Defense in depth의 한계
안녕하세요. Chaning입니다.
오늘의 주제는 Defense in depth, 심층 방어인데요.
국내의 재택근무 환경이 코로나 확산 시작 대비 약 35배 증가했다고 합니다. 코로나 사태가 진정된다 하더라도 재택근무의 수요는 더 늘어날 것으로 보이는데요. 현재 직장인들은 집에서 개인 와이파이를 사용하여 회사 네트워크에 접속하고 회사에서는 클라우드 기반의 서비스를 사용하고 있습니다.
이러한 환경의 변화로 인해 알려지지 않은 사이버 공격이 많이 발생하고 있습니다.(다들 랜섬웨어 한번씩은 들어보셨잖아요?) 오늘 말씀드릴 심층 방어 전략은 이러한 문제를 해결하기에 한계를 드러내고 있습니다.
왜 그런지 함께 살펴보시죠.
Defense In Depth | 심층 방어
다양한 보안 수단을 활용하여 조직의 자산을 보호하는 정보 보안 전략입니다. 하나의 방어선이 무너진다고 하더라도 다른 방어선이 존재하기 때문에 위협을 차단할 수 있습니다. 하드웨어나 소프트웨어만이 아니라 사람의 실수로 인한 보안 침해도 관리합니다.
이 보안 패러다임은 예방을 목표로 하면서 침해가 일어난 경우에도 대비합니다.
단순하게 한 측면에 대한 방어뿐만 아니라 물리적, 기술적, 관리적 제어를 기반으로 다방면을 방어합니다.
계층별 관리 구조
- 물리적 제어: 물리적인 장치로 자원에 대한 물리적인 접근을 방지하는 보안 조치가 포함됩니다. 물리적인 장치로는 보안 요원, 잠금 장치, CCTV, 경보 장치 등이 있습니다.
- 기술적 제어: 특수 하드웨어 또는 소프트웨어를 사용하여 네트워크 시스템 또는 자원을 보호하는 보안 조치입니다. 예를 들면 방화벽, 백신 프로그램, 침입 탐지 시스템(IDS), 다양한 인증 방법(MFA, 지문 인식 등)이 있습니다.
- 관리적 제어: 조직의 직원, 즉 사람을 대상으로 하는 정책이나 절차로 구성된 보안 조치입니다. 예를 들어 사용자에게 중요한 정보에는 “기밀”이라는 태그를 붙이도록 하거나 업무상 이메일을 열어볼 때 지켜야하는 보안 수칙을 교육하는 것 등이 있습니다.
말씀드린 다양한 계층마다 보안 방식을 적용하는 것이 Defense in depth입니다.
아주 심층적으로다가 깐깐하죠?
하지만 뜯어보면 우리가 출근할 때의 프로세스와 별반 다를 것이 없다는 것을 알 수 있습니다.
- 회사 건물 출입을 위해 카드 키를 가지고 출근합니다.
- 로비에서는 보안 요원이 외부인은 출입할 수 없도록 단속합니다.
- CCTV가 로비, 각 층, 엘리베이터 내부까지 모두 감시합니다.
- 사무실이 있는 층에 도착하면 출입하기 위해 카드 키를 한번 더 인식합니다.
- 자기 자리에 앉아서 컴퓨터를 켜고 컴퓨터 비밀번호를 입력한 후 사내 망에 접속하기 위해 로그인합니다.
여러분의 하루를 제가 요약해봤습니다. (ㅎㅎ)
이제 각 계층에 대해 조금 더 자세하게 보시죠!
Defense in depth의 계층
- 정책, 절차 및 인지 계층: 신원에 대한 정보를 안전하게 보호하고, 업무와 관련된 필요한 곳에 접근 권한을 부여하고, 로그인 이벤트 및 변경 내용이 기록되도록 합니다.
- 물리 계층: 물리적으로 건물에 대한 접근을 관리하고 건물 내부에 있는 컴퓨팅 하드웨어 접근을 제어하는 것이 실질적인 첫 번째 방어선입니다. 물리적 보안을 사용하는 목적은 자산에 대한 물리적 보호 수단을 제공하는 것입니다. 이 방법은 물리적으로 특정 장소에 위치한 장치들을 보호해줍니다.
- 경계 계층: 네트워크의 경계에서 자원에 대한 네트워크 기반 공격을 방어합니다. 이러한 공격을 실시간으로 파악하여 위험 요소를 제거하고 관리자에게 발생한 공격을 경고하는 방법입니다.
- 네트워크 계층: 모든 자원에 대한 네트워크 연결을 제한하여 필요한 것만 허용하는 것입니다. 통신을 제한하여 네트워크의 다른 시스템으로 공격이 퍼질 수 있는 위험을 줄일 수 있습니다.
- 호스트 계층: 엔드포인트라고도 하는 호스트 컴퓨터의 자원을 안전하게 보호하기 위해 멀웨어나 패치가 적용되지 않은 시스템 환경을 제어합니다.
- 애플리케이션 계층: 애플리케이션이 안전하고 취약성이 없는지 확인합니다. 앱 테스팅, 코드 리뷰 등의 방식을 통해서 이루어집니다.
- 데이터 계층: 데이터는 공격자들이 목표로 삼는 회사의 자산입니다. 이를 방지하기 위해 실시간 모니터링, 데이터 분류, 데이터 암호화 등의 방법으로 데이터를 보호합니다.
각 계층마다 보안 기술이 적용되어 있으므로 한 계층에서 침해 사고가 발생하더라도 그 다음 계층이 이미 작동하고 있기 때문에 추가 공격에 대한 피해를 방지합니다.
이 중에서도 중요한 계층은 경계, 네트워크, 호스트, 애플리케이션, 데이터 계층이라고 볼 수 있는데요. 가장 많은 보안 솔루션이 존재합니다.
다양한 계층마다 많은 보안 도구가 존재하는 것을 보면 완벽하고 견고해 보일 수 있는데요.
현 시대와 맞는 완벽한 보안 패러다임은 아닙니다.
이유를 함께 보시죠!
한계점
심층 방어 전략은 PC의 보급이 많지 않았던 시절에는 우수한 방어 전략으로 작동했습니다. 하지만 현재는 PC의 보급이 늘어나면서 네트워크, 컴퓨팅 비용이 줄어들었습니다. 이러한 추세로 인해 사이버 공격이 급증하면서 심층 방어 전략은 한계를 드러냈습니다.
그렇다면 어떤 한계점이 존재하는지 알아보겠습니다!
- 유연한 대처가 어려운 심층 방어 전략: 보안 도구를 뚫거나 우회하기 위해 노력하는 해커들의 공격은 변화합니다. 하지만 심층 보안 전략의 경우 공격만 하는 해커와 달리 비즈니스 환경 및 생산성을 고려해야 하기 때문에 해커만큼 유연하게 변화할 수 없습니다.
- 새로운 보안 기술 도입시의 문제점: 만약 이전보다 더 효율적인 기능을 갖춘 새로운 보안 기술이 개발된다면 바로 적용할 수 있을까요? 대답은 NO입니다. 심층 방어 전략은 계층별로 기존에 배치해 놓은 보안 도구들이 있습니다. 여기에 새로운 보안 기술을 적용하게 되면 기술 간 호환성에 관련된 문제와 또 다른 공격 루트가 생길 수 있어 새로운 기술의 도입으로 보안 강도를 높이는 것은 어렵습니다.
- 알려지지 않은 위협에 대한 대처 미흡: 심층 방어 전략은 계층별마다 알려진 위협에 대응할 수 있는 보안 도구를 배치해 놓습니다. 하지만 해커들은 알려지지 않은 취약점을 찾아내서 공격합니다. 이런 면에서 심층 방어 전략은 가지고 있는 보안 도구에 새로운 공격에 대한 정보가 없으면 탐지하지도, 차단하지도 못합니다.
- 접속 후 인증 방식의 문제점: 현재 대부분의 보안 체계는 ‘접속 후 인증’ 방식을 채택하고 있습니다. 쉽게 말하자면 출입할 수 있는 길은 열어놓고 들어오려는 사람에 대해서는 신원을 확인하는 것입니다. 이 경우 신분을 위조하거나 탈취하여 길을 통과하면 보안이 뚫리는 것입니다. 만약 해커가 내부자의 신원을 도용하여 보안 체계를 뚫고 내부에 잠입한다면 끔찍하겠죠?( 😱)
- 외부자에만 엄격한 심층 방어: 심층 방어의 그림을 다시 보시면 외부에서 내부 방향으로 중요도에 따라 겹겹이 보안 도구들을 배치해놨습니다. 그렇다보니 많은 기관의 심층 방어 체계는 내부에서 내부로 움직이는 보안에 대해서 상대적으로 취약하게 구성되어 있습니다. 내부의 한 호스트가 해킹 피해를 입으면 다른 취약한 호스트까지 전파되면서 심각한 피해를 초래할 수 있습니다.
이처럼 현재 사이버 위협은 규모와 정교함이 빠르게 발전하고 있습니다. 기존의 심층 방어 전략에 포함된 솔루션에 추가로 머신러닝을 통한 트래픽 분석 솔루션까지 나오고 있지만 100% 완벽하게 차단한다고 볼 수는 없습니다. 만약 내부자의 신원을 도용하거나 실제 내부자가 악의를 품는 경우는 더욱 잡아내기 힘든 상황입니다.
심층 방어 전략은 수동적이고 정적인 보안 패러다임입니다. 공격을 회피하는 것이 아니라 발생하는 공격에 대응하는 방식인데요. 대응할 매뉴얼이 없는 공격이 점점 많아지고 있는 상황에서는 속수무책으로 당할 수 밖에는 없는 것이죠.
심층 방어 전략은 더 이상 최적의 보안 패러다임 이라고 할 수 없습니다. 과거와 달리 새롭게 탄생하는 공격에는 보안 도구를 겹겹이 쌓아 방어 체계를 구축한다고 해도 완벽하게 막을 수 없기 때문에 명확한 한계를 보이고 있습니다.
이제는 새로운 보안 패러다임이 필요한 때입니다.
Chaning이었습니다.
감사합니다.(안녕!)
