설계한 네트워크에 보안은 어떻게 적용할까

통신이 된다는 것과 통신을 허용한다는 것은 무엇이 다를까 ↑

네트워크 설계가 목적지까지의 길을 만든다면 보안 설계는 누가 어떤 통신을 할 수 있는지와 이상 행위를 어떻게 찾아낼지 정합니다. 라우팅 경로가 있다는 사실만으로 모든 사용자와 프로그램에 그 통신을 허용해야 하는 것은 아닙니다.

교육용 사례의 직원은 PC-A에서 업무 서버 App-S의 보고서를 열어야 합니다. 방문자 단말은 인터넷을 사용할 수 있지만 같은 보고서 서버에는 접근하지 못해야 합니다. 두 단말이 같은 건물과 스위치를 쓰더라도 업무 역할과 자료 접근 권한이 같지는 않습니다. 먼저 필요한 통신과 거부할 통신을 구분합니다.

VLAN을 나누면 L2 접속 범위를 구분할 수 있지만, 두 VLAN 사이에 라우팅을 열면 다시 통신할 수 있습니다. 반대로 같은 VLAN 안에서 끝나는 통신은 게이트웨이의 방화벽 정책을 지나지 않을 수 있습니다. L2/L3 경계에서 확인한 실제 패킷 경로에 정책을 적용해야, 도면에서 나눈 구간 사이의 통신을 제한할 수 있습니다.

보안 기능마다 확인하고 처리하는 대상이 다릅니다. 접속 인증은 누구와 어떤 기기인지, 방화벽은 어떤 통신을 허용할지, IPS는 검사한 흐름에서 공격 징후를 막을지 판단합니다. NDR은 관찰 자료에서 이상 행위를 분석하고, 자료 보호 기능은 정상 접속 이후의 파일 사용과 공유까지 봅니다. 한 제품에 여러 기능이 들어 있어도 각각 무엇을 확인하는지 구분해서 보아야 합니다.

한 제품이 여러 기능을 제공할 수도 있고 단말·망·서비스에 나누어 구현할 수도 있습니다. 도해의 상자도 이 역할들을 나누어 그린 것입니다. 상자마다 별도 장비를 구매해야 한다는 뜻은 아닙니다. 업무 요청이 지나는 경로, 인증 정보와 정책을 주고받는 경로, 관찰 자료를 모으는 경로를 나누어 그려 빠진 통제와 의존성을 찾겠습니다.

먼저 직원과 방문자가 어디까지 접근할 수 있어야 하는지 전체 배치에 표시하겠습니다. 실선은 업무 통신의 예이고, 점선은 신원·기기·권한 정보를 통제 지점에 전달하는 관계입니다. 뒤에서는 이 배치에 방화벽·IPS·VPN과 관찰·자료 보호 기능을 더해 보겠습니다.

누가 어떤 기기로 접속했는지는 어디에서 확인할까 ↑

접속한 위치만으로 사용자를 신뢰하면 사무실 안에 들어온 침해 단말도 넓은 권한을 얻을 수 있습니다. 사용자 신원과 기기의 상태, 접근하려는 자원을 함께 확인하고 필요한 범위의 권한을 부여해야 합니다.

PC-A가 유선 포트나 무선망에 붙는 단계에서는 802.1X와 NAC 같은 접속 통제를 사용할 수 있습니다. 접속 장비가 인증 체계와 정보를 주고받고 결과에 따라 적용할 권한을 정하는 구조입니다. 실제 환경에서는 사용자 인증과 기기 인증, 인증할 수 없는 장치의 예외를 각각 정해야 하며, 망에 접속을 허용하더라도 각 업무의 사용 권한은 별도로 확인해야 합니다.

App-S에서 보고서를 열 때는 애플리케이션이 해당 사용자의 자료 권한을 다시 확인해야 합니다. 망의 접속 허용과 보고서의 열람·수정 권한은 다른 결정입니다. 담당 업무가 바뀌거나 기기가 위험한 상태가 되었을 때 권한을 줄이거나 회수할 지점도 함께 정해 두어야 합니다.

Zero Trust는 특정 인증 제품이나 다중요소 인증 하나의 이름이 아닙니다. 내부망이라는 이유로 암묵적인 신뢰를 주지 않고 자원 접근의 조건을 확인하는 설계 관점입니다. 인증은 그 일부이며, 권한의 최소화, 기기 상태, 관찰 결과와 접근 회수까지 연결되어야 합니다. 로그인에 성공했더라도 필요한 권한과 기기 상태를 계속 확인하고, 위험이 발견되면 접근을 제한할 수 있어야 합니다.

이 관계는 업무 패킷이 매번 인증 서버를 경유한다는 뜻도 아닙니다. 인증·정책 교환과 실제 데이터 전달은 다른 경로를 사용할 수 있습니다. 인증 체계가 멈추었을 때 기존 연결과 신규 접속이 어떻게 달라지는지, 승인된 비상 접근은 어디까지 허용하는지 시험해야 접속 보안과 복구 가능성을 함께 설계할 수 있습니다.

외부에서 들어오는 길과 내부에서 움직이는 길은 어떻게 보호할까 ↑

원격 접속의 보호와 내부 서비스의 접근 제한은 함께 필요할 수 있습니다. 안전하게 망 안으로 들어왔다는 사실이 그 안의 모든 주소와 서비스에 접근할 권한을 주지는 않습니다.

외부의 직원 PC-R이 암호화된 원격 접속 VPN으로 회사의 VPN 종단에 연결한다고 하겠습니다. 이 사례에서 터널은 두 종단 사이의 전달 구간을 보호합니다. VPN이라는 용어 전체가 항상 같은 암호화를 뜻하는 것은 아니므로 여기서는 이 원격 접속 방식으로 범위를 한정합니다. 터널 밖의 통신 구간과 단말 자체는 별도로 보호해야 합니다.

VPN 종단은 접속한 사용자의 역할에 맞는 경로와 정책을 제공해야 합니다. PC-R이 App-S의 업무 기능만 사용해야 한다면 그 범위를 허용하고 관리망이나 다른 서버로의 불필요한 접근은 제한합니다. 방화벽은 이런 통신의 조건과 필요한 상태를 대조해 허용 또는 거부하며, 인터넷 경계뿐 아니라 내부 서비스 경계에도 배치할 수 있습니다.

허용한 포트 안에서도 공격이 들어올 수 있으므로 검사 범위를 정합니다. IPS는 분석할 수 있는 트래픽에서 공격 징후를 탐지하고 설정된 정책에 따라 차단하는 역할을 맡습니다. 인라인으로 처리하는 방식과 복제 트래픽을 수동적으로 관찰하는 방식은 차단 능력과 장애 영향이 다르므로, 설치 모드를 구분해야 합니다.

방화벽과 IPS가 같은 제품에 있어도 어느 경로에서 어떤 정책과 검사를 적용하는지 각각 확인합니다. 암호화된 흐름에서 어떤 필드나 내용을 볼 수 있는지, 복호화가 필요한 검사를 어디까지 허용할지는 운영·개인정보·애플리케이션 조건을 함께 검토해야 합니다. 도해는 각 기능을 적용할 위치를 보여 줍니다. 제품 내부의 처리 순서는 사용하는 모델과 설정에서 따로 확인해야 합니다.

PC-A의 내부 통신이 인터넷 경계를 거치지 않는다면 그 경계의 검사만으로 내부 이동을 모두 볼 수 없습니다. 따라서 서비스 앞에도 필요한 정책을 적용하고, 접속 단말의 권한과 내부 통신을 살펴볼 방법을 함께 준비합니다. 내부 이상 행위를 찾는 방법은 다음 절에서 이어서 설명합니다. 요청뿐 아니라 응답 경로도 상태를 추적하는 기능의 지원 조건과 맞는지 확인해야 정상 업무의 응답은 통과시키고 금지한 통신은 계속 차단할 수 있습니다.

직원의 실제 데이터 경로와 인증·정책 교환, NDR로 보내는 수집 자료를 다른 선으로 표시했습니다. 각 보안 기능이 어느 구간을 확인하는지 따라가 보겠습니다.

허용된 통신 속의 이상 징후는 어떻게 찾을까 ↑

접속을 허용한 단말도 이후에 수상한 통신을 할 수 있습니다. NDR은 네트워크에서 얻는 관찰 자료를 분석해 평소와 다른 행동이나 위협의 단서를 찾고, 필요한 대응을 돕습니다.

예를 들어 보고서를 읽던 PC-A가 갑자기 여러 서버로 반복 연결을 시도한다고 하겠습니다. 개별 요청의 포트는 허용돼 있어도 평소와 다른 대상 수·빈도·시간대가 조사할 단서가 될 수 있습니다. 이 자체만으로 침해를 확정하지 않고 사용자 업무와 다른 로그, 단말의 상태를 함께 대조합니다.

관찰 자료는 NetFlow·IPFIX 같은 흐름 정보, 장비 로그, 구성에 따라 복제 패킷 등에서 올 수 있습니다. 실제 패킷이 NDR 분석 장비를 반드시 인라인으로 통과해야 하는 것은 아닙니다. 수집 경로에는 원래 데이터와 다른 선을 써서 어느 구간에서 무엇을 보냈는지 표시해야 분석 범위를 설명할 수 있습니다.

자료를 수집하지 못하는 구간은 확인할 수 없는 범위로 표시합니다. 암호화된 본문이 자동으로 모두 보이는 것은 아니며, 수집 위치와 샘플링·손실·시각 차이에 따라서도 결과가 달라집니다. 특정 장비의 자료 수집이 끊기면 공격이 있어도 경보가 나오지 않을 수 있습니다. 경보가 없을 때는 수집 자체가 정상인지도 확인해야 합니다.

이상 징후를 찾았다면 어떤 조치를 취할지 따로 정해야 합니다. 운영자가 확인한 뒤 조치하거나, 승인된 연동으로 방화벽·NAC·단말 통제에 제한을 요청할 수 있습니다. 자동 차단의 권한·조건·되돌림과 오탐 영향을 정해야 합니다. 실제 침해의 확산이 확인되면 장애 대응 글의 긴급 격리 원칙을 적용하며 분석 완료만 기다리지 않습니다.

정상 사용자가 자료를 밖으로 보내려 할 때는 어떻게 보호할까 ↑

사용자 인증과 통신 허용만으로는 자료가 어떻게 사용되는지까지 통제할 수 없습니다. 보고서를 볼 수 있는 직원이 그 파일을 외부에 공유하는 상황에는 통신 경로뿐 아니라 자료의 내용과 공유 권한도 확인해야 합니다.

DLP는 자료의 내용·분류·사용 맥락과 정책을 대조해 부적절한 유출이나 공유를 발견하고 통제하는 역할을 맡습니다. 단말, 메일, 협업 서비스나 지원되는 네트워크 구간 등 적용 위치는 구현에 따라 다릅니다. 인터넷 경계의 DLP 장비만으로 확인할 수 없는 반출도 있으므로, 보호할 자료가 실제로 어디에서 어떤 방식으로 오가는지 먼저 확인합니다.

예를 들어 PC-A가 App-S에서 내려받은 보고서를 외부 공유 위치로 보내려고 한다고 하겠습니다. 이때 자료의 종류, 전송할 위치와 방식, 예외 승인 여부를 보고 정책을 적용합니다. 정책에 따라 알림·경고·차단·승인 절차를 둘 수 있지만 모든 제품이 모든 채널에서 같은 동작을 제공하는 것은 아닙니다.

여기서 DRM은 영화·음악의 배포 통제가 아니라 기업 문서의 사용 권한 보호를 뜻합니다. IRM이라고 부르는 방식도 여기에 포함됩니다. 지원되는 애플리케이션과 권한 체계가 보호된 파일을 누가 열고 편집하거나 인쇄할 수 있는지 확인합니다. 파일을 다른 위치로 복사한 뒤에도 이런 사용 권한을 적용할 수 있다는 점이, 반출 여부를 판단하는 DLP와 다릅니다.

DLP와 문서 DRM은 함께 사용할 수 있지만 같은 기능을 가리키지는 않습니다. 전자는 자료가 어떤 맥락으로 나가거나 사용되는지 통제하고, 후자는 보호된 파일의 사용 권한을 이어 적용하는 데 초점을 둡니다. 지원 형식·클라이언트·오프라인 조건과 권한 서비스의 가용성을 확인해야 실제로 어디까지 보호되는지 알 수 있습니다.

자료를 열람할 수 있는 사용자가 화면을 촬영하거나 내용을 다시 적는 행위까지 기술만으로 모두 막기는 어렵습니다. 따라서 업무에 필요한 최소 권한만 부여하고, 자료를 분류해 관리하며, 사용 기록의 검토와 사용자 교육을 함께 진행해야 합니다. 어떤 공유를 허용할지 먼저 결정한 뒤 단말·서비스·문서의 통제 지점을 연결해야 필요한 협업은 허용하면서 자료를 보호할 수 있습니다.

같은 보고서를 두고 문서 DRM·IRM은 열람·편집·인쇄 권한을, DLP는 외부 공유의 내용과 맥락을 확인합니다. 두 기능이 적용되는 시점을 구분해 보겠습니다.

보안 기능이 멈추면 연결과 보호는 어떻게 유지할까 ↑

보안 장비나 서비스가 멈추는 경우도 미리 설계해야 합니다. 다만 통신이 계속된다는 결과만 보면 검사가 사라진 상태를 복구로 오해할 수 있습니다. 통신이 되는지와 필요한 보안 기능이 계속 작동하는지를 함께 확인합니다.

인라인 검사 기능이 멈췄을 때 우회해 통신을 통과시키는 동작과 통신을 막는 동작은 서로 다른 위험을 가집니다. 흔히 Fail-Open과 Fail-Closed로 구분하지만 실제 적용 범위는 제품·모드·장애 종류에 따라 다릅니다. 평상시 업무 중요도와 보호할 자원, 승인된 대체 통제를 바탕으로 그 조건을 미리 정해야 합니다.

방화벽을 두 대 두었다면 이중화 글에서 살펴본 연결 상태와 남는 용량을 다시 확인합니다. 대체 장비의 정책·연결 상태·NAT와 VPN 지원 범위를 확인하고 검사가 켜진 상태로 업무를 시험합니다. 우회 경로가 보안 경계를 건너뛰거나 대체 장비에 필요한 정책이 빠졌다면 연결 성공만으로 요구를 충족한 것이 아닙니다.

NDR 수집 장애는 곧바로 데이터 전달을 끊지 않을 수 있지만 관찰 능력을 잃게 합니다. 인증이나 문서 권한 서비스의 장애는 신규 접속·권한 확인에 영향을 줄 수 있습니다. 어느 기능이 멈췄고 기존 연결과 신규 접속에 어떤 영향을 주는지 각각 확인합니다. 자료 수집이 끊겨 알 수 없는 상태는 정상으로 보고하지 않습니다.

침해가 진행 중일 때는 일반적인 장비 고장과 다르게 대응해야 합니다. 추가 피해 차단을 우선하고, 침해 범위를 확실히 알 수 없거나 확산이 계속되면, 영향을 받는 망 전체를 격리하는 등 차단 범위를 넓힙니다. 평소의 가용성 정책을 이유로 침해 경로를 열어 둔 채 업무를 계속해서는 안 됩니다. 구체적인 봉쇄·복구 판정은 장애 판정·복구 글의 원칙과 사고 지휘 절차를 따릅니다.

이제 각 보안 기능의 내부 동작을 따로 살펴볼 수 있다 ↑

지금까지 직원이 접속해 보고서를 공유하는 과정에서 필요한 보안 기능을 나누어 보았습니다. 후속 보안 연재에서는 제품 이름을 하나씩 늘어놓기보다 사용자 인증, 통신 허용과 검사, 이상 행위 분석, 자료 사용 권한이 실제로 어떻게 처리되는지 하나씩 자세히 살펴볼 수 있습니다.

사용자와 단말의 첫 접속, 방화벽과 VPN의 통신 상태, IPS·NDR의 검사와 관찰, DLP와 문서 권한 보호는 각각 더 자세히 살펴볼 수 있는 보안 분야입니다. 관련 내용을 읽을 때는 어떤 위치에서 동작하고 무엇을 확인하지 못하는지 함께 보세요. 이 연재에서는 먼저 공격 트래픽에 대응하는 경로 제어를 살핀 뒤, 설계 검증과 장애 복구로 이어갑니다.

보안 기능을 어느 경로에 둘지 정했다면, 공격 트래픽 때문에 회선 자체가 포화될 때도 생각해 보아야 합니다. 상류망에서의 공격 대응에서는 차단·관찰·정화가 어디에서 이루어지고 정상 서비스에 어떤 영향을 주는지 구별합니다. 이어지는 설계 검증과 장애 대응에서는 이런 정책이 실제로 지켜지는지 시험하고, 문제가 생겼을 때 안전하게 업무를 재개하는 절차를 살펴봅니다.