NAC 제품이 시장에 등장하고 벌써 10년이라는 시간이 지났습니다.
내부망 보안의 대안으로 자리잡은 NAC는 과연 어떻게 발전할 수 있을까요?
미래에 대한 전망을 위해 과거로부터 지금까지 걸어온 발자취를 살펴보는 것이 도움이 될것 같습니다.
2000년대 초반 처음으로 등장했던 NAC는 악성코드가 네트워크로 확산되는 것을 막기 위한 제품이었습니다. 대표적인 시스코의 SDN(Self Defense Network)에 포함된 NAC는 그 구성이나 요구 사항이 지금 보아도 매우 복잡합니다. 제한된 802.1X와 에이전트(Supplicant), 정책서버(ACS) 등 물리적 환경 구축 과 보안정책의 운용에 대한 요구는 그림 상으로는 좋았지만 당시의 현실과는 동떨어져 보입니다. 결국 초기의 NAC는 악성코드 확산 방지 솔루션(?)으로 자리매김 하는 것에 실패하게 됩니다.
10년이 지나, 2010년 발행된 가트너 자료를 살펴보면, NAC의 사용 목적이 초기와 확연하게 달라졌음을 알 수 있습니다.
- 75%의 기업이 외부인의 네트워크 사용(Guest Network)을 위해
- 15%의 기업이 단말 보안 강화(Endpoint baselining)를 위해
- 5%의 기업이 격리(Quarantine)를 위해서
- 5% 미만의 기업이 네트워크에 존재하는 관리대상을 인지하기(Identity-aware networking)하기 위해라고 밝히고 있습니다.
당시 국내 상황도 크게 다르지 않았습니다. 차세대 시스템 구축, 인프라 고도화 등 IT 프로젝트가 증가하면서 외주개발자나 방문자 등 외부인을 위한 네트워크 구축이 필요해졌습니다. 관리자는 이들을 직원들과 효과적으로 분리해야 했으며, 동시에 비인가 접속 시도나 내부의 중요 자산으로의 접근을 차단해야 했습니다. 이러한 요구 등이 NAC의 기능과 맞물리면서 시장에 뿌리 내리기 시작했습니다.
그리고 2011년 농협전산망 해킹 사건으로 인해 사용자를 포함한 내부 보안에 대한 중요성과 관리의 필요성이 급부상하게 됩니다. 이것은 NAC가 내부망 보안을 위한 가장 현실적인 대안으로 평가 받으며 확산되는 계기가 되었습니다. NAC의 도입/구축 사례 증가와 시장 규모의 변화, 관련 업체의 매출액 추이가 이를 증명 합니다. 현재는 스마트폰과 태블릿 등으로 시작된 BYOD(Bring Your Own Device) 와 IT Consumerization 이 NAC에 새로운 도전 과제를 주고 있습니다.
NAC는 Network Access Control의 약자로 통상 접근제어 솔루션 이라고 합니다. 그러나 정작 접근을 제어하는 기능은 NAC 제품이 제공하는 기능 중에 극히 일부입니다. 지금의 NAC는 ‘단말의 상태에 따라 자원(네트워크 포함)의 사용을 관리하는 솔루션’이라고 보는 것이 타당합니다.
NAC 솔루션은 크게 ‘정보수집–평가–조치’ 프로세스로 운영이 되는데, 각 단계마다 신뢰성(Reliability)과 정합성(Consistency)을 높이기 위한 많은 기술이 연구되고 적용되어 있습니다. 단말을 인식하고 구별하는 기술, 상태를 획득하고 평가하는 기술, 가상의 관리 대상을 만들고 보안 정책을 구현하는 기술 등 다양한 통제 방법을 제공하고 있습니다.
과거에 NAC 도입 목적 중 5%에 불과했던 ‘네트워크에 존재하는 관리 대상 인지(Identity-aware networking)’가 최근에는 ‘가시성(Visibility) 확보’라는 커다란 화두로 떠오르고 있습니다. 동시에 NAC는 내부 네트워크에 존재하는 모든 것을 인지(awareness)하기 위해 발전하고 있다.
15%에 해당하는 단말 보안(Endpoint baselining)은 컴플라이언스 이슈와 함께 NAC가 다시 해결해야 할 숙제가 되고 있습니다. NAC가 가지고 있는 정보는 내부 보안 프레임워크로서 리소스 센터 역할을 하기에 충분합니다. 빅데이터 시대를 맞이하며 내부망 보안 고도화를 위한 금맥을 캐낼 날도 멀지 않아 보입니다.
저는 위에서 언급한 NAC의 이슈들을 매주 하나하나 짚어보고자 합니다. 그리고 정말로 관리자의 낙(樂)이 되기 위한 방법이 무엇인지 여러분과 함께 고민하고 싶습니다.
