클라우드 전문정보

정진교 ㈜안랩 미래기획실장

한국에 클라우드 서비스의 개념이 소개되고, 사업 활성화를 위한 여러 기관들이 활동을 시작한지도 벌써 10년이 지나고 있다. 그간 국내 클라우드 산업은 글로벌 시장에 비하여 시장 확산 속도가 떨어짐에 따라 거품론 등의 비관적인 의견들도 있었으나, 2015년 클라우드 발전법의 시행과 글로벌 클라우드 사업자가 한국에 상륙하고, 국산 클라우드 사업자들이 속속 시장에 뛰어 들면서 국내 클라우드 산업도 본격적인 성장기에 들어서고 있다. 글로벌 가상화 솔루션 시장의 탑 플레이어인 VMWare의 CEO 팻 겔싱어는 WMworld 2016 기조연설에서 전세계 IT 워크로드의 처리를 현재 25%만이 클라우드가 담당하고 있지만, 2030년까지는 클라우드를 통한 처리량이 80%에 육박할 것으로 예측하였다.

글로벌 IT 워크로드 변화, VMWorld 2016, 펫 겔싱어/VMWare CEO

하지만 여전히 주변에서는 클라우드 도입의 가장 큰 장애요소로 “보안”문제를 꼽고 있는 것이 현실이고, 확증되지 않은 보안 위협으로 클라우드 컴퓨팅의 장점을 활용하지 못하는 일종의 기회비용을 지불하고 있는 문제점이 지적되고 있다.

클라우드에서의 효과적인 보안 환경 구축을 위해서는 클라우드에서의 보안 특성 중 가장 기본적인 원칙인 ‘보안 공동 책임(Shared Responsibility)’를 이해해야 한다. 기존의 온프레미스 환경에서는 이를 운용하는 기업이 모든 전체적인 책임을 지지만, 클라우드 컴퓨팅에서는 클라우드 서비스 제공자(CSP) 와 기업이 보안에 대한 책임을 공유한다는 개념이다. 즉, 클라우드 환경에서의 보안 문제는 전적으로 서비스를 사용하는 사용자만으로 해결 할 수도 없고, 전적으로 CSP가 모든 것을 해결 해 주겠지라고 기대해서도 안 된다.

“통제권을 넘긴다는 것이 책임을 떠넘긴다는 것을 의미하는 것이 아니다”라는 CitiGroup의 CSO의 비나이 파텔의 발언은 클라우드의 데이터를 안전하게 보호하기 위해서는 클라우드 제공업체에만 의존해서는 안 된다는 의미이다.

CSP와 고객간의 보안 공동 책임 원칙을 기반으로 각 CSP에 따라 약간의 차이가 있지만 클라우드 서비스의 종류(IaaS, PaaS, SaaS)에 따라 아래 그림과 같이 특정 위치에서 책임의 이전 포인트가 존재하게 된며, 클라우드 보안 공동 책임 모델을 제대로 적용하려면 기업은 항상 CSP와 함께 각자의 책임 소재를 명확히 해야 한다.

Security Handoff Points, Gartner May 2016

크게 보면 CSP는 클라우드 기본 서비스(컴퓨터, 스토리지 등)와 클라우드 인프라(데이터센터, CDN 서비스)를 책임지고, 기업은 서버 및 데이터와 트래픽 제어, 접근 제어, 네트워크 보안 운영 등의 책임을 갖게 된다.

예를 들어 마이크로소프트는 애저 클라우드의 공동책임에 대한 정의를 IaaS, PaaS, SaaS 등 클라우드 서비스 모델과 7가지 보안 관련 영역에 따라 설명하고 있다. 이 7가지 의무는 데이터 분류 및 기록 보존 책임, 클라이언트 및 엔드포인트 보호, 신원 및 접근관리, 애플리케이션 수준의 제어, 네트워크 통제, 호스트 보안, 물리적 보안이다. 이중 데이터 분류 및 기론 보존 책임은 전적으로 기업의 몫이며, 물리적 보안은 마이크로소프트의 몫이다. 나머지는 사용하는 클라우드 서비스 모델에 따라 기업과 마이크로 소프트가 공동으로 책임을 지게 된다.

이러한 클라우드 보안의 책임 공유 개념에 따라 기업이 책임을 지게 되는 부분이 존재한다.

Gartner에 따르면 보안 위협이 고도화 됨에 따라 최근 공격 중에서 전통적인 네트워크 시그니처 기반의 제품으로 방어할 수 없는 공격이 12%에 도달하고 있으며, 이러한 공격은 실시간으로 모든 트래픽과 로그 데이터를 모니터링하고 침해사고 대응 전문인력이 분석해서 상황을 정확이 판단하고 대응해야 한다. 따라서, 기업 내부에 대응 시스템과 전문 보안인력의 확보 및 클라우드 환경에 적합한 보안 기술을 적용하는 노력이 필요하나, 클라우드 서비스 사용을 위한 보안을 위하여 상당한 금액의 추가 자원을 투자해야 한다는 것은 기업 입장에서 쉽게 결정하기 힘든 문제이다.

이런 문제를 배경으로 주목을 받고 있는 해법이 클라우드 원격 보안 관제 서비스(Cloud Managed Security Service, 이하 Cloud MSS)이다. Cloud MSS 사업자들은 강력한 보안 관제 인프라와 전문인력을 갖추고 있어 보안 시스템 도입부터 운영까지 전문가에 의한 책임 관리를 제공하고, 보안 전문가에 의한 정밀 진단 및 최적의 대응 방안이 제시된다. 기업은 이러한 전문 보안 관제 서비스를 활용함으로써 보안 사고를 예방하고 신속하게 위협을 탐지/대응하여 사고 확산을 차단하는 사이버 공격 대응 체계를 갖출 수 있다.

원격 관제 서비스라는 관점으로 볼 때 기존의 온프레미스 방식의 원격관제와 클라우드 원격 보안 관제는 비슷한 속성을 갖고 있다고 볼 수 있으나, 경제성과 가용성 면에서의 차이가 있다. 클라우드 원격 관제는 클라우드라는 가상 공간안에서 소프트웨어 형식으로 시스템의 셧다운 과정 없이 보안 솔루션이 설치되고, 기업의 시스템에 추가된는 장비가 없기 때문에 유지보수 작업이 필요 없음은 물론이고, 장비 노후화에 따른 비용 부담이 적은 잇점을 갖게 된다.

국내에서 선보이고 있는 Cloud MSS는 통상적으로 네트워크 보안 운영에 특화되어 있다. 대표적인 보안 서비스 상품으로는 IPS/IDS, Web Application Firewall, Anti-WebShell 등이 제공되고 있으며, 네트워크 보안 정책 설정, 네트워크 보안 솔루션 설치 및 모니터링, 네트워크 침입 시도 탐지 및 대응, 시그니처 최적화 등이 서비스 내용에 포함된다.

Cloud MSS의 개략적인 구성도는 위의 그림과 같은데, CSP상에 설치된 클라우드용 보안 제품과 Cloud MSS에서 제공 / 설치되는 로그 수집기를 통하여 수집된 로그 데이터는 Cloud MSS의 SIEM에서 이벤트의 상관 분석을 통하여 분석되고, 유효하다고 판단되는 공격에 대해서는 보안 티켓이 발부되어, 전문 보안 관리자가 이에 대응하는 방식으로 구성된다. Cloud MSS를 사용하는 고객들은 보안 포털을 통하여 보안 현황 정보, 티켓 등록 조회를 실시간으로 확인할 수 있고, 정기적인 관제 보고서를 통하여 보안 위협에 대한 상세한 정보와 전문가의 의견을 확인할 수 있다.

각 Cloud MSS 서비스 업체들은 대체적으로 탐지, 분석, 대응, 예방 등 4단계의 운영 방법론을 적용하고 있으나, 세부적인 서비스 내용과 수행 역량에 대해서는 각기 특성의 차이가 있으므로 서비스 업체의 선정 시 꼼꼼한 역량의 확인이 중요한 요소이다.

지금까지 클라우드 환경에서의 큰 장애 요소인 보안문제를 해결하기 위한 Cloud MSS에 대하여 간략하게 살펴 보았다. 하지만 국내의 클라우드 서비스 사업의 확산이 더딘 관계로 국내 Cloud MSS는 이제 막 첫걸음을 뗀 상황이라고 볼 수 있다. 앞으로 Cloud MSS가 더욱 발전하기 위해서는 다음 환경 요소에 대하여 시급하게 대응 해야 한다.

첫째, 하이브리드 클라우드 환경이다. 모든 클라우드 전문가들이 공통적으로 이야기하는 클라우드의 사용 모습은 하이브리드 클라우드 환경이다. 리거시, 가상화, 프라이빗 클라우드, 퍼블릭 클라우드 환경에 대하여 Cloud MSS 사업자들은 고객의 자산이 어디에 위치하던 자산에 대한 보호를 Seamless 하게 처리할 수 있어야하고, 모든 위협에 대응부터 처리까지 일관된 프로세스에 의하여 동일하고 통합된 서비스를 제공할 수 있어야 한다.

둘째, 멀티클라우드 환경이다. Gartner에 의하면 2015년 북미 클라우드 사용자는 평균 4.2개의 클라우드 서비스를 사용하고 있다고 한다. 이미 국내에도 아마존, 마이크로소프트, 구글, IBM, 오라클 등 대형 글로벌 벤더의 서비스가 상륙해 있고, 국내 클라우드 사업자들 또한 활발하게 서비스를 제공하고 있거나 준비중에 있다. 따라서, Cloud MSS 사업자들은 다양한 고객 환경에 맞추어서 동일한 서비스를 제공할 수 있도록 멀티 클라우드 환경에 대응해야 한다.

결국, 고객들이 원하는 바는 고객이 어떻게 컴퓨팅 환경을 구축하던, 어떤 클라우드 서비스를 사용하던 고객들의 컴퓨팅 자산이 환경의 변화와 순간적인 필요에 따라 어디로 이동을 하던 상관없이 클라우드 보안 전문업체의 일관되고 통합된 끊임 없는 서비스를 받는 것이다. 아직은 시장 초기 단계에 있어 보완해야 하는 점이 있지만, 고객과 국내 보안 관제 업체 모두 Cloud MSS에 대해 관심을 갖고 있기 때문에 곧 보다 경쟁력을 갖춘 새로운 형태의 보안 서비스가 지속적으로 발표되어 보안에 대한 걱정 없이 클라우드 컴퓨팅의 효과를 누릴 수 있을 것으로 기대된다.   끝.