제로 트러스트 보안 모델 채택

제로 트러스트 보안 개념에 대해 자세히 알아보고 어떻게 할 수 있는지 논의합니다. 조직에서 구현하십시오.
(출처:rawpixel.com @ freepik.com)

분산된 인력의 현실은 기업 보안 매개변수의 개념을 변화시켰습니다. 조직은 더 이상 단순한 사무실 건물을 보호하는 데 그치지 않습니다. 이는 팬데믹으로 인해 기업이 인력을 원격으로 이전하기 전에도 현실이 되었습니다.

현대 조직은 오늘날의 기술 복잡성을 관리하기 위해 포괄적인 보안 전략이 필요하며 제로 트러스트 보안이 이러한 요구를 충족합니다. 각 네트워크 요청이 위반이라고 가정하고 인증되지 않은 소스에서 시작된 것처럼 확인합니다. 랜섬웨어와 같은 사이버 공격이 점점 더 뻔뻔해지면서 우리는 더 이상 기업 보안 매개변수 뒤에 있는 모든 것이 안전하다고 가정할 여유가 없습니다.

오늘은 제로 트러스트 보안의 개념에 대해 자세히 알아보고 조직에서 이를 구현하는 방법에 대해 논의하겠습니다.

제로 트러스트가 필요한 이유는 무엇인가요?

오늘날 기업은 직원이 원격 장치 및 클라우드 소프트웨어에서 중요한 비즈니스 자산에 액세스할 수 있도록 합니다. 이러한 귀중한 회사 리소스에 대한 연결은 출처에 관계없이 보안이 유지되어야 합니다. 보안은 우리가 기술을 사용하는 방식에 따라 진화해야 하며, 우리가 한때 의존했던 기존의 정적 보안 매개변수로는 이제 충분하지 않습니다.

클라우드 애플리케이션, 원격 장치, IoT 장치 및 데이터 센터 간에 가치 있는 데이터를 지속적으로 교환해야 하는 조직이 늘어나고 있습니다. 이러한 모든 움직이는 부분은 사이버 범죄자의 삶을 훨씬 더 쉽게 만들고 보안 전문가의 삶을 더 어렵게 만듭니다.

사용 가능한 진입점이 다양하기 때문에 조직에서 침해 및 침입을 식별하는 데 몇 달 또는 몇 년이 걸릴 수 있습니다. 이 기간 동안 사이버 범죄자는 회사 자산에 막대한 피해를 입히면서 중요한 데이터를 훔칠 수 있습니다. 비즈니스의 보다 개방된 디지털 환경은 어디에서나 생산성을 높일 수 있지만 가시적인 경계 없이 회사 보안을 유지하려면 적절한 조치를 취해야 합니다.

제로 트러스트의 기본

NIST(National Institute of Standards and Technology)는 제로 트러스트 아키텍처에 대한 포괄적인 가이드를 제공하지만 여기서는 기본 사항을 설명하겠습니다. 기본적으로 제로 트러스트 아키텍처는 세 가지 기본 원칙을 기반으로 합니다.

• 명시적 확인 필요
• 최소 권한 액세스 사용
• 위반의 가정

모든 요청은 액세스 권한을 부여하기 전에 완전히 인증, 승인 및 암호화되어야 하며, 이 엄격한 신원 확인은 사용 가능한 모든 데이터 포인트를 기반으로 해야 합니다. 기본적으로 위치(조직의 보안 경계 내부 또는 외부)에 관계없이 워크로드 또는 사용자를 신뢰할 수 없습니다.

직원이 사무실에 있든 멀리 떨어진 열대 섬에 있든 상관 없이 강력한 정책은 제로 트러스트의 핵심입니다. 이를 통해 최대 생산성을 촉진하면서 모바일 인력을 보호할 수 있습니다. 효과적인 제로 트러스트 전략을 수립하려면 합법적인 비즈니스 목적에 따라 리소스 및 정보에 대한 액세스를 최소화해야 합니다.

따라서 조직은 다음을 구현하여 사용자 서비스 및 애플리케이션 액세스를 제한해야 합니다.

• JIT(Just-In-Time) 액세스 관리
• JEA(Just-Enough-Enough-Access/Administration)
• 위험 기반 적응형 정책
• 데이터 보호 제어

소프트웨어 개발 회사와 기술 회사는 개발 단계 초기에 제로 트러스트 접근 방식을 채택해야 합니다. 여기에는 보안을 왼쪽으로 이동하고 제로 트러스트를 확인하는 펌웨어와 같은 제품을 개발하는 것이 포함될 수 있습니다.

물론 이를 위해서는 기업이 새로운 유능한 직원을 고용하거나 현재 직원의 기술을 향상시켜야 합니다. 사이버 보안을 이해하는 숙련된 프리랜스 개발자에게 시간당 60~80달러를 지불할 것으로 예상할 수 있습니다. 또한 모든 직원에게 우수한 사이버 위생 및 제로 트러스트 철학에 대해 교육하여 변경 사항이 적용되는 이유를 이해할 수 있도록 하십시오.

제로 트러스트 이전:오래된 패러다임

제로 트러스트 아키텍처가 보안 환경을 어떻게 변화시켰는지 더 강조하기 위해 과거에 기업이 일반적으로 소프트웨어 서비스에 대한 원격 액세스를 어떻게 보호했는지 살펴보겠습니다.

기존 모델은 사내에서 호스팅되는 서비스 또는 회사가 완전히 제어할 수 있는 원격 서버로 구성됩니다. 종종 이러한 서비스에 대한 연결은 VPN(가상 사설망)을 통해 이루어지며 VPN은 DMZ(비무장 지대)에서 호스팅됩니다. 사용자는 VPN에 액세스하기 위해 일반적으로 사용자 이름과 암호 형식으로 자격 증명을 제공해야 합니다.

이는 웹사이트와 웹 서비스가 다중 솔루션을 통해 보호되는 다중 요소 인증(MFA)이 대중화되기 이전이었습니다. VPN은 확인 프로세스가 완료되면 사용자에게 IP 주소를 제공합니다. 이를 통해 사용자는 애플리케이션과 서비스가 호스팅되는 회사 내부 네트워크에 들어갈 수 있습니다.

대부분의 침해는 도난당하거나 취약한 암호로 인해 발생하므로 단일 요소 인증이 더 이상 실행 가능하지 않음이 분명했습니다. 또한 보안 관점에서 VPN의 가장 큰 문제 중 하나는 사용자에게 다른 내부 네트워크 자산에 대한 무제한 액세스를 제공하는 경우가 많다는 것입니다. 예를 들어, 사용자가 SSH 서버에 로그인하면 네트워크의 다른 위치로 피벗할 수 있습니다. 네트워크에 완화를 제공하거나 제어를 제한하는 다른 보안 조치가 없는 한 잠재적인 사이버 공격에 대한 위험한 벡터가 될 수 있습니다.

제로 트러스트가 패러다임을 바꾸는 방법

클라우드 우선 아키텍처의 가장 큰 단점 중 하나는 제로 트러스트 모델이 해결하는 제한된 가시성입니다. 제로 트러스트 원칙을 사용하여 이전 예를 업데이트하려면 먼저 기존 VPN을 역방향 프록시로 교체해야 합니다. 내부 네트워크에 대한 액세스를 중개하는 역할을 합니다.

또한 SSO(Single Sign-On) 게이트웨이도 추가할 예정입니다. 단일 서명 솔루션을 위한 가장 인기 있고 효과적인 프로토콜은 SAML(Security Assertion Markup Language)입니다. 사용자가 온프레미스 리소스에 액세스하려고 하면 브라우저나 로컬 애플리케이션을 사용하여 역방향 프록시에 연결해야 합니다. 역방향 프록시는 이들을 싱글 사인온 게이트웨이에 연결합니다. 그러면 Single Sign-On 게이트웨이가 회사에서 구성한 ID 소스(예:사내 디렉터리)와 통신하여 사용자 인증을 돕습니다.

리소스가 클라우드에 있는 경우 Single Sign-On 게이트웨이가 리소스에 직접 액세스 권한을 부여합니다. 인증은 회사가 통제하는 게이트웨이에서 이루어지기 때문에 회사는 어떤 정책이 진입에 적용되는지 결정하게 됩니다. 이를 통해 회사는 사내 서비스에 적용하는 것과 동일한 정책을 클라우드 기반 앱에 적용할 수 있습니다. 그러나 역방향 프록시가 온프레미스 리소스에 대한 연결을 처리하는 방식에는 약간의 차이가 있습니다.

일반적으로 프록시는 사용자를 Single Sign-On 게이트웨이에 연결하고 연결을 인증한 다음 다시 브로커로 보냅니다. 확인 시 프록시는 액세스 권한이 있는 각 개별 서비스 또는 애플리케이션으로 사용자를 터널링합니다.

하이브리드 클라우드를 실행하는 조직의 경우 전환이 원활하고 최종 사용자가 눈에 띄지 않습니다. 그들은 클라우드 서비스와 온프레미스 자산의 차이를 구분하지 못할 것입니다. 역방향 프록시와 싱글 사인온 게이트웨이가 둘 다에 대한 인증을 처리합니다.

역 프록시에서 터널링되지 않는 한 온프레미스 리소스는 연결을 허용하지 않습니다.

이러한 방식으로 제로 트러스트 접근 방식은 사용자가 리소스에서 리소스로 피벗하는 것을 제한합니다. 기본적으로 우리는 단순히 사용자와 기기를 확인하는 것이 아닙니다. 또한 액세스가 허용된 개별 네트워크 구성 요소를 확인하고 있습니다.

결론

조직은 개별 구성 요소가 다른 기능에 영향을 미치는 공격자에 의해 손상되지 않도록 시스템을 설계해야 합니다. 이는 합리적인 위험 가정 내에서 이루어져야 합니다.

또한 조직은 원격 측정, 분석 및 비즈니스 인텔리전스를 사용하여 가시성을 높이고 탐지 속도를 높여야 합니다. 그들은 모든 귀중한 자산을 식별하고 여러 검사 지점을 만들기 위해 마이크로세그먼트를 형성해야 합니다. 이렇게 하면 침입자가 자산 간에 피벗하는 것을 막을 수 있습니다. 이러한 도구를 사용하면 위협에 실시간으로 대응할 수 있습니다.

비즈니스의 제로 트러스트 준비 상태를 평가하거나 ID, 기기, 애플리케이션, 데이터, 인프라 및 네트워크 전반에 걸쳐 보호 기능을 개선하기 위한 계획을 수립할 때 "절대 신뢰하지 말고 항상 확인하십시오"가 채택해야 하는 만트라입니다.