741. CASB (Cloud Access Security Broker) - 클라우드 망 접속 보안 모니터/가시성

핵심 인사이트: 예전에는 회사 방화벽만 지키면 안전했다. 하지만 지금은 직원들이 회사 방화벽을 거치지 않고, 밖에서 구글 드라이브(SaaS)에 접속해 회사 기밀을 펑펑 올리고 있다. 회사는 직원들이 클라우드에서 무슨 짓을 하는지 전혀 볼 수 없다(가시성 0%). CASB는 사용자와 클라우드 사이에 쓱 끼어들어가, "누가, 어떤 기기로, 어느 클라우드에, 무슨 파일을 올리는지" 100% 감시하고 통제하는 클라우드 시대의 '투명한 사감 선생님'이다.

Ⅰ. CASB의 개념 및 등장 배경

  • 개념: 가트너(Gartner)가 명명한 용어로, 기업의 내부 사용자(직원)와 외부 클라우드 서비스 공급자(AWS, MS 365, 구글 드라이브 등) 사이에 위치하여, 보안 정책을 강제하고 데이터의 가시성(Visibility)을 확보하는 보안 중개자(Broker) 솔루션입니다. (앞선 740번 SASE 아키텍처의 핵심 구성 요소입니다.)
  • 배경 (Shadow IT의 공포): 회사 IT 부서의 허락을 받지 않고 직원들이 몰래 카카오톡, 드롭박스, 에버노트 등을 업무에 쓰는 '섀도우 IT(Shadow IT)' 현상이 폭발하면서, 회사 기밀 데이터가 통제 불능 상태로 새어 나가는 것을 막기 위해 탄생했습니다.

Ⅱ. CASB의 4대 핵심 기능 (Pillar) 🌟

1. 가시성 (Visibility) - "숨은 앱 찾아내기"

  • 회사 내에서 직원들이 회사 공식 메일(아웃룩) 대신 몰래 개인용 네이버 메일이나 텔레그램을 얼마나 쓰고 있는지(섀도우 IT 탐지) 엑스레이처럼 샅샅이 파악하여 대시보드에 띄워줍니다.

2. 규정 준수 (Compliance) - "법적 제재 방지"

  • 직원이 구글 드라이브에 올린 문서가 개인정보보호법(GDPR, HIPAA)을 위반하는 '고객 주민등록번호 1,000명분' 리스트가 아닌지 스캔하여, 위반 사항이 있으면 클라우드 업로드를 즉각 차단합니다.

3. 데이터 보안 (Data Security / DLP)

  • 가장 중요한 기능입니다. 회사 밖(클라우드)으로 나가는 문서에 대해 강력한 DLP(데이터 유출 방지) 기능을 적용합니다. 사내 기밀문서를 감지하면 아예 업로드를 막거나, 업로드되더라도 문서를 강제로 **암호화(Encryption)**해 버려 해커가 클라우드를 털어도 열어보지 못하게 만듭니다.

4. 위협 방지 (Threat Protection)

  • 클라우드에서 회사로 다운로드되는 파일에 랜섬웨어나 악성코드가 묻어있는지(샌드박스 연동) 스캔하고, 누군가 파리에서 로그인한 지 1시간 만에 뉴욕에서 클라우드에 접속하려 하면(불가능한 여행) 이상 행동으로 간주해 차단합니다.

Ⅲ. CASB의 3가지 구성(배치) 방식 🌟

CASB가 돋보기를 어디에 대고 감시하느냐에 따라 3가지로 나뉩니다.

  1. API 기반 방식 (가장 많이 쓰임):
    • 사용자와 클라우드 사이에 물리적으로 끼어들지 않습니다. 대신 구글 드라이브, MS 365 등 클라우드 서비스 자체의 관리자 API를 연동하여 클라우드 안에서 벌어지는 일들을 모니터링합니다. 속도 저하가 없고 과거 데이터까지 스캔 가능하지만, 클라우드 업체가 API를 제공해야만 쓸 수 있습니다.
  2. Forward Proxy (포워드 프록시):
    • 사내 직원의 PC에서 나가는 트래픽을 모조리 가로채어 중간에서 검사한 뒤 클라우드로 넘깁니다. 실시간 업로드 차단(DLP)에 가장 강력합니다.
  3. Reverse Proxy (리버스 프록시):
    • 직원이 개인 폰(에이전트 미설치)으로 집에서 클라우드에 접속할 때, 클라우드가 직접 폰을 CASB 쪽으로 튕겨내어(리다이렉트) 검사받게 하는 방식입니다. 개인 기기 통제에 유리합니다.

📢 섹션 요약 비유: CASB는 대기업 정문에 앉아있는 '사설 탐정 겸 경호원'입니다. 과거엔 직원이 퇴근할 때 회사의 중요한 서류(데이터)를 자기 개인 가방(구글 드라이브)에 쑤셔 넣고 퇴근해도 막을 방법이 없었습니다(가시성 제로). CASB 경호원은 직원이 정문을 나설 때마다 엑스레이 스캐너로 가방 안을 샅샅이 뒤져(Visibility), 회사 기밀문서가 보이면 압수(DLP)하거나, 비밀번호 자물쇠를 걸어서(암호화) 밖으로 내보내는 완벽한 클라우드 시대의 출입 통제관입니다.