보안

세상에 믿을 사람은 하나도 없다는 "제로 트러스트", 보안의 새로운 사고 방식

Mary K. Pratt | CSO 2018.01.19
제로 트러스트 네트워크(Zero Trust Network), 또는 제로 트러스트 아키텍처(Zero Trust Architecture)라고도 알려진 보안 모델은 2010년 당시 포레스터 리서치의 수석 애널리스트로 재직 중이던 존 킨더박(John Kindervag)이 만든 모형이다.

그로부터 7년이 지난 현재, 제로 트러스트 모델을 지원하는 기술이 점차 주류가 되어감에 따라 이 모델을 도입하려는 CIO와 CISO들도 증가하고 있다. 이는 기업 데이터를 노린 공격이 갈수록 교묘해지고, 이로 인해 기업 데이터와 시스템을 안전하게 보호해야 한다는 압력이 증가하고 있다는 반증이기도 하다.

포레스터의 수석 애널리스트 체이스 커닝햄은 "하루에 20통 정도의 전화가 오는데, 이 가운데 17건 이상이 제로 트러스트 모델에 대한 것이다. 기업 규모를 막론하고, 또 CISO나 CIO, CEO 등 직책을 막론하고 많은 이가 문의하고 있다. 향후 3년 이내에 제로 트러스트는 사이버 보안계의 주류 프레임워크로 자리잡을 것이라 믿어 의심치 않는다"고 말했다.

제로 트러스트란 무엇인가
제로 트러스트 보안 모델은 기본적으로 '세상에 믿을 사람은 하나도 없다'는 태도를 의미한다. 즉, 기관 내, 외부를 막론하고 적절한 인증 절차 없이는 그 누구도 신뢰해서는 안 되며, 시스템에 접속하고자 하는 모든 것에 접속권한를 부여하기 전 신원 확인 과정을 거쳐야 한다는 것이다.

아카마이 테크놀로지(Akamai Technologies)의 기업 및 고급 프로젝트 그룹 CTO 찰리 제로는 "제로 트러스트 모델의 기본 전략은 누구도 근거없이 믿지 말라는 것이다. '신원이 파악되기 전까지는 네트워크에 대한 모든 접속을 차단할 것, 사용자가 누구인지 그리고 권한이 있는 인물인지가 확인되기 전까지는 IP 주소나 기기에 대한 그 어떤 접속도 허용하지 않을 것'이 기본 원칙이다"고 설명했다.

왜 제로 트러스트인가 
2017년 사이버시큐리티 벤처스(Cybersecurity Ventures)의 연간 사이버범죄 보고서에 따르면, 2021년까지 사이버 범죄로 인한 전 세계적인 피해액이 6조 달러에 달할 전망이며 이는 2015년 3조 달러 피해 규모의 두 배나 되는 수치다.

한편, 포네몬 인스티튜트(Ponemon Institute)가 주도하고 IBM이 지원한 2017년 데이터 유출 사고 연구에 따르면, 데이터 유출로 인한 전 세계적 평균 피해액은 362만 달러였다. 피해액은 지난해보다 줄어들었지만, 피해 규모는 2만 4,000건으로 2016년에 비해 1.8% 증가했다.

문제는 기업들이 사이버 보안에 더 많은 자원을 투자하고 있음에도 피해 규모가 줄어들 기미가 보이지 않는다는 것이다. 가트너에 따르면, 2017년 전 세계적으로 정보 보안 솔루션 및 서비스에 대한 지출액은 864억 달러로 2016년에 비해 7% 증가했다. 가트너 사는 올해 이 금액이 930억 달러로 증가할 것이라 예측했다.

이처럼 기존의 보안에 대한 접근이 큰 실효를 얻지 못하자 기업들은 새로운 방법을 물색하기 시작했다. 커닝햄은 "제로 트러스트 모델이 최선의 결과를 내 줄 새로운 솔루션으로 각광받게 된 데에는 이런 배경이 있다"고 말했다. 제로도 이에 동의했다. 제로는 "제로 트러스트 모델은 현존하는 최고의 데이터 유출 방지 모형이다"고 말했다.

새로운 세상을 위한 보안
제로 트러스트 모델은 기관을 중심으로 철옹성을 쌓아 놓고 바깥의 침입자만 경계하면서 철옹성 내부에 있는 것들에 대해서는 조금의 의심도 하지 않는 기존 정보 보안 모델의 허점을 찌르고 있다. 실제로 그 동안 많은 기업이 내부 인력에 대해서는 그 어떤 의심도 없이 접속권한을 허용하곤 했다.

그러나 보안 전문가들은 이런 방식은 문제점이 많다고 늘 지적해왔다. 악명 높은 데이터 유출 사건, 사고 가운데 상당수가 해커들이 기업 방화벽 내부 접속 권한을 획득한 후로는 내부 시스템 상에서 아무런 제지도 받지 않고 휘젓고 다닐 수 있었기에 발생했다는 것이다.

커닝햄은 "오늘날 IT 보안의 가장 큰 문제 가운데 하나는 내부적으로 지나치게 많은 이들에게 접속권한을 허용하고 있다는 것이다. 즉, 과한 신뢰가 문제다. 물론 이런 신뢰 덕분에 인터넷은 엄청난 호황을 맞이했다. 우리는 인터넷 상에서 아무에게나 정보를 공개한다. 그러나 바로 이런 지나친 신뢰가 보안에 있어서는 치명적인 약점이 된다. 적어도 보안 측면에 있어서는 과도한 신뢰가 독이다"고 지적했다.

새로운 모델의 등장, 단순히 외부의 악당이나 악성 공격 때문만은 아니다. 이제 기업들도 보안에 대한 새로운 사고를 가져야 한다고 전문가들은 경고했다. 왜냐하면 예전과 달리 외부와 완전히 차단된 철옹성을 유지하기가 쉽지 않아졌기 때문이다.

기업들은 이제 데이터센터를 통해 고립된 시스템 네트워크를 운영하는 게 아니라 일부 애플리케이션은 온 프레미스로, 일부는 클라우드 상에서 운영하며 직원, 파트너, 고객 등 여러 유저들이 자유롭게 다양한 기기, 다양한 위치에서 이에 접속할 수 있도록 하고 있다. 경우에 따라서는 전 세계 곳곳으로부터 접속이 이뤄지기도 한다.

IAM 솔루션업체 센트리파이(Centrify Corp.)의 SVP이자 최고 제품 관리자 빌 맨은 "이런 대규모 변화들로 인해 새로운 모형의 탄생은 불가피했다. 그리고 이제는 '이 새로운 모형이 어떻게 우리를 위협으로부터 보호해 줄 것인가?'라는 질문을 던지게 됐다"고 말했다. 맨은 "제로 트러스트 모델에서는 방화벽도 기관이 보호해야 할 자산과 같은 성격을 띈다"고 덧붙였다.

제로 트러스트 모델의 기술적 기반
제로 트러스트는 기업 IT 환경 보호라는 목표를 달성에 여러 가지 기존 기술과 관리 프로세스에 의존한다.

제로 트러스트 모델은 사용자의 위치 및 기타 데이터를 기반으로 미세 분할(micro-segmentation) 및 과립형 경계 시행(granular perimeter enforcement) 방식을 이용해 기업 시스템에 접속하려는 특정 사용자나 기기, 혹은 애플리케이션에 대한 신뢰 여부를 결정하도록 하고 있다.

맨은 "첫째로, 사용자가 누구인지를 파악해야 한다. 지금 시스템에 접근하려는 이가 (예컨대) 정말 빌이 맞는지, 빌이 어떤 엔드포인트를 통해 접속을 시도하고 있는지 파악하는 것이다. 이 엔드포인트가 안전한 엔드포인트인지, 보안 상태는 어떠한지 확인한다. 여기에 덧붙여 조건부로 접속권한을 허용할 수도 있는데, 특정인이 어떤 시스템에 접속하기 위해 일정한 조건을 만족하도록 요구하는 방식이다"고 설명했다.

이를 위해 제로 트러스트 모델은 다중 인증이나 IAM(Identity and Access Management), 오케스트레이션, 애널리틱스, 암호화, 스코어링 및 파일 시스템 인가 등의 기술에 의존한다. 또한 맡은 업무별로 필요한 최소한의 접속 권한만을 각 직원에게 허용하도록 운영 지침을 변경할 것을 조언한다.

커닝햄은 제로 트러스트 모델을 통해 기관들이 보안 전장에서 통제권을 되찾아오게 될 것이라고 말했다. "망 분리와 차세대 방화벽을 통해 누가, 언제, 무엇을, 어디서 어떻게 접속하려 하는가를 빠짐없이 파악하고 통제할 수 있게 된다. 즉 '내부에서 외부로' 네트워크 설계의 방향을 설정하는 것이다"고 설명했다.

오늘날 IT 대부분이 그러하듯, 제로 트러스트 역시 '단순한 기술이 아니라 프로세스이며 동시에 우리가 가져야 할 마인드셋"이라고 맨은 덧붙였다.

제로 트러스트 적용, 어디서부터 시작할까
이미 상당수 기업 IT 스토어에서는 제로 트러스트 모델을 적용하고 있다. 다중 인증, IAM, 그리고 접속 허가 제도 등을 시행하고 있기 때문이다. 또한 네트워크 환경 일각에서는 미세 망분리를 적용하는 기업도 늘고 있다.

그렇지만 제로 트러스트 모델이 지배하는 환경을 구축한다는 것은 단순히 이런 개별 기술을 도입하는 것에서 그치지 않는다. 이런 기술을 도구로 활용해 제로 트러스트 모델의 기반이 되는 '확인되기 전까지는 신뢰하지 않는다'는 원칙을 실천해야 한다고 커닝햄과 제로, 그리고 맨은 입을 모은다.

커닝햄은 "기업들은 전략적 판단 하에 이런 보안 접근이 도움이 된다는 것을 먼저 깨닫고, 제로 트러스트 모형을 도입하기 위해 필요한 솔루션을 구입하게 될 것"이라고 말했다. 또한 "가장 위험한 건 그저 겉으로 보이는 기술만 따라해 놓고 결과를 바라는 태도다. 기술 도입보다 선행되어야 하는 것은 제로 트러스트 모델의 기본 개념과 전략을 수용하는 것이고 이를 실현하는 과정에서 기술 도입이 수반되어야 한다"고 설명했다.

당연한 말이지만, 제로 트러스트 모델에 기반한 보안 환경 구축은 하루 아침에 이루어질 수 없는 일이다. 뿐만 아니라 새로운 모델로의 전환이 쉽지 않은 레거시 시스템이 기존에 자리잡고 있는 경우 더욱 쉽지 않을 것이다.

커닝햄은 "많은 기업이 클라우드로 이전하고 있다. 클라우드는 아직 개발되지 않은 하얀 백지같은 공간이다. 제로 트러스트 모델을 새롭게 시작하기에 완벽하다"고 말했다. 그는 특히 복잡한 IT 환경과 레거시 시스템을 보유 중인 대규모 기관일수록 제로 트러스트 모형 도입을 다층적, 다면적 과정으로 파악해야 한다고 말했다.

맨은 "제로 트러스트 모델 도입의 또 다른 과제는 바로 직원들이 새로운 방식으로 사고하도록 훈련시키는 것"이라고 말했다. "대부분 기관 IT 전문가들은 내부 환경에 있는 요소들을 신뢰하도록 교육받았다. 기본적인 사고 자체가 방화벽을 기준으로 밖에 있는 것은 나쁘고 위험한 것, 안에 있는 것은 안전한 것이라고 정립되어 있다. 그러나 이제는 내부의 적을 의심할 수 있도록 마인드셋을 바꿔야 한다."

또한 제로 트러스트 모델은 (여느 성공적인 IT 및 보안 프로토콜이 그러하듯) 지속적인 노력을 요구하며, 일부 부분에 있어서는 다른 프로토콜보다 더 많은 노력이 필요할 수도 있다.

제로는 미세 망분리와 관련된 작업을 예로 들었다. 미세 망분리 시 변경 사항을 올바르게 설정하고 변화하는 IP 데이터를 업데이트해 직원 및 기업 업무 처리에 필요한 접속이 방해받지 않도록 해야 한다. 그렇지 못할 경우 기관 업무 자체가 중단되는 사태가 일어날 수 있다.

제로는 "많은 기업이 '만약 악성코드에 감염되어 업무에 지장을 초래하는 상황에서 설정상의 실수까지 발생할 경우 업무가 수일간 마비되고, 그러면 악재가 두 개가 된다'고 생각한다"고 말했다. 또한 미세 망분리에 요구되는 지속적 작업으로 인해 네트워크 상에 "많은 흠집과 결점이 생겨나고 이로 인해 네트워크가 더 취약해 질 수 있다"고 덧붙였다.

딜로이트 리스크 및 재무 자문(Deloitte Risk and Financial Advisory)의 사이버 보안 서비스 담당자 키이랜 노튼은 "이처럼 기존 레거시 시스템 및 환경에 제로 트러스트 모델을 적용하는 것이 복잡하고 쉽지 않은 까닭에, 이 모델을 완전하게 도입에 성공한 기업들은 많지 않다"고 말했다.

따라서 노튼은 기관들에게 제로 트러스트 모델을 기존 시스템에 덧붙이는 형태가 아니라 새롭게 설계하는 형태로 접근하라고 조언했다. 다시 말해 전체적인 디지털 변혁 전략의 일환으로 제로 트러스트 모델을 수용하고, 제로 트러스트 모델을 실현시킬 적절한 기술을 도입함과 동시에 레거시 시스템에서 클라우드로의 이전을 진행해 나가야 한다는 것이다.

제로 트러스트 모델로의 이전에는 CISO, CIO를 비롯해 다양한 직무를 맡은 경영자들이 참여해 이전이 시급한 사안과, 조금 천천히 이전해도 괜찮은 사안을 결정할 필요가 있다고 노튼은 말했다.

노튼은 "내 생각에 (제로 트러스트 모델은) 인프라스트럭처의 변혁이다. 아직까지 정보 보안은 최근의 디지털 변혁 및 현대화된 환경보다 뒤쳐져 있다. 이제는 보안에 대한 접근도 변화하는 환경에 맞춰 달라져야 한다. 앞으로는 예측에 기반한 보안, 유비쿼터스 보안이 중요해질 것이므로 지금까지와는 전혀 다른 사고방식이 요구된다"고 덧붙였다. editor@itworld.co.kr  

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.