2024년, SaaS 보안을 형성할 7가지 트렌드

 

최근 몇 년 동안, SaaS(Software as a Service)는 IT의 중추로 자리잡았다. 의료, 법률, 금융 등을 기반으로 하는 서비스 사업은 전적으로 SaaS 기반이니 말을 다 한 셈이다. 그리고 이런 서비스에는 귀중한 기업의 정보부터 민감한 지적 재산, 고객 및 직원의 데이터 기록까지 매우 풍부한 데이터가 있다. 그리고 공격자들은 그러한 정보에 군침을 흘리고 있다.

 

2024년을 곧 맞이하여, SaaS 보안에 영향을 미치는 주요 동향과 우리가 할 수 있는 일은 다음과 같다.

 

1. SaaS의 민주화

각 회사의 보안 부서는 데이터를 보호하기 위한 새로운 방법을 개발해야 한다. 모든 SaaS 애플리케이션마다 설정은 당연히 다를 수밖에 없으며, 보안 기능을 설명하기 위한 용어 통일도 되어있지 않다. 그렇기에 여러 애플리케이션을 사용하면서 그것에 모두 통용되는 지침 문서를 만드는 것은 불가하다. 이에 보안 부서는 사업 부서와 협업하여 새로운 방법을 찾아야 한다. 각 애플리케이션에 대한 설정과 가시성 및 지침을 제공하는 도구가 필요할 것이다.

 

2. ITDR(Identity Threat Detection and Response)을 통한 안전망 형성

공격자가 인증된 사용자 계정을 탈취하는 경우 애플리케이션을 통해 원하는 데이터를 얻기 위한 작업을 진행할 것이다. 공격자가 높은 권한 계정에 관한 엑세스 권한을 얻으면, 애플리케이션 내에서 무제한의 엑세스 권한을 얻게 된다. 그렇기에 이제 우리는 ID가 SaaS 애플리케이션 보안의 사실상의 경계라는 것을 인지하고 있다.

따라서 2024년이 되면, 우리는 더욱 많은 조직이 ITDR(신원 위협 탐지 및 대응) 기술을 채택하는 것을 보게 될 것이다. ITDR 기술을 통해 공격자가 중요한 데이터를 훔치거나 애플리케이션에 랜섬웨어를 삽입하는 것을 미리 차단할 수 있을 것이다.

 

3. 국경을 초월한 규정 준수는 더 많은 사용자를 보호해야 함을 의미

국내에서만 사업을 진행하는 기업이 아닌, 글로벌 기업의 경우에는 점점 많은 요구사항에 직면하게 된다. 날이 갈수록 국가마다 다양한 규제를 요구할 것이니 말이다. 따라서 2024년에는 다양한 규제와 규정에 따라 데이터를 세분화하려는 노력의 일환으로 각 지역별 사용자 수가 늘어날 것이다. 그럼 그에 따라 보안을 더욱 다각도로 신경써야 한다.

애플리케이션의 특정 부분이 안전하다고 했을 때, 그것을 사용하는 모든 사용자가 안전하다는 것은 아니다. 미국 사용자들에겐 이정도 보안만 구성해도 안전하다 싶었던 것이 헝가리에선 아닐 수 있다. 글로벌 기업이라면, 단순히 각 나라의 규제를 뚫고 사업을 진행하는 데에만 몰두하지 말고, 나라와 지역에 따라 발생하는 취약점에 주목해야 한다는 것이다.

결국, 글로벌 기업은 모든 사용자를 보호하기 위해 추가적인 보안 솔루션을 모색해야 한다. 

 

4. 잘못 구성된 설정으로 인한 새로운 공격 발생 가능성

ServiceNow의 기본 구성 오류로 인해 10월에 광범위한 공격이 발생한 바 있다. 애플리케이션 엑세스 제어 목록의 일부인 이 설정을 통해 승인되지 않은 사용자가 데이터를 빼올 수 있었다. 그런 잘못된 구성으로 인해 영향을 받은 회사는 수천 개에 달했다. 또한, 지난 5월에도 Salesforce에서도 비슷한 사건이 발생한 바 있다. 이처럼 잘못된 구성 설정은 회사에 큰 피해를 입힐 수 있다. 괜히 OWASP10에 포함된 내용이 아니겠구나 싶다. 잘못된 구성을 보호하는 일은 앞서 말한 공격을 방지할 수 있는 좋은 일이 될 것이다.

 

5. 써드파티 애플리케이션에 대한 의존도 증가로 인한 SaaS 위험 가중

2023년 3월, Adaptive Shield가 발표한 보고서 내용에 따르면, 구글 워크플레이스에서 13,913개의 써드파티 앱이 연결되었다고 한다. 그리고 그중 89%는 고위험 또는 중위험 권한을 요청했다. 이런 위험성이 있는 앱 중 상당수는 한 번 사용하고 잊혀지거나, 소수의 직원들에 의해서만 사용된다. 그렇게 곧바로 휴면으로 돌아서거나 가볍게 사용되는 애플리케이션임에도 상당한 권한이 있으며, 이는 SaaS 애플리케이션을 손상시킬 수 있을 것이다. 조직 내의 많은 직원들은 업무의 편의성을 위해 보안 부서에 따로 문의하지 않고 특정 앱을 사용하는 경향이 짙다. 위험을 줄이기 위해서는 사소한 것이어도 그 내용을 보안 부서와 공유해야 할 것이고, 보안 부서는 그 내용을 토대로 SaaS 위험에 대비해야 할 것이다.

 

6. 재택근무를 안전하게 보호할 수 있는 장치

2023년의 통계를 살펴보면, 근로자의 40%에 가까운 숫자가 재택근무를 일부 경험했다. Coivd-19의 영향력이 사실상 없는 기간이었음을 고려한다면, 이는 분명 의미있는 수치일 것이다. 이런 재택근무에 대해 보안 부서가 갖고 있는 가장 큰 우려 중 하나는 권한이 높은 사용자가 관리되지 않거나, 혹은 보안이 적용되지 않은 개인 기기를 사용함으로써 사내 계정 및 시스템에 로그인하는 경우이다. 그럴 경우 심각한 취약점을 갖고 있을 수 있으며, 새로운 공격 지점이 될 수 있다. 일반적인 근로자들은 알지 못한다. 어떤 기기가 SaaS 앱에 엑세스하는 데 사용되는지, 그 기기들의 안전 여부를 어떻게 확인하는지 말이다. 각 회사의 보안 부서 직원들은 재택 근무로 인해 발생할 수 있는 새로운 취약점에 대한 정책을 강구해야 할 것이다.

 

7. SaaS 보안을 위한 SSPM에 대한 관심도 증가

Adaptive Shield처럼, ITDR 기능과 결합된 SSPM(SaaS Security Posture Management) 도구는 SaaS 스택을 완전히 보호할 수 있다. SSPM은 자동으로 구성을 모니터링하여 앱을 약화시키는 구성 드리프트를 찾도록 설계되었다. SaaS 보안 설문조사에서, 응답자의 71%는 지난 1년 간 SaaS 보안 툴에 대한 투자를 늘렸다고 답했다. 그리고 80%는 이미 SSPM을 사용하고 있거나 향후 18개월 이내에 투자할 계획이라 답했다. SSPM은 동일한 앱의 여러 사용자에게 기본 툴을 제공하고, 사용자가 모범 사례를 수립하면, 다른 설정과 비교하여 SaaS의 환경을 개선할 수 있도록 지원한다. 그리고 위에서 써드파티 앱의 위험성에 대해 말했는데, SSPM은 그런 앱을 감지하고 모니터링하여, 다른 앱이 너무 많은 엑세스를 요청하는 경우 사용자에게 경고하기도 한다. SaaS 앱이 각광을 받게 된 데에는 그만한 이유가 있다. 조직이 필요에 따라 확장할 수 있고, 현재 필요한 앱을 바로 적용할 수 있다. 그리고 SSPM은 그러한 앱의 활용을 더욱 안전하게 만들어 줄 것이다.

 

 

기사 출처: https://thehackernews.com/2023/12/top-7-trends-shaping-saas-security-in.html