기존의 IAM(Identity and Access Management) 기술은 네트워크와 데이터센터가 온프레미스에 있고 경계에 의해 보호되는 모델을 전제로 구축됐다. 이 체계가 최근 클라우드 및 디지털 전환의 시대를 맞아 도전을 맞이하고 있다. 더 이상 물리적 경계는 존재하지 않는다. 기업의 컴퓨팅 환경은 여러 채널을 통해 내부와 외부와 연결되며 API가 다양한 기능과 서비스 그리고 데이터에 접근할 수 있는 통로 역할을 하고 있다. 여기에 여러 위치에서 다양한 모바일 장치가 쓰인다. 그렇다면 IAM은 급변하는 기업 컴퓨팅 환경에 어떻게 보조를 맞춰 진화해야 할까? 그 방향을 4회의 연재를 통해 알아본다<편집자>

1편: 변곡점에 도달한 엔터프라이즈 ID 및 액세스 관리

2편: 엔터프라이즈 컴퓨팅의 발전 방향을 따라 진화하는 IAM ‘사이트마인더’

3편: 하이브리드 클라우드 시대를 위한 권한 있는 사용자 관리 방안 ‘One PAM’

4편: 브로드컴의 시만텍 솔루션으로 완성하는 제로 트러스트 원칙!

서버 계정 관리 부실로 인한 대형 보안 사고가 터지던 시절이 있었다. 당시 많은 기업은 권한 있는 사용자(Privileged User) 특권 사용자의 중요성을 인지하고 PAM(Privileged Access Management) 솔루션을 도입하였다. PAM 솔루션 도입은 관리자 계정 관리에 새로운 지평을 열었다.

시스템 통합 방식으로 여러 도구와 솔루션 그리고 기존 환경을 연계해 중요 자원에 접근할 수 있는 권한 있는 사용자 계정은 안전하게 보호 및 관리되었다. 이 체계가 최근 한계를 드러내고 있다. 그 이유는 안으로는 프라이빗 클라우드로 바뀌고 있고 밖으로는 멀티 클라우드를 이용하는 ‘하이브리드’ 방식으로 IT 환경 운영 전략이 바뀌고 있기 때문이다.

클라우드 시대에 중요한 서버를 관리하는 권한 있는 사용자의 계정 이름, 비밀번호 및 권한 관리는 어려운 작업이다. 그 이유를 꼽아 보자면 먼저 점점 더 많은 조직이 클라우드로 이전함에 따라 권한 있는 계정 수가 증가하고 있다. 시스템 관리자, 데이터베이스 관리자, 네트워크 엔지니어, 보안 운영자, 감사 담당자, 개발자가 이제는 온프레미스를 넘어 클라우드에도 존재하다 보니 생긴 현상이라 볼 수 있다.

클라우드 전환이 가속화되면서 사용자 이름, 비밀번호, 권한 관리는 점점 더 어려운 과제로 다가오고 있다. 이게 왜 문제일까? 클라우드 환경은 복잡하기 때문에 권한 있는 사용자를 추적하고 관리하기가 어렵다 보니 자격 증명 탈취나 도용으로 인한 무단 액세스의 위험이 높다. PAM 솔루션을 구축한 사내와 달리 클라우드 환경은 무단 액세스의 표적이 되기 쉽다. 이것은 사실 매우 큰 위험으로 봐야 한다.

사이버 킬체인(Cyber Kill Chain)에서 권한 있는 사용자 계정 탈취는 매우 중요한 단계다. 공격자는 초기 침투를 위한 일반 사용자 계정의 자격 증명을 획득하기 위해 노력한다. 사용자 계정을 손에 넣은 다음 공격자는 조심스럽게 피해 조직 네트워크를 탐색하며 권한 있는 사용자 계정을 노린다. 사이버 킬체인에서 이 단계를 측면 이동이라고 하는데, 이 과정에서 특권 사용자 계정을 손에 넣으면 게임 끝이다. 공격자는 중요 데이터 탈취 같은 목표 달성을 코 앞에 두게 된다.

하이브리드 멀티 클라우드 시대에 대응하려면 기존 PAM의 변화가 필요하다. PAM을 바라보는 시각 그리고 기술 스택 구성 등 총체적으로 변화를 고려해야 한다. 기존 환경부터 소프트웨어 정의 기반 환경 그리고 클라우드까지 아우르는 특권 권한 계정 관리 방식을 정의하면 다음 그림과 같다. 개념을 도식화하기는 쉽지만 실제 구현하는 것은 이야기가 다르다. 일반적으로 기업의 PAM 환경은 시스템 통합 측면에서 복잡하게 구성되어 있다.

시스템 통합 측면에서 PAM 플랫폼을 커스터마이징하면 조직의 요구 사항 및 기존 환경과의 통합 측면에서 유리할 수 있다. 하지만 여러 기술 스택과 운영의 복잡성이 증가한다는 문제가 있다.

하이브리드 멀티 클라우드 시대에 특별한 권한을 가진 관리자 계정을 위한 PAM 체계를 갖추는 지름길은 복잡성을 줄이는 것이다. 복잡성을 낮추기는 쉽고 빠른 방법은 커스터마이징 요건과 투입 솔루션을 최소화하는 것이다. PAM 전략을 시대에 맞게 바꿀 수 있도록 브로드컴의 시만텍은 One PAM 전략을 제시하고 있다. One PAM은 개발 제품이던 PAM과 PAM-SC(Privileged Access Management Server Control)를 하나로 묶은 것이라 이해하면 된다.

PAM 4.0 출시와 함께 브로드컴의 시만텍은 PAM과 PAM-SC 제품을 One PAM 솔루션으로 통합했다. 보호할 서버에 PAM-SC 에이전트를 계속 배포해야 하지만 이러한 에이전트와 해당 정책은 PAM 어플라이언스 사용자 콘솔을 통해 구성할 수 있다.

PAM과 PAM-SC는 모두 특권 계정 관리를 위한 솔루션이지만, PAM-SC는 PAM에 시큐어OS(SecureOS) 기능을 추가하여 더 강력한 보안 기능을 제공한다. 자세히 살펴보자면 PAM은 중요한 관리 자격 증명을 보호하고, 권한 있는 사용자 액세스를 제어하고, 보안 정책을 사전에 시행하고, 가상, 클라우드 및 물리적 환경에서 권한 있는 사용자 활동을 모니터링 및 기록하여 보안 위반을 방지하도록 설계되었다.

4.0 릴리스 이후 One PAM으로 거듭나면서 서버 제어 에이전트를 통해 리눅스를 비롯한 서버에서 운영체제 수준 액세스 및 권한이 있는 사용자 작업에 대해 지역화된 세분화된 보호 기능까지 단일 솔루션으로 이용할 수 있게 되었다. 중앙에서 관리되는 작업 위임 및 플랫폼별 소프트웨어 제한을 사용하는 PAM-SC 에이전트는 파일, 디렉터리 및 리소스별 커널 수준 제어, 레지스트리 보호 및 기타 지역화된 세분화된 제어를 제공하여 높은 수준을 보장한다.

특권 권한을 가진 사용자 계정 관리 역시 대세는 제로 트러스트다. 제로 트러스트 아키텍처는 조직이 경계 안팎의 모든 것을 자동으로 신뢰해서는 안 된다는 믿음에 기반한다. 이런 믿음을 실행으로 옮기려면 조직 경계 안팎의 모든 것을 자동으로 신뢰해서는 안 되며, 리소스에 연결하려는 모든 것을 신원 및 컨텍스트에 따라 리소스에 연결하려는 모든 것을 신원, 컨텍스트 및 신뢰성을 기반으로 검증해야 한다는 원칙을 따라 구현해야 한다.

브로드컴의 시만텍은 One PAM, 시만텍 VIP, 레이어7 API 매니지먼트 등 여러 솔루션과 연계해 권한 있는 사용자를 위한 제로 트러스트 아키텍처를 완성할 수 있는 풀스택 라인업을 갖추고 있다.

다음 연재에서는 브로드컴 소프트웨어의 솔루션으로 완성하는 애플리케이션 및 권한 있는 사용자를 위한 계정 관리 모두를 제로 트러스트 원칙 아래 실행하는 방안을 알아보겠다.