네트워크 보안 기초

AI 시스템도 결국 네트워크를 통해 서비스됩니다. 모델 서빙 서버, 벡터 데이터베이스, API 게이트웨이, 추론 클러스터 등 모든 컴포넌트가 네트워크 위에서 통신하기 때문에, 전통적인 네트워크 보안 개념은 AI 보안의 가장 기본적인 토대가 됩니다.

    flowchart TB
    subgraph OSI["OSI 7계층"]
        L7["L7 응용\nHTTP, DNS, gRPC, REST API"]
        L6["L6 표현\nTLS/SSL, 인코딩"]
        L5["L5 세션\n세션 토큰, 쿠키"]
        L4["L4 전송\nTCP, UDP"]
        L3["L3 네트워크\nIP, ICMP, 라우팅"]
        L2["L2 데이터링크\nEthernet, ARP, VLAN"]
        L1["L1 물리\n케이블, 무선 신호"]
    end

    L7 --- T7["위협: SQL/프롬프트 인젝션, API 남용\n방어: WAF, API 게이트웨이, 입력 검증, 인증/인가"]
    L6 --- T6["위협: 다운그레이드 공격, 약한 암호\n방어: TLS 1.3 강제, 인증서 핀닝"]
    L5 --- T5["위협: 세션 하이재킹, 세션 고정\n방어: 안전한 세션 관리, 토큰 만료"]
    L4 --- T4["위협: SYN flood, 포트 스캐닝, DDoS\n방어: 방화벽, SYN 쿠키, 레이트 리미팅"]
    L3 --- T3["위협: IP 스푸핑, 라우팅 조작\n방어: ACL, 안티스푸핑 필터링"]
    L2 --- T2["위협: ARP 스푸핑, MAC flooding\n방어: 포트 보안, DHCP 스누핑, VLAN 분리"]
    L1 --- T1["위협: 물리적 접근, 와이어탭\n방어: 접근 제어, 차폐"]

    L7 --> L6 --> L5 --> L4 --> L3 --> L2 --> L1

    subgraph TCPIP["TCP/IP 모델 대응"]
        A1["응용 계층 (L7~L5)"]
        A2["전송 계층 (L4)"]
        A3["인터넷 계층 (L3)"]
        A4["네트워크 접근 계층 (L2~L1)"]
    end

    L5 -.대응.- A1
    L4 -.대응.- A2
    L3 -.대응.- A3
    L2 -.대응.- A4

    classDef threat fill:#fff3cd,stroke:#d39e00,color:#664d03;
    class T7,T6,T5,T4,T3,T2,T1 threat;
  

OSI 7계층과 TCP/IP 모델

네트워크 보안을 이해하는 가장 표준적인 방법은 계층 모델로 위협을 분류하는 것입니다. 각 계층은 서로 다른 프로토콜과 책임을 가지며, 그에 따라 공격 기법과 방어 기법도 다릅니다.

방화벽 (Firewall)

방화벽은 네트워크 트래픽을 정책 기반으로 허용/차단하는 가장 기본적인 경계 방어 수단입니다.

• 패킷 필터링 방화벽: IP/포트/프로토콜 기준으로 단순 필터링. 빠르지만 애플리케이션 컨텍스트를 모름.
• 상태 기반(Stateful) 방화벽: 연결 상태(세션)를 추적하여 더 정교한 정책 적용.
• 차세대 방화벽(NGFW): 애플리케이션 인식, 사용자 인식, 침입 방지 기능까지 통합.
• 웹 애플리케이션 방화벽(WAF): L7 트래픽을 분석하여 SQL 인젝션, XSS 등 웹 공격 패턴 차단. LLM API 앞단에 두면 프롬프트 인젝션 패턴의 일부(예: 명백한 명령어 주입 시도)를 1차로 걸러낼 수 있음.

IDS/IPS (침입 탐지/방지 시스템)

• IDS (Intrusion Detection System): 트래픽을 모니터링하고 의심스러운 패턴을 탐지하여 알림(passive).
• IPS (Intrusion Prevention System): 탐지뿐 아니라 실시간으로 트래픽을 차단(active).
• 탐지 방식
  • 시그니처 기반: 알려진 공격 패턴(시그니처) 매칭. 알려진 공격에는 강하지만 신규/변종 공격에는 약함.
  • 이상 탐지(Anomaly-based): 정상 트래픽의 베이스라인을 학습하고 벗어나는 패턴을 탐지. AI/ML 기반 이상 탐지 시스템이 이 영역에서 활발히 활용됨 — 동시에, 이런 탐지 모델 자체도 공격 대상이 될 수 있음(회피, 포이즈닝).

제로 트러스트 네트워크 (Zero Trust Network)

전통적인 “성벽(perimeter) 모델"은 “내부망은 신뢰할 수 있다"는 가정에 기반합니다. 제로 트러스트는 이 가정을 폐기하고 “모든 요청은 검증되어야 한다(Never trust, always verify)” 는 원칙으로 동작합니다.

핵심 원칙:

1. 최소 권한(Least Privilege): 각 서비스/사용자는 작업에 필요한 최소한의 접근 권한만 가짐.
2. 마이크로세그멘테이션(Microsegmentation): 네트워크를 작은 단위로 분리하여 한 구역이 뚫려도 전체로 확산되지 않도록 함.
3. 지속적인 인증/인가: 한 번 인증되었다고 영구히 신뢰하지 않고, 매 요청마다(또는 주기적으로) 컨텍스트(디바이스 상태, 위치, 행동 패턴)를 재평가.
4. 암묵적 신뢰 구역 제거: VPN으로 연결되었다는 것만으로 신뢰를 부여하지 않음.

AI 시스템 관점에서 네트워크 보안이 중요한 이유

AI/ML 시스템은 일반적인 웹 애플리케이션보다 더 많은 종류의 네트워크 엔드포인트를 가지는 경향이 있습니다.

• 모델 서빙 엔드포인트(Model Serving Endpoint): 추론 요청을 받는 REST/gRPC 엔드포인트. 인증 없이 노출되면 누구나 모델을 호출하여 비용 소진, 모델 추출(model extraction), 무차별 프롬프트 시도가 가능해짐.
• API 게이트웨이: 여러 모델/서비스를 묶어 외부에 노출하는 진입점. 레이트 리미팅, 인증, 로깅이 집중되는 지점이므로 단일 장애점이자 핵심 방어선.
• 벡터 데이터베이스 / RAG 데이터 소스: 임베딩 검색 서버가 내부망에만 있어야 하는데 잘못 설정으로 외부에 노출되는 사례가 많음. 노출 시 민감한 학습/검색 데이터 유출.
• 학습 인프라(Training Infrastructure): 분산 학습 클러스터의 노드 간 통신이 암호화되지 않거나 내부망에서만 동작한다고 가정하는 경우, 내부 침투 시 모델 가중치나 학습 데이터에 직접 접근 가능.
• 에이전트의 외부 도구 호출: LLM 에이전트가 웹 브라우징, 코드 실행, 외부 API 호출 등의 도구를 사용할 때, 이 통신 경로 자체가 새로운 네트워크 공격 표면이 됨(예: SSRF를 통한 내부망 스캐닝).

실무 체크리스트

• 모델 추론 엔드포인트에 인증(API 키, OAuth 토큰 등)이 적용되어 있는가?
• 관리자용 엔드포인트(모델 재학습 트리거, 설정 변경 API)가 내부망 또는 VPN 뒤에만 위치하는가?
• 벡터DB, 캐시 서버, 메시지 큐 등 백엔드 인프라가 외부에서 직접 접근 가능한가?
• API 게이트웨이에서 레이트 리미팅과 요청 로깅이 활성화되어 있는가?
• 에이전트/도구 호출 경로에 대해 아웃바운드 네트워크 정책(allowlist)이 설정되어 있는가?
• 마이크로세그멘테이션을 통해 학습 환경과 운영(서빙) 환경이 분리되어 있는가?

이러한 네트워크 계층의 통제는 이후 살펴볼 웹 보안 기초와 결합되어 AI 애플리케이션의 전체적인 공격 표면을 줄이는 첫 번째 방어선이 됩니다.