NAC(Network Access Control)는 필요악인가? #우아콘2022 #Day2_음식그이상의것을문앞으로

다양하고 많은 기능을 갖췄지만 모든 기능을 다 쓰기에는 NAC 리소스가 한정적일 수 있고, 사용자 환경에 맞지 않게 과도하게 적용하면 사용자 불편과 운영 담당자의 스트레스만 초래한다. 그래서 도입 전 운영 환경을 분석하고 필요한 기능을 잘 정의해 운영의 안정성과 편의성 을 확보해야 한다. 우아한형제들은 기능을 정의하는 과정에서 에이전트리스 방식 과 에이전트 방식 중 무엇을 쓸지 고민했다. 에이전트 배포가 사용자 단말 리소스를 소모해 성능 저하로 이어질 수 있어 우선 에이전트리스를 검토했지만, 일부 기능이 제한적이고 모든 구성원 단말에 별도 설정을 적용하기 어려워 결국 에이전트 방식 을 택했다. 에이전트 구동에 따른 다른 소프트웨어와의 충돌·과도한 리소스 점유·비정상 동작을 우려해, 다른 엔드포인트 보안 솔루션의 NAC 에이전트 예외 처리, 일부 환경 샘플링 후 정책 배포·모니터링, 순차 배포로 문제 발생 여부를 꼼꼼히 검증했다. 또 관리자 실수나 시스템 오류로 잘못된 정책이 배포되어 많은 사용자에게 비정상 차단이 발생할 경우, NAC가 과도한 차단을 인지해 차단 동작을 일시 보류 하는 기능이 있는지도 검토했다.

안정성에 이어 운영의 편의성 도 고민했다. 근무지가 여러 곳인 우아한형제들 환경에서, 처음엔 하나의 NAC로 모든 근무지를 커버하는 아키텍처를 검토했으나 일부 구간 장애 시 서비스 연속성이 끊기고 예방·통제 기능이 제한적이라, 각 근무지별로 NAC를 별도 구성 하기로 했다. 그러자 근무지별 NAC를 어떻게 효율적으로 관리할지가 새 고민이 됐는데(하드웨어·소프트웨어·라이선스 개별 관리, 정책 수립의 비효율), 결과적으로 여러 NAC를 한 번에 관리하는 NAC 통합 매니저 를 별도로 구성했다. 이를 통해 라이선스를 간편하게 관리하고, 근무지 환경에 따라 정책을 세분화해(A 근무지엔 모든 정책, B 근무지엔 일부 정책) 리소스를 효율적으로 쓰며, 근무지 이동이 자유로운 업무 환경에 맞춰 NAC 간 사용자 단말 정보를 공유 해 다른 근무지로 이동해도 에이전트 재설치나 재인증 없이 바로 사내 네트워크를 쓸 수 있게 했다. 이 밖에 필수·비인가 소프트웨어 식별과 차단, 통합 매니저의 편리한 UI, 인가·비인가 단말 현황을 보는 대시보드, 보안 활동을 통계로 보는 보고서 기능도 함께 검토했다.

더 큰 편의를 위해 NAC를 응용한 사례를 든다. 첫째는 VPN 연동 이다. 팬데믹으로 재택근무가 늘며 SSL VPN으로 비대면 업무 환경을 갖췄는데, VPN만으로는 비인가 소프트웨어 통제가 효율적이지 않고 VPN 단말이 NAC 관리 영역에 포함되지 않는 제한이 있었다. 그래서 VPN을 NAC와 API로 연동 해 소프트웨어 설치·버전을 확인하고 취약·비인가 소프트웨어에 업데이트를 권고하거나 VPN 연결을 해제하게 했고, VPN 로그인 사용자 ID를 NAC에 실시간 동기화해 방화벽 로그를 조회하지 않고도 단말 상태를 확인하게 했다. 둘째는 협업 도구 연동 이다. 관리자가 콘솔을 계속 볼 수 없어 비인가 단말·취약점·악성 행위를 놓칠 수 있으므로, NAC 통합 매니저와 협업 도구를 API로 연동해 이벤트 발생 시 채널 알람·메일을 발송해 빠르게 인지·대응하게 했다. 셋째는 취약점 관리와 악성 행위 탐지 로, 인가된 단말도 계속 보안 설정을 확인·강제하고, 확인된 취약점·악성 행위는 벤더 템플릿이나 커스텀 정책으로 검사해 삭제·업데이트를 안내하거나 악성 행위 탐지 시 단말을 네트워크 격리 한다. 향후 고도화 방향으로는 불필요한 정책 정리·신규 비인가 소프트웨어 제한, 스크립트 실행·위협정보 기능 활용, API 기반 다른 보안 솔루션 연동으로 엔드포인트 보안 자동화와 위험 수준의 체계적 관리를 든다. 마지막으로 주제로 돌아와, NAC는 정책 위반·예기치 못한 오류로 사용자 불편과 운영 부담을 줘 "컴플라이언스 때문에 어쩔 수 없이 구축하는 솔루션"이라는 시선도 있지만, 그 역할은 내부 보안 강화를 위함이고 불편함은 운영하며 해소할 수 있으므로 "없는 것이 바람직하나 어쩔 수 없이 요구되는 악"인 필요악과는 거리가 있다며, 결국 "NAC는 조금 불편할 수 있으나 필요악은 아니다" 라는 답으로 발표를 맺는다.