16장. 네트워크 접근 제어와 클라우드 보안
학습 목표
- NAC 시스템의 주요 구성 요소와 집행 방법을 논의한다.
- EAP(확장 인증 프로토콜)의 개요를 제시한다.
- IEEE 802.1X 포트 기반 네트워크 접근 제어의 동작을 이해한다.
- 클라우드 컴퓨팅 개념을 개관하고 고유한 보안 이슈를 이해한다.
16.1 네트워크 접근 제어 (NAC)
NAC는 네트워크 접근을 관리하기 위한 포괄적 용어이다. 사용자 인증, 데이터 접근 권한 결정, 종단 장치의 건강 상태(posture) 검사를 수행한다.
NAC의 세 가지 구성 요소
| 구성 요소 | 역할 |
|---|---|
| 접근 요청자 (AR / Supplicant) | 네트워크에 접근하려는 장치 — 워크스테이션, 서버, 프린터, 카메라, IoT 등 |
| 정책 서버 (Policy Server) | AR의 상태와 조직 정책에 따라 접근 수준을 결정. 백엔드(AV, 패치 관리, 사용자 디렉토리)와 연동 |
| 네트워크 접근 서버 (NAS) | 접근 제어 포인트. 인증 서비스를 직접 수행하거나 정책 서버에 중개 |
NAC 동작 흐름
- 인증: AR의 신원 확인 — 보안 프로토콜 + 암호키 사용. NAS가 직접 수행하거나 인증 서버에 위임
- 건강성 검사 (Health Check): AR의 AV 업데이트, OS 패치, 조직 보안 기준 준수 여부 확인
- 접근 결정: 통과 → 네트워크 접근 허용, 미통과 → **격리 네트워크(quarantine network)**로 제한하여 보안 결함 수정 유도
- 세션키 수립: 이후 보안 통신에 사용
NAC 집행 방법
| 방법 | 계층 | 특징 |
|---|---|---|
| IEEE 802.1X | 링크 계층 | IP 주소 할당 전에 인증. EAP 사용. 가장 널리 구현 |
| VLAN | 링크/네트워크 | NAC이 AR을 적절한 VLAN으로 동적 배치. 격리/인터넷 전용/기업 자원 등 |
| 방화벽 | 네트워크 | 트래픽 허용/차단으로 접근 제어 |
| DHCP 관리 | IP 계층 | IP 할당 단계에서 서브넷/IP 기반 제어. 설치 용이하지만 IP 스푸핑에 취약 |
16.2 EAP (Extensible Authentication Protocol)
RFC 3748. 네트워크 접근 인증을 위한 프레임워크로, 다양한 인증 방법을 플러그인할 수 있다는 점에서 "확장 가능(extensible)"하다.
프로토콜 계층 구조
[인증 메서드] EAP-TLS | EAP-TTLS | EAP-GPSK | EAP-IKEv2 | ...
[EAP 계층] EAP
[데이터링크] PPP | 802.3 Ethernet | 802.11 WLAN | EAPOL | ...
주요 EAP 메서드
| 메서드 | 인증서 요구 | 특징 |
|---|---|---|
| EAP-TLS | 클라이언트 + 서버 양쪽 | TLS 핸드셰이크 사용. 가장 강력하지만 클라이언트 인증서 관리 부담 |
| EAP-TTLS | 서버만 | TLS 터널 수립 후 터널 내에서 클라이언트 인증 (PAP, CHAP 등 레거시 가능) |
| EAP-GPSK | 없음 (PSK) | 사전 공유키 기반. 공개키 암호 불필요. 최소 4메시지 교환 |
| EAP-IKEv2 | 다양 | IKEv2 프로토콜 기반 상호 인증 + 세션키 수립 |
EAP 메시지 교환
EAP 메시지의 4가지 코드: Request(1), Response(2), Success(3), Failure(4)
pass-through 모드 교환 흐름:
- 하위 프로토콜(PPP, 802.1X)로 연결 요청
- 인증자 → 피어: EAP-Request/Identity
- 피어 → 인증자 → 인증 서버: EAP-Response/Identity
- 인증 서버 ↔ 피어: EAP 메서드별 Request/Response 반복 (인증자는 pass-through)
- 결과: EAP-Success 또는 EAP-Failure
인증 서버가 메서드를 선택하고, 피어가 지원하지 않으면 NAK을 반환하여 다른 메서드를 협상하거나 인증이 실패한다.
16.3 IEEE 802.1X 포트 기반 NAC
LAN 환경에서 접근 제어를 제공하기 위해 설계되었다.
핵심 개념: 제어 포트와 비제어 포트
| 포트 유형 | 허용 트래픽 | 상태 |
|---|---|---|
| 비제어 포트 (Uncontrolled) | 인증 프로토콜 PDU만 | 항상 열림 |
| 제어 포트 (Controlled) | 일반 데이터 PDU | 인증 완료 후에만 열림 |
인증되지 않은 AR은 비제어 포트를 통해 인증 메시지만 교환할 수 있다. 인증이 완료되면 제어 포트가 열려 네트워크 자원에 접근할 수 있다.
EAPOL (EAP over LAN)
LAN 환경에서 EAP 메시지를 전달하는 프로토콜. 이더넷, Wi-Fi 등에서 동작한다.
주요 EAPOL 프레임 유형:
| 프레임 | 설명 |
|---|---|
| EAPOL-Start | Supplicant가 인증자의 존재를 확인하고 인증 시작을 알림 |
| EAPOL-EAP | EAP 패킷을 캡슐화하여 전달 |
| EAPOL-Key | 인증 완료 후 암호키를 supplicant에게 전달 |
| EAPOL-Logoff | Supplicant가 네트워크 연결 해제를 요청 |
- Supplicant → EAPOL-Start (또는 하드웨어 감지로 인증자가 먼저 시작)
- Authenticator → EAPOL-EAP(Request/Identity)
- Supplicant → EAPOL-EAP(Response/Identity)
- 인증 서버와 EAP 메서드별 교환 반복
- EAPOL-EAP(Success) → 제어 포트 개방 + EAPOL-Key로 키 전달
- 세션 종료 시 EAPOL-Logoff → 제어 포트 차단
16.4 클라우드 컴퓨팅
NIST 정의 (SP 800-145)
유비쿼터스하고 편리한 온디맨드 네트워크 접근을 통해 구성 가능한 컴퓨팅 자원(네트워크, 서버, 스토리지, 애플리케이션, 서비스)의 공유 풀에 접근하는 모델. 최소한의 관리 노력 또는 서비스 제공자 상호작용으로 신속하게 프로비저닝·해제된다.
다섯 가지 필수 특성
| 특성 | 설명 |
|---|---|
| 광범위한 네트워크 접근 | 다양한 플랫폼(모바일, 노트북 등)에서 표준 메커니즘으로 접근 |
| 신속한 탄력성 | 수요에 따라 자원을 빠르게 확장/축소 |
| 측정된 서비스 | 자원 사용량을 자동 모니터링·제어·보고 (미터링) |
| 온디맨드 셀프서비스 | 서비스 제공자와 인간 상호작용 없이 자동 프로비저닝 |
| 자원 풀링 | 멀티테넌트 모델로 여러 소비자에게 동적 할당. 위치 독립적 |
서비스 모델 (중첩 구조)
| 모델 | 소비자가 제어하는 범위 | 예시 |
|---|---|---|
| SaaS | 애플리케이션 사용만 | Gmail, Salesforce |
| PaaS | 자체 애플리케이션 배포·실행 | Google App Engine |
| IaaS | VM, 스토리지, 네트워크 등 인프라 | AWS EC2, Azure VM |
배포 모델
| 모델 | 설명 |
|---|---|
| 공개 (Public) | 대중에게 개방. CP가 인프라 + 데이터 제어 모두 담당 |
| 사설 (Private) | 단일 조직 전용. 자체 또는 제3자가 운영. 온프레미스/오프프레미스 |
| 커뮤니티 (Community) | 공통 관심사(미션, 보안 요구, 정책)를 가진 여러 조직이 공유 |
| 하이브리드 (Hybrid) | 2개 이상의 클라우드(공개/사설/커뮤니티)를 결합. 데이터·앱 이동성 제공 |
클라우드 참조 아키텍처 (NIST SP 500-292)
| 행위자 | 역할 |
|---|---|
| 클라우드 소비자 | 서비스를 이용하는 개인/조직 |
| 클라우드 제공자 (CP) | SaaS/PaaS/IaaS 서비스와 인프라를 제공 |
| 클라우드 감사자 | 보안, 성능, 개인정보 보호의 독립 평가 수행 |
| 클라우드 브로커 | 서비스 중개·집약·차익거래로 소비자의 복잡성 해소 |
| 클라우드 캐리어 | 소비자와 CP 간 연결·전송 제공 |
16.5 클라우드 보안 위험과 대응
기업이 클라우드를 사용하면 자원에 대한 직접적 통제를 상실하지만, 보안·개인정보 정책에 대한 책임은 유지해야 한다.
Cloud Security Alliance가 지목한 7대 위협
| 위협 | 설명 | 대응 |
|---|---|---|
| 남용 | 클라우드 자원을 스팸, DDoS, 악성코드 호스팅에 사용 | 등록 강화, 신용카드 사기 모니터링, 트래픽 검사 |
| 안전하지 않은 API | 관리·모니터링 API의 취약점 → 정책 우회 | API 보안 모델 분석, 강력한 인증·접근 제어 + 암호화 전송 |
| 악의적 내부자 | CP 직원의 위협 (시스템 관리자 등 고위험 역할) | 공급망 관리, 인사 요건 계약 명시, 투명한 보안 관리·감사 |
| 공유 기술 취약점 | 하이퍼바이저 등 공유 인프라의 격리 실패 | 보안 모범사례 설치·구성, 비인가 변경 모니터링, SLA 기반 패칭 |
| 데이터 손실/유출 | 부적절한 암호화, 접근 제어 부재, 백업 미비 | 강력한 API 접근 제어, 전송·저장 중 암호화, 키 관리 강화 |
| 계정/서비스 하이재킹 | 자격증명 탈취 → 서비스 기밀성·무결성·가용성 타협 | 계정 공유 금지, 2단계 인증, 비인가 활동 사전 모니터링 |
| 알 수 없는 리스크 프로필 | 보안 절차의 가시성 부족 → 위험 관리 어려움 | 로그·데이터 공개, 인프라 세부사항 부분/전체 공개 |
16.6 클라우드 데이터 보호
데이터는 저장 중(at rest), 전송 중(in transit), 사용 중(in use) 모두 보호되어야 한다.
전송 중: 클라이언트가 암호화 적용 (TLS 등). 키 관리는 CP와 공유 책임.
저장 중: 이상적으로는 클라이언트 측에서 암호화하고 CP에게 키를 제공하지 않음. CP는 데이터를 읽을 수 없으며, 손상이나 DoS만 위험으로 남는다.
전체 데이터베이스를 암호화하면 안전하지만, 개별 레코드 검색이 어렵다. 해결책: 주요 키(primary key)를 암호화하여 질의하고, 결과를 클라이언트에서 복호화하는 방식. 범위 질의(salary < 70K)를 지원하려면 암호화되지 않은 인덱스 값을 연관시키는 등 추가 기법이 필요하다.
데이터베이스 모델
| 모델 | 특성 |
|---|---|
| 멀티 인스턴스 | 구독자별 고유 DBMS + VM → 완전한 관리 권한 |
| 멀티 테넌트 | 공유 DBMS에서 구독자 ID 태깅 → CP 의존적 보안 |
16.7 클라우드 보안 서비스 (SecaaS)
Cloud Security Alliance가 정의한 10가지 SecaaS 범주:
| 범주 | 설명 |
|---|---|
| IAM | 신원 프로비저닝/디프로비저닝, 연합 ID, 인증, 접근 제어 |
| 데이터 유출 방지 (DLP) | 저장·전송·사용 중 데이터의 모니터링·보호·검증 |
| 웹 보안 | 프록시/리다이렉트 기반 실시간 보호, 악성코드 방지, 사용 정책 집행 |
| 이메일 보안 | 피싱·악성 첨부 방어, 스팸 방지, 기업 정책 집행, 선택적 암호화 |
| 보안 평가 | 제3자 감사 (CP가 도구·접근점 제공) |
| 침입 관리 | IDS/IPS 배치 (클라우드 진입점 + 서버), 탐지·방지·대응 |
| SIEM | 로그·이벤트 데이터 수집·상관·분석 → 실시간 보고·경보 |
| 암호화 | 저장 데이터, 이메일, 네트워크 관리, 신원 정보 등의 암호화 + 키 관리 |
| 비즈니스 연속성/재해 복구 | 다중 위치 백업, 페일오버, 지리적 분산 데이터 센터 |
| 네트워크 보안 | 방화벽, DDoS 방어, 기타 보안 서비스와의 통합 |
16.8 클라우드 보안 대응 — NIST 지침
NIST SP 800-144와 SP 800-146은 서비스 유형에 무관하게 적용되는 일반 권고사항을 제시한다: 강력한 암호화, 적절한 중복 메커니즘, 인증 메커니즘, 구독자 간 격리에 대한 가시성.
NIST 보안 제어 3범주 (SP 800-146)
| 기술적 | 운영적 | 관리적 |
|---|---|---|
| 접근 제어 | 보안 인식·훈련 | 인증·인가·보안 평가 |
| 감사·감사추적 | 구성·변경 관리 | 계획 수립 |
| 식별·인증 | 비상 계획 | 위험 평가 |
| 시스템·통신 보호 | 사고 대응, 유지보수, 매체 보호, 물리·환경 보호, 인력 보안, 시스템·정보 무결성 | 시스템·서비스 취득 |
기업은 클라우드로 자원을 이전하면서 제어권은 상실하지만 책임은 유지해야 한다. CP는 잠재 고객의 우려를 해소하기 위해 보안 메커니즘을 강화해야 하며, Tier 4 데이터 센터 이전 등 가용성·중복성 강화 노력이 진행 중이다.
주요 용어
| 한글 | 영문 |
|---|---|
| 접근 요청자 | access requestor (AR) |
| 클라우드 컴퓨팅 | cloud computing |
| 클라우드 소비자 | cloud consumer |
| 클라우드 제공자 | cloud provider |
| DHCP | Dynamic Host Configuration Protocol |
| 확장 인증 프로토콜 | Extensible Authentication Protocol (EAP) |
| EAP over LAN | EAPOL |
| 포트 기반 접근 제어 | IEEE 802.1X |
| 서비스형 인프라 | Infrastructure as a Service (IaaS) |
| 네트워크 접근 제어 | network access control (NAC) |
| 서비스형 플랫폼 | Platform as a Service (PaaS) |
| 정책 서버 | policy server |
| 보안 서비스 | Security as a Service (SecaaS) |
| 서비스형 소프트웨어 | Software as a Service (SaaS) |
| 가상 LAN | Virtual Local Area Network (VLAN) |