# 마이크로 세그멘테이션 (Micro-segmentation)

마이크로 세그멘테이션은 네트워크 보안 기술의 일종으로, 네트워크를 아주 작은 단위(워크로드, 애플리케이션, 개별 가상 머신 등)로 세분화하여 각 세그먼트마다 정밀한 보안 정책을 적용하는 방식입니다. 이는 네트워크 내부에서 발생하는 트래픽을 세밀하게 제어함으로써 보안성을 극대화하는 것을 목적으로 합니다.

## 동작 원리

전통적인 네트워크 보안은 외부와 내부의 경계를 설정하고 외부로부터의 침입을 막는 '경계 보안(Perimeter Security)' 모델에 의존했습니다. 하지만 일단 경계가 뚫리면 내부 네트워크에서는 자유로운 이동이 가능하다는 취약점이 있습니다.

반면, 마이크로 세그멘테이션은 '내부 네트워크 또한 신뢰할 수 없다'는 전제하에 네트워크 내부를 잘게 쪼개어 각 지점마다 가상 방화벽을 설치하는 것과 같은 효과를 냅니다. 이를 통해 동-서 트래픽(East-West Traffic, 데이터 센터 내부 서버 간 통신)을 엄격하게 제어합니다.

### 전통적 네트워크 보안 vs 마이크로 세그멘테이션

| 구분 | 전통적 경계 보안 (Perimeter Security) | 마이크로 세그멘테이션 (Micro-segmentation) |
| :--- | :--- | :--- |
| **보안 초점** | 외부 $\rightarrow$ 내부 (North-South 트래픽) | 내부 $\rightarrow$ 내부 (East-West 트래픽) |
| **신뢰 모델** | 내부 네트워크는 기본적으로 신뢰함 | 어떤 네트워크 구간도 신뢰하지 않음 |
| **제어 단위** | VLAN, 서브넷 등 거시적 단위 | 워크로드, 컨테이너, 프로세스 등 미시적 단위 |
| **대응 방식** | 성벽을 높게 쌓는 방식 (Castle-and-Moat) | 개별 방마다 잠금장치를 설치하는 방식 |

## 주요 이점

*   **횡적 이동(Lateral Movement) 차단**: 공격자가 네트워크의 한 지점을 점유하더라도, 세그먼트 간 이동이 제한되어 있어 다른 서버나 데이터베이스로 확산되는 것을 방지합니다.
*   **공격 표면(Attack Surface) 감소**: 각 워크로드에 꼭 필요한 통신 경로만 허용(White-list 방식)함으로써, 공격자가 이용할 수 있는 경로를 최소화합니다.
*   **규정 준수 및 가시성 확보**: 민감한 데이터가 포함된 세그먼트를 별도로 분리하여 관리함으로써 컴플라이언스(PCI-DSS, GDPR 등) 대응이 용이하며, 네트워크 트래픽 흐름을 명확히 파악할 수 있습니다.

## 구현 방법

마이크로 세그멘테이션은 인프라 환경에 따라 다양한 방식으로 구현됩니다.

*   **소프트웨어 정의 네트워크(SDN) 기반**: 네트워크 컨트롤러를 통해 중앙에서 가상 네트워크 정책을 정의하고 배포하는 방식입니다.
*   **하이퍼바이저 기반**: 가상화 환경의 하이퍼바이저 수준에서 가상 NIC(vNIC)에 보안 정책을 적용하여 트래픽을 제어합니다.
*   **호스트 기반 에이전트 방식**: 개별 서버(OS) 내에 에이전트를 설치하여 호스트 자체 방화벽(iptables, Windows Firewall 등)을 통해 정책을 제어하는 방식입니다.

## 적용 사례

*   **데이터 센터 및 클라우드 환경**: 수많은 가상 머신(VM)과 컨테이너가 동적으로 생성되고 삭제되는 환경에서 태그(Tag) 기반의 유연한 보안 정책을 적용하는 데 사용됩니다.
*   **제로 트러스트(Zero Trust) 모델**: "절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)"는 제로 트러스트 철학을 네트워크 계층에서 실제로 구현하는 핵심 기술로 활용됩니다.
*   **다중 테넌트(Multi-tenancy) 환경**: 클라우드 서비스 제공자가 서로 다른 고객(테넌트) 간의 네트워크를 완전히 격리하여 데이터 유출을 방지하는 데 적용됩니다.