코로나로 인해 집으로 흩어진 임직원들과 학생들...한 집에 모이기 때문에 공간 혼재
집의 사무실화는 곧 장비 다수화로 이어져...공격자들 입장에서는 공격 표면이 늘어나
[보안뉴스 문가용 기자] 팬데믹이 이제 앞으로 더 자주 우리의 일상 속에 나타날 것이라는 예측이 질병 및 방역 전문가들 사이에서 나오고 있다. 코로나는, 그 이름이야 매번 달리하겠지만, 지나가고 극복하는 것이 아니라 같이 살아야 하는 무언가가 되었다는 소리다. 그렇다는 건 재택 근무 등으로 대표되는 ‘포스트 코로나’의 근무 환경 역시 보안 담당자들이 안고 가야 할 현실이라는 뜻이 된다.
팬데믹 사태 이후의 보안을 주제로 삼성동 코엑스에서 열리고 있는 ISEC 2020 행사에서, 카이스트 정보보호 대학원 강민석 교수가 ‘언택트 시대의 기업 망분리 기술 최신 동향’에 대해 강연했다. 그는 “갑작스럽게 닥친 코로나라는 현실에 대응하는 여러 조직들의 방식과, 이를 통해 그려보는 미래의 이상적 환경에 대한 연구가 현재 학계에서 흥미롭게 진행되고 있다”며 “이 강연을 통해 어느 정도 실마리를 제안할 수 있기를 바란다”고 말했다.
강 교수는 “코로나 때문에 삼엄한 보안 규정 때문에 재택 근무가 법률적으로 불가능했던 금융 조직들마저도 한시적으로 이를 허용하기 시작했다”며 “이 기준(금융 조직 임직원도 재택 근무가 가능하다)이 지난 2월부터 한시적 적용, 10월부터는 상시 적용되었다”고 설명했다. 즉, 나름 팬데믹에 대한 유연하고 빠른 대처를 하고 있다는 것이다. “하지만 개선될 부분들이 남아 있습니다. 아직 재택 근무를 위한 온전한 망분리가 되었다고 말하기 힘든 것이죠.”
그가 말하는 현재 망분리 체제의 문제점은 크게 세 가지다. 사회적 비용이 크다는 것과, 효율성과 편의성이 부족하다는 것, 그리고 내부자 공격에 취약하다는 것이다. “지금의 기업 네트워크망과 보안 시스템, 망분리 체제는 유연한 대처가 불가능합니다. 경직되어 있어요. 그래서 고장이나 사건이 발생했을 때 들어가는 비용이 크죠. 경직되어 있으니 불편하고, 그러다보니 오히려 보안 위반 사고가 늘어납니다. 원래 보안 제어가 너무 심해서 불편함을 주기 시작하면 사람들은 우회 방법을 반드시 찾아냅니다. 그리고 인증 과정을 통과한 내부자가 엄청난 위협이 되는 걸 막을 수 없습니다.”
이런 문제들이 채 해결되지 않은 상황에서 코로나로 인해 새로운 국면이 시작됐다는 게 그의 설명이다. 말 그대로 설상가상의 상황. “재택 근무가 늘어나면서 공간과 망의 혼재가 시작됐습니다. 가정 내에서 사용되던 기기가 업무에 사용되면서, 가정 네트워크가 기업 네트워크에 파고든 것과 같은 상황이 연출됩니다. 게다가 가족들 간의 기기 공유도 빈번해지고 있고요. 회사의 입장에서 보면 업무망에 임직원들의 가족들까지 다 연결된 겁니다. 무슨 뜻일까요? 공격 표면이 기하급수적으로 늘어났다는 겁니다.”
공격 표면의 증가를 부추기는 현상은 하나 더 있다. 재택 근무의 장기화 때문에 집이 곧 학교이자 사무실로 변한다는 것이다. “사무 공간 혹은 학습 공간이 집안에 마련된다는 건, 장비가 늘어난다는 소리와 같습니다. 처음에는 노트북 한 대만 놓고 일하다가, 나중에는 프린터도 사고, 세절기도 마련하고, 복합기도 들이게 되죠. 실제로 해외 여러 기업들은 이런 장비 마련 비용을 회사에서 대주기도 합니다. 오죽하면 BYOD(Bring Your Own Device)가 이제는 BYEH(Bring Your Entire Home)으로 변하고 있습니다. ‘회사로 장비 가져와’가 ‘회사로 집을 다 가져와’로 변했다는 것이죠. 공격 표면의 대량 증가를 쉽게 상상할 수 있죠.”
공격 표면이 증가한다는 건 기업 보안담당자 입장에서 가시성이 낮아진다는 뜻이 된다. 모든 임직원의 가정에 어떤 기기가 어떤 방식으로 연결되어 있는지 일일이 확인하고 직접 구성해 준다는 건 불가능하다. 된다고 하더라도 누가 그걸 원하겠는가? 강 교수는 “가정 네트워크가 근무 환경으로 들어오면서 가시성 확보가 프라이버시 침해로 이어질 위험도 생겼다”며 “나 같아도 회사 보안 담당자가 우리 집 와이파이망을 지켜보고 있다면 싫을 것 같다”고 말했다.
또 하나 생각해야 하는 변수는 ‘예측 불가능성’이라고 강 교수는 지적했다. 방역하는 입장에서 확진자나 접촉자가 나오면 그 근방을 폐쇄해야 하는데, 이런 일들이 예고 없이 발생한다는 것이다. “뉴스에서 많이 보셨죠? 어느 회사나 병원에서 확진자가 나오면 그 건물 전체를 폐쇄합니다. 방역의 측면에서는 잘 하는 겁니다만, 회사 입장에서는 돌연 전 회사 재택 근무 체제로 돌입해야 한다는 뜻이 됩니다. 기업 네트워크는 변화 수용성이 낮기 때문에 큰 문제가 될 수밖에 없습니다.”
그래서 업계와 학계에서는 여러 가지 모델을 개발해 적용, 시험하고 있는 중이다. 주목할 만한 건 넷플릭스의 LISA라고 강 교수는 꼽았다. “모든 장비를 회사의 클라우드를 거쳐서 사용하도록 만든 게 LISA입니다. 컴퓨터 바로 옆에 있는 프린터도 직접 연결하지 않는다고 해요. 클라우드를 거쳐야 그 프린터에서 인쇄물을 뽑아 볼 수 있습니다. 그렇기 때문에 사무실에 있든 스타벅스에 있든 안전하게 일할 수 있다고 하는데요, 이 경우 예를 들어 금융업계에서는 법률적 제한 때문에 활용할 수 없습니다. 제한사항이 있는 방법입니다.”
그 다음은 카네기 멜론 대학에서 개발한 PSI 시스템이다. 강 교수는 “모든 엔드포인트에 맞춤형 보안 장치를 마련하고, 그 장치들 간에 발생하는 모든 트래픽을 실시간으로 감시한다는 개념인데, 구현 난이도가 너무 높다는 단점을 가지고 있습니다. 물론 추구해야 할 방향이긴 하겠지만 지금 당장 모든 조직들이 적용하기에는 힘들 겁니다.”
그렇다면 앞으로 다가올 팬데믹의 물결에 우리는 사용할 만한 안전 아키텍처 없이 재택근무를 진행해야 하는 걸까? 강 교수도 이렇다 할 답은 아직 가지고 있지 않다. 그 누구도 해결책이 없는 상황이다. 다만 “개인정보보호 기술을 기반으로 한 기계 학습이 가능하다는 것”과 “마이크로 네트워크 가상화 기술이 발전하고 있다는 것”이 실마리가 될 것이라고 그는 말했다.
“개인정보보호 기술을 기계에 학습시키면 프라이버시 침해 위험 없이 네트워크의 실시간 모니터링과 가시성 확보가 가능해질 것이라고 봅니다. 이 분야에서의 발전이 기대가 되는 이유입니다. 또한, 마이크로 네트워크 가상화 기술 덕분에 보다 명확히 정립된 망분리 구축을 함으로써 기업 환경과 가정 망이 무질서하게 섞여드는 것을 막을 수 있을 거라고 봅니다.”
그러면서 강 교수는 “코로나를 보안의 관점에서 극복한다는 건 대단히 흥미로운 일”이라며 “아직 아무도 명확한 답을 가지고 있지 않은 가운데, 보안 전문가 모두가 이 사태를 지켜보고 고민함으로써 생각을 모아야 한다”고 당부하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]
집의 사무실화는 곧 장비 다수화로 이어져...공격자들 입장에서는 공격 표면이 늘어나
[보안뉴스 문가용 기자] 팬데믹이 이제 앞으로 더 자주 우리의 일상 속에 나타날 것이라는 예측이 질병 및 방역 전문가들 사이에서 나오고 있다. 코로나는, 그 이름이야 매번 달리하겠지만, 지나가고 극복하는 것이 아니라 같이 살아야 하는 무언가가 되었다는 소리다. 그렇다는 건 재택 근무 등으로 대표되는 ‘포스트 코로나’의 근무 환경 역시 보안 담당자들이 안고 가야 할 현실이라는 뜻이 된다.
[이미지 = utoimage]
팬데믹 사태 이후의 보안을 주제로 삼성동 코엑스에서 열리고 있는 ISEC 2020 행사에서, 카이스트 정보보호 대학원 강민석 교수가 ‘언택트 시대의 기업 망분리 기술 최신 동향’에 대해 강연했다. 그는 “갑작스럽게 닥친 코로나라는 현실에 대응하는 여러 조직들의 방식과, 이를 통해 그려보는 미래의 이상적 환경에 대한 연구가 현재 학계에서 흥미롭게 진행되고 있다”며 “이 강연을 통해 어느 정도 실마리를 제안할 수 있기를 바란다”고 말했다.
강 교수는 “코로나 때문에 삼엄한 보안 규정 때문에 재택 근무가 법률적으로 불가능했던 금융 조직들마저도 한시적으로 이를 허용하기 시작했다”며 “이 기준(금융 조직 임직원도 재택 근무가 가능하다)이 지난 2월부터 한시적 적용, 10월부터는 상시 적용되었다”고 설명했다. 즉, 나름 팬데믹에 대한 유연하고 빠른 대처를 하고 있다는 것이다. “하지만 개선될 부분들이 남아 있습니다. 아직 재택 근무를 위한 온전한 망분리가 되었다고 말하기 힘든 것이죠.”
그가 말하는 현재 망분리 체제의 문제점은 크게 세 가지다. 사회적 비용이 크다는 것과, 효율성과 편의성이 부족하다는 것, 그리고 내부자 공격에 취약하다는 것이다. “지금의 기업 네트워크망과 보안 시스템, 망분리 체제는 유연한 대처가 불가능합니다. 경직되어 있어요. 그래서 고장이나 사건이 발생했을 때 들어가는 비용이 크죠. 경직되어 있으니 불편하고, 그러다보니 오히려 보안 위반 사고가 늘어납니다. 원래 보안 제어가 너무 심해서 불편함을 주기 시작하면 사람들은 우회 방법을 반드시 찾아냅니다. 그리고 인증 과정을 통과한 내부자가 엄청난 위협이 되는 걸 막을 수 없습니다.”
이런 문제들이 채 해결되지 않은 상황에서 코로나로 인해 새로운 국면이 시작됐다는 게 그의 설명이다. 말 그대로 설상가상의 상황. “재택 근무가 늘어나면서 공간과 망의 혼재가 시작됐습니다. 가정 내에서 사용되던 기기가 업무에 사용되면서, 가정 네트워크가 기업 네트워크에 파고든 것과 같은 상황이 연출됩니다. 게다가 가족들 간의 기기 공유도 빈번해지고 있고요. 회사의 입장에서 보면 업무망에 임직원들의 가족들까지 다 연결된 겁니다. 무슨 뜻일까요? 공격 표면이 기하급수적으로 늘어났다는 겁니다.”
공격 표면의 증가를 부추기는 현상은 하나 더 있다. 재택 근무의 장기화 때문에 집이 곧 학교이자 사무실로 변한다는 것이다. “사무 공간 혹은 학습 공간이 집안에 마련된다는 건, 장비가 늘어난다는 소리와 같습니다. 처음에는 노트북 한 대만 놓고 일하다가, 나중에는 프린터도 사고, 세절기도 마련하고, 복합기도 들이게 되죠. 실제로 해외 여러 기업들은 이런 장비 마련 비용을 회사에서 대주기도 합니다. 오죽하면 BYOD(Bring Your Own Device)가 이제는 BYEH(Bring Your Entire Home)으로 변하고 있습니다. ‘회사로 장비 가져와’가 ‘회사로 집을 다 가져와’로 변했다는 것이죠. 공격 표면의 대량 증가를 쉽게 상상할 수 있죠.”
공격 표면이 증가한다는 건 기업 보안담당자 입장에서 가시성이 낮아진다는 뜻이 된다. 모든 임직원의 가정에 어떤 기기가 어떤 방식으로 연결되어 있는지 일일이 확인하고 직접 구성해 준다는 건 불가능하다. 된다고 하더라도 누가 그걸 원하겠는가? 강 교수는 “가정 네트워크가 근무 환경으로 들어오면서 가시성 확보가 프라이버시 침해로 이어질 위험도 생겼다”며 “나 같아도 회사 보안 담당자가 우리 집 와이파이망을 지켜보고 있다면 싫을 것 같다”고 말했다.
▲ISEC 2020 키노트 스피치를 하고 있는 KAIST 강민석 교수[이미지 = 보안뉴스]
또 하나 생각해야 하는 변수는 ‘예측 불가능성’이라고 강 교수는 지적했다. 방역하는 입장에서 확진자나 접촉자가 나오면 그 근방을 폐쇄해야 하는데, 이런 일들이 예고 없이 발생한다는 것이다. “뉴스에서 많이 보셨죠? 어느 회사나 병원에서 확진자가 나오면 그 건물 전체를 폐쇄합니다. 방역의 측면에서는 잘 하는 겁니다만, 회사 입장에서는 돌연 전 회사 재택 근무 체제로 돌입해야 한다는 뜻이 됩니다. 기업 네트워크는 변화 수용성이 낮기 때문에 큰 문제가 될 수밖에 없습니다.”
그래서 업계와 학계에서는 여러 가지 모델을 개발해 적용, 시험하고 있는 중이다. 주목할 만한 건 넷플릭스의 LISA라고 강 교수는 꼽았다. “모든 장비를 회사의 클라우드를 거쳐서 사용하도록 만든 게 LISA입니다. 컴퓨터 바로 옆에 있는 프린터도 직접 연결하지 않는다고 해요. 클라우드를 거쳐야 그 프린터에서 인쇄물을 뽑아 볼 수 있습니다. 그렇기 때문에 사무실에 있든 스타벅스에 있든 안전하게 일할 수 있다고 하는데요, 이 경우 예를 들어 금융업계에서는 법률적 제한 때문에 활용할 수 없습니다. 제한사항이 있는 방법입니다.”
그 다음은 카네기 멜론 대학에서 개발한 PSI 시스템이다. 강 교수는 “모든 엔드포인트에 맞춤형 보안 장치를 마련하고, 그 장치들 간에 발생하는 모든 트래픽을 실시간으로 감시한다는 개념인데, 구현 난이도가 너무 높다는 단점을 가지고 있습니다. 물론 추구해야 할 방향이긴 하겠지만 지금 당장 모든 조직들이 적용하기에는 힘들 겁니다.”
그렇다면 앞으로 다가올 팬데믹의 물결에 우리는 사용할 만한 안전 아키텍처 없이 재택근무를 진행해야 하는 걸까? 강 교수도 이렇다 할 답은 아직 가지고 있지 않다. 그 누구도 해결책이 없는 상황이다. 다만 “개인정보보호 기술을 기반으로 한 기계 학습이 가능하다는 것”과 “마이크로 네트워크 가상화 기술이 발전하고 있다는 것”이 실마리가 될 것이라고 그는 말했다.
“개인정보보호 기술을 기계에 학습시키면 프라이버시 침해 위험 없이 네트워크의 실시간 모니터링과 가시성 확보가 가능해질 것이라고 봅니다. 이 분야에서의 발전이 기대가 되는 이유입니다. 또한, 마이크로 네트워크 가상화 기술 덕분에 보다 명확히 정립된 망분리 구축을 함으로써 기업 환경과 가정 망이 무질서하게 섞여드는 것을 막을 수 있을 거라고 봅니다.”
그러면서 강 교수는 “코로나를 보안의 관점에서 극복한다는 건 대단히 흥미로운 일”이라며 “아직 아무도 명확한 답을 가지고 있지 않은 가운데, 보안 전문가 모두가 이 사태를 지켜보고 고민함으로써 생각을 모아야 한다”고 당부하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
