자동화에 대한 거부감, 현장에 만연해
자동화는 반드시 사람의 결정능력 동반해야

[보안뉴스 문가용] 사람은 없어, 일은 많아, CISO들이 점점 ‘자동화 툴’에 눈을 돌리기 시작한 건 자연스러운 귀결이다. 그러나 아직 ‘눈을 돌리기’만 시작한 것일 뿐, 실제로 자동화 툴이 보안 담당자들 사이에서 널리 사용되고 있지는 않다. 아직 보안을 ‘자동으로 한다’는 것에 대해 거부감이 심하기 때문이다.



자동화에 대한 거부감은 대부분 잘못된 알람에서부터 비롯되었다. 알람이 잘못 울리는 바람에 대낮에 애꿎은 서버를 다운시키고, 그 때문에 서비스가 마비되고, 생산라인이 중단되었다는 경험담들이 ‘자동화’에 대한 억울한 오해를 늘리고 있다. 실제 잘못된 경보 때문에 시간과 노력을 헛되이 날린 경험들, 보안 담당자라면 누구나 한 번쯤 있을 것이다. 그리고 나쁜 기억은 보통 오래 남는다.

그럼, 담당자가 반대하는데 굳이 자동화를 도입해야 할 필요가 있는가? 그렇다. 사실 요즘 보안업계 사정을 보면 자동화의 도입은 거의 필수라고 봐도 무방할 정도다. 상식적으로 생각해봐도 대량으로 빠르게 그 모양도 바꿔가면서 쉴 새 없이 일어나는 공격에 수기작업으로 맞선다는 건 비효율을 지나 아예 게임이 성립되지 않는 수준이기 때문이다. 페라리랑 달구지랑 경주를 하는 느낌이랄까.

그러니까 공격자들이 득세하고 실제 해킹 사건은 보안 기술의 발전에도 불구하고 계속 상승곡선을 그리고 있는 것이다. 브라이즌에서 발표한 보고서에 의하면 해킹 사건 중 60%의 경우 해커가 네트워크에 잠입하는 데 걸린 시간이 수분에 불과했다. 그리고 한 번 잠입한 해커가 네트워크를 누비는 속도는 더 빨랐다. 앞으로도 이런 위협이 늘면 늘었지 줄어들 가능성은 제로에 수렴한다.

공격이 발전하면 방어도 발전해야 한다. 자동화란 ‘자동으로 모든 걸 보호’하는 걸 말하는 게 아니다. 데이터와 프로세스의 흐름을 모두 연결시키되 미리 지정되고 허가된 워크플로우 내에서만 연결을 허용해 이상한 현상이 발견되었을 때 분리와 복구 작업을 자동으로, 즉각 해내는 것을 뜻하는 것이다. 우리 주변에는 수동으로 하던 것들을 성공적으로 자동화시킨 예가 풍부하게 존재한다. 이메일, 문자, 소셜 네트워크, 은행 업무 등이 바로 그것이다. 이런 것들이 전부 완벽해서 자동화가 되었을까? 그렇지 않다. 다만 효율이 리스크를 훨씬 상회하기 때문에 대체가 가능했다.

IT 분야의 개발 및 연구 팀들은 점점 실험 및 점검을 위한 자동화 과정을 도입시킨 지 오래다. 심지어 첩보를 수집하는 데에도, 모니터링을 하는 데에도, 분석과 경보를 발령할 때도 자동화가 이미 심심찮게 사용되고 있다. 왜? 완벽해서가 아니라, 엄청난 시간이 절약되기 때문이다. 또한 퍼포먼스가 굉장히 일정하게 유지된다. 기복이 없다는 것이다.

즉 중요한 건 ‘자동화 처리가 가능한 일은 무엇이고 그렇지 않은 일은 무엇인가’ 구분하는 것이다. 인간이 해야 할 일은 당연히 인간이 해야 한다. 답을 찾아내고 포렌식을 진행하고 여러 정보를 한데 묶어 분석하고, 창의적인 결론을 내리는 데에는 자동화가 도입될 수 없다. 자동화가 빛을 발하는 건 단순하고 반복적이지만 양이 어마어마하게 많은 일을 시켰을 때다. 사람이 하면 중간에 고개를 떨어뜨리고 졸기 쉬운, 그래서 꼭 어디선가 오류가 발생할만한 그런 일들 말이다.

그러므로 자동화 툴이란 ‘단순 반복 작업을 대신 해주는 기계’와 ‘결정을 내릴 수 있는 인간’의 만남을 주선하는 기능을 갖는 게 그 본질이다. 생각보다 많은 일들이 일정한 패턴에 의해 반복되고 있으며, 규칙만 정해 놓으면 버튼 하나로 해결이 가능하다. 혹은 무심코 하고 있는 일들에 안전한 워크플로우를 정리하면 생각지도 못한 성과를 얻는 경우도 많다. 워크플로우를 만든다는 것 자체만으로 보안의 많은 부분이 해결되기도 한다. 다만, 워크플로우를 시작하게 하는 ‘버튼 하나’만큼은 반드시 사람이 결정하고 눌러야 한다.

워크플로우를 정의하려면 역할, 자산 가치, 시스템 종류, 위치 등의 컨텍스트 정보가 먼저 필요하다. 이는 사실 생성되는 정보라기보다 고정된 기준에 의해 체계적으로 정리하면서 자연스럽게 발생하는 것에 가깝다. 즉 워크플로우를 정의하는 과정 자체가 이미 상당 부분 ‘교통정리’를 수반하고, 이는 그 자체로 리스크를 크게 낮추는 결과를 낳는다.

보안에 있어 자동화는 자동 번역기들처럼 우스꽝스러운 존재가 아니다. 다만 적용해야 할 부분과 하지 말아야 할 부분이 따로 정해져 있을 뿐이다. 지금처럼 인력난이 심각할 때, 처리하고 분석해야 할 위협이 넘쳐날 때, 반드시 도입해야 할 것이기도 하다.
글 : 캔데이스 월리(Candace Worley)



Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>