너무 많은 앱이 위협 표면을 넓히고 있나요?

“앱이 너무 많을 수도 있을까요? 몇 개부터 너무 많은 걸까요? 현재 보유한 앱이 몇 개인지, 또는 (세상에!) 누가 그 앱에 접근할 수 있는지 알고 계신가요? 최근 IDG 조사에 따르면 기업은 평균 1,742개의 앱을 보유하고 있으며, 앱 개발의 약 60%가 사내에서 이루어지고 있습니다. 앱의 수가 계속 증가함에 따라 기업들은 셀프서비스, 자동화, 중앙 집중식 관리를 구현하기 위해 노력하고 있습니다.”

확대되는 위협 표면

물론 애플리케이션은 비즈니스 운영에 필수적입니다. 제대로 활용하면 거의 모든 작업이나 프로세스를 더 빠르고 쉽게 수행할 수 있습니다. 하지만 좋은 것도 지나칠 수 있을까요? 분명 그런 것 같습니다. IT 운영 전문가는 끊임없이 변화하는 애플리케이션 아키텍처와 플랫폼, 최신 기술 표준을 따라가는 데 어려움을 겪고 있으며, 그 결과 애플리케이션 보안과 가시성, 규정 준수에 대한 우려가 커지고 있습니다.

실제로 한 대형 배송업체가 바로 그런 상황에 직면했습니다. 애플리케이션 난립이 문제로 인식되기도 전, 이 배송 및 사무 서비스 대기업은 자사의 애플리케이션 포트폴리오를 평가한 결과 대규모 인수 추진과 급속한 성장으로 인해 2,600개가 넘는 애플리케이션을 보유하고 있다는 사실을 파악했습니다. 이와 마찬가지로 우려스러운 점은 이러한 애플리케이션에 연결된 맞춤형 인터페이스가 14,000개 이상이라는 사실이었습니다. 이처럼 수많은 애플리케이션으로 인해 확대된 공격 표면은 어떤 기업이든 자체적으로 감당하기에는 엄청난 위험이며, 이는 이러한 애플리케이션 난립에 수반되는 여러 중대한 위험 중 하나에 불과합니다.

“최근 IDG 조사에 따르면 기업은 평균 1,742개의 앱을 보유하고 있으며, 앱 개발의 약 60%가 사내에서 이루어지는 것으로 나타났습니다.”

위험 요소 및 해결책

매우 활발한 애플리케이션 개발 환경 덕분에 이제 애플리케이션은 초기 아이디어에서 개념 증명 단계까지 불과 몇 주 만에 도달할 수 있습니다. 이러한 속도 향상의 결과 중 하나로, 보안 및 규정 준수에 영향을 미치는 결정을 포함한 애플리케이션 개발 및 배포 관련 의사 결정의 책임이 네트워크 및 보안 전문가에서 개발자 쪽으로 이동하고 있습니다. 이는 잠재된 혁신 역량을 끌어내고 조직의 경쟁력을 강화하여 속도 측면에서 큰 이점을 제공하지만, 여전히 중대한 보안 위협과 규정 준수 요건, 운영상의 우려가 남아 있습니다.

새로운 이해관계자들은 도메인 전문가가 관리하는 보다 강력한 솔루션보다 클라우드 네이티브 및 저비용 오픈 소스 옵션을 우선시합니다. 이는 다른 팀에 의존할 경우 프로세스에 마찰이 발생해 혁신 속도가 느려질 수 있다는 타당한 우려에서 비롯됩니다. 그러나 이러한 접근 방식에는 보안 및 관리 도구의 난립, 애플리케이션 성능에 대한 가시성 부족, 규제 준수 요건 충족의 상당한 어려움과 같은 문제가 흔히 발생합니다.

보안 및 관리 도구의 난립

당사의 2019년 애플리케이션 서비스 현황 보고서에 따르면 약 87%의 기업이 멀티 클라우드 배포를 활용하고 있으며, 클라우드 제공업체에서 제공하는 도구를 그대로 사용하는 경향이 있습니다. 이는 본질적으로 동일한 문제를 해결하기 위해 여러 네이티브 인터페이스를 사용한다는 의미이며, 그 결과 기능, 정책 및 관리 인터페이스의 차이로 인한 문제가 발생해 비즈니스 위험이 커집니다.

여기에 조직이 관리하는 앱의 방대한 수뿐만 아니라 앱 자체의 복잡성까지 더해지면서, 귀사와 같은 기업이 직면하는 위협 표면, 즉 잠재적인 보안 취약 영역이 더욱 확대되고 있습니다. 오늘날에는 node.js와 HTML5를 비롯한 다양한 웹 프레임워크는 물론, 애플리케이션 서버와 웹 서버까지 관리해야 합니다. 브라우저마다 접근할 수 있는 애플리케이션도 다릅니다. 복잡성이 한 단계씩 더해질 때마다 취약점이 늘어나고 관리해야 할 위험도 커집니다.

그렇다면 이 위험을 어떻게 관리할 수 있을까요? 초점을 전환하면 됩니다.

우리는 항상 네트워크 보안을 중요하게 생각해 왔습니다. 하지만 이제는 애플리케이션 보안에도 집중해야 할 때입니다. 특히 웹 애플리케이션 방화벽은 애플리케이션 보안을 관리하는 일반적인 방법입니다. 공격자들이 네트워크뿐만 아니라 애플리케이션까지 노리고 있기 때문입니다. 아무리 네트워크가 안전하더라도 애플리케이션에 취약점이 하나라도 있으면 공격자들이 침투할 수 있습니다.

앞서 언급한 운송 회사를 다시 예로 들어 보겠습니다. 전 세계 누구나 배송 서비스를 이용하기 위해 이 회사의 웹사이트에 접속할 수 있습니다. 그 수는 수십억 명에 달합니다. 네트워크가 완벽하게 차단되어 있더라도 누구나 애플리케이션을 사용할 권한이 있으므로, 애플리케이션이 침입 경로가 될 수 있습니다. 따라서 이 회사에 가장 큰 위험 요소는 철저히 보호되는 네트워크가 아니라 해당 애플리케이션입니다. 현재 많은 기업에서 애플리케이션은 보안상 가장 취약한 고리입니다. 해커들도 이 사실을 알고 있습니다.

해야 할 일은 분산된 개발자 팀의 혁신을 저해하지 않으면서 전 세계적으로 연합할 수 있는 표준화된 애플리케이션 서비스를 구축하는 것입니다. 보안이 기본적으로 내장되도록 자동화를 적극 도입하고 지원해야 합니다. 보안 정책은 해당 분야의 전문가가 정의하고 관리하며, 나중에 하드 코딩하거나 수동으로 구성하는 대신 CI/CD 자동화 파이프라인에서 사용할 수 있도록 소스 코드 저장소에 아티팩트로 저장해야 합니다. 애플리케이션 출시 기간을 더욱 안전하게 단축하려면 필요한 부분만 코딩하고 인증 및 웹 애플리케이션 방화벽과 같은 재사용 가능한 인프라 서비스를 활용하는 것이 중요합니다.

“충격적인 비밀을 하나 알려드릴까요? 대부분의 조직은 특정 시점에 자사 애플리케이션이 어떤 상태인지 파악하지 못합니다. 보유한 애플리케이션이 몇 개인지조차 모르며, 해당 애플리케이션이 어디에 있는지 또는 누가 액세스할 수 있는지는 더더욱 알지 못합니다.”

애플리케이션 가시성 부족

2019년 3월 기준, Android 사용자가 이용할 수 있는 앱은 210만 개가 넘었습니다. Apple의 앱 스토어

180만 개 이상의 앱을 제공합니다. 여기에 개발 및 배포된 수백만 개의 기업용 애플리케이션은 포함되지 않습니다. 모두 합치면 현재 전 세계에서 사용 중인 애플리케이션은 10억 개가 넘을 것으로 추정됩니다.

충격적인 비밀을 알고 싶으신가요? 대부분의 조직은 특정 시점에 자사 앱에서 무슨 일이 일어나고 있는지 파악하지 못합니다. 보유한 앱이 몇 개인지도 모르며, 그 앱이 어디에 있는지 또는 누가 액세스할 수 있는지는 더더욱 알지 못합니다. 가장 중요한 애플리케이션조차도 성능 상태(예: 가용성, 최종 사용자 지연 시간)를 일관되게 파악하거나, 문제가 발생했을 때 어디를 살펴봐야 하는지 아는 조직은 드뭅니다.

어떤 전략을 선택하든 목표는 서로 분리된 다양한 인프라 전반에서 애플리케이션을 일관된 방식으로 배포하고 관리하는 방법을 찾는 것이어야 합니다. 이를 실현하고 모든 애플리케이션의 트래픽 경로에 대한 가시성을 확보하는 가장 좋은 방법은 일관된 멀티 클라우드 애플리케이션 서비스 세트를 활용하는 것입니다. 특히 멀티 클라우드 아키텍처 전반에서 가능한 한 일관된 서비스를 재사용하면 공통 도구를 통해 위험을 줄이고 반복 가능성을 높이며 결함을 줄일 수 있습니다. 이러한 일관된 서비스를 전체 애플리케이션 환경에 배포하면 데이터 경로를 통과하는 모든 트래픽을 완벽하게 검사할 수 있어야 하며, 이를 통해 문제 발생 시 손쉽게 문제를 해결하고 악성 트래픽을 가로채 차단할 수 있습니다.

이러한 일관성과 이 접근 방식이 제공하는 가시성은 애플리케이션의 높은 성능과 보안을 유지하기 위해 협업해야 하는 여러 운영 팀 간의 마찰을 줄이는 데도 도움이 됩니다.

규정 준수 과제

오늘날 많은 조직, 특히 여러 클라우드에서 애플리케이션을 운영하는 조직(현재 대다수의 조직이 이미 그렇게 하고 있거나 그렇게 할 계획임)은 규제 준수 요건을 충족하는 데 상당한 어려움을 겪고 있습니다.

많은 현대 도시와 마찬가지로 벨뷰시의 디지털 요구 사항도 크게 증가했습니다. 10년 전만 해도 소수의 기술 담당 직원만 VPN을 사용해 원격으로 시스템에 접속했습니다. 현재는 직원 1,600명 모두가 원격으로 근무할 수 있습니다. 시 경찰이 민감한 범죄 기록 데이터에 접근하려면 시스템이 연방 형사사법정보서비스(CJIS) 보안 정책과 관련 연방정보처리표준(FIPS)을 비롯한 엄격한 연방 지침을 준수해야 합니다. CJIS 및 FIPS 준수 여부는 매년 실시되는 연방 감사를 통해 확인됩니다. 이 표준을 충족하지 못하면 경찰이 현장에서 접근할 수 있는 정보가 제한됩니다. 궁극적으로 벨뷰시는 모든 시 행정 서비스에 안전하고 규정을 준수하는 방식으로 접근할 수 있는 환경을 마련해야 했습니다.

해결책은 무엇일까요? 같은 말을 반복하는 것처럼 들릴 수 있지만, 결국 다시 일관성이 핵심입니다. CI/CD 파이프라인에 일관되고 감사 가능한 보안 정책을 통합하면 규정 준수가 간소화되어 DevOps 방식과 도구의 도입을 늦추는 주요 장애물을 해소할 수 있습니다.

애플리케이션을 빌드하고 배포할 때 CI/CD 워크플로는 매번 보안 및 규정 준수 요건을 충족한 상태로 출시되도록 보장합니다.

“어떤 전략을 선택하든, 서로 분리된 다양한 인프라 전반에서 애플리케이션을 일관된 방식으로 배포하고 관리할 방법을 찾는 것이 목표가 되어야 합니다.”

향후 전망

애플리케이션이 급증하고 있다는 데는 의심의 여지가 없습니다. 이러한 애플리케이션 중 상당수가 IT 부서가 아닌 비즈니스 사용자에 의해 조직에 도입되기 때문에 일부 IT 전문가는 이를 ‘섀도 IT’ 또는 ‘비인가 IT’라고 부르기도 합니다. 하지만 이런 부정적인 표현으로는 비즈니스 사용자가 직접 애플리케이션을 도입하거나 구축할 때 발생하는 문제를 해결할 수 없습니다. 그보다는 이를 비즈니스 주도형 IT, 즉 비즈니스 목표를 최대한 효과적으로 달성하기 위해 비즈니스 사용자와 IT 부서가 협력하는 파트너십으로 바라봐야 합니다.

애플리케이션이 급증하면서 일관되고 자동화 가능하며 중앙 집중화된 제어가 요구되고 있습니다. 오늘날 기업의 애플리케이션 자산이 다양한 플랫폼에 분산되어 있는 것은 흔한 일입니다. 클라우드, 사설 데이터 센터, 온프레미스, 다양한 SaaS 환경 등에 흩어져 있습니다. 기업들은 전체 애플리케이션 포트폴리오를 단일 화면에서 통합적으로 파악하기 시작했습니다. 이러한 제어 체계를 갖추면 위험을 훨씬 더 쉽게 관리할 수 있습니다.

F5의 광범위하고 포괄적인 애플리케이션 서비스 포트폴리오와 어디서나 활용 가능한 플랫폼을 통해 조직은 다양한 환경 전반에서 감사 가능한 엔터프라이즈급 보안 및 인프라 서비스를 중앙 집중화하여 관리할 수 있으며, 변경 비용을 절감하고 개발자가 혁신에 집중할 수 있도록 지원합니다.