현장의 동료가 전하는 물리적 망분리의 무게와 가치

반갑습니다. 중소기업의 전산실이라는 치열한 현장에 첫발을 내디딘 신입 전산 담당자 여러분, 그리고 보안의 기초를 다지기 위해 이 가이드를 펼친 동료 여러분. 오랜 시간 동안 서버실의 매캐한 공기와 밤샘 작업의 커피 향을 견디며 깨달은 것은, 보안은 결코 화려한 솔루션 하나로 완성되지 않는다는 사실입니다. 특히 우리가 오늘 다룰 '물리적 망분리'는 보안의 정점이라 불릴 만큼 강력하지만, 그만큼 관리자의 손길이 많이 가고 정교한 설계가 필요한 영역이지요.

물리적 망분리란 무엇일까요? 간단히 말해 업무용 네트워크와 외부 인터넷 네트워크를 하드웨어적으로 완전히 갈라놓는 것을 의미합니다. 해커가 인터넷을 통해 우리 회사 PC에 침입하려 해도, 업무망으로 가는 물리적인 길이 끊겨 있으니 원천적으로 차단되는 원리입니다. 단말이 인터넷을 돌아다니다 악성코드에 감염되더라도 내부의 핵심 서비스나 고객 데이터가 담긴 업무 서버에는 영향을 주지 못하게 하는 것, 이것이 물리적 망분리의 본질입니다.

하지만 실무자의 입장에서 보면 이건 여간 번거로운 일이 아닙니다. PC를 두 대 써야 하니 공간도 좁아지고, 케이블은 꼬이며, 무엇보다 인터넷이 안 되는 업무망 PC를 어떻게 최신 상태로 유지하고 보안 패치를 할지가 큰 숙제가 됩니다. 중소기업의 특성상 인력은 부족한데 세팅해야 할 PC는 수십 대가 넘어가니, 하나하나 손으로 설정하다 보면 금세 지치고 실수도 나오기 마련입니다. 그래서 우리는 '중구난방' 식의 세팅에서 벗어나야 합니다. 오늘 제가 여러분께 전해드릴 내용은 단순히 '무엇을 설정하라'는 나열이 아니라, 어떻게 하면 시간을 획기적으로 줄이면서도 완벽한 보안 단말을 만들 수 있는지에 대한 실전 SOP(표준 운영 절차)입니다.

왜 우리의 세팅 작업은 매번 고통스러울까?

신입 담당자들이 가장 많이 하는 실수가 무엇인지 아십니까? 바로 PC 한 대를 잡고 윈도우 설정부터 백신 설치까지 처음부터 끝까지 수동으로 진행하는 것입니다. 한두 대라면 모를까, 30대만 넘어가도 이 방식은 재앙이 됩니다. 각 PC마다 설정값이 미세하게 달라지고, 어떤 PC는 업데이트가 되어 있고 어떤 PC는 누락되는 보안 홀(Hole)이 생기기 때문입니다.

하드웨어와 케이블의 혼돈

물리적 망분리 환경에서는 책상 위에 두 대의 본체가 올라가는 경우가 많습니다. 이를 효율적으로 쓰기 위해 키보드, 마우스, 모니터를 공유하는 KVM 스위치를 도입하는데, 여기서부터 문제가 터집니다. 일부 저가형 외산 KVM은 보안상 치명적인 USB 허브 기능을 포함하고 있어, 인터넷망 PC에 꽂은 USB의 데이터가 업무망 PC로 그대로 흘러 들어갈 수 있습니다. 이는 망분리를 사실상 무력화하는 행위이며, 보안 전문가로서 절대 용납할 수 없는 지점입니다. 또한, 복잡한 케이블 배선 때문에 사용자가 실수로 인터넷 선을 업무망 본체에 꽂는 '망 혼용' 사고도 빈번하게 발생합니다.

폐쇄망의 고립과 보안 업데이트의 공백

업무망 PC는 인터넷이 되지 않습니다. 이 단순한 사실이 관리자에게는 가장 큰 고통입니다. 윈도우는 수시로 보안 취약점이 발견되고 마이크로소프트는 패치를 내놓지만, 인터넷이 안 되니 자동 업데이트가 불가능합니다. 업데이트가 멈춘 PC는 아무리 망이 분리되어 있어도 내부자의 실수나 다른 경로로 침투한 웜, 바이러스에 취약해집니다. 특히 중소기업에서는 별도의 업데이트 서버를 구축할 예산이나 기술력이 부족해 방치되는 경우가 많은데, 이는 시한폭탄을 안고 있는 것과 다를 바 없습니다.

관리되지 않는 에이전트와 그림자 IT

보안을 위해 설치한 다양한 솔루션들이 서로 충돌하여 블루스크린(BSOD)을 띄우거나, PC 성능을 극도로 저하시키는 일도 흔합니다. 특히 최근의 대규모 IT 마비 사태처럼 보안 에이전트의 업데이트 파일 하나가 전체 시스템을 먹통으로 만들 수도 있습니다. 또한, 사용자가 불편함을 이기지 못해 스마트폰 테더링으로 몰래 인터넷에 연결하거나 개인 공유기를 설치하는 등 '그림자 IT' 행위를 할 때 이를 감지하고 차단할 체계가 없다면 망분리는 이름뿐인 껍데기가 됩니다.

세팅 시간을 단축하는 효율적 SOP

이제 본격적으로 전문가의 작업 방식을 배워봅시다. 우리의 목표는 '한 번의 완벽한 설계로 수백 대를 복사하는 것'입니다.

1단계: 하드웨어 보안 구성 및 KVM 최적화

가장 먼저 물리적인 환경을 정비해야 합니다. PC가 배치되기 전에 하드웨어 기준을 세워야 나중에 손이 두 번 가지 않습니다.

KVM 스위치를 선택할 때는 단순히 화면 전환만 잘되는지를 볼 게 아니라, 데이터 전송 기능이 완전히 차단된 제품인지 확인하는 것이 핵심입니다. 또한, 사용자가 케이블을 건드리지 못하도록 PC 본체 뒷면에 케이블 타이를 사용하여 단단히 고정하는 세심함이 필요합니다. 

2단계: 운영체제(OS) 강화 및 KISA 보안 가이드 적용

운영체제 설치 직후에는 한국인터넷진흥원(KISA)의 권고안에 따라 OS 레벨의 보안 설정을 마쳐야 합니다. 이를 일일이 클릭하며 설정하는 건 초보나 하는 일입니다. 우리는 Group Policy(그룹 정책)나 PowerShell 스크립트를 활용할 것입니다.

1. 계정 및 패스워드 정책: 복잡한 패스워드 설정을 강제하고, 일정 횟수 이상 로그인 실패 시 계정을 잠그도록 설정합니다.

2. 서비스 최적화: 사용하지 않는 공유 폴더(C$, ADMIN$)를 제거하고, 원격 지원 및 원격 데스크톱 기능을 비활성화합니다.

3. 불필요한 기능 제거: 미사용 중인 ActiveX나 Adobe Flash Player 등 취약점이 많은 구형 소프트웨어를 제거합니다.

4. 자동 실행 방지: USB나 CD 등 외부 미디어를 꽂았을 때 프로그램이 자동으로 실행되지 않도록 레지스트리 값을 수정합니다.

이러한 항목들을 하나의 배치 파일(.bat)로 만들어 두면, 윈도우 설치 후 클릭 한 번으로 모든 보안 설정이 5초 만에 완료됩니다. 이것이 우리가 추구하는 효율성입니다.

3단계: 폐쇄망 업데이트 관리 체계(WSUS) 구축

인터넷이 안 되는 업무망 PC를 위해 사내에 전용 업데이트 서버인 WSUS(Windows Server Update Services)를 반드시 구축해야 합니다.

• 서버 역할 구성: Windows Server에서 WSUS 역할을 추가하고, 인터넷이 되는 공개망의 업스트림 서버로부터 업데이트 파일을 내려받습니다.

• 에어갭(Air-gap) 전송: 공개망 서버에서 받은 업데이트 데이터를 망연계 솔루션이나 보안 USB를 통해 내부 업무망의 다운스트림 서버로 옮깁니다.

• 클라이언트 배포: 그룹 정책 편집기(gpedit.msc)를 열어 '인트라넷 Microsoft 업데이트 서비스 위치 지정' 항목을 우리 회사의 WSUS 서버 주소(http://[서버IP]:8530)로 설정합니다.

이렇게 하면 업무망 PC들은 인터넷이 안 되어도 사내 서버를 통해 최신 보안 패치를 자동으로 받게 됩니다. 서버 구축이 어려운 아주 작은 규모라면, 'WSUS Offline Update'라는 오픈소스 도구를 사용하여 USB에 패치 패키지를 담아 정기적으로 순회 설치하는 방식도 고려해볼 만합니다.

4단계: 보안 에이전트 및 NAC 연동을 통한 통제

보안 세팅의 꽃은 통제입니다. 사용자가 망분리 환경을 우회하지 못하도록 강력한 에이전트를 설치해야 합니다.

• NAC(Network Access Control) 연동: 에이전트가 설치되지 않았거나 보안 정책을 위반한 PC는 네트워크 접속 자체를 차단합니다.

• 망 혼용 감지: PC가 원래 인가된 망이 아닌 다른 네트워크 신호를 감지하면(예: 와이파이 연결), 에이전트가 즉시 네트워크 인터페이스를 물리적으로 차단하고 화면을 잠가버려야 합니다.

• 화이트리스트 소프트웨어 관리: 인가되지 않은 프로그램은 아예 실행조차 되지 않도록 차단 정책을 세웁니다.

5단계: 마스터 이미지 제작 및 배포 (Golden Image)

자, 이제 앞선 모든 설정(OS 강화, 업데이트 설정, 에이전트 설치)이 완료된 '완벽한 한 대'가 만들어졌습니다. 이제 이 PC를 '마스터 이미지'로 만듭니다.

1. Sysprep 실행: 윈도우의 시스템 준비 도구인 Sysprep을 실행하여 하드웨어 식별 정보와 SID를 초기화합니다. 이 과정을 거치지 않고 그대로 복제하면 나중에 보안 에이전트들이 모든 PC를 동일한 기기로 인식하는 대참사가 벌어집니다.

2. 이미지 캡처: 'Clonezilla'나 'Acronis' 같은 도구를 사용하여 C드라이브 전체를 이미지 파일로 저장합니다.

3. 대량 복제: 신규 PC가 들어오면 이 이미지 파일을 밀어 넣기만 하면 됩니다. 이제 PC 한 대당 세팅 시간은 10분 내외로 줄어듭니다.

실무에서 뼈저리게 느낀 관리 노하우

여기까지가 기술적인 SOP였다면, 이제는 전산실에서 직접 부딪히며 배운 '실전 꿀팁'을 드릴 시간입니다. 신입 담당자들이 가장 당황해하는 순간들에 대한 해답입니다.

블루스크린(BSOD) 발생 시 긴급 조치법

업무망 PC가 갑자기 블루스크린을 띄우며 멈췄다면, 십중팔구 보안 에이전트 업데이트 오류입니다. 인터넷이 안 되는 환경이라 원격 제어도 안 될 때, 여러분은 당황하지 말고 다음 순서를 따르십시오.

1. 안전모드 부팅: PC를 켜자마자 F8(또는 각 제조사별 안전모드 진입 키)을 눌러 진입합니다.

2. 문제 파일 삭제: 최근에 업데이트된 보안 프로그램의 드라이버 파일(.sys)을 찾아 이름을 바꾸거나 삭제합니다. 예를 들어 크라우드스트라이크 사태 때는 C-00000291*.sys 파일을 지우는 게 정답이었습니다.

3. 레지스트리 수정: 에이전트가 자동 실행되지 않도록 레지스트리에서 해당 서비스의 Start 값을 4(사용 안 함)로 변경합니다.

KVM 스위치 인식 오류 트러블슈팅

KVM 스위치를 쓰다 보면 마우스가 튀거나 모니터가 안 나오는 경우가 있습니다. 이는 대부분 정전기나 신호 동기화 문제입니다. 이럴 때는 케이블을 뺐다 꽂기 전에 KVM의 포트 전환 버튼을 5초간 꾹 눌러 'Reset' 기능을 활용해 보십시오. 또한, PC의 전원 관리 설정에서 'USB 선택적 절전 모드'를 해제하는 것만으로도 장치 인식 오류의 80%는 해결됩니다.

오프라인 윈도우 정품 인증의 기술

폐쇄망 PC는 인터넷 인증이 안 됩니다. 대량의 PC를 관리한다면 KMS(Key Management Service) 서버를 사내에 구축하는 것이 가장 깔끔합니다. KMS 서버는 6개월마다 한 번씩 인증을 갱신해주는데, 이 서버만 인터넷망과 업무망 사이에 안전하게(예: 망연계) 배치해 두면 클라이언트 PC들은 신경 쓸 필요가 없습니다. 만약 소량이라면 마이크로소프트 고객센터(1577-9700)를 통한 전화 인증을 진행해야 하는데, 이때 설치 ID를 메모장에 미리 적어두는 센스를 발휘하십시오.

보안 전문가로 성장하는 길

신입 담당자 여러분, 물리적 망분리 업무용 PC 세팅은 단순히 기술적인 작업을 넘어 우리 회사의 '최후의 보루'를 만드는 숭고한 작업입니다. 오늘 제가 알려드린 SOP를 따라 '마스터 이미지'를 만들고 'WSUS'를 구축하며 'NAC'으로 통제하는 과정은 분명 쉽지 않을 것입니다. 하지만 이 체계를 한 번만 제대로 잡아두면, 여러분은 매번 반복되는 단순 노동에서 해방되어 진짜 'IT 관리자'이자 '보안 전문가'로서의 업무에 집중할 수 있게 될 것입니다.

보안은 '불편함'과의 싸움입니다. 사용자는 늘 불편하다고 불평할 것이고, 여러분은 그 불편함을 안전함으로 승화시켜야 합니다. 때로는 블루스크린 앞에 좌절하고, 때로는 엉킨 케이블 속에서 길을 잃겠지만, 그 모든 과정이 여러분을 10년 차 전문가로 만드는 밑거름이 될 것입니다. 부디 이 매뉴얼이 여러분의 전산실 생활에 든든한 이정표가 되기를 바랍니다.

자주 묻는 질문(FAQ)

Q: 업무망 PC에 일반 USB를 절대 꽂으면 안 되나요?

A: 원칙적으로는 그렇습니다. 물리적 망분리 환경에서 일반 USB는 망 사이를 가로지르는 '바이러스 배달부'가 될 수 있습니다. 반드시 백신 검사 기능이 포함된 '보안 USB'를 사용하거나, 사내 망연계 솔루션을 통해서만 파일을 주고받아야 합니다.

Q: KVM 스위치 때문에 PC가 느려질 수도 있나요?

A: KVM 스위치 자체는 하드웨어 신호 전달 장치이므로 PC의 연산 속도에 영향을 주지는 않습니다. 다만, 장치 인식 오류로 인해 시스템 리소스가 튀는 현상이 발생할 수 있으니, 최신 펌웨어 업데이트가 된 인증 제품을 사용하는 것이 중요합니다.

Q: 윈도우 업데이트 파일 용량이 너무 큰데 USB로 옮겨도 보안상 괜찮나요?

A: 공개망 PC에서 MS 공식 카탈로그를 통해 받은 원본 파일(.msu, .cab)이라면 비교적 안전합니다. 다만 이 파일을 옮기는 USB 자체가 감염되어 있을 수 있으므로, 반드시 전용 전송용 PC에서 검사를 마친 뒤 업무망으로 이관하는 절차(에어갭 관리 정책)를 준수해야 합니다.

Q: 신입인데 Sysprep 과정이 너무 어렵습니다. 꼭 해야 하나요?

A: 네, 반드시 해야 합니다. Sysprep을 하지 않고 이미지를 복제하면 모든 PC의 SID(Security Identifier)가 같아집니다. 이는 윈도우 도메인 환경에서 충돌을 일으키고, 무엇보다 많은 보안 솔루션이 PC를 구분하지 못해 정책 배포가 엉망이 되는 결과를 초래합니다. 전문가가 되고 싶다면 Sysprep /generalize /oobe /shutdown 명령어를 꼭 기억하세요.

Q: 망분리 PC인데 무선 와이파이를 써도 되나요?

A: 절대 안 됩니다. 물리적 망분리 PC에 무선 랜카드를 꽂거나 노트북의 와이파이를 켜는 순간, 그 PC는 물리적 망분리라는 정의에서 벗어나게 됩니다. 외부 인터넷과 내부 업무망이 한 기기에서 만나는 '망 혼용' 상태가 되어 해킹의 통로가 되기 때문입니다. 에이전트 설정을 통해 무선 랜카드는 물리적으로 차단하는 것이 기본입니다.