2021.10.07

'킨더버그가 말하는' 진정한 제로 트러스트 보안을 향한 5단계 구현 방안

Neal Weinberg | CSO
제로 트러스트(Zero Trust)는 오랫동안 사이버 공격에서 기업을 보호하기 위한 경계 보안 모델의 논리적 후속 모델이다. 경계 보안 모델은 그다지 기업을 보호하는 데 도움이 되지 않았으며, 직원들이 점점 더 모바일화되고 애플리케이션이 클라우드로 마이그레이션됨에 따라 점점 더 구식으로 밀려나고 있다. 
 
ⓒ Getty Images Bank

그러나 10여 년 전, 당시 포레스터 분석가였던 존 킨더버그가 제시한 제로 트러스트 모델의 채택은 변화에 대한 두려움과 경계 보안을 새로운 것으로 교체하는 것은 위험하고 복잡하며, 비용이 많이 들 것이라는 우려 때문에 더디게 진행되어 왔다. 

지난해, 코로나 19 팬데믹이 세상을 강타하고, 기업의 사무실이 비워지고, 수백만 명의 노동자들이 갑자기 재택근무를 하게 되면서 상황이 바뀌었다. IT 임원들은 원격 근무자가 애플리케이션을 좀 더 쉽게 접근할 수 있도록 서둘러 클라우드로 이동했다. 그런 다음 다중 인증(Multi-Factor Authentication, MFA), 접근 제어, SASE(Secure Access Service Edge)와 같은 제로 트러스트 아키텍처와 일치하는 방법론을 사용해 이런 에지 연결을 보호하려 했다. 

포레스터 분석가인 스티브 터너는 기업들이 실제로 제로 트러스트 여정을 시작했다고 말했다. 터너는 “많은 기업 고객이 다시 와서 ‘제로 트러스트로 가려고 하는 데, 할 수 있는 일은 무엇인가?’라고 말한다. 시장에는 제로 트러스트라고 광고하는 많은 솔루션이 있다. 기업은 이런 잡초를 제거하고 다음 단계는 무엇인지 이해하길 원한다”라고 말했다. 

제로 트러스트 여정을 시작하면서 비즈니스에 가치를 제공하는 5단계는 다음과 같다. 


1단계. 제로 트러스트의 진정한 의미를 파악한다 

제로 트러스트라는 용어와 관련된 혼란 가운데 일부는 ‘신뢰(trust)’라는 단어의 사용에서 비롯된다. 현재 매니지드 보안 서비스 제공업체 원투아이티(On2IT) 사이버보안 전략 수석 부회장인 존 킨더버그는 “제로 트러스트는 단순히 신뢰를 제거해야 한다는 아이디어에서 시작했다. 신뢰는 디지털 시스템에서 아무런 이유없이 주입된 인간의 감정이다. 제로 트러스트는 기업의 신뢰를 제거함으로써 데이터 유출을 방지하는 데 도움이 되는 전략적 이니셔티브다. '절대 신뢰하지 말고 항상 검증하라'는 원칙에 뿌리를 두고 있다”라고 설명했다. 
 
예를 들어, 기업의 모든 사람이 존(John)을 알고 있으며, 모두가 존을 좋아하고 신뢰한다. 패킷이 존에게 할당된 기기를 통해 네트워크로 들어오지만, 그것이 해커가 아닌 진짜 존이라는 것을 어떻게 알 수 있을까? 제로 트러스트 모델은 단순하게 존이라는 주장을 확인하고 검증해야 한다는 것이다. 기업은 존의 ID를 확인하고 존이 접근할 수 있는 자원이 무엇인지 제어하고 정책에서 어긋난 행동을 하지 못하도록 해야 한다. 그리고 존의 모든 활동을 모니터링하고 기록해야 한다. 

실제로 이는 비밀번호를 넘어 MFA로 이동할뿐만 아니라 기기 자체, 기기 위치 및 동작을 확인할 수 있는 방법을 채택하는 것을 의미한다. 


2단계. 보호할 사항을 식별한다 

제로 트러스트의 목적은 데이터 침해로 인한 재정적, 규제, 평판 문제로부터 비즈니스를 보호하는 것이다. 따라서 첫 번째 단계는 보호해야 할 사항을 파악하는 것이다. 

보호 대상이 고객 데이터, 직원 데이터, 재무 데이터, 지적 재산권, 비즈니스 프로세스 데이터, IoT 기기, 애플리케이션 데이터, 또는 DNS, 액티브 디렉토리와 같은 서비스일 수 있다. 킨더버그는 “비즈니스 결과에 집중하라. 비즈니스 요구사항을 파악하지 못한다면, 실패할 것이다”라고 충고했다.

일단 보호해야 할 데이터가 무엇인지 알고, 데이터가 어디에 있는지 파악한 후에는 제로 트러스트 원칙이 적용된다. 즉, 사용자가 알아야 하는 것에만 접근을 허용하고, 보호되는 데이터와 연관된 모든 트래픽을 검사하는 정책을 수립한다. 

민감한 데이터가 유출되지 않도록 보안 정책을 마련하는 것은 공격자가 명령 및 제어를 설정하는 것을 방지해 랜섬웨어 악용 등 여러 유형의 공격을 효과적으로 차단하기 때문에 매우 중요하다. 

액센츄어(Accenture) CISO 크리스 버크하트는 "지난 20년 동안 액센츄어는 제로 트러스트 여정을 추진하고 있다"라고 말했다. 이는 많은 애플리케이션을 클라우드에 배치해 이동성이 높은 인력이 좀 더 쉽게 접근할 수 있도록 한 의사 결정에서 시작됐다. 당시에는 비용이 많이 들었던 VPN을 배포하는 대신, 직원들이 간단한 브라우저를 통해 공용 인터넷에 연결할 수 있도록 허용했지만, 엔드포인트 보호, MFA, ID 및 접근 제어뿐만 아니라 마이크로세그멘테이션(Microsegmentation)을 구현했다. 

액센츄어는 별도의 모니터링, 권한 접근 관리(Privileged Access Management, PAM)를 포함해 심지어 2명이 특정한 행동을 하도록 요구하는 등 중요한 정보 시스템을 특별히 주의깊게 다루고 있다. 


3단계. 네트워크 내부를 설계한다  

경계 보안 모델은 모든 사람이 신뢰할 수 있는 내부(기업 본사)와 방화벽, 기타 보안 도구로 보호되는 신뢰할 수 없는 외부라는 개념을 기반으로 한다. 제로 트러스트 모델은 내부와 외부의 구별을 없애고 특정 목적으로 생성된 네트워크 세그먼트로 대체한다. 예를 들어, 킨더버그는 기업들이 신용카드 데이터와 같은 단일 데이터 스트림으로 시작할 것을 제안했다. 

버크하트는 “마이크로세그멘테이션이 과도하게 일을 처리하면 문제가 생길 수 있다고 하지만, 더 쉽게 사용할 수 있도록 만드는 방법들이 빠르게 발전하고 있다. 중요한 것은 명확한 마이크로세그멘테이션 전략을 갖추고 온프레미스와 클라우드 모두에서 올바르게 실행하는 것이다”라고 설명했다. 

기존의 세그멘테이션 접근법 가운데 일부는 데이터센터를 사무실 애플리케이션과 분리하며, 재해복구를 위한 마이크로세그먼트를 만들고, 인터넷 연결을 관리하는 DMZ 세그먼트를 만드는 것이다. 


4단계. 모든 트래픽을 기록한다

킨더버그는 제로 트러스트 아키텍처에서 모든 트래픽을 검사하고 기록하는 것이 중요한 요소라고 말했다. 실시간 트래픽 로그 분석은 사이버 공격을 식별하는 데 도움을 줄 수 있다. 수집된 풍부한 원격 측정 시스템이 시간이 지남에 따라 네트워크를 더 튼튼하게 만드는 피드백 루프를 만드는 데 도움을 준다. 

버크하트는 “액센츄어는 위협 사냥 쿼리를 포함해 공격을 나타내는 사전 정의된 조건, 또는 실수로 잘못된 조치를 취했는지 여부, 그리고 공격자가 있는 경우 탐지 등 다양한 트래픽 로그를 분석을 위해 스플렁크(Splunk)로 보낸다. 엔드포인트 로그를 분석하면 공격자가 취할 수 있는 모든 작업을 추적할 수 있으며, 사건 발생 이후 상황을 조사, 이해하는 데 도움이 된다"라고 덧붙였다. 


5단계. ‘천리길도 한걸음부터’ 장기적으로 전념하되, 먼저 첫 단계를 수행한다

제로 트러스트는 ‘지속적인 여정’이며, 테스트할 하나의 작은 시스템을 선택하고 모든 제어, 기록, 모니터링이 제대로 되어 있는지 확인한다. 무리해서 갈 이유가 없다. 작게 시작해 적절한 효과를 얻는다. 그런 다음 더 크게 실행한다. 

킨더버그는 “기업의 핵심을 보호하는 데 집중한다. 이후 보호 대상을 넓혀간다. 점진적으로, 그리고 비파괴적으로 말이다”라고 권고했다. 

액센츄어에서는 제로 트러스트라는 용어가 나오기 전부터 제로 트러스트 원칙에 따라 운영해 왔지만, 항상 해야 할 일이 많다. 버크하트는 “요즘의 초점은 클라우드다. 클라우드에서 애플리케이션 개발이 진행되고, 클라우드로 이동한 애플리케이션이 클라우드에 저장된 데이터보다 더 많은 데이터를 보유하고 있다. 때문에 제로 트러스트 원리를 적용하는 것을 목표로 한 클라우드 제공업체의 새로운 제품들을 잘 알고 있다”라고 말했다.  

버크하트가 다른 CISO에게 권고하는 것은 지난 몇 년 동안 보안 환경이 바뀌었다는 것을 이해하는 것이다. 국가 주도의 공격, 솔라윈즈(SolarWinds), 랜섬웨어(Ransomware)를 생각해보면, 현상 유지만으로는 더 이상 위험을 감소시키지 않는다. 

버크하트는 "세계가 변하고 있고, 이에 따라 변화해야 한다. 두려울 수도 있지만, 가장 좋은 방법은 변화를 받아들이는 것이다. 경계 모델이 수년 동안만 그 가치가 있으며 제로 트러스트 모델이 훨씬 더 유연하고 퍼블릭 클라우드에서 성공을 거둘 수 있는 유일한 방법임을 이해해야 한다"라고 경고했다. editor@itworld.co.kr


2021.10.07

'킨더버그가 말하는' 진정한 제로 트러스트 보안을 향한 5단계 구현 방안

Neal Weinberg | CSO
제로 트러스트(Zero Trust)는 오랫동안 사이버 공격에서 기업을 보호하기 위한 경계 보안 모델의 논리적 후속 모델이다. 경계 보안 모델은 그다지 기업을 보호하는 데 도움이 되지 않았으며, 직원들이 점점 더 모바일화되고 애플리케이션이 클라우드로 마이그레이션됨에 따라 점점 더 구식으로 밀려나고 있다. 
 
ⓒ Getty Images Bank

그러나 10여 년 전, 당시 포레스터 분석가였던 존 킨더버그가 제시한 제로 트러스트 모델의 채택은 변화에 대한 두려움과 경계 보안을 새로운 것으로 교체하는 것은 위험하고 복잡하며, 비용이 많이 들 것이라는 우려 때문에 더디게 진행되어 왔다. 

지난해, 코로나 19 팬데믹이 세상을 강타하고, 기업의 사무실이 비워지고, 수백만 명의 노동자들이 갑자기 재택근무를 하게 되면서 상황이 바뀌었다. IT 임원들은 원격 근무자가 애플리케이션을 좀 더 쉽게 접근할 수 있도록 서둘러 클라우드로 이동했다. 그런 다음 다중 인증(Multi-Factor Authentication, MFA), 접근 제어, SASE(Secure Access Service Edge)와 같은 제로 트러스트 아키텍처와 일치하는 방법론을 사용해 이런 에지 연결을 보호하려 했다. 

포레스터 분석가인 스티브 터너는 기업들이 실제로 제로 트러스트 여정을 시작했다고 말했다. 터너는 “많은 기업 고객이 다시 와서 ‘제로 트러스트로 가려고 하는 데, 할 수 있는 일은 무엇인가?’라고 말한다. 시장에는 제로 트러스트라고 광고하는 많은 솔루션이 있다. 기업은 이런 잡초를 제거하고 다음 단계는 무엇인지 이해하길 원한다”라고 말했다. 

제로 트러스트 여정을 시작하면서 비즈니스에 가치를 제공하는 5단계는 다음과 같다. 


1단계. 제로 트러스트의 진정한 의미를 파악한다 

제로 트러스트라는 용어와 관련된 혼란 가운데 일부는 ‘신뢰(trust)’라는 단어의 사용에서 비롯된다. 현재 매니지드 보안 서비스 제공업체 원투아이티(On2IT) 사이버보안 전략 수석 부회장인 존 킨더버그는 “제로 트러스트는 단순히 신뢰를 제거해야 한다는 아이디어에서 시작했다. 신뢰는 디지털 시스템에서 아무런 이유없이 주입된 인간의 감정이다. 제로 트러스트는 기업의 신뢰를 제거함으로써 데이터 유출을 방지하는 데 도움이 되는 전략적 이니셔티브다. '절대 신뢰하지 말고 항상 검증하라'는 원칙에 뿌리를 두고 있다”라고 설명했다. 
 
예를 들어, 기업의 모든 사람이 존(John)을 알고 있으며, 모두가 존을 좋아하고 신뢰한다. 패킷이 존에게 할당된 기기를 통해 네트워크로 들어오지만, 그것이 해커가 아닌 진짜 존이라는 것을 어떻게 알 수 있을까? 제로 트러스트 모델은 단순하게 존이라는 주장을 확인하고 검증해야 한다는 것이다. 기업은 존의 ID를 확인하고 존이 접근할 수 있는 자원이 무엇인지 제어하고 정책에서 어긋난 행동을 하지 못하도록 해야 한다. 그리고 존의 모든 활동을 모니터링하고 기록해야 한다. 

실제로 이는 비밀번호를 넘어 MFA로 이동할뿐만 아니라 기기 자체, 기기 위치 및 동작을 확인할 수 있는 방법을 채택하는 것을 의미한다. 


2단계. 보호할 사항을 식별한다 

제로 트러스트의 목적은 데이터 침해로 인한 재정적, 규제, 평판 문제로부터 비즈니스를 보호하는 것이다. 따라서 첫 번째 단계는 보호해야 할 사항을 파악하는 것이다. 

보호 대상이 고객 데이터, 직원 데이터, 재무 데이터, 지적 재산권, 비즈니스 프로세스 데이터, IoT 기기, 애플리케이션 데이터, 또는 DNS, 액티브 디렉토리와 같은 서비스일 수 있다. 킨더버그는 “비즈니스 결과에 집중하라. 비즈니스 요구사항을 파악하지 못한다면, 실패할 것이다”라고 충고했다.

일단 보호해야 할 데이터가 무엇인지 알고, 데이터가 어디에 있는지 파악한 후에는 제로 트러스트 원칙이 적용된다. 즉, 사용자가 알아야 하는 것에만 접근을 허용하고, 보호되는 데이터와 연관된 모든 트래픽을 검사하는 정책을 수립한다. 

민감한 데이터가 유출되지 않도록 보안 정책을 마련하는 것은 공격자가 명령 및 제어를 설정하는 것을 방지해 랜섬웨어 악용 등 여러 유형의 공격을 효과적으로 차단하기 때문에 매우 중요하다. 

액센츄어(Accenture) CISO 크리스 버크하트는 "지난 20년 동안 액센츄어는 제로 트러스트 여정을 추진하고 있다"라고 말했다. 이는 많은 애플리케이션을 클라우드에 배치해 이동성이 높은 인력이 좀 더 쉽게 접근할 수 있도록 한 의사 결정에서 시작됐다. 당시에는 비용이 많이 들었던 VPN을 배포하는 대신, 직원들이 간단한 브라우저를 통해 공용 인터넷에 연결할 수 있도록 허용했지만, 엔드포인트 보호, MFA, ID 및 접근 제어뿐만 아니라 마이크로세그멘테이션(Microsegmentation)을 구현했다. 

액센츄어는 별도의 모니터링, 권한 접근 관리(Privileged Access Management, PAM)를 포함해 심지어 2명이 특정한 행동을 하도록 요구하는 등 중요한 정보 시스템을 특별히 주의깊게 다루고 있다. 


3단계. 네트워크 내부를 설계한다  

경계 보안 모델은 모든 사람이 신뢰할 수 있는 내부(기업 본사)와 방화벽, 기타 보안 도구로 보호되는 신뢰할 수 없는 외부라는 개념을 기반으로 한다. 제로 트러스트 모델은 내부와 외부의 구별을 없애고 특정 목적으로 생성된 네트워크 세그먼트로 대체한다. 예를 들어, 킨더버그는 기업들이 신용카드 데이터와 같은 단일 데이터 스트림으로 시작할 것을 제안했다. 

버크하트는 “마이크로세그멘테이션이 과도하게 일을 처리하면 문제가 생길 수 있다고 하지만, 더 쉽게 사용할 수 있도록 만드는 방법들이 빠르게 발전하고 있다. 중요한 것은 명확한 마이크로세그멘테이션 전략을 갖추고 온프레미스와 클라우드 모두에서 올바르게 실행하는 것이다”라고 설명했다. 

기존의 세그멘테이션 접근법 가운데 일부는 데이터센터를 사무실 애플리케이션과 분리하며, 재해복구를 위한 마이크로세그먼트를 만들고, 인터넷 연결을 관리하는 DMZ 세그먼트를 만드는 것이다. 


4단계. 모든 트래픽을 기록한다

킨더버그는 제로 트러스트 아키텍처에서 모든 트래픽을 검사하고 기록하는 것이 중요한 요소라고 말했다. 실시간 트래픽 로그 분석은 사이버 공격을 식별하는 데 도움을 줄 수 있다. 수집된 풍부한 원격 측정 시스템이 시간이 지남에 따라 네트워크를 더 튼튼하게 만드는 피드백 루프를 만드는 데 도움을 준다. 

버크하트는 “액센츄어는 위협 사냥 쿼리를 포함해 공격을 나타내는 사전 정의된 조건, 또는 실수로 잘못된 조치를 취했는지 여부, 그리고 공격자가 있는 경우 탐지 등 다양한 트래픽 로그를 분석을 위해 스플렁크(Splunk)로 보낸다. 엔드포인트 로그를 분석하면 공격자가 취할 수 있는 모든 작업을 추적할 수 있으며, 사건 발생 이후 상황을 조사, 이해하는 데 도움이 된다"라고 덧붙였다. 


5단계. ‘천리길도 한걸음부터’ 장기적으로 전념하되, 먼저 첫 단계를 수행한다

제로 트러스트는 ‘지속적인 여정’이며, 테스트할 하나의 작은 시스템을 선택하고 모든 제어, 기록, 모니터링이 제대로 되어 있는지 확인한다. 무리해서 갈 이유가 없다. 작게 시작해 적절한 효과를 얻는다. 그런 다음 더 크게 실행한다. 

킨더버그는 “기업의 핵심을 보호하는 데 집중한다. 이후 보호 대상을 넓혀간다. 점진적으로, 그리고 비파괴적으로 말이다”라고 권고했다. 

액센츄어에서는 제로 트러스트라는 용어가 나오기 전부터 제로 트러스트 원칙에 따라 운영해 왔지만, 항상 해야 할 일이 많다. 버크하트는 “요즘의 초점은 클라우드다. 클라우드에서 애플리케이션 개발이 진행되고, 클라우드로 이동한 애플리케이션이 클라우드에 저장된 데이터보다 더 많은 데이터를 보유하고 있다. 때문에 제로 트러스트 원리를 적용하는 것을 목표로 한 클라우드 제공업체의 새로운 제품들을 잘 알고 있다”라고 말했다.  

버크하트가 다른 CISO에게 권고하는 것은 지난 몇 년 동안 보안 환경이 바뀌었다는 것을 이해하는 것이다. 국가 주도의 공격, 솔라윈즈(SolarWinds), 랜섬웨어(Ransomware)를 생각해보면, 현상 유지만으로는 더 이상 위험을 감소시키지 않는다. 

버크하트는 "세계가 변하고 있고, 이에 따라 변화해야 한다. 두려울 수도 있지만, 가장 좋은 방법은 변화를 받아들이는 것이다. 경계 모델이 수년 동안만 그 가치가 있으며 제로 트러스트 모델이 훨씬 더 유연하고 퍼블릭 클라우드에서 성공을 거둘 수 있는 유일한 방법임을 이해해야 한다"라고 경고했다. editor@itworld.co.kr


X