네트워크 분할과 영역

네트워크 분할은 하나의 큰 네트워크를 더 작고 서로 격리된 부분으로 나눕니다. 모든 장치가 다른 모든 장치에 자유롭게 연결되는 대신, 분할된 영역 사이의 트래픽을 통제하고 필터링합니다.

주요 이점은 보안(한 영역에서 발생한 공격이 쉽게 확산되지 않음), 성능(영역별 브로드캐스트 트래픽 감소), 그리고 간편한 관리입니다. 분할을 사용하면 문제가 네트워크 전체로 퍼지지 않고 해당 영역에 머물게 됩니다.

모든 것이 연결된 평면 네트워크는 편리하지만 위험합니다. 어디든 침투한 악성 코드나 공격자가 모든 곳에 접근할 수 있기 때문입니다. 분할은 피해 범위, 즉 사고가 영향을 미칠 수 있는 영역을 제한합니다.

사무실 영역의 워크스테이션이 감염되더라도 분할을 사용하면 해당 워크스테이션이 서버, 카메라 또는 건물 제어 시스템에 직접 접근하지 못합니다. 따라서 탐지하고 대응할 시간을 확보할 수 있습니다.

가상 근거리 통신망은 가장 일반적인 분할 도구입니다. 하나의 스위치에서 여러 가상 근거리 통신망을 운영할 수 있으며, 각각은 독립적인 브로드캐스트 도메인이 됩니다. 따라서 동일한 하드웨어를 공유하더라도 직원, 방문객, 서버를 분리할 수 있습니다.

서로 다른 가상 근거리 통신망에 속한 장치는 직접 통신할 수 없습니다. 트래픽은 라우터나 방화벽을 통과해야 하며, 바로 이 지점에서 영역 간 보안 규칙을 적용합니다.

일반적으로 각 영역에는 고유한 IP 서브넷이 할당됩니다. 서브넷 간에 이동하려면 트래픽이 라우터나 3계층 스위치를 통과해야 하며, 이 지점이 정책을 적용하기에 적합한 병목 지점이 됩니다.

가상 근거리 통신망을 서브넷에 맞추고 그 사이의 라우팅을 제어하면 어떤 영역이 어느 영역과 통신할 수 있는지, 또 어떤 포트를 사용할 수 있는지를 정확히 결정하여 강제할 수 있는 경계를 만들 수 있습니다.

네트워크는 신뢰 수준이 서로 다른 영역으로 구성되는 경우가 많습니다.

• 신뢰됨/내부: 보호되는 기업 LAN입니다.
• 신뢰되지 않음/외부: 인터넷입니다.
• DMZ(비무장 지대): 외부 공개 서버를 위한 반신뢰 버퍼입니다.

방화벽은 영역 사이에 배치되어 승인된 방향과 승인된 포트로만 트래픽이 흐르도록 합니다.

DMZ는 웹 서버와 이메일 서버처럼 인터넷에서 접근할 수 있어야 하는 서버를 내부 네트워크와 분리된 영역에 배치합니다. 공개 서버가 침해되더라도 공격자는 DMZ에 갇히며, 신뢰된 LAN 내부로 들어갈 수 없습니다.

방화벽 규칙을 사용하면 인터넷에서 특정 포트로 DMZ에 접근할 수 있지만, DMZ에서 내부 네트워크로 연결을 시작하는 것은 엄격하게 제한할 수 있습니다.

마이크로 분할은 이 개념을 극단적으로 적용합니다. 몇 개의 큰 영역으로 나누는 대신 개별 작업 부하나 심지어 단일 장치를 격리하고, 각각의 사이의 트래픽을 제어합니다.

데이터 센터와 제로 트러스트 설계에서 흔히 사용되며, 같은 영역에 있는 두 서버도 명시적으로 허용해야만 통신할 수 있다는 뜻입니다. 기본적으로 주변 장치를 신뢰하지 않으므로 측면 이동을 크게 제한할 수 있습니다.

분할의 실용적인 이점은 두 가지입니다. 방문객용 Wi-Fi를 별도의 영역에 배치하여 방문객이 인터넷에는 접속하되 내부 시스템에는 절대 접근하지 못하게 하고, 카메라와 스마트 센서처럼 보안이 취약한 경우가 많은 사물 인터넷 장치를 격리하는 것입니다.

이러한 신뢰할 수 없는 장치를 주 네트워크에서 분리하면 해킹된 카메라가 민감한 시스템으로 들어가는 통로가 되는 것을 막을 수 있습니다.

규정에서는 분할을 요구하는 경우가 많습니다. 예를 들어 PCI DSS(결제 카드 산업 데이터 보안 표준)는 카드 데이터를 처리하는 시스템을 네트워크의 나머지 부분과 격리하도록 요구합니다.

범위에 포함되는 시스템을 분할하면 보안이 향상되고 감사자가 검사해야 할 영역도 줄어듭니다. 따라서 규정 준수가 더 간단하고 저렴해지는 동시에 가장 민감한 데이터를 보호할 수 있습니다.

통제가 없으면 영역을 나누는 것만으로는 아무 효과가 없습니다. 경계에 배치된 방화벽과 ACL(접근 제어 목록)이 어떤 트래픽을 통과시킬지 결정합니다. 기본값은 거부여야 합니다. 모든 것을 차단한 다음 명시적으로 필요한 것만 Permit해야 합니다.

이 기본 거부 방식을 모든 영역 경계에 적용하면 네트워크 구분이 단순한 다이어그램상의 선이 아니라 실제 보안 장벽으로 작동합니다.

분할은 네트워크를 가상 근거리 통신망, 서브넷, 신뢰 영역으로 나누어 문제가 해당 영역에 머물도록 합니다. DMZ는 공개 서버를 보호하고, 마이크로 분할은 개별 작업 부하를 격리하며, 방문객 및 사물 인터넷 네트워크는 신뢰할 수 없는 장치를 서로 분리합니다. 방화벽과 ACL은 기본 거부 정책으로 이러한 경계를 강제하여 공격이 확산될 수 있는 범위를 제한합니다.

네트워크 분할에 대한 지식을 점검해 보세요.

분할은 네트워크를 격리된 부분으로 나누어(가상 근거리 통신망 및 서브넷 사용) 공격을 가두고 피해 범위를 제한합니다. 신뢰됨, 신뢰되지 않음, DMZ와 같은 보안 영역은 신뢰 수준을 분리하며, 마이크로 분할은 개별 작업 부하를 격리합니다. 기본 거부를 적용한 방화벽과 ACL은 경계를 강제하고 규정 준수에도 도움을 줍니다.