기고 | 제로 트러스트 구현 조언 5가지

사이버 보안 기술, 인프라, 서비스에 대한 지출이 매년 늘고 있지만 공격자들의 활동 또한 늘어만 간다. 주된 이유는 2가지다. 하나는 인간 오류이다. 안타깝게도 많은 사용자들이 여전히 보안을 진지하게 여기지 않고 있다. 그들은 부적절한 웹 사이트를 방문하고 부적절한 것을 클릭하며 부적절한 곳에 신원 정보를 입력하고 있다. 그 결과, 그들의 시스템, 신원, 자격 증명이 해킹되어 공격자들이 정문으로 편안하게 들어올 수 있다.

또 다른 하나는 애플리케이션에 대한 공격이다. 공격자들은 인터넷향 앱을 추적하고 코드의 오류와 취약성을 이용하고 있다. 왜냐하면 많은 서드파티 애플리케이션이 신뢰를 받기에 조직들의 관련 트래픽을 검사하지 않기 때문이다. 최근의 무브잇(MOVEit) 해킹 공격이 좋은 사례다. 취약성을 악용한 이 공격은 1,000개 이상의 조직의 환경을 해킹하여 6천만 명 이상의 기록을 훔친 바 있다.

해자를 두는 접근방식은 무용지물이다
점차 많은 직원들이 기업 경계 밖에서 일하고 클라우드에 있는 데이터와 SaaS(Software-as-a-Service) 애플리케이션에 액세스함에 따라 전통적인 해자 구축 모델은 더 이상 적절하지 못하다. 해킹에 유출된 거의 모든 조직에는 방화벽이 있었다. 방화벽 또한 그리 유용하지 않다는 의미다.

위협 활동자들은 현재 트래픽 암호화를 이용해 443 포트 등의 정당한 채널을 이용해 방화벽을 통과하고 있다. 트래픽 복호화를 항상 실현하기란 어렵다. 기존 방화벽은 일반적으로 엄청난 양의 유입되는 클라우드 컴퓨팅 트래픽을 검사할 용량 또는 성능이 부족하다. 이런 이유 때문에 많은 전문가들이 제로 트러스트(Zero Trust)를 해결책으로 보고 있다.

제로 트러스트 구현 권고사항 및 모범 사례
물리 세계에서 공격자가 건물에 들어와 회사가 발행한 유효한 ID를 제시하는 경우 그들은 건물에 접근할 수 있다. 그들은 아무 부서나 방문하고 아무 방이나 들여다보며 건물의 모든 영역에 접근하고 떠날 수 있다.

제로 트러스트는 그 어떤 사용자, 애플리케이션, 장치도 절대적으로 신뢰해서는 안 된다는 원칙에 입각하고 있다. 즉, 공격자가 건물에 들어오면 정문뿐 아니라 그들이 방문하는 모든 방과 부서에서 그들의 ID를 검증한다. 미 정부는 현재 모든 정부기관과 계약자들이 제로 트러스트 기술과 프레임워크를 도입하도록 의무화하고 있다.

조사에 따르면 기업 중 90%가 제로 트러스트를 도입하고 있지만 대부분은 제대로 실현하는 데 문제를 겪고 있다. 왜냐하면 제로 트러스트가 혼란스러움에도 불구하고 보안 제공업체들은 이 기술을 완성된 형태로 구매할 수 있는 것처럼 홍보했기 때문이다. 사실, 제로 트러스트는 아키텍처(프레임워크)에 가까우며 특효약은 없다. 제로 트러스트의 핵심은 폭발 반경을 최소화하거나 제한하는 것이다. 아래는 제로 트러스트 구현 시 기억할 권고사항이다.

1. 현대적인 접근방식을 사용하여 제로 트러스트를 새롭게 시작하라
블록버스터(Blockbuster) 기업들은 넷플릭스(Netflix)보다 앞서기 위해 다수의 DVD 플레이어를 클라우드에 연결했다. 하지만 효과가 없었고 블록버스터 상당수가 파산했다. 기본적으로 그들은 아키텍처를 잘못 선택했다. 마찬가지로, 제로 트러스트의 경우 기술 부채를 고려하고 보안을 처음부터 구성하는 것이 중요하다. 조직들이 단순히 보안 계층을 추가한다면 더 큰 손해를 끼치고 더 많은 구멍이 생기며 보안 관리의 복잡성이 커질 것이다.

2. 보안 클라우드를 사용하여 공격 표면을 감소시키라
항상 기억해야 할 현실이 있다. 접근이 가능한다면 해킹이 가능하다. 따라서 애플리케이션이 인터넷에 노출되는 경우 공격자들이 해킹할 가능성이 높다. 따라서, 이 공격 벡터를 방지하기 위해 애플리케이션과 서버는 항상 보안 클라우드 뒤에 배치되어야 한다. 

현재, 공격자가 문을 두드리면 문이 아닌 스위치보드가 대답해야 한다. 스위치보드는 이렇게 말한다. “어디로 가려고 하는가? 내가 연결해주겠다. 해당 애플리케이션에 직접 연결시켜 주지는 않을 것이다.” 이것은 제로 트러스트 아키텍처의 중요한 요소이다.

3. 횡적 이동을 방지하기 위해 영역분할을 이용하라
네트워크 영역분할이 새로운 것은 아니지만 제로 트러스트는 세부적인 영역분할을 촉구한다. 즉, 조직은 네트워크, 작업 부하, 애플리케이션을 세부적인 수준으로 분할하거나 나누어야 한다. 적이 환경에 침투하는 경우 세부적인 영역분할은 횡방향 이동을 제한하는 데 도움이 되며 위협을 억제하고 맬웨어가 환경 전체로 확산되지 못하도록 제한한다.

4. 세분화된 사용자 액세스를 배치하라
인간 오류는 불가피하다. 그래서 대부분의 클라우드 해킹과 랜섬웨어 공격이 발생한다. 공격자들이 권한이 있는 사용자 계정에 접근하게 되면 이를 이용해 민감한 정보를 훔치거나 시스템을 오프라인화 하거나 가로채거나 네트워크 전반에 걸쳐 횡방향으로 이동하여 다른 시스템을 해킹할 수 있다. 제로 트러스트 세계에서 사용자들은 허용된 것에만 접근할 수 있다.

단지 ID만 확인하는 것이 아니다. 반드시 몇 개의 맥락 파라미터(액세스 시간, 요청이 발생한 위치, 장치 유형 등)를 검토해야 한다. 이를 위해 조직은 최소 권한 원칙을 이행하고 세부적인 권한을 적용하며 ID뿐 아니라 맥락을 고려하는 인증 메커니즘을 배치해야 한다.

5. 항상 사용자 경험을 고려하라
제로 트러스트 프로젝트를 망치는 빠른 방법은 사용자를 방해하는 것이다. 아키텍처를 적절히 배치하면 사용자 경험이 실제로 개선될 수 있으며, 이는 내부 마찰을 줄이는 데 도움이 될 수 있다. 예를 들어, 인증이 원활한 경우 액세스 및 연결이 쉬워지고, 사용자는 기꺼이 제로 트러스트를 받아들일 것이다.

유출은 불가피하며 창문과 문을 잠그는 것만으로는 부족하다. 조직들은 눈이 가려진 사용자들을 건물이 있는 곳으로 안내한 후 그들이 가야 할 방으로 안내한 후 데리고 나오면서 아무것도 가지고 나오거나 남겨두지 않도록 하는 수준의 보안이 필요하다. 하지만 조직들이 모범 사례를 따르고 아키텍처와 사용자 경험을 제대로 하는 데 집중한다면 분명 더욱 탄력적인 사용자 경험 자세를 구축할 것이다. 여기에는 시간이 필요하다.

* Michelle Drolet는 26년 경력을 보유한 보안 전문가다. ciokr@idg.co.kr