네트워크 보안 정책 관리(NSPM): 여전히 중요한 이유와 확인해야 할 사항

네트워크 보안 정책 관리(NSPM) 은 방화벽, 클라우드 보안 그룹, 세그멘테이션 플랫폼 전반에서 네트워크 접근을 통제하는 규칙을 장비별로 개별 관리하는 대신 단일 계층에서 통제하는 체계를 말합니다. FireMon은 방화벽 룰 증식과 수작업 컴플라이언스 업무를 해결하기 위해 2004년에 NSPM 카테고리를 만들었습니다. 20년이 지난 지금, 문제는 더 커졌습니다. 벤더는 늘었고, 클라우드는 확대됐으며, 변경은 잦아졌고, 감사는 더 많아졌습니다.

핵심 요약

• 방화벽은 정책을 시행하고, NSPM은 그 정책을 통제합니다. 방화벽의 성능이 아무리 뛰어나도 정책이 부실하게 정의되면 보안도 부실하게 시행됩니다.
• 엔터프라이즈 네트워크는 이제 수천 대의 방화벽과 클라우드 보안 그룹, 세그멘테이션 도구에 걸쳐 있어 수작업 정책 관리로는 신뢰성을 확보할 수 없습니다.
• PCI DSS, NIST 800-53, DORA, NIS2 등의 프레임워크는 변경 통제, 감사, 룰 검토 요건을 포함하며, NSPM은 지속적인 증적으로 이를 뒷받침합니다.
• 자동화는 요청부터 룰 폐기까지 전체 워크플로우를 포괄할 때 정책 변경에 드는 비용과 시간을 줄여 줍니다.
• NSPM 플랫폼을 평가할 때는 멀티 벤더 정규화, 변경 전 검증, 지속적인 컴플라이언스 증적, 통제된 변경 워크플로우를 우선적으로 확인하십시오.

NSPM은 여전히 필요한가

필요합니다. 방화벽과 클라우드 통제가 접근을 시행하는 한, 무엇을 시행할지는 누군가 관리해야 합니다. 이 질문은 대개 벤더가 제품을 단종하는 등의 이유로 팀이 도구를 재검토할 때 제기됩니다. 답은 달라지지 않았습니다. 운영하는 장비와 벤더, 환경이 많아질수록 단일 콘솔만으로는 정책이 의도한 대로 작동하는지 확인하기 어려워집니다.

방화벽은 보안 정책을 시행합니다

방화벽 정책의 오류는 초기 경계 네트워크 시절부터 원치 않는 악성 트래픽을 허용하거나, 반대로 필요한 트래픽을 차단해 업무 중단을 초래하는 등 치명적인 장애를 일으켜 왔습니다. NSPM이 존재하는 근본적인 이유가 바로 여기에 있습니다. 방화벽은 자신에게 적용된 보안 정책을 그대로 시행하기 때문에, 정책이 부실하게 정의되면 보안도 부실하게 시행됩니다. FireMon은 이 문제를 해결하기 위해 2004년에 NSPM 카테고리를 만들었습니다.

그 이후 네트워크 복잡성이 커지면서 NSPM의 필요성도 함께 커졌습니다. 내부, 외부, DMZ 구간을 나누던 단순한 방화벽 환경은 내부 네트워크를 더 세분화해 분리하는 방향으로 발전했습니다. 퍼블릭 클라우드 도입으로 '외부'의 범위는 넓어졌고, 애플리케이션 복잡성은 급증했으며, 위협은 양과 정교함 모두에서 증가했고, 방화벽 기술 역시 더 강력해진 만큼 복잡해졌습니다.

오늘날 기업이 수천 대의 방화벽을 운영하는 것은 일반적인 일이며, 각 방화벽에는 수천 개의 룰과 수만 개의 네트워크 객체, 그리고 복잡한 룰 및 객체 그룹이 존재해 전체적으로 네트워크를 통과하는 수천만 개의 고유한 접근 경로를 형성합니다. 이러한 복잡성 때문에 효과적인 정책 관리 없이는 효과적인 보안도 불가능합니다.

그래서 FireMon은 정책을 네트워크 보안의 Control Plane으로 정의합니다. 정책은 네트워크 보안이 무엇을 해야 하는지를 규정하고, 방화벽과 클라우드 보안 그룹, 세그멘테이션 플랫폼은 이를 실행하는 인프라입니다. 정책을 하나의 계층에서 통제하면 환경이 의도대로 작동하는지 한곳에서 확인하고, 제어하고, 입증할 수 있습니다.

복잡하고 규제가 엄격하며 공격의 표적이 되는 일이 잦은 대형 은행 같은 기업에 NSPM 솔루션은 보안 관리의 기본 요소입니다. 정책의 사소한 오류 하나가 최신 방화벽 기술을 무력화할 수 있습니다. 예를 들어 객체 그룹을 조금 변경하는 일은 무해해 보이지만, 해당 객체 그룹이 수백 개의 룰에 사용되고 있다면 의도치 않은 보안 영향이 발생할 수 있습니다. NSPM 솔루션은 이처럼 드러나지 않는 오류가 조직을 공격에 노출시키기 전에 탐지하고, 나아가 예방할 수 있습니다.

방화벽이 필요한 한, 효과적인 정책 관리도 계속 필수로 남습니다. 이러한 내용은 다음 IDC InfoBrief에서도 확인하실 수 있습니다. 방화벽 정책 관리: 무시할 수 없는 기반.

컴플라이언스는 선택이 아닙니다

오랫동안 네트워크 보안 컴플라이언스 요건은 방화벽의 존재 여부를 요구하는 데 그쳤습니다. 금융, 의료, 유통처럼 규제가 엄격한 산업의 조직들은 효과적인 보안 프로그램에는 효과적인 정책 관리가 필요하다는 점을 인식하고, 시행 중인 정책의 효과성까지 평가하도록 요건을 확대했습니다.

이러한 요건에는 신규 변경을 구현 전에 평가하도록 보장하는 변경 관리 통제, 모든 변경이 문서화되도록 보장하는 감사 통제, 접근에 대한 업무상 필요성과 위험 수용 여부를 주기적으로 검토하는 지속적인 룰 라이프사이클 관리가 포함됩니다. 이러한 요건은 NIST 800-53, NIST CSF, PCI DSS 4.0, GDPR, DORA, NIS2 등 여러 프레임워크에 명시되어 있습니다.

방화벽이 있다는 사실만으로는 안전하고 컴플라이언스를 충족하는 기업 환경을 구축하고 유지할 수 없습니다. 방화벽이 네트워크 보안 모범 사례를 제대로 시행하고 모니터링하도록 하려면 효과적인 정책 관리가 필요합니다. 이처럼 복잡한 구성을 지속적으로 평가하고 보고하는 자동화 도구가 없다면, 이들 프레임워크에 대한 컴플라이언스를 유지하고 문서화하는 데 매우 많은 시간이 소요됩니다.

지속적인 컴플라이언스 는 감사 때마다 증적을 새로 만드는 대신, 배포 전에 변경 예정 사항의 규정 위반 여부를 점검하고 검토 주기 사이에도 감사 증적을 최신 상태로 유지하는 것을 의미합니다. 다음 사례 연구 자료에서 한 조직이 컴플라이언스 감사 준비 시간을 83% 단축한 방법을 확인해 보십시오.

네트워크 보안 운영 비용은 높습니다

네트워크와 보안의 복잡성이 커지면서 이러한 복잡한 환경을 관리하는 비용도 함께 증가했습니다. 동시에 가상화, 퍼블릭 클라우드, 코드형 인프라(IaC) 같은 기술이 도입되면서 비즈니스와 IT의 속도는 빨라졌습니다. 이처럼 빨라진 속도는 보안 조직에 더 빠른 대응을 요구하는 압박으로 작용하고 있습니다.

운영 비용과 속도라는 두 과제는 모두 자동화로 해결할 수 있습니다. 네트워크 보안 운영의 자동화는 장비 변경 작업("푸시")을 자동화하는 수준을 훨씬 넘어섭니다. 효과적인 네트워크 보안 자동화에는 다음이 포함됩니다:

• 변경 요청 건수를 줄이고 요구사항 수집 품질을 높이기 위한 변경 요청 프로세스 간소화.
• 원하는 결과를 얻기 위해 어떤 변경이 필요한지 파악하는 설계 프로세스 자동화.
• 적절하고 안전하며 컴플라이언스를 충족하는 변경만 허용되도록 하는 변경 전 평가 단계 자동화.
• 변경 요청을 신속하게 승인하거나 거부할 수 있도록 하는 승인 프로세스 간소화.
• 오류가 발생하기 쉬운 수기 입력 단계 없이 지정된 변경 시간대에 변경을 구현하는 작업 자동화.
• 지속적인 컴플라이언스 보고 자동화.
• 룰 검토 프로세스의 단순화 및 자동화.
• 더 이상 필요하지 않은 룰의 폐기 자동화.

대부분의 팀은 자동화를 단계적으로 적용합니다. 변경 전 평가나 컴플라이언스 보고처럼 신뢰가 확보된 영역에서 시작해 점차 범위를 넓혀 나갑니다.

NSPM 플랫폼에서 확인해야 할 사항

NSPM 공급업체를 평가하는 기업이라면 다음 여섯 가지 역량을 반드시 검증해야 합니다. 각 역량은 수작업 프로세스로는 대규모 환경에서 해결할 수 없는 문제에 대응합니다.

한 가지 더 확인할 점이 있습니다. 우수한 NSPM 플랫폼은 이미 운영 중인 firewall과 cloud 제어를 거버넌스합니다. 기존 집행(enforcement) 기술을 교체하도록 요구해서는 안 됩니다.

FireMon Security Manager는 FireMon NSPM 플랫폼의 기반입니다. 120개 이상의 firewall, cloud, 마이크로세그멘테이션 플랫폼의 정책을 하나의 데이터 계층으로 정규화하므로, 팀은 실시간 가시성, 변경 전 검증, 지속적인 compliance 증적을 한곳에서 확보합니다. 애드온 모듈을 통해 workflow 자동화, 룰 최적화, 리스크 분석으로 기능을 확장할 수 있습니다.

NSPM과 벤더 기본 firewall 관리 콘솔 비교

Panorama, FortiManager와 같은 벤더 기본 콘솔은 자사 플랫폼 관리에 강점이 있습니다. NSPM은 그 상위에서 이들 콘솔이 다루지 못하는 모든 영역에 걸쳐 일관성을 거버넌스합니다.

요약

2004년 FireMon이 NSPM을 만들게 된 네트워크 보안 관리의 과제는 firewall, cloud 계정, 감사가 늘어날 때마다 함께 커졌습니다. NSPM의 중요성은 그 어느 때보다 높습니다. 핵심 개념에 대한 간단한 정의는 다음을 참조하십시오: 네트워크 보안 정책 관리란 무엇인가?