제로 트러스트 보안이란 무엇입니까? 소개 가이드

오늘날 사이버 보안 환경에서 제로 트러스트는 능동적인 방어 전략으로 부상하고 있으며, 그 중요성이 점차 커지고 있습니다. 이는 늘어나는 보안 위협에 대응하기 위해 필요한 기술적 지원이 증가하고 있기 때문입니다.

사이버 보안의 핵심은 오랫동안 '신뢰'라는 개념에 기반을 두었습니다. 네트워크 인프라, 사용자, 장치, 엔드포인트, 심지어 협력 업체까지 '신뢰할 수 있는' 것으로 간주하는 것이 기본 원칙이었습니다.

이 접근 방식은 비즈니스, 데이터, 개인의 안전을 지키는 데 중요한 역할을 했지만, 기술이 고도로 발전하면서 사이버 공격자들이 이러한 신뢰 기반 접근 방식의 허점을 파고들어 악용하기 시작했습니다. 다음과 같은 이유 때문입니다.

• 기존의 보안 모델은 마치 성벽과 해자와 같이 건물 경계 내에서만 보안 검사를 수행하여 경계가 뚫리면 내부적으로 피해가 발생하기 쉽습니다.
• 네트워크 방화벽과 같은 구식 접근 제어 방식은 사용자와 애플리케이션, 서비스에 대한 가시성과 통제력이 부족합니다. 해커가 일단 네트워크에 침투하면 애플리케이션에 쉽게 접근할 수 있습니다.
• VPN은 데이터 통신을 보호하고 기밀을 유지하는 데 효과적이지만, 권한 부여 및 인증 절차는 여전히 완벽하지 않습니다.
• BYOD(Bring Your Own Device) 정책이나 원격 근무 환경에서는 적절한 보안 시스템이 마련되지 않으면 데이터 유출이 발생할 위험이 큽니다.

이러한 보안 문제에 직면하여 조직들은 보다 유연하고, 동적이며, 단순하면서도 높은 수준의 보안을 제공하는 시스템에 대한 필요성을 느끼게 되었습니다.

이러한 요구에 부응하는 모델이 바로 제로 트러스트 보안입니다.

이 글에서는 제로 트러스트 보안의 개념, 핵심 원칙, 구현 방법 및 그 중요성에 대해 자세히 알아보겠습니다.

함께 살펴보시죠!

제로 트러스트란 무엇인가?

제로 트러스트는 조직의 네트워크 내외부에 있는 모든 사용자가 네트워크, 데이터, 애플리케이션에 접근하기 전에 지속적으로 인증, 인가, 검증을 받아야 하는 고급 보안 접근 방식입니다. 사용자들은 자신의 신원과 보안 상태를 지속적으로 증명해야 합니다.

이 방식은 다단계 인증, 차세대 엔드포인트 보안, ID 및 액세스 관리(IAM)와 같은 첨단 기술을 활용하여 사용자 신원을 철저하게 확인하고 엄격한 보안을 유지합니다.

제로 트러스트는 사용자 신원을 강력하게 확인하는 것뿐만 아니라, 정교한 사이버 위협으로부터 사용자와 애플리케이션을 보호하는 역할도 합니다.

'제로 트러스트'라는 용어는 Forrester의 John Kindervag가 대중화했지만, 실제로는 1994년 4월 Stephen Paul Marsh가 컴퓨터 보안에 관한 스털링 대학교 논문에서 이 개념을 처음 제시했습니다.

제로 트러스트의 핵심 개념 자체는 사실 새로운 것이 아닙니다. Marsh의 연구에 따르면 신뢰는 제한적이며, 윤리, 도덕, 정의, 판단, 합법성과 같은 인간적 요소를 초월합니다. 그는 신뢰가 수학적 구조로 설명될 수 있다고 주장했습니다.

제로 트러스트는 조직이 회사 LAN에 연결되어 있거나 과거에 인증을 받은 사용자라 하더라도 기본적으로 모든 장치나 사용자를 신뢰해서는 안 된다는 원칙을 강조합니다. 제로 트러스트는 사용자 ID, 펌웨어 버전, 엔드포인트 하드웨어 유형, OS 버전, 취약점, 패치 수준, 사용자 로그인, 설치된 애플리케이션, 사고 감지 등과 같은 사용자 속성에 대한 실시간 가시성을 요구합니다.

이러한 강력한 보안 기능 덕분에 제로 트러스트가 더욱 널리 알려지면서 Google의 BeyondCorp 프로젝트와 같이 많은 조직에서 이 개념을 채택하기 시작했습니다.

제로 트러스트 도입을 촉진한 가장 큰 요인 중 하나는 엔드포인트, 온프레미스 장치, 네트워크, 데이터, 클라우드 앱 등 다양한 IT 인프라를 대상으로 하는 사이버 공격의 증가입니다. 더욱이, 코로나19 팬데믹으로 인해 재택근무가 확산되면서 온라인 공격이 더욱 증가했습니다.

이러한 상황에서 제로 트러스트와 같은 보안 전략은 실행 가능한 대안으로 여겨지고 있습니다.

시장 조사 보고서에 따르면, 제로 트러스트 보안의 글로벌 시장 규모는 2020년 196억 달러에서 2026년에는 516억 달러로 연평균 17.4% 성장할 것으로 예상됩니다.

제로 트러스트와 관련된 주요 용어로는 제로 트러스트 애플리케이션 액세스(ZTAA), 제로 트러스트 네트워크 액세스(ZTNA), 제로 트러스트 ID 보호(ZTIP) 등이 있습니다.

제로 트러스트의 핵심 원칙은 무엇인가?

제로 트러스트 보안은 조직의 네트워크를 보호하는 데 도움이 되는 다음과 같은 핵심 원칙을 기반으로 합니다.

최소 권한 접근 🔐

사용자에게는 업무 수행에 필요한 최소한의 접근 권한만 부여해야 한다는 것이 이 원칙의 핵심입니다. 이를 통해 사용자가 네트워크의 중요한 부분에 불필요하게 노출되는 것을 줄일 수 있습니다.

사용자 식별 ✔️

네트워크, 애플리케이션, 데이터 등에 접근하는 사용자를 정확히 파악해야 합니다. 모든 접근 요청 시마다 인증과 권한 부여를 확인하여 조직의 보안을 강화해야 합니다.

미세 분할 🍱

보안 경계를 더 작은 영역으로 나누는 것이 중요합니다. 이를 통해 네트워크의 각 부분에 대해 별도의 접근 권한을 부여할 수 있습니다. 이러한 영역 간에는 데이터를 지속적으로 관리하고 모니터링해야 하며, 과도한 권한을 제거하기 위해 세분화된 접근 제어를 제공해야 합니다.

첨단 예방 기술 활용 🛑

제로 트러스트는 온라인 침해를 방지하고 피해를 줄일 수 있는 고급 예방 기술을 채택할 것을 권장합니다. 다중 요소 인증(MFA)은 사용자 신원을 확인하고 네트워크 보안을 강화하는 대표적인 기술입니다. MFA는 사용자에게 보안 질문을 하거나, 문자/이메일 확인 메시지를 보내거나, 논리 기반 연습을 통해 사용자를 평가하는 방식으로 작동합니다. 네트워크에 통합하는 인증 포인트가 많을수록 조직의 보안이 더욱 강화됩니다.

실시간 장치 접근 모니터링 👁️

사용자 접근을 제어하는 것 외에도, 네트워크에 접근하려는 사용자와 관련하여 장치 접근을 실시간으로 모니터링하고 제어해야 합니다. 공격 가능성을 최소화하기 위해 이러한 모든 장치는 반드시 인증을 받아야 합니다.

제로 트러스트의 이점은 무엇인가?

제로 트러스트는 조직의 보안과 네트워크 복원력을 높이는 데 매우 효과적인 전략입니다. 이 전략은 비즈니스에 다양한 이점을 제공합니다.

외부 및 내부 위협 모두로부터 보호

제로 트러스트는 외부 위협을 차단하고 비즈니스를 보호하는 것은 물론, 유해한 내부 위협으로부터도 보호하기 위한 엄격한 정책을 제공합니다. 사실 내부 위협은 종종 더욱 심각하며, 신뢰를 악용하는 경우가 많습니다.

Verizon 보고서에 따르면, 모든 데이터 유출 사고의 약 30%가 내부자에 의해 발생한다고 합니다.

따라서 제로 트러스트는 "절대 신뢰하지 않고 항상 검증한다"라는 원칙을 강조합니다.

확장되고 명시적인 인증을 구현하고, 데이터, 장치, 서버 및 애플리케이션에 대한 모든 접근을 모니터링하고 확인함으로써 내부자가 자신의 권한을 남용하는 것을 방지할 수 있습니다.

데이터 보호

제로 트러스트는 악성 코드나 내부자가 네트워크의 더 큰 부분에 접근하는 것을 방지합니다. 접근 권한과 기간을 제한함으로써 공격을 줄일 수 있으며, 위반이 발생하더라도 그 영향을 최소화하여 더 큰 피해를 예방할 수 있습니다.

결과적으로 비즈니스 데이터가 해킹당하지 않도록 보호할 수 있습니다. 악성 코드가 방화벽을 뚫고 침입하더라도, 시간 제한이 설정된 상태에서 데이터의 특정 부분에만 접근할 수 있게 됩니다.

제로 트러스트는 귀하의 데이터뿐만 아니라 지적 재산과 고객의 데이터까지 보호합니다. 공격을 예방함으로써 기업의 평판을 유지하고 고객의 신뢰를 지킬 수 있으며, 재정적 손실도 줄일 수 있습니다.

네트워크 가시성 향상

제로 트러스트에서는 누구도 또는 어떤 것도 신뢰할 수 없으므로, 지속적으로 감시해야 할 활동과 리소스를 명확히 파악할 수 있습니다. 컴퓨팅 소스와 데이터를 포함하여 조직 전체에 걸쳐 집중적인 모니터링을 수행함으로써, 네트워크에 접근 권한을 가진 장치와 사용자에 대한 완벽한 가시성을 확보할 수 있습니다.

따라서 각 접근 요청과 관련된 애플리케이션, 사용자, 위치 및 시간을 완벽하게 파악할 수 있습니다. 비정상적인 동작이 발생하면 보안 인프라에서 즉시 경고를 보내고, 포괄적인 보안을 위해 발생하는 모든 활동을 실시간으로 추적합니다.

원격 인력 보호

원격 근무는 특히 코로나19 팬데믹 이후 많은 산업 분야에서 널리 받아들여지고 있습니다. 하지만 전 세계에서 근무하는 직원의 장치와 네트워크에 대한 취약한 보안 관행으로 인해 사이버 위험과 취약성이 증가했습니다. 클라우드에 저장된 데이터는 방화벽만으로는 보호하기 어려워졌습니다.

제로 트러스트를 활용하면 각 단계에서 사용자 식별과 검증이 이루어져 기존의 경계 보안 또는 성벽/해자 접근 방식을 대체합니다. 모든 장치, 사용자 및 애플리케이션의 ID는 네트워크에 연결되어 있어야 합니다.

이러한 방식으로 제로 트러스트는 직원이 어디에 있든, 데이터가 어디에 저장되어 있든 모든 직원에게 강력한 보호 기능을 제공합니다.

IT 관리 용이

제로 트러스트 보안은 지속적인 모니터링, 제어 및 분석에 의존합니다. 자동화를 활용하면 접근 요청을 평가하는 프로세스가 간소화됩니다. 모든 작업을 수동으로 처리하면 각 요청을 승인하는 데 많은 시간이 소요되어 업무 흐름이 느려지고 비즈니스 목표와 수익에 부정적인 영향을 미칠 수 있습니다.

특권 접근 관리(PAM)와 같은 자동화 도구를 활용하면 특정 보안 식별자를 기반으로 접근 요청을 자동으로 승인할 수 있습니다. 따라서 IT팀이 모든 요청을 승인하는 데 관여할 필요가 없으며, 인적 오류 발생 위험도 줄일 수 있습니다.

시스템에서 요청을 의심스러운 것으로 표시하면 관리자가 직접 처리하게 됩니다. 이러한 방식으로 자동화를 통해 직원들이 일상적인 작업 대신 혁신과 개선에 집중할 수 있도록 지원할 수 있습니다.

규정 준수 보장

제로 트러스트는 각 접근 요청을 먼저 평가한 다음 세부 정보를 기록하므로 규정 준수를 용이하게 합니다. 시스템은 각 요청의 시간, 애플리케이션, 위치를 추적하여 완벽한 감사 추적을 생성합니다. 이는 일련의 증거를 확보하는 데 도움이 됩니다.

결과적으로 규정 준수를 위한 증거를 유지하거나 생성하는 데 어려움을 겪지 않아도 되므로 거버넌스가 효율적이고 빨라집니다. 동시에 규정 준수 위험으로부터 멀리 떨어져 있을 수 있습니다.

제로 트러스트는 어떻게 구현해야 할까?

모든 조직은 고유한 요구 사항과 과제를 가지고 있지만, 특정 측면은 모든 조직에 공통적으로 적용됩니다. 따라서 비즈니스 또는 산업 유형에 관계없이 조직 전체에서 제로 트러스트를 구현할 수 있습니다.

조직에서 제로 트러스트 보안을 구현하는 방법은 다음과 같습니다.

민감한 데이터 식별

보유하고 있는 민감한 데이터의 종류와 데이터 흐름의 위치 및 방식을 파악하는 것은 최적의 보안 전략을 결정하는 데 매우 중요합니다.

또한 자산, 서비스 및 애플리케이션을 파악해야 합니다. 현재 사용하고 있는 인프라 도구 세트와 보안 허점으로 작용할 수 있는 격차를 조사해야 합니다.

• 가장 중요한 데이터와 자산이 손상되지 않도록 최상의 보안 수준을 제공해야 합니다.
• 데이터를 기밀, 내부, 공개로 분류하는 것도 효과적인 방법입니다. 마이크로 분할 또는 구역화를 통해 확장된 네트워크 환경에서 여러 영역에 대한 작은 데이터 조각을 생성할 수 있습니다.

데이터 흐름 매핑

네트워크에서 데이터가 흐르는 방식(트랜잭션 흐름을 포함)을 평가합니다. 이는 데이터 흐름을 최적화하고 마이크로 네트워크를 생성하는 데 도움이 됩니다. 데이터 흐름이 단방향인지, 양방향인지 등도 확인해야 합니다.

민감한 데이터의 위치와 접근 권한을 가진 사용자를 파악하고 더욱 엄격한 보안 정책을 시행해야 합니다.

제로 트러스트 마이크로 네트워크 구축

네트워크에서 민감한 데이터가 흐르는 방식에 대한 정보를 바탕으로 각 데이터 흐름에 대한 마이크로 네트워크를 구축해야 합니다. 각각의 마이크로 네트워크는 모든 사용 사례에 가장 적합한 보안 방식을 적용하여 설계해야 합니다.

이 단계에서는 다음과 같은 가상 및 물리적 보안 제어를 사용해야 합니다.

• 무단 이동을 방지하기 위해 마이크로 경계를 설정합니다. 위치, 사용자 그룹, 애플리케이션 등을 기준으로 조직을 분류할 수 있습니다.
• 2단계 인증(2FA) 또는 3단계 인증(3FA)과 같은 다단계 인증을 도입합니다. 이러한 보안 제어는 조직 내부 및 외부의 모든 사용자에게 추가적인 보안 계층 및 확인 절차를 제공합니다.
• 업무를 수행하고 역할을 다하는 데 필요한 사용자에게만 최소 권한 접근 권한을 부여합니다. 중요한 데이터가 저장되고 흐르는 방식을 기반으로 해야 합니다.

제로 트러스트 시스템을 지속적으로 모니터링

전체 네트워크 및 마이크로 경계 환경을 지속적으로 모니터링하여 모든 데이터, 트래픽 및 활동을 검사, 기록 및 분석해야 합니다. 이러한 세부 정보를 사용하여 악의적인 활동과 출처를 파악하고 보안을 강화할 수 있습니다.

이를 통해 보안이 유지되는 방식과 제로 트러스트가 네트워크에서 어떻게 작동하는지에 대한 전반적인 시각을 얻을 수 있습니다.

자동화 도구 및 오케스트레이션 시스템 활용

자동화 도구 및 오케스트레이션 시스템을 활용하여 프로세스를 자동화하고 제로 트러스트 구현의 효과를 극대화해야 합니다. 이를 통해 시간을 절약하고 조직적 결함 또는 인적 오류의 위험을 줄일 수 있습니다.

지금까지 제로 트러스트의 개념, 작동 방식, 구현 방법 및 이점에 대해 자세히 알아봤습니다. 이제 제로 트러스트 구현을 훨씬 쉽게 도와줄 수 있는 몇 가지 도구를 살펴보겠습니다.

주요 제로 트러스트 보안 솔루션

Akamai, Palo Alto, Cisco, Illumio, Okta, Unisys, Symantec, Appgate SDP 등과 같이 많은 공급업체들이 다양한 제로 트러스트 솔루션을 제공하고 있습니다.

제로 트러스트 네트워킹 솔루션 또는 소프트웨어는 제로 트러스트 모델을 구현하는 데 도움이 되는 ID 관리 및 네트워크 보안 솔루션입니다. 이러한 소프트웨어를 사용하면 사용자 행동과 함께 네트워크 활동을 지속적으로 모니터링하고 모든 요청을 인증할 수 있습니다.

사용자가 권한을 위반하려 하거나 비정상적으로 행동하면 시스템은 추가 인증을 요구합니다. 또한 소프트웨어는 트래픽 로그, 사용자 행동, 접근 포인트에서 데이터를 수집하여 상세한 분석을 제공합니다.

소프트웨어는 특히 네트워크 접근 제어를 위해 위험 기반 인증을 활용할 수 있습니다. 주요 제로 트러스트 네트워킹 소프트웨어는 다음과 같습니다.

• Okta: 클라우드를 활용하여 보다 강력한 보안 정책을 시행합니다. 이 소프트웨어는 4,000개 이상의 앱과 함께 조직의 기존 ID 시스템 및 디렉토리와 통합됩니다.
• Perimeter 81: 강력한 소프트웨어 정의 경계 아키텍처를 사용하여 네트워크 가시성을 높이고, 호환성을 강화하고, 원활한 온보딩을 지원하며, 256비트 은행 등급 암호화를 제공합니다.
• SecureAuth ID 관리: 사용자에게 유연하고 안전한 인증 경험을 제공하는 것으로 알려져 있으며, 모든 환경에서 작동합니다.

이 외에도 BetterCloud, Centrify Zero Trust Privilege, DuoSecurity, NetMotion 등 다양한 제로 트러스트 네트워킹 소프트웨어 솔루션이 있습니다.

제로 트러스트 구현의 어려움은 무엇인가?

제로 트러스트 구현에는 다음과 같은 어려움이 따를 수 있습니다.

• 레거시 시스템: 도구, 애플리케이션, 네트워크 리소스 및 프로토콜과 같은 레거시 시스템은 비즈니스 운영에 여전히 널리 사용됩니다. 이러한 시스템은 모두 신원 확인으로 보호하기 어렵고, 재설계에는 막대한 비용이 발생할 수 있습니다.
• 제한된 제어 및 가시성: 대부분의 조직은 네트워크와 사용자에 대한 포괄적인 가시성이 부족하거나, 어떤 이유로든 엄격한 프로토콜을 설정할 수 없는 경우가 많습니다.
• 규제: 규제 기관이 아직 제로 트러스트를 광범위하게 채택하지 않은 상태입니다. 따라서 조직은 규정 준수를 위해 보안 감사를 통과하는 데 어려움을 겪을 수 있습니다.

예를 들어, PCI-DSS는 중요한 데이터를 보호하기 위해 세분화 및 방화벽을 사용하도록 요구합니다. 하지만 제로 트러스트 모델에서는 방화벽을 사용하지 않으므로 규정 준수 위험이 발생할 수 있습니다. 따라서 제로 트러스트 보안을 채택하려면 관련 규정에 대한 상당한 수준의 개정이 필요합니다.

결론

제로 트러스트는 성장 단계에 있지만, 보안 업계에서 뜨거운 주제로 떠오르고 있습니다. 전 세계적으로 사이버 공격이 증가함에 따라 제로 트러스트와 같은 강력한 시스템이 더욱 필요해지고 있습니다.

제로 트러스트는 각 접근점에서 모든 장치와 사용자를 확인하여 데이터 및 트랜잭션에 대한 ID 및 접근 제어를 강화함으로써 더욱 강력한 보안 아키텍처를 제공합니다. 이는 인간과 프로그램, 내부 및 외부 네트워크를 포함한 모든 종류의 온라인 위협으로부터 조직을 보호할 수 있습니다.