VPN(가상사설망)은 오랫동안 국내 보안 시장에서 중요한 역할을 해왔습니다. 그러나 현대의 복잡한 IT 환경과 보안 위협이 증가함에 따라 전통적인 VPN의 한계를 극복하기 위해 제로트러스트(Zero Trust) 개념이 도입되고 있습니다. 본 블로그에서는 제로트러스트가 차세대 VPN에 어떻게 적용되는지, 그리고 기존 VPN과의 차별점을 살펴보겠습니다.
◈ 요약
- 제로트러스트 개념이 도입되면서 전통적인 VPN의 한계를 극복하는 차세대 VPN 등장
- 제로트러스트는 "항상 검증하고, 절대 신뢰하지 말라"는 원칙에 기반
- 차세대 VPN은 ZTNA, SDP 등의 기술을 통해 더 강력한 보안 제공
- 지속적인 인증, 최소 권한 원칙, 애플리케이션 수준의 접근 제어 등이 특징
- 기존 VPN과 달리 네트워크 전체가 아닌 필요한 리소스에만 접근 허용
- 하이브리드 근무 환경에서 더욱 중요해지는 보안 패러다임의 전환
0. 개요: 제로트러스트 시대의 VPN
제로트러스트와 SDP개념의 도입으로 전통적인 VPN의 한계를 극복하는 차세대 VPN이 등장하였습니다. 이는 단순한 기술적 변화를 넘어 보안 패러다임의 전환을 의미합니다.
(1) 제로트러스트의 핵심 원칙
- "항상 검증하고, 절대 신뢰하지 말라"는 원칙에 기반합니다.
- 지속적인 인증과 최소 권한 원칙을 적용합니다.
(2) 차세대 VPN의 특징
- 지니언스에서는 ZTNA(Zero Trust Network Access), SDP(Software Defined Perimeter) 등의 기술을 혼합 활용하여 차세대 VPN을 구현 합니다.
- ZTNA에서는 애플리케이션 수준의 세분화된 접근 제어 제공합니다.
- 차세대 VPN은 네트워크 전체가 아닌 필요한 리소스에만 접근을 허용합니다.
(3) 기존 VPN과의 주요 차이점
- 보안 모델: 경계 기반 보안에서 자원 중심 보안으로 전환합니다.
- 인증 방식: 지속적이고 동적인 인증 프로세스를 적용합니다.
- 접근 제어: 세분화된 정책 기반 접근 제어를 구현합니다.
- 가시성: 사용자 활동과 애플리케이션 접근에 대한 향상된 모니터링을 제공합니다.
(4) 확장성 및 유연성
- 아키텍처: 클라우드 기반 솔루션으로 유연한 확장이 가능합니다.
- 비용: SaaS 모델을 통한 경제적인 운영이 가능합니다.
- 관리: 중앙 집중식 관리로 복잡성이 감소됩니다.
- 성능: 분산 환경에서 일관된 성능을 제공합니다.
(5) 현대 업무 환경에서의 중요성
- 차세대 VPN은 하이브리드 및 원격 근무 환경에서 더욱 중요해지는 보안 솔루션으로, 기업들에게 안전하고 유연한 업무 환경을 제공합니다.
- 결론적으로, 제로트러스트 기반의 차세대 VPN은 현대의 복잡한 IT 환경과 증가하는 보안 위협에 대응하여 더욱 강력하고 유연한 보안 솔루션을 제공합니다.
- 이는 기업들이 디지털 전환 시대에 안전하고 효율적인 IT 인프라를 구축하는 데 핵심적인 역할을 할 것입니다.
1. 전통적인 VPN의 한계
전통적인 VPN은 사용자와 시스템 간의 직접 연결을 통해 내부 네트워크에 접근할 수 있도록 합니다. 그러나 이러한 방식은 몇 가지 보안상의 문제점을 가지고 있습니다.
- 취약점 노출: VPN 서버는 인터넷에 노출되어 있어 취약점이 발견될 경우 공격자가 이를 악용할 수 있습니다.
- 인증 문제: 초기 인증 이후에는 추가적인 인증 절차가 없어 계정 탈취 시 모든 애플리케이션에 접근할 수 있습니다.
- 네트워크 전체 접근: 일단 연결되면 내부 네트워크의 모든 리소스에 접근 가능하여 보안 위험이 증가합니다.
2. 제로트러스트 개념의 도입
제로트러스트는 "항상 검증하고, 절대 신뢰하지 말라"는 원칙을 기반으로 하며, 네트워크 내·외부를 불문하고 모든 사용자와 디바이스를 신뢰하지 않는 보안 모델입니다.
이 모델은 다음과 같은 특징을 가집니다.
- 엄격한 인증: 모든 액세스 요청에 대해 엄격한 ID 인증 및 승인을 요구합니다.
- 지속적인 모니터링: 사용자의 행동과 디바이스 상태를 지속적으로 모니터링하여 보안 상태를 유지합니다.
- 최소 권한 원칙: 필요한 리소스에만 접근을 허용하여 보안 침해 시 피해 범위를 최소화 합니다.
3. 차세대 VPN과 제로트러스트
차세대 VPN은 제로트러스트 원칙을 적용하여 기존의 보안 문제를 해결합니다.
- ZTNA(Zero Trust Network Access): 사용자의 위치나 디바이스 종류와 관계없이 애플리케이션 수준에서 접근을 통제합니다.
[그림 1] ZTNA 2.0 in the network
-
SDP(Software Defined Perimeter): 인증 후 연결 개념을 도입하여 외부에 게이트웨이를 노출시키지 않고 안전한 터널링을 제공합니다.
NIST에 따르면 ZTA(Zero Trust Architecture)를 구성하고 달성하는 방법은 대체로 다음의 세 가지로 분류 됩니다.
- Enhanced Identity Governance에 기반한 ZTA
- Micro-Segmentation에 기반한 ZTA
- Network Infrastructure and Software Defined Perimeters에 기반한 ZTA
이들 셋 중에 마지막 방식이 SDP(Software Defined Perimeter)방식으로 언급되고 있습니다.
[그림 2] Client-Server model for SDP
위의 [그림 2]에서 볼 수 있듯이 에이전트는, 사용자에게서 시작된 요청이 평가받도록 트래픽을 SDP 컨트롤러로 전송하는 소프트웨어 구성 요소 입니다.
컨트롤러는 SDP 게이트웨이와 통신하고 에이전트와 리소스 간에 구성된 승인된 통신 경로만 허용한다. SDP 개념 모델을 따르는 간단한 시나리오는 다음과 같습니다.
※ 엔터프라이즈 제공 장치를 가진 사용자가 엔터프라이즈 리소스(엔터프라이즈 앱)에 연결하려는 경우
- 액세스 요청은 소프트웨어 에이전트에 의해 수행되고 요청은 컨트롤 플레인 통신을 통해 컨트롤러로 전달됩니다.
- SDP 컨트롤러는 평가를 위해 정책 결정 지점으로 요청을 전달합니다.
- 요청이 승인되면 컨트롤러는 control plane을 통해 장치 에이전트와 관련 리소스 게이트웨이 간의 통신 채널을 구성하며, 여기에는 인터넷 프로토콜(IP) 주소, 포트 정보, 세션 키 또는 유사한 보안 세부 정보와 같은 정보가 포함될 수 있습니다.
- Device 에이전트와 게이트웨이가 연결되고 암호화된 서비스 데이터 flow가 시작됩니다.
- Device 에이전트와 리소스 게이트웨이 간의 연결은 워크플로가 완료되거나 보안이벤트(예: 세션 시간 초과, 재인증 실패 등)로 인해 컨트롤러에 의해 트리거 될 때 종료 됩니다.
[그림 3] Basic SDP architecture
[그림 3]에서와 같이 일반적인 SDP 환경의 일반적인 워크플로우는 다음과 같습니다.
- SDP 컨트롤러와 하나 이상의 SDP 게이트웨이가 활성화되고 PKI 서비스, 다중요소 인증, 아이덴티티 연합 및 기타 유사한 서비스와 같은 인증 및 권한 부여 서비스에 연결됩니다.
- 하나 이상의 서비스 제공자가 SDP 내에서 추가되고 활성화되며 SDP 컨트롤러에 연결하고 안전한 방식으로 인증합니다. 기본적으로 서비스 공급자는 엔드포인트로부터의 통신을 승인하지 않으며 프로비저닝 되지 않은 요청에 응답하지 않게 됩니다.
- SDP 내에서 연결하려는 각 클라이언트는 SDP 컨트롤러에 의해 인증되어야 합니다.
- 클라이언트를 인증한 후 SDP 컨트롤러는 클라이언트가 통신할 수 있는 서비스 공급자 목록을 결정합니다.(정책 및 인증/인가 정보에 기반)
- SDP 컨트롤러는 서비스 공급자에 직접 연결된 SDP 게이트웨이에 클라이언트의 통신을 수락하도록 지시하고 암호화된 통신에 필요한 선택적 정책을 적용합니다.
- 클라이언트와 서비스 공급자는 상호 암호화된 데이터 채널을 통해 통신할 수 있습니다.
- 지속적 인증 및 모니터링: 초기 인증 후에도 지속적으로 디바이스 상태를 체크하여 조건 변화 시 재인증을 요구합니다.
4. 기존 VPN과의 차별점
| 특징 | 기존 VPN | 차세대 VPN (제로트러스트) |
| 인증 | 초기 ID/PW 인증 | 다중 요소 및 지속적 인증 |
| 접근 범위 | 네트워크 전체 | 애플리케이션 수준에서 제한 |
| 보안 관리 | 네트워크 기반 | 사용자 및 디바이스 중심 |
| 취약점 대응 | 서버 노출로 인한 취약점 존재 | 외부 노출 없이 안전한 터널링 |
ZTNA(Zero Trust Network Access)와 VPN(Virtual Private Network)의 인증 절차에는 몇 가지 중요한 차이점이 있습니다.
4-1. 인증 절차의 차이점
| 특징 | VPN | ZTNA |
| 초기 인증 방식 | 일반적으로 사용자 ID와 비밀번호, 그리고 때로는 OTP(One-Time Password)를 사용하여 초기 인증을 완료합니다. 이는 비교적 간단한 인증 절차로, 사용자가 네트워크에 접속하면 전체 네트워크 리소스에 접근할 수 있게 됩니다. |
ZTNA는 보다 강화된 인증 메커니즘을 사용합니다. 단순한 ID/PW 인증 외에도 물리적 디바이스 자체에 대한 인증을 요구하며, 사전에 조직에서 허가된 디바이스가 아니면 접속이 불가능합니다. 또한, "디바이스 포스쳐"라는 기능을 통해 운영 체제의 적합성, 최신 패치 적용 여부, 안티바이러스 프로그램 작동 여부 등 다양한 조건을 만족해야만 인증이 허가됩니다. |
| 지속적 인증 | 초기 연결 이후에는 추가적인 인증 절차가 없으며, 사용자는 네트워크 전체에 접근할 수 있습니다. 이는 내부 위협에 취약할 수 있습니다. | 지속적인 인증 및 모니터링을 통해 사용자의 행동 및 디바이스 상태를 계속해서 확인합니다. 초기 인증 후에도 보안 조건이 변경되면 세션을 종료하거나 재인증을 요구할 수 있습니다. 이는 보안 상태를 지속적으로 유지하는 데 도움이 됩니다. |
| 접근 범위 및 관리 | 네트워크 기반 접근 방식을 채택하여, 사용자가 연결되면 전체 네트워크 리소스에 접근할 수 있습니다. 이는 과도한 권한 부여로 이어질 수 있습니다. | 애플리케이션 수준의 접근 제어를 통해 사용자에게 필요한 리소스만 접근을 허용합니다. 이는 최소 권한 원칙을 준수하여 보안 위험을 줄이는 데 기여합니다. |
ZTNA는 이러한 차별화된 인증 절차를 통해 VPN보다 더 강화된 보안을 제공하며, 특히 분산된 작업 환경에서 더욱 효과적인 보안 솔루션으로 자리잡고 있습니다.
ZTNA(Zero Trust Network Access)와 VPN(Virtual Private Network)의 보안 기능에는 몇 가지 중요한 차이점이 있습니다. 이 차이점들은 주로 접근 제어, 인증 방식, 네트워크 가시성, 그리고 위협 대응 능력에서 나타납니다.
※ ZTNA와 결합하여 보안 향상
제로 트러스트 네트워크 액세스(ZTNA)는 사용자의 신원과 디바이스를 검증하여 최소한의 접근 권한을 부여하는 보안 프레임워크입니다. ZTNA는 모든 네트워크 트래픽과 사용자 및 단말을 신뢰할 수 없다고 가정하고, 지속적인 인증 및 권한 부여를 요구합니다.
SDP와 ZTNA를 결합하면 다음과 같은 보안 향상이 가능합니다.
- 접근 제어 강화
SDP는 '선 인증, 후 연결' 방식을 사용하여 인증되지 않은 사용자에게는 네트워크 자원을 숨깁니다. 이는 ZTNA의 철저한 사용자 및 장치 검증과 결합되어, 네트워크 자원에 대한 접근을 더욱 철저히 통제할 수 있습니다. - 세분화된 접근 통제
SDP는 특정 ID와 디바이스를 기반으로 세분화된 접근 제어를 가능하게 하여, 대규모 공격에 노출될 수 있는 개방적 네트워크를 최소화합니다. 이는 ZTNA의 마이크로 세그멘테이션 전략과 결합되어 더욱 정교한 보안 환경을 구축할 수 있습니다. - 보안 정보 및 이벤트 관리(SIEM) 강화
SDP는 ID 중심의 로깅과 실시간 접속 정보를 제공하여 SIEM 시스템의 효율성을 높입니다. 이는 ZTNA와 함께 무단 사용자를 식별하고, 보안 위협에 신속히 대응할 수 있도록 돕습니다.
이러한 결합은 네트워크 보안을 강화하고, 다양한 공격으로부터 조직을 보호하는 데 기여합니다. SDP와 ZTNA는 상호 보완적인 관계로, 제로트러스트를 구현하는데 중요한 역할을 합니다.
4-2. 보안 기능 차이점
| 특징 | VPN | ZTNA |
| 접근제어 | 사용자가 인증을 받으면 전체 네트워크에 대한 접근 권한을 부여합니다. 이는 사용자가 네트워크에 연결되면 모든 리소스에 접근할 수 있음을 의미하며, 과도한 권한 부여로 이어질 수 있습니다. |
애플리케이션 수준에서 세분화된 접근 제어를 제공합니다. 사용자의 역할, 디바이스 상태, 위치 등의 다양한 요인을 고려하여 필요한 리소스에만 접근을 허용합니다. 이를 통해 불필요한 리소스 노출을 최소화합니다. |
| 인증 및 모니터링 | VPN은 초기 연결 시 사용자 인증을 수행하지만, 이후에는 추가적인 인증이나 모니터링이 이루어지지 않습니다. 이는 내부 위협에 취약할 수 있습니다. | ZTNA는 지속적인 인증과 모니터링을 통해 사용자 행동과 디바이스 상태를 계속 확인합니다. 보안 조건이 변경되면 세션을 종료하거나 재인증을 요구할 수 있습니다. 이는 보안 상태를 지속적으로 유지하는 데 도움이 됩니다. |
| 네트워크 가시성 및 위협대응 | VPN은 네트워크 연결에 초점을 맞추며, 특정 애플리케이션에 대한 사용자의 활동을 모니터링하는 데 제한적입니다. | ZTNA는 사용자의 활동과 애플리케이션 접근에 대한 포괄적인 가시성을 제공하여 위협 탐지 및 대응 능력을 향상시킵니다. 이는 실시간으로 보안 정책을 조정하고 위협에 대응할 수 있도록 합니다. |
| 위협 적응성 | VPN은 위협에 대해 사후적으로 대응하며, 내부 네트워크에 침입한 후에는 추가적인 보안 조치가 부족할 수 있습니다. | ZTNA는 위협에 대해 사전적으로 대응하며, 지속적인 위험 평가와 접근 통제를 통해 잠재적 위협을 완화합니다. 이는 보안 침해 시 피해 범위를 최소화하는 데 기여합니다. |
4-3. 배포 차이점
| 특징 | VPN | ZTNA |
| 구성 요소 및 아키텍처 | VPN은 주로 네트워크 기반 접근 방식을 사용하며, 사용자 디바이스와 기업 네트워크 간의 안전한 터널을 만듭니다. 이는 주로 하드웨어 기반 솔루션을 통해 구현되며, 네트워크 장비에 대한 설정이 필요합니다. | ZTNA는 소프트웨어 기반 솔루션으로, 클라우드 또는 온프레미스 게이트웨이를 통해 배포될 수 있습니다. ZTNA는 애플리케이션 수준에서 접근을 제어하며, 사용자와 디바이스의 아이덴티티 및 컨텍스트를 기반으로 접근을 허용합니다. |
| 배포 유연성 | VPN은 전통적으로 고정된 네트워크 인프라에 의존하며, 새로운 사용자나 위치에 대한 확장이 상대적으로 복잡할 수 있습니다. | ZTNA는 클라우드 기반 아키텍처를 활용하여 보다 유연한 배포가 가능합니다. 이는 다양한 위치에서의 접속을 쉽게 지원할 수 있으며, 클라우드 게이트웨이를 통해 빠르게 확장할 수 있습니다. |
4-4. 관리 차이점
| 특징 | VPN | ZTNA |
| 접근 제어 및 정책 관리 | 네트워크 전체에 대한 접근을 허용하며, 사용자는 인증 후 모든 리소스에 접근할 수 있습니다. 이는 과도한 권한 부여로 이어질 수 있으며, 세분화된 접근 제어가 어렵습니다. | 애플리케이션 수준에서 세분화된 접근 제어를 제공합니다. 사용자의 역할, 디바이스 상태, 위치 등의 다양한 요인을 고려하여 동적 정책을 적용함으로써 필요한 리소스에만 접근을 허용합니다. |
| 모니터링 및 가시성 | VPN은 주로 네트워크 연결에 초점을 맞추며, 특정 애플리케이션에 대한 사용자의 활동을 모니터링하는 데 제한적입니다. | ZTNA는 사용자의 활동과 애플리케이션 접근에 대한 포괄적인 가시성을 제공하여 위협 탐지 및 대응 능력을 향상시킵니다. |
| 유지보수 및 확장성 | VPN은 하드웨어 및 소프트웨어 유지보수가 필요하며, 네트워크 트래픽 증가 시 성능 저하가 발생할 수 있습니다. | ZTNA는 소프트웨어 중심의 아키텍처로, 유지보수가 비교적 용이하며 분산된 아키텍처를 통해 높은 가용성과 확장성을 제공합니다. |
4-5. 확장 가능성 차이점
| 특징 | VPN | ZTNA |
| 아키텍처 및 인프라 | 전통적인 VPN은 VPN 집중 장치의 용량에 의해 제한됩니다. 사용자가 증가하면 추가적인 하드웨어 장비를 배치해야 하며, 이는 물리적 인프라에 대한 의존도가 높습니다. 이러한 하드웨어 기반 아키텍처는 확장성이 떨어지며, 특히 원격 근무 인력이 급증할 때 병목 현상을 일으킬 수 있습니다. | ZTNA는 클라우드 기반 솔루션으로 설계되어 있어, 추가적인 하드웨어 없이도 사용자를 쉽게 추가할 수 있습니다. 이는 클라우드 네이티브 아키텍처 덕분에 더 유연하게 확장할 수 있으며, 기업의 요구에 따라 빠르게 적응할 수 있습니다. |
| 비용 및 유지보수 | 하드웨어 VPN은 초기 투자 비용과 유지보수 비용이 많이 듭니다. 새로운 장비를 배치하고 유지보수하는 데 상당한 비용과 시간이 소요됩니다. | ZTNA는 SaaS(Software as a Service) 모델을 통해 제공되므로 하드웨어 투자나 유지보수 비용이 필요 없습니다. 대신 월간 또는 연간 서비스 요금만 지불하면 됩니다. |
| 관리의 복잡성 | 전통적인 VPN은 복잡한 설정과 관리를 필요로 하며, 숙련된 IT 관리자가 필요합니다. 네트워크 트래픽 증가 시 성능 저하가 발생할 수 있어 지속적인 모니터링과 조정이 필요합니다. | ZTNA는 클라우드 기반 관리 콘솔을 통해 중앙 집중식으로 관리할 수 있어, 관리가 비교적 간단합니다. 이는 다양한 네트워크와 애플리케이션을 가진 조직에게 특히 유리합니다. |
| 성능 및 유연성 | VPN은 네트워크 트래픽을 기업 LAN으로 백홀링하여 보안 검사를 수행하므로 네트워크 지연이 발생할 수 있습니다. | ZTNA는 애플리케이션 수준에서 접근을 제어하며, 사용자의 위치나 디바이스에 관계없이 일관된 성능을 제공합니다. 이는 특히 원격 근무 환경에서 사용자 경험을 향상시킵니다. |
5. 결론
제로트러스트 시대의 차세대 VPN은 전통적인 VPN이 가진 여러 한계를 극복하며, 보다 강력한 보안을 제공합니다.
이는 단순히 기술적 변화가 아닌, 보안 패러다임의 전환을 의미하며, 기업들이 더욱 안전한 IT 환경을 구축하는 데 중요한 역할을 할 것입니다.
이러한 변화는 특히 하이브리드 근무 환경에서 더욱 중요해지고 있으며, 기업들은 제로트러스트 모델을 통해 보다 안전하고 유연한 업무 환경을 제공할 수 있습니다.
글쓴이. 이승준
지니언스 ZT전략기술팀에서 새로운 기술의 접목과 제품연구와 정책과제를 담당하고 있습니다.
