 있어 보안 취약점이 된다.

볼트를 사용하면 실제 시크릿을 사용자 알고 있거나 시스템(APP)에 기입하는 대신 모든 시크릿을 볼트에 중앙 저장하고 이를 효과적으로 발급할 수 있다. 또한 사용자에게는 주기적으로 시크릿 정보가 변경되는 변동 시크릿(Dynamic Secret)을 발급하고, 시스템에는 볼트로부터 시크릿 정보를 획득할 수 있는 API를 기입할 수 있다.

볼트를 활용할 수 있는 대표적인 8가지 방안은 다이어그램을 통해 확인할 수 있다. 볼트는 데이터센터 설치형 엔터프라이즈 버전과 클라우드 SaaS형 해시코프 클라우드 플랫폼(HCP)모델로 제공한다.

최근 볼트 엔터프라이즈 버전에서만 사용할 수 있었던 볼트용 다중 인증(MFA)은 제로 트러스트 보안 실행방식을 HCP 볼트까지 확장했다.