최근 이사하면서 디지털 도어락을 최신형으로 바꿨습니다. 비밀번호만 누르던 예전 방식에서 벗어나 지문으로도, 모바일 앱으로도 문을 열 수 있었습니다. 세상 참 편해졌다는 생각이 들었습니다.
얼마 뒤, 집에 아무도 없는데 가스 안전 점검원이 방문했습니다. 관리사무소에서 확인된 분이라고 해서 앱으로 문을 열어 주기는 했지만 괜히 찝찝했습니다. 점검원이 봐야 할 곳은 가스레인지와 보일러뿐입니다. 그런데 현관문을 한번 열어 준 이상, 집 안의 모든 곳에 갈 수 있기 때문입니다.
문을 여는 방법만 좋아졌습니다
새 도어락은 누가 문을 여는지를 전보다 훨씬 잘 확인합니다. 지문도 보고, 등록된 휴대폰인지도 봅니다. 하지만 문이 열린 뒤에 어디까지 갈 수 있는지는 도어락이 정해 주지 않습니다. 안방 문도, 서재 문도 그대로 열려 있습니다.
그리고 문을 열어 준 뒤 점검원이 집 안에서 무엇을 했는지 저는 알 수 없습니다.
VPN이 이와 같습니다
회사는 협력사 유지보수 인력이나 외주 개발자에게 VPN 계정을 발급합니다. 점검할 서버는 한두 대인데, VPN은 사내망으로 들어오는 현관문을 열어 줍니다. 일반적인 구성에서는 한번 들어온 뒤 볼 수 있는 범위가 필요한 범위보다 훨씬 넓습니다. 직원이든 외부 인력이든 마찬가지입니다.
회사로 옮기면 VPN 계정을 내주는 방식
- 거실들어갈 수 있음
- 안방들어갈 수 있음
- 서재들어갈 수 있음
- 작은방들어갈 수 있음
- 주방 가스레인지들어갈 수 있음
- 보일러실들어갈 수 있음
회사로 옮기면 PRA로 접속을 중개하는 방식
- 거실 닫힘
- 안방 닫힘
- 서재 닫힘
- 작은방 닫힘
- 주방 가스레인지점검 대상, 연결됨
- 보일러실점검 대상, 연결됨
집과 회사를 나란히 놓으면 이렇습니다.
| 집에서 | 회사에서 |
|---|---|
| 현관 도어락을 원격으로 열어 준다 | 협력사에 VPN 계정을 발급한다 |
| 점검 대상은 가스레인지와 보일러 | 작업 대상은 서버 한두 대 |
| 열린 뒤에는 모든 방에 갈 수 있다 | 접속한 뒤에는 사내망의 넓은 범위가 보인다 |
| 무엇을 했는지 알 수 없다 | 접속한 사실은 남아도 무엇을 했는지는 남지 않는다 |
한 가지 더 있습니다. 집에서는 점검원을 믿으면 그만입니다. 회사에서 걱정할 것은 협력사 직원 본인보다, 그 사람의 계정을 훔친 누군가입니다. 협력사 계정이 탈취되면, 그 계정으로 열려 있던 문의 크기가 곧 피해 범위가 됩니다.
가스레인지와 보일러까지만 열어 줄 수 있다면
만약 가스 점검원이 지정한 가스레인지와 보일러 앞까지만 갈 수 있다면 어떨까요. 회사로 옮기면, 외부 인력이 지정한 시스템 말고는 닿을 수 없게 만드는 것입니다.
그 역할을 하는 것이 BeyondTrust의 PRA(Privileged Remote Access) 입니다. PRA는 현관문을 열어 주지 않습니다. 외부 인력은 사내망에 들어오지 않고, PRA가 승인된 시스템까지만 대신 연결해 줍니다.
집에서 바랐던 것을 하나씩 대어 보면 이렇습니다.
| 집에서 바랐던 것 | PRA가 하는 일 |
|---|---|
| 가스레인지와 보일러까지만 | 승인한 시스템에만 연결합니다. 그 밖의 시스템은 보이지 않습니다 |
| 도어락 비밀번호는 알려 주지 않고 | 접속 계정과 비밀번호를 PRA가 대신 넣습니다. 외부 인력의 화면에는 뜨지 않습니다 |
| 약속한 시간에만 | 요청과 승인을 거쳐 필요한 때만 열립니다 |
| 무엇을 했는지 볼 수 있게 | 접속한 동안의 화면과 명령이 녹화되고, 진행 중인 작업을 실시간으로 지켜볼 수 있습니다 |
비밀번호를 알려 주지 않는다는 점이 특히 중요합니다. 지금은 작업이 끝나면 서버 비밀번호를 바꾸는 식으로 관리하는 곳이 많습니다. 처음부터 알려 주지 않으면 바꿀 일도, 새어 나갈 일도 줄어듭니다.
정확히 하자면
비유는 이해를 돕지만 사실과 조금 다른 부분이 있어 덧붙입니다.
- VPN도 범위를 좁힐 수는 있습니다. 방화벽 규칙으로 계정마다 갈 수 있는 곳을 제한하는 회사도 있습니다. 다만 협력사와 작업이 늘수록 규칙을 사람 손으로 맞춰 가기 어렵고, 접속한 뒤 무엇을 했는지는 여전히 남지 않습니다.
- PRA는 VPN 계정에 제한을 거는 기능이 아닙니다. VPN을 거치지 않는 별도의 통로입니다. 외부 인력은 브라우저나 전용 프로그램으로 PRA에 접속하고, PRA가 대상 시스템과의 연결을 중개합니다.
- PRA가 모든 침입을 막아 주는 것은 아닙니다. PRA가 하는 일은 외부에 열어 준 통로의 폭을 좁히고, 그 통로에서 일어난 일을 기록으로 남기는 것입니다.
VPN을 당장 없애야 하나요
그렇지 않습니다. 직원용 VPN은 그대로 두고, 협력사 유지보수나 외주 운영처럼 위험이 큰 접속부터 PRA로 옮기는 방식으로 시작합니다. 결과를 확인한 뒤 범위를 넓히면 됩니다.
시작은 지금 열려 있는 문을 세어 보는 일입니다. 외부에 발급된 계정이 몇 개인지, 쓰지 않는 계정은 없는지, 여러 업체가 함께 쓰는 계정은 없는지, 각 계정이 실제로 어디까지 닿는지를 먼저 확인합니다. 진행 방식과 제품 구성은 BeyondTrust Privileged Remote Access 페이지에 정리했습니다.
서버 안의 관리자 계정 자체를 금고에 넣어 관리하는 방법은 BeyondTrust Password Safe에서, 이 글에 나온 PAM, VPN과 ZTNA 같은 용어는 보안 용어 정리 1편과 2편에서 볼 수 있습니다.
제품 정보 출처: BeyondTrust Privileged Remote Access 제품 자료. 기능 범위는 라이선스 구성에 따라 달라질 수 있습니다.