보안 담당자라면 한 번쯤 이런 로그를 마주쳤을 것이다. 내부망에서 발생한 이상 접속인데, 정식 계정으로 정상 시간대에 들어온 것으로 찍혀 있다. 방화벽도 통과했고, VPN 인증도 마쳤다. 문제는 그 계정 주인이 그 시간에 사무실에 있지 않았다는 것이다.
이게 더 이상 특수한 사례가 아니다. 오늘날 기업 보안 사고의 상당 부분은 '뚫린 문'이 아니라 '열린 문'에서 시작된다. 합법적으로 발급된 계정, 정상적으로 배포된 업데이트, 검증받은 협력업체의 원격 접속—그 신뢰받는 경로 안에 위협이 숨어 있다.
이 글은 그런 환경에서 왜 제로 트러스트 아키텍처(ZTA)와 공급망 위험 관리(C-SCRM)가 함께 이야기되어야 하는지를 실무적인 시각에서 풀어보려 한다.
VPN이 '고속도로'가 된 경위
전통적인 기업 보안 모델의 전제는 단순했다. 사내 네트워크 안에 들어온 존재는 신뢰할 수 있다는 것이다. 경계 밖은 위험하고 경계 안은 안전하다는 이른바 '성곽과 해자(Castle-and-Moat)' 구조다. VPN은 그 구조에서 외부 사용자가 안전하게 성문을 통과하는 수단이었다.
문제는 그 성문을 통과하는 순간 내부망 전체에 대한 접근 경로가 열렸다는 것이다. 네트워크 계층(L3) 전체를 대상으로 하는 광범위한 연결이었기 때문에, VPN 계정 하나만 탈취하면 공격자가 내부 서버와 데이터베이스를 마음대로 이동할 수 있었다. 횡적 이동(Lateral Movement)이라고 부르는 이 움직임을 레거시 VPN 환경에서는 실시간으로 추적하거나 차단하기가 사실상 어렵다. 접속 진입점에서의 인증 절차는 꼼꼼하지만, 일단 내부망에 안착한 이후의 움직임은 애플리케이션 수준의 감사 로그조차 제대로 남지 않는 경우가 많기 때문이다.
여기에 VPN 게이트웨이가 인터넷에 상시 노출되어야 한다는 구조적 문제가 겹친다. Shodan 같은 도구를 쓰면 패치가 적용되지 않은 게이트웨이를 손쉽게 탐색할 수 있고, 알려진 CVE를 이용한 원격 코드 실행으로 인프라 전체가 장악될 수 있다. 게다가 SMS OTP 같은 정적 자격 증명 체계는 중간자 공격(AiTM)에 취약하고, 세션이 수립된 이후 기기가 악성코드에 감염되거나 비정상적인 대량 다운로드가 발생해도 이를 실시간으로 차단하는 동적 제어 기능이 없다.
2013년 미국 타겟(Target) 백화점 침해 사고는 이 구조적 취약점의 교과서 같은 사례다. 공격자들은 타겟 본사를 직접 공격하는 대신, 타겟 매장의 냉난방 시스템(HVAC)을 관리하던 외부 협력업체를 먼저 해킹했다. 피싱 메일로 VPN 계정 자격 증명을 탈취한 후, 그 계정으로 내부망에 접속해 결제망까지 횡적 이동했다. 냉난방 유지보수 시스템과 POS 결제망 사이에 논리적인 세그멘테이션이 전혀 없었던 것이다. 이렇게 결제망에 도달한 공격자들은 단말기 메모리에 평문으로 존재하는 결제 데이터를 가로채는 RAM 스크래핑 기법으로 4,000만 건의 신용카드 정보를 탈취했다. 기업이 입은 직접 손실은 2억 달러를 넘었고, '한 번 인증되면 믿어버리는' 암묵적 신뢰가 어떤 결과로 이어지는지를 적나라하게 보여줬다.
제로 트러스트의 출발점: "이미 뚫렸다고 가정하라"
이런 경험들이 쌓이면서 보안 업계가 받아들이게 된 전제가 하나 있다. '침해 가정(Assume Breach)'이다. 내부 네트워크라고 해서 절대 안전하지 않으며, 이미 어딘가는 침해되었을 수 있다는 가정 아래 시스템을 설계해야 한다는 것이다.
제로 트러스트 아키텍처(ZTA)는 이 전제 위에서 출발한다. NIST SP 800-207이 제시하는 ZTA의 핵심 구조는 '제어 평면(Control Plane)'과 '데이터 평면(Data Plane)'을 엄격히 분리하는 것이다. 제어 평면의 정책 엔진(Policy Engine)은 접속 요청이 들어오면 사용자의 신원, 기기의 패치 상태, 접속 위치와 시간대, 평소 행동 패턴을 종합해 신뢰 점수(Trust Score)를 산출하고, 정책 관리자(Policy Administrator)가 접근 허용 여부를 결정한다. 실제 데이터 트래픽은 이 제어 평면의 명시적 승인이 떨어진 이후에만, 데이터 평면의 정책 집행 지점(PEP)을 통해 격리된 암호화 터널로 흐른다.
이 구조의 요점은 단 하나다. 어떤 사용자도, 어떤 기기도, 어떤 네트워크 위치에 있든 자동으로 신뢰받지 않는다. 매 접속, 매 세션마다 다시 검증된다.
NIST가 제시하는 7대 실천 원칙을 현장 언어로 요약하면 이렇다. 내부망 트래픽이라도 외부와 동일한 수준의 암호화와 상호 인증을 적용한다. 권한은 특정 시점에 특정 자원에 한정해서만 부여하고, 그 세션이 끝나면 회수한다. 기기의 패치 상태, EDR 에이전트 동작 여부를 상시 검증한다. SMS OTP를 넘어 피싱이 구조적으로 불가능한 인증을 쓴다. 그리고 모든 통신 로그를 머신러닝 피드백 루프로 연결해 정책을 지속적으로 고도화한다.
VPN에서 ZTNA로: 달라지는 게 뭔가
제로 트러스트 철학을 실제 원격 접속 인프라에 구현한 것이 ZTNA(Zero Trust Network Access)다. VPN과 근본적으로 다른 지점이 몇 가지 있다.
첫 번째는 인프라 은폐다. ZTNA 환경에서 내부 자원은 인터넷에서 아예 보이지 않는다. VPN은 외부 접속을 받기 위해 게이트웨이가 공개 인터넷에 노출되어야 했지만, ZTNA는 내부에서 클라우드 브로커로 아웃바운드 연결만 생성한다. 공격자가 정찰 도구를 써도 포트나 IP 자체를 탐지할 수 없으니 DDoS나 익스플로잇 공격의 표적 자체가 사라진다. 이것을 '다크 클라우드(Dark Cloud)' 효과라고 부른다.
두 번째는 접근 범위다. VPN이 네트워크 전체를 열어줬다면, ZTNA는 개별 애플리케이션 단위로 접근 경계를 그린다. 인사 시스템에만 권한이 있는 사람은 재무 데이터베이스 네트워크 세그먼트로 라우팅 자체가 되지 않는다. 이 마이크로 세그멘테이션(Micro-segmentation)이 타겟 사고 같은 횡적 이동 공격 킬 체인을 원천 차단하는 핵심 메커니즘이다.
세 번째는 신뢰 평가 방식이다. VPN은 최초 로그인 시점에 단 한 번 인증하면 끝이지만, ZTNA는 세션 중에 기기가 악성코드에 감염되거나 이례적인 데이터 접근 패턴이 감지되면 즉시 세션을 종료하고 접근을 차단한다.
멀티 클라우드 환경이 중심이 된 지금은 ZTNA 단독보다 SASE(Secure Access Service Edge) 아키텍처로 확장 구축하는 경우가 많다. ZTNA에 클라우드 접근 보안 브로커(CASB), 보안 웹 게이트웨이(SWG), SD-WAN을 통합한 구조로, 트래픽을 본사 데이터센터로 끌어왔다가 내보내는 백홀링(Backhauling) 병목을 없애면서 전 세계 어느 위치의 사용자에게도 일관된 보안 정책을 적용할 수 있다. 구글 워크스페이스, AWS 같은 SaaS/IaaS 혼용 환경에서 특히 효과적이다.
공급망 공격: 정문을 피해 배송 트럭을 노린다
내부망을 ZTNA로 단단하게 묶었다고 해서 끝이 아니다. 현대 기업은 수백 개의 협력업체, 벤더 솔루션, 오픈소스 라이브러리가 복잡하게 얽힌 공급망 생태계 위에 서 있다. 고도로 조직화된 공격 그룹은 보안이 촘촘한 대기업 본망을 직접 뚫기보다, 해당 기업에 소프트웨어를 납품하거나 시스템을 유지보수하는 제3자를 먼저 공략한다. 외부 생태계를 오염시킨 다음 정상적인 업데이트 채널을 타고 내부로 침투하는 이 전술은 이제 공격 그룹의 표준 전략이 됐다.
2020년 솔라윈즈(SolarWinds) 사태가 이 전술의 완성형을 보여준다. 러시아 SVR 소속으로 강하게 추정되는 해킹 그룹 UNC2452는 전 세계 수만 개 기관이 IT 인프라 모니터링에 쓰던 솔라윈즈 Orion 플랫폼의 빌드 시스템 자체를 침투했다. 소스코드가 컴파일되는 순간, SolarWinds.Orion.Core.BusinessLayer.dll이라는 정상 파일에 SUNBURST 백도어를 삽입했다. 이렇게 변조된 DLL은 솔라윈즈의 정식 디지털 서명이 찍힌 채 공식 업데이트 채널을 통해 배포됐다.
수십억 원짜리 EDR 솔루션도, 차세대 방화벽도 이 파일을 막지 못했다. 제조사의 정당한 인증서를 가지고 있었으니까. 신뢰 사슬(Chain of Trust)의 근간이 농락당한 것이다. 백도어는 설치 후 12~14일간 샌드박스 탐지를 피하기 위해 아무 활동도 하지 않다가, 이후 도메인 생성 알고리즘(DGA)으로 C2 서버와 통신하며 고가치 타겟을 선별해 심층 침투를 시작했다. 내부에서는 탈취한 관리자 자격 증명으로 정상적인 시스템 관리 업무처럼 위장해 수개월간 발각되지 않았다. 전 세계 18,000여 개 기관이 노출됐고 미국 연방 정부 주요 부처가 포함됐다.
2021년 카세야(Kaseya) 사태도 같은 패턴이다. IT 관리 서비스 제공업체(MSP)들이 공통으로 쓰는 카세야 VSA의 제로데이 취약점을 익스플로잇해 1,500여 개 하위 고객사 네트워크 전체에 랜섬웨어를 동시에 살포했다. 한 번의 취약점 공략이 1대다(1-to-N) 연쇄 폭발로 이어진 전형적인 사례다.
최근엔 오픈소스 생태계를 노리는 공격도 증가하고 있다. 유명 라이브러리와 철자가 미세하게 다른 악성 패키지를 공용 저장소에 업로드해 개발자의 실수를 유도하는 타이포스쿼팅(Typosquatting), 오픈소스 리포지토리에 악성 코드를 직접 커밋하는 방식이 횡행한다. AI 모델 개발 파이프라인에서 외부 API나 검증되지 않은 데이터셋에 과도하게 의존하는 것도 새로운 공급망 취약성 축으로 부상하고 있다.
C-SCRM: 방어선을 공급망 끝까지 확장하는 일
공급망 공격에 대응하기 위한 체계가 사이버 공급망 위험 관리(C-SCRM, Cyber Supply Chain Risk Management)다. 미국, EU, 한국 등 주요국 보안 당국이 강력히 권고하고 있고 일부는 의무화됐다. NIST SP 800-161이 제시하는 C-SCRM은 3계층 거버넌스 구조로 구현한다.
조직 레벨(Tier 1)에서는 CISO와 이사회가 공급망 보안의 큰 그림을 그린다. 벤더 계약서에 침해 사고 발생 시 책임 조항과 보안 모니터링 허용 조건을 법적 강제성이 있는 형태로 표준화하고, 기업이 외부 서비스 도입 시 감내할 위험 범위(Risk Appetite)를 명확히 선언하는 것이 핵심이다. 비즈니스 프로세스 레벨(Tier 2)에서는 각 부서가 사용하는 제3자 솔루션의 위험도를 평가하고 핵심 미션이 중단됐을 때의 영향도를 분석한다. 시스템 레벨(Tier 3)에서는 실무자가 구체적인 통제 수단을 구현한다. 소프트웨어 배포 파이프라인 무결성 검증, 오픈소스 취약점 스캐닝 자동화, 3rd Party 인력 접속에 대한 JIT 통제와 세션 레코딩이 여기에 해당한다.
이 중에서 최근 가장 주목받는 실무 도구가 SBOM(소프트웨어 자재 명세서)다. 식품 성분표처럼, 소프트웨어를 구성하는 오픈소스 모듈과 제3자 컴포넌트, 버전 정보를 기계 판독 가능한 표준 규격으로 문서화하는 것이다.
SBOM의 실질적 가치는 Log4j 같은 제로데이 취약점이 갑자기 공개되는 상황에서 드러난다. SBOM 인벤토리가 없는 조직은 수백 대 서버를 일일이 스캔하며 취약 모듈을 찾느라 며칠을 쓴다. SBOM이 있으면 데이터베이스 조회 몇 분이면 어느 서버의 어떤 애플리케이션에 문제가 있는지 핀포인트로 확인하고, 공격자의 익스플로잇 전에 패치 적용이나 격리를 선제적으로 수행할 수 있다. 이 구성 요소 검증 프로세스는 AI 모델 개발 파이프라인에서 학습 데이터셋 출처와 외부 API 안전성을 담보하는 데도 가장 중요한 기초 공사가 될 전망이다.
3rd Party 원격 접속 통제: 가장 취약한 고리를 조이는 법
이론적으로 ZTA와 C-SCRM을 어떻게 결합하느냐고 물으면, 가장 현실적인 답은 외부 유지보수 인력의 원격 접속 경로 통제에서 시작하라는 것이다. 침해 통계를 보면 직접 공격보다 보안 통제가 느슨한 협력업체 계정을 탈취해 우회 침투하는 것이 훨씬 경제적인 해킹 루트로 꼽힌다. 타겟 백화점이 그랬고, 수많은 글로벌 침해 사고가 그 패턴을 반복해 보여줬다.
가장 먼저 바꿔야 할 관행은 상시 권한이다. 협력업체 엔지니어에게 계약 기간 내내 언제든 접속 가능한 계정을 주는 것은, 그 계정이 탈취됐을 때 365일 24시간 접속 경로를 열어두는 것과 같다. 제로 스탠딩 프리빌리지(ZSP, Zero Standing Privileges) 원칙은 유휴 상태일 때 접근 권한을 완전히 소거하는 것이다.
이 위에 적시 권한 부여(JIT, Just-in-Time Access)가 얹힌다. 유지보수 작업이 필요할 때 엔지니어가 작업 목적, 대상 시스템, 소요 시간을 명시해 접속 요청을 상신한다. 승인이 떨어지면 해당 시간 동안만 최소 권한이 활성화되고, 종료 즉시 자동 회수된다. 계정 자격 증명이 탈취되더라도 작업 시간 외에는 접속 경로 자체가 없으니 무기화 가능성이 시간이라는 축으로 극적으로 줄어든다.
인증도 강화가 필요하다. SMS OTP 방식의 MFA는 정교하게 위조된 로그인 페이지를 통해 세션 토큰을 가로채는 중간자 공격(Adversary-in-the-Middle, AiTM)에 무력하다. FIDO2/WebAuthn 규격의 하드웨어 보안 키(YubiKey 등)나 TPM 칩과 암호학적으로 결합한 디바이스 기반 인증처럼, 구조적으로 피싱 자체가 불가능한 피싱 방지용 MFA(Phishing-resistant MFA)로 전환해야 한다.
접속 중 행위는 전부 기록해야 한다. JIT와 강력한 MFA를 거쳐 내부에 진입했다고 통제가 끝나는 게 아니다. CLI 명령어 입력과 GUI 화면 조작 전체를 특권 접근 관리(PAM) 시스템을 통해 CCTV 녹화하듯 실시간으로 세션 레코딩하고, 변조가 불가능한 별도의 감사 스토리지에 저장한다. 이 로그는 평시에는 이상 행위 탐지 머신러닝의 학습 자료로, 사고 발생 시에는 포렌식의 핵심 증거물로 쓰인다.
OT 환경이라면 더 엄격한 구조가 요구된다. 정유, 발전, 반도체 공장 같은 산업 제어 시스템은 망이 뚫리면 가동 중단과 인명 피해로 직결된다. IT망과 OT망 사이에는 IDMZ(Industrial Demilitarized Zone, 산업용 비무장지대)를 두고, 외부 벤더는 인터넷이나 IT망을 통해 OT 자산에 직접 접속하는 것이 절대 불가하다. 반드시 IDMZ 안의 점프 호스트(Jump Host)를 경유해 신원 확인과 악성코드 검사를 받은 후, 별도의 2단계 세션을 맺어야만 내부 제어 기기의 특정 포트로 제한된 접근이 허용된다. ISA/IEC-62443과 퍼듀 모델(Purdue Model)을 참조 아키텍처로 삼는 이유다.
어디서부터 시작할까
CISA의 제로 트러스트 성숙도 모델(ZTMM 2.0)이 강조하듯, ZTA는 솔루션을 구매하면 끝나는 프로젝트가 아니다. 수년에 걸쳐 낡은 업무 구조를 뜯어고치는 여정이다.
시작점은 가시성 확보다. 내가 어떤 자산을 보유하고 있는지, 외부 인력의 접속이 어디서 어떻게 이루어지고 있는지 파악하지 못한 상태에서 ZTNA를 도입하는 것은 의미가 없다. 자산과 접속 경로 인벤토리를 구축하고, 기기 보안 상태 점검 체계를 세우는 것이 첫 단계다.
그다음은 레거시 VPN을 점진적으로 대체하면서 피싱 방지 MFA와 마이크로 세그멘테이션을 적용하는 단계다. 전환 부담이 있기 때문에 고위험 접속 경로, 특히 3rd Party 유지보수 채널부터 시작하는 것이 현실적이다. 이 시기에 C-SCRM 정책을 조달 계약과 연동시키고 SBOM 도입 파이럿을 시작하는 것이 좋다.
최종적으로 목표하는 상태는 이상 징후를 시스템이 자동으로 포착하고 위협을 즉각 격리하는 인텔리전스 기반 자동화 체계다. 기기 포스처 진단, 사용자 행위 분석(UEBA), JIT 권한 부여가 자동화 루프로 연결되고, SIEM과 SOAR가 연계돼 선제적 대응이 가동되는 구조다.
KISA의 평가 가이드라인도 같은 맥락에서 정체성(Identity), 기기(Device), 네트워크, 애플리케이션, 데이터의 5개 기둥(Pillars) 각각에 대해 초기·발전·최적화 단계별로 성숙도를 진단하도록 권고하고 있다. 어느 기둥이 가장 취약한지를 먼저 직시하는 것, 그것이 출발점이다.
마치며
VPN 중심의 경계 보안이 한계에 달한 것은 돌이킬 수 없는 사실이다. 클라우드와 원격 근무가 일상화된 환경에서 사내 네트워크라는 경계 자체가 의미를 잃었고, 솔라윈즈와 카세야 같은 사례들은 신뢰받는 공급망 채널이 얼마나 치명적인 공격 벡터가 될 수 있는지를 실물로 증명했다.
제로 트러스트와 C-SCRM은 이 환경에서 보안 체계를 재설계하는 두 축이다. 하나는 내부 접근 구조를 어떻게 바꿀 것이냐의 문제이고, 다른 하나는 외부와의 연결 고리를 어떻게 관리할 것이냐의 문제다. 이 둘이 유기적으로 맞물려야 완전한 방어 체계가 된다.
완벽한 침투 차단은 가능하지 않다. 하지만 침해 범위를 제어하고, 사고가 터졌을 때 조직이 쓰러지지 않고 운영을 이어갈 수 있는 복원력(Business Resilience)은 설계할 수 있다. 그 설계를 지금 시작해야 할 이유가 여기에 있다.
