올해도 변함없이 RSAC 전시회를 둘러보고 왔습니다. 매년 전시회를 둘러보며 놀라움을 금치 못하지만, 올해가 가장 인상 깊은 해로 기억될 것 같습니다. 20년 넘게 몸 담은 정보보안 시장의 지각변동을 눈으로 확인했다고 할까요? 코로나로 시작된 변화의 준비가 채 끝내기도 전에 이미 바뀐 세상의 모습을 보면서 불안하고 두려운 마음이 앞섰습니다. 동시에 해야 할 일이 차고 넘쳐 다행이라는 안도감도 느낄 수 있었습니다. 매년 참가하는 RSA 전시회, 올해는 무엇이 저를 이렇게 불안하고 가슴 뛰게 했는지 확인해 보겠습니다.
[ 행사장 벽에 붙은 타이포그래피, 보안의 영역과 대상이 무엇인지 생각하게 한다 ]
올해로 RSA 행사는 32회를 맞이했습니다. 주최측은 약 620여 업체가 전시에 참가하고 4만여 관객이 다녀갔다고 발표했습니다. 이는 작년 약 470여 업체 참여 대비 30% 이상 증가한 수치 입니다. 그 때문인지 역대 그 어느 때보다 많은 인파로 북적거리는 전시회였습니다.
[ South - North를 연결하는 통로, 지나가기 힘들 정도였다. ]
올해 전시회의 슬로건은 ‘Stronger Together’ 로 ‘함께하면 더 강력하다’ 는 의미로 해석될 수 있을 것 같습니다. 매년 전시회 슬로건을 보며 의미를 유추해 봅니다. 이를 통해 해결과제를 파악하고 앞으로 집중 및 지향해야 하는 것이 무엇인지를 생각할 수 있습니다. 그런 의미에서 과거의 슬로건을 통해 제 개인적으로 아래와 같은 의미를 부여해 보았습니다.
2020년 : Human Element (인적 자원)
- 공격 고도화로 솔루션 뿐 아니라 인적자원의 협업 필요
2021년 : Resilience (회복력)
- 코로나 펜데믹 및 사이버 펜데믹으로부터 회복력 필요
2022년 : Transform (변경, 변하다)
- 펜데믹에 의한 디지털 전환을 위한 보안업계의 변화 필요
2023년 : Stronger Together (함께하면 더 강하다)
- 클라우드, 생성AI 등 고도화된 위협대응 위한 강력한 협업 필요
코로나로 촉발된 디지털전환(Digital Transformation)은 IT 환경을 포함한 많은 부분에 큰 변화를 초래 했으며 제로트러스트(ZeroTrust) 등 새로운 보안프레임워크의 도입을 촉진하는 계기가 되었습니다. 한편 최근 불어 닥친 chatGPT 열풍은 보편적 인공지능의 가능성뿐 아니라 부정적인 가능성도 보여주고 있습니다. 인공지능/머신러닝의 도움으로 취약점을 빠르게 찾을 수 있으며 개발자가 아니어도 이를 공격하기 위한 악성코드도 쉽게 제작할 수 있게 되었습니다. 기존의 보안 체계를 무력화 하거나 우회하는 것도 가능합니다. 고도화된 위협이 보편화 되었다 볼 수 있습니다.
클라우드와 재택 등 변화된 환경에 보안이 채 성숙도 되지 못한 상황에서 새로운 거대위협이 등장했습니다. 우리는 어떻게 대응해야 할까요? 이것이 바로 강력한 협업(Stronger Together)이 필요한 이유가 아닐까 싶습니다.
이러한 이유 때문인지 올해 전시의 메인 화두는 단연 XDR 이었습니다. ‘공급망보안, 클라우드, 애플리케이션과 API’ 등 다양한 분야를 확인할 수 있었지만 XDR의 위세를 넘지는 못했습니다. XDR은 최근에 대두된 개념은 아닙니다. 가트너(Gartner)는 이미 2020년 “Innovation Insight for Extended Detection and Response.” 에서 XDR의 중요성(Primary Value)을 아래와 같이 언급하였습니다.
The primary value propositions of an XDR product are to improve security operations productivity and enhance detection and response capabilities by including more security components into a unified whole that offers multiple streams of telemetry, presenting options for multiple forms of detection and concurrently enabling multiple methods of response.
요약하면 ‘XDR은 다양한 보안요소와 그로부터 발생하는 텔레메트리를 통합하여 보안운영과 탐지/대응 분야 역량을 강화하기 위한 것’ 이라고 할 수 있습니다. 이러한 과점에서 다수의 전시업체가 고유의 보안 기능을 소개함과 동시에 어떻게 통합 및 연동을 할 수 있는지에 대한 다양한 방법을 제시하였습니다. X를 단순히 확장된(extended) 개념 보다는 아래와 같이 분류하여 이해하는 것이 도움이 될 것 같습니다. SOPHO는 ‘Extended Detection and Response – A Beginner’s Guide’ 에서 X를 아래와 같이 분류하고 있습니다.
대형 단일 벤더로 주도되는 XDR(Native)군 과 이에 대항하는 연합군(Open) 모습이 그려집니다. Fortinet 과 PaloaltoNetworks, Securonix 와 StellarCyber가 떠오릅니다. 연동과 협업에 절대 우위가 존재할 수는 없을 것 같습니다. 나의 상황에 가장 적절한 적용방법이 있을 뿐 입니다. 선택지가 많다는 것이 부럽습니다. 결과적으로 개방과 협업의 마인드가 이룬 결과라고 할 수 있습니다. 개발 초기부터 연동을 고려한 문서를 제작하고 API를 동시에 개발하여 무료로 제공하는 이러한 문화가 XDR 이라는 새로운 협업의 생태계 조성에 바탕이 되었다고 생각합니다. 돈이 되지 않는다며 API 개발에 소극적이거나 업체간/제품간 조건을 따지며 API를 주고받는 국내 환경을 고려했을 때 당분간 이러한 격차는 극복되기 쉽지 않을 것 같아 씁쓸함을 느꼈습니다.
[ 전시장에서는 다양한 XDR의 해석과 사례를 볼 수 있었다. ]
개인적으로 chatGPT가 적용된 다양한 제품/서비스를 볼 것이라 기대했으나 MS, Google 등 일부 기업을 통해 가능성은 확인할 수 있었습니다. 공개된 서비스의 다수는 TI(Threat Intelligence)분야에 집중되었습니다. 예를 들어 작성된 코드/스크립트에 잠재적인 위협을 검증하고(VirusTotal Code Insight) 기계어(Assembly) 코드가 어떠한 기능을 하는지 알려주고 파워쉘(PowerShell) 명령어를 해석해 주는 등의 기능을 주로 확인할 수 있었습니다. 과거에도 인공지능을 정보보안에 적용한 사례는 쉽게 찾아볼 수 있습니다. 대표적인 사례로 딥러닝(Deep Learning)을 이용한 악성코드 탐지가 있습니다. 그러나 특성상 결과가 숫자(확률)로 표기되고 모호한(Grey) 영역이 많아 결국 최종 판단은 사람의 몫인 경우가 많았습니다. 개인적으로 chatGPT로 촉발된 언어이해(예: BERT) 및 언어생성(예: GPT) 모델의 도움으로 보다 신속한 판단과 정확한 대응이 가능해 질 것이라 생각됩니다. 인공지능으로의 대체가 아닌 인공지능과의 협업의 방향으로 발전해 나아가길 기원 합니다.
[ MS Cortana, VirusTotal, Recorded Future 등 위협인텔리전스 분야 사례를 볼 수 있었다 ]
2022년 RSAC 행사를 주도한 키워드는 ‘제로트러스트’ 이었습니다. (2022년 RSA 참관기 참조) 그러나 올해는 이상하다고 느낄 만큼 제로트러스트 및 관련분야(ZTA, ZTNA, SASE, SSE 등)를 찾기 어려웠습니다. 이를 두고 동료들 간에 의견이 분분했습니다. 단기 마케팅 용어였다는 의견부터 XDR, 클라우드로 대체되었다. 실제 적용에 실패 하여 사라졌다 등 다양한 의견이 있었습니다. 그러나 다수 벤더의 솔루션 소개와 데모/시연 사이사이에는 강력한 인증과 최소한의 권한제공, 지속적인 감시와 제어 등 제로트러스트의 원칙이 녹아 있었습니다. 결국 우리는 제로트러스트는 사라진 것이 아니라 ‘빠르게 내제화 되는 중’ 으로 보는 것이 타당하다라는 결론에 이르렀습니다.
국내에서도 한국형 제로트러스트 모델을 발굴하고 가능성을 시험하기 위한 다양한 시도가 진행되는 것으로 알고 있습니다. 업체간 다양한 협업과 적극적인 노력으로 한 단계 진보된 보안체계가 국내에 자리매김하기를 기원합니다.
[ 메시지는 예년 보다 줄었지만 제로트러스트 원칙은 지켜지고 있었다. ]
이미 사우스홀(South Hall)에서는 작년부터 큰 변화가 시작되었습니다. 그것은 MS, Cisco 등 거대 기업규모에 맞먹는 (신규)보안업체의 참여 입니다. 이미 작년 참관기에서 EXPEL(MDR), Contrast Security(CSA, DevSecOps), SALT(API Gateway), Ermetic(CIEM/CSPM/CNAPP), Keeper(Password Mgmt.), MEND(CSA, 전 Whitesource) 등의 보안업체 참여와 위세를 언급했는데 올해는 체감적으로 더 크고 더 많은 관련 업체들이 참가했습니다. 그리고 절대 다수가 클라우드와 연관된 보안 솔루션/서비스 이었습니다. 클라우드 보안 이라는 영역안에 많은 분야가 있어 그 관계를 이해하는데 아래 내용이 참고가 될 것 같습니다.
[ 클라우드 보안의 범주, 가트너 ]
전시장에서는 다수의 CSPM, CIEM, CNAPP 등의 솔루션을 확인할 수 있었고 더불어 용어 및 개념의 이해와 자사 솔루션의 특장점을 소개하는 프레젠테이션을 볼 수 있었습니다. 더불어 WAAP(Web Application & API Protection) 및 API Security 라는 새로운 키워드 및 솔루션도 다수 확인할 수 있었는데, 이는 클라우드 환경에서 컨테이너와 MSA(Micro Service Architecture)로 구성되어 동작하는 현대화된 앱(App)을 고려할 때 반드시 필요한 분야로 향후 급 성장이 예상되는 분야라고 할 수 있습니다.
[ 마이크로서비스 아키텍처와 API 기반 위협, 넥스트데일리 등 ]
이러한 업체들의 가능성은 ‘Cybersecurity Almanac 2022’ 등의 보고서를 통해서도 확인할 수 있습니다. 다수의 기업이 사이버시큐리티 분야 유니콘(기업가치 10억 달러, 1조원 이상)기업입니다. 이것은 정보보안 분야의 투자가 (1) Cloud Security (2) ID & Access Management (3) Fraud & Transaction Security 분야로 향하고 있으며 이 분야가 미래에 큰 시장가치를 인정받는다는 증거라 하겠습니다.
[ Cybersecurity Unicorns, Cybersecurity Almanac 2022 ]
IT 환경이 변화하면서 경계선 보안 시대는 종말을 맞이했습니다. 이제 클라우드 시대 새로운 경계선으로 ID(Identification)가 떠오르고 있습니다. 이제 ID는 단순한 식별뿐 아니라 권한부여와 접근통제, 자원할당 등 업무를 위한 모든 영역에서 열쇠(Key)로 동작하고 있습니다. 이에 발맞추어 역설적이게도 강력하면서도 편리함을 위한 ‘ID 통합관리플랫폼(IDP), 싱글사인온(SSO), 다중인증(MFA), 부정사용 및 권한관리(PAM), 생체인증(FIDO)’ 등 다양한 관련 솔루션을 확인할 수 있었습니다.
[ 다양한 인증분야 기업들, 그 어느 분야 보다 헤게모니를 쥐는 자가 크게 승리할 것이다. ]
마지막으로 전시회에서 무시할 수 없는 키워드는 SAST / DAST / SCA 였습니다. 이것은 Static Application Security Testing, Dynamic Application Security Testing, Software Composition Analysis 의 약자로 모두 공급망보안 분야 핵심 키워드라고 할 수 있습니다. 공급망보안은 클라우드, 제로트러스트와 함께 미 연방정부 사이버보안 개선을 위한 핵심 분야 중 하나로 빠르게 성장하고 있는 분야 입니다. 이제 보안이 소프트웨어 ‘개발 – 테스트 - 배포 – 운영 – 패치’ 등 전 주기(Life Cycle)에 적용되어 안전한 미래 IT 환경을 보호하는 핵심기술로 자리잡게 될 것 입니다.
[ 바이너리 및 소스코드 분석에서 chatGPT 등의 적용사례가 많이 보이기를 희망한다. ]
최근 국내 클라우드 보안 행사에 참석했습니다. 전통의 보안강자는 보이지 않아 놀랐고, 얼마 전 RSA 행사장에서 보았던 업체가 참가하여 한번 더 놀랐습니다. 제게는 보안 분야에 새로운 판(시장)이 생기려는 움직임으로 보입니다. 전체 시장 규모가 커지는 긍정적인 효과가 있을 것으로 기대가 됩니다. 이 분야에 많은 기업들이 태어나고 참여할 것이라 예상 됩니다. 그러나 동시에 RSA 전시회에서 확인한 보안시장의 변화가 지금 국내 시장에서도 그대로 적용될 수 있을까 하는 걱정도 앞섭니다. 예를 들어 API Security 가 IaaS 전환(Lift & Shift) 중심의 국내 클라우드 환경에서 두각을 나타내는 시기는 언제일까, 제안요청서(RFP)에 가시성확보를 위해 ‘쿠버네티스의 옵저버빌리티’ 가 포함되려면 얼마나 더 기다려야 할까……. 등 입니다. 그러나 한편으로는 대응할 수 있는 시간이 있어 다행이라는 생각이 듭니다. 느리더라도 변화는 올 것 입니다. 천천히 자세히 살피는 것으로 다음을 준비해야 하겠습니다.