디지털을 기본으로: 의도치 않은 결과에 대처하기

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

디지털 트랜스포메이션이 지향해 온 최종 목표는 언제나 ‘디지털 우선’ 운영 모델이었습니다. 누군가 우리 집 현관 앞에 전화번호부를 두고 가거나 새로 나온 영화를 보라며 DVD를 건네준 게 언제였는지 기억조차 나지 않습니다. 새로운 게임을 하고 싶을 때는 콘솔의 스토어를 이용합니다. 이제는 굳이 일어나 차를 몰고 오프라인 게임 매장에 가서 게임 카트리지를 둘러보지도 않습니다. 업데이트는 어떨까요? 자동으로 제공됩니다. 심지어 제가 좋아하는 테이블톱 RPG도 이제는 디지털로 즐깁니다. 게임을 하러 다른 사람의 집에 갈 때 책 열세 권과 몇 킬로그램이나 되는 주사위를 들고 갈 필요가 없습니다. 노트북만 있으면 됩니다.

그렇다고 주사위까지 포기하겠다는 건 아니다. 그건 정말 말도 안 되는 소리니까.

하지만 비즈니스에서 디지털 방식이 더 많이 제공되다 보니 저도 디지털을 더 많이 활용하고 있습니다.

지난 1년 동안 모든 산업은 필요에 의해 빠르게 발전하여 디지털 혁신의 2단계와 3단계에 진입했습니다.

1단계

작업 자동화

이 단계에서는 디지털화가 진행되면서 기업이 사람이 수행하던 비즈니스 작업을 다양한 형태로 "자동화"하게 되며, 이에 따라 비즈니스 흐름의 일부로 더 많은 애플리케이션이 도입되거나 개발됩니다. 이는 효율성을 높이기 위해 명확하게 정의된 개별 작업을 자동화하는 것에서 시작되었습니다. 일반적인 예로 제품이나 서비스에 관한 자주 묻는 질문에 답변하지만 필요한 경우 상담원에게 연결하는 IVR 시스템을 들 수 있습니다. 이 단계에서는 개별 작업이 자동화되지만 일관되게 통합되지는 않습니다.

의도치 않은 결과: 더 많은 코드

애플리케이션이 늘어나면서 코드가 많아지는 것뿐만 아니라, 새로운 애플리케이션 아키텍처로 인해 코드가 증가하기도 합니다. 평균적인 iPhone 앱의 코드량은 5만 줄 미만입니다. Google은 어떨까요? 200만 줄이 넘습니다. 대부분의 앱은 그 중간 정도입니다. 이 모든 코드는 유지 관리하고 업데이트하며 보안을 유지해야 합니다. 또한 조직들은 수년간 여러 아키텍처에 걸쳐 코드베이스를 확장해 왔습니다. 이제는 서로 다른 5가지 아키텍처를 운영하면서 COBOL, C, JS, Go에 이르는 3~4개의 코드베이스를 관리하고 있습니다.

또한 조직들이 "코드형 인프라"를 도입하면서 JSON, YAML, Python의 사용이 증가하는 것은 여기에 포함되지도 않습니다. 당사의 연례 조사에 따르면 이미 절반 이상(52%)이 이를 도입했으며, AI와 ML을 시도하기 시작한 조직들이 "모델과 알고리즘"까지 코드로 다루는 운영 방식을 채택함에 따라 이러한 추세는 계속 확대될 것입니다.

2단계

디지털 확장

기업이 클라우드 네이티브 인프라를 활용하고 자체 소프트웨어 개발을 통해 자동화를 추진하기 시작하면, 디지털 모델의 규모 확대와 추가 확장을 지원하는 차세대 애플리케이션이 등장하게 됩니다. 이 단계의 원동력은 차별화된 서비스를 제공하거나 고유한 고객 참여를 이끌어 내기 위한 애플리케이션 관련 의사 결정에 참여하는 비즈니스 리더입니다. 예를 들어 의료 서비스 제공업체는 환자 기록 및 청구 시스템을 입원, 퇴원, 일정 관리 시스템과 점점 더 많이 통합하고 있습니다. 이를 통해 예약 알림을 자동화하여 수작업 프로세스를 없앨 수 있습니다. 이 단계의 공통된 핵심은 엔드투엔드 비즈니스 프로세스 개선에 집중하는 것입니다.

의도치 않은 결과: 더 많은 연결

하지만 이것이 전부가 아닙니다. 디지털 우선 전략과 IT 현대화로 인해 애플리케이션, 시스템, 기기, 소비자, 파트너, API 간의 연결이 더욱 늘어나고 있습니다. 이러한 연결 하나하나가 잠재적인 침입 경로가 될 수 있으며, 결국 심각한 보안 침해나 시스템 손상으로 이어질 수 있습니다.

여기서 기본적으로 감수해야 할 위험은 매우 큽니다. 멀웨어. 랜섬웨어. 사기. 매출 손실. 공격받을 수 있는 모든 것을 보호하지 못했을 때 발생하는 비용은 감당하기 어려울 정도이며, 이를 어떻게 보호할지도 막막합니다.

3단계

AI 지원 비즈니스

기업이 디지털 여정을 더욱 발전시키고 애플리케이션 플랫폼, 비즈니스 텔레메트리 및 데이터 분석, ML/AI 기술의 고급 기능을 더 폭넓게 활용함에 따라 AI의 지원을 받는 기업으로 거듭나게 됩니다. 이 단계에서는 이전에는 불가능했던 새로운 영역에서 비즈니스 생산성을 높일 수 있습니다. 예를 들어, 한 소매업체는 로그인 실패 사례 중 10~20%가 인증 과정에서 어려움을 겪은 정상 사용자에 의한 것임을 발견했습니다. 기본적으로 액세스를 거부하면 상당한 매출 손실이 발생할 수 있었습니다. 행동 분석을 활용하면 정상 사용자와 액세스를 시도하는 봇을 구분할 수 있습니다. 기술과 분석을 통해 AI의 지원으로 이러한 사용자를 식별하고 액세스를 허용함으로써 매출을 늘리고 고객 유지율을 높일 수 있게 되었습니다.

의도치 않은 결과: 더 많은 데이터

마지막으로, 디지털을 기본으로 삼으면 필연적으로 더 많은 데이터가 생성됩니다. 주문, 제품, 주소, 결제 정보와 같은 고객 데이터뿐만 아니라 지표와 로그 같은 운영 데이터도 포함됩니다. 디지털 비즈니스는 방문자, 참여 패턴, 성능, 비정상적인 흐름 및 이상 행동을 파악하기 위해 텔레메트리가 필요합니다. 이러한 텔레메트리는 분석한 뒤 바로 폐기할 수 있는 것이 아닙니다. 운영 기준선을 제대로 설정한 다음, 비즈니스 의사 결정에 활용할 패턴과 공격 징후를 나타내는 이상 현상을 찾아내려면 며칠은 물론 몇 주 또는 몇 달 분량의 텔레메트리가 필요할 수 있습니다.

이 모든 데이터에는 세심한 관리가 필요합니다. 데이터를 정규화하고 저장하며 처리하고 분석하고 선별해야 합니다. 또한 일부 데이터에는 규정 준수 및 규제 감독이 필요한 보호 대상 고객 정보가 포함될 수 있으므로 보안도 필요합니다.

디지털 트랜스포메이션의 의도치 않은 결과: 복잡성 증가

조직이 이러한 단계를 얼마나 빠르게 또는 느리게 거치든 결과는 같습니다. 바로 복잡성이 더욱 커진다는 것입니다.

그리고 복잡성이 보안의 적이라는 사실은 우리 모두 잘 알고 있습니다.

따라서 보안 전문가에게 디지털 우선 원칙은 새로운 과제를 의미합니다. 이러한 보안 과제를 해결하는 방법 중 하나는 보다 관리하기 쉬운 범주로 세분화하는 것입니다.

정신 건강을 지키려면 단순화하세요

대부분의 보안 과제는 크게 애플리케이션, 인프라, 비즈니스라는 세 가지 범주로 나눌 수 있습니다. 이러한 상위 범주는 자금이나 경영진의 지원이 필요할 때 상부에 보고하고 협조를 구하는 데 유용합니다. 또한 과제를 완화할 최적의 접근 방식을 결정하기 위해 우선순위를 정할 때도 유용합니다.

앱 계층 → DevSecOps

애플리케이션 계층의 취약점은 시프트 레프트 접근 방식, 즉 개발부터 배포, 운영에 이르는 모든 파이프라인에 보안을 통합하는 방식으로 해결할 수 있습니다. 이러한 취약점은 거의 항상 의도적이든 우발적이든 사람의 행동으로 인해 발생하는 비의도적 취약점입니다. 개인 개발자 리포지토리를 통해 공유된 비밀 정보부터 S3 버킷의 잘못된 구성에 이르기까지 스택 전반에서 발생합니다. 도구를 사용하면 타사 구성 요소와 기타 종속성의 취약점을 식별하여 해당 스크립트의 최신 버전이자 가장 우수하고, 가능하면 가장 안전한 버전을 사용하고 있는지 확인할 수 있습니다.

WAF부터 DAST, RASP, SAST에 이르기까지 코드를 스캔하고 보호하는 데 도움이 되는 도구는 매우 다양합니다. 이러한 도구는 대부분 개발 파이프라인과 완벽하게 통합할 수 있습니다. 스캔을 자동화하면 인계 절차와 그에 따른 시간 낭비를 효과적으로 없앨 수 있습니다. 업계에서는 이를 DevSecOps라고 부르지만, 병렬 처리 또는 멀티태스킹이라고 할 수도 있습니다. 즉, 팀이나 개인이 업무를 수행할 수 없거나 일정이 과도하게 잡혀 있어도 전체 일정이 중단되지 않습니다. 또한 더 철저하게 분석하고 프로세스 초기에 오류를 발견할 수 있습니다.

인프라 취약점 → 분산 방어

대규모 DDoS 및 DNS 증폭과 같은 전통적인 취약점은 인프라 계층에 존재합니다. 이러한 취약점은 개발 초기 단계로 보안 대응을 앞당기는 ‘시프트 레프트’ 방식으로 완화하기가 사실상 불가능하며, 공격자를 통제할 수 없기 때문에 완전히 제거할 수도 없습니다. 통제할 수 있는 것은 오직 대응 방식뿐입니다.

인프라 계층의 취약점에는 보안 서비스가 실시간 공격을 방어하는 ‘오른쪽 방어(shield right)’ 접근 방식이 더 적합합니다. 이러한 공격은 프로세스 단계에서 제거할 방법이 없기 때문입니다.

오늘날에는 애플리케이션 자체가 경계이며, 조직의 애플리케이션은 전 세계 곳곳에 분산되어 있습니다. SaaS를 제외하더라도 조직은 기존 데이터 센터를 확장하기 위해 평균 2.7개의 서로 다른 퍼블릭 클라우드를 사용합니다. 즉, 하나가 아니라 여러 개입니다.

또한 기업에는 제 업무용 노트북과 같은 분산 엔드포인트가 많이 있습니다. 재택근무가 어느 정도 일상으로 자리 잡기 전에도 사람들은 출장을 다녔고, 이는 이동형 분산 엔드포인트가 존재한다는 의미였습니다.

이로 인해 인프라와 애플리케이션을 보호하기 위한 분산형 애플리케이션 및 ID 중심 솔루션의 필요성이 커지고 있습니다. 이는 SASE와 제로 트러스트를 도입하고, 엣지를 활용해 인프라 방어 서비스를 공격의 진원지에 더 가깝게 배치해야 한다는 의미입니다. SASE와 ZTNA는 정책의 중심을 IP 주소와 네트워크에서 사용자와 디바이스로 전환하며, 애플리케이션과 리소스에 액세스하려면 신원을 증명하도록 요구합니다.

비즈니스 취약점 → AI 지원

마지막으로 비즈니스 계층의 취약점이 있습니다. 인프라 계층의 취약점과 마찬가지로 이는 본질적으로 존재하기 때문에 프로세스를 개선한다고 해서 없앨 수 없습니다. 로그인 페이지나 비밀번호 재설정 절차를 없앨 수도 없으므로, 결국 방어 체계를 끊임없이 두드리는 공격에 맞서야 합니다.

그리고 실제로 이러한 방어 체계는 거센 공격에 시달리게 됩니다. F5 Labs의 연구에 따르면 지난 1년간 평균 DDoS 공격 규모가 55% 증가했으며, 2021년 초에는 교육 분야가 가장 많은 공격을 받은 산업 중 하나였습니다. 2020년에는 비디오 게이머를 대상으로 시간당 50만 건이 넘는 크리덴셜 스터핑 공격이 발생했습니다. 이러한 공격에는 실시간으로 대응해야 합니다.

그렇기 때문에 새로운 공격과 기존 공격을 실행하는 새로운 수법이 무서운 속도로 개발되고 실제 공격에 활용되는 상황에 대응하기 위해 AI 지원 보안이 빠르게 도입되고 있는 것은 놀라운 일이 아닙니다.

과학에 따르면 인간이 처리할 수 있는 정보량은 초당 약 50~60비트에 불과하다는 점을 기억해야 합니다. 멀티태스킹이 그토록 어려운 이유도 바로 이 때문입니다. 시스템, 디바이스, 애플리케이션, 클라이언트, 네트워크에서는 인간이 처리할 수 있는 속도보다 훨씬 빠르게 데이터가 유입됩니다. 그래서 대시보드와 시각화 도구를 사용하지만, 이러한 도구만으로는 실제로 무슨 일이 일어나고 있는지 알 수 없습니다. 이는 특정 시점의 단면만 보여줄 뿐이며, 너무나 자주 정상/비정상, 빠름/느림과 같은 이분법적 지표에만 의존합니다. 연례 조사 응답자의 45%는 잠재적 공격을 정확하게 처리하고 예측하는 기능이 현재 사용 중인 모니터링 솔루션에 "부족하다"고 답했습니다. AI는 이에 대한 한 가지 해답으로, 학습된 모델을 통해 데이터를 실시간으로 분석하여 잠재적 공격을 탐지하고 경고할 수 있다는 가능성을 제시합니다.

디지털 우선이 새로운 표준입니다

궁극적으로 이러한 모든 디지털화는 분산형 데이터 중심 세상을 만들어 내고 있습니다. 이제 디지털 우선이 새로운 기본값입니다. 이는 공격자가 시스템에 침투하고 데이터를 유출하며 전반적으로 혼란을 일으킬 수 있는 경로가 더 많아진다는 뜻입니다. 디지털이 기본인 세상에서는 보안에도 디지털 스택이 필요하며, 여기에는 DevSecOps, 분산형 방어 모델, AI 지원 보안이 포함됩니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물