컴퓨터월드 2024년 11월호에 실린 런제로(runZero) 롭 킹(Rob King)·톰 셀러스(Tom Sellers)의 기고문입니다.

“2024년에는 거의 모든 장치가 라우터가 될 수 있다”는 런제로 창업자 HD 무어의 말로 시작하는 글로, 네트워크 세그멘테이션이 왜 의도대로 동작하지 않는지를 다룹니다.

먼저 장치를 가시성 기준으로 세 계층으로 나눕니다. SNMP나 EPM으로 관리되는 상위 계층, 스마트 TV·프린터·무선 AP 같은 제한된 가시성 계층, 그리고 온도 조절기·스마트 플러그·물리적 출입 통제 장치처럼 관리 도구에 거의 잡히지 않는 ‘네트워크 다크 매터’입니다. 런제로 클라우드 데이터 기준으로 가상 머신을 제외한 물리 자산 중 제한된 가시성 장치가 45.46%, 다크 매터가 19.09%를 차지합니다.

이어 세그멘테이션이 무너지는 두 가지 구조적 이유를 설명합니다. 세그먼트에 시스템이 추가될수록 노출되는 서비스와 인증 경로가 늘어난다는 점, 그리고 현대 장비 대부분이 여러 네트워크 인터페이스를 동시에 갖는다는 점입니다. 사무실 복합기 사례에서는 이더넷·블루투스·무선이 동시에 살아 있는 상태에서 IP 포워딩이 기본 활성화되어 프린터가 사실상 라우터처럼 동작하는 문제를 다룹니다. 런제로는 IP 전화기, NAS, 네트워크 카메라, DVR, 스마트 TV, 심지어 스마트 전구와 PLC에서도 같은 동작을 확인했습니다.

네트워크 보안 담당자를 대상으로 하며, A4 4쪽 분량입니다.

 

---

케이디시스의 관점

이 기고문은 한국 기업·기관에 특히 아프게 닿습니다. 국내에서는 금융권과 공공기관을 중심으로 망분리가 규제로 의무화되어 있고, 많은 조직이 '망을 나눴으니 안전하다'는 전제 위에서 보안을 설계하기 때문입니다.

세그멘테이션은 설정이 아니라 장비 구조 때문에 무너집니다

이 글의 핵심은 정확히 그 전제를 흔듭니다. 세그멘테이션이 의도대로 작동하지 않는 이유가 설정 실수가 아니라 장비의 구조 자체에 있다는 것입니다. 두 가지가 문제입니다.

• 네트워크 다크 매터 — 온도 조절기·스마트 플러그·출입 통제 장치처럼 관리 도구에 거의 잡히지 않는 장비. 런제로 데이터에서 물리 자산의 약 19%가 여기 해당합니다. 목록에 없으니 어느 세그먼트에 있는지도 모르고, 모르면 격리도 불가능합니다.
• 다중 인터페이스 장비 — 현대 장비 다수가 이더넷·무선·블루투스를 동시에 켠 채 IP 포워딩이 기본 활성화되어 있어, 복합기나 IP 카메라가 사실상 라우터처럼 두 세그먼트를 잇습니다. 물리적으로 나눈 망이 이런 장비 한 대로 논리적으로 다시 연결되는 것입니다.

논리적 분리(VLAN)도 같은 함정을 안고 있습니다

케이블을 나누는 물리적 망분리뿐 아니라 VLAN 같은 논리적 분리도 마찬가지입니다. 스위치 설정 하나가 잘못되거나 다중 인터페이스 장비가 두 VLAN에 동시에 발을 걸치면 논리적 경계는 소리 없이 뚫립니다. 경계를 '설계했다'는 사실과 '지금도 유지된다'는 사실은 별개이며, 후자는 주기적인 실측으로만 보증됩니다.

케이디시스는 이렇게 돕습니다

망분리의 가치를 부정하는 이야기가 아닙니다. 나눈 경계가 실제로 유지되고 있는지를 '가정'이 아니라 '측정'으로 확인해야 한다는 것입니다. 케이디시스가 공급하는 런제로(runZero)는 자격 증명 없이 네트워크를 훑어, 어느 장비가 여러 인터페이스를 갖고 있는지, 어떤 다크 매터가 어느 세그먼트에 숨어 있는지, 세그먼트 간에 열려서는 안 될 경로가 열려 있는지를 드러냅니다. 도면상의 망분리와 실제 망분리의 차이를 눈으로 보게 해 줍니다.

망분리를 운영한다면 점검할 세 가지

• 각 세그먼트에 실제로 무엇이 들어 있는지 최신 목록이 있는가 — 특히 IT 자산이 아닌 시설·IoT 장비까지.
• 두 개 이상의 네트워크 인터페이스를 가진 장비가 세그먼트 경계에 걸쳐 있지 않은가.
• 세그먼트 간 실제 통신 경로를 마지막으로 검증한 것이 언제인가.

도면이 아니라 실측으로 답할 수 없다면, 망분리는 문서상으로만 존재하는 것일 수 있습니다.

기고문 원문 전체와 런제로(runZero)를 활용한 세그멘테이션·자산 가시성 진단 문의는 케이디시스로 연락 주시기 바랍니다.