전기전자/정보통신

Nikkei Computer_2020.5.28 특집 요약 (p22~31)

제로 트러스트 네트워크
VPN 불필요, 전 사원 재택근무의 비장의 카드

‘재택근무(Telework)의 급증으로 VPN(Virtual Private Network: 가상 사설망) 트래픽이 폭발했다’. 코로나19의 감염 확대로 많은 기업들이 이런 비명을 질렀다. 그러나 한편에서는 LIXIL(릭실) 그룹이나 NTT커뮤니케이션즈처럼 몇만 명이라는 사원을 재택근무로 전환한 기업도 있다. VPN에 의지하지 않아도 시스템을 어디에서든 안전하게 이용할 수 있게 하고 있는 것이다. 그 배경에는 ‘제로 트러스트(Zero trust) 네트워크’라고 불리는 새로운 사고방식이 있다. 모든 네트워크를 위험으로 간주해 유저가 어디에 있든 간에 어플리케이션 이용 가부를 엄격하게 체크한다. 그런 사고방식이 시큐리티와 편리성의 양립을 실현시켰다. 비상 사태에 굴하지 않는 재택근무 환경의 실현 방법을 소개한다.

Part 1. 재택근무가 급증해도 OK
비결은 '탈(脫) VPN'

LIXIL은 최대 2만 5,000명, NTT커뮤니케이션즈는 1만 4,000명---. 이 2사에서 2020년 4월부터 방대한 인원수의 종업원이 재택근무를 하고 있다. 그럼에도 다른 기업에서 벌어진 'VPN 정체(停滯)'와는 무관할 수 있었던 비결은 무엇일까?

“만약 기존과 같은 시큐리티 대책이었다면 재택근무의 급증에는 도저히 대처할 수 없었을 것이다. VPN(가상 사설망)이 족쇄가 되어 많은 업무에 지장을 초래하고 있었기 때문이다”. 건축 자재 및 주설 기기 대기업 LIXIL의 야스이(安井) 디지털 테크놀로지센터 센터장은 안도의 표정을 지으며 이렇게 말한다.

LIXIL 그룹은 코로나19의 감염 확대에 따라 2020년 4월부터 본사 오피스에서 일하는 종업원의 99%를 재택근무로 대체했다. 그룹 전체로는 최대 2만5,000명이 LIXIL이 주로 온프레미스로 운용하는 1,500개 업무 애플리케이션을 재택근무에서 이용하면서 집에서도 사무실과 동일하게 근무하고 있다.

만약 코로나화19 사태가 1년 전에 발생했더라면 이 회사의 업무는 대혼란에 빠졌을 것이다. 재택근무에 사용하고 있던 VPN 용량이 턱없이 부족했기 때문이다.

1년 전까지 LIXIL의 재택근무 환경은 많은 기업들과 마찬가지로 VPN을 전제로 하고 있었다. VPN은 사내 업무 앱을 사용하는 경우뿐만 아니라, 재택근무 중에는 항상 사용하는 것이 원칙이었다. SaaS(Software as a Service)나 Amazon Web Services(AWS) 상에서 가동하는 시스템 등을 이용할 때에도, 우선 본사에 VPN으로 접속해 거기에서 인터넷에 접속하도록 되어 있었다. 한편, VPN의 Capacity(용량)는 1,500인 분량 밖에 없었다. 만약 2만 5,000명이 재택근무를 시작했다면 VPN 트래픽은 폭발했을 것이다.

그러나 현재, LIXIL의 재택근무에는 아무런 문제가 없다. VPN을 사용하지 않아도 사내의 업무 앱을 이용할 수 있는 새로운 재택근무 환경으로의 전환을 끝마친 상태이기 때문이다. 직원들은 업무용 PC를 이용해 인터넷에 접속하기만 하면 어디에서든 사무실처럼 일할 수 있게 되었다.

LIXIL에서의 탈 VPN의 열쇠는 'IAP(Identity-Aware Proxy)'라고 불리는 새로운 원격 접속 방법을 도입한 것에 있다. 구체적으로는 미국 아카마이테크놀로지즈(Akamai Technologies)의 ‘Enterprise Application Access(이하, Akamai EAA)」를 사용한다.

-- 클라우드 경유로 접근 --
Akamai EAA는 사내 업무 앱을 인터넷 경유로 이용할 수 있는 전용 프록시 서버의 클라우드 서비스다. LIXIL 종업원은 우선 인터넷 경유로 Akamai EAA의 전용 사이트에 접속해 그곳에서 다요소 인증을 통과한다. 그러면 통신이 LIXIL 사내에 설치한 ‘커넥터’로 불리는 서버를 통해 업무 앱에 접속할 수 있게 되며, 사외에서도 이용할 수 있게 된다. Web 앱뿐만 아니라 클라이언트/서버(C/S)형 앱도 사용할 수 있으며 통신은 모두 암호화되어 있다.

VPN의 경우, 유저의 통신을 중계하는 장치가 온프레미스(사내)에 있어 Capacity를 급격하게 늘리는 것은 어렵다. 그에 반해, Akamai EAA는 클라우드에 있으므로 Capacity를 유연하게 증감할 수 있다. “EAA가 없었더라면 2만 5,000명의 재택근무는 불가능했을 것이다”라고 야스이 센터장은 말한다.

LIXIL이 Akamai EAA의 도입을 시작한 것은 2019년 3월이다. 그 목적은 재택근무를 가속화하는 것이었다. 2020년 4월까지 1,500개의 업무 앱 중에서 1,450개를 VPN 없이 이용할 수 있게 했기 때문에 재택근무 급증에 대응할 수 있었다. VPN 자체는 EAA에 대응하지 않는 50개의 업무 앱에 사용하기 위해 남겨 두었다.

SaaS 및 AWS 상에서 가동하는 시스템 등도 VPN을 경유하지 않고 이용할 수 있게 개선시켰다. Akamai EAA가 제공하는 싱글사이온(SSO) 기능을 사용함으로써 사외에 있는 앱을 통일된 시큐리티 기준으로 이용할 수 있게 되었기 때문이다.

-- ‘제로 트러스트’로의 전환 --
LIXIL이 채택한 새로운 시큐리티의 사고방식을 ‘제로 트러스트 네트워크’라고 부른다. 네트워크는 모두 위험하다는 인식을 기반으로 ‘아무것도 믿지 않는다’라는 사고방식을 뜻한다. 이것이 지금, 기업에 대한 시큐리티 방식을 근본부터 바꾸려 하고 있다.

전통적인 시큐리티 수법으로는 사내 네트워크는 ‘안전’하며 그 외는 ‘위험’하다는 사고방식이 근저에 깔려 있었다. 파이어월(Fire wall) 등 보안 기기로 기업 네트워크의 내부와 외부를 구분해 내부로의 침입을 방지하는 것에 주력하기 때문에 ‘경계형 방어’라고도 말한다.

그러나 그것은 종업원이 사내 네트워크로부터 사내의 정보 자산에 접속하는 것이 당연했던 시대의 발상이다. 지금은 클라우드의 업무 이용이 한 단계 업그레이드되어 방어해야 할 앱이나 데이터의 대부분이 경계 밖으로 벗어나게 되었다. 또한 종업원은 자택이나 사외에서의 업무가 권장되고 있다. 결국 ‘경계’는 의미가 없어져 실효성도 떨어지게 되었다.

또한 최근에는 ‘표적 공격’에 의해 종업원의 계정이 해킹 당함으로써 사내 네트워크가 침입 당하는 사건이 다수 발생하고 있다. ‘안전’했던 사내 네트워크가 뚫리게 되면 침입자가 사내 앱에 마음대로 접속할 수 있게 되고 만다. 그런 경계형 방어의 한계도 드러나기 시작했다.

한편, 제로 트러스트는 어떤 종류의 네트워크도 신뢰하지 않는다. 유저가 업무의 앱 및 데이터를 이용할 경우에는 유저의 속성 및 단말기 정보, 접속 처의 네트워크 등을 수시로 체크해, 그 때마다 이용 가부를 판정한다. 또한 사내로부터의 접속을 안전하다고 보지 않는다.

모든 네트워크를 신뢰하지 않기 때문에 사내와 사외의 구별도 사라진다. 다시 말해 업무 앱을 사용하기 위해 일부러 VPN으로 사내 네트워크에 접속할 필요가 없어진다. 제로 트러스트는 시큐리티의 강화와 동시에, 유저의 편리성을 향상시키는 사고방식인 것이다.

-- 일본에 확산되는 제로 트러스트 --

Part 2. 방어하는 것은 앱과 단말기
제로 트러스트의 전모

방어 대상을 네트워크의 경계(境界)로부터 앱이나 단말기로 전환한다. 이것이 제로 트러스트 네트워크의 기본 사고방식이다. 구체적으로 무엇을 어떻게 방어해야 하는지에 대해 3가지 관점에서 설명하겠다.

“구글이 제로 트러스트로 대처하게 된 배경에는 약 10년 전에 보안 침해를 당한 것에 있다”. 구글에서 클라우드 시큐리티를 담당하는 제너럴 매니저 겸 바이스 프레지던트인 포티 씨는 이렇게 말한다.

구글은 2010년 1월에 중국으로부터의 사이버 공격을 받아 기밀 정보 등을 해킹 당했다고 발표. 고도의 표적형 공격에 의해 사내 네트워크로의 침입을 막지 못한 것이 발단이 되었다.

안전하다고 판단했던 사내 네트워크 시스템에 대해서는 로그의 보관 및 분석이 불충분했기 때문에 공격을 알아채는데 시간이 걸렸다. 경계형 방어의 한계를 구글은 이미 10년 전에 직면했던 것이다.

이 사건을 교훈으로 구글이 8년간에 걸쳐 구축한 것이 제로 트러스트 네트워크인 ‘Beyond Corp’이다. 구글은 자세한 내용에 대해서 2017년에 Web 사이트와 논문에 공개하고 있다.

2020년 현재, 다양한 벤더가 제로 트러스트를 제창하는 제품이나 솔루션을 제공하고 있지만, 엄밀히 말하면 정의는 아직 내려진 바가 없다. 그래서 일단은 세계에서 가장 빨리 구축된 구글의 Beyond Corp를 참고로 삼아, 제로 트러스트의 포인트를 3가지로 정리하려고 한다. 그리고 각각의 포인트에 대해 유저 기업이 입수 가능한 제품이나 솔루션에 대해 소개하겠다.

-- 사내 앱도 엄중 방어 --
제로 트러스트 첫 번째 포인트는 ‘네트워크의 방어에서 애플리케이션의 방어로의 전환’ 이다.

기존의 경계형 방어에서 사내는 ‘안전’하다고 간주되었기 때문에 사내 앱의 방어 수준은 낮았다. ID·패스워드와 더불어 다른 수단을 유저 인증에 사용하는 ‘다요소 인증’이나, 디바이스의 종류나 장소, 시간, 유저의 행동 등을 인증에 사용하는 ‘컨텍스트(정황) 베이스 인증’ 등 인터넷 서비스에서 당연 시 되어 왔던 방어 수법은 사내 앱에서는 사용되지 않았다.

그에 반해 모든 네트워크를 신뢰하지 않는 제로 트러스트에서는 사내 앱일지라도 인터넷 서비스와 동일한 레벨의 방어를 강구한다. 특히 중요한 것은 유저 인증이나 앱 접속 시의 인가 요건의 강화이다.

요점은 ID 및 액세스 관리(Identity and Access Management, IAM) 이다. 제로 트러스트에는 미국 Olta(옥타)의 ‘Okta Identity Cloud’나 구글의 ‘Cloud IAM’, 마이크로소프트의 ‘Azure Active Directory’ 등 클라우드 서비스의 IAM를 사용하는 것이 일반적이다. 이와 같은 서비스가 다요소 인증이나 콘텍스트(정황) 기반 인증 등 앱 이용을 신뢰할 수 있는 사용자로 한정하는 기능을 표준으로 갖추고 있기 때문이다.

IAP 자체는 클라우드 서비스이다. 다시 말해 유저는 IAP를 사용할 경우, 사내 앱도 클라우드를 경유해 이용하게 된다. 따라서 IAP는 VPN을 대신해 사내 앱의 리모트 액세스 수단으로도 사용된다.

-- 시큐리티 칩 필수로 --
제로 트러스트의 두 번째 포인트는 ‘디바이스의 방어’이다. 악성코드 대책 소프트웨어 및 모바일 디바이스 관리(MDM)과 같은 제품에 의해 PC나 스마트폰을 보호하는 것뿐만 아니라, 이것들과 IAM 및 IAP를 연계해 디바이스의 시큐리티 상황에 맞게 앱의 이용 가부를 세밀하게 제어한다.

디바이스는 보안 칩을 탑재하는 것에 한정한다. TPM 칩 탑재 Windows PC나 에플의 아이폰, 구글의 Pixel 3 이하 등이다.

디바이스로 업무 데이터를 이용할 때에는 보안 칩을 사용한 하드웨어 베이스의 암호화를 사용한다. 이것에 의해 디바이스의 분실 및 도난에 의한 데이터 유출을 방지할 수 있다.

-- 모든 로그를 분석 --
제로 트러스트의 세 번째 포인트는 ‘모든 행동의 감시와 분석’이다. 시스템 로그를 일원적으로 관리∙분석하는 SIEM(보안 정보 및 이벤트 관리)을 도입함으로써 사이버 공격 등의 조짐을 검출하려는 기업은 일본에서도 점점 늘어나고 있다.

구글 방식의 제로 트러스트에 있어서는 DNS 서버에 대한 쿼리 로그, 클라이언트 PC의 시큐리티 로그, 프록시 서버의 로그, 스위치나 라우터에 흐르는 프레임이나 패킷의 메타데이터 ‘Net Flow’ 등 모든 로그를 무제한으로 감시∙분석하는 것이 바람직하다고 한다.

Part 3. 우선은 ID의 정비부터
제로 트러스트의 현실적인 해답

제로 트러스트를 완벽하게 실시하는 것은 일반 기업에 있어서 너무나 어려운 일이다. 우선은 도입이 용이하고 효과를 얻기 쉬운 것부터 시작해야 한다. AI(인공 지능)의 적극적인 활용이 현실적인 제로 트러스트 도입의 열쇠가 된다.

사이버 공격의 고도화나 재택근무 확대에 의해 기존의 경계형 방어가 한계에 이른 오늘날, 완전한 제로 트러스트 네트워크가 기업에 있어서의 시큐리티 대책의 이상형이 된 것에는 틀림없다.

마이크로소프트의 나델라 CEO는 2020년 4월 29일(미국 시간)에 개최한 결산 설명회에서 “원격 업무(Remote only jobs)가 전 세계적으로 확산되는 가운데, 모든 조직이 제로 트러스트 아키텍처를 필요로 하고 있다” “제로 트러스트의 분야에서는 마이크로소프트가 리더다”라고 강조. IT벤더도 적극적인 모습을 보이고 있다.

하지만 구글조차도 제로 트러스트 구축에 8년이 걸렸다. 일반 기업에 있어서 제로 트러스트는 매우 장벽이 높기 때문에 갑자기 완전한 대책을 지향하는 것이 아니라, 도입이 쉽고 효과를 얻기 쉬운 곳부터 시작하는 것이 현실적이다.

-- 우선 ID기반 정비부터 시작하자 --
포켓몬의 세키(関) 테크니컬 디렉터는 “제로 트러스트를 추진하는 데 있어서 인증 기반의 정비와 SaaS 이용의 확대부터 시작했다”라고 말한다. 제로 트러스트에서는 앱 이용을 '신뢰할 수 있는 네트워크'가 아니라 신뢰할 수 있는 유저나 디바이스부터 한정하는 것이 원칙이기 때문이다.

또한 ID 인증 기반의 정비는 도입 효과가 바로 나오기 쉽다. 포켓몬의 세키 테크니컬 디렉터는 “기존에는 입사나 퇴직, 조직 변경 때마다 또는 시스템마다 계정을 만들거나 변경했다. 그러나 IAM을 도입함으로써 번잡한 수고를 해소할 수 있게 되었다”라고 말한다. 포켓몬은 IAM으로서 미국의 핑아이덴티티의 ‘Ping Intelligent Identity Platform’을 사용한다.

재택근무 대상을 파견사원이나 협력회사 직원으로 확대할 때에도 IAM 도입이 효과적이다. ID를 효율적으로 발행하는데 사용하는 ‘ID 라이프사이클 관리’나 ‘ID 프로비저닝’이라고 하는 기능이 사외 유저에게 일시적인 ID를 안전하게 발행하는데 도움이 된다.

-- 디바이스 보호로 편리성 향상 --
NTT커뮤니케이션즈는 제로 트러스트를 추진할 때 다양한 디바이스 보호를 도입했다. 마이크로소프트 365를 도입함으로써 EDR’(Endpoint Detection and Response)인 Windows Defender ATP와 파일 암호화의 Azure RMS, 모바일 디바이스 관리(MDM)의 Intune 등을 일괄 도입했다. Windows PC에 관해서는 TPM(TPM: Trusted Platform Module) 보안 칩을 사용한 암호화 BitLocker의 이용을 필수로 했다. 스마트폰에 대해서는 제조사 독자적인 보안 칩을 탑재하는 애플의 아이폰과 구글의 Pixel 3 이하를 채택한다. 한국 삼성전자도 2020년 2월에 스마트폰에 독자적인 자체 보안 칩을 탑재한다고 밝혔다. 삼성 갤럭시도 앞으로 선택지에 들어갈 가능성이 있다고 한다.

디바이스 보호를 강화함으로써 유저의 편리성은 크게 향상되었다. NTT커뮤니케이션즈는 기존에 재택근무 환경에 신(thin) 클라이언트 단말기를 채택하고 있었다. 데이터의 로컬 저장을 금지해 VPN 경유로 사내의 가상 데스크탑 환경(VDI)을 항상 사용하게 했다. 그에 반해 현재는, 데이터를 로컬에 저장하거나 디바이스 상에서 가동하는 앱을 이용하는 등이 가능해졌다. 

-- 탈 VPN으로 네트워크 비용도 절감--
-- 로그 분석은 AI에게 맡긴다 --
-- SOC의 자체 운용이 가능하게 --

 -- 끝 --

Copyright © 2020 [Nikkei Computer] / Nikkei Business Publications, Inc. All rights reserved.