보안 용어 정리 1편: DLP·DRM·제로 트러스트·EDR

DLP데이터 유출 방지Data Loss Prevention

개인정보나 기밀 같은 중요한 데이터가 메일, 메신저, USB, 클라우드 업로드를 통해 회사 밖으로 나가는 것을 찾아내고 막는 기술입니다.

DLP는 나가는 데이터의 내용을 들여다봅니다. 주민등록번호나 카드번호 같은 패턴, 문서에 붙은 기밀 등급을 보고 정책에 따라 차단하거나 경고하고 기록을 남깁니다. PC에서 막는 방식, 네트워크 길목에서 막는 방식, 클라우드 서비스 안에서 막는 방식이 있습니다.

최근에는 직원이 생성형 AI에 붙여 넣는 내용까지 같은 정책으로 살피는 쪽으로 넓어지고 있습니다. Microsoft 365를 쓰는 회사라면 Microsoft Purview가 이 역할을 합니다.

DRM문서 보안Digital Rights Management

문서 파일 자체를 암호화하고, 누가 열고 고치고 인쇄할 수 있는지를 문서에 붙여 두는 기술입니다.

파일이 회사 밖으로 나가더라도 권한이 없는 사람은 열 수 없습니다. 국내에서는 문서 보안, 해외에서는 IRM(Information Rights Management)이라고도 부릅니다.

DLP와의 차이: DLP는 데이터가 나가는 길목을 지키고, DRM은 문서 자체에 잠금을 겁니다. 그래서 둘은 대체 관계가 아니라 함께 쓰는 경우가 많습니다.

암호화Encryption

데이터를 키 없이는 읽을 수 없는 형태로 바꾸는 것입니다.

저장해 둔 데이터를 암호화하는 것과 주고받는 구간을 암호화하는 것으로 나뉩니다. 암호화에서 가장 자주 놓치는 것은 키 관리입니다. 암호화한 데이터와 키를 같은 곳에 두면, 침입자는 둘을 함께 가져갑니다. 실제 사고에서 이 문제가 어떻게 드러났는지는 티빙 침해 조사 결과를 다룬 글에 정리했습니다.

마스킹Data Masking

화면이나 출력물에서 데이터의 일부를 가려 보여 주는 것입니다.

전화번호를 010-****-1234처럼 보여 주는 방식입니다. 업무에 필요한 만큼만 보이게 해서, 조회 권한이 있는 내부 사용자를 통한 노출을 줄입니다.

암호화와의 차이: 암호화는 저장된 원본을 바꾸고, 마스킹은 보여 주는 화면만 가립니다.

망분리Network Separation

업무용 내부망과 인터넷망을 나눠, 인터넷에서 들어온 위협이 내부 시스템에 닿지 않게 하는 방식입니다.

PC를 두 대 쓰는 물리적 망분리와, 한 대에서 가상 환경으로 나누는 논리적 망분리가 있습니다. 국내 공공과 금융에서 오래 적용해 온 방식입니다. 다만 클라우드와 AI 활용이 늘면서 금융권은 금융위원회의 망분리 개선 로드맵(2024. 8)에 따라 규제를 단계적으로 손보고 있습니다.

IAM계정·접근 관리Identity and Access Management

누가 어떤 시스템에 어떤 권한으로 접근할 수 있는지를 한곳에서 관리하는 체계입니다.

입사하면 계정을 만들고, 부서를 옮기면 권한을 바꾸고, 퇴사하면 회수하는 흐름 전체를 다룹니다. 이 흐름이 수작업이면 퇴사자 계정이 살아남습니다. Microsoft 환경에서는 Microsoft Entra가 이 체계의 중심입니다.

SSO통합 로그인Single Sign-On

한 번 로그인하면 여러 업무 시스템을 다시 로그인하지 않고 쓰게 하는 방식입니다.

편의 기능으로 알려져 있지만 보안 효과도 큽니다. 시스템마다 다른 비밀번호를 만들 필요가 없고, 퇴사자를 한 곳에서 막으면 연결된 시스템이 함께 막힙니다. 대신 그 계정 하나가 뚫리면 여러 시스템이 함께 열리므로 MFA와 같이 씁니다.

MFA다중 인증Multi-Factor Authentication

비밀번호 말고도 한 가지 이상을 더 확인하는 로그인 방식입니다.

아는 것(비밀번호), 가진 것(휴대폰, 보안 키), 본인의 특징(지문, 얼굴) 가운데 둘 이상을 확인합니다. 비밀번호가 유출되어도 두 번째 확인에서 막힙니다. 문자 인증보다 인증 앱이나 패스키가 피싱에 더 강합니다.

SSO와의 차이: SSO는 로그인 횟수를 줄이고, MFA는 로그인 한 번을 더 단단하게 만듭니다.

제로 트러스트Zero Trust

내부망에 있다는 이유만으로 믿지 않고, 접근할 때마다 사용자와 기기, 상황을 확인하는 보안 원칙입니다.

제품 이름이 아니라 설계 원칙입니다. 사내망 안쪽은 안전하다고 보던 경계 중심 보안이 재택근무와 클라우드에서 통하지 않게 되면서 자리 잡았습니다. 미국 NIST SP 800-207이 대표적인 기준이고, 국내에서도 과학기술정보통신부가 제로트러스트 가이드라인을 내놓았습니다.

Microsoft 환경이 이 원칙에 얼마나 맞게 설정되어 있는지 확인하는 방법은 Microsoft 집중 점검하기에서 소개합니다.

VPN과 ZTNAVirtual Private Network · Zero Trust Network Access

VPN은 암호화된 통로로 사내망에 들어오게 하는 방식이고, ZTNA는 사용자를 허용된 애플리케이션에만 연결하는 방식입니다.

VPN은 한번 연결되면 사내망의 넓은 범위가 보입니다. 계정 하나가 탈취되면 공격자도 같은 범위를 봅니다. ZTNA는 접속할 때마다 사용자와 기기를 확인하고, 허용된 애플리케이션까지만 길을 엽니다.

EDR단말 탐지·대응Endpoint Detection and Response

PC와 서버에서 일어나는 행위를 기록하고, 의심스러운 동작을 찾아 격리하거나 차단하는 도구입니다.

백신이 이미 알려진 악성 파일을 찾는다면, EDR은 행위를 봅니다. 문서 프로그램이 갑자기 명령 창을 띄우고 외부로 접속하는 것처럼, 파일만 봐서는 드러나지 않는 공격을 찾습니다. 사고가 난 뒤 무슨 일이 있었는지 되짚는 기록도 남깁니다.

XDR확장 탐지·대응Extended Detection and Response

단말뿐 아니라 메일, 계정, 네트워크, 클라우드의 신호를 한데 모아 하나의 사건으로 엮어 보는 탐지·대응 체계입니다.

피싱 메일을 열고, 계정이 탈취되고, 서버로 옮겨 가는 과정은 각 도구에서는 따로따로 보입니다. XDR은 이를 한 줄기의 공격으로 연결해 보여 줍니다.

EDR과의 차이: EDR은 단말 하나를 깊게 보고, XDR은 여러 영역을 넓게 엮습니다.

SIEM통합 보안 관제Security Information and Event Management

여러 시스템과 보안 장비의 로그를 한곳에 모아 연관 분석하고 경보를 내는 플랫폼입니다.

방화벽, 서버, 계정 시스템, 클라우드가 각자 쌓는 로그를 모아야 "이 계정이 새벽에 해외에서 로그인한 뒤 대량 조회를 했다" 같은 그림이 나옵니다. 로그를 일정 기간 보관해야 하는 감사 요건에도 쓰입니다. 클라우드 방식의 예로 Microsoft Sentinel이 있습니다.

SOAR보안 대응 자동화Security Orchestration, Automation and Response

경보가 왔을 때 해야 할 일을 절차로 만들어 두고 자동으로 실행하는 체계입니다.

계정을 잠그고, 단말을 격리하고, 담당자에게 알리는 반복 작업을 플레이북으로 묶어 둡니다. 경보는 많은데 볼 사람이 부족한 조직에서 효과가 큽니다.

SIEM과의 차이: SIEM이 무슨 일이 일어났는지 찾는다면, SOAR는 그다음에 할 일을 실행합니다. 요즘은 한 제품에 함께 들어 있는 경우가 많습니다.

MDR탐지·대응 운영 서비스Managed Detection and Response

위협 탐지와 대응을 전문 업체가 대신 운영해 주는 서비스입니다.

EDR이나 XDR은 도구이고, MDR은 그 도구를 24시간 지켜보고 조치하는 사람과 절차까지 포함한 서비스입니다. 보안 전담 인력을 두기 어려운 조직이 주로 찾습니다.

랜섬웨어Ransomware

데이터를 암호화해 쓸 수 없게 만든 뒤 복구 대가를 요구하는 악성코드입니다.

요즘은 암호화하기 전에 데이터를 먼저 빼내고, 돈을 내지 않으면 공개하겠다고 협박하는 방식이 흔합니다. 공격자는 백업이 남아 있으면 돈을 받기 어렵다는 것을 알기 때문에 백업부터 찾아 지웁니다. 이 순서와 대비 방법은 백업 저장소를 다룬 글에 정리했습니다.

APT지능형 지속 위협Advanced Persistent Threat

특정 조직을 겨냥해 오랜 기간 들키지 않고 머무르며 정보를 빼내는 공격입니다.

불특정 다수를 노리는 공격과 달리 목표가 정해져 있습니다. 침입한 뒤 몇 달에서 몇 년까지 조용히 머무르는 것이 특징입니다. 그래서 막는 것만큼이나, 이미 들어와 있는 것을 찾아내는 탐지가 중요합니다.

피싱Phishing

믿을 만한 발신자인 것처럼 속여 계정 정보를 입력하게 하거나 악성 파일을 열게 만드는 공격입니다.

특정인을 조사해 맞춤으로 보내는 것을 스피어 피싱, 임원이나 거래처를 사칭해 송금을 유도하는 것을 BEC(Business Email Compromise)라고 합니다. 많은 침해 사고가 여기서 시작됩니다. 교육으로 클릭을 줄일 수는 있어도 없앨 수는 없기 때문에, 눌러도 피해가 번지지 않게 하는 MFA와 격리 기술을 함께 씁니다.

ISMS-P정보보호 및 개인정보보호 관리체계 인증

조직이 정보와 개인정보를 보호하는 체계를 갖추고 운영하는지 심사해 인증하는 국내 제도입니다.

정보보호만 다루는 ISMS와 개인정보 보호까지 포함하는 ISMS-P가 있습니다. 법에서 정한 일정 규모 이상의 사업자는 ISMS 인증을 받아야 합니다. 최근 달라진 법 내용은 개정 정보통신망법을 다룬 글에서 확인할 수 있습니다.

ISO 27001정보보호 관리체계 국제 표준ISO/IEC 27001

정보보호 관리체계를 어떻게 세우고 운영해야 하는지를 정한 국제 표준입니다.

해외 고객이나 거래처가 보안 수준의 근거를 요구할 때 주로 쓰입니다. ISMS-P와 겹치는 항목이 많아 함께 준비하는 회사도 많습니다.