과도한 보안 도구로 인한 고충

이 기사는 원래 Security Boulevard에 게재되었습니다. 업데이트를 거쳐 이곳에 다시 게시되었습니다.

‍

좋은 것은 많을수록 더 좋다는 생각은 우리 집단 심리에 거의 뿌리 깊게 박혀 있습니다. 정말 마음에 드는 물건이 하나 있다면, 두세 개 혹은 그 이상을 가져도 나쁠 것이 없다고 생각하죠. 결국 좋은 것은 다다익선 아니겠습니까?

안타깝게도 이러한 논리는 몇몇 경우에는 통할지 몰라도, 양이 많아지면 금세 무너지고 맙니다. 어떤 경우에는 수확 체감의 법칙을 경험하게 되죠. 13번째 초콜릿 케이크 조각이 과연 얼마나 더 큰 가치나 기쁨을 줄까요? 또 어떤 경우에는 좋은 것을 너무 많이 더하는 것이 개인이나 조직에 상당한 위험 요소가 되기도 합니다.

너무 많은 사이버 보안 도구

좋은 것이 과해져 나쁜 결과로 이어진 대표적인 사례가 바로 사이버 보안 도구입니다. 최근 몇 년 사이 대부분의 조직에서 통제 불능 상태로 늘어났죠. Dark Reading의 연구에 따르면, 대부분의 최고 정보 보안 책임자(CISO)는 네트워크를 보호하기 위해 평균 55~75개의 서로 다른 보안 제품이나 애플리케이션에 의존하고 있습니다. 하지만 공격은 여전히 발생합니다. Verizon의 2023년 데이터 침해 조사 보고서에 따르면 성공적인 공격은 증가하고 있으며, 가장 복잡한 공격은 탐지하는 데 그 어느 때보다 오랜 시간이 걸리고 있습니다.

공격자들은 75개 이상의 사이버 보안 도구라는, 겉보기엔 불가능해 보이는 방어선을 어떻게 우회할까요? 사실 공격자들은 종종 경보를 울리지만, 보안 담당자들은 방어 도구를 유지 관리하거나 매일 쏟아지는 수천 개의 알림에 대응하느라 너무 바빠 이를 알아차리지 못합니다. 보안 도구가 너무 많으면 오히려 공격자들에게 탐지되지 않고 숨을 수 있는 은폐막을 제공할 수 있습니다.

최근 TechRadar 보고서는 너무 많은 사이버 보안 도구를 사용하는 것의 부정적인 결과를 강조했습니다. 설문조사에 참여한 기업 중 71%는 사이버 보안 팀이 감당할 수 있는 수준보다 더 많은 도구를 보유하고 있다고 느꼈습니다. 이는 도구가 추가될수록 오히려 보안 태세를 악화시키는 원인이 되었습니다. 실제로 도구가 많을수록 보안이 강화된다는 믿음과 달리, 설문 응답자의 대다수는 환경 전반에 설치된 수많은 사이버 보안 도구 때문에 오히려 보안이 취약해졌다고 느꼈습니다.

대부분의 조직이 클라우드로 대거 전환하면서 상황은 더욱 악화되었습니다. 모든 공격 경로를 차단하기 위해 네트워크에 수많은 보안 도구를 겹겹이 쌓는 방식이 인기를 끌었던 이유는, 온프레미스 자산이 주를 이루던 시대에는 그 전략이 어느 정도 효과가 있었기 때문입니다. 적어도 수확 체감이나 부정적인 결과가 그렇게 빨리 나타나지는 않았죠. 하지만 클라우드 환경에서는 도구를 추가할수록 복잡성과 취약성만 더 커질 뿐입니다.

중복되는 도구를 유지 관리하는 데 드는 노력 외에도, 도구 중심 접근 방식의 또 다른 큰 문제는 도구가 늘어날수록 필연적으로 발생하는 수많은 오탐(false positive)입니다. 오탐을 추적하느라 보안 인력의 모든 시간을 허비하게 되고, 조직에는 실질적인 이득이 없습니다. 그사이 실제 공격은 수많은 오탐 속에 쉽게 숨어들 수 있습니다. 사이버 보안 전문가들은 너무 늦기 전까지는 실제 위협을 발견하지 못할 수도 있습니다.

더 나은 방법

환경에서 모든 보안 도구를 제거하는 것은 재앙이 될 것입니다. 하지만 핵심적인 도구가 충분한 관심을 받지 못할 정도로 너무 많은 도구를 유지하는 것도 바람직하지 않습니다. 적절한 도구를 선별하고, 시간과 자원을 낭비하는 도구가 너무 많지 않도록 관리하는 것이 중요합니다.

도구 통합을 성공시키는 핵심은 사람 중심의 보안 접근 방식에 동시에 투자하는 것입니다. 여기에는 전통적으로 보안 역할에 배치되지 않았던 자산, 즉 공격자가 노리는 바로 그 앱과 소프트웨어를 코딩하는 개발자 팀을 활용하는 것이 포함되어야 합니다.

전통적으로 개발자에게 보안 업무가 부여되지는 않았지만, 상황은 변하고 있습니다. 실제로 개발자가 보안에 집중하도록 장려하는 것은 모든 사람이 안전한 애플리케이션 배포에 책임을 지는 DevSecOps 운동의 핵심 요소입니다. 개발자가 갑자기 보안 전문가가 되거나 조직의 보안에 대한 일차적인 책임을 져야 한다고 기대하는 사람은 없습니다. 하지만 안전한 코드를 작성하는 방법을 교육하고 그 성과를 보상하는 것만으로도 중복되는 보안 도구들을 제거할 기반을 마련하는 데 큰 도움이 됩니다.

안전하고 좋은 코드에서 시작하면, 일반적인 익스플로잇과 취약점을 스캔하기 위해 설계된 수많은 사이버 보안 도구를 쉽게 제거할 수 있습니다. 결국 개발자가 안전한 코드를 작성하는 환경이 조성되면, 소수의 엄선된 보안 도구만으로도 보안 팀이 과부하 없이 쉽게 모니터링하고 유지 관리할 수 있는 추가적인 검증 체계를 갖출 수 있게 됩니다.