RHEL 7 EOL: TuxCare의 ELS로 보안 유지

이 블로그 글의 AI 요약으로 바로 가기

주요 내용

RHEL 7은 2024년 6월 30일에 수명이 종료되어 시스템이 보안, 규정 준수 및 안정성 위험에 노출되어 있습니다.
RHEL 8 또는 9로 업그레이드하는 것은 복잡하고 비용이 많이 들며, Red Hat의 ELS는 비용과 시간이 제한되어 있습니다.
TuxCare는 합리적인 가격과 업계 최고의 패치 기술로 RHEL 7에 대한 무기한 지원을 제공합니다.

레드햇 엔터프라이즈 리눅스(RHEL) 7은 지난 10년 이상 기업 IT 환경을 위한 신뢰할 수 있는 기반 역할을 해왔습니다. 2024년 6월 30일, RHEL 7의 표준 유지보수 주기가 종료됨에 따라 이 시대는 공식적으로 막을 내렸습니다. RHEL 7의 지원 종료(EOL)가 시행됨에 따라, 여전히 이 레거시 OS에 의존하고 있는 기업들은 정기적인 업데이트가 중단됨에 따라 커져가는 보안 및 규정 준수 위험에 대처해야 합니다.

이 블로그 게시물에서는 RHEL 7의 지원 종료(EOL)가 보안에 미치는 영향, 업그레이드나 레드햇의 제한적인 확장 수명 주기 지원(ELCS)에 의존할 때 직면하는 과제, 그리고 TuxCare의 엔드리스 라이프사이클 지원(Endless Lifecycle Support)이 RHEL 7 시스템의 장기적인 보안 및 규정 준수 운영을 유지하는 데 어떻게 도움이 되는지 살펴봅니다.

RHEL 7의 지원 종료(EOL)란 무엇인가요?

일반적으로 소프트웨어는 공급업체가 정식 지원을 중단하고 보안 업데이트를 더 이상 제공하지 않을 때 수명 주기가 종료된 것으로 간주됩니다. RHEL의 경우, 이를 통상 ‘유지보수 종료(EOM)’ 지원 단계라고 부르며, 이 단계가 지나면 Red Hat Enterprise Linux 유지보수 팀은 더 이상 정기적인 보안 업데이트와 버그 수정 패치를 제공하지 않습니다. RHEL 7은 2024년 6월 30일에 유지보수 지원 주기가 종료되었습니다.

EOM(지원 종료) 단계가 지나면, 각 RHEL 릴리스는 ‘연장 지원 단계(Extended Life Phase)’로 넘어갑니다. 즉, RHEL 연장 구독을 통해 2029년 5월 31일까지 Red Hat Enterprise Linux 7의 마지막 마이너 릴리스(7.9)에 대한 보안 업데이트를 받을 수 있습니다. 유지보수 지원이 종료되면 해당 버전에 대한 새로운 릴리스, 소프트웨어 업데이트 또는 보안 관련 전체 지원은 더 이상 제공되지 않습니다.

참고: 레드햇의 공식 라이프사이클 용어에 따르면, RHEL 7은 아직 완전한 지원 종료(End of Life) 단계에 도달하지 않았습니다. 이 버전은 유지보수 종료(EOM) 이후 연장 지원 단계(Extended Life Phase)로 전환되었습니다.

RHEL 7의 지원 종료 후 사용 시 발생할 수 있는 위험

레드햇은 유료 서비스인 ‘확장 수명 주기 지원(Extended Lifecycle Support)’을 구매하지 않은 경우, RHEL 7에 대한 보안 업데이트 제공을 중단했습니다. 따라서 가장 큰 위험은 지원 종료 후 RHEL 7이 갑자기 작동하지 않거나 불안정해지는 것이 아닙니다. 진짜 위험은 보안 취약점이 계속해서 발견되지만, 이를 해결하기 위한 공급업체의 보안 패치를 더 이상 받을 수 없다는 점입니다. 이로 인해 커널, 핵심 라이브러리, 설치된 패키지 전반에 걸쳐 패치가 적용되지 않은 CVE(보안 취약점)가 계속 누적됩니다.

패치되지 않은 취약점의 누적

지원 종료 후, RHEL 7 패키지에 영향을 미치는 새로 공개된 취약점은 더 이상 공급업체에 의해 수정되지 않습니다. 이러한 취약점은 공개적으로 기록되며, 대개 상세한 분석이 수반되고, 경우에 따라 개념 증명(PoC) 익스플로잇도 제공됩니다. 패치를 적용할 수 없는 상황에서, 영향을 받는 시스템은 해당 워크로드가 운영되는 동안 계속해서 보안 위협에 노출됩니다.

이러한 영향은 누적됩니다. 새로운 취약점이 하나씩 발견될 때마다 해결되지 않은 취약점 목록에 추가되어 전반적인 보안 위험이 커집니다. 한때 안전하다고 여겨졌던 시스템도 알려진 문제가 패치되지 않은 채 방치되기만 하면 점차 취약해질 수 있습니다.

착취의 가능성이 높아짐

구형 소프트웨어가 공격자들의 표적이 되는 데는 간단한 이유가 있습니다. 바로 예측 가능한 공격 대상이 되기 때문입니다. 구형 시스템의 알려진 취약점은 새로운 공격 기법을 개발하는 것보다 악용하기가 더 쉽습니다. 구버전은 최신 버전이 누리는 보안 강화 조치를 받지 못했기 때문입니다.

많은 보안 침해 사고는 수개월 또는 수년 전부터 이미 공개된 취약점을 악용하며, 공급업체의 지원 서비스가 종료된 후 한 번도 업데이트되지 않은 시스템을 노립니다.

잘 알려진 사례로 이퀴팩스(Equifax) 데이터 유출 사건이 있는데, 이 사건은 아파치 스트러츠(Apache Struts)의 치명적인 취약점(CVE-2017-5638)이 패치되지 않은 채 방치되어 대규모 사고로 이어진 경우입니다.

규정 준수 및 감사 실패

규정 준수 측면에서 볼 때, 지원이 중단된 운영 체제를 사용하는 것은 명백한 문제를 야기합니다. PCI DSS, HIPAA, ISO 27001, SOC 2와 같은 대부분의 규제 및 표준 프레임워크는 시스템에 대한 보안 업데이트가 적시에 이루어지기를 요구합니다.

감사 과정에서 보안 취약점이 발견되었는지 여부와 관계없이 지원되지 않는 운영 체제는 종종 문제점으로 지적됩니다. 이는 특히 고객 접점이나 규제 대상 환경에서 감사 불합격, 보완 통제 조치, 또는 계약상 벌금 부과로 이어질 수 있습니다.

운영 및 비즈니스 리스크

보안 및 규정 준수를 넘어 운영 측면에서도 영향을 미칩니다. 팀은 종종 예외 사항을 관리하고, 위험 수용 수준을 추적하며, 임시적인 완화 조치를 시행해야 합니다. 이러한 조치들은 근본적인 문제를 해결하지 못한 채 추가적인 업무 부담을 야기합니다.

비즈니스 차원에서는 이러한 위험이 덜 명백한 형태로 나타날 수 있습니다. 사이버 보험사, 파트너사 또는 고객사가 보장 범위나 계약 체결의 필수 조건으로 지원 대상 시스템의 구비를 요구할 수 있습니다. 이로 인해 조직은 시간적 압박 속에서 계획에 없던 업그레이드나 마이그레이션을 강행해야 할 수도 있습니다.

선택 사항 및 대안

RHEL 7의 지원 종료 이후, 기업들은 보안과 규정 준수를 유지하기 위해 몇 가지 주요 선택지를 고려해야 합니다:

1. RHEL 9 또는 RHEL 10으로 업그레이드

지원되는 RHEL 버전으로 업그레이드하면 지속적인 보안 업데이트, 버그 수정 및 공급업체 지원을 이용할 수 있습니다. RHEL 9 및 RHEL 10을 포함한 이 리눅스 배포판의 최신 버전에는 최신 커널 개선 사항, 강화된 컨테이너 지원 및 더 긴 수명 주기의 이점도 포함되어 있습니다.

업그레이드는 새로운 시작을 제공하지만 새로운 도전과제를 제시하기도 합니다:

새로운 라이브러리, 런타임 버전 및 커널 동작과의 호환성을 테스트하는 작업으로 인해 배포가 지연될 수 있습니다.
전환 과정에서 시스템 가동 중단이 발생할 위험이 있습니다. 계획된 가동 중단은 종종 불가피합니다.
인프라 및 구성 변경이 필요할 수 있습니다.
새로운 환경에 맞춰 IT 직원을 재교육해야 할 필요성.
향후 하드웨어 업그레이드 또는 가상 머신 마이그레이션.

RHEL 버전의 수명 주기 일정

2. 레드햇 확장 라이프사이클 지원

레드햇은 선별된 중대한 보안 문제에 대해 4년간의 추가 유지보수 지원을 제공하는 ‘확장 라이프사이클 지원(Extended Lifecycle Support )’ 부가 구독 서비스를 제공합니다. 이는 지원 기간을 연장해 주지만, 완전한 유지보수 지원을 복원하는 것은 아닙니다.

레드햇이 확장된 라이프사이클 옵션을 제공하기는 하지만, 여기에는 몇 가지 단점이 있습니다:

특정 중대한 영향을 미치는 보안 수정 사항만 포함됩니다.
비용이 많이 들기 때문에, 예산을 신경 쓰는 팀들이 이를 도입하기 어렵습니다.
스탠다드 또는 프리미엄 레드햇 엔터프라이즈 리눅스 구독은 연장 유지보수 대상에 한합니다.
시간이 제한되어 있어, 결국 전면적인 업그레이드를 미루게 될 뿐입니다.

3. RHEL 7에 대한 TuxCare의 무제한 라이프사이클 지원

TuxCare의 Endless Lifecycle Support(ELS) 는 RHEL 7 시스템에 대한 유지보수 지원이 종료된 후에도 지속적으로 보안 패치를 제공합니다. ELS는 마이그레이션이나 업그레이드 없이도 중요 및 고위험 취약점에 대한 수정 사항을 제공합니다. RHEL 확장 지원과 달리, TuxCare의 ELS는 조직이 필요로 하는 기간 동안 계속 이용할 수 있습니다.

TuxCare의 ELS 솔루션은 더 스마트한 대안을 제시합니다:

RHEL 7에 대한 지속적인 보안 업데이트가 제공되며, 강제 업그레이드 일정은 없습니다.
NIST CVE 점수를 활용한 정확한 위험 평가. 반면 레드햇은 종종 심각도를 낮게 책정하여 특정 환경에서 중대한 위협을 놓칠 수 있습니다.
레드햇의 연장 지원에 비해 비용을 대폭 절감할 수 있습니다.
한 줄짜리 스크립트로 TuxCare 저장소에 간편하게 연결할 수 있으며, 재부팅이 필요하지 않습니다.

CVE 트래커를 방문하여 RHEL 7 시스템에 영향을 미치는 최근 취약점을 확인하고, TuxCare의 Endless Lifecycle Support를 통해 패치된 취약점이 무엇인지 확인해 보세요.

4. RHEL 호환 배포판으로 마이그레이션

일부 조직은 AlmaLinux나 Rocky Linux와 같은 RHEL 호환 배포판으로 워크로드를 마이그레이션하기도 합니다. 이러한 무료 오픈소스 대안들은 라이선스 비용 없이 RHEL과 동일한 기능과 호환성을 제공하는 것을 목표로 합니다. RHEL과 Oracle Linux와 같은 다른 상용 옵션을 비교하고 있는 조직의 경우, 당사 블로그 게시물“Oracle Linux vs Red Hat”에 담긴 분석 내용을 통해 비용, 각 지원 정책, 그리고 장기적인 유연성 측면에서의 차이점을 명확히 파악하는 데 도움이 될 것입니다.

고려 사항:

마이그레이션이 항상 순조로운 것은 아닙니다. 종속성이나 사용자 지정 구성으로 인해 과정이 복잡해질 수 있습니다.
워크로드가 예상대로 작동하도록 보장하기 위해서는 테스트와 검증이 여전히 매우 중요합니다.
과도기 동안에는 운영 리스크가 존재합니다.

기능	레드햇 ELS (공급업체)	TuxCare의 지속적인 라이프사이클 지원	수동 마이그레이션 (RHEL 8/9/10)
기본 요구 사항	유효한 RHEL 구독	레드햇 구독이 필요하지 않습니다	새로운 RHEL 구독
주요 비용	RHEL 구독료 + ELS 추가 요금	노드당 정액 요금제	이주 노동자 + 신규 면허
이주가 필요한가요?	아니요	아니요	예

RHEL 7에서 마이그레이션하는 것이 타당한 경우

모든 RHEL 7 시스템이 즉각적인 마이그레이션을 필요로 하는 것은 아니지만, 최신 OS나 호환 가능한 리눅스 배포판으로 전환하는 것이 장기적으로 가장 적절한 전략인 경우도 있습니다. RHEL 9 또는 8, 혹은 호환 가능한 배포판에서 이미 인증을 받은 애플리케이션을 실행하는 시스템은 업데이트된 라이브러리, 개선된 컨테이너 지원, 강화된 보안 기능, 그리고 전반적으로 향상된 성능의 이점을 누릴 수 있습니다. 이러한 경우의 마이그레이션은 광범위한 IT 현대화 계획과 부합하며, 시간이 지남에 따라 운영의 복잡성을 줄여줍니다.

규제 환경에서는 확장 지원 솔루션이 PCI DSS, HIPAA 또는 ISO 27001과 같은 업계 표준 프레임워크의 공백을 메울 수 있습니다. 하지만 규정 준수 의무를 충족하기 위해서는 결국 마이그레이션이 필요할 수 있습니다.

규정 준수 문제가 당장 시급하지 않더라도, 시스템 마이그레이션은 운영 위험을 줄일 수 있습니다. RHEL 7을 계속 사용하는 시스템은 시간이 지남에 따라 패치되지 않은 취약점이 누적되어 지속적인 위험 관리가 필요합니다. 지원되는 OS나 배포판으로 전환하면 이러한 부담을 줄이고, 패치 관리를 간소화하며, 알려진 위협에 대한 노출을 최소화할 수 있습니다.