도쿄의과치과대학

기업이 대규모 네트워크 혁신 프로젝트를 진행할 때, 새로운 환경에서 인프라와 고객을 모두 안전하게 보호하기 위해서는 세심한 주의를 기울여야 합니다. 2017년 도쿄의과치과대학(Tokyo Medical and Dental University, TMDU)의 IT 개발 부서가 자체 네트워크를 업그레이드할 때도 마찬가지였습니다. TMDU의 IT 개발 부서는 유시마, 스루가다이, 코우노다이 캠퍼스를 모두 포함하는 네트워크를 직접 운영·관리하고 있습니다. 또한 대학 내 공유 공간의 게스트 Wi-Fi를 관리하고 6천 명 이상의 사용자를 감독합니다.

처음에는 단순히 방화벽, URL 필터링, 이메일 필터링 기능을 갖춘 UTM(Unified Threat Management) 어플라이언스만 배치하면 새로운 환경에 필요한 보안 수준을 충분히 확보하게 될 것이라고 판단했습니다.

대학의 보안 아키텍처를 업그레이드했지만 사용자를 표적으로 수신함에 쏟아지는 악성 메일의 양은 오히려 크게 증가했습니다.

IT 개발 부서장이자 정보 기술 연구소의 관리 담당 디렉터인 카즈야 사토(Kazuya Sato)는 "아이디와 비밀번호를 변경하라고 요구하는 일반적인 피싱 이메일은 물론이고, 대학 IT 지원팀에서 보낸 것처럼 위장하는 표적 이메일도 나타나기 시작했습니다."라고 말합니다.

이런 메일들은 수신자를 피싱 사이트로 리디렉션하는 URL을 포함하고 있기 때문에 여러 건의 방화벽 보안 알림이 발생했습니다. 게다가 매일 학생들과 교직원들로부터 의심스러운 이메일에 대한 리포트가 쏟아졌습니다. IT 개발팀은 매달 수백 건의 보안 알림에 대응하고 조사를 실시했습니다.

"저희는 방화벽으로 악성 IP 주소를 막을 수 있을 것이라고 생각했습니다. 하지만 표적 메일은 더 이상 그렇게 단순하지 않습니다. 오늘날의 악성 메일에서는 임베디드 URL의 IP 주소가 동적으로 바뀝니다."라고 TMDU의 정보 인프라 보안 부서장인 고조 타카세(Kozo Takase) 교수는 설명합니다. "IP 주소가 변경되면 보안이 뚫릴 수 있습니다. 다시 말해, 위협이 방화벽을 통과할 가능성이 상당히 높습니다. 또한 이런 일이 얼마나 자주 발생하는지 정확하게 확인할 수도 없었습니다."

IT 개발팀은 기존의 보안 체계에 허점이 있다는 결론을 내렸고, 결국 보안 레이어를 추가하는 프로젝트에 착수했습니다. 사용 가능한 솔루션을 찾는 과정에서 DNS를 보안 컨트롤 포인트로 사용해 리커시브 DNS 쿼리를 검사하는 보안 접근방식에 대해 알게 되었습니다.

"방화벽이 이런 악성 트랜잭션을 막을 수 없었기 때문에, 킬체인에서 한 단계 먼저, 즉 DNS 수준에서 위협을 차단하는 것이 합리적이라고 생각했습니다. 논리적인 검토를 마치긴 했지만 이 방법이 정말 효과가 있을 것인지 의구심은 여전했고, 이를 확인할 수 있는 유일한 방법은 직접 테스트하는 방법 뿐이었습니다."라고 말합니다.

또한 DNS를 컨트롤 포인트로 활용함으로써 TMDU가 자체 방화벽에서 해당 트래픽을 복호화하는 복잡한 과정을 거치지 않고 바로 HTTPS 웹 트래픽을 검사하고 제어할 수 있게 되었습니다.

IT 개발팀은 Akamai Secure Internet Access Enterprise 솔루션을 포함해 여러 가지 솔루션을 평가했습니다. IT 개발팀이 여러 솔루션 중에서 고민하고 있을 때 Akamai는 무료 개념 증명(PoC)을 통해 서비스를 테스트할 수 있다고 알려주었습니다.

처음 Secure Internet Access Enterprise에 대해 들었을 때는 마치 블랙박스처럼 그 안에 무엇이 들어 있는지 알 수 없었습니다. 100% 확신할 수 없는 것을 맹목적으로 구현하고 싶지는 않았기 때문에 먼저 ETP의 효과를 검증하고 싶었습니다."라고 사토는 언급합니다.

Secure Internet Access Enterprise가 활성화되자 TMDU의 네트워크에서 수많은 악성 DNS 요청이 바로 탐지되었습니다.

IT 개발 부서의 기술 담당자인 마사노리 나스는 "매일 수천 개의 악성 요청이 발생했습니다. 솔직히 당혹스러웠습니다. 많아야 수십 또는 수백 개 정도일 것이라 예상했었습니다."라고 설명합니다.

IT 개발팀은 처음에는 탐지된 악성 요청이 너무 많아 회의적이었습니다. 하지만 실제로 요청된 도메인을 검사해 보니 대다수가 피싱 사이트 또는 멀웨어 드롭 사이트였습니다.

IT 개발팀은 Secure Internet Access Enterprise를 확실하게 신뢰하게 되었고 이를 광범위하게 배포하기로 결정했습니다. "리스크에 직면해 있다는 것을 직감한 상황에서 Secure Internet Access Enterprise 도입에 대해 논쟁을 벌일 필요가 없었습니다. 그보다는 언제 도입할지가 더 중요했습니다."라고 타카세 교수는 말합니다.

TMDU는 Secure Internet Access Enterprise를 전면 도입한 이후 방화벽이 식별해 내지 못했던 악성 트래픽을 탐지하고 안전하게 차단할 수 있었습니다. DNS 수준에서 위협을 차단한 이후 방화벽 보안 알림 건수는 매달 몇 건으로 대폭 감소했습니다.

게다가 Secure Internet Access Enterprise를 배포하기 전에는 외부 기관들도 TDMU 자체 네트워크의 악성 트래픽에 수많은 위협 경고를 보냈습니다. 하지만 Secure Internet Access Enterprise가 활성화한 이후 몇 달 동안 외부 기관으로부터 경고를 전혀 받지 않았습니다. "퇴근 후에도 약 1시간마다 외부 보안 알림이 왔는지 확인해야 했는데 이제는 더 이상 그럴 필요가 없습니다. 핵심 목표를 달성해서 모두 만족하고 있습니다."라고 나스는 말합니다.

대학의 DNS 트래픽을 Secure Internet Access Enterprise로 전환하는 것에 대해 일부 우려도 있었지만 Akamai의 Intelligent Edge Platform의 규모, 용량, 안정성 덕분에 원활하게 전환이 이루어졌습니다.

또한, Akamai는 대학에 특별 라이선스를 제공하기 때문에 TMDU의 Secure Internet Access Enterprise 솔루션 도입은 비용 측면에서도 효율적인 선택이었습니다. "Secure Internet Access Enterprise가 위협을 차단하고 보안을 강화하는 데 효과가 있다는 것을 입증해 준 PoC 덕분에 승인을 얻을 수 있었습니다."라고 사토는 말합니다.

"우리 대학과 유사한 환경을 갖고 있는 대학들이 많이 있지만 이 대학들은 아직 리스크에 노출되어 있다는 걸 알지 못합니다. Secure Internet Access Enterprise는 빠르고 간편합니다. 리커시브 DNS를 Akamai로 전환하면 되고 추가적인 변경 작업이 필요 없습니다. Secure Internet Access Enterprise는 기존에 설치한 다른 보안 솔루션과 겹치는 부분이 거의 없기 때문에 다른 대학들도 도입을 진지하게 고려해 봐야 합니다."라고 다카세 교수는 말합니다.

도쿄의과치과대학은 1928년 10월 도쿄국립치과대학으로 처음 설립되었습니다. 학문의 성지인 유시마 쇼헤이자카에서 의학부와 치학부를 통합한 후 일본에서 유일하게 의학 및 치과학대학원을 모두 보유한 대학이 되었습니다. 도쿄의과치과대학은 첨단 의학을 추구하며 지식과 인성을 두루 갖춘 전문가를 양성합니다. 또한 배려심 깊고 과학적 사고 방식을 갖춘 의사, 치과 의사, 간호사, 의료 과학자, 치과위생사, 치과기공사를 양성하는 것을 목표로 하고 있습니다. 도쿄의과치과대학은 우수한 의료진과 연구자를 양성하고, 인류와 사회에 폭넓게 공헌할 뿐 아니라 의학과 생명과학 분야의 연구 및 교육 시스템을 구축하기 위해 노력하고 있습니다.