[지디넷코리아]80 년 대부터 시작해 90년 대 초까지 기업 IT 환경은 메인프레임이 주를 이루고 있었다. 이때 대부분의 IT 자원들은 중앙의 전산 센터에 위치해 있었으며, 여기에 실제 접근할 수 있는 사용자의 수는 극히 일부에 국한돼 있었다. 이런 환경 하에서는 전산 센터 내부로의 출입통제가 가장 효과적인 보안법이었다. 물론 지금도 전산 센터의 출입통제는 중요한 보안 사항 중 하나다. 하지만 90년 대에 접어 들면서 대부분의 직원들에게 데스크톱이 지급됐으며, 기업 내부 네트워크가 확장되면서 IT 자원에 대한 접근이 일반 직원들에게까지 확산됐다. 또 인터넷의 급속한 보급과 기업 업무의 온라인화로 인해 기업 외부 사용자들도 접근이 용이해졌다.

보다 용이해진 사내외 사용자들의 서버 접근
최근 메인프레임 환경에서 개방형 시스템인 유닉스, 윈도우 환경으로의 마이그레이션이 지속적으로 일어나고 있다. 이에 따라 당연히 보안 문제가 더욱 심각해지고 있으며, 이를 방어하기 위한 보안 솔루션의 기능도 발전을 거듭하고 있다. 초기 IT 환경에서의 보안이 단지 출입통제 수준의 물리적 보안에 주안점을 뒀다면, 현재의 보안은 출입통제 뿐만 아니라 사용자의 보안의식을 강화하는 관리적 보안에도 신경을 많이 쓰고 있다. 즉, 보안 자체가 기업의 중요한 인프라로 인식되고 있는 것이다. 서버 보안도 이런 배경하에 등장한 기술 중 하나다.

서버 보안이란 정보와 자원들이 실제로 존재하게 되는 서버에 대해 보안을 구축해 기업의 중요한 자원을 공격으로부터 방어하는 것이 주 목적이라 하겠다. 실제 가치 있는 자원에 대해 보안을 적용함으로써 네트워크 보안으로는 적절한 방어가 불가능한 내부 사용자들의 자원 접근을 통제해 고의 또는 실수로 인한 정보의 유출과 훼손을 미연에 방지하자는 것이다.

파이어월이나 IDS 등 기존의 네트워크 보안 솔루션들은 기업의 외부 네트워크에서 내부로 칩입하는 공격에 대해서는 어느 정도 방어할 수 있지만, 내부 사용자의 IT 자원 접근에 대해서는 통제가 불가능하다. 또한 네트워크 보안 시스템을 쉽게 통과할 수 있는 침입 방법이 많이 공개돼 있어 일단 내부 네트워크로의 침입이 성공하면 서버에 대한 공격이 용이하다. 결국 공격의 최종 목표가 되는 서버에 대한 보안 구축은 기업 보안의 최종 보안 지지선이라 할 수 있다. 현재 시장에 나와 있는 서버 보안 솔루션은 크게 두 가지로 분류할 수 있다. 호스트 기반 침입탐지 솔루션과 접근 제어 솔루션이 그것이다.

호스트 기반 침입 탐지 솔루션은 서버에 대한 보안 공격, 즉 서비스 거부 공격이나 패스워드 추측 공격 등 서버에 대한 외부적인 공격을 방어하는 솔루션들이 이 범주에 속한다. 접근 제어 솔루션은 서버 내부에 존재하는 파일, 프로그램, 프로세스 등의 자원에 대해 사용자의 접근을 제어하는 솔루션들을 말한다.

서버 보안 솔루션을 도입하기 위해서는 사전에 몇가지 사항을 준비해야 한다. 보안이란 중요한 IT 자원을 불법적인 사용과 공격에 대해 방어하는 것이다. 서버 보안도 중요한 서버 자원을 보호하는 것이 주 목적이다. 그러므로 도입 전에 무엇을 보호할 것인가를 정의해야 한다. 서버에 존재하는 자원들을 정의하고, 그 자원들의 중요도를 측정하고, 존재할 수 있는 위험 요소를 정의한 후에야 중요도에 따라 보안 정책의 강도를 결정할 수 있다. 이와 병행해 향후 서버 보안 구축을 책임지고 수행할 관리자, 프로젝트 수행팀, 운영을 담당할 인력을 구성해야 한다. 보안 정책을 정의하는 것도 중요하지만, 이런 정책을 정의하고 유지 관리하는 인력을 정하는 것도 서버 보안 구축에서는 중요한 사항이다.

대부분의 기업에서 서버 관리자가 보안 관리자의 역할을 병행하도록 하고 있다. 이는 한 사람에게 너무 많은 권한을 부여하는 것으로, 시스템 관리 차원에서는 유리할 수 있으나 보안측면에서는 큰 위험을 내포할 수 있다. 즉, 수퍼유저(root나 Administrator)의 권한을 시스템 관리 측면으로 국한시키고, 보안 관리 영역은 다른 관리자에게 이양하는 것이 바람직한 모델이다.

서버 보안 솔루션 제대로 활용하기
이제부터 본격적으로 서버 보안을 통해 기업의 보안을 강화할 수 있는 방법을 살펴보자. 현재 서버 보안과 관련해 시장에 나와 있는 상용 제품들은 그리 많지 않다. 이번 글에서는 그 중 하나인 CA의 eTrust Access Control을 예로 들어 대략적으로 서버 보안 제품들이 어떤 기능을 수행하고 있으며 어떻게 활용할 수 있는지 설명하고자 한다.