제로 트러스트 보안: 종합 가이드

"제로 트러스트는 네트워크가 손상되었다고 간주되는 상황에서 정보 시스템 및 서비스에서 정확한 최소 권한의 요청당 액세스 결정을 시행하는 데 있어 불확실성을 최소화하도록 설계된 개념과 아이디어 모음입니다." - NIST(National Institute of Standards and Technology)

사이버 위협이 없는 세상을 상상해 보십시오.

해커, 악의적인 내부자, 데이터 유출에 대해 전혀 걱정할 필요가 없는 것입니다. 애초에 보안 팀이 없을 수도 있습니다.

하지만 안타깝게도 우리가 사는 세상은 완벽하지 않으며 민감한 데이터도 마찬가지입니다. 실제로는 수많은 위협 벡터가 있고 공격 표면은 확장되고 있으며 다음 데이터 침해가 발생하기 직전입니다.

반가운 사실은 보안 액세스가 허상이 아니라는 것입니다. 제로 트러스트 프레임워크를 사용하면 기업 자산을 안전하게 보호하고 급변하는 오늘날 비즈니스 환경에 발생하는 장애물을 완화할 수 있습니다.

제로 트러스트의 중요성, 제로 트러스트가 기업 보안에 어떤 이점을 주는지, 제로 트러스트 아키텍처로 성공적으로 전환하기 위해 조직이 할 수 있는 일에 대해 자세히 알아보십시오.

전임 Forrester 분석가인 John Kindervag는 2010년에 제로 트러스트 보안 개념을 개발했습니다. 그는 그 개념을 모든 연결, 장치 및 사용자가 잠재적인 위협 요소이며 그렇게 취급해야 한다고 가정하는 프레임워크라고 정의했습니다.

대부분의 다른 사이버 보안 전략과 달리 암묵적인 신뢰를 배제하고 조직 내외부의 모든 사용자가 네트워크 액세스 권한을 부여받기 전에 지속적으로 인증을 받아야 합니다. 간단히 말해 제로 트러스트는 역할이나 책임에 관계없이 본질적으로 아무도 안전하지 않다고 가정하는 보안 정책입니다.

또한 제로 트러스트 모델은 네트워크 엣지에 대한 가정을 거부합니다. 오늘날의 포스트 경계 환경에서 네트워크는 기존의 경계를 훨씬 벗어나며 로컬, 클라우드 또는 이 둘의 조합에 존재할 수 있습니다. 또한 원격 액세스가 증가함에 따라 리소스의 위치를 거의 알 수 없습니다.

이에 제로 트러스트 접근 방식은 현대의 데이터 보안 문제를 해결하도록 특별히 고안되어 언제 어디서나 중요한 자산에 안전하게 액세스할 수 있도록 보장합니다. 일반적으로 제로 트러스트 네트워크는 다음을 수행합니다.

• 모든 트래픽을 기록하고 검사하여 의심스러운 활동과 잠재적인 위협 벡터를 식별
• 사용자 액세스를 제한하고 제어하며 사용자 ID가 확인된 후에만 요청을 승인
• 회사 자산을 확인하고 보호하여 무단 액세스 및 노출을 방지

제로 트러스트가 중요한 이유

기업은 안팎으로 전례 없는 규모의 사이버 위협에 직면했습니다. 사이버 범죄자는 활동에 박차를 가하며 민감한 데이터를 맹렬히 노리고 있습니다.

실제로 2021년 말까지 매주 조직당 900건이 넘는 공격이 발생했습니다. 더 심각한 사실은 해커가 2022년에 들어서 전년 대비 50% 더 자주 기업 네트워크를 공격했다는 점입니다.

당연하게도 사이버 범죄자는 조금도 수그러들지 않고 있습니다. PwC 데이터에 따르면 경영진의 2/3가 가까운 미래에 다가올 가장 심각한 위협을 사이버 범죄로 여기고 있습니다. 절반에 가까운 45%는 앞으로 랜섬웨어 공격이 더 증가할 것이라고 예상했습니다.

여기에 최근 몇 년 동안 조직에서 원격 및 하이브리드 근무 정책을 빠르게 채택하며 상황은 더욱 복잡해졌습니다. 이로 인해 기업 네트워크에 연결되는 관리되지 않는 개인 장치가 기하급수적으로 증가하여 기업의 공격 표면이 확대되었습니다.

이러한 엔드포인트에서 보관되고 액세스되는 민감한 데이터를 보호하거나 모니터링할 수 있는 역량이 없다면 조직은 그 어느 때보다도 크게 데이터 유출의 위험을 떠안게 됩니다. 이는 허술한 위협 보안의 대가가 엄청나다는 점을 고려할 때 특히 중요합니다. IBM 보고서에 따르면 단일 데이터 침해로 발생하는 평균 비용은 450만 달러로 나타났습니다. 그러나 제로 트러스트 보안 모델을 구현하면 사고당 100만 달러를 넘게 절약할 수 있습니다.

기업은 디지털 혁신과 관련된 위험도 고려해야 합니다. 오프프레미스 클라우드 기반 애플리케이션에 대한 의존도가 높아짐에 따라 기업은 액세스를 제어하고 보안 정책을 시행하기 위한 새롭고 정교한 전략을 구현해야 합니다.

제로 트러스트가 기존 사이버 보안과 다른 점은 무엇인가요?

기존의 전략은 ‘신뢰하되 검증’하며 접근하는 방식을 취합니다. 즉 기업 방화벽 뒤에 있는 모든 것이 본질적으로 안전하고 보호받는다고 가정합니다.

제로 트러스트 보안은 이름에서 알 수 있듯이 기존 전략과는 정반대입니다. ‘절대 신뢰하지 않고 항상 검증’이라는 관점으로 액세스 정책의 틀을 잡습니다. 제로 트러스트 환경에서는 요청이 발생한 위치나 사용하려는 리소스에 관계없이 네트워크 액세스를 허용하기 전에 완벽하게 인증하고, 권한을 부여하며, 암호화합니다. 그 이후에는 절대 허용하지 않습니다.

따라서 기업 리소스에 기본적으로 액세스할 수 없습니다. 직원은 다양한 상황적 요인에 의해 결정되는 올바른 환경에서만 리소스를 사용할 수 있습니다. 여기에는 사용자 ID, 조직에서의 역할, 요청된 리소스의 민감도, 사용 중인 장치 등이 해당됩니다.

NIST(National Institute of Standards and Technology)가 특별 간행물 800-207에서 기술한 바와 같이 제로 트러스트 접근 방식은 몇 가지 핵심 철학을 기반으로 합니다. 기본적으로 이 고유한 보안 정책에는 3가지 제로 트러스트 원칙이 있습니다.

• 지속적인 인증: 허용 가능한 위험 수준에 기반하여 보안 액세스 권한을 부여하는 수단을 의미합니다. 제로 트러스트 접근 방식에 따라 ID, 위치, 장치, 서비스, 워크로드, 데이터 분류 등을 기준으로 사용자에게 권한을 부여해야 합니다. 이러한 상황 분석이 완료되면 사용자는 액세스가 허용되거나, 다른 인증 요청을 통해 추가 정보를 제공하거나, 위험이 매우 높은 경우 액세스가 차단됩니다.
• 피해 반경 제한: 조직은 항상 데이터 침해를 가정해야 합니다. 즉 지속적으로 네트워크를 세분화하여 종단 간 트래픽을 확인하고 사용자 활동에 대한 가시성을 극대화해야 합니다. 이를 통해 위협 탐지를 촉진하고 이상 징후를 발견하며 항상 방어를 강화할 수 있습니다.
• 최소 권한 액세스: 사용자 액세스는 JIT(Just-in-Time) 및 JEA(Just-Enough-Access) 제어 정책에 따라 제한되어야 합니다. 즉, 사용자는 업무를 수행하고 중요한 작업을 완료하는 데 필요한 리소스를 사용할 수 있는 권한만 있어야 합니다.

제로 트러스트 성숙도 모델의 5가지 핵심 요소

2021년 CISA(Cybersecurity & Infrastructure Security Agency)는 제로 트러스트를 구현하기 위한 로드맵을 만들었습니다. 이 문서는 제로 트러스트 성숙도 모델이라고도 하며 조직이 5가지 핵심 요소에 따라 제로 트러스트 원칙을 가장 잘 적용할 수 있는 방법을 설명합니다.

• ID: 이 영역은 네트워크 액세스를 허용하기 전에 사용자와 장치를 확인하고 권한을 부여하는 데 중점을 둡니다. 여기에는 IAM(ID 및 액세스 관리) 솔루션 또는 MFA(다중 인증) 구현이 해당됩니다.
• 장치: 기업 네트워크에 연결된 모든 IoT 및 기타 장치는 민감한 데이터를 유출하는 데 악용될 수 있습니다. 이 핵심 요소에는 모든 연결의 인벤토리를 생성하고 무결성을 모니터링하여 위협을 빠르게 탐지하는 것이 포함됩니다.
• 네트워크: 제로 트러스트 네트워크는 위치나 리소스에 관계없이 모든 트래픽을 보호하고 자체적으로 분할하여 측면 이동을 제한합니다.
• 애플리케이션 및 워크로드: 이 핵심 요소에는 애플리케이션 수준의 액세스 정책과 기타 메커니즘을 통해 온프레미스 및 클라우드 기반 워크로드를 보호하는 것이 포함됩니다.
• 데이터: 미사용, 사용 중 또는 이동 중인 모든 데이터는 무단 공개되지 않도록 암호화되고 모니터링되며 보호됩니다.

일회성 제로 트러스트 솔루션은 없다는 점을 유념하십시오. 더 정확하게 설명하자면 기업에는 다양한 계층의 도구와 기술이 필요합니다. 이러한 기능을 함께 사용하면 제로 트러스트 아키텍처(ZTA)가 형성됩니다.

높은 수준에서 이러한 기술에는 다음이 포함됩니다.

• 행동 기반 생체 인식
• 위험 기반의 적응형 인증
• 마이크로세분화
• 상황 인식
• SSO(싱글 사인 온)
• 비밀번호가 없는 로그인

제로 트러스트는 아직 초기 단계에 있지만 많은 조직이 이 원칙에 가장 먼저 뛰어들 준비를 하고 있습니다. 실제로 CISO의 36%는 이미 제로 트러스트를 구현하기 시작했으며 25%는 가까운 장래에 구현할 계획이라고 답했습니다. 또한 Gartner가 예측한 바에 따르면 2026년까지 대기업의 최소 10%가 성숙하고 측정 가능한 제로 트러스트 아키텍처를 갖출 것이라고 합니다.

제로 트러스트의 이점을 떠올리면 그 이유를 알 수 있습니다. 강력한 제로 트러스트 보안 정책의 이점은 다음과 같습니다.

• 암묵적인 신뢰를 최소화하고 기존 네트워크 보안을 뛰어넘어 조직의 위험을 경감
• 민감한 데이터를 보호하고 위협 벡터를 완화하여 규정 준수를 지원
• 애플리케이션 수준 액세스 제어로 다중/하이브리드 클라우드 배포를 보호
• VPN을 교체 또는 보강하여 원격 액세스 및 암호화를 강화
• 공격 표면이 잘 방어되고 있다는 확신을 통해 직원을 신속하게 온보딩하고 비즈니스를 확장

일반적으로 구현 프로세스는 다음과 같은 몇 가지 기본 단계로 나눌 수 있습니다.

1. 보호 표면 식별: 즉 해커가 목표로 삼을 수 있는 엔드포인트, 사용자, 애플리케이션, 서버 및 데이터 센터를 포함한 모든 중요 자산을 평가합니다.
2. 트래픽 흐름 매핑: 이 과정을 통해 네트워크 트랜잭션을 검사하고 확인하여 적합한 사용자와 애플리케이션만 올바른 자산에 액세스하도록 보장할 수 있습니다.
3. IAM 포트폴리오에 투자: 사용자 ID는 이제 데이터 보안의 최전선에 있습니다. 따라서 ID 및 액세스 관리 기술은 자격 증명이 악의적인 사람의 손에 들어가지 않도록 하는 데 핵심적입니다.
4. 모니터링, 유지 관리, 개선: 환경을 지속적으로 모니터링하면 위험 감지를 줄일 수 있고 선제적으로 취약점을 발견하여 실시간으로 완화할 수 있습니다.

제로 트러스트 여정을 시작하려는 조직은 먼저 일련의 장애물을 극복해야 합니다. 다양한 정책, 절차, 기술이 필요하므로 이 과정은 수년간 노력해야 하는 경우가 많습니다.

또한 레거시 시스템에서는 많은 이전 도구가 호환되지 않거나 일부 제로 트러스트 원칙을 지원할 수 없기 때문에 또 다른 중대한 문제를 안고 있습니다. 기존 보안 제어를 교체하고 기술을 현대화하는 것은 비용이 많이 드는 과정일 수 있으며 재정적 제약으로 인해 추가적인 장벽이 생길 수 있습니다.

이러한 요인을 감안한다면 단계별 접근 방식이 가장 적합합니다. 단계적으로 프레임워크를 채택하면 새로운 도구를 도입하거나 기존 시스템을 정비해야 할 수 있는 부담을 줄일 수 있습니다.

제로 트러스트를 구현하는 방법에 대한 자세한 내용은 이 가이드를 참조하십시오.

Entrust는 제로 트러스트가 기업 사이버 보안의 새로운 발전 단계임을 알고 있습니다. 이것이 Entrust가 제로 트러스트 아키텍처의 기반을 마련할 수 있는 IAM 솔루션 포트폴리오를 개발한 이유입니다.

총체적으로 Entrust의 솔루션은 다음 세 가지 중요한 구성 요소에 걸쳐 기본을 지키고 사용자를 보호하도록 고안되었습니다.

• 피싱 방지 ID: 도난 및 유출된 자격 증명은 데이터가 침해되는 가장 일반적인 두 가지 근본 원인입니다. Entrust는 MFA, 패스워드리스 보안, 적응형 제어 정책, 생체 인식 및 기타 도구를 결합하여 ID 기반 공격의 위험을 완화합니다.
• 연결 보호: 데이터는 공용 및 사설 네트워크, 관리되지 않는 엔드포인트, 액세스 권한이 없는 사용자의 수중에서 계속 이동됩니다. Entrust는 디지털 인증서로 이러한 연결을 보호하여 적합한 사람만 올바른 정보에 액세스할 수 있도록 합니다. 과하지도 모자르지도 않습니다.
• 데이터 보호: Entrust의 포트폴리오는 분산형 키 인프라를 유지하면서 미사용, 사용 중, 이동 중인 데이터를 암호화합니다. 이를 통해 기밀성, 무결성 및 보안 액세스를 보장하는 동시에 엄격한 규정 준수 요구 사항도 충족할 수 있습니다.

Entrust는 단순한 공급자가 아니라 매 순간 동행하는 파트너입니다.