CNAPP란 무엇인지 검색해보면 CSPM, CWPP, CIEM, 컨테이너, 쿠버네티스 같은 생소한 용어가 한꺼번에 나옵니다.
클라우드를 전문적으로 운영하지 않는 중소기업 담당자라면 첫 문장부터 어렵게 느껴질 수 있습니다.
하지만 CNAPP의 기본 개념은 생각보다 단순합니다.
클라우드에 흩어져 있는 여러 보안문제를 각각 따로 관리하지 말고 하나의 관점에서 확인하자는 것입니다.
예를 들어 회사 홈페이지와 내부 업무시스템을 AWS에서 운영하고 있다고 생각해보겠습니다.
서버만 안전하면 끝나는 것이 아닙니다.
누가 관리자 권한을 가지고 있는지, 저장공간이 외부에 공개되어 있지는 않은지, 취약한 서버가 없는지, 컨테이너 설정은 안전한지, 개발자가 실수로 인증키를 노출하지 않았는지까지 함께 확인해야 합니다.
이처럼 클라우드 환경이 복잡해지면서 등장한 통합적인 보안 접근이 CNAPP입니다.
CNAPP란 무엇일까?
CNAPP는 Cloud Native Application Protection Platform의 약자입니다.
쉽게 표현하면 클라우드에서 개발되고 운영되는 애플리케이션과 인프라를 여러 단계에 걸쳐 보호하는 통합 보안 플랫폼이라고 이해할 수 있습니다.
과거에는 서버 보안, 설정 점검, 접근권한, 컨테이너 보안을 각각 다른 제품으로 관리하는 경우가 많았습니다.
하지만 클라우드 환경에서는 이런 영역이 서로 연결되어 있습니다.
예를 들어 하나의 서비스에도 다음 요소가 포함될 수 있습니다.
- 클라우드 계정
- 가상서버
- 데이터베이스
- 스토리지
- 컨테이너
- 쿠버네티스
- 사용자 권한
- API
- 개발 파이프라인
- 애플리케이션
CNAPP는 이런 환경에서 발생하는 위험을 통합적으로 파악하도록 돕는 개념입니다.
일반 서버 보안과 클라우드 보안은 무엇이 다를까?
과거 회사 내부에 서버 한 대를 설치했다면 관리 대상이 비교적 명확했습니다.
서버가 어디에 있고 누가 관리하는지 눈으로 확인할 수 있었습니다.
클라우드는 다릅니다.
관리자가 몇 번의 클릭만으로 새로운 서버나 저장공간을 만들 수 있습니다.
개발자가 테스트용 자원을 만들었다가 삭제하지 않을 수도 있고, 필요 이상으로 넓은 권한을 부여할 수도 있습니다.
즉, 공격만 문제가 아니라 설정 실수와 관리 누락 역시 중요한 보안위험이 됩니다.
클라우드 보안에서는 다음 질문이 중요합니다.
현재 몇 개의 자원이 만들어져 있는가?
외부에 공개된 것은 무엇인가?
누가 관리자 권한을 가지고 있는가?
취약한 설정은 없는가?
사용하지 않는 자원이 남아 있지는 않은가?
CNAPP는 이런 질문들을 한곳에서 확인하기 위한 방향이라고 볼 수 있습니다.
CNAPP를 이해하려면 CSPM부터 알아야 한다
CNAPP를 검색하면 가장 자주 등장하는 용어 가운데 하나가 CSPM입니다.
CSPM은 Cloud Security Posture Management를 의미합니다.
쉽게 표현하면 클라우드 설정이 안전한지 계속 확인하는 기능입니다.
예를 들어 다음과 같은 문제를 찾아볼 수 있습니다.
- 저장공간이 외부에 공개됨
- 관리자 권한이 너무 넓음
- 보안그룹이 불필요하게 개방됨
- 암호화 설정이 빠짐
- 로그 기록이 꺼져 있음
- 중요한 설정이 권장기준과 다름
클라우드 환경에서는 이런 설정 하나가 보안문제로 이어질 수 있습니다.
특히 사람이 직접 수십 개, 수백 개의 클라우드 자원을 확인하기 어려워지면서 자동 점검의 필요성이 커집니다.
CSPM을 쉽게 비유하면
건물의 보안점검표와 비슷합니다.
매일 다음을 확인한다고 생각해보겠습니다.
비상문이 열려 있지 않은가?
잠겨 있어야 할 문이 열려 있지 않은가?
CCTV가 꺼져 있지 않은가?
클라우드에서도 이런 식으로 잘못된 설정을 찾아주는 역할에 가깝습니다.
CWPP란 무엇일까?
두 번째로 많이 등장하는 용어가 CWPP입니다.
Cloud Workload Protection Platform을 의미합니다.
여기서 Workload는 클라우드에서 실제로 실행되는 서버나 컨테이너 등의 작업환경이라고 이해하면 됩니다.
CSPM이 설정 상태를 확인하는 것에 가깝다면 CWPP는 실제로 동작하는 시스템 자체를 보호하는 것에 더 가깝습니다.
예를 들어 다음을 확인할 수 있습니다.
- 서버 취약점
- 악성 프로그램
- 비정상 프로세스
- 컨테이너 위험
- 실행 중인 워크로드의 이상행동
쉽게 구분하면 다음과 같습니다.
CSPM → 클라우드 설정이 안전한가?
CWPP → 실제 서버와 워크로드가 안전한가?
CIEM이란 무엇일까?
세 번째로 알아두면 좋은 것이 CIEM입니다.
Cloud Infrastructure Entitlement Management를 의미합니다.
이름은 어렵지만 핵심은 권한관리입니다.
클라우드에서는 한 사람이 매우 많은 권한을 가질 수 있습니다.
예를 들어 개발자에게 편의를 위해 관리자 권한을 줬다고 생각해보겠습니다.
처음에는 필요한 것 같았지만 시간이 지나면서 실제 업무보다 훨씬 많은 권한을 계속 가지고 있을 수 있습니다.
CIEM에서는 이런 과도한 접근권한을 찾아 관리하는 데 초점을 둡니다.
예를 들면 다음과 같은 질문입니다.
- 관리자 권한을 가진 사람은 누구인가?
- 실제 사용하는 권한은 무엇인가?
- 사용하지 않는 권한이 남아 있지 않은가?
- 퇴사자 권한이 남아 있지 않은가?
- 서비스 계정에 너무 많은 권한이 있는 것은 아닌가?
결국 제로트러스트에서 이야기하는 최소 권한 개념과도 연결됩니다.
CSPM·CWPP·CIEM 차이 한눈에 보기
| 구분 | 무엇을 확인하나? | 쉽게 표현하면 |
|---|---|---|
| CSPM | 클라우드 설정 | 문이 제대로 잠겼는지 확인 |
| CWPP | 서버·컨테이너 등 워크로드 | 안에서 이상한 행동이 없는지 확인 |
| CIEM | 사용자·서비스 권한 | 누가 어느 방까지 들어갈 수 있는지 확인 |
| CNAPP | 여러 영역을 통합 | 건물 전체 보안을 한곳에서 관리 |
제품에 따라 실제 제공 기능과 범위는 달라질 수 있습니다.
따라서 CNAPP라는 이름만 보고 제품을 선택하기보다 우리 회사에서 어떤 문제를 해결해야 하는지 먼저 확인하는 것이 중요합니다.
AWS를 사용하면 CNAPP가 반드시 필요할까?
AWS를 사용한다는 이유만으로 모든 회사가 별도의 CNAPP 제품을 바로 도입해야 하는 것은 아닙니다.
회사 규모와 클라우드 환경에 따라 다릅니다.
예를 들어 회사 홈페이지 하나를 클라우드 서버에서 운영하고 있고 관리자가 한 명뿐이라면 처음부터 복잡한 CNAPP 플랫폼이 필요한지 따져볼 필요가 있습니다.
반면 다음과 같은 환경이라면 필요성이 커질 수 있습니다.
- AWS 계정이 여러 개다.
- 개발자와 운영자가 많다.
- 서버 수가 계속 증가한다.
- 컨테이너를 사용한다.
- 쿠버네티스를 운영한다.
- 여러 클라우드를 함께 사용한다.
- 사용자 권한 관리가 복잡하다.
- 보안설정 점검을 사람이 하기 어렵다.
- 개발부터 운영까지 자동 배포한다.
즉, 클라우드를 사용하는가보다 얼마나 복잡하게 사용하는가가 더 중요합니다.
직원 20명 회사에서 AWS 서버 하나만 쓴다면?
작은 회사의 상황을 생각해보겠습니다.
직원 20명이고 회사 홈페이지와 간단한 업무서비스를 AWS에서 운영한다고 가정합니다.
이 경우 가장 먼저 해야 할 일은 CNAPP 솔루션 견적을 받는 것이 아닐 수 있습니다.
먼저 다음을 확인하는 것이 좋습니다.
관리자 계정은 몇 개인가?
필요 이상으로 관리자 계정을 많이 만들지 않았는지 확인합니다.
MFA가 적용되어 있는가?
중요한 관리자 계정에 추가 인증을 적용할 수 있습니다.
외부에 공개된 자원은 무엇인가?
서버와 저장공간 중 인터넷에서 접근할 필요가 없는 것이 공개되어 있지 않은지 확인합니다.
사용하지 않는 서버는 없는가?
테스트용으로 만들었다가 방치된 서버나 스토리지를 확인합니다.
백업은 있는가?
문제가 발생했을 때 데이터를 복구할 수 있는지 확인합니다.
이런 기본적인 관리가 우선입니다.
클라우드 보안에서 가장 많이 놓치는 것은 권한이다
클라우드는 서버를 만드는 것보다 권한을 관리하는 것이 더 어려워질 수 있습니다.
처음에는 직원 한 명에게 관리자 권한을 주고 시작합니다.
직원이 늘면서 개발자와 외주업체에도 계정을 추가합니다.
몇 년 뒤에는 누가 어떤 권한을 가지고 있는지 아무도 정확하게 모르는 상황이 생길 수 있습니다.
예를 들어 다음 계정을 확인해보는 것이 좋습니다.
- 퇴사한 직원
- 프로젝트가 끝난 외주업체
- 테스트 계정
- 오래된 서비스 계정
- 관리자 권한을 가진 개발자
- 사용 목적을 모르는 API Key
클라우드 보안에서도 결국 중요한 것은 누가 무엇을 할 수 있는가입니다.
클라우드 저장공간 공개 설정도 확인해야 한다
클라우드에서는 파일 저장공간을 쉽게 만들 수 있습니다.
업무 편의를 위해 인터넷에서 접근할 수 있도록 설정했다가 그대로 방치되는 경우도 생각할 수 있습니다.
문제는 그 안에 중요한 데이터가 들어간 뒤에도 설정이 유지되는 것입니다.
따라서 클라우드 저장공간을 관리할 때는 최소한 다음을 확인해볼 필요가 있습니다.
- 외부 공개가 필요한가?
- 누구나 접근할 수 있게 되어 있지 않은가?
- 개인정보가 저장되어 있지 않은가?
- 암호화가 필요한 데이터인가?
- 접근기록을 확인할 수 있는가?
- 사용하지 않는 저장공간은 없는가?
클라우드 보안사고가 항상 고도의 해킹 때문에 발생하는 것은 아닙니다.
단순한 설정 실수도 중요한 사고원인이 될 수 있습니다.
개발환경까지 보안 범위를 넓혀야 하는 이유
클라우드 네이티브 환경에서는 프로그램을 개발하고 배포하는 과정도 자동화되는 경우가 많습니다.
개발자가 코드를 저장하면 자동으로 테스트하고 서버에 배포하는 구조를 사용할 수 있습니다.
편리하지만 개발단계에서 발생한 문제가 운영환경까지 빠르게 이어질 수 있습니다.
예를 들어 다음 문제가 있을 수 있습니다.
- 소스코드에 API Key가 포함됨
- 취약한 오픈소스 라이브러리 사용
- 위험한 컨테이너 이미지 사용
- 잘못된 클라우드 설정이 자동 배포됨
그래서 CNAPP에서는 운영 중인 시스템뿐 아니라 개발에서 배포까지 전체 과정의 위험을 함께 보는 방향이 중요합니다.
컨테이너와 쿠버네티스를 사용하면 왜 더 복잡해질까?
전통적인 서버에서는 서버 한 대를 하나의 단위로 관리하는 것이 비교적 쉬웠습니다.
컨테이너 환경에서는 작은 실행환경이 빠르게 생성되고 사라질 수 있습니다.
쿠버네티스를 사용하면 이런 컨테이너를 여러 개 자동으로 운영하게 됩니다.
즉, 관리할 대상이 훨씬 많아집니다.
몇 대의 서버를 사람이 직접 확인하는 방식으로는 관리가 어려워질 수 있습니다.
그래서 다음과 같은 것을 자동으로 확인하는 기능이 중요해질 수 있습니다.
- 취약한 이미지
- 잘못된 설정
- 과도한 권한
- 외부 노출
- 비정상 실행
- 위험한 네트워크 연결
다만 컨테이너나 쿠버네티스를 전혀 사용하지 않는 회사라면 이 부분을 지나치게 복잡하게 고민할 필요는 없습니다.
중소기업 클라우드 보안 시작 순서
CNAPP 도입 여부를 결정하기 전에 다음 순서로 현재 환경을 정리해보는 것을 권합니다.
1단계. 클라우드 계정 파악
회사가 사용하고 있는 AWS, Azure, Google Cloud 등의 계정을 정리합니다.
개인 카드나 직원 개인 계정으로 만들어진 클라우드가 없는지도 확인합니다.
2단계. 자산 목록 만들기
현재 운영 중인 자원을 확인합니다.
- 서버
- 데이터베이스
- 스토리지
- 컨테이너
- 네트워크
- API
사용 목적과 담당자를 함께 기록하면 좋습니다.
3단계. 관리자 권한 확인
누가 관리자 권한을 가지고 있는지 확인합니다.
사용하지 않는 계정과 퇴사자 계정을 정리합니다.
4단계. 외부 공개 자원 확인
인터넷에서 접근할 필요가 없는 서버나 저장공간이 공개되어 있지 않은지 점검합니다.
5단계. 취약점 확인
오래된 운영체제나 취약한 패키지가 사용되고 있지 않은지 확인합니다.
6단계. 로그와 알림 설정
누가 언제 중요한 설정을 변경했는지 확인할 수 있도록 기록을 남깁니다.
7단계. 자동화 필요성 판단
여기까지 사람이 관리하기 어려울 정도로 환경이 커졌다면 CNAPP 등 통합적인 클라우드 보안관리 도구를 검토할 수 있습니다.
CNAPP 도입을 검토할 시점
다음 항목 가운데 여러 개가 해당된다면 CNAPP의 필요성을 검토해볼 수 있습니다.
- 클라우드 계정이 여러 개다.
- 서버와 클라우드 자원이 계속 늘어나고 있다.
- AWS 외에 다른 클라우드도 사용한다.
- 컨테이너를 사용한다.
- 쿠버네티스를 운영한다.
- 개발자 수가 많다.
- 권한구조가 복잡하다.
- 누가 관리자 권한을 가졌는지 파악하기 어렵다.
- 클라우드 설정을 사람이 정기적으로 확인하기 어렵다.
- 취약점 관리를 여러 도구에서 따로 하고 있다.
- 개발부터 배포까지 자동화되어 있다.
- 보안 관련 경고가 여러 시스템에 흩어져 있다.
반대로 대부분 해당되지 않는다면 기본적인 계정·설정·백업 관리부터 정리해도 좋습니다.
CNAPP 제품을 선택할 때 확인할 것
CNAPP라는 이름이 붙었다고 모두 같은 기능을 제공하는 것은 아닙니다.
제품을 검토한다면 다음 질문을 먼저 해보는 것이 좋습니다.
우리가 사용하는 클라우드를 지원하는가?
AWS만 사용하는지 멀티클라우드인지 확인합니다.
현재 사용 중인 보안도구와 연동할 수 있는가?
기존 SIEM이나 XDR 등을 사용하고 있다면 연동 여부도 중요합니다.
우리에게 필요한 기능이 무엇인가?
CSPM이 필요한지, 워크로드 보안이 필요한지, 권한관리가 더 중요한지 구분합니다.
경고가 너무 많이 발생하지 않는가?
좋은 보안도구라도 매일 수천 개의 경고를 쏟아낸다면 소규모 보안팀에서는 운영하기 어렵습니다.
실제 담당자가 사용할 수 있는가?
복잡한 기능보다 담당자가 이해하고 지속적으로 운영할 수 있는지가 중요합니다.
CNAPP와 SIEM·XDR은 같은 것일까?
같지는 않습니다.
역할이 일부 겹칠 수 있지만 기본적인 목적이 다릅니다.
쉽게 구분하면 다음과 같습니다.
CNAPP → 클라우드 환경 자체의 보안상태와 워크로드를 관리
SIEM → 다양한 시스템에서 발생한 로그를 통합
XDR → 여러 영역의 보안 이벤트를 연결해 위협을 탐지
회사의 환경이 커지면 서로 연동해서 사용할 수도 있습니다.
하지만 작은 기업에서는 처음부터 모든 제품을 구축할 필요는 없습니다.
현재 가장 큰 문제가 무엇인지부터 확인해야 합니다.
클라우드 보안 체크리스트
AWS나 다른 클라우드를 사용하고 있다면 아래 항목부터 확인해보세요.
- 회사가 사용하는 클라우드 계정을 모두 알고 있는가?
- 각 클라우드 계정의 담당자가 있는가?
- 관리자 권한 보유자를 알고 있는가?
- 관리자 계정에 MFA를 적용했는가?
- 퇴사자 계정을 바로 삭제하는가?
- 사용하지 않는 서버를 정리하고 있는가?
- 외부 공개 저장공간을 확인하고 있는가?
- 중요한 데이터에 암호화를 적용하고 있는가?
- 서버와 프로그램의 취약점을 관리하고 있는가?
- 중요한 설정 변경기록을 확인할 수 있는가?
- 데이터 백업이 존재하는가?
- 실제 복구가 가능한가?
- API Key와 인증정보를 안전하게 관리하는가?
- 개발자가 불필요한 관리자 권한을 가지고 있지 않은가?
- 현재 클라우드 환경을 사람이 관리할 수 있는 규모인가?
마지막 항목이 특히 중요합니다.
관리자가 현재 환경을 직접 파악하고 통제할 수 있다면 복잡한 플랫폼이 반드시 필요한 것은 아닙니다.
반대로 무엇이 만들어졌는지조차 사람이 따라가기 어려운 단계라면 자동화된 관리도구의 가치가 커집니다.
CNAPP를 도입하기 전에 반드시 해야 할 일
CNAPP를 검토하면서 제품 기능표부터 비교하기 쉽습니다.
하지만 그 전에 다음 질문에 답하는 것이 좋습니다.
우리 회사는 어떤 클라우드를 사용하는가?
중요한 자산은 무엇인가?
누가 관리자 권한을 가지고 있는가?
가장 자주 발생하는 보안문제는 무엇인가?
현재 사람이 관리하기 어려운 부분은 어디인가?
이 질문에 답하지 못하면 기능이 많은 제품을 도입해도 제대로 활용하기 어렵습니다.
결국 CNAPP는 클라우드 보안을 대신 해주는 마법 같은 시스템이 아니라 복잡해진 클라우드를 더 잘 보고 관리하도록 도와주는 도구입니다.
CNAPP란 결국 복잡해진 클라우드를 한눈에 관리하기 위한 방법이다
CNAPP란 무엇인지 어려운 용어를 모두 외울 필요는 없습니다.
핵심만 정리하면 이렇습니다.
CSPM은 설정을 보고, CWPP는 워크로드를 보고, CIEM은 권한을 봅니다.
CNAPP는 이런 여러 클라우드 보안기능을 하나의 관점에서 관리하려는 플랫폼입니다.
중소기업이라면 AWS를 사용한다는 이유만으로 당장 CNAPP를 도입할 필요는 없습니다.
먼저 계정, 관리자 권한, 외부 노출, 자산, 백업, 취약점 같은 기본적인 항목부터 확인하는 것이 좋습니다.
그리고 클라우드가 커져 사람이 모든 자원과 권한을 확인하기 어려워지는 순간이 오면 그때 자동으로 찾아주고 우선순위를 알려주는 도구의 필요성이 커질 수 있습니다.
결국 가장 먼저 해야 할 일은 CNAPP 제품의 가격을 알아보는 것이 아닙니다.
오늘 AWS 콘솔에 접속해서 현재 몇 개의 자원이 운영되고 있고 누가 관리자 권한을 가지고 있는지 확인하는 것부터 시작하면 됩니다.
자주 묻는 질문
CNAPP란 무엇인가요?
CNAPP는 Cloud Native Application Protection Platform의 약자로 클라우드 네이티브 환경의 설정, 워크로드, 권한, 취약점 등 여러 보안영역을 통합적으로 관리하는 플랫폼을 의미합니다.
AWS를 사용하면 CNAPP가 꼭 필요한가요?
모든 기업에 반드시 필요한 것은 아닙니다. 클라우드 자원이 적고 관리구조가 단순하다면 기본적인 계정·설정·취약점 관리부터 시작할 수 있습니다. 환경이 복잡해질수록 통합관리 도구의 필요성이 커질 수 있습니다.
CSPM과 CNAPP의 차이는 무엇인가요?
CSPM은 주로 클라우드의 잘못된 설정과 보안상태를 관리하는 기능입니다. CNAPP는 CSPM을 포함해 워크로드 보호와 권한관리 등 보다 넓은 클라우드 보안영역을 통합하는 개념으로 이해할 수 있습니다.
CWPP란 무엇인가요?
CWPP는 Cloud Workload Protection Platform의 약자로 클라우드에서 실행되는 서버, 가상머신, 컨테이너 등의 워크로드에서 발생하는 취약점과 위협을 보호하는 데 초점을 둡니다.
CIEM은 무엇을 관리하나요?
CIEM은 클라우드 사용자와 서비스 계정이 가진 접근권한을 파악하고 과도하거나 사용하지 않는 권한을 줄이는 데 초점을 둡니다.
중소기업의 클라우드 보안은 무엇부터 시작해야 하나요?
회사에서 사용하는 클라우드 계정과 자산 목록을 만들고 관리자 권한, MFA, 외부 공개 여부, 백업 상태를 확인하는 것부터 시작하는 것이 좋습니다.