네트워크보안 솔루션 도입 전, 접근 통제 공백을 찾는 검증 체크리스트
네트워크보안 솔루션을 검토한다면 장비 목록보다 먼저 누가, 어떤 장치에서, 어느 업무 자원에 접속해야 하는지를 정리해야 합니다. 도입 검증도 ‘정상 접속이 되는가’에 그치지 않고, 불필요한 접근이 차단되는지와 정책 변경 후 업무를 복원할 수 있는지까지 포함하는 편이 좋습니다.
사내망과 클라우드 연결 구간을 관리하는 네트워크 관리자·보안 아키텍트를 위한 검증 기준을 제안합니다. 제품 순위 대신 핵심 업무 하나를 골라 통신 흐름을 기록하고, 허용·차단·복원 시험의 합격 조건을 만드는 것이 목표입니다.
1. 내부망이라는 이유로 허용하지 말고 업무 흐름을 기록한다
NIST SP 800-207은 내부망 같은 네트워크 위치나 자산 소유만으로 사용자·자산에 암묵적인 신뢰를 부여하지 않는다고 설명합니다. 또한 기업 자원에 대한 세션이 성립하기 전에 주체와 장치의 인증·인가를 수행하는 것을 설명합니다. 따라서 ‘사내 IP이므로 허용’이라는 조건만으로 검토를 끝내기보다, 접속 주체와 대상 자원의 관계를 함께 확인해야 합니다.
근거: NIST SP 800-207, Zero Trust Architecture · 2026년 10월 31일 확인.
첫 작업은 모든 장비를 나열하는 것이 아니라, 중단되면 영향이 큰 업무 하나를 골라 필요한 통신을 정리하는 것입니다. 다음 항목을 업무 담당자와 함께 채우면 정책 검토의 출발점으로 사용할 수 있습니다.
- 업무와 담당자: 어떤 업무를 위한 접속이며 필요성을 누가 승인하는가?
- 접속 주체와 장치: 직원, 서버의 서비스 계정, 협력사 작업자 중 누구이며 어떤 장치를 사용하는가?
- 출발지와 목적지: 어디에서 어느 서버·서비스로 접속해야 하는가?
- 통신 조건: 필요한 프로토콜과 포트는 무엇이며 상시 접속인가, 정해진 작업 시간에만 필요한가?
- 통제 지점: 이 흐름을 어느 장비나 서비스에서 허용·차단할 것인가?
- 예외와 종료: 예외 승인자, 만료 시점, 제거 확인 담당자는 누구인가?
출발지 주소만으로 실제 사용자나 장치를 구분하기 어렵다면, 그 상태를 식별 공백으로 기록하십시오. 단말 식별·센서 배치·인증 연동의 범위를 더 검토해야 한다면 NAC 도입 범위를 다룬 글로 이어갈 수 있습니다.
2. 사용자·서버·협력사의 허용 범위를 따로 정한다
하나의 ‘내부 사용자’ 정책으로 묶기보다 접속 목적에 따라 허용 범위를 나눠 검토하는 방식을 권합니다. 아래는 제품의 기본 설정이 아니라, 업무 담당자와 합의할 검증 질문입니다.
| 접속 유형 | 허용 범위를 정할 질문 | 차단 시험에 넣을 범위 |
|---|---|---|
| 직원 → 업무 서비스 | 담당 업무에 필요한 서비스는 어디까지인가? | 권한이 없는 서비스와 관리용 접속 경로 |
| 서버 → 서버 | 애플리케이션 동작에 필요한 상대 서버와 포트는 무엇인가? | 관계없는 서버 및 승인하지 않은 포트 |
| 협력사 → 관리 대상 | 작업자·대상·시간을 어디까지 한정할 것인가? | 작업 대상 밖 자원과 승인 기간 종료 후 접속 |
예를 들어 협력사에 서버 한 대의 유지보수만 맡긴다면, 그 서버에 접속되는지만 확인해서는 부족합니다. 같은 계정과 접속 경로로 다른 관리 대상에도 접근할 수 있는지를 시험 항목에 넣어야 합니다. 서버 간 통신도 승인된 연결 한 개의 성공과 주변 서버로의 접근 차단을 짝으로 검증하십시오.
협력사의 관리 경로를 정한 뒤에는 관리자 권한 승인, 세션 기록, 작업 종료 후 권한 회수까지 검토 범위를 이어갈 수 있습니다. 이 단계의 운영 질문은 PAM 비교 글에서 따로 살펴볼 수 있습니다.
3. 정상 접속·비인가 접속·기존 세션을 나눠 시험한다
허용 규칙을 삭제한 뒤에도 연결이 유지된다면 곧바로 차단 실패라고 판단해도 될까요? 제품의 연결 상태 처리 방식부터 구분해야 합니다.
실제 사례로 Azure NSG는 출발지·출발지 포트·목적지·목적지 포트·프로토콜의 5-tuple로 규칙을 평가하고, 연결 상태를 추적하는 stateful 방식으로 동작합니다. Microsoft 문서에 따르면 허용 규칙을 제거해도 기존 연결은 유지되며, 새 규칙과 변경 규칙은 신규 연결에 적용됩니다. 이 동작은 Azure NSG에 대한 설명이며 모든 네트워크보안 제품에 공통으로 적용되는 것은 아닙니다.
또한 Azure NSG는 우선순위 숫자가 낮은 규칙부터 처리하며, 트래픽이 규칙에 일치하면 처리를 멈춥니다. 따라서 규칙이 존재하는지만 볼 것이 아니라 어떤 규칙에 먼저 일치하는지도 검토해야 합니다. 이 우선순위 방식 역시 다른 제품에 그대로 대입하지 마십시오.
근거: Microsoft Learn, Azure 네트워크 보안 그룹 개요 · 2026년 10월 31일 확인.
다음 시험표에는 예상 결과뿐 아니라 관측 방법과 판정 담당자도 함께 적으십시오. 로그 항목이나 관측 기능의 제공 여부는 검토 제품의 공식 문서와 실제 시험으로 확인할 대상입니다.
| 시험 | 수행 내용 | 합격 기준으로 정할 내용 |
|---|---|---|
| 정상 접속 | 승인된 주체·장치에서 필요한 업무를 실행 | 접속뿐 아니라 해당 업무의 완료까지 확인 |
| 비인가 신규 접속 | 승인 범위 밖의 대상·포트로 새 연결 시도 | 접근 차단과 판정에 필요한 증거 확보 |
| 변경 전 기존 세션 | 연결을 유지한 상태에서 정책 변경 | 합의한 유지·종료 요구와 제품 동작의 일치 여부 |
| 변경 후 신규 세션 | 기존 세션과 구분되는 새 연결 시도 | 변경 정책에 따른 허용·차단 결과 |
| 정책 복원 | 승인된 이전 정책으로 복원한 뒤 재시험 | 업무 재개와 기존 차단 범위의 유지 확인 |
특히 ‘정책을 바꾸면 현재 접속도 즉시 종료해야 한다’는 요구가 있다면 이를 별도 조건으로 명시하십시오. 신규 연결 차단 시험만 통과한 결과로 기존 세션 종료까지 입증했다고 판단해서는 안 됩니다.
4. 단계적 적용은 복원 조건과 함께 설계한다
정책 적용 계획에는 ‘어디까지 적용할 것인가’와 ‘어떤 상황에서 멈출 것인가’가 함께 있어야 합니다. 아래는 도입 검증을 위한 권장 순서이며, 특정 제품이 자동 배포나 원클릭 복원을 지원한다는 의미는 아닙니다.
- 변경 전 상태를 남깁니다. 현재 정책, 시험 대상, 정상 업무 결과를 기록하고 제품이 지원하는 정책 보존·복원 방법을 확인합니다.
- 작은 범위부터 적용합니다. 첫 적용 대상 업무와 제외 대상을 명시하고, 대표 업무의 성공 여부를 담당자가 판정하도록 합니다.
- 정상·차단 시험을 함께 수행합니다. 업무 성공만 확인하고 확대하지 말고, 승인 범위 밖 신규 접속과 기존 세션의 처리도 확인합니다.
- 중단 조건에 도달하면 확대를 멈춥니다. 핵심 업무 실패, 예상 밖 접근 허용, 관리 경로 상실 등 어떤 결과를 중단 조건으로 삼을지 사전에 합의합니다.
- 복원 후 다시 시험합니다. 설정 복원 완료와 업무 복구 완료를 별개로 판정하고, 정상 업무와 필수 차단 항목을 재확인합니다.
변경을 수행하는 관리 경로 자체가 정책 영향 범위에 들어가는지도 검토하십시오. 복구 담당자가 사용할 경로와 연락 체계가 정해지지 않았거나, 이전 정책으로 돌아갈 방법이 검증되지 않았다면 적용 범위를 확대하지 않는 것을 승인 조건으로 둘 수 있습니다.
5. 제안 요청서에는 기능명보다 증명할 결과를 적는다
‘망 분리 지원’, ‘인증 연동’, ‘로그 제공’ 같은 기능명만으로는 검증 범위가 분명하지 않습니다. 공급사에 아래 질문과 함께 적용 버전, 공식 문서, 시험 결과를 요청하십시오.
- 정책 적용 위치: 제시한 통신 흐름 중 어느 지점에서 통제하며, 적용되지 않는 경로나 프로토콜은 무엇인가?
- 사용자·장치 식별: 기존 인증 체계와 어떤 조건으로 연동하며, 식별하지 못한 접속은 어떻게 처리하는가?
- 규칙 충돌과 세션: 중복 규칙의 판정 순서는 무엇이며, 변경 전 연결과 변경 후 신규 연결은 각각 어떻게 처리하는가?
- 로그와 운영 책임: 누가 언제 어떤 정책을 바꿨는지, 접속이 무엇 때문에 허용·차단됐는지 어떤 자료로 판정할 수 있는가?
- 장애와 복원: 장애 시 접속은 어떻게 처리되며, 정책 보존·복원의 범위와 제한, 수행 책임자는 무엇인가?
최종 산출물은 긴 기능 목록보다 업무별 통신 흐름표, 허용·차단 시험표, 중단·복원 승인 조건으로 구성하는 편이 명확합니다. 먼저 핵심 업무 하나에 이 세 가지를 작성하십시오. 공급사가 그 조건을 어떤 정책과 시험 증거로 충족하는지 설명하도록 하면, 제품의 기능 보유 여부와 실제 도입 적합성을 구분해 판단할 수 있습니다.
댓글
댓글 쓰기