“CPU로는 한계”…시큐아이, 외산 장벽 높은 ‘프리미엄 방화벽’ 시장 공략

[인터뷰] 시큐아이 조원용 상무(개발실장) 

시큐아이가 고성능 차세대 방화벽 ‘블루맥스 NGF 프로(BLUEMAX NGF PRO)’를 앞세워 통신사와 증권사, 인터넷데이터센터(IDC), 대기업 등 프리미엄 시장을 공략한다. 시큐아이는 지난해 10월 블루맥스 NGF 프로를 처음 공개한 뒤 지난 5월 정식 출시했다. 중앙처리장치(CPU)가 네트워크 트래픽 처리와 보안 기능을 모두 맡던 기존 구조에서 벗어나, 프로그래밍이 가능한 반도체(FPGA)와 데이터처리장치(DPU) 등 전용 프로세서에 일부 작업을 나눠 맡겼다.

개발실을 이끌고 있는 조원영 시큐아이 상무는 바이라인네트워크와의 인터뷰에서 “공공기관과 금융권 중심의 방화벽 시장에서 강점을 확보했지만, 대기업과 통신사 등 고성능 장비 시장에서는 글로벌 기업의 영향력이 컸다”며 “글로벌 제품과 경쟁할 수 있는 고성능 방화벽이 필요하다고 판단해 개발을 시작했다”고 설명했다.

DPU·FPGA로 패킷 처리 분산…소형 패킷 성능 8배 높여

방화벽은 기업 네트워크의 관문에 설치된다. 외부에서 들어오거나 내부에서 나가는 트래픽을 확인하고, 설정한 보안 정책에 따라 통신을 허용하거나 차단한다.

문제는 기업이 처리해야 할 트래픽과 보안 기능이 함께 늘고 있다는 점이다. 기존 방화벽에서는 CPU가 패킷 처리부터 애플리케이션 식별, 위협 탐지, 암호화 통신 분석까지 담당했다. 작은 크기의 패킷이 한꺼번에 몰리면 CPU가 패킷 처리에 자원을 빼앗겨 보안 기능의 성능이 떨어질 수 있다.

시큐아이는 이를 해결하기 위해 전용 프로세서를 활용한 고속 패킷 처리 시스템과 컨트롤 플레인 영역으로 분리했다. 고속 패킷 처리 시스템은 FPGA와 DPU과 같은 전용 프로세서를 이용해 패킷을 빠르게 전달한다. 컨트롤 플레인은 멀티코어 CPU를 기반으로 보안 정책 판단과 위협 탐지, 정보 수집을 담당한다. 기존에 CPU가 맡던 일부 연산을 전용 프로세서를 활용한 고속 패킷 처리 시스템에 넘기는 ‘오프로딩’ 구조다.

블루맥스 NGF 프로는 64바이트 크기의 소형 패킷을 초당 320기가비트까지 처리한다. 작은 패킷은 같은 데이터양을 전송하더라도 장비가 처리해야 할 패킷 수가 많아 방화벽 성능을 확인하는 주요 기준으로 쓰인다.

조 상무는 “기존 CPU 기반 제품에서는 작은 패킷이 몰리면 CPU 사용률이 급격히 올라갔다”며 “블루맥스 NGF 프로는 패킷 처리와 보안 기능을 분리해 트래픽이 증가해도 보안 기능을 안정적으로 유지하도록 설계했다”고 설명했다.

방화벽의 역할은 이제 접근 통제에만 머물지 않는다. 조 상무는 “앞으로 방화벽이 네트워크에서 사용자와 기기, 애플리케이션, 파일, 인터넷주소(URL) 정보를 수집하는 센서이자 외부 분석 결과에 따라 차단 정책을 실행하는 집행자 역할을 함께 맡아야 한다”고 설명했다.

그는 “방화벽이 고속으로 트래픽을 처리하면서 위협 분석에 필요한 정보를 수집하고, 다른 보안 시스템이 차단을 요청하면 즉시 정책을 실행해야 한다”며 “이 역할을 모두 수행하려면 고성능 하드웨어가 필요하다”고 말했다.

시제품 한 대가 억원대…개발에만 30개월

블루맥스 NGF 프로 개발에는 약 30개월이 걸렸다. 일반적인 시큐아이 신규 제품 개발 기간인 1년 안팎보다 두 배 이상 길다.

제품 구조를 검증하는 시제품 개발에 약 15~16개월이 들었다. 이후 실제 판매할 제품으로 다듬는 데 다시 1년 가량을 투입했다. 전용 프로세서 제조사를 조사하고 협력사를 선정하는 데에도 약 3개월이 걸렸다.

FPGA와 DPU는 칩을 구입한다고 바로 방화벽에 적용할 수 있는 부품이 아니다. 제조사의 개발 도구와 기술 지원을 받아 방화벽 기능에 맞게 반도체를 설정하고 소프트웨어를 최적화해야 한다. 시큐아이는 미국 반도체 기업들과 협력 관계를 만들기 위해 현지에서 기술·경영진 회의를 이어갔다.

조 상무는 “처음에는 제조사도 시큐아이가 제품을 실제로 양산할 수 있을지 확신하지 못했다”며 “시제품부터 정식 제품 개발까지 진행 상황을 지속해서 설명했고, 현재는 다음 단계 개발을 위한 기술 협력도 논의하고 있다”고 전했다.

투자 규모도 컸다. 초기 시제품은 고성능을 최대한 끌어내기 위해 서버 4개 높이에 해당하는 4유닛(U) 크기로 제작했다. 시제품 한 대 가격이 억원대에 이를 정도로 고가였지만 개발과 품질 검증을 위해 약 20대를 준비했다.

정식 제품은 크기를 절반인 2U로 줄였다. 이 과정에서 고성능 반도체에서 발생하는 열을 밖으로 내보내는 냉각 구조와 공기 흐름을 다시 설계했다. 패킷을 처리하는 전용 프로세서와 보안 정책을 담당하는 CPU가 같은 정보를 유지하도록 동기화하는 작업도 필요했다.

조 상무는 “기존 제품은 하드웨어 구조가 유사해 소프트웨어 기능 개발에 집중할 수 있었다”며 “이번에는 하드웨어부터 소프트웨어, 냉각 구조까지 새로 설계해야 했다”고 말했다.

그는 블루맥스 NGF 프로를 시큐아이의 플래그십 개발 과제로 평가했다. 조 상무는 “비용과 개발 인력을 고려하면 쉽게 시작할 수 있는 프로젝트가 아니었다”며 “국내 기업끼리 경쟁하는 데 그치지 않고 글로벌 보안기업과 경쟁할 제품을 만들자는 목표로 투자를 결정했다”고 강조했다.

경량 AI로 즉시 탐지, 정밀 분석은 별도 플랫폼에서

블루맥스 NGF 프로의 AI 위협 탐지 기능은 장비 내부 분석과 외부 정밀 분석을 결합한다. 방화벽 장비에는 연산량을 줄인 경량 AI 엔진을 탑재했다. 트래픽이 지나가는 경로에서 악성 파일과 기존 공격의 변종을 빠르게 판단하기 위한 기능이다. 방화벽은 모든 트래픽을 실시간으로 처리해야 하기 때문에 분석에 오랜 시간이 걸리면 통신 속도에 영향을 줄 수 있다.

더 많은 연산이 필요한 파일과 URL은 시큐아이의 ‘AI 기반 위협 분석 플랫폼(STIC)’로 보낸다. 스틱은 파일을 실행하지 않고 구조를 살피는 정적 분석, 격리된 환경에서 실제 동작을 확인하는 동적 분석, AI 분석을 함께 수행한다. 분석 결과 악성 파일이나 피싱 사이트로 판단되면 방화벽이 접속을 차단한다.

조 상무는 “AI를 장비에 모두 넣으면 많은 연산 자원이 필요하고 실시간 처리가 어려워진다”며 “장비에서는 빠르게 판단할 수 있는 경량 모델을 사용하고, 정밀 분석이 필요한 정보는 별도 분석센터에서 처리하도록 역할을 나눴다”고 설명했다.

AI를 적용했다고 기존 탐지 방식이 사라지는 것은 아니다. 시큐아이는 알려진 공격은 기존 공격 정보인 시그니처로 탐지하고, 동적 분석으로 의심스러운 행위를 확인한다. AI는 이 과정에서 알려지지 않은 악성 파일이나 기존 공격을 변형한 위협을 찾는 역할을 맡는다.

오탐을 줄이기 위해 문서형 파일과 실행 파일, URL을 분석하는 AI 모델도 구분했다. 스틱이 수집한 위협정보와 외부에서 확보한 데이터를 선별해 학습하고, 모델을 주기적으로 검증한 뒤 제품에 다시 배포한다.

조 상무는 “AI는 마술봉이 아니다”며 “얼마나 좋은 데이터를 확보하고 보안 분야의 지식을 결합해 모델을 정교하게 만드는지가 탐지 성능을 결정한다”고 말했다.

공공과 금융 중심으로 대기업까지…시장 맞춤형 접근

시큐아이는 기존 블루맥스 NGF와 블루맥스 NGF 프로를 시장에 따라 구분해 공급하는 전략을 세웠다. 기존 제품(BLUEMAX NGF)으로 성능 요구를 충족할 수 있는 공공기관과 금융권에 제안하고, 더 높은 성능을 요구하는 금융사 관문, 증권사, 통신사, IDC, 대기업에는 블루맥스 NGF 프로를 제안한다.

고객에 따라 중요하게 보는 성능도 다르다. 증권사는 방화벽을 통과하는 데 걸리는 지연시간을 중요하게 본다. 주식 주문과 거래 정보를 빠르게 처리해야 하기 때문이다. 통신사와 IDC는 짧은 시간에 많은 트래픽을 처리하는 처리량이 중요하다.

조 상무는 “처리량이 높다고 반드시 지연시간이 짧은 것은 아니다”며 “증권사는 하나의 장비를 거치는 시간을 줄이는 것이 중요하고, 통신사와 IDC는 여러 이용자에게서 동시에 발생하는 대규모 트래픽을 안정적으로 처리해야 한다”고 설명했다.

시큐아이는 금융권 한 곳에서 약 한 달 동안 개념검증(PoC)을 진행해 첫 레퍼런스를 확보했다. 이를 바탕으로 올해 하반기부터 기업과 증권사, 통신사를 대상으로 제품 공급을 확대할 계획이다. 고성능 장비가 필요한 일부 공공기관도 공략한다.

해외시장 진출보다는 국내 레퍼런스 확보가 우선이다. 시큐아이는 국내 프리미엄 시장에서 공급 사례를 늘린 뒤 해외 진출을 검토할 예정이다. 전용 프로세서를 적용한 구조를 더 낮은 등급의 제품으로 확장하는 개발도 진행하고 있다.

조 상무는 “새 제품을 소개하면 고객은 가장 먼저 어느 기업이 사용하고 있는지 묻는다”며 “금융권 레퍼런스를 기반으로 국내 하이엔드 시장에서 블루맥스 NGF 프로의 성능과 안정성을 입증하는 것이 우선”이라고 말했다.

시큐아이는 삼성SDS의 자회사로, 2000년 설립된 정보보안 기업이다. 네트워크 보안 솔루션 개발과 공급을 주력 사업으로 하며, 차세대 방화벽과 침입방지시스템(IPS), 디도스(DDoS) 대응 장비, 무선침입방지시스템(WIPS), 클라우드·가상화 환경용 보안 제품을 ‘블루맥스(BLUEMAX)’을 제공한다. 2001년부터 국내외 기업을 대상으로 보안관제와 보안운영 서비스를 제공해왔으며, 현재 보안 컨설팅과 시스템통합(SI), 시큐아이 위협정보센터(STIC)를 통한 위협 분석 사업도 운영하고 있다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network