클라우드로 가는 미래는 이미 정해져 있다. 아니, 이미 클라우드는 우리의 현재다. 그 클라우드는 우리에게 새로운 위협을 가져다 준다. 그러니 이제 새로운 보안 대책이 필요하다. 다행인 점이 있다면 보안의 본질 자체에는 큰 변화가 없다는 것이다.

[보안뉴스 문정후 기자] 클라우드의 도입 비율이 지난 수년 동안 빠르게 올라갔다. 증가 추이를 봤을 때 이것이 한 때의 유행이거나 언젠가 잦아들 현상으로 보이지 않는다. 2021년 조사한 바에 의하면 대기업들의 93%가 이미 멀티클라우드 체제를 도입했으며, 87%는 하이브리드 클라우드를 활용 중에 있다고 한다. 클라우드를 도입하지 않은 기업들에 비해 압도적이라고 볼 수 있는 비율이다.

문제는 클라우드로 인해 사이버 보안 위협도 커진다는 것이다. 즉, 이러한 압도적 비율의 기업들이 이전에는 없었던 새로운 보안 위협을 마주하고 있다는 뜻이 된다. 클라우드로 체제를 바꾸려는 기업들이라면 클라우드가 주는 각종 이익들 말고 위험에 대해서도 이해하고 있어야 한다. 기껏 클라우드로 옮겼더니 오히려 나쁜 일만 일어나면 클라우드로 간 게 무슨 소용이 있겠는가. 필자는 이번 글을 통해 클라우드 보안과 관련된 베스트 프랙티스를 딱 세 가지로만 정리해 보려 한다.

1. 사각지대를 제거한다
보이지 않는 것을 보호할 수는 없는 노릇이다. 클라우드 안을 들여다볼 수 없으면(즉, 가시성을 확보하지 못하면) 클라우드 보안이라는 것도 불가능한 것이 된다. 포네몬(Ponemon)이 조사한 바에 따르면 응답자의 33%가 모든 클라우드 컴퓨팅 애플리케이션, 플랫폼, 인프라, 서비스에 대해 잘 알고 있다고 답했다고 한다. 67%는 눈을 감고 보안을 하는 것이다. 매우 우려스러운 일이다. 또 응답자의 62%는 가시성이 부족해서 보안이 어렵고 복잡해진다고 답했다. 클라우드를 강력하게 보호하려면 가시성 확보는 제일 먼저 이뤄져야 할 일이다. 가시성이 가져다 주는 이점은 다음과 같다.

- 리스크를 줄일 수 있다 : 가시성을 확보한 팀은 능동적으로 위험에 대처할 수 있다. 안 보이면 수동적이 될 수밖에 없다.
- 위협 사냥을 할 수 있다 : 가시성이 확보되면 비정상적인 행동을 쉽게 탐지할 수 있고 공격을 허용하는 요인들을 파악해 제거할 수 있다.
- 대응 시간도 줄일 수 있다 : 사실 아무리 기를 써도 모든 공격을 사전에 막을 수 있는 건 아니다. 언젠가는 반드시 공격을 허용하게 된다. 그럴 때는 대응 시간을 단축시키는 게 핵심이다. 가시성 확보를 해서 자동화 기술을 배치하면 빠르게 대응해 피해를 최소화시킬 수 있다.
- 클라우드 관리가 간소화 된다 : 가시성을 보다 넓게 확보하면 할수록 복잡한 클라우드 환경이라도 간편하게 관리할 수 있게 된다.

2. 탐지, 조사, 대응을 통합한다
가시성은 가장 중요한 퍼즐 조각이지만, 그에 준할 정도로 비슷한 퍼즐 조각들이 존재한다. 위협을 탐지하고, 조사하고, 대응하는 능력을 갖추는 것이다. 보기만 해서야 아무 일도 일어나지 않는다. 오늘 날 보안 담당자들은 위협의 그 가공할 만한 수량 앞에 질려버릴 때가 많다. 게다가 익혀야 할 보안 도구의 종류와 수도 어마어마하다. 오탐이라는 것이 날 수밖에 없는 환경이라는 것이다. 그리고 오탐은 경보에 대한 피로도와 거부감을 높인다. 그러면서 번아웃 상태가 전염된다. 가시성만 확보하면 이 악순환이 벌어진다.

결국 위협을 탐지하고, 더 상세한 내용을 파악하기 위해 조사하고, 그에 따라 조치를 취하는 과정을 효율적으로 처리할 수 있어야 한다는 뜻이 된다. 수많은 조직들의 탐지 규칙은 너무 광범위해서 보안 담당자들이 효율적으로 움직이기 어렵다. 그러니 효율적인 분석도 되지 않는다. 맥락적 정보를 결합함으로써 노이즈를 줄이는 과정도  자주 간과된다. 중요한 출처로부터 정보를 다양하게 모아 분석해야 하는데, 무작위로 정보 수집 출처를 결정하다시피 해 중요한 것들이 빠질 때가 많고, 그러니 분석 결과가 엉망이 된다. 대응은 거의 대부분 수동으로 진행하는 것이 현실이다. 그러니 담당자나 팀원이 바뀔 때마다 대응의 질과 속도 모두 달라진다. 일관성이 사라진다는 것이다.

이 문제를 해결하려면 탐지, 조사, 대응의 과정을 하나로 통합해 관리해야 한다. 그리고 자동화 기술을 적절한 곳에 배치하는 것이 필수적이다. 분명히 탐지, 조사, 대응의 과정 중 단순하게 반복해야만 하는 일들이 있을 것이다. 이걸 자동화로 해결하는 것이 관건이다.

3. 클라우드 업체의 보안 서비스를 완벽히 이해하라
클라우드 서비스 업체들마다 독립적인 보안 정책과 도구들을 가지고 있다. 클라우드 서비스를 이용하면서 보안 강화를 고민한다면 당연히 이런 것들을 이해하고 있어야 한다. 클라우드 서비스가 다 알아서 해 주기를 기대하는 사용자 기업은 반드시라고 해도 될 만큼 자주 위협을 맞닥트린다. 클라우드 보안은 서비스 제공자와 사용자가 책임을 공유해야 한다.

- 공공 클라우드 서비스 업체는 클라우드라는 인프라 자체의 보안에 책임을 져야 한다.
- 공공 클라우드 서비스 사용자 기업은 클라우드를 사용하는 방식과, 할당된 클라우드 영역 내의 보안을 책임진다.

세부적인 책임의 배분은 서비스 업체마다 조금씩 달라진다. 하지만 양쪽이 힘을 합해 보안을 철저히 하고 규정을 준수해야 한다는 기본적인 사실은 변함이 없다. 클라우드 업체가 내세우는 보안 규정에 익숙해지는 것부터가 시작이다. 그래야 나중에 일이 터져도 할 말이 생긴다. 또한 사고가 터지기 전에 어떤 부분에 더 집중해서 보안을 강화해야 하는지 역시 정확히 이해할 수 있게 된다.

예를 들어 AWS는 하드웨어와 소프트웨어, 네트워킹 장비 각종 시설물 등 클라우드라는 환경을 구축하는 데 필요한 물리적 요소들을 보호하는 책임을 가져간다. 하지만 고객들의 경우는 책임이 이처럼 명확하게 규정되지 않는다. 어떤 클라우드 서비스를 사용하느냐에 따라 달라지기 때문이다. 즉 IaaS냐,PaaS냐,SaaS냐에 따라 고객들에게는 다른 책임이 부여되고, 이 책임을 이해하고 지키는 건 고객들의 몫이다.

우리의 미래에는 클라우드가 가득하다. 그런 방향으로 우리는 자리를 잡았다. 클라우드가 가득한 미래라는 건 위협이 다양하게 분포되어 있다는 뜻도 된다. 클라우드가 보편화 되기 전 우리는 보안을 어떻게 담당했었나 생각해 보자. 먼저 회사 네트워크를 샅샅이 아는 것부터 시작했다. 클라우드의 시대에도 이는 변하지 않는 사실이다. 클라우드에 마련된 우리 회사 네트워크를 샅샅이 아는 것이 보안의 첫 걸음이다.
[국제부 문정후 기자(globoan@boannews.com)]
출처 : https://www.boannews.com/media/view.asp?idx=106092