이 글은 2024년 지금 주목해야 할 Kubernetes 보안 트렌드 5가지를 정리했습니다. 올해로 Kubernetes가 나온 지 10주년이 됐는데요. Kubernetes는 이제 모든 규모의 기업이 사용하는 컨테이너 오케스트레이션의 표준으로 자리매김했습니다. 오늘날 많은 기업이 컨테이너화된 애플리케이션과 Kubernetes를 통 한 오케스트레이션을 도입하는데요. 이로써 컨테이너와 Kubernetes 보안을 강화해야 할 필요성도 커졌습니다.
IT 환경이 시시각각 변화하면서 컨테이너와 Kubernetes의 보안 환경은 급변하는데요. 특히 새로운 보안 위협과 취약점이 나타나면서 컨테이너와 Kubernetes 보안 트렌드는 꾸준히 진화하고 있습니다. 이에 글로벌 IT 기업과 연구·컨설팅 기업, DevOps 교육 기관은 2024년 Kubernetes 보안 트렌드를 여럿 제시했는데요. 이 글은 이중 3가지 트렌드와 글로벌 오픈 소스 솔루션 기업 Red Hat이 발표한 ‘The state of Kubernetes security report’ 가운데 2가지 트렌드를 골라 총 5가지 Kubernetes 보안 트렌드를 다뤘습니다.
모든 앱 라이프사이클에서 발생하는 보안 인시던트, 제로 트러스트 보안 모델 확산, Kubernetes를 위한 변경 불가능한 인프라 주목, 오픈 소스 도구를 사용한 Kubernetes 보안 관리, 컴플라이언스 자동화 중요성 증가가 그 내용인데요. 지금부터 각 트렌드의 구체적인 현황과 등장 배경, 유의 사항을 알아보겠습니다.
1. 보안 인시던트, 모든 앱 라이프사이클서 발생

컨테이너 또는 Kubernetes 보안 인시던트가 애플리케이션 라이프사이클의 모든 단계에 일어나고 있습니다. 올해 6월 발표한 Red Hat 설문조사*에 따르면, 응답자들의 조직은 지난 12개월 동안 컨테이너 또는 Kubernetes 보안 인시던트로 다음 문제를 경험했는데요. 런타임 중 보안 인시던트(45%), 해결해야 할 주요 취약점 - 빌드·배포 단계 문제(44%), 컨테이너 또는 Kubernetes 환경의 잘못된 구성 탐지(40%), 감사 실패(26%) 순이었습니다. 10개 조직 중 9개(89%)는 같은 기간에 컨테이너 또는 Kubernetes 보안 인시던트가 최소 1건 이상 있었고요.
이러한 문제가 발생한 이유는 컨테이너 기반 Kubernetes 환경 보안의 복잡성 때문입니다. Red Hat에 따르면, Kubernetes는 클러스터 전반의 보안을 강화하기 위해 네트워크 정책과 역할 기반 액세스 제어(RBAC)와 같은 메커니즘을 제공하는데요. 일부 기능은 기본적으로 너무 허용되거나 비활성화됐고요. 이는 충분한 보호를 보장하기 위해 추가 구성이 필요하죠. 아울러 SELinux와 같은 보안 제어는 애플리케이션 보안을 강화하는데요. 그러나 이는 운영 환경에 맞춤화하고, 통합하기가 어려울 수 있습니다. 이러한 어려움은 애플리케이션 라이프사이클의 여러 단계에서 보안 인시던트, 취약점, 잘못된 구성 문제로 나타나죠.
컨테이너와 Kubernetes 보안을 강화하려면, 애플리케이션 라이프사이클 전반에 보안을 향상해야 하는데요. Red Hat은 “모든 애플리케이션 라이프사이클 단계에 걸쳐 보안에 집중하면 잠재 취약점을 조기에 확인하고 완화할 수 있다”며 “데이터 침해, 사이버 공격, 사용자 신뢰 저하 위험을 낮출 수 있다”고 설명합니다. 구체적으로 다음 방안을 실행할 수 있는데요. 먼저, 보안 플랫폼 내 구성 검사에 DevSecOps 모범 관행과 내부 제어를 통합하고요. 컨테이너와 Kubernetes 플랫폼을 사용해 Kubernetes 구성 보안 평가를 자동화합니다. 보안 통합과 자동화에는 자동화 테스트, 지속적 모니터링, 코드 리뷰와 같은 DevSecOps 프로세스를 활용할 수 있고요.
*Red Hat은 미국, 영국, APAC 지역 DevOps, 엔지니어링, 보안 전문가 600명을 대상으로 2023년 12월, 2024년 1월에 설문조사를 실시함.
2. 제로 트러스트 보안 모델 확산

제로 트러스트 보안 모델이 컨테이너와 Kubernetes 보안에 계속 채택되고 있습니다. 이 모델은 ‘사용자 또는 디바이스 위치와 관계없이 네트워크나 리소스에 액세스하려는 모든 시도를 검증해야 한다’고 가정하죠. 미국 연구·컨설팅 기업인 Verified Market Reports에 따르면, 제로 트러스트 아키텍처에서는 어떤 엔티티도 본질적으로 신뢰할 수 없고요. 이는 네트워크 내외부 모든 사람에 게 검증받아야 합니다. 제로 트러스트 보안 모델은 미국 연방 정부가 주목할 정도로 중요한 개념인데요. 미국 국가안보국은 Kubernetes의 제로 트러스트 보안 모범 관행을 설명한 ‘Kubernetes 강화 가이드’를 발표하기도 했습니다.
Kubernetes 환경에 제로 트러스트 보안 모델이 중요한 이유는 다음과 같은데요. DevOps 컨설턴트인 Jean-Jerome Levy에 따르면, Kubernetes는 분산되고 동적인 환경에서 애플리케이션 배포와 관리를 용이하게 하죠. 그러나 Kubernetes의 개방적이고 복잡한 특성 때문에 클러스터는 다양한 잠재 공격에 취약할 수 있습니다. 제로 트러스트 보안 모델을 도입하면 클러스터 보안을 강화할 수 있는데요. Verified Market Reports에서는 “이 모델을 구현하면 모든 상호작용이 검증돼 컨테이너화된 환경 안에서 무단 액세스, 위협의 측면 이동 위험을 완화할 수 있다”고 설명하죠. 이 모델은 마이크로서비스가 네트워크를 통해 통신하는 컨테이너화된 애플리케이션에 적합합니다.
Kubernetes를 위한 제로 트러스트 보안 모델을 구현할 때 유의 사항이 있습니다. 미국 소프트웨어 기업 NGINX의 시니어 수석 소프트웨어 엔지니어 출신인 Matthew Yacobucci는 다음 규칙을 제언하는데요. 첫째, Kubernetes에 복잡성을 추가하지 않고요. 둘째, 개발자와 최종 사용자에게 최소한의 오버헤드를 추가합니다. 셋째, 데이터와 컨트롤 플레인에 적용하고요. 넷째, Ingress Controller와 서비스 메시를 사용합니다. 다섯째, Ingress Controller와 서비스 메시를 통합하고요. 여섯째, 인증서의 올바른 처리를 자동화합니다.