헬스케어 기업, 수천 건의 사이버 공격 차단

두 분 모두 참석해 주셔서 감사합니다. 먼저 간단히 자기소개와 함께  각자의 역할과 소속 기업이 어떤 일을 하는지 소개해 주시겠어요?

네, 저는 퀸 카스(Quynn Kars)입니다. 네트워크 보안 아키텍트로 일하고 있습니다. 저희는 의료기업에서 근무하고 있습니다. 그리고 저는 에반 마르티네즈(Evan Martinez)입니다. 네트워크 보안 엔지니어로 퀸과 긴밀하게 협력하고 있습니다. 이와 같은 제품의 구축을 담당하고 있습니다.

Akamai와의 관계는 어떻게 시작되었으며, 현재 귀사에서는 어떤 제품을 도입하고 있나요?

저희는 주로 Akamai Guardicore Segmentation을 사용하고 있습니다. 당시 마이크로세그멘테이션 또는 동서 트래픽 방화벽 솔루션을 찾고 있었습니다. 구체적으로 어떤 솔루션이 필요한지는 아직 명확하게 정하지 못한 상태였고, 그러던 중 긴밀하게 협력하고 있는 파트너사와 함께 벤더 행사에 참석했는데, 운 좋게도 Akamai 영업팀 관계자를 만나게 되었습니다. 그 자리에서 저희 기업에 어떤 것이 필요하다고 생각하는지 좋은 대화를 나눴습니다. 그리고 업계 트렌드가 어떻게 변화하고 있으며 어떤 솔루션이 저희에게 도움이 될 수 있을지에 대해서도 얘기를 나눴습니다. 그렇게 Akamai Segmentation을 빠르게 검토 대상에 올리게 되었습니다. 이후 여러 데모와 PoC를 진행하면서 적합한 방향을 찾게 되어 최종적으로 Akamai 고객사가 되었습니다.

Guardicore 도입을 되돌아봤을 때, 배포 측면이나 기업에 가져온 개선 효과 측면에서 Guardicore가 기업을 어떻게 변화시켰다고 생각하시나요?

이 프로젝트를 진행할 당시에는 오랫동안 일반적으로 사용되어 온 기존 방화벽 구축 방식을 검토하고 있었습니다. 하지만 동일한 목표를 달성하면서도 더 적은 인력으로 운영할 수 있는 새로운 접근 방식을 원했습니다. Guardicore는 이러한 요구 사항을 모두 충족했습니다. 에이전트 기반 솔루션을 제공했기 때문입니다. 덕분에 대규모 인프라 변경 없이도 도입 첫날부터 트래픽에 대한 심층적인 가시성과 제어 기능을 확보할 수 있었습니다. 

AI 지원 정책 적용 및 정책 추천 기능은 어떠한가요? 이러한 기능이 기업 개선 측면에서 어떤 효과를 가져왔나요?

GPE는 특히 네트워크 보안 팀에서 애플리케이션을 정책 적용 모드로 롤아웃하는 프로세스를 크게 개선했습니다. 애플리케이션 담당자는 완전하게 작동하는 링펜싱을 더 빠르게 배포할 수 있게 되었고, 실제 구축을 담당하는 엔지니어링 측면에서도 소요 시간이 크게 단축되었습니다. 또한 환경 내 각 애플리케이션에 필요한 효과적인 방화벽 규칙 세트를 구성하는 데 필요한 작업 시간도 크게 줄었습니다. 이 부분이 저희에게는 가장 큰 개선 효과였습니다.

지금까지 Guardicore Segmentation 배포와 Akamai와의 협력에 대해서는 어떻게 평가하시나요?

매우 만족스럽습니다. Guardicore는 저희가 찾고 있던 모든 요구 사항을 충족했습니다. 가시성, 간편한 제어, 세분화된 제어가 필요했는데, 이러한 요구 사항을 모두 도입 첫날부터 충족할 수 있었습니다. 롤아웃도 수월했습니다. 제품에 대한 신뢰를 쌓는 과정도 매우 순조로웠습니다. 지금까지 저희가 필요로 했던 모든 부분을 충족하고 있습니다.

정책 생성 기능의 베타 프로그램을 도입하기 전 사용하던 기존 세그멘테이션 솔루션과 비교했을 때, AI 정책 엔진은 어떻다고 생각하시나요? 배포 측면에서 도입 전후가 어떻게 달라졌나요?

제 관점에서 말씀드리면, 퀸과 긴밀하게 협력하면서 핵심 서비스의 트래픽 로그를 역으로 분석하기 위해 한 번에 한 시간씩 여러 차례 작업했던 기억이 납니다. 그만큼 많은 작업 시간이 필요했습니다. 게다가 분석하려면 먼저 해당 트래픽이 존재해야 합니다. 즉, 애플리케이션에서 실제로 트래픽이 발생해야 했습니다. 그래서 한 시간씩 분석하는 작업을 한 번으로 끝낼 수 있는 것이 아니라, 더 많은 트래픽이 수집될 때까지 일주일에 걸쳐 여러 차례 반복해야 했습니다. 그렇지? 그리고 GPE 엔진은 당시 저희가 직접 분석했던 것처럼 실시간 데이터만 활용하는 것이 아닙니다. GPE 엔진은 지난 30일 동안 수집된 로그까지 분석합니다. 따라서 제가 알림 정책의 적중 횟수를 마지막으로 초기화한 이후 직접 확인하지 못했던 활동까지 포착할 수 있습니다. 결국 제가 더 많은 시간을 직접 투자하지 않고도 훨씬 더 포괄적인 상황을 파악할 수 있게 된 것입니다.

현재 역할의 관점에서 봤을 때, AI 정책 엔진을 통해 팀의 어떤 업무 부담이 줄었다고 생각하시나요? 검색 단계의 부담을 줄여준 것인가요?

네, 그렇습니다. 프로젝트를 시작했을 당시에는 애플리케이션 담당자들도 자신의 애플리케이션이 정확히 어떤 작업을 수행하고 무엇과 통신하는지 항상 명확하게 파악하고 있는 것은 아니었습니다. 정책 엔진을 사용하면서 이제는 애플리케이션이 어떻게 동작하고 있는지 매핑된 형태로 보여주고, 이를 바탕으로 어떤 룰을 적용할 것인지 애플리케이션 담당자와 논의할 수 있게 되었습니다. 예를 들어 지난 30일간의 트래픽을 기반으로 어떤 통신을 차단하고 어떤 통신을 허용해야 하는지 예상되는 내용을 애플리케이션 담당자에게 보여주면, 담당자는 이를 검증하기만 하면 됩니다. 그 결과 전체 프로세스가 훨씬 더 간단하고 수월하며  원활해졌습니다. 정말 큰 도움이 되고 있습니다.

실제로 정책을 적용하기 전에 시뮬레이션할 수 있는 기능이 기업에 얼마나 중요하다고 생각하시나요? 오탐을 방지하거나 서비스 중단을 예방하는 측면에서 기업에 어떤 영향을 미쳤나요? 각 정책 룰 세트에 대해 알림 룰을 통해 시뮬레이션할 수 있다는 점은 변경 심의 위원회의 신뢰를 얻는 데 큰 도움이 되었습니다.

티어 1, 티어 2, 티어 3 등 어떤 시스템이든 정책 적용 모드로 전환하려면 변경 심의 위원회의 검토를 거쳐 승인을 받아야 합니다. 기존 방화벽에 새로운 차단 룰을 적용할 때와 비교하면, 이 기능을 사용한 이후 승인 담당자들의 신뢰를 얻고 안심시키는 일이 훨씬 수월해졌습니다. 관리자뿐만 아니라 애플리케이션 담당자에게도 큰 도움이 되었습니다. 정책을 실제로 적용하기 전에 결과를 보여줄 수 있기 때문에, Guardicore가 의도하지 않은 트래픽을 차단해 휴일에 서비스 중단이 발생하거나 한밤중에 긴급 연락을 받는 일이 없을 것이라는 확신을 줄 수 있습니다. 기업 내 신뢰를 구축하는 데 매우 큰 역할을 했습니다.

다양한 툴에 AI가 도입되고 AI 자체를 보호하는 것도 중요해지는 상황에서, 근거를 바탕으로 이러한 활동이 확인되었기 때문에 이 정책을 적용한다고 설명할 수 있는 Explainable AI가 얼마나 중요하다고 생각하시나요?  이를 통해 기업이 AI의 판단을 신뢰할 수 있을 뿐만 아니라, AI가 정책을 추천하고 그 근거를 제시하더라도 정책을 자동으로 적용하는 것이 아니라 최종적인 적용 여부는 사람이 결정하는 human in the loop 방식을 유지할 수 있습니다. 이러한 방식이 얼마나 중요하다고 생각하시나요?

흥미로운 부분이네요, 그렇죠? 매우 중요합니다. 기술 부채를 쌓고 싶지는 않기 때문입니다. AI 정책을 통해 이러한 시스템에서 생성되는 결과는 정확하고 기업에 실질적인 가치를 제공해야 합니다. 따라서 생성된 룰의 근거를 명확하게 설명할 수 있어야 하며, AI가 엔지니어나 팀에 제공하는 정보 역시 설명 가능해야 합니다. AI가 업계에서 더욱 보편화됨에 따라 이러한 부분은 앞으로 몇 년 동안 더욱 중요해질 것이라고 생각합니다.

에반, GPE가 제안한 내용 중 기업의 보안 체계를 개선하는 데 도움이 된 실제 사례를 소개해 주실 수 있을까요?

네, 물론입니다. GPE와 관련된 예를 하나 들어보겠습니다. 예를 들어 애플리케이션 1에서 애플리케이션 2로 포트 80이나 443 등을 통해 통신하는 패턴이 있다고 가정해 보겠습니다. 그런데 두 번째 제안에서는 단일 IP 주소가 정확히 동일한 통신을 수행하는 것으로 나타날 수 있습니다. 저에게는 이것이 즉시 위험 신호가 됩니다. 배포 과정에서 해당 시스템에 에이전트를 설치하지 않았거나, 애플리케이션 레이블링을 지정하는 과정에서 에이전트 하나를 누락했을 가능성이 있기 때문입니다. 그러면 Guardicore에서 레이블이 지정된 자산이나 관리 대상 자산으로 인식하지 못하고 있는  이 엔드포인트가 무엇인지 조사해야 합니다. 이후 애플리케이션 팀과 협력해 해당 엔드포인트가 무엇인지 파악하고 적절한 태그를 지정합니다. 이를 통해 해당 엔드포인트에 대한 가시성을 확보할 뿐만 아니라 정책도 적용할 수 있습니다. 그 결과 환경에서 승인되지 않은 워크로드가 실행되는 것을 방지할 수 있습니다.

이러한 툴을 구축한 이후 운영 측면에서 체감한 효과 중 측정 가능한 것이 있나요? 예를 들어 최종 사용자 문제 해결이나 시간 절감 등
구체적인 효과가 있었나요?

네, 분명히 있습니다. 운영 측면에서 보면 제가 여기서 담당하는 네트워크 보안 업무와 직접적인 관련이 없는 경우에도, 프로세스 수준에서 어떤 일이 발생하고 있는지 파악할 수 있는 가시성을 갖고 있기 때문에 제가 관리하지 않는 애플리케이션이나 시스템의 문제 해결 세션이나 서비스 중단 문제에도 참여하게 되는 경우가 있습니다. 예를 들어 애플리케이션 서버의 SMTP 릴레이가  특정 DNS 레코드로 설정되어 있는데, DNS 레코드는 존재하지만 실제 서버는 없는 경우를 확인할 수 있습니다. 반면 같은 서버 팜에 있는 다른 10대의 서버는 정상적으로 응답하는 다른 대상으로 설정되어 있고, 그것이 올바른 설정이라는 것도 확인할 수 있습니다. 이처럼 문제 해결 과정에서  제가 참여해 프로세스 수준까지 세부적으로 확인하고, 애플리케이션 담당자가 문제를 파악하는 데 도움이 되는 추가 정보를 제공하는 경우가 많습니다.

경험에 비추어 볼 때, Akamai가 AI를 어떻게 차별화해 활용하고 있는지 동료들에게 설명하는 것이 얼마나 중요하다고 생각하시나요?

중요하다고 생각합니다. 많은 기업이 자사 시스템에 AI를 도입하고 있지만, 그것이 실제로 최종 사용자나 엔지니어에게 가치를 제공하는지는 논의의 여지가 있습니다. 그런 점에서 Akamai의 접근 방식은 더 나은 방법 중 하나라고 생각합니다. Akamai는 실제로 가치를 제공하고 있습니다. GPE 엔진은 단순히 쓸모없는 결과를 내놓는 AI 기능이 아닙니다. GPE 엔진이 실제로 제시하는 제안은 유용하며, 기업에 가치를 제공할 뿐만 아니라 실질적인 시간 절감 효과도 제공합니다. 그리고 저는 다른 벤더들도 이런 방향으로 나아갔으면 합니다.

플랫폼 전반에서 기업에 가장 큰 가치를 제공한 기능은 무엇이라고 생각하시나요?

단연 GPE 엔진이라고 생각합니다. Guardicore가 저희 환경에 필요한 세그멘테이션 요구 사항을 충족한 것과 별개로, 제품을 구매해 고객이 된 이후 GPE 기능이 추가되면서 실질적인 부가 가치를 얻을 수 있었습니다. 퀸과 저는 항상 여러 프로젝트를 동시에 진행하고 있으며, 새로운 이니셔티브와 관련된 문제 해결 회의에도 참여하고 있습니다. 따라서 배포 단계에서 핵심 사용자들이 투입해야 하는 시간을 줄일 수 있다는 점은 매우 큰 이점입니다. 덕분에 시간을 확보해 자동화하거나 효율화하기 어려운 다른 업무에 더 집중할 수 있게 되었습니다.

여러 세그멘테이션 솔루션을 검토하셨는데, 세그멘테이션 벤더의 관점에서 Guardicore가 링펜싱에 필요한 시간을 얼마나 단축했다고 생각하시나요?

또한 기업 전반의 배포 소요 시간 측면에서도 그 가치가 확대되었다고 보시나요? Akamai가 기업에 어떤 효과를 가져왔다고 생각하시나요? 

가장 잘 설명하자면, 업계에서는 오랫동안 동서 트래픽 세그멘테이션을 구현하는 정형화된 방식이 있었습니다. 기존 방화벽을 도입해 원하는 네트워크 거점에 배치하고 방화벽 규칙을 설정하거나, 스위치에 ACL을 적용하는 방식이었습니다. 하지만 에이전트 기반 방식에서는 정책을 설정하고 에이전트를 시스템에 설치하기만 하면 바로 시작할 수 있기 때문에 배포 속도가 훨씬 빨라졌습니다. 원래는 기존 접근 방식을 사용할 계획이었는데, 그렇게 했다면 서비스 중단 시간과 유지 관리 시간대를 거치는 등  실제로 트래픽을 확인하고 이를 바탕으로 의사결정을 내릴 수 있는 단계에 도달하기까지 수개월이 걸렸을 것입니다. 반면 Guardicore를 사용하면서는 단 일주일 만에 모든 머신에 에이전트를 설치하고 배포 프로세스를 진행할 수 있었습니다. 물론 다른 배포 과정과 마찬가지로 여러 단계를 거쳐야 했지만, 무엇보다 가시성을 확보하기까지 걸리는 시간이 훨씬 짧았습니다. 그 이후에는 정책을 적용하고 의사결정을 내리기 시작할 수 있었습니다. 데이터를 즉시 활용할 수 있고 필요한 정보도 바로 확인할 수 있었습니다. 매우 큰 도움이 되었으며, 앞으로 업계도 분명 이러한 트렌드로 발전할 것이라고 생각합니다.

Akamai Guardicore는 기업의 제로 트러스트 모델을 적용하는 데 어떤 역할을 했나요? 또한 운영 측면에서 동서 트래픽 방화벽을 넘어 Guardicore로 구현할 수 있는 새로운 가능성을 확인하게 되었나요? 처음 기대했던 것 이외에 다른 활용 사례나 가치를 발견한 것이 있나요?

네, 분명히 있습니다. 처음 고객이 되어 제품의 기능을 파악했을 당시에는 당연히 롤아웃을 어떻게 진행할지에 대한 프로젝트 계획이 있었습니다. 하지만 시간이 지나면서 제품에 대한 경험이 쌓이고 Guardicore로 무엇을 할 수 있는지 더 깊이 이해하게 되자 방식도 달라졌습니다. 구체적인 내용을 모두 말씀드리기는 어렵지만, 처음에는 일부 애플리케이션에 링펜싱을 적용하는 수준에서 마무리했습니다. 이후 2단계 배포에서는 보안에 매우 민감한 시스템을 다시 살펴보기 시작했습니다. 예를 들어 더 이상 보안 업데이트가 제공되지 않는 시스템을 보호하기 위한 대안으로 Guardicore를 활용하고, 훨씬 더 엄격한 프로세스 기반 규칙을 적용할 수 있습니다. 이 경우 링펜싱의 범위도 훨씬 더 세밀하게 좁힐 수 있습니다. 환경 내 애플리케이션 전체를 하나의 링펜스로 설정하는 대신, 워크스테이션이나 메일 서버 등과 통신할 필요가 없는 특정 서버 클러스터 하나까지 범위를 좁혀 보호할 수 있습니다.

현재 배포 현황을 기준으로 대략 몇 개의 애플리케이션을 보호하고 있나요?

네, 현재 100개가 조금 넘는 애플리케이션을 보호하고 있으며, 기업이 확장됨에 따라 그 수는 계속 증가하고 있습니다. Guardicore 덕분에 이 과정도 매우 수월해졌습니다.

인시던트 대응 측면에서는 어떻습니까? MTTR을 가속했나요? 기업의 조사 과정을 단축하는 데도 도움이 되었나요?

네, 물론이죠. 저희 SOC 분석가와 인시던트 대응 팀은 물론 에반과 저도 해당 팀의 일원입니다. Guardicore를 통해 현재 어떤 일이 발생하고 있는지 훨씬 빠르게 파악할 수 있게 되었습니다. 예를 들어 특정 프로세스에 대해 XDR 알림이 발생했다고 가정해 보겠습니다. 이제는 XDR 로그만 일일이 분석해 상황을 파악하는 것이 아니라, 해당 머신이 지난 7일 동안 어떤 대상과 통신했는지? 정확히 어떤 작업을 수행했는지? 해당 프로세스에서 네트워크 트래픽이 발생했는지까지 확인할 수 있습니다. 따라서 XDR 툴만으로는 제공하기 어렵거나 Guardicore만큼 상세하게 제공하지 못하는 수준의 가시성을 확보할 수 있게 되었습니다.

링펜싱을 사용하는 마이크로세그멘테이션 솔루션을 배포하면서, Akamai Guardicore Segmentation이 없었다면 놓쳤을 수도 있는 설정 오류나 악성 활동을 얼마나 자주 발견하시나요?

거의 모든 애플리케이션 또는 두 개 중 하나꼴로 무언가를 발견한다고 말씀드릴 수 있습니다. 모두 보안 문제인 것은 아니지만, 설정 오류는 확실히 자주 발견됩니다. 예를 들어 포트 443 대신 포트 80으로 요청이 전송되거나, 중요 시스템에서 SFTP 대신 FTP 작업이 실행되는 경우처럼 단순한 문제도 있습니다. GPE 또는 로그 자체를 통해 이러한 활동을 프로세스 수준까지 매우 쉽게 확인할 수 있습니다. 또한 네트워크 로그를 간편하게 내보내 애플리케이션 담당자에게 전달한 다음, 한 달 이내에 이 문제를 해결해 주세요와 같이 개선 작업을 할당할 수도 있습니다. 해당 기간 내에 해결하기 어렵다면 다시 논의해 어떤 조치를 취할 수 있는지 함께 검토합니다. 이러한 가시성만으로도 문제를 파악하고 개선하는 데 필요한 상당한 인사이트를 얻을 수 있었습니다. 이 정도면 마무리된 것 같습니다.

두 분 모두 시간 내주셔서 대단히 감사합니다. Akamai와 함께해 주시고 지속적으로 협력해 주셔서 감사드리며, 시청해 주신 여러분께도 감사드립니다.