[Tech Guide] 모든 AP는 보안 센서가 되어야 한다

4시간 전
5분 분량

무선, 기업의 기본 네트워크 보안 내재화로 사각지대·공격표면 줄여

[데이터넷] 무선이 기업의 기본 네트워크가 되었지만, 기업 네트워크 보안은 여전히 유선 중심으로 구성되어있다. 인터넷 관문은 강력하게 통제하지만, 가장 많은 단말이 연결되어있는 무선은 통제하지 않는다. 모든 AP에 보안을 내재화하면 별도 보안 인프라를 구축하지 않아도 네트워크 보안의 상당수준을 지킬 수 있다. 현재 기업의 무선 네트워크 보안의 문제를 진단하고 대안을 모색한다.

AI 무선 네트워킹 시대의 보안 공백

기업 네트워크에서 가장 많은 단말이 드나드는 문은 유선 포트가 아니라 무선이다. 노트북, 스마트폰은 물론 IP 카메라와 센서까지, 업무 공간에 새로 연결되는 단말의 대부분이 무선 네트워크로 연결되어 있다. 그런데 보안 투자의 무게중심은 여전히 유선 시대에 설계된 경계에 머물러 있다. 인터넷 관문과 서버 앞은 겹겹의 검문소로 지키면서, 정작 가장 붐비는 무선 구간은 ‘접속을 허용할 것인가’를 묻는 인증의 영역으로만 다뤄질 뿐, 접속한 단말이 무엇을 하는지 지켜보는 눈은 드물다.

와이파이 7과 AI 네트워킹으로 무선이 기본 네트워크가 되는 순간 무선의 보안 공백은 곧 전체 보안 공백이 된다. 본 고에서는 무선랜 시장의 재편 이면에 구조화된 보안 공백과 그 해법의 방향을 짚어 본다.

AI 네트워킹으로 재편되는 무선랜 시장

기업 무선랜 시장은 뚜렷한 성장 국면에 들어섰다. IDC 분석에 따르면 2026년 1분기 와이파이 7 매출은 전년 동기 대비 4배 이상 증가하며 관리형 AP 매출의 44.5%까지 올라섰고, 델오로그룹은 2026년을 ‘기업용 와이파이 7이 주류가 되는 해’로 규정하며 2028년에는 실내 AP 매출의 90% 이상을 와이파이 7이 차지할 것으로 전망했다. 국내에서도 통신사 사내망과 시내버스 공공와이파이, 학교 무선망에 이르기까지 와이파이 7 전환이 진행 중이다.

주목할 점은 이 세대 전환이 단순한 속도 경쟁이 아니라는 것이다. HPE는 주니퍼 인수를 완료하며 미스트(Mist) 기반의 ‘셀프 드라이빙 네트워크’를 전면에 내걸었고, 시스코는 AI 에이전트 기반의 ‘에이전틱옵스(AgenticOps)’를, 익스트림 네트웍스는 에이전틱 AI를 내장한 운영 플랫폼을 내놓았다.

미국 법무부가 HPE의 주니퍼 인수를 승인하며 자사 무선랜 사업(Instant On)의 매각과 함께 미스트의 AI 운영(AIOps) 소스코드를 경쟁사에 라이선스하도록 요구했다는 사실은, 무선랜 경쟁에서 하드웨어뿐 아니라 AI 운영 소프트웨어가 핵심 자산으로 인식되고 있음을 보여준다. 가트너는 2026년까지 기업의 30%가 네트워크 운영 업무의 절반 이상을 자동화할 것으로 전망한 바 있다. 그런데 이 진화의 목록에서 이상하리만큼 조용한 항목이 하나 있다. 보안이다.

운영은 진화했는데, 보안은 남겨졌다

무선랜의 보안 공백은 개별 제품의 결함이 아니라 아키텍처의 구조적 문제다. 기업의 보안 장비는 대부분 인터넷 관문과 서버 구간에 배치돼 있지만, 같은 무선망에 붙은 단말 사이의 통신과 횡적 이동의 상당 부분은 이 경계를 거치지 않는다. 이블 트윈(Evil Twin)·무선 DoS 같은 공격은 애초에 유선 보안 장비가 볼 수 없는 공중(air)에서 일어나고, 위조 AP(Rogue AP) 역시 어떤 단말을 유인해 무엇을 하는지는 공중에서만 관측된다.

노조미 네트웍스가 전 세계 50만 개 이상의 무선 네트워크를 분석한 결과 인증 해제(Deauthentication) 공격에 대한 적절한 방어를 갖춘 곳은 6%에 불과했고, 팔로알토 네트웍스의 2025년 보고서에 따르면 기업 네트워크에 연결된 단말의 32.5%는 IT 부서의 관리 밖에 있다.

이는 이론적 위험이 아니다. 2024년 공개된 ‘니어리스트 네이버(Nearest Neighbor)’ 공격에서 러시아 해킹 그룹 APT28은 표적 기관의 인터넷 서비스가 다중 인증(MFA)으로 보호되자, 길 건너 이웃 조직을 먼저 장악한 뒤 그 건물의 PC를 통해 표적의 기업 와이파이에 원격으로 접속했다. 인터넷 경계는 굳게 잠겨 있었지만, 해당 기관의 무선망은 ID와 패스워드만으로 열리는 뒷문이었던 것이다. 보호 관리 프레임(802.11w PMF) 같은 표준 보강책도 이를 우회하는 공격 기법이 계속 보고되고 있어, 프로토콜 차원의 방어만으로는 충분하지 않다는 평가가 나온다.

대응 수단이 없었던 것은 아니다. 무선침입방지시스템(WIPS)은 국가정보보안기본지침이 적용 대상 기관의 무선랜에 설치를 요구할 만큼 검증된 수단이다. 다만 전용 센서를 별도로 깔고 전용 서버로 관제하는 오버레이 구조의 전통적 WIPS는 AP 인프라와 별개의 장비 투자와 운영 인력을 요구하고, 관측이 무선 계층의 이상 신호에 집중돼 그 단말이 네트워크 안에서 무엇을 하는지까지 하나의 맥락으로 보기는 어렵다. 탐지가 된다 해도 SANS의 2025년 조사에서 조직의 73%가 오탐(false positive)을 위협 탐지의 최대 과제로 꼽았을 만큼, 알람 피로라는 벽이 남는다.

시장이 요구하는 무선 보안의 세 가지 요건

이 공백을 메우기 위해 시장이 요구하는 조건은 세 가지로 정리할 수 있다.

첫째, 탐지의 전진 배치다. AP는 무선 프레임을 공중에서 직접 수신하는 지점인 동시에, 암호가 풀린 단말 트래픽이 유선으로 나가기 전 처음 지나는 길목이다. 즉 공중의 무선 신호를 직접 수신하면서 복호화된 트래픽까지 같은 물리적 지점에서 연계 관측할 수 있는 위치는 구조적으로 AP뿐이다.

AP가 센서가 되면 서비스 커버리지와 보안 관측 범위가 일치해 오버레이 방식에서 생기기 쉬운 공간적 사각이 크게 줄고, 단말이 로밍으로 이동해도 관측이 끊기지 않는다. 탐지 지점과 차단 지점이 일치해 위협을 발견한 그 자리에서 즉시 차단·격리로 이어갈 수 있다는 점에서, 전진 배치는 대응의 조건이기도 하다. 별도 센서망의 구축 비용과 운영 인력이 들지 않는다는 경제성은 그다음에 오는 부수 효과다.

둘째, 판정의 지능화다. 문제의 본질은 개별 이벤트가 대부분 그 자체로는 무해해 보인다는 데 있다. 몇 개의 포트 접속, 일정 주기의 외부 통신, 한 번의 대용량 업로드는 각각 정상 업무일 수 있다. 위협은 이것들이 정찰에서 은닉 통신, 데이터 반출로 이어지는 행위의 연쇄로 묶였을 때 드러난다. 마이터 어택(MITRE ATT&CK) 같은 프레임워크가 공격을 개별 시그니처가 아니라 체인으로 기술하는 것도 같은 이유다.

따라서 알람의 총량을 줄이는 필터가 아니라, 이벤트를 맥락으로 엮어 실제 공격 가능성을 판정하고 사람이 봐야 할 것만 남기는 자동 선별(Triage)이 중요하다. 감사와 사고 조사가 뒤따르는 공공·금융 환경에서는 어떤 신호가 어떤 순서로 관측되어 그렇게 판단했는지 설명 가능한 보고서가 판정과 함께 남아야 하며, 정상의 기준이 현장마다 다른 만큼 환경의 밀도와 행위 패턴을 반영해 판정 기준이 조정되는 구조라야 오탐 감소가 지속 가능하다. 가트너가 2026년 사이버보안 주요 트렌드로 AI 기반 보안관제(SOC)의 재편을 꼽은 것도 같은 맥락이다.

셋째, 온프레미스 완결성이다. 글로벌 벤더의 AI 네트워킹은 클라우드 관리 플랫폼을 중심으로 제공되는 경우가 대부분이다. 그러나 공공·국방·금융이 많은 국내 환경에서는 2025년 국가망보안체계(N2SF)로 규제가 유연해졌다고 해도 보안 이벤트를 외부 클라우드로 보내는 구성은 여전히 수용되기 어렵다. 탐지·분석·인텔리전스가 외부 의존 없이 고객 네트워크 안에서 완결되는 구조는, 국내 시장에서는 선택이 아니라 도입의 전제 조건이다.

모든 AP가 센서가 되는 구조

이 세 가지 요건을 통합적으로 구현한 사례로, 위드네트웍스의 통합 무선 관리·보안 솔루션 ‘에어릭스(AiriX)’와 무선 보안 기능 ‘호크아이(HawkAI)’를 들 수 있다.

에어릭스의 출발점은 ‘보안 장비를 더하지 말고, 이미 깔려 있는 AP를 센서로 만들자’는 것이다. 에어릭스의 와이파이 7 AP는 온디바이스 IDS 센서를 내장해, 별도 센서나 어플라이언스 없이 무선 계층(위조 AP·이블 트윈·인증 해제 공격 등)과 네트워크 계층(DDoS, 포트 스캔, C2 비콘, DNS 터널링, 데이터 유출 등)을 아우르는 36가지 위협을 현장에서 실시간 탐지한다. 탐지된 이벤트는 고가용성(HA) 클러스터로 구성된 중앙 관제 서버(APC)에 모여 일원적으로 수집·관리된다. AP의 현장 탐지에서 중앙 통합 관제, 온프레미스 AI 판정까지 하나로 이어지는 이 통합 아키텍처는 에어릭스 특허 기술이다.

탐지 다음은 판정이다. APC가 수집한 이벤트에서 공격으로 의심되는 정황이 포착되면, 호크아이 분석 서버가 해당 AP의 상세 로그에 대한 심층 분석에 들어간다. 온프레미스 LLM이 AP별로 관측된 여러 공격 신호를 교차 검증하고, 정찰·은닉 통신·반출로 이어지는 행위의 맥락을 근거로 실제 공격 여부를 판정하며, 판정 근거가 담긴 리포트를 자동 생성해 관리자가 즉시 조치 판단을 내릴 수 있게 한다. 판정된 위협 가운데 정책 적용이 가능한 대상에는 단말 접속 차단·격리 같은 대응 조치를 실행할 수 있어, 탐지에서 판정, 대응까지가 하나의 체계 안에서 이어진다.

국가·애플리케이션 식별에 쓰이는 인텔리전스 역시 자체 구축한 오프라인 데이터베이스로 공급되므로, 탐지부터 AI 분석까지 전 과정에 외부 클라우드와 상용 데이터 의존이 없어 폐쇄망·망분리 환경에도 그대로 도입할 수 있다.

글로벌 주요 벤더들도 AP 기반의 무선 침입 탐지나 클라우드 기반 AI 운영 기능은 제공한다. 에어릭스 호크아이의 차별점은 AP 기반 위협 관측, 중앙 통합 관제, LLM 기반 AI 분석, 오프라인 인텔리전스라는 네 요소를 외부 클라우드 의존 없이 하나의 온프레미스 운영 구조로 결합했다는 데 있다. 무선랜 인프라와 무선 보안을 별개의 시스템으로 나눠 도입·운영해 온 기존 방식에 대해, 네트워크 인프라 자체가 보안을 내재하는 실질적 대안을 제시하는 것이다.

무선랜을 선정하는 기준이 바뀐다

와이파이 7의 속도는 곧 상향평준화될 것이고, AI 운영 역시 글로벌 벤더들이 일제히 같은 방향으로 달리고 있는 이상 시간의 문제다. 남는 질문은 하나다. 그 빨라진 무선 네트워크가 스스로를 지킬 수 있는가.

가장 많은 단말이 드나드는 문이 가장 감시받지 않는 문으로 남아 있는 한, AI 네트워킹의 진화는 미완성이다. 무선랜을 고르는 기준에 이제 ‘이 네트워크는 무엇을 탐지하고, 어떻게 판정하며, 그 판단은 어디서 이뤄지는가’라는 질문이 더해져야 할 때다.

원문 보기

데이터넷