2007년 보안과제_ ③ 플랫폼보안

가상위협 대비한 보안방책 절실

가상장치들의 활용이 통합 프로젝트에서 대유행이지만, 안전에 관한 고려는 거의 없다.

“아무도 VM 웨어에 대한 안전분석을 제대로 하지 않았기 때문에, 잘 설계된 공격은 제대로 작동하지 않는 가상머신이 파티션에서 달아나도록 할 수 있다.”

- 네이트 로손 시니어 보안 엔지니어 크립토그래피 연구소

“가상 머신은 극도의 해를 끼칠 모종의 가능성이 있지만, 사람들은 그걸 알아보려 하지 않는다.”

- 앤디 만 애널리스트 기업 관리 협회

가상화(Virtualization)는 웹 서비스와 Wi-Fi처럼 정보기술의 단짝이다. 기업의 정보기술 조직과 중소기업, 대학교에서 가상화 기능을 많이 활용하고 있다. 서버 통합 프로젝트와 데스크탑 시스템 비용절감을 통해 예산을 절약할 수 있기 때문이다. 다른 최신기술과 마찬가지로 가상화 역시 보안에 대한 고려는 거의 없는 상태로 활용되고 있다.

IT 부서가 서버 가상화를 사용하면서 소요되는 비용과 에너지 소비에 대한 혜택이 보안과 컴플라이언스로 인해 야기되는 기술적인 문제보다 더 크기 때문이다. 컨피겨소프트(Configuresoft)의 CTO인 데니스 모로(Dennis Moreau)는 “가상화로 인해 위협을 해소하고 문제를 개선하는 방식을 따지는 일이 매우 복잡하게 됐다. 가상화라는 계획에 허술함이 있기 때문”이라고 지적했다. IT 부서는 이런 사항에 대해 어느 정도 알고 있지만 가상화로 인한 비용절감과 효율성은 무시할 수 없을 정도로 크다.

UC 버클리의 전산·전자공학 학부의 네트워크 관리자인 VM 웨어 사용자 프레드 아치볼드(Fred Archibald)는 “비용은 매우 중요하게 고려해야 할 사항”이라며, “장비실의 선반공간이 충분한지도 문제가 된다. 시스템에 필요한 서버를 모두 운용할 충분한 전력과 에어컨 설비를 갖고 있지 않다는 것도 문제이다. 따라서 여러가지 기능이 합쳐진 통합장비를 활용하는 것이 더 간단하다”고 말했다. 그러나 아치볼드는 “보안을 고려하지 않을 수 없다. 특히, 대학은 개방적인 네트워크를 가져야 하기 때문에 발생하는 대로 대처하는 방식을 가져야한다”고 지적했다.

가상화의 기본전제를 살펴보면 전혀 새로운 것이라고 할 수 없다. 운영체제의 가상사례를 만들어 비용과 휴대성을 높이는 이 시스템은 업계의 호응을 받으며 수년간 여러 형태로 개발됐다. 가상화의 원 개념은 본체에서 실제적인 연산이 이뤄지고, 그 결과가 터미널에 표시됐던 본체-워크스테이션 시절부터 도입돼 왔다. 멀티유저·시분할 모델이 본체 리소스의 사용을 극대화 시켰으며, 상당히 효율적인 시스템으로 평가받았다.

집중화된 멀티유저 체계는 VAX나 PDP 같은 미니 컴퓨터가 출현할 때까지 인기를 누려왔지만, 모든 연산 리소스가 사용자의 데스크탑에 있는 ‘PC의 시대’가 열리자 더 이상 필요하지 않게 됐다. PC 저장용량과 전력이 증가하자 사용자들은 더 많은 데이터를 PC에 저장했고, 침입자는 PC를 주된 공격목표로 삼았다.

이 때문에 사용자들은 하드웨어에 들어가는 비용과 전력비용을 절약하기 위해 실제 서버 숫자를 줄이면서 최근의 서버와 데스크탑을 가상화하는 방법을 고안해 낸 것이다. 분석회사인 기업관리협회(EMA)가 최근 발표한 연구보고서에 따르면 75%에 달하는 기업들이 어떤 형태든 가상화를 활용하고 있는 것으로 나타났다. 가상화는 이미 대세를 이루고 있다는 설명이다.

삼키기 어려운 알약

그러나 보안전문가들은 가상화의 개념이 수십년 동안 이어져 온 것이라고 해도 최근 사용자 모델로 비춰봤을 때는 비교적 새로운 것이고, 보안관계도 아직 완성되지 않았다고 주장하고 있다. 가상머신의 보안 모델에 대한 연구를 진행해온 크립토그래피 연구소(Cryptography Research)의 시니어 보안 엔지니어인 네이트 로손(Nate Lawson)은 “보안에 대한 문제는 사용자 모델에 달려있다고 지적했다.

서버 통합 프로젝트의 경우, 가상머신 사이에 방화벽이 없으므로 이 중 하나를 사용할 수 없는 상태가 되면 다른 쪽으로 침입이 가능해 진다. 두개의 가상머신을 같은 호스트에 다른 보안수준으로 올려놓는다면, 제대로 작동하지 않은 가상머신이 제 자리에서 사라지게 될 수도 있다.

로손은 “사용자들이 VM 웨어에 대한 안전분석을 제대로 하지 않기 때문”이라고 설명했다. 그러나 기업이 이런 일에 대해 말하는 것을 꺼리기 때문에 가상머신에 대한 침입사례 분석은 이제 겨우 걸음마 수준에 머물고 있다. 보안연구원들은 가상머신을 파괴하는 방법에 대해 활발하게 연구해 왔고, 몇 가지 방법은 꽤 주목을 끌기도 했다.

작년 라스베가스에서 열린 ‘블랙 햇 USA 브리핑’에서, 죠안나 루트코우스카(Joanna Rutkowska)라는 연구원은 자신이 연구해온 ‘블루 필(Blue Pill)’이라는 기술에 대해 설명한 바 있다. 가상머신 루트킷이라고 잘못 알려진 블루 필은 스스로를 호스트에 설치한 후 리소스의 배정과 다양한 가상 OS 단계를 조절하는 하이퍼바이저의 역할을 수행했다.

어드밴스드 마이크로 디바이스의 64 배트 칩스 내의 SVM/Pacifica 가상화 기술을 사용한 블루 필은, 타깃 시스템을 재시동 하지 않아도 가능하며, 시스템 리소스 상 눈에 띄는 장애도 없기 때문에 감지하기가 꽤 어렵다. 네이트 로손은 “블루 필은 아직 기본형태에 불과하지만, 실제상황에서 사용된다면 엄청난 파괴력을 가질 것”이라며 “연구원들이 일단 이를 이해한다면 더욱 많이 사용하게 될 것”이라고 말했다.

마이크로소프트와 미시간 대학교 출신 연구원들은 작년에 출시한 논문을 통해 가상머신 하이퍼바이저의 아래에 자리잡고 있는 가상머신의 활동을 관찰하고 기록하기 위해 서브버트라는 이론적인 가상머신 루트킷을 설명하기도 했다. 서브버트는 지금 시점에서는 단지 개념을 증명한 단계에 머물고 있지만, 보안연구원들은 이미 업계에는 널리 알려진 것이다.

데니스 모로(Moreau)는 “가상머신의 특성과 활용방식 때문에, 가상머신이 데이터 센터 내의 중요한 서버인 임무 조정자로 사용되고 있을 경우, 고장이 나면 엄청난 문제를 일으킬 수 있다”며 “게스트 OS와 응용 프로그램 밑에 숨어 있는 가상머신 루트킷은 위협이 되고 있지만, 이를 고치기 위해 가상 서버 전체를 재부팅하기는 어려운 일”이라고 말했다.

판매자의 마당에 놓인 공

그렇다면 가상머신을 통제하기 위해 기업의 IT 부서가 할 수 있는 것은 무엇일까? 관리자들이 마음대로 사용할 수 있는 중요하고도 기초적인 방법 중 하나는 그룹화이다. 윈도우 환경에서 관리자들이 가상머신의 설치를 막기 위해 그룹화 방침을 세운다면, 개발자와 시험자, 그리고 기술적으로 숙련된 사용자들이 불법 가상머신으로 고민하지 않아도 된다.

하지만 윈도우 그룹화를 하면 윈도우 기계에만 적용돼 VM 웨어·젠을 비롯한 가상머신 응용 프로그램에서 실행되는 불법가상머신을 막을 수 없다는 한계가 있다. 또한, 그룹화는 NET 체계나 매크로 내의 코드 실행에는 적용되지 않고, 사용자가 네트워크 상에 가상머신과 함께 먼저 설치된 새로운 구획 설치를 막을 수 없다.

가상머신을 통제하는 것은 판매자의 몫이다. 가상화의 기술이 복잡하기 때문에 관리자들은 가상머신 실행방식에 변화를 주는 것은 피하고, 가상화 소프트웨어나 실행시스템 자체의 보안에 의지하게 된다.

EMA의 분석가인 앤디 만(Andi Mann)은 “판매자는 가상화 제품보안에 거의 주의를 기울이지 않는다”며 “일반적으로 대부분의 사람이 보안이나 관리에 대해 고려하지 않는 것은 심각한 문제”라고 말했다. 그는 “보안에 대해 생각하는 사람은 바이러스나 다른 위해 프로그램을 만드는 사람들”이라고 지적하며, “기존의 하드웨어에 방어장치가 없다면 서버에 많은 문제가 생기게 된다.

가상머신은 매우 위험한 상황에 노출돼 있지만, 대부분의 사람들은 신경 쓰지 않는다”고 강조했다. 그러나 VM 웨어 관계자들은 하이퍼바이저를 사용하면 서버 가상화의 보안이 증대된다고 반박한다. VM 웨어의 제품 솔루션과 마케팅담당 부사장인 라구 라구람(Raghu Raghuram)은 “운영체계를 잘 분리하면 보안이 좋아진다. 특화된 하이퍼바이저는 보안성을 높여준다”며, “우리의 가상머신은 네트워크를 통해서만 정보를 전달하고 하나의 가상머신 내에서 일어나는 일은 다른 것으로 퍼지지 않는다”고 말했다.

VM 웨어 제품에는 가상머신 인프라 스트럭처 남용을 방지하기 위해 설계된 몇 가지 특징이 있는데, 여기에는 어떤 가상머신이 DoS 공격을 방지하기 위해 사용할 수 있는 리소스의 분량을 제한할 수 있는 기능이 있다. 이는 소비자들이 만들어 놓은 보안방침을 토대로 가상머신의 파기일자를 지정하고 접근장치를 끄는데 사용될 수 있다.

선 마이크로시스템스는 사용자가 가상화를 지원하기 위한 운영체계를 더 쉽게 이용하도록 설계된 솔라리스에 몇 가지 변경사항을 만들었다. 이 회사는 실행 프로그램이 각 응용 프로그램에 할당된 어드레스 스페이스를 검사할 수 있도록 하는 별도의 보안 층을 솔라리스 내에 추가했다. 소비자가 버퍼 오버런 침입을 방지하기 위해서 ‘실행불가’ 구역을 메모리 내에 만들도록 허용하도록 하는 것이다.

Think Thin

가상화에 대해 소규모 판매자는 물론, Sun, IBM, Novell 등 가상화 소프트웨어와 서비스를 판매하는 대규모 사업체에서도 큰 관심을 갖고 있다. 가상화 시스템의 대부분은 서버통합 프로젝트의 일부로 데이터센터 내에 있다. 그러나 전문가들은 시스템을 사용하는 사람들이 스파이웨어나 바이러스에 주의를 기울이지 않아 문제가 발생하는 기관이 더 많아질 것이므로 빠른 시일 안에 변화가 있어야 한다고 예상하고 있다.

썬과 IBM은 소비자가 데스크탑 상에서 씬 클라이언트를 사용할 수 있도록 잘 설계된 아키텍처와 후부에 가상화된 서버 리소스를 가지고 있다. 이러한 아키텍처는 씬 클라이언트가 데이터를 갖고 있지 않는 대신, 클라이언트 머신이 사용자를 데스크탑 이미지로 접근시키는데 서버에 구축된 터미널 보다 조금 더 낫기 때문에 보안이라는 측면에서 전문가나 사용자로부터 긍정적인 평가를 받고 있다. EMA 연구결과에서도 52%의 기업이 가상화 보안인증을 메인드라이버로 결정한 것으로 나타났다.

IBM 글로벌 서비스 엔드유저 서비스 그룹의 CTO인 패트리샤 볼튼(Patricia Bolton)은 “씬 클라이언트를 활용하는 데 있어 엔드 포인트 데이터를 세밀하게 조절하는 것이 가장 중요한 보안상의 이유”라며, “그러나 이 구성에는 엔드 포인트 데이터가 없다. 많은 사업들이 기관내부에서 민감한 데이터가 확산되는 것을 염려하고 있기 때문”이라고 말했다.

그는 “기업들은 랩탑이 도난당했다는 소식을 들으면 걱정거리가 커진다. 많은 기관들이 최근 수년간 IT 내에서 노동비용을 제거했으므로, 이제는 다른 곳에서 비용을 절감해야 한다”며, “엔드 포인트 사용자들을 지원하는 데에는 비용이 많이 든다. 단지 이동편이성을 위해 랩탑을 교체하는 것은 좋지 않다”고 말했다.

대부분 기업들의 가상화 노력은 주로 서버에 초점을 맞추고 있다. EMA의 연구결과, 5%의 기업만이 데스크탑 가상화를 활용하고 있는 것으로 나타난다. 서버 가상화로 인한 혜택은 무수히 많지만, 대부분의 기업에게 매력적인 것은 운영체계의 다수 인스턴스를 수용하도록 하나의 실제적인 서버를 사용하거나 다수의 다른 운영체계를 작동하는 것이다.

이런 활용방식 안에서, VM 웨어와 ESX 서버 같은 응용 프로그램은 서버의 호스트 OS처럼 활동하고 있으며, 운영자는 다수의 다른 운영체계를 동일한 실제 서버에 로드할 수 있다. 각 OS는 RAM, NIC, CPU와 하이퍼바이저를 포함하는 고유한 전용 하드웨어 리소스를 지니고 있다.

이 구성을 통해 관리자들은 같은 머신 위에서 각 인스턴스를 다른 모든 것으로부터 분리·유지하면서, 사용하는 실제적인 서버의 수를 줄일 수 있는 능력을 제공받는다. 그런 기본적인 설계는 가상 머신 사이에서 데이터가 유출되는 것이나 하나의 가상 머신에서 다른 것으로 멀웨어가 건너 뛰어가는 것을 방지해 보안을 강화하는 것을 의미한다.

서버 가상화의 두번째 유형은 솔라리스나 리눅스 같은 OS를 사용해 관리층으로 활용하고 같은 OS의 다른 인스턴스들을 수용하는 것이다. 썬의 x64 시스템의 선임 이사인 그래함 로벨(Graham Lovelle)은 “보안은 사람들이 가장 중요하게 생각하는 것이 아니다. 비용을 줄인다는 점에서 가상화에 대한 관심이 높아지고 있다”며 “가상화의 견고한 시스템 때문에 위험요소가 존재한다. VM 웨어는 기업이 사용하는데 준비가 됐다는 것이 증명됐지만, 가격이 상승하는 소프트웨어를 구매하는 것은 어려운 일”이라고 말했다. 그는 “사람들은 다수의 운영체계를 수용하는 층을 공격하기 때문에 가상화에 대한 공격은 더 눈에 띄지 않는다”며, “침입이 더 증가할 것이라고 예상한다”고 말했다.

<글: 데니스 피셔>

[월간 정보보호21c 통권 제77호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)