망 분리 솔루션, 왜 주목받고 있는가?

인터넷을 통해 발생하는 다양한 보안위협들은 금전적인 이윤을 추구하는 목적이 주가 되면서 점점 조직적이고 자동화되고 있다. 최근에는 이 조직적이고 자동화된 대량의 보안위협들이 그 범위를 점차 확장하여 지능형 타깃 지속 공격(APT : Advanced Persistent Threat)으로 발전하고 있다.

과거 APT 공격은 정부기관이나 방위산업 업체를 대상으로 주로 국가 간에 이루어졌다. 하지만 최근의 APT는 정치적·경제적 고부가가치 데이터를 대량 보유하고 있는 기업과 조직들을 주 대상으로 하고 있으며, 피해규모 및 범위 역시 기하급수적으로 증가하고 있다. 이에 따라 기업이나 조직의 비즈니스 연속성에 심각하고 치명적인 위험을 유발할 수도 있다.

현재 발생하고 있는 APT 형태의 공격은 공격자들이 내부 직원들의 PC에 악성코드를 배포한 후, 내부 망으로 악성코드를 퍼뜨려 인터넷 망을 통해 해당 PC를 제어하고, 시스템 관리자의 패스워드 및 권한 등을 탈취하는 방법을 이용하고 있다.

이에 따라 업무를 수행하는 업무 망과 인터넷을 하는 인터넷 망(비업무 망)을 완전히 분리함으로써 인터넷을 통한 악성코드 전파 및 해킹이 업무 인프라에는 영향을 미치지 않도록 하기 위한 방법이 논의되고 있다. 외부로부터의 공격이 정교할수록 인터넷 망과 업무 망을 분리하는 망 분리에 대한 요구사항이 점차 증가하고 있으며, 다양한 망 분리 방식에 대한 연구도 진행되고 있다.

망 분리 솔루션의 개념과 종류

인터넷 망과 업무 망을 분리하는 망 분리 방식은 크게 물리적 망 분리와 논리적 망 분리로 나눌 수 있다. 물리적 망 분리는, 업무용 망과는 별도로 인터넷 망을 위한 네트워크를 가설하고 인터넷 접속용 PC도 물리적으로 분리하는 방식을 일컫는다. 논리적 망 분리는, 물리적으로는 실제 네트워크가 구분되어 있지 않지만, 가상화 기술 등 다양한 IT 보안 기술을 사용하여 업무용 망과 인터넷 망이 물리적으로 분리되는 효과를 볼 수 있도록 구현하는 방식이다.

물리적 망 분리

물리적 망 분리는 인터넷 망과 업무 망을 분리할 때 물리적으로 네트워크를 분리하는 방식을 말한다. 이 방식은 엄청난 구축비용과 유지보수 비용을 필요로 하고 업무 효율성은 떨어지지만, 보안에 대한 가시성이 높아 망 분리 초기에 가장 먼저 도입된 방식이다. 물리적 망 분리에는 인터넷용과 업무용으로 분리된 네트워크에 인터넷 PC와 업무 PC를 각각 접속해서 사용하는 방식인 ‘2대 PC 방식’, PC에 하드디스크 및 랜카드를 별도로 설치하고, 망 분리 전환 장치(PCI 카드 형태)를 이용하여 업무용 모드와 인터넷 모드로 전환하는 방식인 ‘망 분리 전환 장치 방식’, 별도의 전용 접속장치로 연결된 인터넷 접속용 PC를 통해 인터넷을 사용하는 방식인 ‘멀티 PC 방식’이 있다.

물리적 망 분리 방식은 명확한 개념의 망 분리 방식으로 가시성을 확보할 수 있는 장점이 있는 반면, 방화벽에서부터 PC까지 전체 네트워크를 새로 구축해야 하며, 망 공사, 전원공사 등 상당한 비용을 필요로 할뿐만 아니라 업무목적별로 2대의 PC를 사용해야 하므로 업무 효율성에 대한 이슈가 발생하고 있다.

논리적 망 분리

논리적 망 분리는 인터넷 망과 업무 망을 분리할 때 별도의 네트워크를 구축하지 않고 논리적으로 네트워크를 분리하는 방식을 일컫는다. 논리적 망 분리는 실제로는 존재하지 않는 가상의 망을 구축해야 하기 때문에 다양한 가상화 기술 및 보안기술이 적용된다. 논리적 망 분리 방식으로는 기존 PC는 업무용 PC로 사용하고, 인터넷 접속 필요 시 인터넷 서버 가상화 서버 팜에 있는 가상 머신을 통해 인터넷에 접속하는 방식인 ‘서버 기반 가상화 방식’과 업무용 PC에 가상화된 인터넷 영역을 생성한 후 가상화 영역에서 실행되는 프로그램만 인터넷 접속이 가능하도록 하는 방식인 ‘PC 기반 가상화 방식’의 2가지 방식이 있다.

위 표 1에서 볼 수 있듯이, PC 2대 방식을 비롯한 물리적 망 분리 방식은 보안성이 가시적으로 확보된다는 장점 외에 비용이나 공간 활용 등의 측면에서 논리적 망 분리 방식 대비 효율성이 떨어진다. 논리적 망 분리 방식 중 하나인 서버 기반 가상화 방식은 PC 기반 가상화 방식과 비교할 때 구축, 유지보수, 확장비용이 많이 소요되며, 멀티미디어 환경에는 적합하지 않다. 서버 기반 가상화 방식의 경우 제한된 업무를 수행하는 업무의 중앙집중화에는 유용할 수 있으나 범용적인 인터넷 사용 환경이 보장되어야 하는 망 분리 솔루션에는 적합하지 않은 방식이다. 표 1에서 보듯이 물리적 망 분리와 동일한 보안성을 확보하면서도 구축, 유지보수 비용 및 사용성을 고려한다면 PC 기반 가상화 방식이 가장 적합한 방안이라고 할 수 있다.

망 분리 솔루션의 주요 기능 및 역할

PC 기반 가상화 방식으로 망 분리를 하기 위해서는 업무 영역과 인터넷 영역의 접속을 구분하는 고성능 망 분리 전용 어플라이언스와 PC 가상화 기술을 이용해 인터넷 영역의 격리성을 확보하는 가상화 프로그램, 그리고 정책 설정, 모니터링 기능을 수행하는 관리 서버가 필요하다.

PC에 설치되는 가상화 프로그램의 경우 가상화 기술은 PC의 리소스를 효율적으로 사용하기 위해 만든 기술이지, 보안을 위해 만든 기술은 아니기 때문에 PC 리소스를 효율적으로 사용할 수 있도록 해주는 가상화 기술에 보안성을 강화할 수 있는 여러 기능을 보강해야만 가장 효율적인 망 분리 솔루션을 구축할 수 있다. 이와 더불어 PC 가상화 방식에서 중요한 컴포넌트 중의 하나가 업무 영역과 인터넷 영역의 접속을 구분해 주는 네트워크 어플라이언스다. 이 전용 어플라이언스는 업무용 트래픽과 인터넷 접속 트래픽 구분 방식을 이중화함으로써, PC의 가상화 영역에서 정상적으로 생성되지 않은 트래픽이 인터넷으로 빠져나가지 못하게 원천봉쇄하는 역할을 한다. 또한, PC의 가상화된 영역에서 발생하는 트래픽의 경우 어플라이언스까지 보안 터널링을 해주어 인터넷 서핑 시 가상화 영역이 악성코드에 감염되더라도 다른 PC로 전파되지 못하도록 격리해 주는 기능을 제공해야 한다. 특히, 전용 어플라이언스는 현재 사용 중인 네트워크 환경에 맞춰 추가 공사를 최소화할 수 있고, 증설이 용이하며, 사내의 모든 트래픽이 집중될 수 있으므로 대용량 처리를 지원할 수 있는 전문 솔루션을 선택하는 것이 중요하다.

망 분리 구축 시 유의사항

지금까지 망 분리를 실현할 수 있는 여러 가지 기술에 대해서 살펴보았다. 내부 네트워크망과 외부 네트워크망을 분리함으로써 악성코드 감염과 APT 공격 등 외부 해킹의 위협에 효과적으로 방어할 수 있는 체계를 구축할 수 있다. 하지만 이것으로 완전한 것은 아니다. 무심히 감염된 USB를 업무용 PC에 삽입하는 것만으로도 폐쇄성이 확보된 업무망에 악성코드가 전파될 수 있고, 망이 분리되지 않은 메일 서버를 통해 악성코드가 전파될 수 있는 등 여전히 보안의 구멍은 존재하기 때문이다. 따라서 망 분리 시스템 도입과 함께 매체제어, 메일을 포함한 사내 인트라넷 등 다양한 시스템의 환경 및 업무 프로세스도 보안성을 확보할 수 있도록 고려되어야 한다. 특히, 철저한 사용자 교육이 반드시 수반되어야 한다. 우수하고 효율적인 보안 시스템의 실질적인 효과는 내부 사용자들의 인식 전환과 실천이 뒷받침될 때 발휘될 수 있기 때문이다.

<글 : 권 진 욱 | 안철수연구소 제품마케팅팀 책임연구원>