소프트캠프의 보안 원격 접속 서비스 '실드게이트(SHIELDGate)'는 웹 기반 신원 확인 접근제어(IAP·Identity Aware Proxy)와 원격 브라우저 격리(RBI·Remote Browser Isolation) 기술 조합으로 최상의 제로 트러스트 보안을 실현한다.
가상사설망(VPN) 사용이 증가함에 따라 보안 취약성이 부각하고 있다. VPN을 통한 확장된 네트워크 접근은 공격자에게 추가 공격 경로를 제공할 수 있으며, VPN 서버 자체가 공격 대상이 될 수 있다. 이에 따른 주요 문제점으론 보안 설정의 취약성, 사용 할당량 초과, 약한 인증 방식, 그리고 불분명한 권한 통제 등이 있다. 또 내부 사용자에 대한 암묵적 신뢰는 내부자 공격과 데이터 유출을 방지하기 어렵다.
제로 트러스트 보안 모델에 기반한 SHIELDGate는 이에 대응하기 위해 에이전트와 VPN 없이, 브라우저를 통해 어디서나 안전하게 접속할 수 있게 한다. 마이크로 세그멘테이션(초세분화) 환경에서도 조건부 접속 정책을 적용한 SHIELDGate를 이용하면 복잡한 방화벽 설정 없이 공격자의 수평이동을 차단할 수 있다. 기존 업무 시스템 환경이나 마이크로소프트(Microsoft) 365, 구글 워크스페이스(Google Workspace) 등 클라우드 협업 솔루션, 하이브리드 업무 환경 등에서도 사용이 가능하다.
특히 SHIELDGate는 사용자 장치의 신원 및 상태를 기반으로 웹 리소스에 대한 접근을 동적으로 허용하거나 제한하는 IAP와 모든 웹 콘텐츠는 신뢰할 수 없는 것으로 간주해 사용자 브라우저를 격리하고 위협을 차단하는 RBI 기술 조합으로 최상의 제로 트러스트 보안을 구현한다. 조건부 적응적 정책에 의해 설치 없이, 신뢰할 수 없는 모든 접근 행위에 대한 인증·권한을 지속적으로 실시한다.
구체적으로 SHIELDGate는 제로 트러스트 조건부 적응적 정책(ZTCAP·Zero Trust Conditional Adaptive Policy)을 제공한다. 최소 권한을 설정하기 위해 접속 클라이언트 환경에 대한 다양한 조건에 따라 사내 리소스의 접속·사용 권한을 부여하며, 사용자(ID), 접속 위치(IP), 접속시간(Time), 접속대상 시스템(App) 등 기본 조건에 따라 접속 차단, 스크린 워터마크, 다운로드 및 프린트 차단 등 다양한 보안 정책 적용이 가능하다.
보안 웹 게이트웨이(SWG·Secure Web Gateway)를 통해 모든 연결에 대한 멀웨어, 랜섬웨어, 피싱 등 악성코드와 같은 웹 환경 내 보안 위협으로부터 데이터를 안전하게 보호한다. 접속하는 모든 사용자의 행위 및 기타 기록을 로그한다.
또 SHIELDGate에 적용된 브라우저 격리 기술은 별도의 독립된 네트워크 혹은 클라우드에 쿠버네티스 컨테이너의 격리된 브라우저에서 웹을 연결해 위협이 사용자에게 영향을 미치지 못하도록 한다. 비주얼 스트림만 렌더링 해 보여줘 사용자 경험을 해치지 않으면서 △공격 노출면 최소화 △데이터 유출 위험 감소 등 외부 보안 위협으로부터 사내 보호한다.
아울러 SHIELDGate는 기업이 민감한 데이터를 보호하고, 원격 접속의 보안을 강화하며, 제로 데이 위협을 방지하는 데 중요한 역할을 한다. 특히 브라우저 격리 기능, 지속적인 접근 행위 검증은 차별화된 경쟁력 포인트로 평가된다.
배환국 소프트캠프 대표는 “제로 트러스트 구현에 있어 소프트캠프가 제안하는 최상의 기술 조합은 IAP와 RBI”며 “포괄적인 보안 체계와 사용자 경험의 균형을 중시하는 조직에 웹 콘텐츠의 안전한 격리와 세밀한 접근 권한 관리를 통해 수준 높은 보안과 사용자 만족도를 동시에 제공하는 솔루션”이라고 말했다.
〈인터뷰〉배환국 소프트캠프 대표
-제로 트러스트 아키텍처 구현에 있어 자사 솔루션의 강점은
▲제로 트러스트의 기본은 사용자, 장치, 네트워크에 상관없이 관계없이 신뢰할 수 없는 외부의 접근을 신뢰하지 않고 검증하는 것이다. 소프트캠프의 솔루션은 제로 트러스트 보안을 실현하는 데 있어, '조건부 적응적 정책(ZTCAP)'이 핵심적인 역할을 한다. 이를 통해 조직은 변화하는 위협 환경과 다양한 사용자 요구사항에 유연하게 대응할 수 있으며, 보다 안전하고 효율적인 정보기술(IT) 환경을 구축할 수 있다.
-제로 트러스트 도입과 관련해 기업에 하고 싶은 말이 있다면
▲제로 트러스트 보안을 구현하는 기술 기반엔 다양한 선택의 폭이 있다. 하지만, 대부분은 기업 환경의 기술적 보안 체계 경계 보안 모델(SDP)을 기반을 떠올리곤 한다. 소프트캠프가 제안하는 최상의 기술 조합은 IAP와 RBI다.
SDP와 IAP+RBI의 조합은 모두 보안 위협에 대응하기 위한 중요한 모델이지만, 접근 방식, 적용 범위, 그리고 구현에 있어서 차이가 있다. 많은 조직이 이 두 모델을 상호 보안적으로 활용해 보안 체계를 강화하고 있다.
IAP와 RBI의 조합은 사용자 신원과 접근 맥락을 고려해 포괄적인 보안 체계를 제공하며, RBI 기술을 통해 웹 콘텐츠 격리와 안전한 인터넷 사용 환경을 조성한다. 반면, SDP는 네트워크 접근 제어에 중점을 둔 보안 모델이다. 사용자와 장치의 인증에 초점을 맞추지만, RBI와 같은 웹 콘텐츠 격리나 사용자의 접근 맥락을 고려한 적응적 보안 정책 적용에는 한계가 있다.
결론적으로 포괄적인 보안 체계와 사용자 경험의 균형을 중시하는 조직엔 IAP와 RBI의 조합이 웹 콘텐츠의 안전한 격리와 세밀한 접근 권한 관리를 통해 수준 높은 보안과 사용자 만족도를 동시에 제공하는 솔루션이라 할 수 있다.
-제로 트러스트를 비롯해 향후 회사 비전과 관련해 강조하거나 하고 싶은 말이 있다면
▲현재 우리는 디지털 혁신의 시대를 살아가고 있으며, 이는 끝없는 기회를 제공한다. 그러나 동시에 우리는 전에 없던 새로운 형태의 사이버 위협에 직면해 있다. 서비스형 소프트웨어(SaaS) 확산으로 인해, 클라우드 업무환경에 적합한 맞춤형 보안의 중요성이 점점 더 강조되고 있다. 이러한 변화하는 환경에 대응하기 위해, 제로 트러스트 보안이 중요한 해결책으로 부상하고 있다.
제로 트러스트 보안 원칙은 모든 사용자와 장치가 조직의 네트워크나 데이터에 접근하기 전에 엄격한 검증을 거치도록 하는 '아무것도 신뢰하지 마라, 항상 검증하라'는 철학에 기반을 두고 있다. 이는 조직의 데이터와 네트워크를 보호하는 데 중요한 역할을 한다.
RBI 기술은 이 제로 트러스트 모델의 핵심기술이며, 사용자가 인터넷을 이용할 때 발생할 수 있는 위험을 줄이는 데 기여한다. IAP 모든 웹 세션을 격리된 환경에서 처리하는 RBI 기술, 그리고 파일의 잠재적 위험 요소를 제거하는 무해화(CDR·Content Disarm & Reconstruction) 프로세스를 통해, 사용자는 인터넷을 안전하게 이용할 수 있으며, 조직은 웹 기반 공격으로부터의 보호를 강화할 수 있다.
또 챗GPT를 활용한 소프트웨어 공급망 보안 솔루션은 개발·배포 과정에서의 보안 취약점을 식별하고 분석하는 데 중요한 역할을 한다. 인공지능(AI) 기반 분석을 통해 소프트웨어 구성 요소의 출처 및 종속성 정보를 파악하고, 오픈소스 라이브러리의 취약점 정보 등을 신속하게 수집한다. 이를 통해 소프트웨어 공급망을 통한 보안 위협에 효과적으로 대응할 수 있다.
이처럼 제로 트러스트 보안 원칙을 구현하는 데 있어 중요한 RBI, IAP, CDR 기술과 챗GPT를 활용한 소프트웨어 공급망 보안 솔루션은 조직의 사이버 보안 방어 체계를 강화하는 데 서로 핵심적인 역할을 한다. 이 통합적 접근 방식은 내부와 외부에서 발생할 수 있는 다양한 사이버 위협으로부터 조직을 효과적으로 보호하는 데 필수적이다.
