클라우드 보안 아키텍처: 접근·데이터·워크로드를 함께 보호하는 방법

클라우드 보안은 여러 보호 지점을 연결하는 일이다

클라우드 환경에서는 사용자와 서비스 사이의 접근 경로, 데이터 이동, 워크로드 실행 환경, 인프라 설정이 모두 보안 대상이 된다. 온프레미스 중심의 경계 보안만으로는 이 지점을 충분히 다루기 어렵다.

따라서 클라우드 보안은 단일 제품을 선택하는 문제가 아니라, 각 기술이 맡을 보호 범위를 정하고 다층 방어 구조로 묶는 일에 가깝다.

CASB로 클라우드 서비스 이용을 통제한다

CASB(Cloud Access Security Broker)는 클라우드 서비스 이용자와 제공자 사이에서 보안 정책을 적용하고 사용 현황을 모니터링하는 솔루션이다. 승인되지 않은 클라우드 서비스 사용을 파악하고, 서비스별 데이터 접근과 이동을 통제하는 데 사용된다.

CASB가 다루는 기능은 다음과 같다.

클라우드 서비스 사용 현황에 대한 가시성 확보
규제 준수 관리
암호화와 접근 제어를 통한 데이터 보호
악성코드 차단과 비정상 행위 탐지

구현 방식은 트래픽을 CASB로 보내는 포워드 프록시, 클라우드 서비스로 향하는 트래픽을 다루는 리버스 프록시, 클라우드 서비스 API와 연동하는 방식으로 나뉜다.

한 금융 기관은 CASB를 도입해 직원의 승인되지 않은 클라우드 서비스 사용(Shadow IT)을 탐지하고, 중요 데이터가 외부 클라우드로 무단 이전되는 상황을 방지했다.

구독형 보안 운영 모델인 SECaaS

SECaaS(Security as a Service)는 클라우드 기반 보안 서비스를 구독 형태로 이용하는 모델이다. 보안 기능을 직접 구축하기보다 서비스로 사용하면서 초기 투자 비용을 줄이고, 구축과 확장에 필요한 부담을 낮출 수 있다.

이 모델은 지속적인 업데이트와 유지보수를 제공하며, 전문 보안 인력을 활용할 수 있다는 특성이 있다. 이메일 보안, 웹 보안, 취약점 관리, ID 및 접근 관리, SIEM(보안 정보 및 이벤트 관리)이 대표적인 서비스 유형이다.

제한된 IT 인력을 보유한 중소기업 A사는 SECaaS를 도입해 24시간 보안 모니터링과 최신 위협 대응 능력을 확보했다.

네트워크와 보안을 통합하는 SASE

SASE(Secure Access Service Edge)는 WAN 기능과 네트워크 보안을 클라우드 서비스로 통합한 아키텍처다. 분산된 지사와 재택근무 환경에서 일관된 정책을 적용하는 데 적합하다.

⤢✕

SASE에는 SD-WAN, CASB, SWG, ZTNA, FWaaS 같은 기능이 결합된다. 이를 통해 분산된 인력에게 같은 보안 정책을 적용하고, 네트워크 복잡성을 줄이면서 성능 최적화와 지연 시간 감소를 노릴 수 있다. 중앙화된 관리와 가시성도 SASE의 장점이다.

글로벌 제조 기업은 SASE를 도입해 전 세계 지사와 재택근무 직원에게 일관된 보안 정책을 적용하고 네트워크 성능을 향상시켰다.

실행 환경을 보호하는 CWPP와 CSPM

CWPP(Cloud Workload Protection Platform)는 가상 머신, 컨테이너, 서버리스 함수와 같은 클라우드 워크로드를 보호한다. 워크로드 검색과 가시성 확보, 취약점 관리, 런타임 보호, 컴플라이언스 모니터링, 마이크로세그멘테이션이 주요 기능이다.

보호 범위는 IaaS의 가상 머신과 인스턴스, PaaS의 컨테이너와 쿠버네티스 환경, 서버리스의 함수와 API에 걸친다. 전자상거래 기업은 CWPP를 통해 컨테이너화된 마이크로서비스 환경에서 실시간 위협 탐지 및 대응 체계를 구축했다.

CSPM(Cloud Security Posture Management)은 클라우드 인프라의 구성 오류를 지속적으로 검사하고 규정 준수 상태를 관리하는 솔루션이다. 구성 스캐닝, 위험 평가와 우선순위 지정, 컴플라이언스 모니터링, 자동화된 수정 조치, 보안 상태 시각화를 수행한다.

점검 대상에는 IAM 정책과 권한, 네트워크 구성, 데이터 스토리지 보안, 로깅 및 모니터링 설정, 암호화 적용 상태가 포함된다. AWS, Azure, GCP를 사용하는 금융 기관은 CSPM으로 모든 클라우드 환경의 규정 준수 상태를 자동 모니터링하고 구성 오류를 신속히 해결했다.

ZTNA는 애플리케이션 단위로 접근을 검증한다

ZTNA(Zero Trust Network Access)는 “신뢰하지 말고 항상 검증하라”는 원칙 아래 최소 권한 접근을 적용하는 보안 모델이다. 기본적으로 모든 접근을 거부하고, 접근 시도마다 검증하며, 디바이스·위치·시간 같은 맥락을 반영해 접근을 제어한다. 이 과정은 지속적인 모니터링과 함께 이뤄진다.

⤢✕

VPN이 네트워크 레벨의 접근을 제공한다면, ZTNA는 네트워크 접근 없이 애플리케이션 레벨 접근을 제공한다. 헬스케어 기업은 ZTNA를 구현해 의료 데이터 접근을 엄격히 제어하고, 인증된 사용자만 특정 애플리케이션에 접근하도록 했다.

웹과 데이터가 이동하는 경로를 지키는 기술

SWG(Secure Web Gateway)는 인터넷과 기업 네트워크 사이에서 웹 트래픽을 필터링하고 보안 정책을 적용한다. URL 필터링, 콘텐츠 검사, 데이터 유출 방지, 악성코드 탐지, SSL/TLS 트래픽 검사가 핵심 기능이다. 온프레미스 어플라이언스, 클라우드 기반 서비스, 하이브리드 방식으로 구현할 수 있다.

교육기관은 SWG를 도입해 학생의 웹 사용을 모니터링하고 유해 콘텐츠 접근을 차단했으며, 악성 사이트로부터 네트워크를 보호했다.

DLP(Data Loss Prevention)는 중요 데이터의 유출을 막기 위한 기술과 프로세스다. 엔드포인트 DLP는 사용자 장치의 데이터를, 네트워크 DLP는 전송 중인 데이터를, 스토리지 DLP는 저장 데이터를, 클라우드 DLP는 클라우드 환경의 데이터를 보호한다. 콘텐츠 인식과 분류, 정책 기반 제어, 모니터링과 보고, 사용자 교육과 알림이 주요 기능이다.

법률 회사는 DLP를 이용해 고객 정보가 포함된 문서가 무단으로 이메일로 전송되는 것을 방지하고, 모든 데이터 이동을 감사했다.

RBI(Remote Browser Isolation)는 웹 콘텐츠를 클라우드 또는 DMZ 같은 격리 환경에서 실행하고 렌더링된 화면만 사용자에게 전송하는 기술이다. 악성코드가 실행되더라도 격리 환경에 한정된다. HTML, CSS, JavaScript 코드를 재작성하는 DOM 기반 격리와 화면 이미지만 스트리밍하는 픽셀 기반 격리가 있다.

금융 서비스 기업은 RBI를 도입해 직원이 안전하게 웹을 탐색하도록 하고, 피싱 공격과 드라이브-바이 다운로드 위협을 크게 줄였다.

CDR(Content Disarm and Reconstruction)은 파일 안의 잠재적 위협 요소를 제거한 뒤 안전한 버전으로 재구성하는 기술이다. 파일을 분석하고 분해한 다음 악성 요소를 식별·제거하고, 안전한 파일로 다시 구성해 사용자에게 전달한다. 문서 파일(PDF, MS Office 등), 이미지 파일, 이메일 첨부 파일, 압축 파일이 지원 대상이다.

정부 기관은 CDR을 사용해 외부에서 수신한 모든 문서를 자동으로 재구성하여 제로데이 공격과 알려지지 않은 위협으로부터 보호했다.

보호 계층을 하나의 아키텍처로 묶기

접근 통제, 데이터 보호, 워크로드 보호, 서비스 모니터링은 서로 다른 기술이 맡지만 독립적으로 운영되면 관리 공백이 생길 수 있다. SWG와 ZTNA는 경계 보안을, DLP와 CDR은 데이터 보안을, CWPP와 CSPM은 워크로드 및 인프라 보안을, CASB는 클라우드 서비스 접근 제어를 담당한다. SASE는 네트워크와 보안 기능을 통합하는 기반이 된다.

⤢✕

운영 환경에 맞춰 검토할 조건

하이브리드 또는 멀티 클라우드 환경에서는 여러 클라우드에 일관된 보안 정책을 적용할 수 있어야 한다. 산업별 규제와 국가별 법규에 대한 컴플라이언스 요구사항도 함께 확인해야 한다.

여러 솔루션을 도입할수록 통합과 관리의 운영 복잡성이 커진다. 비즈니스 성장에 따라 보안 솔루션을 확장할 수 있는지, TCO(총소유비용)와 ROI가 적절한지, 운영을 담당할 내부 역량을 갖췄는지도 아키텍처 선택의 조건이 된다.

클라우드 보안은 기술적 솔루션만으로 끝나지 않는다. 정책, 프로세스, 인력을 포함해 보호 체계를 구성하고, 지속적인 모니터링과 개선으로 변화하는 위협 환경에 대응해야 한다.