정보보안을 위한 망분리 기술

[CCTV뉴스=최형주 기자] 인터넷이 생긴 이유는 정보를 공유하기 위함이다. 정보를 교환한다는 것은 상대방의 컴퓨터에 접속한다는 뜻이며, 반대로 상대방도 내 컴퓨터에 접속할 수 있도록 허용한다는 것이다.

그런데 여기서 문제가 생긴다. 상대가 범죄자, 그러니까 해커라면 내 정보는 상대에 의해 악용될 수 있다. 그리고 이러한 정보 보호 문제를 해결하고자 등장한 것이 바로 ‘망분리’다.

‘망’의 탄생

망분리는 외부 인터넷망을 통한 불법 접근과 내부 정보 유출을 차단하기 위해 업무망과 외부 인터넷망을 분리하는 ‘망 차단 조치’이며, 말 그대로 망을 분리하는 기술이다. 이는 정부·지자체·학교·공공기관·군대 등에서 흔히 사용되는 ‘인트라넷’을 뜻하고, 오직 조직 내에서만 사용 가능한 ‘사내 인터넷망’ 시스템을 이야기한다.

최초의 망은 1969년 미국 국방부 산하의 고등 연구국(ARPA)이 ‘핵전쟁에서도 살아남을 수 있는 정보교환 망’을 설계하면서 탄생했다. 미국의 로스엔젤레스 대학교-스탠퍼드 연구소-캘리포니아 대학교-유타 대학교까지 4곳이 망을 통해 연결되며 최초의 인터넷이자 인트라넷인 ‘ARPANET’이 세상에 모습을 드러냈다.

최초의 기업 인트라넷 망이 설계된 것은 1994년 썬 마이크로시스템(Sun MicroSystems)에 의해서다. 당시 컴퓨터 워크스테이션 공급업체였던 썬 마이크로시스템은 인터넷에 제공할 수 없는 내부 정보에 대한 접속 서비스를 제공하기 위해 인트라넷 개발을 시작했다.

우리가 본격적으로 인트라넷을 사용하게 된 것은 1996년 프론티어 테크놀로지스(Frontier Technologies Corp)가 기업 내부 네트워크에서 인터넷 연결 네트워크를 운영할 수 있는 최초의 시스템, ‘인트라넷 지니(Intranet Genie)’를 제공하면서부터다. 이후 인트라넷은 세계 곳곳으로 퍼져나간다. 세계 각국의 정부 기관 및 지자체, 군대는 물론이고 민간과 기업에서도 인트라넷을 구축한다. 

인트라넷의 대표적인 예로는 북한의 ‘광명망’을 들 수 있다. 북한은 중앙 당국의 자체 검열을 위해 북한의 국민들에게 우리가 사용하는 인터넷 대신, 인트라넷 수준의 광명망을 보급한다. 북한 사람들은 이 광명망을 통해 온라인 게임, 문자메시지, 통화 등 다양한 서비스를 이용할 수 있다고 한다. 물론 이를 사용할 수 있는 사람은 소수에 불과하지만 말이다.

기업 망분리가 필요한 이유

2017년 150개국 20만 대 이상의 PC를 감염시킨 랜섬웨어 ‘워너크라이’ 사태는 망분리의 필요성을 역설하기에 아주 좋은 예다. 당시 워너크라이는 감염 PC 이용자에 문서·사진 파일 등을 담보로 300달러 수준의 비트코인 입금만을 요구했지만, 스페인·러시아·영국 등 세계 각국의 기업·정부·지자체 등이 워너크라이로 각종 업무가 마비되는 막대한 피해를 입었다.

이렇게 세계 각국이 워너크라이에 피해를 입은 이유는 바로 망에 연결돼 있기 때문이다. 워너크라이 이전, 그리고 현재 우리가 알고 있는 랜섬웨어들에 감염되려면 악성 파일 다운로드와 해당 파일의 실행이 전제된다.

그런데 워너크라이는 SMB(Server Message Block)라는 취약점을 이용했고, 이를 통해 ‘인터넷에 연결만 돼 있어도’ 감염될 수 있는 전대미문의 랜섬웨어가 탄생했다. 그러나 만약 당시 워너크라이에 감염됐던 기업과 기관들이 철저하게 망을 분리해 업무망과 인터넷망의 직접적 접속을 차단했다면 150개국 20만 대 이상이라는 전례없는 규모의 랜섬웨어 감염 사태는 없었을 것이다.

랜섬웨어가 담긴 악성 파일 공격은 현재도 꾸준히, 지속적으로 이뤄지고 있다. 특히 최근엔 ‘사회공학적 기법’을 통해 첨부파일을 열어보지 않을 수 없게 만드는 정교한 공격 방식이 사용되고 있다. 이에 기업들은 서버까지 장악 당하는 최악의 경우를 피하기 위해 망 분리를 구축하고 있는 상황이다.

공격할 경로가 없는 ‘물리적 망분리’

망분리는 크게 ‘물리적 망분리’와 ‘논리적 망분리’로 나눌 수 있고, 물리적 망분리는 컴퓨터 2대를 이용하는 방법과 1대를 이용하는 망분리로 나뉜다. 논리적 망분리는 서버 기반 논리적 망분리와 PC 기반 논리적 망분리로 나눌 수 있다. 이 중 물리적 망분리에 대해 먼저 알아보자.

별도의 망을 구축하는 물리적 망분리는 회선을 근본적으로 분리하고 망 간 접근경로를 차단해 악성코드 감염, 해킹, 개인정보 유출 등의 데이터 이동 경로가 없는 높은 보안성을 가지고 있다. 하지만 데이터 이동에 제약이 생겨 업무 효율성이 저하되며, 추가 비용이 들어간다는 단점이 있다.

물리적 망분리의 적용 방식에는 인터넷용과 업무용 2대의 PC를 이용하는 방법과 1대의 PC를 사용하되 ‘망 전환 장치’를 이용해 망을 분리하는 방법이 있다. 2대의 컴퓨터를 이용하는 망분리는 업무망과 인터넷망 간의 접근 경로가 물리적으로 차단된다. 보안성은 굉장히 높으나 별도 네트워크를 구축해야 하고, 컴퓨터를 추가로 구매해야 한다. 이 경우 망 구축 비용이 증가하고 이를 따로 관리해줘야 하기 때문에 기업의 부담이 증가하게 된다.

1대의 컴퓨터를 이용하는 망분리는 하드디스크, IP주소 등의 정보처리 자원과 네트워크 연결자원을 분할한 컴퓨터를 사용한다. 여기에 망 전환 장치를 이용해 인터넷망과 업무망에 선택적으로 접속할 수 있다. 이 방법 역시 인터넷망과 업무망이 물리적으로 차단되지만 망 전환 시 재부팅이 필요하게 되는 등의 이용자 불편의 문제점이 있다.

물리적 망분리를 적용 시 보안 관리를 위해서는 ▲비인가 디바이스(랩톱, 스마트폰 등)의 업무망 연결 통제 ▲업무망 컴퓨터의 IP변경 혹은 인터넷용 랜 케이블 연결 등을 통한 인터넷망 연결 차단 ▲업무망 컴퓨터의 테더링 등 망분리 우회 등을 통한 인터넷 사용 차단 ▲2개 랜카드를 사용한 업무망과 인터넷망의 동시연결 차단 ▲업무망과 인터넷망 사이 자료 전송 시 망 연계 시스템과 보안 USB를 사용 ▲프린터 등 주변기기에 업무용, 인터넷용 분리 운영 등의 방법을 적용할 수 있다.

컴퓨터 안의 컴퓨터, ‘논리적 망분리’

논리적 망분리는 가상화 기술을 이용해 서버 또는 컴퓨터를 가상화한다. 조금 쉽게 말해 내 컴퓨터 안에 가상의 컴퓨터를 한 대 더 구축하고, 구축된 가상 컴퓨터에서만 특정 망에 접속할 수 있게 한다.

이 방식은 다양한 방법을 통해 망을 분리할 수 있는데, 가장 대표적인 방법은 서버 기반 망분리(Server Based Computing, SBC)와 컴퓨터 기반 논리적 망분리(Client Based Computing, CBC)다.

서버 기반 망분리는 가상환경을 서버에서 구축하는 방식이다. 인터넷 접속, 업무 수행 등 기존 작업을 가상화 서버나 터미널 서버 등에 접속해 수행한다. 이때 사용되는 가상환경은 윈도우·리눅스 등 운영체제 레벨에서 제공되는 ‘VDI(Virtual Desktop Infrastructure)’와 특정 애플리케이션에 가상환경을 제공하는 ‘애플리케이션 가상화’ 방식으로 구분된다.

여기서 VDI란 물리적으로 존재하지 않지만 컴퓨터 안에 또 한 대의 컴퓨터를 만드는 기술로, 데이터센터의 서버를 가상 컴퓨터의 본체로 활용한다. 애플리케이션 가상화 방식은 오피스, 포토샵 등의 애플리케이션을 일일이 PC에 설치하지 않고 사용할 수 있는 실행파일로 만드는 기술이다.

컴퓨터 기반 논리적 망분리는 가상환경을 이용자의 컴퓨터로 구축해 사용하며, 운영체제 레벨에서 가상환경을 제공하는 OS레벨 가상화 방식이다. 이 방식은 컨테이너 기술로도 알려져 있는데, 특정 애플리케이션을 구동할 경우 그 환경을 가상화를 통해 격리하는 것을 말한다.

결론적으로 논리적 망분리는 가상화 환경에 인터넷망을 구축하거나 업무망 하나를 구축하고, 사용자 컴퓨터 환경엔 가상화 환경과 다른 망을 구축하는 것이 핵심이다. 이때 중요한 것은 컴퓨터 이용 목적에 따라 각각의 환경에 구축되는 망이 달라야 한다는 것이다.

예를 들어 개인정보와 같은 데이터베이스를 관리하는 컴퓨터에서는, 인터넷 망이 가상화 영역이어야 악성코드를 다운받더라도 실제 컴퓨터엔 영향이 없어 개인정보를 안전하게 보호할 수 있다. 또한 이용 컴퓨터가 공용 PC라면 컴퓨터 기반 망분리를 사용해 악성코드가 공용 PC에 침투해도 서버까지는 침투할 수 없게 만들 수 있다.

하지만 논리적 망분리는 완전한 분리가 아닌 만큼, 물리적 망 분리와 비교해 보안성에선 상대적으로 떨어진다. 같은 망분리지만 결국 인터넷망과 업무망이 한 대의 PC에서 동시에 쓰이기 때문이다. 따라서 이 방식을 적용할 때는 가상화 기술과 관련된 보안 위협들을 충분히 검토해보고 대책을 수립해야 한다.

논리적 망분리를 위해 고려해야 할 점은 ▲가상화 기술 자체의 취약점 확인 및 조치 ▲업무망과 인터넷망 간의 자료 전송 방법 ▲외부 이메일 통한 악성코드 유입 및 개인정보 유출 차단을 위한 인터넷용 메일 시스템 도입 ▲망분리 설정 오류 등으로 인한 인터넷망과 업무망의 접점 또는 우회 경로 차단 ▲동일한 네트워크 구간에 위치한 망분리 미적용 컴퓨터에 의한 침해 대책 마련 ▲비가상화 영역(로컬 컴퓨터) 침해가 가상화 영역으로 이어질 수 있는 가능성 검토와 대책 마련 등이다.