한국저작권위원회

3. DaaS(Desktop as a Service), WAF(Web Application Firewall)와 클라우드 기술

□ 배경 

○ 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률(이하 클라우드 발전법)’ 시행이 2달 앞으로 다가왔다. 오는 9월에 발효되는 클라우드 발전법은 공공 부문의 클라우드 컴퓨팅 도입을 촉진하기 위한 전 세계 처음으로 제정된 관련 법안이다.

○ 클라우드 관련 기술 발전을 위한 토대를 마련하기 위한 정부 차원의 노력이 있음을 클라우드 발전법은 보여주고 있다. 정부가 앞장서 클라우드 활성화를 독려하고 있는 가운데, 업계 전문가들은 클라우드 도입을 촉진하고 관련 산업 활성화로 성공을 거두기 위해서는 무엇보다 ‘보안’ 문제 선결이 관건이라고 입을 모은다.

○ 클라우드 보안에 대해 미래창조과학부 산하 한국인터넷진흥원(KISA)에서 서비스 제공 사업자, 이용자, 정보보호기업들을 위한 가이드라인을 검토 중이며 글로벌 시장에서 활용되고 있는 각종 클라우드 보안 인증 등도 참고하고 있다.

□ 주요 내용 

 

○ 지난 7월 6일과 7일 헤럴드 경제, 전자신문, 디지털 데일리, ZD넷 코리아 등에 클라우드 발전법 관련 기사가 게재되었다. 주요 내용은 클라우드 서비스 발전을 위한 법에서 핵심은 보안 기술이라는 내용이다. 6월 24일에도 허핑턴 포스트에 관련 기사가 실렸는데 주요 내용은 클라우드 서비스에서의 CMS의 역할이 중요하다는 내용이다.

○ 한국전자통신연구원(ETRI)은 클라우드 인프라 기술인 가상데스크톱(이하 DaaS, Desktop as a Service) 솔루션을 이미 개발했다. 사용자의 단말로 언제 어디서든 인터넷을 통해 클라우드에 있는 개인용 데스크톱에 원격으로 접속, 안전하고 편안한 컴퓨터 작업을 가능하게 해주는 솔루션이다. 이 솔루션을 활용하면 전 세계 어디서든 아이디와 패스워드를 입력하기만 하면 클라우드 데이터 센터에 접속할 수 있다. 지금까지는 해외에 나가서 개인용 PC를 이용하려면 새로 원격 접속 환경을 만들고, 보안 문제도 해결해야 하는 번거로움이 있었는데 DaaS는 그럴 걱정이 없다. 접속 한 번으로 내가 쓰던 컴퓨터와 동일한 환경이 제공된다는 것이다.

○ 클라우드 서비스가 활성화되기 위해서 넘어야 할 제일 큰 산은 보안 문제이다. 지금까지 기업이나 공공기관, 지자체 등에서는 보안상의 문제 때문에 국내 클라우드 솔루션 선택을 망설여왔고, 자체 망을 인터넷 망으로부터 독립시키는 망 분리를 통해 보안을 강화해왔다. DaaS는 데이터센터로 접속하는 것 자체가 망 분리를 의미하는 것이기 때문에 보안을 걱정할 필요가 없다. 또한 개인 사용자가 자신이 필요한 워드 프로세서나 보안 프로그램, 응용 소프트웨어(SW)를 일일이 설치하거나 보안 패치, 운영체제(OS) 업그레이드 등의 수고를 하지 않아도 된다.

○ DaaS를 활용하면 보안성 높은 화면과 응용 SW와 서비스가 다 만들어진 클라우드 기반의 개인용 데스크톱의 접속, 기호에 맞는 맞춤형 서비스를 바로 받는 것이 가능하다. 그러나 클라우드 상에서 동작하는 콘텐츠를 보호하는 것은 다른 문제다.

○ 웹 콘텐츠를 노리는 공격, 그리고 웹 콘텐츠를 통해 일어나는 공격은 'WAF (Web Application Firewall, 웹 애플리케이션 방화벽)'을 이용해 막는 수밖에 없다. 복잡하게 말하자면, 절대적 다수의 웹 콘텐츠 공격이 주로 네트워크 L7 계층에서 발생하는데 WAF만이 유일하게 L7 계층을 사수하기 때문이다.

○ WAF를 웹 및 클라우드 서비스에 적용하기 위해서는 각각의 저장방식에 따라 다른 대응을 해야만 한다. 대표적인 세 가지 저장방식에 따른 대응방식은 아래와 같다.

► 첫째, 기존 웹사이트 호스팅 서비스를 이용하는 경우, 서비스 업체가 적절한 WAF 시스템을 갖추고 있는지, 아니면 뒤에서 알아볼 클라우드 WAF 서비스와 협조관계를 맺고 있는지 알아본다. 적절한 WAF 시스템을 갖추고 있다면, 그리고 적절하게 운용하고 있다면 일단은 안심해도 좋다.

► 둘째, 자체 보유한 웹 서버를 직접 관리하는 경우, 적절한 WAF 시스템을 구축하고 운영한다. 적절한 WAF와 그렇지 않은 WAF를 구별하는 결정적 변수는 당연히 문제 탐지 엔진의 성능이다.

► 셋째, 클라우드 호스팅 서비스를 이용하는 경우는 좀 문제가 있다. 대부분의 유명한 클라우드 호스팅 서비스들은 모두 충분히 믿을 만한 네트워크 보안 서비스를 제공한다. 필요에 따라 선택적으로 보안 서비스를 받을 수도 있다. 하지만 웹 콘텐츠 보호에 대해서는 특별한 방법을 따로 제공하지 않는다. 단지 기술적 문제 때문만은 아니고 웹 콘텐츠 레벨에서의 내용 검수 등 법적 적절성 문제까지도 얽혀 있어 굉장히 복잡한 문제인데 어쨌든 중요한 건, 클라우드 호스팅 서비스들의 보안성은 웹 콘텐츠 보호에서만큼은 매우 취약하다는 점이다. 이 경우 클라우드는 클라우드로 막는다. 클라우드 WAF 서비스가 있다. 매우 간단하다. 버튼 몇 개만 누르면 해당 웹사이트를 어떤 저작도구로 만들었든 그 데이터가 어디에 저장되어 있든 상관 없이 웹 콘텐츠를 보호하는 WAF 기능을 제공한다. 국내에서는 스마일 서브, F5 네트웍스 등이 클라우드 WAF 서비스를 제공하고 있다.

□ 평가 

 

○ 언제 어디서든 자신의 데이터와 원하는 데이터를 얻을 수 있는 클라우드 서비스는 편리한 서비스임에 분명하다. 정부도 이를 인지하고 법률 제정 등을 통해 서비스 활성화를 위해 노력하고 있다. 다만, 내가 언제 어디서든 접속할 수 있다면 내 정보를 남도 언제 어디서든 접속 할 수 있다는 생각을 해야만 한다.

○ 클라우드 서비스에서 보안이 중요한 이유는 클라우드 서비스의 편리함을 제공하는 기능 때문이라고도 볼 수 있는 것이다.

○ 네트워크 보안, 바이러스로부터의 보안 등은 잘 알려진 문제이고, 다양한 해결 방법이 존재하지만 아직 클라우드 상의 콘텐츠 자체를 보호하는 방법은 다양하지 않다. 이러한 측면에서 클라우드 WAF는 클라우드 서비스 상에서 콘텐츠를 보호하기 위한 새로운 솔루션이 될 수도 있다.

□ 용어 설명 

 

○ 네트워크 L7 계층: OSI 모형(Open Systems Interconnection Reference Model)은 국제표준화기구(ISO)에서 개발한 모델로, 컴퓨터 네트워크 프로토콜 디자인과 통신을 계층으로 나누어 설명한 것이다. 일반적으로 OSI 7 계층 모형이라 불리기도 한다. 이 모델은 프로토콜을 기능별로 나눈 것이다. 각 계층은 하위 계층의 기능만을 이용하고, 상위 계층에게 기능을 제공한다. '프로토콜 스택' 혹은 '스택'은 이러한 계층들로 구성되는 프로토콜 시스템이 구현된 시스템을 가리키는데, 프로토콜 스택은 하드웨어나 소프트웨어 혹은 둘의 혼합으로 구현될 수 있다. 일반적으로 하위 계층들은 하드웨어로, 상위 계층들은 소프트웨어로 구현된다. 각각의 계층은 1: 물리 계층, 2: 데이터 링크 계층, 3: 네트워크 계층, 4: 전송 계층, 5: 세션 계층, 6: 표현 계층, 7: 응용 계층이다. 네트워크 L7 계층이라 함은 계층 7을 일컫는 말로 응용 프로그램의 콘텐츠 계층을 의미한다.

□ 참고자료

 

○ http://www.etnews.com/20150707000153

○ http://biz.heraldcorp.com/view.php?ud=20150707000425

○ https://www.zdnet.co.kr/news/news_view.asp?artice_id=20150702182123

○ http://www.huffingtonpost.kr/pakghun/story_b_7633920.html

○ https://ko.wikipedia.org/wiki/OSI_%EB%AA%A8%ED%98%95