최근 저는 최근 발생한 랜섬웨어 공격 중 하나인 의료 서비스 제공업체 리하이 밸리 헬스 네트워크(LVHN)의 피해 사례에 관한 기사를 읽었습니다. 사이버 범죄자들이 조직의 시스템과 데이터를 인질로 삼는 일은 언제나 우려스럽지만, 이번 사이버 공격은 특히 심각했습니다. 뉴스 매체 The Register 는 이 사건을 다음과 같이 설명합니다:
“[사이버 범죄 조직] 블랙캣(BlackCat, ALPHV로도 알려짐)은 미국 리하이 밸리 헬스 네트워크(LVHN)의 한 의사 네트워크에 침입해 방사선 종양 치료를 받는 환자들의 사진과 기타 민감한 의료 기록을 훔쳤다… LVHN은 몸값 지불을 거부했고, 이달 초 블랙캣은 상반신이 노출된 유방암 환자 최소 2명의 사진을 포함한 환자 정보를 유출하기 시작했다.”
모든 금품 갈취 시도가 네트워크와 민감한 데이터를 더욱 안전하게 보호해야 한다는 목적의식을 새롭게 일깨울 수 있지만, 랜섬웨어를 비롯한 모든 형태의 사이버 공격이 개인에게 지속적인 피해와 정신적 트라우마를 초래할 수 있다는 사실은 아직 제로 트러스트 보안 여정을 시작하지 않은 모든 조직에 중대한 경종이 되어야 합니다. 중요 인프라 부문이나 민감한 개인정보를 위탁받아 관리하는 조직은 제로 트러스트 모델의 핵심 원칙을 도입해야 합니다.
앱 보안의 현주소보다 몇 단계 앞을 내다보고 있지 않다면, 사이버 범죄자와 새롭게 등장하는 위협 전술에 맞서는 경쟁에서 빠르게 뒤처질 것이라는 점은 굳이 말할 필요도 없을 것입니다. 따라서 제로 트러스트의 미래는 어떻게 될지 자문하는 데 너무 이른 때란 없습니다. 변화하는 위협 환경뿐만 아니라 끊임없이 변화하는 디지털 세계와 앱 자체의 특성에 대응하기 위해 제로 트러스트는 어떻게 진화할까요?
이러한 질문에 대한 답을 찾기 위해 F5의 보안 전문가 두 명, 수석 엔지니어 Ken Arora와 제품 개발 부문 수석 이사 Mudit Tyagi를 만나 이야기를 나눴습니다.
이번 LVHN 침해 사고를 계기로 조직들이 ZT 원칙을 어떻게 구현하고 있는지 진지하게 생각해 보게 되었습니다. 이제는 일종의 심판의 시기가 도래한 것 같습니다. 침해 사고로 피해를 본 소비자들에게 1년간 무료 신용 모니터링을 제공하는 것만으로는 더 이상 충분하지 않다는 의미입니다. 오늘날 기업이 감당해야 할 위험이 훨씬 커졌다고 보시나요?
Mudit: 위험성이 더 커졌다는 것은 분명합니다. 특히 국가의 지원을 받는 해커들은 자금과 기술 자원은 물론, 기업과 다른 국가를 겨냥한 고도로 표적화된 공격을 연구하고 실행할 시간까지 갖추고 있습니다. 전반적인 사회 안정까지 뒤흔들 수 있다는 점은 말할 것도 없습니다. 2010년 Google과 기타 미국 기업의 지식재산권이 탈취된 오로라 사건을 기억하실 겁니다. 그로부터 10년 뒤인 2020년에는 SolarWinds 공급망 공격이 여러 민감한 네트워크에 침투하는 수단으로 이용되었습니다. 이처럼 ‘중대한’ 영향을 미칠 가능성이 커지자 백악관은 모든 정부 기관에 제로 트러스트 원칙을 따르도록 요구하는 대통령 행정명령을 발표했습니다.
Ken: 시간이 지날수록 노출 범위가 확대될 것이라는 데 동의합니다. 이는 온라인에서 이용할 수 있는 데이터가 더 많아지기 때문만이 아니라, AI를 대규모로 도입해 나가면서 완전히 새로운 유형의 보안 침해가 드러날 것이기 때문이기도 합니다. 새로운 기술의 위험을 관리하기 위한 사회적 거버넌스를 마련하는 데는 언제나 시간이 걸립니다. 예를 들어, 특히 규제 산업에 속한 기업에 법적 책임을 묻기 시작한 것은 불과 몇 년 전부터입니다. Experian과 T-Mobile 사례에서 이를 확인할 수 있으며, 두 회사가 부담한 금액은 총 10억 달러가 넘습니다. 최근에는 Uber의 CSO와 같은 개인도 직무상 과실에 대해 개인적으로 책임을 지게 되는 모습을 볼 수 있습니다. 이는 중대한 과실이 있었던 경우입니다. 이러한 사례는 의료 분야와도 유사합니다. 이런 변화로 인해 보안 전문가가 모범 사례를 따르고 법률 체계가 면책 지침을 마련해야 할 필요성이 더욱 커졌다고 생각합니다.
오늘날의 환경을 고려할 때, 제로 트러스트의 미래를 어떻게 전망하시나요?
Mudit: 역사적으로 Google은 Aurora 공격 이후 제로 트러스트의 초기 구현 사례 중 하나로 Beyond Corp를 도입했지만, 그 개념 자체는 훨씬 이전부터 존재했습니다. 오늘날에는 사용자와 디바이스의 액세스에 제로 트러스트 원칙을 적용하는 ZTNA 및 SASE와 같은 솔루션이 등장했습니다. 하지만 비즈니스 프로세스와 사용자 경험을 지원하기 위해 워크로드가 서로 상호 작용하는 네트워크 내부에도 제로 트러스트 원칙을 적용하려는 노력이 더욱 필요합니다. 이를 워크로드 간 제로 트러스트라고 합니다. 간단히 말해, 액세스 관련 접근 방식은 침해 발생 자체를 방지하는 데 중점을 두는 반면, 워크로드 수준의 제로 트러스트는 이미 진행 중인 침해의 영향을 최소화하는 데 초점을 맞춥니다.
업계는 제로 트러스트의 ‘침해를 전제로 한다’는 원칙에 부합하는 통제 방안을 구현하는 데 어려움을 겪고 있습니다. 침해 발생 이후의 상황에 대응하려면 사용자와 디바이스뿐 아니라 워크로드에도 ‘ID’가 필요합니다. 또한 이미 네트워크 내부에 침투한 멀웨어가 피해를 일으키지 못하도록 이러한 워크로드를 지속적으로 모니터링해야 합니다. 이는 오늘날과 같이 인력이 모바일 환경에서 근무하고 애플리케이션이 프라이빗 및 퍼블릭 클라우드와 레거시 시스템 전반에 분산된 인프라 환경에서 특히 중요합니다.
제로 트러스트는 ‘침해를 전제로 한다’는 사고방식을 요구하므로, 단순한 액세스 제어를 훨씬 뛰어넘는 보안 조치가 필요합니다.
Ken: 맞습니다. 위협 인텔리전스, 보안 정보 및 이벤트 관리, 지속적인 진단 및 완화 등도 포함해야 합니다. 앱의 특성이 변화하고 AI 기반 트래픽이 계속 증가함에 따라 제로 트러스트에 총체적으로 접근하는 데 그치지 않고, 워크로드 자체와 같은 새로운 인프라 영역에도 이러한 원칙을 적용해야 합니다.
Mudit이 지적했듯이, 제로 트러스트의 핵심 원칙은 보안 전문가들에게 오랫동안 알려져 왔으며 이미 내재화되어 있습니다. 여기서 보안이란 사이버 보안에 국한되지 않는 광범위한 의미의 보안을 뜻합니다. 가장 최근의 구현 형태인 ZTNA는 기본적으로 네트워크에 액세스하려는 사용자와 디바이스의 ID에 ‘항상 검증’ 및 ‘지속적인 모니터링과 평가’ 원칙을 적용하는 것입니다.
사이버 보안에 적용되는 제로 트러스트가 진화하기 위한 다음 단계는 논리적으로 다음과 같다고 생각합니다. 1) 네트워크 액세스에서 애플리케이션 액세스로 수준을 높이는 것, 즉 네트워크 계층이 아닌 애플리케이션 계층의 추상화와 보호 기능을 사용하는 것, 2) 제로 트러스트 원칙의 적용 대상을 사용자와 디바이스를 넘어 워크로드까지 확대하는 것입니다.
워크로드가 그토록 중요한 이유는 무엇인가요? 그리고 그 정도로 깊이 들어간다면 코드 저장소 등을 비롯한 개발 관행 자체에도 제로 트러스트 원칙을 적용해야 할까요?
Ken: 간단히 답하자면, 워크로드가 중요한 이유는 새로운 내부자 위협이기 때문입니다.
클라우드 네이티브 애플리케이션 코드의 대부분은 애플리케이션 소유 조직의 통제 범위를 벗어난 오픈 소스 환경에서 개발된다는 점을 고려해야 합니다. 이러한 코드를 개발하는 데 사용되는 소프트웨어 개발 관행은 대체로 관리가 허술하고 문서화도 미흡합니다. 코드를 가져온 후 수행되는 테스트는 대부분 기능 및 성능에 초점을 맞추며, 보안 평가는 소홀히 다뤄집니다. 그 결과 대부분의 애플리케이션 코드는 ‘암묵적으로 신뢰’되는데, 이는 제로 트러스트가 지양하려는 바로 그 행태입니다. 게다가 이는 코드 공급자가 선의로 행동한다는 전제하에서의 이야기입니다. 오픈 소스 코드를 백도어로 악용하려는 공격자들이 실제로 활동하고 있다는 점까지 고려하면, 이는 최우선적으로 다뤄야 할 공격 표면으로 부상합니다. 참고로 최근 크게 주목받은 공격 중 다수인 log4j, SolarWinds, 3CX는 모두 공급망 공격의 사례이며, 이러한 공격은 ZTNA와 사용자 ID 기반 보안 솔루션 모두의 보호 범위를 벗어납니다.
마지막으로 언급하신 부분, 즉 오픈 소스 코드가 어떻게 백도어로 악용될 수 있는지 잠시 살펴보겠습니다. 이는 제로 트러스트를 구현하려면 위협 인텔리전스, 보안 정보 및 이벤트 관리, 지속적인 진단 등의 조치가 필요하다고 앞서 말씀하신 내용과도 연결됩니다.
Mudit: 그렇습니다. ‘침해를 전제로 한다’는 관점에서 출발할 때 보안을 어떻게 바라봐야 할지 생각해 보는 것이 중요합니다. 네트워크 중심의 제어도 일정한 역할을 하며, 명령 및 제어 서버와의 통신을 탐지할 수 있습니다. 하지만 목표는 이미 침투한 멀웨어가 실제로 피해를 일으키지 못하도록 막는 것입니다. 멀웨어가 활동을 시작하면 그 존재가 드러날 수밖에 없습니다. 모든 워크로드를 모니터링하고 각각의 특성을 파악하면 멀웨어 활동과 관련된 악성 워크로드를 탐지할 가능성이 훨씬 높아집니다.
MITRE의 연구진은 MITRE ATT&CK 프레임워크에 설명된 전술, 기법 및 절차(TTP)의 조합이라는 관점에서 대부분의 공격을 이해할 수 있도록 분류 체계를 구축함으로써 보안 업계에 크게 기여했습니다. 또한 MITRE D3FEND 프레임워크에서는 TTP 탐지에 도움이 되는 일련의 대응책도 설명합니다. 이 프레임워크의 중요한 요소 중 하나는 해당 워크로드 수준에서 제로 트러스트 원칙을 적용해야 하는 프로세스 분석입니다.
개발 주기 동안 워크로드를 구성하는 코드의 취약점을 정적 애플리케이션 보안 테스트(SAST) 및 동적 애플리케이션 보안 테스트(DAST) 도구로 검사하는 것은 매우 중요합니다. 또한 개발 주기 동안 ‘시스템 호출’과 같은 워크로드의 저수준 특성에 대한 기준선을 구축하여 워크로드 수준의 제로 트러스트 구현을 준비할 수 있습니다. 이 기준선을 활용하면 프로덕션 환경에서 워크로드가 실행될 때 이상 징후를 더 쉽게 탐지하고 분석할 수 있습니다. D3FEND 프레임워크는 개발 주기 동안 수행해야 하는 강화에 초점을 맞춘 포괄적인 대응책을 제시합니다.
보안 전반, 특히 제로 트러스트에서 AI가 어떤 역할을 하는지 살펴보겠습니다. AI는 보안에 어떤 과제와 기회를 가져올까요? 또한 최근 뉴스에서는 ChatGPT가 연일 화제가 되고 있습니다. 2026년에는 인터넷 트래픽의 90%가 AI에 의해 생성될 것이라는 전망도 보았습니다. 이것이 보안에 변화를 가져올까요? 그렇다면 어떻게 달라질까요?
Mudit: 자동화된 공격은 이미 방어하기가 매우 어렵습니다. 공격자는 공격의 형태와 방식을 계속 바꿀 수 있으며, 이로 인해 SOC에는 수많은 노이즈가 발생합니다. 방어 측에서도 이러한 자동화된 공격에 맞서기 위해 이미 자동화 기술을 활용하고 있습니다. 자동화된 공격의 시그니처를 파악하더라도 오탐은 여전히 큰 문제입니다. AI를 활용하면 오늘날의 자동화된 공격보다 훨씬 더 정교하게 일반 사용자를 모방할 수 있습니다. 이로 인해 이상 징후를 탐지하기가 더욱 어려워지며, 오탐을 최소화하려면 매우 정교한 맥락 분석이 필요합니다.
Ken: AI는 앞으로도 보안에 막대한 영향을 미칠 것이라고 생각합니다. 우선, 공격자들이 공격을 수행하는 방식과 방어자들이 그러한 공격을 탐지하고 대응하는 방식에 분명 큰 영향을 미칩니다. 요컨대, 쫓고 쫓기는 싸움은 계속될 것이며, AI는 인간이 수작업으로 할 수 있는 일을 기하급수적으로 더 빠르고 민첩하게 대신하게 될 것입니다.
특히 ChatGPT의 경우, 맹목적으로 신뢰하지 않는다는 제로 트러스트 원칙이 적용될 것이라고 생각합니다. ZTNA의 전제가 “사용자와 기기를 맹목적으로 신뢰하지 말라”는 것이고 이를 워크로드에도 확대해야 하는 것처럼, AI 콘텐츠 생성으로 인해 우리는 콘텐츠 역시 맹목적으로 신뢰하지 않게 될 것입니다. 여러 면에서 이는 사회가 작동하는 본래 방식으로 되돌아가는 것과 같습니다. 특정 콘텐츠를 얼마나 신뢰할지는 그 콘텐츠의 출처에 따라 달라집니다. 예를 들어 수표의 무결성에 관한 설명이라면, 길에서 우연히 만난 사람이 한 말보다 은행에서 제공한 내용을 더 신뢰할 것입니다. 요컨대 데이터의 출처가 중요합니다. AI가 더 많은 콘텐츠를 생성함에 따라, 현실 세계에서 오랫동안 존재해 온 이 개념이 디지털 세계에서도 핵심 고려 사항으로 부상할 것입니다.
새로운 위협이 등장하는 속도가 점점 빨라짐에 따라 제로 트러스트의 미래에 관한 논의는 앞으로도 계속 중요하게 다뤄질 전망입니다. 특히 내부자 위협의 영향을 최소화하고 워크로드에 제로 트러스트 원칙을 적용하는 측면에서 더욱 그렇습니다. AI가 생성한 콘텐츠가 인터넷에 쏟아질수록 제로 트러스트에 대한 업계의 접근 방식도 필연적으로 진화할 것이며, 앞으로 더 다양한 관점을 소개해 드리겠습니다. 함께해 주셔서 감사합니다.
____
‘침해를 전제로 한 접근(assume breach)’에 대해 더 자세히 알아보고 싶다면 Ken의 최신 글을 여기에서 확인하세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.