[CNAPP ①] 멀티 클라우드 시대, '통합'으로 향하는 보안

오픈AI ‘챗GPT’로 생성한 이미지

[아이티데일리] 클라우드 환경이 복잡해지며 보안에 대한 부담도 커지고 있다. 클라우드 서비스 제공업체(CSP)를 여러 곳 사용하는 ‘멀티 클라우드’가 확산하면서 운영 효율은 낮아졌고 위협 대응은 한층 까다로워졌다. 이러한 흐름 속에서 클라우드 보안 전반을 아우르는 ‘CNAPP(Cloud Native Application Protection Platform)’이 대안으로 떠오르고 있다.

시장은 아직 초기 단계이다. 보안업계는 CNAPP을 강조하고 있으나 고객은 설정 점검 등 일부 기능에만 관심을 보이는 상황이다. 업계 관계자들은 CNAPP이 시장에 안착하려면 개발·운영·보안이 하나로 연결되는 업무 체계 개편이 필요하다고 입을 모았다. 개화 단계에 들어선 국내 CNAPP 시장의 현황과 한계를 짚어 본다.

[CNAPP ①] 멀티 클라우드 시대, ‘통합’으로 향하는 보안

[CNAPP ②] 시장 형성 초기…조직·제도 한계에 더딘 확산

클라우드 전환 더불어 보안 요구도 바뀌어

클라우드 시장은 이제 성숙기에 들어섰다. 과거 ‘인터넷’처럼 혁신의 상징으로 인식된 클라우드는 이제 IT 환경을 이루는 토대로 자리매김했다. 비교적 규제가 심한 금융권과 공공부문에서는 클라우드 전환이 더디지만 민간 기업들의 클라우드 전환은 빠르게 이루어지고 있다. 일반 기업 중에서는 인프라 전반을 클라우드로 구현한 곳도 눈에 띈다.

클라우드가 기본 인프라로 자리 잡으며 보안 방식도 그에 맞춰 달라졌다. 클라우드는 직접 서버를 구축하는 온프레미스(On-premise)와 달리 동적이다. 필요에 따라 자원을 늘리거나 줄일 수 있는 구조가 특징이다. 컨테이너, 워크로드 가상화 역시 이러한 특성을 바탕으로 확산했으며, 소프트웨어 개발 속도를 높이고 운영체제(OS) 호환 같은 문제를 줄인다는 점에서 널리 쓰이고 있다.

온프레미스와 클라우드의 차이 (출처=안랩)

유연한 구조는 개발과 운영에는 도움이 되지만 보안면에서는 어려움으로 다가온다. 클라우드에서 자원 대부분은 인터넷과 연결돼 있으며 자산은 수시로 생성·삭제된다. 이 때문에 온프레미스에서 유효했던 ‘경계 보안’만으로는 클라우드에 올라온 자산을 파악하고 위험을 식별하는 데 한계가 있다.

쿠버네티스 기반 환경은 보안 관점에서 복잡성을 더한다. 컨테이너, 워크로드가 계속 변화하는 탓에 어떤 자원이 클라우드상에 있는지 파악하기 힘들다. 이는 보안 사고 발생 시 문제 지점을 추적하기 어려운 ‘블랙박스’ 현상으로 이어지기도 한다. 또 컨테이너 이미지 내 취약점이나 권한 설정 오류 등 위험 요소가 개발부터 운영 단계 곳곳에서 발생할 수 있다. 클라우드 환경에 적합한 보안 솔루션이 요구되는 배경이다.

CNAPP, 설정 오류 진단부터 악성코드 대응까지

CNAPP(Cloud Native Application Protection Platform)은 클라우드 환경에서 개발부터 배포, 운영에 이르는 애플리케이션 전 수명 주기를 보호하는 통합 보안 아키텍처다. 클라우드 전반에서 발생할 수 있는 위협을 하나의 흐름으로 관리하도록 여러 기능을 묶어 제공한다.

글로벌 시장 조사 기관 가트너는 CNAPP 개념을 처음 제시했다. 클라우드 네이티브와 ‘마이크로서비스 아키텍처(Microservice Architecture)’가 확산함에 따라 보안도 개별 솔루션 중심에서 벗어나야 한다고 봤다. 솔루션을 각각 운영하면 정책 불일치와 운영 비효율이 생겨나며 위협 대응 속도가 저하될 수 있기 때문이다.

CNAPP의 핵심 구성 요소 (출처=가트너)

CNAPP은 크게 △클라우드 보안 형상 관리(Cloud Security Posture Management, CSPM) △클라우드 워크로드 보호 플랫폼(Cloud Workload Protection Platform, CWPP) △클라우드 인프라 권한 관리(Cloud Infrastructure Entitlement Management, CIEM) 등으로 구성된다. CSPM은 설정 오류와 규정 준수 여부를 점검하고 CIEM은 사용자·서비스 권한을 관리하며 CWPP는 악성코드로부터 실행 환경을 보호한다. CNAPP은 이 솔루션을 통합된 체계로 연결하는 역할을 한다.

보안업계와 기업·기관이 CNAPP에 주목하는 이유는 운영 부담 때문이다. 여러 클라우드 서비스 제공업체(CSP)를 사용하는 ‘멀티 클라우드’가 부상하며 개별 솔루션을 통한 관리가 어려워졌다. 급증하는 컨테이너에 복잡한 권한·운영 구조까지 더해지며 클라우드 보안은 특정 지점만 방어해서는 해결할 수 없는 과제가 됐다.

팔로알토네트웍스코리아 박상규 대표는 “과거에는 설정 오류 관리를 위해 CSPM을, 실행 중인 워크로드 보호를 위해 CWPP를 별도로 도입했다”며 “이러한 접근 방식은 운영 복잡성을 높이고 보안 사각지대를 낳게 된다. CNAPP은 여러 기능을 결합한 플랫폼으로 일관된 정책과 가시성을 제공한다”고 말했다.

CSPM과 CWPP 간 차이점

클라우드 보안 형상 관리(CSPM)와 클라우드 워크로드 보호 플랫폼(CWPP)은 클라우드 보안을 이야기할 때 자주 언급되는 솔루션이다. CNAPP을 구성할 때도 두 솔루션은 중심을 이룬다. 하지만 솔루션이 지향하는 성격과 기능에서는 차이가 있다.

CSPM은 클라우드 환경 전반에 걸쳐 보안 위험이나 규정 준수 위반 여부를 모니터링하고 탐지하는 솔루션이다. 클라우드 운영 과정에서 설정 오류나 관리 실수는 보안 문제나 과다 비용 청구 등으로 이어지곤 한다. 여러 CSP를 멀티 클라우드로 이용하면 이러한 문제는 더욱 커진다. 조직은 보안 위험을 줄이고 운영 효율을 높이기 위한 해결책으로 CSPM을 선택하며, 특히 컴플라이언스에 민감한 금융권에서 큰 관심을 나타내고 있다.

CWPP은 클라우드상에 있는 데이터, 애플리케이션, 컨테이너 등을 보호하는 솔루션이다. 크게 △안티 멀웨어(Anti-Malware) △호스트 기반 침입방지시스템(IPS) △시스템 무결성 감시 △애플리케이션 제어 △호스트 기반 방화벽 등으로 구성된다. 접근 권한을 제어하고 악성코드를 탐지해 대응한다는 점에서 기존 온프레미스 보안과 결을 같이 한다.

CSPM이 클라우드의 현황을 점검하고 위험 요인을 알려준다면, CWPP는 실행 중인 컨테이너에서 악성 명령어를 차단하는 등 조금 더 적극적으로 탐지하고 이에 대응한다. 업체마다 강점을 지닌 역량은 다르지만 모두 이 두 솔루션을 연계해 가시성과 위협 대응을 강화하는 방향을 지향한다는 점은 공통된다.

멀티 클라우드 확산, CSP 기본 기능만으론 한계

국내 클라우드 보안 시장은 아직 CNAPP 전체를 도입하는 수준에 이르지 못했다. CSPM 등 개별 기능을 우선 적용하는 초기 단계에 더 가깝다. 금융권은 규제 준수와 자산 가시성 확보 수요를 중심으로 CSPM에 높은 관심을 보이고, 대기업은 멀티 클라우드 운영 부담을 줄이기 위한 통합 관리에 주목하고 있다.

클라우드 보안 시장은 세 개 축을 중심으로 돌아간다. 우선 아마존웹서비스, 구글 클라우드, 마이크로소프트 애저 등 CSP사와 특화 솔루션을 개발하는 보안업체로 나뉜다. CSP는 자사 인프라에 자체 솔루션을 기본 기능으로 지원한다. 보안업체들은 대신 CSP가 제공하지 못하는 세부 기능과 통합 관리 역량을 강조한다. 클라우드 관리 서비스 제공사(MSP)는 이 사이에서 클라우드 환경 구축과 함께 보안 솔루션을 공급하고 있다.

조직은 CSP가 제공하는 기본 보안 기능만으로도 운영할 수 있다. 특히 이들 제품은 각 환경에 최적화된 보안 설정과 보호 기능을 제공한다는 점에서 편리하다. 실제 기업 중에서도 별도 솔루션을 마련하지 않고 CSP가 제공하는 기본 기능으로 보안 체계를 운영하는 곳도 있다.

그럼에도 보안업계는 특화 솔루션 제공에 힘을 쏟으며 시장에서도 이를 활용하고 있다. 그 이유는 CSP가 제공하는 기능이 해당 인프라에 국한되기 때문이다. CSP마다 기능을 개별 제공하는 관계로 멀티 클라우드 환경에서는 각각의 콘솔을 운영해야 하는 문제가 발생한다. 이 같은 한계는 별도 보안 솔루션 도입 필요성으로 이어진다.

베스핀글로벌 강진하 실장은 “CSP의 보안 기능은 해당 클라우드 내에서는 훌륭하지만 멀티 클라우드 환경에서 전체 자산을 한눈에 파악하는 데 한계가 명확하다”며 “대부분 기업이 멀티 클라우드를 사용하는 현시점에서 CSP 도구를 따로 관리하는 것은 운영 자원 낭비로 이어진다”고 말했다.

클루커스 홍우영 사이버시큐리티센터장은 “개별 솔루션에 멀티 클라우드까지 더해지며 보안 팀은 수많은 알람을 확인해야 하는 문제에 직면했다. 보안 팀은 쌓이는 피로로 인해 보안 위험을 식별하는 데 어려움을 겪기에 이르렀다”며 “CNAPP 솔루션은 전체 환경을 하나의 콘솔에서 관리할 수 있어 가시성과 효율성을 향상한다”고 설명했다.