제로 트러스트 아키텍처란?
제로 트러스트 아키텍처 접근 방식은 검증될 때까지 커넥션, 사용자 또는 자산을 신뢰하지 않습니다. 반대로 기존의 경계 보안 패러다임은 일단 인증되면 커넥션을 신뢰하고 전체 네트워크에 대한 액세스 권한을 부여하므로 기업 자산이 사이버 범죄자에게 잠재적으로 노출될 수 있습니다. 혁신적이고 많은 시간을 소요하는 제로 트러스트 프로젝트는 기존 아키텍처를 기반으로 재작업합니다.
제로 트러스트 아키텍처
제로 트러스트 아키텍처는 현재 인증이나 실용적인 표준이 없는 진화중인 컨셉입니다. 많은 기업이 ISO(International Organization for Standardization) 규정 준수와 같은 인증에 의존하고 있으며 제로 트러스트의 경우 잘 정의된 매개변수가 없으면 혼란을 야기합니다.
일부 공급업체는 제로 트러스트가 기존/신규 제품 및 서비스를 활용하지만 특정 제품 또는 서비스 세트에 상주하지 않는 접근 방식이라는 기본 전제를 무시하고, 제품 또는 서비스를 완전한 제로 트러스트 솔루션으로 분류하여 혼란을 일으키기도 합니다. 설상가상으로 많은 사람들이 핵심 속성이 없음에도 불구하고 ‘제로 트러스트 워싱’이라는 이러한 관행을 레거시 제품에 적용할 것입니다.
제로 트러스트 프레임워크
다양한 제로 트러스트 프레임워크 및 접근 방식을 사용할 수 있습니다. 제로 트러스트는 컨셉이지만 제로 트러스트 프레임워크의 기본 사항은 NIST(National Institute of Standards and Technology)와 Gartner, Forrester, IDC 및 ESG와 같은 시장 조사 기관에서 정의했습니다.
- NIST는 특별 간행물 제로 트러스트 아키텍처에서 미국 정부가 제로 트러스트 전략을 사용하는 방법에 대해 설명합니다. 50페이지 분량의 문서는 제로 트러스트 구현의 기본 사항을 정의하고 연방 정부 배포 시나리오와 사용 사례를 제공합니다. Gartner, Forrester, IDC, ESG 및 기타 분석 회사는 ‘제로 트러스트’라는 용어와 많은 정의, 접근 방식 및 프레임워크에 대해 NIST와 뜻을 같이 하지만 이들 회사는 동일한 컨셉에 용어가 서로 다릅니다.
- Gartner는 CASB(Cloud Access Security Broker), SWG(Secure Web Gateway) 및 VPN(Advanced Virtual Private Network)의 조합을 SACE(Secure Access Service Edge)라는 용어를 사용하는 반면 Forrester는 ZTE(Zero Trust Edge)라고 부릅니다.
시장조사 기관들은 지침과 함께 로드맵을 제공하기 시작하고 있으며, 기업들은 제로 트러스트 여정을 시작하기 위해 이러한 출처에서 유익한 정보를 찾을 수 있습니다.
제로 트러스트 기본 원칙
제로 트러스트는 각 기업이 비즈니스 및 보안 요구에 따라 구현하는 일련의 원칙에서 시작됩니다.
- 모든 데이터와 서비스를 리소스로 간주합니다. 즉, 다양한 종류의 장치 및 서비스가 오늘날의 네트워크를 구성합니다. 엔터프라이즈 리소스에 액세스하는 SaaS, 클라우드 서비스 및 개인용 장치와 같은 서비스가 제로 트러스트에 포함될 수 있는 후보입니다.
- 네트워크 위치나 ID를 신뢰하지 마십시오. 기존의 경계 보안은 사용자가 엔터프라이즈 리소스에 액세스할 수 있도록 단일 문으로 작동합니다. 인증이 완료되면 사용자는 기업 소유 자산에 광범위하게 액세스할 수 있습니다. 이러한 관행은 악의적인 행위자에게도 기회를 제공합니다. 액세스 권한을 얻으면 네트워크 전체에서 측면으로 이동할 수 있으며 이동하면서 멀웨어와 랜섬웨어를 설치할 수 있습니다.
- 한 세션에 대해서만 리소스에 대한 액세스 권한 부여 – 액세스 권한을 부여하기 전에 신뢰를 설정하고 작업을 완료할 수 있는 가장 낮은 수준의 권한을 부여하십시오.
- 동적 정책을 기반으로 액세스 결정 – 정책은 주제, 자산 또는 애플리케이션에 할당된 액세스 규칙 세트입니다. 비즈니스 요구 사항과 수용할 수 있는 위험의 정도에 따라 정책을 수립하십시오. 동적 정책에는 사용자, 장치 및 관찰된 사용 패턴과 같은 행동 속성의 지속적으로 모니터링 되는 위험 수준이 포함될 수 있습니다. 여기에는 네트워크 위치, 시간 및 활성 공격과 같은 환경 속성도 포함될 수 있습니다.
- 본질적으로 신뢰할 수 있는 자산은 없다고 가정합니다. 지속적인 모니터링 시스템을 사용하여 리소스 요청 중에 자산의 보안 상태를 평가합니다. 개인 장치도 포함하고 이러한 장치에 대한 액세스 수준을 선택합니다. 검증된 보안 서버가 취약점 공개나 오픈 소스 라이브러리 포함과 같은 작은 구성 요소의 변경을 통해 얼마나 빨리 활용될 수 있는지 알 수 있기 때문에 이는 보이는 것처럼 급진적이지 않습니다.
- 지속적으로 신뢰 확인 - 신뢰는 고정된 상태가 아닙니다. 사용자 또는 장치의 위험이 증가하면 연결을 종료하거나 계정을 재설정하여 즉시 조치를 취하십시오.
- 인증 및 권한 부여의 엄격한 시행 – 동적 원칙을 사용하여 통신 중에 지속적으로 위협을 검색, 평가, 조정 및 재평가합니다. 해당 리소스에 대한 MFA(다중 행위자 인증)를 포함하여 ID, 자격 증명 및 액세스 관리 시스템(ICAM)을 구축합니다. 기본 정책 재평가, 예기치 않은 활동 또는 새 리소스 요청 등이 있습니다.
- 가능한 한 많은 정보를 수집하십시오. 자산 보안 상태, 네트워크 트래픽 및 액세스 요청에 대한 정보는 매우 중요합니다. 이를 사용하여 보안 정책 및 시행을 개선하기 위한 인사이트를 얻으십시오.
제로 트러스트 모델 구성 요소
제로 트러스트 배포는 다양한 구성 요소로 구성됩니다. 일부는 사내 서비스일 수 있고 다른 일부는 클라우드 기반일 수 있습니다. 구현하는 모든 제로 트러스트 아키텍처는 시간이 지남에 따라 롤아웃됩니다. 이 기간 동안 이해 관계자에게 제로 트러스트가 시작과 끝이 명확하게 정의되지 않은 지속적인 노력임을 인지시켜야 합니다. IT 및 비즈니스 요구사항의 변화로 인해 진행이 중단될 경우 아키텍처를 지속적으로 재평가하여 제로 트러스트 접근 방식의 영향을 극대화할 수 있습니다.
전문가들은 만능 제로 트러스트 인프라는 없다고 강조합니다. 모든 기업, 모든 제로 트러스트 배포는 다를 것입니다. 또한, 제로 트러스트 인프라는 일반적으로 일련의 소규모 인프라 현대화 프로젝트에서 시간이 지남에 따라 구현됩니다. 이상적인 제로 트러스트 모델은 거의 존재하지 않습니다.
제로 트러스트 모델은 현재 이상적인 제로 트러스트 모델이라 하더라도 미래에도 이상적이지는 않을 수 있다는 것입니다.
NIST 문서의 예제 다이어그램, 18페이지. 제로 트러스트 모델 구성 요소.
- 정책 엔진(PE) – PE는 정책과 CDM 시스템 및 위협 인텔리전스 서비스의 입력을 기반으로 액세스 권한 부여 여부를 결정합니다.
- 정책 관리자(PA) – PA는 PE의 결정에 따라 통신을 생성하거나 종료합니다.
- PEP(정책 시행 지점) – PEP는 연결을 허용, 모니터링 및 종료합니다.
많은 데이터 소스가 정책 엔진이 액세스 결정을 내리는데 도움이 되는 입력을 제공합니다.
- 지속적인 진단 및 완화(CDM) 시스템 – CDM 시스템은 액세스를 요청하는 기업 또는 비기업 자산에 올바른 운영 체제(OS), 소프트웨어 구성 요소의 무결성 또는 알려진 취약점이 있는지 여부를 정책 엔진에 알립니다.
- 산업 규정 준수 시스템(ICM) – 대부분의 기업에는 준수해야 할 규정 준수 규정이 있습니다(예: 의료). ICM에는 정책 규칙 및 준수 모니터가 포함되어 있습니다.
- 위협 인텔리전스 피드 – – 새로운 취약성, 소프트웨어 결함 및 멀웨어에 대한 정보를 PE에 제공한 다음 액세스 거부 여부를 결정하는 내부 또는 외부 소스입니다.
- 네트워크 및 시스템 활동 로그 – 자산, 트래픽, 액세스 작업 및 기타 이벤트에 대한 실시간 피드백을 제공합니다. 이를 통해 최근 활동을 평가하고 관련 정책 결정을 내릴 수 있습니다.
- 데이터 액세스 정책 – 데이터 액세스 정책은 액세스 권한이 부여되는 방식을 정의하는 규칙입니다. 조직의 사명, 역할 및 요구 사항을 기반으로 합니다.
- 엔터프라이즈 PKI(공개 키 인프라) – 이 시스템은 리소스, 주체, 서비스 및 애플리케이션에 대한 인증서를 생성하고 기록합니다.
- ID 관리 시스템 – 이 시스템은 이름, 이메일 주소, 인증서를 포함한 사용자 정보를 생성, 저장 및 관리합니다. 이 시스템은 기업과 협업할 수 있는 기업이 아닌 직원의 사용자 정보를 관리합니다.
- SIEM(보안 정보 및 이벤트 관리) 시스템 – SIEM은 정책 생성에 기여할 수 있고 공격에 대해 경고할 수 있는 보안 정보를 수집합니다.
제로 트러스트 아키텍처 다이어그램
기타 중요한 성공 요인
다른 중요한 고려 사항에는 기존 아키텍처 내에서 오래되고 영향을 미치는 구성 요소의 우선 순위를 지정하는 것이 포함됩니다. 또 다른 핵심 요소는 초기 제로 트러스트 프로젝트에서 가장 간과되는 측면 중 하나인 가시성에 초점을 맞추는 것입니다. 제로 트러스트의 얼리어답터가 보편적으로 언급했듯이 보는 것만 믿을 수 있습니다.
마이크로 세분화는 실행 가능한 기술이지만 강력한 제로 트러스트 식별 구성 요소가 없으면 세분화에 대한 추가 투자로 제로 트러스트 수익이 감소합니다.