초기 운영 중심에서 개발 영역까지 보호 영역 확대
국내도 시장 본격 개화…‘안랩 CPP’ 주목
[컴퓨터월드] 클라우드 환경을 보호하기 위한 보안 솔루션으로 ‘클라우드 워크로드 보호 플랫폼(Cloud Workload Protection Platform)’, 일명 CWPP 솔루션이 주목받고 있다. 클라우드 서비스 제공사(CSP)가 컴퓨팅, 스토리지, 데이터베이스, 네트워크 등 인프라 부문에 대한 보안을 책임지고는 있지만 데이터, 애플리케이션, 운영체제, 네트워크 및 방화벽의 설정 등에 대한 보안은 이용하는 기업·기관이 책임져야 하기 때문이다. CWPP 솔루션은 복잡한 하이브리드 및 멀티 클라우드 환경에서 관련 워크로드를 보호하며, 서버나 가상머신(VM) 뿐만 아니라 컨테이너 등 새로운 환경까지를 포함하는 가시성과 다양한 보안 기능을 제공한다.
클라우드 보안을 위한 필수 솔루션 ‘CWPP’
코로나19 팬데믹이 불러온 전 세계적인 변화에 적응하고자 디지털 전환(Digital Transformation)에는 한층 탄력이 붙었다. 특히 디지털 전환을 위한 첫걸음으로 꼽히는 클라우드는 2020년 이후 더욱 빠르게 도입이 확대되고 있다. 국내에서도 디지털 뉴딜 정책 등으로 인해 클라우드 시장이 예상보다 빠르게 커지고 있으며, 자연스럽게 클라우드 환경을 어떻게 보호할 것인가를 고민하는 조직들이 늘어나고 있다.
클라우드 보안 시장에서 떠오르고 있는 솔루션은 크게 △CASB(Cloud Access Security Broker, 클라우드 접근 보안 중개) △CSPM(Cloud Security Posture Management, 클라우드 보안 형상 관리) △CWPP(Cloud Workload Protection Platform, 클라우드 워크로드 보호 플랫폼) 등 3가지로 요약된다. 이 중 특히 CWPP는 애플리케이션 제어, 안티 멀웨어(Anti-Malware), 호스트 기반 침입방지시스템(HIPS, Host-Based Intrusion Prevention System) 등의 기능을 제공해 클라우드 보안을 위한 필수 솔루션으로 평가받고 있다.
운영에서 개발까지 보호 영역 확대
CWPP는 하이브리드, 멀티 클라우드 환경에서의 서버 워크로드를 보호하기 위한 제품이다. 클라우드 전환이 시작되면서 가트너는 초기 CWPP라는 새로운 범주의 솔루션에 대해 클라우드 서버 워크로드, 특히 물리적 환경과 가상머신 등에 대한 런타임(Runtime, 운영 상)에서의 보안을 중심으로 한다고 정의했다. 그러나 클라우드 환경으로의 전환이 가속화되며 기업의 조직 환경이 변화함에 따라 가트너에서 정의한 CWPP의 보호 영역 또한 확장되는 추세다. 최근 컨테이너, 쿠버네티스(Kubernetes), 서버리스(Serverless) 등으로 서비스 제공 형태가 변화하면서 운영뿐만 아니라 개발 단계로까지 보호 영역이 확대되고 있는 것이다.
가트너는 최근 이처럼 새롭게 변화하고 있는 CWPP의 정의를 △기본적으로 물리, 가상머신, 컨테이너, 서버리스 등의 서버 워크로드에 대한 가시성을 지원하고 △시스템 무결성 보호, 애플리케이션 제어, 행위 모니터링, IPS, 안티멀웨어 등의 기능을 이용해 워크로드를 런타임에서 공격으로부터 보호하며 △개발 파이프라인에서 취약점 등에 대한 스캐닝을 기반으로 워크로드에 대한 위협에 사전 대응하는 것 등으로 요약해 발표했다.
< CWPP 솔루션의 8가지 주요 기능 >
가트너는 하이브리드/멀티 클라우드 데이터센터에서의 워크로드 보호를 위해 중요한 기능을 8개 레이어로 설명한다.
1. 보안 강화 및 설정/취약점 관리(Hardening, Configuration and Vulnerability Management)
워크로드 이미지는 필요한 코드와 소프트웨어로만 구성된다. 텔넷/FTP, 브라우저 등 불필요한 애플리케이션이 제거됐는지, 산업 표준이나 기업 가이드라인 등에 맞게 시스템 보안 설정이 구성됐는지, 취약점이 존재하는지 등을 점검하고 관리한다.
2. ID 세그멘테이션 및 네트워크 가시성(Identity-based segmentation and Network Visibility)
워크로드별 방화벽 및 세그멘테이션 기능으로 각 워크로드를 보호하고 네트워크 가시성을 제공한다. 사용자는 CSP(클라우드 서비스 제공 기업)가 기본적으로 제공하는 세그멘테이션(AWS Security group, Azure Network Security Group 등)을 활용하거나 CWPP가 제공하는 보안 기능을 이용할 수도 있다. 이스트-웨스트(East-West) 통신에서의 네트워크 공격 탐지를 위해 요구되고 있다.
3. 시스템 무결성 보장(System Integrity Assurance)
워크로드를 인스턴스화(시작)하는 동안 무결한지 검증하거나, 워크로드가 부팅된 후 시스템 파일 및 구성에 주요한 변경사항이 있는지 실시간으로 모니터링한다. 일반적으로 FIM(File Integrity Monitoring, 파일 무결성 모니터링)과 같이 중요 파일에서 레지스트리, 시작폴더, 부트로더(Boot loader) 등을 모니터링한다.
4. 애플리케이션 제어(Application Control/Whitelisting)
일반적으로 서버는 단일(Single) 애플리케이션을 구동한다. 서버에서 무슨 실행 파일을 구동할 것인지 제어함으로써 보안을 강화할 수 있으며, 자동거부(Default Deny) 또는 제로트러스트 보안 형상(Zero-Trust Security Posture)을 적용할 수 있다.
5. 익스플로잇 예방 및 메모리 보호(Exploit Prevention/Memory Protection)
운영체제 및 실행 가능한 애플리케이션 취약점에 대응하며, 메모리상 악성코드 실행 등 파일리스 공격으로부터 서버 워크로드를 보호한다.
6. 서버 워크로드 EDR, 행위 모니터링 및 위협 탐지/대응(Server Workload EDR, Behavioral Monitoring and Threat Detection/Response)
워크로드의 네트워크 통신, 프로세스 시작, 파일 오픈, 로그 등을 모니터링해 의심스러운 행위를 탐지하고 이에 대응한다. 또는 허용된 애플리케이션 행위에서 벗어난 비정상적인 행위가 있는지 탐지하는 형태이기도 하다. 호스트 기반 에이전트 방식으로 탐지되거나, 네트워크 또는 클라우드 베이스 기반으로 탐지되는 형태도 존재한다.
7. 호스트 기반 침입 탐지 시스템(Host-Based IPS With Vulnerability Shielding)
워크로드 환경으로 유입되는 네트워크 트래픽을 분석해 알려진 취약점에 대한 공격을 탐지/차단한다. 네트워크 기반 IPS만으로는 워크로드 보호 외에 가상머신 간(Inter-VM), 컨테이너 간(Inter-Container-Based) 공격으로부터의 보호는 어렵다. 반면 HIPS(호스트 기반 IPS)는 패치되지 않거나 또는 패치될 수 없는 호스트를 제로데이 취약점 공격로부터 보호하며, 서버 워크로드를 보호하는 데 중요한 역할을 수행할 수 있다.
8. 안티 멀웨어 스캐닝(Anti-malware Scanning)
시그니처 기반의 안티 멀웨어 스캐닝을 말한다. 일반적으로 관리되고 있는 서버 워크로드에서는 필요성이 크지 않으며, NFS 서버나 FTP 서버 등의 파일 공유가 진행되는 저장소(Repository) 서버를 대상으로 활용된다. 컴플라이언스 요구사항 중 하나로 제시될 수 있는 기능이다.
전 세계 CWPP 시장 급성장 중
현재 클라우드 워크로드 보안 시장은 가파르게 성장 중이다. 시장조사기관 IDC가 발간한 ‘전 세계 하이브리드 클라우드 워크로드 보안 시장 점유율 보고서 2020(Worldwide Cloud Workload Security Market Shares, 2020: Time to Shift Left)’에 따르면 2020년 전 세계 CWPP 시장 규모는 전년 대비 21.6% 증가한 12억 달러(한화 약 1조 4,040억 원) 가량이다.
안랩 조태희 부장은 “코로나19로 클라우드 전환은 더 가속화됐다. 높은 수준의 규제를 받던 기존 산업과 대기업 또한 클라우드로 빠르게 이전하고 있으며, 이러한 변화에 따라 CWPP 시장은 예상보다 더 빠르게 성장할 것으로 예상된다”고 전망했다.
기업별 점유율을 보면 2020년 IDC 조사를 기준으로 트렌드마이크로가 27.5%의 시장 점유율을 기록하며 독보적인 1위 자리를 지키고 있는 것으로 나타났다. 안랩 조태희 부장은 “초기 CWPP는 클라우드 서버, 특히 리눅스 서버 위주의 보호를 위한 리눅스 백신에서 시작됐다. 대표적인 기업으로는 트렌드마이크로, 브로드컴, 맥아피 등이 있으며, CWPP 영역에서 넓은 범위의 보호 기능을 제공하고 있다”고 설명했다. IDC 조사에 따르면 트렌드마이크로의 뒤를 이어 맥아피 8.4%, 브로드컴 8.1%, 체크포인트 7.4%, 팔로알토네트웍스 7.3% 등의 순으로 치열한 경쟁이 이뤄지고 있으며 그 외 시스딕, 아쿠아시큐리티, 카스퍼스키 등도 이름을 올리고 있다.
계속해서 진화하는 CWPP
글로벌 IT·보안 기업의 경우, 새로운 보안기술을 가진 기업을 인수·합병해 ‘CNAPP(Cloud-Native Application Protection Platform)’로 변모하고 있다는 점도 주목된다. CNAPP는 가트너에서 정의한 새로운 보안 영역으로, CWPP와 함께 CSPM(Cloud Security Posture Management), CIEM(Cloud Infrastructure Entitlement Management)을 통합한 새로운 범주의 보안 플랫폼이다. CSPM이 클라우드 리소스의 잘못된 구성을 식별하고 설정의 컴플라이언스 준수 여부를 검사한다면, CIEM은 클라우드 상의 인프라와 리소스에 대한 ID(사용자 인증)와 접근 제어를 관리한다.
안랩 조태희 부장은 “최근 들어 클라우드가 가상머신(VM) 중심에서 컨테이너 및 서버리스 환경으로 전환되면서 기존 에이전트 기반의 형태 보안으로는 한계가 있음이 나타났다. 기존 방식의 경우 운영 상(Runtime)에 대한 보호만 제공할 뿐, 에이전트를 설치할 수 없는 컨테이너·서버리스 환경에 대한 보호는 제공할 수 없다”면서, “이에 따라 운영 외 개발/배포 파이프라인(CI/CD)에서 사용자의 자산을 보호할 수 있는 새로운 보안 역량을 가진 기업들이 CWPP 업계에 새롭게 등장하고 있다. 또한 기존 기업들도 적극적인 인수합병으로 클라우드 보안 역량 확보에 적극적으로 대응하고 있다”고 덧붙였다.
커지는 클라우드 시장, CWPP 경쟁도 함께 심화
국내에서도 클라우드 전환에 가속도가 붙으며 세계적인 추세에 발맞춰 규모가 빠르게 커지고 있어 CWPP 시장을 놓고 기업들 간 경쟁이 예고된다.
‘2020 클라우드 산업 실태조사’에 따르면 국내 클라우드 시장 규모는 2017년 약 2조 4천억 원에서 2018년 약 2조 9천억 원으로 커졌으며 2019년에는 약 3조 3천억 원 규모에 달하며 꾸준한 증가세를 보이고 있다. 가트너의 최근 조사에서도 국내 클라우드 시장은 2020년 2조 7,818억 원 규모에서 지속적인 성장을 거듭해 2022년에는 3조 7,238억 원 규모까지 성장할 것으로 예측된다.
또한 ‘2020 클라우드 산업 실태조사’에 따르면 제공 형태 측면에서 하이브리드 클라우드가 전체 64.4%의 비중을 보이고 있고, 다음으로는 퍼블릭 클라우드(26.3%), 프라이빗 클라우드(9.4%)의 순으로 나타나고 있어 하이브리드 환경에서의 클라우드 보안이 필수적인 것으로 평가된다. 자연스레 국내 CWPP 시장 역시 빠르게 성장할 것으로 기대되고 있으며, 최근 글로벌 IT·보안 기업들의 한국 시장 진출 또한 증가하고 있다.
국내 기업들 중에서는 △안랩이 ‘안랩 CPP(AhnLab CPP)’를 선보였으며 △SGA솔루션즈가 ‘v이지스(vAegis)’ △시큐아이는 ‘클라우드맥스(CLOUDMAX)’ 등의 이름으로 클라우드 보안 솔루션을 선보이며 시장 선점에 나서고 있다. 앞으로 이들 국내 3사를 비롯해 트렌드마이크로 등 글로벌 기업들의 솔루션까지, 국내 클라우드 보안 솔루션을 둘러싼 경쟁은 점점 더 심화될 것으로 보인다.
[인터뷰]
“고객이 필요로 하는 CWPP 솔루션 역량 지속 강화할 것”
안랩 조태희 부장
국내 클라우드 보안 시장 변화에 대해 어떻게 체감하고 있나.
CWPP 시장의 빠른 성장과 함께, 최근 글로벌 IT·보안 기업들의 한국 시장 진출 또한 증가하고 있다. 국내에서도 ‘안랩 CPP’를 비롯해 다양한 클라우드 보안 솔루션이 등장하고 있어 국내 클라우드 보안 솔루션 내 경쟁이 더 심화될 것으로 보인다.
국내 시장 변화에 대해 어떻게 전망하고 있는지.
현재까지 국내 시장은 IaaS(Infrastructure as a Service) 중심으로 클라우드 전환이 진행되고 있어 가상머신(VM) 보호에 대한 수요가 크다. 그동안 기존 엔드포인트 보안 솔루션을 확장 적용해 서버까지 보호했다면, 최근은 클라우드 전환과 함께 서버 중심의 보호를 위해 CWPP 솔루션을 검토하는 추세이다. 하지만 백신 프로그램만을 도입하길 원하는 사용자의 경우 기존 엔드포인트 보안 솔루션을 함께 고려하기도 한다.
하지만 최근에는 가상머신보다 컨테이너 형태로의 서비스 제공이 증가하는 추세다. 대부분 리눅스 호스트를 기반으로 하기 때문에 리눅스 서버에서의 악성코드와 랜섬웨어에 대응할 수 있는 보안솔루션에 대한 수요가 증가하고 있다. 또한, 컨테이너가 존재하는 호스트에 대한 보호를 비롯해 컨테이너가 개발/배포되는 CI/CD 파이프라인에서 컨테이너 이미지를 사전에 스캐닝하고 안전하게 배포하기 위한 보안솔루션에 대한 수요가 증가하고 있다.
안랩은 어떤 변화를 계획하고 있나.
올해 조직 개편의 주요 내용은 △전사 통합 대응 조직 구축을 위한 ACSC(안랩 사이버 시큐리티 센터) 신설 △제품별 개발 중심 연구소 조직 재편 △OT보안 개발조직 신설 및 클라우드 보안 조직 강화 등이다.
특히 안랩은 클라우드 보안 조직을 강화해 기존의 솔루션을 고도화하고, CWPP 솔루션 역량을 강화해 클라우드 환경 변화에 대응한다. 또한, 제품개발과 지원에서의 통합 대응을 위한 기술지원 조직을 개편했다. 이처럼 클라우드 보안에 대한 전사적인 조직 강화를 바탕으로 고객이 필요한 기능을 보다 빠르게 파악하고 제품에 반영하고자 한다.
CWPP 솔루션 ‘안랩 CPP’ 고객 현황과 향후 계획은?
안랩은 국내 CSP 마켓플레이스를 기반으로 다양한 고객사에게 ‘안랩 CPP’를 제공하고 있다. 또한, 클라우드 서버 보호를 원하는 금융권과 공공 분야의 고객을 확보한 바 있다.
‘안랩 CPP’는 출시 이후 지원 운영체제(OS)를 확대하고 무결성 모니터링(Integrity Monitoring) 및 컨테이너에 대한 위협 탐지 기능을 강화해 왔다. 올해에도 데비안(Debian), 수세(SUSE) 등 지원 운영체제 확대와 함께 서버 보호를 위한 로그 모니터링(Log Monitoring), 회사 규정, 컴플라이언스와 관련된 보안 설정 관리(Security Configuration Management) 기능을 지원해 CWPP 솔루션으로의 역량을 강화해갈 계획이다. 향후, CI/CD 단에서의 컨테이너 이미지에 대한 스캐닝 솔루션을 제공해 변화하는 국내 서버 환경 대응을 목표로 하고 있다.
국산 대표 CWPP 솔루션 – ‘안랩 CPP(AhnLab CPP)’
‘안랩 CPP’는 물리·가상머신·클라우드 환경에서의 윈도우 및 리눅스 서버 워크로드를 보호하는 보안 솔루션이다. 물리, 가상머신(VM), 컨테이너가 존재하는 호스트에 대한 필수적인 서버에서의 런타임 보안을 지원한다.
안랩 CPP는 ▲신뢰하는 애플리케이션만 실행하도록 하는 화이트리스트 기반 애플리케이션 제어(Application Control) ▲시스템 내 중요 파일, 폴더, 레지스트리, 사용자, 그룹, 서비스, 포트, 시작 프로그램 등의 변경을 감시하는 무결성 모니터링(Integrity Monitoring) ▲IP/포트(Port)/프로토콜 기반의 방화벽(Firewall) ▲안랩의 축적된 보안위협 분석/대응 노하우를 반영한 네트워크 침입 공격 탐지/방지(Host IPS) ▲악성코드 탐지/대응(Anti-malware) 등의 기능을 제공한다.
‘안랩 CPP’는 물리, 가상, 클라우드 환경의 서버에 대한 가시성을 제공하며 일관된 통합 보안을 지원한다. 대시보드를 기반으로 클라우드 및 하이브리드 환경의 서버 워크로드에 대한 보안 상태를 직관적으로 보여주며, Syslog 전송을 지원해 SIEM 연동 관제가 가능하다.
고객은 ‘안랩 CPP’를 이용해 필요로 하는 기능만을 선별적으로 설치 및 관리할 수 있으며, 적용 기능간 연계 규칙을 설정해 능동적인 보안 대응이 가능하다. 현재 아마존웹서비스(AWS), 애저(Azure) 뿐만 아니라 네이버 클라우드, NHN클라우드, 카카오아이(i)클라우드 등 국내 CSP 환경에서도 검증을 마쳤으며, 각 제공사의 마켓플레이스에서 제공되고 있다.
‘안랩 CPP’는 운영 중인 서버 가용성을 고려해 다양한 운영모드를 지원하며 서버 자원 점유율에 맞춰 보안 기능을 운영할 수 있는 옵션 기능을 제공한다. 또한, 호스트 서버를 비롯해 컨테이너 내 악성코드, 컨테이너로부터의 네트워크 침입 공격을 탐지하고 차단할 수 있다.
안랩은 다양한 보안 위협에 대응하며 축적한 노하우와 분석, 인프라, 기술지원 등의 역량을 기반으로 국내 환경에 최적화된 보안 위협대응 체계를 지원하고 있다.