새로운 리스크를 평가하고 대처할 때 제일 먼저 결정권자들의 이해 구해야
VPN을 통해서도 망분리를 최대한 구현해야...최소한의 권한만을 주는 것이 안전
[보안뉴스 문가용 기자] 직원들이 집으로 흩어짐에 따라 전통적인 구조로 일하던 많은 사람들의 머리가 아파지기 시작했다. 특히 조직과 관리 차원에서 인사부서, 총무부서, 재정부서의 부담이 심하다는 소식이 들려오고 있다. 그리고 그 모든 원격 인프라를 아틀라스처럼 짊어지고 있어야 할 IT 담당자들과 보안 담당자들이 느껴야 하는 중압감 역시 만만치 않다고 한다.
우리는 지난 수십 년 동안 좀비라는 가상의 팬데믹에 미쳐서 살아왔지만, 진짜 팬데믹이 터지니 우왕좌왕 아무런 준비가 되어 있지 않다는 것만 증명하고 있다. 윗분들이야 “직원들을 재택 근무 시키자”라고 말하면 끝이지만, 그 짧은 말속에 함축되어 있는 수많은 의미들을 직접 준비하고 실행해야 하는 건 IT와 보안 실무자들이다. 좀비 영화 볼 때는 재미있었는데, 실제로 재택 근무를 준비하라는 지시는 참 막막하다. IT와 보안 담당자들로서 우리는 정확히 무엇을 해야 하는가? 서비스가 멈추거나 사업 일부 기능이 마비되는 상황이 발생하지 않으려면 어떻게 해야 할까?
개념부터 설명하자면 코로나 바이러스에 대처하는 세계 보건 종사자들과 크게 다르지 않다. 바이러스 확산 그래프가 치솟지 않고 최대한 평평하게 가도록 만드는 것이 지금으로서는 당면 과제인 것처럼, IT와 보안 담당자들도 평소에 다루던 위험 요소들이 갑자기 치솟지 않도록 하는 것이 먼저다. 물론 새로운 체제로 빨리 돌입하고자 조직 차원의 압박이 거셀 것이다. 그러나 그 압박에 휘말리면 위험 그래프가 확 치솟을 가능성이 높다. 우리는 언제고 튀어오를지 모르는 위험 그래프를 마음 속에 항상 그려놓고 회사의 요구에 응해야 한다. 왜? 사고로 생기는 각종 상황과 충격이, 조직의 처리 능력을 웃돌면 안 되기 때문이다.
서두르지 않는다는 건 예를 들어 다음과 같은 질문을 스스로에게 하고 답을 구하는 것과 같다. 갑자기 1천 명이 외부에서 VPN으로 접속할 경우, 우리의 현재 인프라는 이를 처리할 수 있는가? 1천 명의 외부 근무자들 모두가 집에서 자기 컴퓨터와 장비들로 접속할 때 이중인증을 거치도록 할 수 있는가? 주요 관리직들을 위한 특별 로그인 전략을 우리는 보유하고 있는가? 개인 장비를 사용하는 게 안전한가? 회사 차원에서 업무 장비를 제공할 수 있는가? RDP 사용을 어느 선까지 허용할 것인가?
또 생각해야 할 건 이런 우리의 상황을 간파하고 있고, 기회를 호시탐탐 노리는 공격자들이다. 재택 인프라가 잘 돌아가도록 하는 것 외에, 새로워진 인프라의 틈을 파고들려는 자들을 멀리 떨어트려 놓는 것도 우리의 일이다. 어떻게 해야 할까?
먼저는 위험 관리를 해야 한다. 이건 결정권자들이나 최소 중간 관리자들의 지지 없이 IT 담당자 혼자서 할 수 없다. 먼저는 결정권자들과 솔직한 이야기를 나누는 것을 권한다. 현재 체제가 바뀜에 따라 어떤 위험이 있을 수 있는지, 또한 어떤 식으로 위험을 방비할 수 있는지를 차근차근 설명하라. 하룻밤 사이에 전 직원을 VPN으로 옮겼을 때 일어날 수 있는 일들이 무엇인지 알려주고, 지금 사업상 제일 급하게 이뤄내야 할 것이 무엇인지를 알림 받으라. 일의 우선순위를 함께 정하고 의논하라.
이렇게 해서 대화가 이뤄졌고 합의에 이르렀으면 실제 작업에 들어가야 한다. 사용하고 있는 VPN 취약점을 패치하는 것은 물론이요, 그 외 간과해왔던, 그러나 새로운 체제에서는 간과할 수 업는 약점들을 보완해야 한다. 특히 해커들이 익스플로잇 하기 쉬운 구멍들부터 막아야 할 필요가 있다. 다음과 같은 기본 및 필수 사항들을 중점으로 점검을 실시하라.
1) 모든 재난 대비 시나리오들과 마찬가지이지만, 안전을 위해 가장 중요한 기능들까지 마비시키면 아무 소용이 없다. VPN은 최대한으로 활용하면서 사업의 필수적인 부분들은 유지시켜야 한다. 또한 생산성을 발휘하는 데에 너무나 많은 불편을 초래해서도 안 된다. 사업 유지에 핵심적인 기능을 담당하는 사람들을 위주로 보안 점검과 인프라 마련을 시작하라. 이런 때 기계적 평등 마련하면 위험성이 높아진다.
2) 망분리는 여전히 유효한 방어책이다. VPN이 DMZ와 연결되도록 하고, 모든 자원과 시스템에 전부 접속할 수 있어서는 안 된다. 예를 들어 백엔드 데이터베이스의 경우, 모든 직원이 전부 집에서 접속할 수 있어야 하는 건 아니다. VPN 설정을 통해 망분리를 최대한 구현하는 것이 안전하다.
3) 한 사람 한 사람에게 최소한의 권한을 준다는 마음으로 작업하라. 마케팅 담당자가 원격 인프라에 온종일 매달려 있을 필요가 없고, 매번 네트워크의 깊숙한 곳까지 드나들 필요가 없다.
4) 가시성 확보에 특히 신경 써야 한다. 예를 들어 조직원 누군가의 크리덴셜이 도난당했을 가능성이 제기됐을 때 가시성이 미리 확보되었다면 빠르게 조치를 취할 수 있게 된다. 이것과 연결되는 건 ‘예상 위험 시나리오 마련’이다. 가시성이 잘 확보되어 있어도, 상황별 대처법이 미리 마련되어 있지 않다면 조치가 늦어질 수밖에 없다. 가시성과 위험 시나리오 확립은 함께 확보되어야 한다.
5) 집으로 가는 임직원들을 교육해야 한다. 새로운 리스크에 어떤 것이 있는지 알려주고, 집에서 근무하기 때문에 생길 수 있는 사고들에 대해 알려줘야 한다. 미리 내부인들만의 소통방법을 정해둬서, 동료인 척 위장한 공격자가 접근해 올 때 이상하다는 걸 눈치챌 수 있도록 하는 것도 현명하다.
글 : 데이비드 월포프(David Wolpoff), Randori
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
VPN을 통해서도 망분리를 최대한 구현해야...최소한의 권한만을 주는 것이 안전
[보안뉴스 문가용 기자] 직원들이 집으로 흩어짐에 따라 전통적인 구조로 일하던 많은 사람들의 머리가 아파지기 시작했다. 특히 조직과 관리 차원에서 인사부서, 총무부서, 재정부서의 부담이 심하다는 소식이 들려오고 있다. 그리고 그 모든 원격 인프라를 아틀라스처럼 짊어지고 있어야 할 IT 담당자들과 보안 담당자들이 느껴야 하는 중압감 역시 만만치 않다고 한다.
[이미지 = iclickart]
우리는 지난 수십 년 동안 좀비라는 가상의 팬데믹에 미쳐서 살아왔지만, 진짜 팬데믹이 터지니 우왕좌왕 아무런 준비가 되어 있지 않다는 것만 증명하고 있다. 윗분들이야 “직원들을 재택 근무 시키자”라고 말하면 끝이지만, 그 짧은 말속에 함축되어 있는 수많은 의미들을 직접 준비하고 실행해야 하는 건 IT와 보안 실무자들이다. 좀비 영화 볼 때는 재미있었는데, 실제로 재택 근무를 준비하라는 지시는 참 막막하다. IT와 보안 담당자들로서 우리는 정확히 무엇을 해야 하는가? 서비스가 멈추거나 사업 일부 기능이 마비되는 상황이 발생하지 않으려면 어떻게 해야 할까?
개념부터 설명하자면 코로나 바이러스에 대처하는 세계 보건 종사자들과 크게 다르지 않다. 바이러스 확산 그래프가 치솟지 않고 최대한 평평하게 가도록 만드는 것이 지금으로서는 당면 과제인 것처럼, IT와 보안 담당자들도 평소에 다루던 위험 요소들이 갑자기 치솟지 않도록 하는 것이 먼저다. 물론 새로운 체제로 빨리 돌입하고자 조직 차원의 압박이 거셀 것이다. 그러나 그 압박에 휘말리면 위험 그래프가 확 치솟을 가능성이 높다. 우리는 언제고 튀어오를지 모르는 위험 그래프를 마음 속에 항상 그려놓고 회사의 요구에 응해야 한다. 왜? 사고로 생기는 각종 상황과 충격이, 조직의 처리 능력을 웃돌면 안 되기 때문이다.
서두르지 않는다는 건 예를 들어 다음과 같은 질문을 스스로에게 하고 답을 구하는 것과 같다. 갑자기 1천 명이 외부에서 VPN으로 접속할 경우, 우리의 현재 인프라는 이를 처리할 수 있는가? 1천 명의 외부 근무자들 모두가 집에서 자기 컴퓨터와 장비들로 접속할 때 이중인증을 거치도록 할 수 있는가? 주요 관리직들을 위한 특별 로그인 전략을 우리는 보유하고 있는가? 개인 장비를 사용하는 게 안전한가? 회사 차원에서 업무 장비를 제공할 수 있는가? RDP 사용을 어느 선까지 허용할 것인가?
또 생각해야 할 건 이런 우리의 상황을 간파하고 있고, 기회를 호시탐탐 노리는 공격자들이다. 재택 인프라가 잘 돌아가도록 하는 것 외에, 새로워진 인프라의 틈을 파고들려는 자들을 멀리 떨어트려 놓는 것도 우리의 일이다. 어떻게 해야 할까?
먼저는 위험 관리를 해야 한다. 이건 결정권자들이나 최소 중간 관리자들의 지지 없이 IT 담당자 혼자서 할 수 없다. 먼저는 결정권자들과 솔직한 이야기를 나누는 것을 권한다. 현재 체제가 바뀜에 따라 어떤 위험이 있을 수 있는지, 또한 어떤 식으로 위험을 방비할 수 있는지를 차근차근 설명하라. 하룻밤 사이에 전 직원을 VPN으로 옮겼을 때 일어날 수 있는 일들이 무엇인지 알려주고, 지금 사업상 제일 급하게 이뤄내야 할 것이 무엇인지를 알림 받으라. 일의 우선순위를 함께 정하고 의논하라.
이렇게 해서 대화가 이뤄졌고 합의에 이르렀으면 실제 작업에 들어가야 한다. 사용하고 있는 VPN 취약점을 패치하는 것은 물론이요, 그 외 간과해왔던, 그러나 새로운 체제에서는 간과할 수 업는 약점들을 보완해야 한다. 특히 해커들이 익스플로잇 하기 쉬운 구멍들부터 막아야 할 필요가 있다. 다음과 같은 기본 및 필수 사항들을 중점으로 점검을 실시하라.
1) 모든 재난 대비 시나리오들과 마찬가지이지만, 안전을 위해 가장 중요한 기능들까지 마비시키면 아무 소용이 없다. VPN은 최대한으로 활용하면서 사업의 필수적인 부분들은 유지시켜야 한다. 또한 생산성을 발휘하는 데에 너무나 많은 불편을 초래해서도 안 된다. 사업 유지에 핵심적인 기능을 담당하는 사람들을 위주로 보안 점검과 인프라 마련을 시작하라. 이런 때 기계적 평등 마련하면 위험성이 높아진다.
2) 망분리는 여전히 유효한 방어책이다. VPN이 DMZ와 연결되도록 하고, 모든 자원과 시스템에 전부 접속할 수 있어서는 안 된다. 예를 들어 백엔드 데이터베이스의 경우, 모든 직원이 전부 집에서 접속할 수 있어야 하는 건 아니다. VPN 설정을 통해 망분리를 최대한 구현하는 것이 안전하다.
3) 한 사람 한 사람에게 최소한의 권한을 준다는 마음으로 작업하라. 마케팅 담당자가 원격 인프라에 온종일 매달려 있을 필요가 없고, 매번 네트워크의 깊숙한 곳까지 드나들 필요가 없다.
4) 가시성 확보에 특히 신경 써야 한다. 예를 들어 조직원 누군가의 크리덴셜이 도난당했을 가능성이 제기됐을 때 가시성이 미리 확보되었다면 빠르게 조치를 취할 수 있게 된다. 이것과 연결되는 건 ‘예상 위험 시나리오 마련’이다. 가시성이 잘 확보되어 있어도, 상황별 대처법이 미리 마련되어 있지 않다면 조치가 늦어질 수밖에 없다. 가시성과 위험 시나리오 확립은 함께 확보되어야 한다.
5) 집으로 가는 임직원들을 교육해야 한다. 새로운 리스크에 어떤 것이 있는지 알려주고, 집에서 근무하기 때문에 생길 수 있는 사고들에 대해 알려줘야 한다. 미리 내부인들만의 소통방법을 정해둬서, 동료인 척 위장한 공격자가 접근해 올 때 이상하다는 걸 눈치챌 수 있도록 하는 것도 현명하다.
글 : 데이비드 월포프(David Wolpoff), Randori
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
