제로 트러스트: 침해 가정을 위한 3가지 핵심 전략 요소

Ken Arora

요즘 사이버 보안 업계에서 제로 트러스트가 화두로 떠오르고 있지만, 제로 트러스트 사고방식의 핵심 요소로 침해를 전제로 하라는 개념을 언급할 때마다 여전히 의아한 시선을 받곤 합니다. 이런 반응은 두 가지 우려 중 하나에서 비롯된다고 생각합니다. 우선 일부 보안 실무자는 이를 세상을 지나치게 비관적으로 바라보는 관점으로 해석할 수 있습니다. 이들은 ‘침해를 전제로 하라’를 이런 식으로 받아들입니다. “그러니까 우리 모두 결국 당할 수밖에 없다는 말이군요. 그렇다면 그냥 두 손 들고 시도조차 하지 맙시다.” 또 어떤 사람들, 아마도 자부심이 더 강한 사람들은 이런 태도를 보일 수 있습니다. “글쎄요, 당신의 시스템은 침해당할지 몰라도 내 보안은 철통같아서 악당들이 내 방어망을 뚫고 들어올 가능성은 전혀 없습니다.”

제가 말하고자 하는 바는 이 두 극단 중 어느 쪽도 아닙니다. 오히려 디지털 세계에서 활동하는 현실, 즉 침해 사고는 발생할 수밖에 없으므로 모든 보안 시스템을 설계할 때 이를 고려할 수 있고 또 고려해야 한다는 사실을 깊이 인식해야 한다는 뜻입니다. 이는 새로운 개념이 아니며, 오랫동안 이를 받아들여 온 여러 세대의 장인과 숙련 노동자들이 축적한 지혜에서 교훈을 얻어야 합니다.

배관공, 전기 기술자 등 물리적 환경에서 일하는 전문가들은 오래전부터 ‘침해를 전제로 하라’는 원칙의 진정한 의미를 체득해 왔습니다. 이들은 실제 환경에서도 견고하게 작동해야 하는 솔루션을 만들어야 하므로, 업무 과정에서 장애가 발생한다는 단순한 사실을 자연스럽게 받아들이고 설계에 반영합니다. 또한 장애가 발생한다고 해서 자신의 역량이 부족하다는 뜻도, 자신의 서비스가 불필요하다는 뜻도 아니라는 점을 잘 알고 있습니다. 오히려 가장 뛰어난 전문가들은 자신이 만든 것이 언젠가는 실패할 수 있음을 이해하고, 과거의 실패에서 얻은 교훈을 반영해 향후 발생할 가능성이 높은 실패를 예측합니다.

최근 저도 이와 같은 장애를 겪었습니다. 집의 하수관이 배수 경로 중간에서 막힌 것입니다. 지은 지 30년이 넘은 집이니 장애, 즉 침해가 발생한 것도 놀라운 일은 아닙니다. 결국 어떤 시스템이든 오랜 시간이 지나면 침해가 발생할 가능성은 100%에 가까워집니다.

바로 그 점이 핵심입니다. 시간이 지나면 장애가 발생할 수 있다고 예상해야 한다는 것은 배관 시스템뿐 아니라 애플리케이션 보안 솔루션에도 똑같이 적용됩니다. 또한 “우리 집 배관 시스템은 절대 고장 나지 않을 것”이라고 가정하는 것이 가정 유지보수 전략으로 적절하지 않은 것처럼, “우리 사이버 방어 체계는 절대 뚫리지 않을 것”이라고 가정하는 것 역시 적절하지 않습니다.

따라서 배관공과 사이버 보안 실무자는 결국 발생하게 될 고장, 즉 침해 사고에 어떻게 대처할지까지 염두에 두어야 합니다.

침해 가정의 세 가지 핵심 전략 요소

물리적 시스템이든 사이버 시스템이든 시스템 장애에 효과적으로 대응하기 위한 전략은 일반적으로 세 가지 요소로 구성됩니다.

1. 가시성. 장애를 최대한 신속하게 감지할 수 있도록 충분한 가시성을 확보해야 합니다. 욕실 배수관의 누수를 방치하면 그 아래 바탕바닥이 썩고 곰팡이가 생기며, 이를 발견하기까지 수개월 또는 수년이 걸릴 수 있습니다. 또는 2층 욕실의 바닥 아래 물받이가 넘쳐 석고보드가 물에 흠뻑 젖은 뒤에야 아래층 천장에서 물이 떨어지는 것을 발견할 수도 있습니다. 두 경우 모두 최초 장애가 발생하고 추가적인 2차 피해가 발생한 뒤 어느 정도 시간이 지나서야 문제를 처음 발견하게 됩니다. 장애나 침해가 발생할 수 있다고 전제할 때의 첫 번째 원칙은 장애 발생 후 가능한 한 빨리 잠재적 침해를 명확히 나타내는 지표를 제공하고, 이상적으로는 장애 가능성이 높을 경우 능동적으로 알림까지 제공하는 것입니다. 예를 들어 배수용 집수정 펌프에 의존하는 지하실에는 일반적으로 수위가 사전 설정된 임계값을 초과하면 경보를 울리는 센서가 설치되어 있습니다. 발생 가능성이 높은 모든 장애 유형에 대해 선제적 경보를 제공하기 어려운 경우에는 정기적인 유지보수 점검을 수행합니다. 예를 들어 온수기를 반기마다 점검하는 방식입니다. 사이버 보안에서는 애플리케이션 보안 아키텍처에 가장 중요한 장애 유형을 고려하고 잠재적 침해를 적시에 파악할 수 있도록 신중하게 설계하고 검증한 텔레메트리 전략을 포함해야 한다는 의미입니다. 실제로는 AISecOps 관행을 활용해 텔레메트리를 분석 및 알림 도구로 스트리밍하는 동시에, 나중에 사용할 수 있도록 데이터 저장소에도 보존해야 합니다. AI 및 경보 도구를 활용해 효과를 높이고, 담당자에게 맥락을 제공하며, 적시에 대응할 수 있도록 해야 합니다. 보존된 데이터는 향후 학습에 활용하고 시스템의 견고성을 더욱 강화하는 데 참고해야 합니다. 
2. 견고성. 솔루션에는 장애를 우회하거나 장애 지속 시간을 줄일 수 있는 수단이 포함되어야 합니다. 이 맥락에서 견고성을 확보하는 일반적인 패턴은 (a) 점진적 성능 저하 또는 (b) 이중화이며, 성능이 저하된 구성 요소로도 운영할 수 있는지에 따라 선택이 달라집니다. 온수기와 같은 일부 시스템에는 두 가지 패턴을 모두 적용할 수 있습니다. 예를 들어, 제가 사용하는 온수기는 펌프식 재순환 시스템을 통해 온수를 언제든 바로 사용할 수 있도록 준비해 둡니다. 하지만 펌프가 고장 나더라도 온수는 계속 나오며, 단지 조금 더 오래 기다려야 합니다. 반면, 발열체가 꺼지지 않게 되는 가열 코일 센서의 고장은 치명적인 장애로 이어질 수 있으므로 압력 방출 밸브 형태의 이중화를 사용합니다. 견고성은 여러 시스템 범위에서 고려해야 합니다. 예를 들어 배수관만을 범위로 보면, 상용 등급 솔루션을 구축하는 배관공은 이중화된 배수관 두 개를 설치하여 어느 한쪽이 고장 나더라도 배수 기능을 계속 사용할 수 있게 할 수 있습니다. 반면, 시스템 수준의 추상화 계층에서 작업하는 설계자는 근처에 세면대나 변기를 하나 더 설치하는 등 시스템 수준에서 이중화를 설계할 수 있으며, 이는 배수관 막힘뿐 아니라 더 다양한 장애 유형에 대응할 수 있다는 이점도 있습니다. 물론 이중화는 사이버 보안에서도 일반적인 관행으로, 많은 보안 장치가 액티브/스탠바이(완전 이중화) 또는 액티브/액티브(점진적 성능 저하) 모드로 배포됩니다. 그러나 사이버 보안 세계는 물리적 세계와 다소 다릅니다. 첫째, 사이버 보안 세계에는 의도와 지능을 갖고 능동적으로 공격하는 공격자가 존재하므로 장애가 자연적인 원인으로 발생하는 경우는 드뭅니다. 두 번째이자 더 중요한 차이는 규모입니다. 소프트웨어는 물리적 실체가 아닌 가상 자산이므로 ‘한 번 작성하고 여러 곳에 배포’하는 패러다임을 따릅니다. 이는 확장에 매우 유용한 특성이지만, 핵심 소프트웨어 구성 요소의 코드 취약점이 시스템 내 해당 코드의 모든 인스턴스에 영향을 미칠 가능성이 높다는 의미이기도 합니다. 따라서 견고성을 위한 사이버 보안 솔루션은 단일 장애 지점뿐 아니라 동일한 유형의 요소 전체가 단일 장애 요인이 되는 상황도 방지하는 데 기반을 두며, 이러한 전략을 ‘심층 방어’라고도 합니다. 다단계 인증은 이 개념을 실제로 적용한 훌륭한 사례입니다. 각 인증 요소의 장애 유형(침해 수단)은 서로 다르며, 어느 한 요소만 침해되어서는 전체 시스템이 침해되지 않습니다. 
3. 격리. 장애의 영향, 즉 피해 범위를 제한하는 것이 매우 중요합니다. 장애나 침해가 발생할 수 있음을 인정하는 것처럼, 단일 장애 지점을 완전히 제거하거나 모든 기능 요구 사항에 이중화를 적용할 수는 없다는 점도 인정해야 합니다. 따라서 아키텍트는 투입 노력과 결과를 효과성을 판단하는 두 가지 주요 지표로 삼아 장애의 영향을 최소화하는 방법도 고려해야 합니다. 예를 들어, 배관공은 복구 시간을 단축하기 위해 배수관의 전략적 위치에 청소구를 추가할 수 있습니다. 더 치명적인 장애에 대비해 시공업자는 아연 도금 배수관 대신 PVC 배수관을 선택하여 누수 부위를 더 쉽게 보수하고 복구에 드는 노력을 줄일 수 있습니다. 일반적인 가정용 배관에서는 감지된 장애의 영향을 제한하고 세면대와 바닥의 2차 피해를 방지하기 위해 차단 밸브를 설치합니다. 사이버 보안 분야에서 이에 해당하는 개념은 격리, 유지보수성, 모듈성입니다. 격리는 부수적 피해를 최소화하거나 피해 확산을 막는 것을 의미합니다. 마이크로세그멘테이션과 같은 기술을 활용하여 회로 차단기 역할을 할 수 있는 인프라를 구축하는 것이 좋은 방법입니다. 유지보수성은 가능한 경우 침해된 상태에서 침해되지 않은 상태로 빠르고 적은 노력으로 복구할 수 있도록 하는 것을 의미합니다. 예를 들어, 메모리 오버플로 공격으로 침해된 워크로드를 재시작하는 것은 효과적인 완화 방법이 될 수 있지만, 완전한 해결책은 아닙니다. 모듈성은 유사한 기능의 구성 요소를 쉽게 교체할 수 있도록 시스템을 구축하는 방식으로, 유지보수가 불가능하거나 충분하지 않은 경우 복구에 필요한 노력을 최소화합니다.

다음은 제가 보안 침해에 대응하면서 익힌 몇 가지 모범 사례입니다. 물론 이 외에도 다른 모범 사례가 없다고 주장하는 것은 아닙니다. 더 중요한 것은 애플리케이션 보호를 담당하는 개발자와 보안 전문가가 방어망을 빠져나가는 위협이 생길 수 있으며, 보안 침해는 필연적으로 발생한다는 사실을 이해하는 것입니다. 그런 점에서 이러한 실패에 어떻게 대비하고 대응할지 계획하는 일은 실패의 발생 빈도를 최소화하기 위한 노력만큼이나 중요하며, 신중하게 고민할 가치가 있습니다.

궁극적으로 우리는 침해 사고가 얼마나 자주 발생하는지뿐만 아니라, 피할 수 없는 침해 사고가 실제로 발생했을 때 얼마나 잘 대응하는지로도 평가받게 될 것입니다.

작성자 소개

Ken Arora

Ken Arora의 다른 블로그 게시물