BaroPAM 솔루션과 서버접근통제 솔루션이 결합한 시너지 효과

 
서버접근제어(SAC, Server Access Control)는 보안솔루션의 범주에 넣기가 망설여지는 솔루션이다. SAC는 많은 어플리케이션과 서버 그리고 계정(Account)이 있는 네트워크 장비에 대한 접근 경로 관리의 편의성 증대를 위한 통합 관리 솔루션이지 "보안솔루션"으로 보기에는 어딘가 어정쩡한 범주에 있다.

계정관리(IM, Identity Manager)솔루션의 경우 시장에서 "계정통합관리"라는 새로운 영역을 개척하였고 명확한 타켓팅을 두고 영업을 하고 있지만 SAC의 경우 단순히 시스템(서버, 네트워크 장비)에 대한 접근경로의 단일화라는 기능 이외에는 특별한 기능이 없다 보니 계정통합관리, OTP 등을 이용한 중앙 집중식 인증(2차 인증) 솔루션, 서버의 명령어 통제 등 본연의 기능이 아닌 기능을 응용 수준에서 지속적으로 추가하며 타 솔루션의 영역을 침범하면서 덩치를 키우는 상황이 되었다.

하지만 많은 IT 담당자들이 생각하고 있듯이 SAC 솔루션은 제대로 된 보안 솔루션으로 보기에는 무리가 있다. SAC가 일부 계정통합관리, 인증 솔루션,  접근제어(Access Control)와 감사(Audit) 기능을 갖고 있지만 그 기능이라는 것이 대부분 우회와 인젝션이 매우 쉽게 가능하기 때문에 단독으로는 어떠한 기능도 제대로 된 수준으로 구현할 수 없음에도 불구하고 그러한 단점을 감추며 승승장구 하고 있는 모습을 보면서 우리나라 IT 종사자들의 기초체력의 부실함이 드러나는 것 같아 안타까운 마음이 들곤 한다.

실제로 SAC 솔루션을 도입한 대부분의 대기업이나 공공기관에서 SAC를 이용해 계정통합관리, 인증솔루션과 서버보안 그리고 시스템 접근제어를 한번에 해결하려 시도하지만 프로젝트 기간이 지나면 지낼 수록 한계를 절감하고 서버보안SW를 별도로 도입하기로 하거나 이미 도입되어 있는 서버보안SW를 대체할 수 없음을 절감하게 된다.

어찌 보면 계정통합관리솔루션도 아니고 인증 솔루션도 아니고 서버보안솔루션도 아닌 어정쩡한 포지션의 틈새시장을 노리고 시장에 진입한 SAC 솔루션이 시장에서 살아남기 위한 처절한 몸부림이 계정통합관리, 인증관리와 서버보안의 영역 침범으로 표현되고 있다고 보여진다. 하지만 계정통합관리, 인증관리와 서버보안은 쉽게 영역을 침범할 수 있는 솔루션이 아니다. 그래선지 실제로 SAC를 도입해 통합계정관리, 인증솔루션과 서버보안을 구현하고 있는 프로젝트를 들여다 보면 제대로 마무리가 되는 경우를 찾아보기가 힘들다.

게다가 SAC 솔루션의 개발사나 프로젝트 수행사 자체가 서버기반의 솔루션이나 운영체제의 특징을 제대로 구현되지 못하는 경우도 많다. 보안을 강화하려다 오히려 취약점만 키우는 경우도 발생하게 되는 것이다.

SAC의 경우 SAC에 로그인하면 서버로의 로그인에는 비밀번호를 몰라도 로그인이 가능하도록 비밀번호를 자동으로 입력하는 기능이 제공된다. SAC가 root 계정은 물론 서버의 모든 계정에 대한 비밀번호를 랜덤하게 변경하고 사용자가 서버에 Telnet, FTP 등의 접속 시 자동으로 password를 입력해주는 것이다. 200대, 300대에 대한 password를 그렇게 관리하는 것이다.
 
즉 SAC의 서버만 뚫리면 전체 시스템에 대한 관리자 계정과 password가 한번에 유출될 수 있는 SPOF(Single Point Of Failure) 지점이 생기는 것이다. SPOF는 점점 복잡해지는 시스템과 네트워크의 환경에서 반드시 피해야 하는 요소 중 하나인데 SAC로 인해 매우 Critical한 SPOF가 만들어지는 것이다. 모든 시스템의 password가 하나의 DB에 저장 됨으로 해서 장애나 정보 유출 등이 발생할 경우 그 피해는 상상하기 어렵다. 게다가 특정 시스템에서 보안사고가 발생할 경우 모든 출발지가 SAC 장비로 운영체제의 감사 로그에 기록되기 때문에 서버 입장에서는 감사 추적이 더 어려워지고 모든 감사 추적과 분석을 SAC에 의존할 수 밖에 없게 된다. 이 또한 피해야 하는 현상이라고 할 수 있다.
 
경영 이론에서 투자의 위험은 분산 시켜야 한다고 한다. 역시 보안의 관점에서도 위험은 분산 시키는 것이 기본이다. 하지만 SAC는 수많은 시스템의 위험이 SAC로 집중되는 역효과가 일어날 수 밖에 없다.

해킹 공격에서 빼놓을 수 없는 공격 기법은 기술적 취약점을 통해 이루어진다는 것이다.
 
가장 간단한 방어 기법은 인증 방식을 강화하는 것이다.
 
패스워드를 복잡하고 유추하기 어렵게 하는 노력을 BaroPAM 솔루션 같은 2Factor 인증 방식(지식 기반+소유 기반)으로만 변경해도 강력한 효과를 발휘할 수 있다.

네트워크, 서버 IT 인프라 운영 시스템으로의 모든 접속과 작업을 통제·관리하고, 작업 내역에 대한 실시간 모니터링과 로그 기록 저장으로 사용자에 대한 철저한 통제와 감독하는 서버접근통제 솔루션과 정보자산의 다계층 인증을 통한 계정도용, 권한상승, 불법적인 우회/원격 접속, 중간자 공격 등을 차단하는 BaroPAM 솔루션이 결합하여 정보자산의 보안을 강화하는 시너지 효과를 낼 수 있다.
 
"아무 것도 하지 않으면 중간은 간다"는 건 오래된 말이고, 클라우드 시대에는 통하지 않는 말이다. 새로운 시대에는 새로운 보호 장치가 어울린다. 시스템과 인프라는 자꾸만 새 것으로 바뀌는데 왜 예전 것들을 부여잡고 있는지 각자가 스스로를 검토해야 할 때다.
 
결론은 "다계층 인증을 도입했다"는 것이 아니라 기술 및 보안성 등 "어떤 다계층 인증을 도입했느냐"가 관건이다.

"아무 것도 신뢰하지 않는다" = "아무도 믿지 마라" = "계속 검증하라"

앞으로 정보 보안의 흐름은 보안은 강화하고 사용자의 불편함을 최소화하는 방향으로, 기억할 필요가 없는 비밀번호! BaroPAM이 함께 하겠습니다.