[Cloud] 23-2 IT 트랙 1회차

Cloud 기술 동향 소개

미국 경제 주간지 포브스에서 올해 가장 큰 영향을 미칠 것으로 관측되는 2023년 5대 클라우드 컴퓨팅 트렌드를 발표했습니다.

1. 멀티 클라우드

다수의 기업들은 클라우드 플랫폼을 단일 공급자에 의존하는 것보다 다중 클라우드 전략을 채택하고 있습니다. 이는 다양한 클라우드 서비스를 선택하여 비용을 절감하고, 중단 없는 비즈니스 운영을 보장할 수 있기 때문입니다. 또한 멀티 클라우드 인프라 채택을 통해 AWS, Google Cloud 또는 Microsoft Azure와 같은 특정 독점 클라우드 플랫폼에 종속되는 것에서 벗어날 수 있습니다. 2020년에는 대부분의 기업(70%)이 하나의 클라우드 서비스 제공업체에 묶여 있었지만 보고서에 따르면 중대형 기업의 84%가 2023년까지 멀티 클라우드 전략을 채택하여 하나의 클라우드 서비스 제공업체로 포지셔닝할 것으로 나타났습니다.

2. 클라우드 보안 및 복원력

클라우드 보안이 지속해서 중요한 이슈로 대두될 것입니다. 클라우드에 대한 의존도가 높아짐에 따라 보안 문제가 발생할 수 있기 때문에, 사이버 보안에 대한 지출과 데이터 손실 등에 대한 복원력을 구축하는 것이 더욱 중요해질 것입니다. 그러나 기업들이 비용 절감을 모색함에 따라 혁신적이고 비용 효율적인 새로운 방법을 찾는 데 중점을 둘 가능성이 높습니다. 선제적으로 보안 위협을 찾아내도록 설계된 AI 및 예측 기술의 사용을 늘리고 관리형 SaaS(security-as-a-service) 사용을 늘리게 될 것으로 보입니다.

3. AI 및 머신러닝 기반 클라우드

클라우드 서비스 제공 업체는 많은 작업에서 AI 에 의존하고 있습니다. 2023년에는 Amazon, Google, Microsoft와 같은 클라우드 서비스 공급자가 자체 AI 기술을 지속적으로 적용하여 고객을 위해 보다 효율적인 클라우드 서비스를 생성함에 따라 해당 분야에서 지속적인 혁신을 기대할 수 있습니다.

4. 로우코드 및 노코드 클라우드 서비스(Simplified Cloud Computing)

누구나 응용 프로그램을 만들고 데이터를 사용하여 컴퓨터 코드를 작성하기 쉬운 로우코드 및 노코드 솔루션이 인기를 얻고 있습니다. 이러한 서비스의 대부분은 클라우드를 통해 제공됩니다. 즉, 사용자가 강력한 컴퓨팅 인프라를 소유하지 않고도 서비스에 액세스할 수 있습니다.

5. 클라우드 게임

클라우드는 넷플릭스와 같은 스트리밍 서비스를 제공하면서 영화, TV, 음악을 소비하는 방식에 혁명을 일으켰습니다. 그러나 스트리밍 비디오 게임이 직면한 문제는 네트워크 자체입니다. 비디오 게임을 스트리밍하려면 고품질 고속 인터넷 엑세스가 가능해야 합니다. 많은 사람들이 예측하듯, 스트리밍 비디오가 4G용이었고 스트리밍 음악이 3G용이었던 것과 같은 방식으로 클라우드 게임이 5G용 킬러 앱이 될 경우 2023년은 클라우드 게임의 혁신이 되는 해가 될 수 있습니다.

키워드 선정 이유

클라우드 기반 인프라를 선택하면 경쟁업체보다 우위를 점할 수 있다는 사실을 깨닫고 조직은 워크로드를 클라우드로 점점 더 많이 이전하고 있으며 ‘가트너'에 따르면 2023년 전 세계 클라우드 시장 규모는 2022년 4,903억 달러에서 20.7% 증가한 5,918억 달러에 이를 것으로 전망했습니다.

클라우드 기술의 도입초기만 하더라도 사용자당 1개의 클라우드 업체를 이용하였으나 지난해 하이브리드 클라우드 열풍에 이어 올해는 멀티 클라우드에 대한 수요가 증가하고 있습니다.

다수의 퍼블릭 클라우드를 활용하는 멀티 클라우드 방식은 기존 클라우드의 보안, 독점, 금액 등 여러 문제점들을 해소해 줄 수 있을것으로 여겨집니다.

이러한 이유와 함께 포브스의 올해의 클라우드 트렌드 첫번째로 선정되었기에 이번 보고서의 키워드로 선정하였습니다.

디지털 전환에 성공하기 위한 기반 인프라로 ‘클라우드’가 떠오르면서, 많은 기업이 시스템을 클라우드로 전환하기 시작했습니다. 하지만 대부분 인프라 자원만 클라우드로 전환했을 뿐, 고객과 접점이 되는 애플리케이션은 기존 시스템을 그대로 클라우드에 옮겨둔 채 운영하고 있습니다.

클라우드 컴퓨팅 장점을 모두 활용하기 위해서는 애플리케이션의 실행 환경부터 구성까지 전반적인 변화가 필요한데, 이러한 변화를 위한 매뉴얼로 ‘클라우드 네이티브’가 등장했습니다.

2025년 출시되는 애플리케이션 90% 이상이 클라우드 네이티브로 구현될 것으로 전망되며, 대한민국 정부 역시 내년 클라우드 네이티브 전환을 목표로 적극 추진하고 있기에 클라우드 기술 동향의 핵심 키워드로 선정했습니다.

클라우드 도입이 보편화됨에 따라 클라우드 보안 또한 중요한 이슈로 떠오르고 있습니다. 지난 2019년 발생한 AWS 클라우드 해킹 사고는 클라우드 서비스 오류를 이용한 한 번의 해킹으로 1억 달러 이상의 피해액이 발생했을 것으로 추산되는 사건으로, 클라우드 보안의 중요성을 드러냅니다. 많은 기업과 공공기관들이 클라우드로 이전하고 있는 만큼 클라우드에 대한 위협은 신기술의 발전과 함께 갈수록 복잡해지고 더욱 커질 것으로 전망됩니다.

클라우드 보안 위협에 대처할 수 있는 기술들에 대한 관심도 커지고 있습니다. 글로벌 클라우드 보안 시장 규모는 2020년 약 344억 9700만 달러였고, 이는 2025년까지 연평균 14.7% 규모로 성장할 것으로 전망되었습니다. 클라우드 보안 시장이 가파르게 성장할 것으로 전망됨에 따라 글로벌 기업은 물론 국내 사이버보안 기업들도 클라우드 보안 역량을 확보하기 위해 노력하고 있습니다.

이러한 상황을 고려했을 때 클라우드 보안은 중요한 이슈이기에 클라우드 컴퓨팅 동향의 주요 키워드로 선정했습니다.

Cloud 기술 소개

멀티 클라우드

멀티 클라우드는 서로 다른 업체에서 2개 이상의 퍼블릭 클라우드를 이용해 하나의 서비스를 운영하는 것을 말합니다. 퍼블릭 클라우드 시스템을 업체를 다르게 하여 이중 구성(병렬 형태)하는 형태인데요. 업체 종속성을 피하고, 특정 업체의 클라우드 시스템에 장애가 발생했을 때 서비스에 타격을 주지 않기 위함입니다. 이러한 접근 방식은 비용, 성능, 안정성 등 여러 이유로 인해 선택됩니다.

예시1) 기업이 A사를 컴퓨팅 및 스토리지 서비스를 위해 사용하면서, 동시에 B사의 머신러닝 및 데이터 분석 기능을 활용하고, C사를 개발 및 테스트 환경에 적용하는 전략을 가질 때 사용되는 용어입니다. 이렇게 기업은 여러 클라우드 제공자들의 각각의 서비스 및 기술을 통합하여 비즈니스 요구에 맞게 최적화된 솔루션을 구축할 수 있습니다.

예시2) 쇼핑몰 운영을 위해 AWS 서울 리전에서 시스템을 구성해서 사용한다면, MS Azure 부산 리전에도 동일하게 시스템을 구성하는 방식입니다. 이렇게 함으로써 서울 지역의 데이터센터에 문제가 발생하거나, 가능성은 희박하지만 AWS 클라우드 시스템 전체가 공격을 당하더라도 MS Azure에 구성해 놓은 시스템으로 서비스를 차질 없이 운영할 수 있게 됩니다. 또는 클라우드 시스템을 구성할 때, A 업체에서는 인프라(Iaas) 클라우드를 사용하고 B 업체에서는 특정 개발 환경에 특화된 플랫폼(PaaS)을 채택하여 사용할 수도 있습니다.

하이브리드 클라우드 vs 멀티 클라우드 모두 둘 이상의 클라우드를 통합하는 클라우드 배포를 지칭하지만 이들은 포함하는 클라우드 인프라의 종류가 다릅니다.

하이브리드 클라우드는 퍼블릭 클라우드 컴퓨팅과 프라이빗 클라우드 또는 온프레미스 인프라를 결합합니다. 온프레미스 인프라는 내부 데이터 센터 또는 기업 네트워크 내에서 실행되는 기타 IT 인프라가 될 수 있습니다.

"멀티클라우드"는 여러 퍼블릭 클라우드의 결합 및 통합을 의미합니다.기업에서는 하나의 퍼블릭 클라우드를 데이터베이스로, 하나는 PasS로, 하나는 사용자 인증용으로 사용할 수 있습니다.

즉, 하이브리드 클라우드 인프라는 두 가지 이상의 서로 다른 유형의 클라우드를 혼합하는 반면, 멀티클라우드는 동일한 유형의 서로 다른 클라우드를 혼합합니다.

프라이빗 클라우드 vs 퍼블릭 클라우드 퍼블릭 클라우드는 여러 고객이 사용하는 클라우드 서비스이지만, 서로 상호 작용하지는 않습니다. 많은 고객이 서로의 자금을 사용하지 않으면서도 하나의 은행을 사용할 수 있는 것과 같습니다.

프라이빗 클라우드는 단 한 명의 고객만을 위한 클라우드 서비스입니다. 조직에서는 자체 프라이빗 클라우드를 구축 및 유지 관리하거나 외부 벤더에 비용을 지불하여 프라이빗 클라우드를 호스팅할 수 있습니다.

Flexera사의 2023 클라우드 동향 보고서에 따르면 클라우드 이용 전체 고객의 87%가 멀티-클라우드를 활용하고 있다고 응답했습니다. 이 조사에서 의미하는 멀티-클라우드는 퍼블릭 클라우드, 프라이빗 클라우드 모두를 합해 최소 두 가지 이상의 클라우드를 활용하는 것을 의미하며 즉, 두 개 이상의 프라이빗 클라우드만 쓰는 경우, 또는 하나의 프라이빗 클라우드와 하나의 퍼블릭 클라우드를 사용하는 경우 모두 멀티-클라우드 범주에 포함시켰습니다.

전년도 조사 결과인 89%보다는 다소 줄었지만, 대부분의 이용자가 단일 클라우드가 아닌 멀티 클라우드를 이용하고 있음을 보이고 있습니다. 하이브리드 클라우드 역시 72%로 대부분 프라이빗 클라우드와 퍼블릭 클라우드를 병행 사용하고 있음을 알 수 있으며 전체의 56%는 하이브리드 클라우드를 활용하면서 동시에 두 개 이상의 퍼블릭 클라우드를 활용하고 있습니다.

멀티-클라우드를 활용하는 방식에서는 전체 응답자의 44%가 애플리케이션별로 각각 다른 클라우드에서 실행한다고 답을 했는데, 이는 아직 다른 클라우드 간 유연한 워크로드의 이동 및 확장은 하고 있지 못하다는 뜻으로 해석할 수 있습니다. 클라우드 간 워크로드 이동을 하고 있다고 응답한 경우는 37% 수준에 머물고 있다. DR(Disaster Recovery) 용도로 활용한다고 답한 비율이 42%로 멀티-클라우드가 DR 용도로 많이 활용되는 것을 알 수 있습니다. 종합적으로 분석해 보면, 멀티 클라우드를 활용하면서 진정한 클라우드 네이티브 형태로 클라우드 간 워크로드를 자유자재로 확장/이전하는 수준에 도달한 기업은 1/3 정도로 꼽을 수 있습니다.

국내 멀티 클라우드 동향은 위 조사와 차이가 존재했습니다. 2023년 국내 클라우드 컴퓨팅 현황 및 조사 보고서에 따르면 거의 절반에 가까운 45.0%의 기업이 현재 1개의 클라우드 서비스 업체를 이용하고 있다고 응답했습니다. 단일 클라우드를 이용할 가능성이 큰 도입 예정인 기업의 응답을 제외해도 38.1%를 기록했습니다. 다만 대부분의 업무를 클라우드에서 구동하고 있는 기업 중 클라우드 서비스 업체 1곳만 이용한다는 응답은 29.4%로 평균과 15%P에 가까운 차이를 보였으며, 미션 크리티컬 업무를 제외한 업무 중 일부만을 클라우드로 구동하는 기업은 43.9%로 평균에 가까운 응답률을 기록했습니다. 국내 시장에서 현재 상황은 멀티 클라우드가 지배적인 클라우드 활용 방식이라고 보기 어렵지만, 내년도 예상치를 보면 많은 기업이 멀티 클라우드를 지향하고 있다는 점은 분명해 보입니다. 내년에도 1곳의 클라우드 서비스 업체를 이용할 계획이라는 응답은 15.1%로 떨어지고 3~5곳을 이용할 것이라는 응답이 43.0%로 가장 많았습니다. 물론, 지난해 조사에서도 멀티 클라우드 확산에 대한 전망은 올해만큼이나 긍정적이었다는 점에서 응답 기업의 계획이 내년에 전부 실행될 것으로 보기는 어렵지만, 기업의 지향점은 분명하게 멀티 클라우드로 향하고 있다는 동향을 보이고 있습니다.

• 업체 종속성(Lock-in) 탈피 멀티 클라우드를 설명하는 글에는 ‘업체 종속성’이라는 표현이 자주 등장합니다. 클라우드를 한 번 도입하면 DB, OS 분야에서는 변화가 어렵기에 한 업체에 종속된다는 것을 의미하며 이로 인해 과련 분야의 독점 기업들의 횡포가 종종 발생하는 편입니다. 한 업체의 제품에 종속되면 갑작스럽게 가격이 인상되거나 유지 보수 지원이 종료돼도 울며 겨자 먹기로 해당 업체의 정책에 따를 수밖에 없어 종속되지 않도록 유연하게 운영하는 것이 중요합니다. 멀티 클라우드의 활용을 통해 이러한 종속성을 탈피할 수 있으며 효율적이고 안전하게 클라우드 서비스를 이용할 수 있습니다.

• 단일 클라우드의 취약점 보완 지난해 발생한 AWS 서울 리전 장애는 단일 클라우드에만 의존하는 것이 위험하다는 인식을 확산시키고 멀티 클라우드에 힘을 실어준 대표적인 사건입니다. 인프라 환경이 클라우드로 옮겨지기 전에는 서버 부하를 조절하고 장애 대비를 위해 서버 시스템을 이중화 구성하는 것이 필수로 여겨졌습니다. 클라우드 환경에서는 로드밸런싱, 오토스케일링을 통해 작업 부하를 조절할 수 있고, 가용 영역을 다중 구성하여 만일의 사태에 대비하고 있지만 단일 클라우드 내에서의 조치는 완벽하지 않다는 것이 지난해 사례를 통해 입증되었습니다. 클라우드 시스템도 데이터센터의 물리적 장비를 기반으로 운영되기 때문에, 특정 데이터센터에 장애가 발생하면 이중 구성이 크게 도움 되지 않기 때문입니다. 병렬구조인 멀티 클라우드의 활용을 통해 하나의 클라우드의 문제가 발생하더라도 다른 클라우드를 통해 피해를 최소화 할 수 있습니다.

많은 기업이 멀티 클라우드를 지향하는 것은 제대로 구현하면 그만큼 이점이 많기 때문일 것입니다. 멀티 클라우드의 이점을 묻는 설문(2023 국내 클라우드 현황 보고서)에 비용 최적화를 필두로 위험 완화, 새로운 서비스 사용, 업체 종속 방지까지 모두 40% 이상의 응답률을 기록했습니다.

• 비용 효율성 증가 여러 클라우드 제공자의 서비스를 사용하여, 가격과 성능 측면에서 최적의 솔루션을 선택할 수 있습니다. 이를 통해 기업은 자원을 효율적으로 사용하고 비용을 절감할 수 있습니다.

• 안정성 증가 여러 클라우드 제공자를 사용하면, 특정 클라우드 제공자의 장애가 전체 시스템에 영향을 미치지 않게 하여 안정성을 높일 수 있습니다. 이는 리스크 분산과 높은 가용성을 보장하며, 장애 시 복구 시간을 단축할 수 있습니다.

• 유연성 확보 다양한 클라우드 서비스를 사용하면, 벤더 종속성을 줄여주어 조직의 요구에 맞게 서비스를 확장하거나 축소하는 데 유연성을 제공합니다. 이를 통해 기업은 특정 클라우드 서비스 업체의 장애나 정책 변경에도 대응할 수 있고 시장 변화에 빠르게 대응하며 경쟁력을 유지할 수 있습니다.

• 특정 벤더에 대한 의존도를 낮춥니다. 여러 클라우드 제공자를 사용하면, 특정 클라우드 제공자에 대한 의존성을 줄이고, 리스크를 분산시킬 수 있습니다. 이를 통해 기업은 서비스 제공자 간의 전환을 원활하게 수행하고, 더 나은 서비스 조건을 협상할 수 있습니다.

• 최적의 커스터마이징이 가능합니다. 각 클라우드 제공자들은 특정 분야에서의 전문성과 기능을 갖추고 있기 때문에 기업은 각 클라우드 제공자의 강점을 활용하여 필요한 서비스와 기능을 맞춤화할 수 있습니다. 이를 통해 기업의 비즈니스 요구사항에 가장 적합한 솔루션을 구축할 수 있습니다. 또한 데이터의 위치에 따라 적절한 클라우드 서비스를 선택하여 국가별 데이터 주권 법규를 준수할 수 있습니다.

멀티 클라우드는 장점만큼이나 실제 도입 및 활용 과정이 쉽지 않은 것으로 알려져 있습니다. 여러 곳의 클라우드 서비스를 사용함으로 생기는 복잡성이 관리나 보안 측면에서 적지 않은 과제가 되기 때문입니다.

자원 및 비용의 통합 관리는 62.9%로, 절반 이상의 응답자가 해결 과제로 꼽았고, 최적 클라우드 선정, 워크로드 마이그레이션, IT 거버넌스 등도 36~41%의 높은 응답률을 기록했습니다.

• 관리와 통합의 복잡도가 올라가 시간과 노력이 많이 필요합니다. 여러 클라우드 제공자를 사용하면, 시스템 관리와 통합이 복잡해져 보안 강화에 대한 시간과 노력이 필요할 수 있습니다. 각 클라우드 플랫폼별의 특성과 기술이 다르기 때문에 각각의 관리 도구와 인터페이스의 익숙해져야 하며, 다양한 플랫폼 간의 상호 운용성을 고려해야 합니다.

• 관리에 대한 비용이 올라가 효율성이 떨어질 수 있습니다. 멀티 클라우드 전략을 효과적으로 관리하고 실행하려면 기업 내부의 전문가가 다양한 클라우드 플랫폼에 대한 지식을 갖추고 전문적인 지식과 기술을 갖춘 인력, 자원 및 도구가 필요할 수 있습니다. 이를 위해 기업은 추가적인 교육 및 인력 투자를 고려해야 할 수도 있고 그에 따라 비용이 증가하게 되면, 기업의 전반적인 비용 효율성에 영향을 미칠 수 있습니다.

• 보안에 대한 고려 사항이 증가합니다. 여러 클라우드 서비스 제공자를 사용하면, 데이터 및 애플리케이션의 보안에 대한 과제가 증가합니다. 각 제공자의 보안 프로토콜 및 규정 준수를 확인하고, 서로 다른 클라우드 환경에서의 데이터 보호를 관리해야 합니다.

• 데이터 통합 및 호환성 문제를 생각해야 합니다. 멀티클라우드 환경에서 데이터를 한 클라우드 제공자에서 다른 클라우드 제공자로 이전하는 경우에, 호환성이 떨어지거나 통합이 어려운 경우가 있습니다. 데이터 이전 시 발생하는 시간, 비용 및 애플리케이션 이식성이나 서비스 간 상호 운용성 문제 등을 고려해야 합니다.

클라우드 네이티브

애플리케이션 개발을 위한 소프트웨어 방식으로서 확장성, 안정성, 고성능을 갖춘 기본적인 개발 방식과 그 특성입니다.

클라우드 네이티브 기술은 조직이 퍼블릭, 프라이빗, 하이브리드 클라우드에서 확장 가능한 애플리케이션을 구축하고 실행할 수 있도록 지원합니다.

단순히 자원을 클라우드로 이전하는 것이 아닌, 아키텍처와 어플리케이션 등 모든 환경을 클라우드에 최적화한 상태로 구현하는 것입니다. 따라서 클라우드 구축 후 기존 인프라에 만든 애플리케이션을 그대로 적용하는 것이 아니라 처음부터 클라우드 환경을 고려해 애플리케이션을 만드는 기술과 방법들을 포괄하는 개념입니다.

클라우드 VS. 클라우드 네이티브

클라우드가 서버, 스토리지 등 인프라의 가용성과 유연성 확대에 초점을 뒀다면, 클라우드 네이티브는 앱 효율성을 높이는 것이 목표입니다.

CNCF

리눅스가 설립한, Cloud Native Computing Foundation(CNCF)은 조직들의 클라우드 네이티브 기술 채택을 촉진하는 오픈 소스 소프트웨어 재단으로, Microsoft, Oracle, Amazon, Intel 등이 회원입니다.

마이크로서비스 아키텍처

• 애플리케이션을 독립적인 작은 기능들로 분해하여 구축하는 기술

• 기존 모놀리식(애플리케이션의 모든 기능이 단일 소스로 통합)의 비효율성을 해결하는 대안으로, 작은 데이터베이스와 작은 서비스가 서로 묶여 있어 하나하나가 완벽하게 독자적으로 작동

• 필요한 기능 단위만 수정 및 추가, 서비스 단위 별로 적합한 언어 및 미들웨어 활용해서 최적화된 아키텍처 구성 가능

컨테이너 기술

• 마이크로서비스 방법론으로 개발한 애플리케이션을 효과적으로 배포, 활용할 수 있는 기술

• 가상화 기술 중 하나로, 시스템을 가상화하는 것이 아닌 애플리케이션을 구동할 수 있는 컴퓨팅 작업을 패키징하여 가상화한 것

• 종속성이 없어(이질적인 서비스들을 하나의 배포 패키지로 구성하지 않아) 독립적으로 관리, 운영 가능

DevOps

• Development(개발) + Operation(운영) ⇒ 개발자와 엔지니어의 협업을 강조하는 개발 문화로, 개발에서 배포에 이르는 프로세스의 속도를 높이는데 초점

CI(Continuous Integration) / CD(Continuous Delivery)

• 지속적인 통합과 배포를 통해 애플리케이션 개발 단계를 자동화하여 고객에게 더욱 짧은 주기로 서비스를 제공하고 개선하는 방법

• DevOps 문화를 성공적으로 구축하기 위해 필요한 요건 중 하나로, 개발과 운영 간 업무 속도를 향상하는데 기여

• CI(Continuous Integration) - 지속적 통합: 애플리케이션 코드의 새로운 변경 사항이 정기적으로 빌드 및 테스트를 거쳐 공유 리포지토리에 병합

• CD(Continuous Delivery) - 지속적 배포: 애플리케이션에 적용한 변경 사항이 버그 테스트를 거쳐 리포지토리에 자동으로 업로드

• 독립성: 클라우드 네이티브는 다수의 클라우드 공급자 및 서비스를 활용하여 기업이 특정 벤더로 고정되지 않도록 지원합니다. 이러한 독립성은 애플리케이션의 구성 요소마다 가장 적합하고 비용 효과적인 클라우드 솔루션을 선택할 수 있는 유연성을 제공합니다. 이는 각각의 애플리케이션을 개별적으로 관리하고 배치할 수도 있다는 의미입니다. 또한 기업이 클라우드 환경 또는 온프레미스 인프라 간에 끊김 없이 워크로드를 마이그레이션하도록 지원합니다.

• 복원력: 내장된 내결함성 및 재난 복구 메커니즘을 통해 애플리케이션에 강력한 수준의 복원력이 내장됩니다. 클라우드 네이티브 애플리케이션은 분산 아키텍처 및 자동 조정을 활용하여 리소스를 재할당하고 서비스 가용성을 유지함으로써 트래픽의 중단 또는 급증을 원활하게 처리할 수 있습니다. 복원력은 복제, 부하 분산, 내결함성 디자인 패턴을 통해 달성됩니다.

• 표준 기반: 클라우드 네이티브 아키텍처는 업계 표준 관행 및 프레임워크를 따르며 상호 운용성 및 호환성을 지원합니다. 휴대성(이동성)이 향상되고 네이티브 클라우드 환경 간의 끊김 없는 통합 및 협업이 가능해집니다.

• 비즈니스 민첩성: 클라우드 네이티브는 빠른 애플리케이션 개발 및 구축을 지원하여 기업이 변화하는 비즈니스 요구에 빠르게 대응할 수 있게 합니다. 네트워크에서 유연한 배포 옵션을 제공하며, 기존의 앱보다 작기 때문에 보다 쉽게 개발, 배포,반복 작업을 수행할 수 있습니다.

• 자동화: DevOps 자동화 기능을 사용하여 정기적으로 릴리스되는 소프트웨어 변경 사항을 지속적으로 전달 및 배포할 수 있습니다. blue-green 및 카나리아 배포와 같은 방법을 사용하여 사용자 경험을 방해하지 않고 앱을 개선할 수 있습니다.

• 작동 중단 시간 없음: 중단 시간 없는 구축 및 자동 조정을 통해 지속적인 가용성을 달성합니다. Kubernetes(쿠버네티스)와 같은 컨테이너 통합관리자 덕분에 기본적으로 다운타임 없이 소프트웨어 업데이트를 배포할 수 있습니다.

• 당면했던 문제: 기존 애플리케이션이 모놀리식 구조로 개발, 개선 속도가 느렸고, 하나의 데이터베이스만 갖고 있어 서비스 중단에 대한 큰 리스크

• 클라우드 네이티브의 도입: 먼저 마이크로서비스 아키텍처를 도입하고, 자사만의 DevOps 구축 ⇒ 기술적인 전환 + 조직의 구성, 일하는 방식 등 기업 자체의 변화도 중요

클라우드 보안

클라우드 도입이 보편화되고 새로운 기술이 등장함에 따라 클라우드 보안의 영역도 넓어지고 보안 위협도 다각적으로 변화하고 있습니다. 클라우드 보안은 클라우드 운영에서 사용자들이 가장 어려움을 겪는 영역입니다. 체크포인트 소프트웨어 테크놀로지스가 발표한 2023 클라우드 보안 보고서에 따르면 전 세계 사이버 보안 전문가의 72%는 여전히 보안 솔루션에 대한 액세스 관리에 어려움을 겪는 중이라고 밝혔습니다.

기존 온프레미스 방식과 달리 클라우드 컴퓨팅을 도입했을 때 보안에 위협으로 작용하는 대표적인 요소들은 다음과 같이 볼 수 있습니다.

1. 클라우드 컴퓨팅의 구조적 특성으로 인한 위협
   

   1. 가시성 부족 가시성은 클라우드 컴퓨팅 보안의 가장 핵심입니다. 대부분 클라우드 서비스는 기업 네트워크 외부와 서드파티를 통해 액세스되기 때문에 누가 어떻게 데이터를 액세스하는지 추적하기 더 어렵습니다.
      

   2. 하이브리드 및 멀티 클라우드 확산 한 종류의 클라우드도 완벽하게 관리하기 어려운 아키텍처인데, 이러한 클라우드를 중첩해서 사용하게 되면 데이터를 추적하고 관리하기 더 힘들어지게 됩니다. 특히 여러 클라우드들의 보안 옵션과 방식이 제각각일 수 있어 가시성 확보가 훨씬 어려워지게 됩니다. 보안 업체 Vulcan Cyber의 수석 엔지니어 마이크 파킨(Mike Parkin)은 데이터 보안의 관점에서 멀티클라우드 환경의 가시성을 확보하는 건 불가능한 일이라고 봐도 무방하다고 말하기도 했습니다.

   3. 멀티테넌시 퍼블릭 클라우드 서비스를 이용할 때 클라우드 공급업체가 제공하는 같은 공간을 다른 조직과 공유하게 되기 때문에, 이러한 상황이 보안에 위협으로 작용할 수 있습니다.

   4. APT 공격 클라우드 환경은 다이내믹한 업무 환경, 즉 필요에 따라 자동으로 확장되는 특성을 제공합니다. 이러한 특성은 피해자의 네트워크에 장기간 머물러 공격을 지속하는 APT 공격자들이 클라우드를 노리는 이유가 되기도 합니다. (APT: Advanced Persistent Threat, 지능형 지속 공격. 새롭게 개발되는 전술과 기술을 이용해 다양하게 진화하는 공격으로, 단시간 내 공격이 이루어지는 DDoS 등과 달리 수일~수년 단위로 지속되는 공격)

2. 클라우드 관리 및 운영 단계에서 발생하는 위협
   

   1. 계정 관리에서 문제 클라우드는 보안 경계가 없기 때문에 ID를 중심으로 보안정책을 설정하는데, 네트워크를 통한 계정 하이재킹의 위험성이 높습니다. 적절한 권한을 갖지 못한 사람이 임의로 접근이 가능해지는 문제가 생길 수 있습니다.

   2. 섀도우 데이터 (shadow data) 온프레미스 환경에서 클라우드 컴퓨팅으로 체제를 전환하는 과정에서, 또는 클라우드 안에서의 체제 전환 과정에서 데이터가 불필요하게 복제되거나 관련 없는 곳에 저장된 채 관리의 대상에서 벗어나 잊히고 있는 것을 섀도우 데이터 혹은 다크 데이터(dark data), 고스트 데이터(ghost data)라고 부릅니다. 이러한 섀도우 데이터에 민감한 정보가 포함된 상태로 외부에 노출된다면 보안에 큰 위협으로 작용합니다.

   3. 실수나 설정 오류 클라우드 보안을 담당하는 사람 등 내부자의 실수로 발생하는 보안 사고가 전체 클라우드 보안 사고의 원인 중 가장 큰 비율을 차지합니다. 가트너는 2023년까지 클라우드 보안 사고의 99%가 사용자의 실수로 발생할 것이라고 전망했고, 네트워크타임즈의 2020 보안 담당자 설문조사에서도 클라우드 이용에서 가장 문제가 될 요소로 설정 오류나 담당자 실수로 인한 사고를 꼽은 비율이 30.7%로 가장 높았습니다.

3. 새로운 IT 기술 발달에 따른 위협
   

   1. 생성형 AI 시스템 이용한 자동화된 해킹 생성형 AI를 이용해 만든 새롭고 혁신적인 공격이 벌어질 수 있습니다.

   2. 클라우드 랜섬웨어 클라우드만을 노리는 공격자들이 만든 클라우드용 랜섬웨어가 위협이 될 수 있습니다. 점점 더 많은 기업과 공공기관들이 클라우드로 이전함에 따라 공격자의 입장에서도 클라우드의 가치가 높아지기 때문입니다.

클라우드 보안을 위한 기술은 그 적용 대상과 방법에 따라 여러 가지가 존재합니다. 시장조사기관 가트너가 2021년 강조한 클라우드 보안 기술의 종류는 다음과 같습니다.

이들 중 대표적인 클라우드 보안 기술로 CSPM(Cloud Security Posture Management), CWPP(Cloud Workload Protection Platform), CASB(Cloud Access Security Blocker), CIEM(Cloud Infrastructure Entitlement Management) 등이 있고, 최근 등장한 개념으로는 SECaaS(Security as a Service), CNAPP(Cloud Native Application Protection Platform) 등이 있습니다. 각 기술을 아래에서 간단히 소개하고, 그 외 클라우드 보안을 지키기 위한 고려사항들도 살펴보겠습니다.

CSPM (클라우드 보안 형상 관리, Cloud Security Posture Management) CSPM은 외부 위협으로부터 지속적으로 안정적인 클라우드 환경을 보장하기 위해 클라우드의 잠재적 문제를 탐지하는 솔루션입니다. 미리 등록해둔 보안 정책을 기준으로 실시간 또는 정기적으로 클라우드 전체 범위에 대해 사용 현황과 위험 요소들을 체크하고, 이를 바탕으로 진단 결과와 안전한 사용을 위한 권고 사항이나 조치 방안을 제공합니다.

CSPM을 통해 지속적으로 변하는 클라우드 인프라에서 취약성을 지속적으로 체크하고 대응할 수 있고, 한 시스템에서 중첩된 클라우드 (멀티 클라우드 등) 상의 리소스를 관리할 수 있는 가시성을 가질 수 있으며 각 리소스가 준수해야 하는 규정의 준수 여부를 확인하고 이에 대한 신속한 대응이 가능해집니다.

CWPP (클라우드 워크로드 보호 플랫폼, Cloud Workload Protection Platform) CWPP는 클라우드 워크로드에 특화된 보안 솔루션입니다. 클라우드 내부에서 클라우드상의 모든 워크로드에 대해 워크로드의 생성부터 운영까지 전 수명주기에 걸쳐 실시간으로 보안 이슈에 대응해 클라우드 워크로드를 보호합니다. 외부에서 전체 클라우드 환경의 구성 오류 및 규정 준수 위반 여부를 탐지하는 CSPM과 달리 CWPP는 클라우드에서 실행되는 소프트웨어에 한해 내부의 위협을 찾습니다.

CASB (클라우드 액세스 보호 중개, Cloud Access Security Blocker) CASB는 데이터 보호에 초점을 맞춘 보안 솔루션으로, 클라우드 서비스 사용자와 클라우드 서비스 공급자 중간에서 클라우드 이용에 안전을 담보하는 중개자로 기능합니다. SaaS 서비스 사용이 확장됨에 따라 데이터 유출 위협에 대한 우려가 증가하는 배경에서, 클라우드 내 데이터에 대한 가시성을 확보하고 사용자 접근 통제를 적용하는 솔루션입니다.

CIEM (클라우드 인프라스트럭처 권한 관리, Cloud Infrastructure Entitlement Management) CIEM은 특정 서비스 자원이 탈취 또는 해킹되었을 때 이를 탐지하여 그 권한을 제어하는 등 자원의 아이덴티티를 관리하는 역할을 합니다.

CNAPP (클라우드 네이티브 애플리케이션 보호 플랫폼, Cloud Native Application Protection Platform) CNAPP는 앞서 언급한 CSPM, CWPP, CASB, CIEM을 비롯한 기존 클라우드 보안 솔루션들을 통합한 플랫폼을 일컫는 개념입니다. 개발 단계부터 워크로드 동작까지 모든 영역에 대한 보안을 통합해 말합니다.

SECaaS (Security as a Service) SECaaS는 기존에 물리적, 구축형으로 제공되던 보안기능을 on-demand 구독 모델 형태로 제공하는 클라우드 보안 서비스입니다. 클라우드 환경이 급격히 변화하는 만큼, 유연성과 탄력성을 확보 가능한 형태의 보안의 필요성이 생겼고 SECaaS는 이러한 상황을 바탕으로 등장한 서비스입니다.

• 범용 보안 기술 기존 온프레미스 기반 환경에서 설치해 운영하던 보안 솔루션들을 그대로 클라우드로 이식해 활용하는 방식입니다.

• 보안 관련 관행 개선 대부분의 클라우드 보안 이슈가 클라우드 사용자에 의한 오류로 발생하는 만큼, 보안 담당자뿐 아니라 기업 내 모든 직원에 보안 교육과 훈련이 필요합니다.

• 신뢰할 수 있는 소프트웨어 사용

• 적합한 클라우드 제공업체 선택

• 차세대 방화벽 (NGFW: Next-Generation Firewall) 기존 방화벽의 기능을 발전시키고 확장해 진화하는 보안 위협에 대응 가능한 장치입니다.

• 하이브리드 클라우드 도입 데이터의 성격에 따라 프라이빗 클라우드와 퍼블릭 클라우드에 나눠 배치함으로써 퍼블릭 클라우드에서 발생하는 보안 위협을 줄일 수 있습니다.

작성자: 안태림(23), 김도현(25), 신유정(25)