접근권한 최소화, 역할 분담 확실해야....

가상화 환경은 보안위협에서 얼마나 자유로울 수 있을까? 이 질문에 대해 보안 전문가는 오히려 더 자유롭지 못하다고 대답한다.

프레디 탠(Freddy Tan) 마이크로소프트 아시아 치프 시큐리티 어드바이저는 ‘(ISC)² SecureAsia @ Seoul Conference┖ 행사에서 “보안전문가로써 가상화 보안과제는 가상화는 또 다른 소프트웨어이며, 모든 소프트웨어에는 버그가 있을 수 있다는 데서부터 시작한다”면서 “게다가 가상화 환경은 보다 편리한 통합환경을 제공하지만 보안이 노출될 경우 더 큰 피해를 입히게 된다”고 역설했다.

즉 가상화를 도입하려고 한다면 철저한 보안을 유지하기위한 문제부터 심각하게 고민해야한다는 이야기다. 보안은 비용이 드는 문제로써 가상화를 통한 비용절감만 생각할 수는 없다고 덧붙인다.

가상화는 데이터센터의 효율화를 통한 절약에 대한 장점이 있지만 보안에 관련해서는 오히려 많은 비용을 요구할 수 있다. 특히 보안 솔루션 중에서는 가상 환경에서 작동하지 않는 것도 있을뿐더러 가상화머신 숫자에 따른 라이선스 문제도 발생할 수 있다. 특히 악용이 될 만한 코드가 발견되거나 가능성이 있다면 적극적으로 나서 패치를 해야 한다. 가상화 환경에서 취약점 노출은 치명적이기 때문이다.

결국 이런 문제들은 가상화환경을 감안한 특별한 보안정책을 필요로 한다. 특히 접근에 대한 권한에 대한 보안정책은 필수적이다. 가상화 환경에서는 하나의 서버에 10개의 가상화머신이 있다면 그 머신들에 접근하는 관리자 계정은 다수가 될 것이기 때문이다.

따라서 그는 “접근에 대한 권리를 최소한으로 부여하도록 권장하며 절대로 100%의 권한을 준 관리자는 자제해야한다”고 주장하면서 “각자 권한을 가진 소관리자 계정을 가지도록 해야한다”고 덧붙였다.

권한을 최소한으로 부여한 소관리자 계정의 경우 여러 계정에 접근해야할 특수한 상황에서는 불편함이 따를 수 있다. 하지만 보다 철저한 보안을 위해서는 필요한 경우에만 접근 권한을 일시적으로 부여하는 것이 안전하다는 것.

따라서 그는 가상화 환경에서 보안정책은 좀더 짜임새 있고 철저해야한다고 강조한다. 즉 역할을 분명히 하고 책임에 대해서도 확실하게 인지시켜야한다는 주장이다.

[오병민 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>