Offcanvas

������������������

ZTNA 솔루션 구매 전 업체에 꼭 물어야 할 8가지

클라우드에서 핵심 비즈니스 애플리케이션을 운영하는 일이 늘어나고 팬데믹으로 인해 원격 근무가 확산하면서 전통적인 ‘기업 해자(corporate moat)’ 방식의 보안 개념은 자취를 감추었다. 오늘날의 하이브리드 워크에서 직원은 외근하고 집에서 일하고 일주일에 한두 차례 사무실에 방문한다. 따라서 네트워크 및 보안팀은 네트워크, 신원, 인증을 관리하는 더 유연한 접근법을 도입해야 하는 상황이다.   제로 트러스트 네트워크 접근법(Zero Trust Network Access, ZTNA)은 오늘날 보안이 가진 이런 문제에 대응하는 인기 있는 방법으로 주목받고 있다. 개념은 그리 어렵지 않다. 제로 트러스트는 방화벽, IDS/IPSes, 안티바이러스 소프트웨어라는 계층적 경계를 구축하는 대신, 충분히 검증되기 전까지 '어떤 사용자나 기기도' 신뢰하지 않는 것이다. 그러나 이 간단한 개념을 구현하는 과정은 그리 쉽지 않다. 대다수 기업은 제로 트러스트 업체의 온갖 마케팅에도 불구하고 IT 임원이 제로 트러스트를 기성품으로 구매해 단기간에 적용할 수 없음을 알고 있다. 제로 트러스트는 제품이 아니다. 프레임워크이자 아키텍처이고 철학이다. 여러 형태를 취할 수 있고 성공적으로 구현하는 데는 상당한 시간과 노력이 필요하다는 의미다. 기업이 제로 트러스트를 도입할 때 제로 트러스트 업체에 반드시 물어야 하는 질문을 정리했다.   ZTNA로 전환할 때 기존의 보안 및 네트워킹 인프라를 어떻게 활용할 수 있나 기업은 여러 해에 걸쳐 보안/네트워킹 하드웨어 및 소프트웨어에 상당한 돈을 투자했다. 따라서 기존 기술을 최대한 활용하면서 ZTNA로 전환하는 것이 매우 중요하다. 대다수 기업은 ID 관리, 접근 제어, 이중 인증, 네트워크 분할, 정책 관리 등 ZTNA에 필요한 조각을 이미 갖고 있다. 그러나 종합적이고 확장성 있고 정책 주도적 방식으로 제로 트러스트의 모든 측면에 두루 숙달된 기업은 별로 많지 않다. 네트워크 자동화 업체인 글루웨어(Gluwar...

ZTNA 제로트러스트

3일 전

클라우드에서 핵심 비즈니스 애플리케이션을 운영하는 일이 늘어나고 팬데믹으로 인해 원격 근무가 확산하면서 전통적인 ‘기업 해자(corporate moat)’ 방식의 보안 개념은 자취를 감추었다. 오늘날의 하이브리드 워크에서 직원은 외근하고 집에서 일하고 일주일에 한두 차례 사무실에 방문한다. 따라서 네트워크 및 보안팀은 네트워크, 신원, 인증을 관리하는 더 유연한 접근법을 도입해야 하는 상황이다.   제로 트러스트 네트워크 접근법(Zero Trust Network Access, ZTNA)은 오늘날 보안이 가진 이런 문제에 대응하는 인기 있는 방법으로 주목받고 있다. 개념은 그리 어렵지 않다. 제로 트러스트는 방화벽, IDS/IPSes, 안티바이러스 소프트웨어라는 계층적 경계를 구축하는 대신, 충분히 검증되기 전까지 '어떤 사용자나 기기도' 신뢰하지 않는 것이다. 그러나 이 간단한 개념을 구현하는 과정은 그리 쉽지 않다. 대다수 기업은 제로 트러스트 업체의 온갖 마케팅에도 불구하고 IT 임원이 제로 트러스트를 기성품으로 구매해 단기간에 적용할 수 없음을 알고 있다. 제로 트러스트는 제품이 아니다. 프레임워크이자 아키텍처이고 철학이다. 여러 형태를 취할 수 있고 성공적으로 구현하는 데는 상당한 시간과 노력이 필요하다는 의미다. 기업이 제로 트러스트를 도입할 때 제로 트러스트 업체에 반드시 물어야 하는 질문을 정리했다.   ZTNA로 전환할 때 기존의 보안 및 네트워킹 인프라를 어떻게 활용할 수 있나 기업은 여러 해에 걸쳐 보안/네트워킹 하드웨어 및 소프트웨어에 상당한 돈을 투자했다. 따라서 기존 기술을 최대한 활용하면서 ZTNA로 전환하는 것이 매우 중요하다. 대다수 기업은 ID 관리, 접근 제어, 이중 인증, 네트워크 분할, 정책 관리 등 ZTNA에 필요한 조각을 이미 갖고 있다. 그러나 종합적이고 확장성 있고 정책 주도적 방식으로 제로 트러스트의 모든 측면에 두루 숙달된 기업은 별로 많지 않다. 네트워크 자동화 업체인 글루웨어(Gluwar...

3일 전

“오픈소스 보안 강화·제로트러스트 구축 간소화” 구글 클라우드, 새 서비스 공개

구글 클라우드(Google Cloud)가 오픈소스 소프트웨어 보안, 제로트러스트 아키텍처 구축 간소화 등의 문제를 해결하는 새로운 보안 서비스를 공개했다.  연례 구글 클라우드 시큐리티 서밋(Google Cloud Security Summit)에서 구글 클라우드는 새 서비스가 기업을 포함한 여러 고객이 가장 많이 쓰는 도구와 서비스의 보안을 강화하는 ‘인비저블 시큐리티(Invisible Security)’ 이니셔티브를 기반으로 한다고 밝혔다.    먼저 ‘어슈어드 오픈소스 소프트웨어(Assured Open Source Software; Assured OSS)’라는 서비스는 기업들이 오픈소스 종속성을 쉽게 관리할 수 있도록 하는 것을 목표로 한다. 구글 클라우드 시큐리티의 부사장 겸 총괄 책임자 수닐 포티는 “오늘날 오픈소스 소프트웨어의 보안 취약점을 패치하는 일은 위험한 두더지 잡기 게임처럼 느껴진다. 예를 들어 1개를 수정하면 2개가 갑자기 튀어나오기 때문”이라며, “이는 오픈소스 소프트웨어(OSS) 업체를 겨냥한 사이버 공격이 2020년부터 2021년까지 650% 증가했다는 보안 소프트웨어 회사 소나타입(Sonatype)의 연구 결과에서도 알 수 있다”라고 말했다.  구글에 따르면 ‘어슈어드 OSS’를 통해 오픈소스 소프트웨어를 쓰는 기업 사용자는 구글이 사용하는 것과 동일한 OSS 패키지를 자체 환경에 통합할 수 있다. 구글에서 큐레이션하는 이 패키지는 정기적으로 스캔, 분석, 취약점 테스트를 거치며, 구글이 보호하는 아티팩트 레지스트리(Artifact Registry)를 통해 배포된다고 포티는 설명했다. 현재 깃허브를 통해 500개 이상의 패키지를 사용할 수 있다.  이어서 그는 “계속해서 OSS 취약점을 찾고 있는 구글의 스케일은 모든 기업이 구축 및 운영하기 어려운 규모일 것”이라면서, “일반적으로 사용되는 오픈소스 프로젝트 중 550개를 계속 퍼징하고 있으며, 2022년 1월 기준으로 해당 프로...

오픈소스 보안 제로트러스트 구글 클라우드 보안 취약점 오픈소스

2022.05.18

구글 클라우드(Google Cloud)가 오픈소스 소프트웨어 보안, 제로트러스트 아키텍처 구축 간소화 등의 문제를 해결하는 새로운 보안 서비스를 공개했다.  연례 구글 클라우드 시큐리티 서밋(Google Cloud Security Summit)에서 구글 클라우드는 새 서비스가 기업을 포함한 여러 고객이 가장 많이 쓰는 도구와 서비스의 보안을 강화하는 ‘인비저블 시큐리티(Invisible Security)’ 이니셔티브를 기반으로 한다고 밝혔다.    먼저 ‘어슈어드 오픈소스 소프트웨어(Assured Open Source Software; Assured OSS)’라는 서비스는 기업들이 오픈소스 종속성을 쉽게 관리할 수 있도록 하는 것을 목표로 한다. 구글 클라우드 시큐리티의 부사장 겸 총괄 책임자 수닐 포티는 “오늘날 오픈소스 소프트웨어의 보안 취약점을 패치하는 일은 위험한 두더지 잡기 게임처럼 느껴진다. 예를 들어 1개를 수정하면 2개가 갑자기 튀어나오기 때문”이라며, “이는 오픈소스 소프트웨어(OSS) 업체를 겨냥한 사이버 공격이 2020년부터 2021년까지 650% 증가했다는 보안 소프트웨어 회사 소나타입(Sonatype)의 연구 결과에서도 알 수 있다”라고 말했다.  구글에 따르면 ‘어슈어드 OSS’를 통해 오픈소스 소프트웨어를 쓰는 기업 사용자는 구글이 사용하는 것과 동일한 OSS 패키지를 자체 환경에 통합할 수 있다. 구글에서 큐레이션하는 이 패키지는 정기적으로 스캔, 분석, 취약점 테스트를 거치며, 구글이 보호하는 아티팩트 레지스트리(Artifact Registry)를 통해 배포된다고 포티는 설명했다. 현재 깃허브를 통해 500개 이상의 패키지를 사용할 수 있다.  이어서 그는 “계속해서 OSS 취약점을 찾고 있는 구글의 스케일은 모든 기업이 구축 및 운영하기 어려운 규모일 것”이라면서, “일반적으로 사용되는 오픈소스 프로젝트 중 550개를 계속 퍼징하고 있으며, 2022년 1월 기준으로 해당 프로...

2022.05.18

칼럼 | 원격 근무에 제로 트러스트는 반드시 필요하다

작년 여름, ‘리커션 팀(Recursion Team)’이라는 사이버 범죄 조직과 연루된 해커가 경찰로 위장해 애플과 메타에 ‘비상 데이터 요청’ 형태로 고객 데이터를 요구했다. 두 기업 모두 깜빡 속아 요구에 응하고 말았다. 약 3년 전에는 영국에 소재한 애너지 기업의 CEO가 독일에 있는 모기업 CEO로부터 헝가리 공급업체에 25만 달러를 송금하라는 전화를 받고 지시에 따랐다. 알고 보니 모회사의 CEO라던 사람은 딥페이크 오디오 기술을 사용해 다른 사람의 목소리를 변조한 사이버 범죄자였다. 두 해커는 각각 데이터와 돈을 성공적으로 갈취했다. 이들은 모두 신뢰를 악용해 범죄를 저질렀다. 피해자는 해커가 말하는 정보 만을 곧이곧대로 믿었다.     제로 트러스트의 정의 제로 트러스트는 경계 보안에 의존하지 않는 보안 프레임워크이다. 경계 보안은 오래 전부터 보편적으로 사용돼 온 모델로, 기업의 건물이나 방화벽 안에 있는 모든 사람과 사물을 신뢰하는 것은 전제로 한다. 여기서 보안은 경계 밖에 있는 사용자가 내부로 들어오지 못하도록 막는 데 중점을 둔다. ‘제로 트러스트’는 1994년 영국 스털링 대학에서 박사 과정을 밟고 있던 스티븐 폴 마시가 처음 만든 용어이다. ‘탈경계화’라고도 불리는 이 개념은 포레스터 익스텐디드(Forrester eXtended), 가트너의 CARTA 및 NIST 800-207과 같은 가이드라인에서 구체화됐다. 경계 보안의 효용성이 떨어진 데는 여러 가지 이유가 있지만, 이 중에서도 원격 근무의 확산이 대표적이다. 이밖에 모바일 컴퓨팅과 클라우드 컴퓨팅, 갈수록 증가하는 정교한 사이버 공격, 그리고 내부에서 비롯되는 위협 등을 이유로 들 수 있다. 다르게 말하면, 네트워크 경계는 더 이상 존재하지 않는다. 경계가 존재한다고 해도 침해될 수 있다. 해커는 경계 안으로 들어오면 더 쉽게 이동한다. 제로 트러스트의 목표는 각 사용자와 디바이스, 애플리케이션이 네트워크 컴포넌트나 기업 리소스에 액세스할 때마다 ...

원격근무 제로트러스트 보안

2022.04.27

작년 여름, ‘리커션 팀(Recursion Team)’이라는 사이버 범죄 조직과 연루된 해커가 경찰로 위장해 애플과 메타에 ‘비상 데이터 요청’ 형태로 고객 데이터를 요구했다. 두 기업 모두 깜빡 속아 요구에 응하고 말았다. 약 3년 전에는 영국에 소재한 애너지 기업의 CEO가 독일에 있는 모기업 CEO로부터 헝가리 공급업체에 25만 달러를 송금하라는 전화를 받고 지시에 따랐다. 알고 보니 모회사의 CEO라던 사람은 딥페이크 오디오 기술을 사용해 다른 사람의 목소리를 변조한 사이버 범죄자였다. 두 해커는 각각 데이터와 돈을 성공적으로 갈취했다. 이들은 모두 신뢰를 악용해 범죄를 저질렀다. 피해자는 해커가 말하는 정보 만을 곧이곧대로 믿었다.     제로 트러스트의 정의 제로 트러스트는 경계 보안에 의존하지 않는 보안 프레임워크이다. 경계 보안은 오래 전부터 보편적으로 사용돼 온 모델로, 기업의 건물이나 방화벽 안에 있는 모든 사람과 사물을 신뢰하는 것은 전제로 한다. 여기서 보안은 경계 밖에 있는 사용자가 내부로 들어오지 못하도록 막는 데 중점을 둔다. ‘제로 트러스트’는 1994년 영국 스털링 대학에서 박사 과정을 밟고 있던 스티븐 폴 마시가 처음 만든 용어이다. ‘탈경계화’라고도 불리는 이 개념은 포레스터 익스텐디드(Forrester eXtended), 가트너의 CARTA 및 NIST 800-207과 같은 가이드라인에서 구체화됐다. 경계 보안의 효용성이 떨어진 데는 여러 가지 이유가 있지만, 이 중에서도 원격 근무의 확산이 대표적이다. 이밖에 모바일 컴퓨팅과 클라우드 컴퓨팅, 갈수록 증가하는 정교한 사이버 공격, 그리고 내부에서 비롯되는 위협 등을 이유로 들 수 있다. 다르게 말하면, 네트워크 경계는 더 이상 존재하지 않는다. 경계가 존재한다고 해도 침해될 수 있다. 해커는 경계 안으로 들어오면 더 쉽게 이동한다. 제로 트러스트의 목표는 각 사용자와 디바이스, 애플리케이션이 네트워크 컴포넌트나 기업 리소스에 액세스할 때마다 ...

2022.04.27

NSTAC 제로 트러스트 보고서에서 주목해야 할 8가지

제로 트러스트에 초점을 둔 여러 자료와 정부 기관의 지침이 쏟아져 나오고 있다. 이제 제로 트러스트에 대한 의심은 설 자리가 없어 보인다. 미국에서는 연방 제로 트러스트 전략(Federal Zero Trust Strategy)이 발표된 직후 미 국가안보통신자문위원회(National Security Telecommunications Advisory Committee, NSTAC)가 ‘제로 트러스트 및 신뢰할 수 있는 ID 관리 보고서(Zero Trust and Trusted Identity Management report)’를 발표했다.   이 보고서에는 민간 분야에서 시작된 제로 트러스트의 역사와 정부 기관에서 꾸준히 내놓고 있는 다양한 제로 트러스트 관련 활동과 지침, 요구사항이 잘 요약돼 있다. 대표적인 것이 ‘행정 명령(Executive Order) 14028 : 국가 사이버보안 개선’이다. 이 행정 명령에 따라 NSTAC는 제로 트러스트 및 신뢰할 수 있는 신원 관리를 포함한 주요 이슈에 초점을 맞추었다.   또한 보고서는 제로 트러스트 구현의 과제와 실현을 위한 조건을 강조했다. 적절한 감독 및 성숙도 지표, 투명성, 그리고 지속적 개선에 집중해야 할 필요성과 같이 모두 연방 정부뿐 아니라 민간 분야에도 적용되는 조건이다. 공공 및 민간 분야의 보안 리더가 NSTAC 보고서에서 주목해야 할 8가지 핵심적인 내용을 정리했다. 1. 제로 트러스트는 장기적, 변혁적 노력이다 가장 중요한 점은 제로 트러스트가 10년 이상의 장기적인 노력을 필요로 하는 변혁적인 활동임을 인식하는 것이다. 제로 트러스트 문화를 이끌고 조직의 기술 시스템 체계를 근본적으로 재설계하는 방대한 작업을 시작하기 위한 산업 및 조직 정책 변화도 필요하다. 제로 트러스트 도입을 고민하는 조직은 하루 아침에 ‘제로 트러스트에 부합하는’ 기업으로 만들어준다는 솔루션 업체의 주장을 접할 때 항상 이 점을 염두에 두어야 한다. 2. 제로 트러스트 지침을 활용하라 제로 ...

제로트러스트 NSTAC 보고서

2022.03.15

제로 트러스트에 초점을 둔 여러 자료와 정부 기관의 지침이 쏟아져 나오고 있다. 이제 제로 트러스트에 대한 의심은 설 자리가 없어 보인다. 미국에서는 연방 제로 트러스트 전략(Federal Zero Trust Strategy)이 발표된 직후 미 국가안보통신자문위원회(National Security Telecommunications Advisory Committee, NSTAC)가 ‘제로 트러스트 및 신뢰할 수 있는 ID 관리 보고서(Zero Trust and Trusted Identity Management report)’를 발표했다.   이 보고서에는 민간 분야에서 시작된 제로 트러스트의 역사와 정부 기관에서 꾸준히 내놓고 있는 다양한 제로 트러스트 관련 활동과 지침, 요구사항이 잘 요약돼 있다. 대표적인 것이 ‘행정 명령(Executive Order) 14028 : 국가 사이버보안 개선’이다. 이 행정 명령에 따라 NSTAC는 제로 트러스트 및 신뢰할 수 있는 신원 관리를 포함한 주요 이슈에 초점을 맞추었다.   또한 보고서는 제로 트러스트 구현의 과제와 실현을 위한 조건을 강조했다. 적절한 감독 및 성숙도 지표, 투명성, 그리고 지속적 개선에 집중해야 할 필요성과 같이 모두 연방 정부뿐 아니라 민간 분야에도 적용되는 조건이다. 공공 및 민간 분야의 보안 리더가 NSTAC 보고서에서 주목해야 할 8가지 핵심적인 내용을 정리했다. 1. 제로 트러스트는 장기적, 변혁적 노력이다 가장 중요한 점은 제로 트러스트가 10년 이상의 장기적인 노력을 필요로 하는 변혁적인 활동임을 인식하는 것이다. 제로 트러스트 문화를 이끌고 조직의 기술 시스템 체계를 근본적으로 재설계하는 방대한 작업을 시작하기 위한 산업 및 조직 정책 변화도 필요하다. 제로 트러스트 도입을 고민하는 조직은 하루 아침에 ‘제로 트러스트에 부합하는’ 기업으로 만들어준다는 솔루션 업체의 주장을 접할 때 항상 이 점을 염두에 두어야 한다. 2. 제로 트러스트 지침을 활용하라 제로 ...

2022.03.15

블로그 | '설사 실패할지라도' 제로 트러스트가 가치 있는 이유

지난해 말 오랜 지인으로부터 보안 관련한 큰 걱정거리가 있다는 말을 들었다. 이 지인이 일하는 기업은 3개의 보안 레이어를 구축했고 감사까지 마쳤는데, 구축 이후 보안 사고가 5건이나 발생했다는 것이다. 사고 대부분은 보안 경계의 내부에서 일어났고 공격자는 보안 체계를 우회한 것으로 나타났다. 그 지인은 무엇이 잘못됐는지 어떻게 이를 바로 잡아야 할지 힘들어했다. 이 기업이 처한 상황은 예외적인 사례가 아니다. 이런 문제가 발생한 원인과 바로 잡는 방법도 절대 간단하지 않다.   흔히 보안이라고 하면 단순한 툴킷을 도입해 달성할 수 있는 목표라고 생각한다. 하지만 그렇지 않다. 보안은 모든 예상할 수 있는 위협을 관리하고 각 위협에 대해 고유의 방법으로 대응하면서 달성하는 일종의 '상태'에 가깝다. 보안 문제는 해커가 기업 외부에서 내부 애플리케이션이나 데이터베이스에 접근하는 권한을 탈취하는 것에서 시작된다. 계정을 훔치거나 취약한 인증을 악용해 권한을 탈튀한다. 애플리케이션이나 미들웨어, 운영체제 프로그램 내부의 보안 취약점이 보안 사고로 이어지기도 한다. 악의적인 행위의 방아쇠 역할을 한다. 악성코드에서 시작된 보안 문제도 있다. 최근에는 이런 원인이 복합적으로 나타나는 비중이 커지고 있다. 이에 따라 필자 지인의 기업을 포함한 많은 기업이 이런 보안 문제를 푸는 방어의 출발점으로 경계 보안(perimeter security)에 주목하고 있다. 경계 보안은 모든 가능한 문제의 원인에 대응하는 것을 의미한다. 그리고 필자 지인의 사례는 보안 원칙 측면에서 몇 가지 시사점을 제시한다. 첫 번째 원칙은 '문을 열어 놓는 한 필요 없는' 보안 벽을 만드는 것이다. 기업 대부분은 직원이 사용하는 기기에 대해 너무 관대하다. 지인 기업의 보안 사고 대부분에서 시작점은 해킹된 노트북이었다. 이런 상황에서 재택근무와 기업 VPN 접속의 확장은 곧 보안의 문제 뿐만 아니라 관리(보안 사고 확인)의 문제로 이어진다. 가능하다면, 업무용 기기는 사적인 목적...

제로트러스트 ZeroTrust

2022.01.20

지난해 말 오랜 지인으로부터 보안 관련한 큰 걱정거리가 있다는 말을 들었다. 이 지인이 일하는 기업은 3개의 보안 레이어를 구축했고 감사까지 마쳤는데, 구축 이후 보안 사고가 5건이나 발생했다는 것이다. 사고 대부분은 보안 경계의 내부에서 일어났고 공격자는 보안 체계를 우회한 것으로 나타났다. 그 지인은 무엇이 잘못됐는지 어떻게 이를 바로 잡아야 할지 힘들어했다. 이 기업이 처한 상황은 예외적인 사례가 아니다. 이런 문제가 발생한 원인과 바로 잡는 방법도 절대 간단하지 않다.   흔히 보안이라고 하면 단순한 툴킷을 도입해 달성할 수 있는 목표라고 생각한다. 하지만 그렇지 않다. 보안은 모든 예상할 수 있는 위협을 관리하고 각 위협에 대해 고유의 방법으로 대응하면서 달성하는 일종의 '상태'에 가깝다. 보안 문제는 해커가 기업 외부에서 내부 애플리케이션이나 데이터베이스에 접근하는 권한을 탈취하는 것에서 시작된다. 계정을 훔치거나 취약한 인증을 악용해 권한을 탈튀한다. 애플리케이션이나 미들웨어, 운영체제 프로그램 내부의 보안 취약점이 보안 사고로 이어지기도 한다. 악의적인 행위의 방아쇠 역할을 한다. 악성코드에서 시작된 보안 문제도 있다. 최근에는 이런 원인이 복합적으로 나타나는 비중이 커지고 있다. 이에 따라 필자 지인의 기업을 포함한 많은 기업이 이런 보안 문제를 푸는 방어의 출발점으로 경계 보안(perimeter security)에 주목하고 있다. 경계 보안은 모든 가능한 문제의 원인에 대응하는 것을 의미한다. 그리고 필자 지인의 사례는 보안 원칙 측면에서 몇 가지 시사점을 제시한다. 첫 번째 원칙은 '문을 열어 놓는 한 필요 없는' 보안 벽을 만드는 것이다. 기업 대부분은 직원이 사용하는 기기에 대해 너무 관대하다. 지인 기업의 보안 사고 대부분에서 시작점은 해킹된 노트북이었다. 이런 상황에서 재택근무와 기업 VPN 접속의 확장은 곧 보안의 문제 뿐만 아니라 관리(보안 사고 확인)의 문제로 이어진다. 가능하다면, 업무용 기기는 사적인 목적...

2022.01.20

하시코프, 제로 트러스트 보안에서 마이크로소프트와 협력 확대

하시코프는 제로 트러스트(Zero Trust) 보안을 위해 마이크로소프트와의 협력을 확대한다고 21일 밝혔다. 하시코프의 보안 원격 액세스 솔루션인 바운더리와 마이크로소프트의 엔터프라이즈 ID 플랫폼인 애저 AD(Azure Active Directory)를 결합하면, 애플리케이션 및 중요 시스템에 쉽게 액세스할 수 있다. 이 솔루션을 통해 조직의 신뢰할 수 있는 ID를 기반으로 세분화된 권한 부여 정책을 수립할 수 있다고 업체 측은 밝혔다. 하시코프와 마이크로소프트는 바운더리 및 애저 AD 간의 긴밀한 통합을 제공함으로써 애저 ID와 대상, 역할 및 사용 권한을 바운더리 환경에 자동으로 원활하게 온보딩할 수 있도록 지원한다. 하시코프의 공동창업자 겸 CTO인 아몬 데드가는 “점점 증가하는 동적 클라우드 환경에서 경계 기반 보안(Perimeter based Security) 및 기존의 권한접근관리(Privileged Access Management) 툴로는 더 이상 충분하지 않다”라며, “이제 제로 트러스트 보안에 부합할 수 있도록 마이크로소프트와 협력하여 클라우드 보안과 제로 트러스트를 선도하는 안전한 원격 액세스 솔루션을 구축했다”라고 밝혔다. 동적 환경에 대한 안전한 원격 액세스 요구는 빠르게 증가하고 있다. 그러나 기업의 프라이빗 네트워크에 대한 보안 액세스를 기반으로 구축된 기존의 솔루션은 단기적인 멀티 클라우드 환경에서는 효과적으로 확장되기 어렵다. 또한 상당히 수동적인 보안 워크플로우에서 구성 및 액세스를 관리해야 하는 오버헤드로 인해 직원들의 생산성이 저하되고, 무분별한 권한 부여의 위험성과 위반 가능성이 높아질 수 있다고 회사 측은 설명했다. 이번 협력을 통해 하시코프의 현대적이고, 간단한 보안 원격 액세스 솔루션을 마이크로소프트의 엔터프라이즈 ID 플랫폼과 결합함으로써 사용자들은 세분화된 권한 부여를 통해 애플리케이션 및 중요 시스템에 빠르고, 쉽게 액세스할 수 있게 됐다. 마이크로소프트의 ID 및 네트워크 액세스 사업부 수 본 ...

하시코프 마이크로소프트 제로트러스트

2021.10.21

하시코프는 제로 트러스트(Zero Trust) 보안을 위해 마이크로소프트와의 협력을 확대한다고 21일 밝혔다. 하시코프의 보안 원격 액세스 솔루션인 바운더리와 마이크로소프트의 엔터프라이즈 ID 플랫폼인 애저 AD(Azure Active Directory)를 결합하면, 애플리케이션 및 중요 시스템에 쉽게 액세스할 수 있다. 이 솔루션을 통해 조직의 신뢰할 수 있는 ID를 기반으로 세분화된 권한 부여 정책을 수립할 수 있다고 업체 측은 밝혔다. 하시코프와 마이크로소프트는 바운더리 및 애저 AD 간의 긴밀한 통합을 제공함으로써 애저 ID와 대상, 역할 및 사용 권한을 바운더리 환경에 자동으로 원활하게 온보딩할 수 있도록 지원한다. 하시코프의 공동창업자 겸 CTO인 아몬 데드가는 “점점 증가하는 동적 클라우드 환경에서 경계 기반 보안(Perimeter based Security) 및 기존의 권한접근관리(Privileged Access Management) 툴로는 더 이상 충분하지 않다”라며, “이제 제로 트러스트 보안에 부합할 수 있도록 마이크로소프트와 협력하여 클라우드 보안과 제로 트러스트를 선도하는 안전한 원격 액세스 솔루션을 구축했다”라고 밝혔다. 동적 환경에 대한 안전한 원격 액세스 요구는 빠르게 증가하고 있다. 그러나 기업의 프라이빗 네트워크에 대한 보안 액세스를 기반으로 구축된 기존의 솔루션은 단기적인 멀티 클라우드 환경에서는 효과적으로 확장되기 어렵다. 또한 상당히 수동적인 보안 워크플로우에서 구성 및 액세스를 관리해야 하는 오버헤드로 인해 직원들의 생산성이 저하되고, 무분별한 권한 부여의 위험성과 위반 가능성이 높아질 수 있다고 회사 측은 설명했다. 이번 협력을 통해 하시코프의 현대적이고, 간단한 보안 원격 액세스 솔루션을 마이크로소프트의 엔터프라이즈 ID 플랫폼과 결합함으로써 사용자들은 세분화된 권한 부여를 통해 애플리케이션 및 중요 시스템에 빠르고, 쉽게 액세스할 수 있게 됐다. 마이크로소프트의 ID 및 네트워크 액세스 사업부 수 본 ...

2021.10.21

'킨더버그가 말하는' 진정한 제로 트러스트 보안을 향한 5단계 구현 방안

제로 트러스트(Zero Trust)는 오랫동안 사이버 공격에서 기업을 보호하기 위한 경계 보안 모델의 논리적 후속 모델이다. 경계 보안 모델은 그다지 기업을 보호하는 데 도움이 되지 않았으며, 직원들이 점점 더 모바일화되고 애플리케이션이 클라우드로 마이그레이션됨에 따라 점점 더 구식으로 밀려나고 있다.    그러나 10여 년 전, 당시 포레스터 분석가였던 존 킨더버그가 제시한 제로 트러스트 모델의 채택은 변화에 대한 두려움과 경계 보안을 새로운 것으로 교체하는 것은 위험하고 복잡하며, 비용이 많이 들 것이라는 우려 때문에 더디게 진행되어 왔다.  지난해, 코로나 19 팬데믹이 세상을 강타하고, 기업의 사무실이 비워지고, 수백만 명의 노동자들이 갑자기 재택근무를 하게 되면서 상황이 바뀌었다. IT 임원들은 원격 근무자가 애플리케이션을 좀 더 쉽게 접근할 수 있도록 서둘러 클라우드로 이동했다. 그런 다음 다중 인증(Multi-Factor Authentication, MFA), 접근 제어, SASE(Secure Access Service Edge)와 같은 제로 트러스트 아키텍처와 일치하는 방법론을 사용해 이런 에지 연결을 보호하려 했다.  포레스터 분석가인 스티브 터너는 기업들이 실제로 제로 트러스트 여정을 시작했다고 말했다. 터너는 “많은 기업 고객이 다시 와서 ‘제로 트러스트로 가려고 하는 데, 할 수 있는 일은 무엇인가?’라고 말한다. 시장에는 제로 트러스트라고 광고하는 많은 솔루션이 있다. 기업은 이런 잡초를 제거하고 다음 단계는 무엇인지 이해하길 원한다”라고 말했다.  제로 트러스트 여정을 시작하면서 비즈니스에 가치를 제공하는 5단계는 다음과 같다.  1단계. 제로 트러스트의 진정한 의미를 파악한다  제로 트러스트라는 용어와 관련된 혼란 가운데 일부는 ‘신뢰(trust)’라는 단어의 사용에서 비롯된다. 현재 매니지드 보안 서비스 제공업체 원투아이티(On2IT) 사이버보안 전략 수석 부...

제로트러스트

2021.10.08

제로 트러스트(Zero Trust)는 오랫동안 사이버 공격에서 기업을 보호하기 위한 경계 보안 모델의 논리적 후속 모델이다. 경계 보안 모델은 그다지 기업을 보호하는 데 도움이 되지 않았으며, 직원들이 점점 더 모바일화되고 애플리케이션이 클라우드로 마이그레이션됨에 따라 점점 더 구식으로 밀려나고 있다.    그러나 10여 년 전, 당시 포레스터 분석가였던 존 킨더버그가 제시한 제로 트러스트 모델의 채택은 변화에 대한 두려움과 경계 보안을 새로운 것으로 교체하는 것은 위험하고 복잡하며, 비용이 많이 들 것이라는 우려 때문에 더디게 진행되어 왔다.  지난해, 코로나 19 팬데믹이 세상을 강타하고, 기업의 사무실이 비워지고, 수백만 명의 노동자들이 갑자기 재택근무를 하게 되면서 상황이 바뀌었다. IT 임원들은 원격 근무자가 애플리케이션을 좀 더 쉽게 접근할 수 있도록 서둘러 클라우드로 이동했다. 그런 다음 다중 인증(Multi-Factor Authentication, MFA), 접근 제어, SASE(Secure Access Service Edge)와 같은 제로 트러스트 아키텍처와 일치하는 방법론을 사용해 이런 에지 연결을 보호하려 했다.  포레스터 분석가인 스티브 터너는 기업들이 실제로 제로 트러스트 여정을 시작했다고 말했다. 터너는 “많은 기업 고객이 다시 와서 ‘제로 트러스트로 가려고 하는 데, 할 수 있는 일은 무엇인가?’라고 말한다. 시장에는 제로 트러스트라고 광고하는 많은 솔루션이 있다. 기업은 이런 잡초를 제거하고 다음 단계는 무엇인지 이해하길 원한다”라고 말했다.  제로 트러스트 여정을 시작하면서 비즈니스에 가치를 제공하는 5단계는 다음과 같다.  1단계. 제로 트러스트의 진정한 의미를 파악한다  제로 트러스트라는 용어와 관련된 혼란 가운데 일부는 ‘신뢰(trust)’라는 단어의 사용에서 비롯된다. 현재 매니지드 보안 서비스 제공업체 원투아이티(On2IT) 사이버보안 전략 수석 부...

2021.10.08

"기본적으로 액세스를 의심하라" 제로 트러스트의 7가지 원칙

제로 트러스트(zero trust)를 정의해 설명한 글이 많다. 원칙, 중추, 토대, 원리 같은 단어가 잔뜩 들어 있었을 것이다. 하지만 여전히 제로 트러스트에 대한 단일한 정의는 없다. 여기서는 NIST(National Institute of Standards and Technology)는 제로 트러스트의 7가지 원칙을 설명한 ‘NIST SP 800-207 제로 트러스트 아키텍처’를 참고해 제로 트러스트의 개념을 살펴보자.     원칙 1. 모든 데이터 소스와 컴퓨팅 서비스는 리소스로 간주한다 엔드포인트 사용자 기기나 서버만을 리소스로 간주하던 시절은 지났다. 오늘날 네트워크는 서버와 엔드포인트 같은 기존 기기부터 사용자 환경의 다른 리소스에 대해 특정 권한 아래 수행되는 FaaS(Function-as-a-service) 같은 클라우드 컴퓨팅 서비스같이 더 동적인 특성을 갖는 여러 기기로 구성된다. 환경의 모든 데이터와 컴퓨팅 리소스에 대해 원칙을 확실히 해야 한다. 여기에 가능하다면 고급 인증 통제책, 최소 권한 액세스 제어 체계를 적용하는 것이 좋다. 이들 리소스는 다음에서 살펴볼 원칙과 연결되는데, 제로 트러스트의 설계적 요소에 따라 의사결정을 하는 데 도움이 되는 ‘신호’를 제공한다. 이에 대해서는 7번째 원칙에서 다시 알아본다.   원칙 2. 네트워크 위치와 관계없이 모든 통신을 안전하게 만든다. 제로 트러스트 환경에는 ZTNA(Zero Trust Network Access) 개념을 적용한다. 이는 사용자가 VPN에 인증한 후 네트워크 내부에서, 또는 여러 네트워크에서 자유로운 액세스 권한을 갖는 기존의 원격 액세스 패러다임과 대비되는 개념이다. ZTNA 환경에서 액세스 정책의 기본값은 ‘거부’다. 특정 리소스에 대한 액세스가 명시적으로 승인돼야 한다. 더 나아가, ZTNA 환경의 사용자가 기존에 액세스를 명시적으로 승인받지 않았다면 환경 내부의 애플리케이션과 서비스를 인식할 수도 없다. 코로나 팬데믹으로...

제로트러스트

2021.08.02

제로 트러스트(zero trust)를 정의해 설명한 글이 많다. 원칙, 중추, 토대, 원리 같은 단어가 잔뜩 들어 있었을 것이다. 하지만 여전히 제로 트러스트에 대한 단일한 정의는 없다. 여기서는 NIST(National Institute of Standards and Technology)는 제로 트러스트의 7가지 원칙을 설명한 ‘NIST SP 800-207 제로 트러스트 아키텍처’를 참고해 제로 트러스트의 개념을 살펴보자.     원칙 1. 모든 데이터 소스와 컴퓨팅 서비스는 리소스로 간주한다 엔드포인트 사용자 기기나 서버만을 리소스로 간주하던 시절은 지났다. 오늘날 네트워크는 서버와 엔드포인트 같은 기존 기기부터 사용자 환경의 다른 리소스에 대해 특정 권한 아래 수행되는 FaaS(Function-as-a-service) 같은 클라우드 컴퓨팅 서비스같이 더 동적인 특성을 갖는 여러 기기로 구성된다. 환경의 모든 데이터와 컴퓨팅 리소스에 대해 원칙을 확실히 해야 한다. 여기에 가능하다면 고급 인증 통제책, 최소 권한 액세스 제어 체계를 적용하는 것이 좋다. 이들 리소스는 다음에서 살펴볼 원칙과 연결되는데, 제로 트러스트의 설계적 요소에 따라 의사결정을 하는 데 도움이 되는 ‘신호’를 제공한다. 이에 대해서는 7번째 원칙에서 다시 알아본다.   원칙 2. 네트워크 위치와 관계없이 모든 통신을 안전하게 만든다. 제로 트러스트 환경에는 ZTNA(Zero Trust Network Access) 개념을 적용한다. 이는 사용자가 VPN에 인증한 후 네트워크 내부에서, 또는 여러 네트워크에서 자유로운 액세스 권한을 갖는 기존의 원격 액세스 패러다임과 대비되는 개념이다. ZTNA 환경에서 액세스 정책의 기본값은 ‘거부’다. 특정 리소스에 대한 액세스가 명시적으로 승인돼야 한다. 더 나아가, ZTNA 환경의 사용자가 기존에 액세스를 명시적으로 승인받지 않았다면 환경 내부의 애플리케이션과 서비스를 인식할 수도 없다. 코로나 팬데믹으로...

2021.08.02

블로그 | 클라우드 보안 문제 대부분이 시작되는 곳

포네몬(Ponemon)과 IBM의 공동 조사에 따르면, 잘못 구성된 클라우드 서버가 데이터 침해 사고의 19%를 유발했다. 데이터 사고 한 건마다 평균 50만 달러의 비용이 든다는 점에서 값비싼 문제이다. 더구나 이 비용에는 회사를 무너뜨릴 수도 있는 평판 손상은 포함되지도 않았다.    요즘은 코로나19 팬데믹 때문에 많은 사람이 집에서 일을 하고, 그래서 클라우드 컴퓨팅을 더 많이 이용한다. 덕분에 클라우드의 부가적인 이점도 얻을 수 있는데, 클라우드는 온프레미스 플랫폼보다 좀 더 현대적인 보안 도구를 제공한다는 것이다. 이 때문에 글로벌 2000대 기업은 발 빠르게 퍼블릭 클라우드를 도입하고 있다. 이런 급격한 마이그레이션은 바로잡아야 하는 실수를 낳았다. 전환의 속도가 신중함보다 더 중요했기 때문이다.  하지만 전혀 새로운 것이거나 팬데믹 이전에는 드물었던 문제는 아니다.  클라우드로의 급격한 전환이 야기하는 문제의 근본 원인은 무엇일까? 잘못된 구성의 수를 줄일 방법은 없는가? 필자는 좀 더 구체적인 흔적이나 공통된 실수를 찾아내고 싶었지만, 실제로는 인간이 오류투성이에 종잡을 수 없다는 것이 근본 원인이다. 발생하는 실수를 줄일 수는 있겠지만, 완전히 없앨 수는 없다.  제로 트러스트 개념이 해답이 될 수 있다. 제로 트러스트의 근간은 말 그대로 아무도 아무것도 믿지 않는 것이다. 모든 사람, 모든 것은 검증해야 하며, 종종 잘못 구성되는 클라우드 서비스도 마찬가지다. 모든 것이 지속적으로 재검증을 받기 때문에 데이터 사고의 위험은 낮아지고 보안은 더욱 더 엄격해진다. 사람이 클라우드 자원과 서비스를 제대로 구성한다면, 약 20%의 잘못된 설정으로 인한 보안 위험을 제거할 수 있다. 신뢰의 개념을 사람에 적용한다면, 절대로 신뢰해서는 안되는 존재로 정의해야 한다.  지금의 기술력은 모든 보안을 자동화할 수 있는 수준에 이르렀다. 환경 구성을 점검하고 자주 재점검하고 ID와 암호화, 키...

제로트러스트 실수 침해 마이그레이션 클라우드 보안

2021.06.01

포네몬(Ponemon)과 IBM의 공동 조사에 따르면, 잘못 구성된 클라우드 서버가 데이터 침해 사고의 19%를 유발했다. 데이터 사고 한 건마다 평균 50만 달러의 비용이 든다는 점에서 값비싼 문제이다. 더구나 이 비용에는 회사를 무너뜨릴 수도 있는 평판 손상은 포함되지도 않았다.    요즘은 코로나19 팬데믹 때문에 많은 사람이 집에서 일을 하고, 그래서 클라우드 컴퓨팅을 더 많이 이용한다. 덕분에 클라우드의 부가적인 이점도 얻을 수 있는데, 클라우드는 온프레미스 플랫폼보다 좀 더 현대적인 보안 도구를 제공한다는 것이다. 이 때문에 글로벌 2000대 기업은 발 빠르게 퍼블릭 클라우드를 도입하고 있다. 이런 급격한 마이그레이션은 바로잡아야 하는 실수를 낳았다. 전환의 속도가 신중함보다 더 중요했기 때문이다.  하지만 전혀 새로운 것이거나 팬데믹 이전에는 드물었던 문제는 아니다.  클라우드로의 급격한 전환이 야기하는 문제의 근본 원인은 무엇일까? 잘못된 구성의 수를 줄일 방법은 없는가? 필자는 좀 더 구체적인 흔적이나 공통된 실수를 찾아내고 싶었지만, 실제로는 인간이 오류투성이에 종잡을 수 없다는 것이 근본 원인이다. 발생하는 실수를 줄일 수는 있겠지만, 완전히 없앨 수는 없다.  제로 트러스트 개념이 해답이 될 수 있다. 제로 트러스트의 근간은 말 그대로 아무도 아무것도 믿지 않는 것이다. 모든 사람, 모든 것은 검증해야 하며, 종종 잘못 구성되는 클라우드 서비스도 마찬가지다. 모든 것이 지속적으로 재검증을 받기 때문에 데이터 사고의 위험은 낮아지고 보안은 더욱 더 엄격해진다. 사람이 클라우드 자원과 서비스를 제대로 구성한다면, 약 20%의 잘못된 설정으로 인한 보안 위험을 제거할 수 있다. 신뢰의 개념을 사람에 적용한다면, 절대로 신뢰해서는 안되는 존재로 정의해야 한다.  지금의 기술력은 모든 보안을 자동화할 수 있는 수준에 이르렀다. 환경 구성을 점검하고 자주 재점검하고 ID와 암호화, 키...

2021.06.01

'혁신을 품은 샛별'··· 유망 사이버보안 스타트업 8곳

멀티클라우드 보안, ID 관리, 제로 트러스트 등 보안과 관련한 중요 이슈를 해결하려는 보안 스타트업들이 있다. 그중 눈길을 끄는 8곳을 소개한다.  사이버보안의 새로운 트렌드를 알고 싶다면, 보안 스타트업들이 하고 있는 사업을 보면 된다. 이들은 혁신적인 아이디어를 갖고서 사업을 시작하며, 다들 알고 있는 주류 접근법에 구애받지 않는다. 스타트업들은 아무도 해결하지 않는 문제에 종종 천착하곤 한다.    ​물론 그만큼 한계도 있다. 스타트업은 자원과 성숙도가 부족하다. 한 기업이 스타트업 한 곳의 제품이나 플랫폼만 사용하는 것은 위험한 일이다. 그래서 기업은 여러 유형의 고객사 및 스타트업과 관계를 맺어야 한다. 하지만 기업이 한 스타트업을 통해 경쟁 우위를 제공받거나 보안 문제를 해결할 경우 막대한 보상을 얻을 수 있다.  (지난 2년 내에 설립된 곳이거나 스텔스 모드를 벗어난 곳 중에서) 가장 눈길을 끄는 스타트업 몇 군데를 아래와 같이 정리했다.  앱노멀 시큐리티 2019년 설립된 앱노멀 시큐리티(Abnornal Security)는 행동 데이터 과학을 사용해 이메일 공격을 식별하고 방지하는 클라우드 네이티브 이메일 보안 플랫폼을 제공한다. 이 회사는 AI 기반 접근법을 바탕으로 사용자 행동, 조직 구조, 관계, 비즈니스 프로세스를 분석해 사이버공격을 암시하는 비정상적인 활동을 파악하는 데 도움을 준다.  앱노멀의 이메일 보안 플랫폼은 비즈니스 이메일 손상, 공급망 공격, 송장 사기, 크레덴셜 피싱 및 이메일 계정 손상을 예방한다. 또한 사고 대응을 자동화할 수 있는 도구를 제공하며 MS 오피스 365, 지스위트, 슬랙과 같은 엔터프라이즈 플랫폼과 통합할 수 있는 클라우드 네이티브 API를 제공한다.  아피로 아피로(Apiiro)는 2020년 스텔스 모드에서 벗어났다. 공동 설립자겸 CEO인 이단 플로닉은 블로그를 통해 자사의 데브섹옵스 플랫폼이 보안 개발 라이프사이클을 "수동적이...

멀티클라우드 스타트업 사이버보안 제로트러스트 ID 관리

2021.05.06

멀티클라우드 보안, ID 관리, 제로 트러스트 등 보안과 관련한 중요 이슈를 해결하려는 보안 스타트업들이 있다. 그중 눈길을 끄는 8곳을 소개한다.  사이버보안의 새로운 트렌드를 알고 싶다면, 보안 스타트업들이 하고 있는 사업을 보면 된다. 이들은 혁신적인 아이디어를 갖고서 사업을 시작하며, 다들 알고 있는 주류 접근법에 구애받지 않는다. 스타트업들은 아무도 해결하지 않는 문제에 종종 천착하곤 한다.    ​물론 그만큼 한계도 있다. 스타트업은 자원과 성숙도가 부족하다. 한 기업이 스타트업 한 곳의 제품이나 플랫폼만 사용하는 것은 위험한 일이다. 그래서 기업은 여러 유형의 고객사 및 스타트업과 관계를 맺어야 한다. 하지만 기업이 한 스타트업을 통해 경쟁 우위를 제공받거나 보안 문제를 해결할 경우 막대한 보상을 얻을 수 있다.  (지난 2년 내에 설립된 곳이거나 스텔스 모드를 벗어난 곳 중에서) 가장 눈길을 끄는 스타트업 몇 군데를 아래와 같이 정리했다.  앱노멀 시큐리티 2019년 설립된 앱노멀 시큐리티(Abnornal Security)는 행동 데이터 과학을 사용해 이메일 공격을 식별하고 방지하는 클라우드 네이티브 이메일 보안 플랫폼을 제공한다. 이 회사는 AI 기반 접근법을 바탕으로 사용자 행동, 조직 구조, 관계, 비즈니스 프로세스를 분석해 사이버공격을 암시하는 비정상적인 활동을 파악하는 데 도움을 준다.  앱노멀의 이메일 보안 플랫폼은 비즈니스 이메일 손상, 공급망 공격, 송장 사기, 크레덴셜 피싱 및 이메일 계정 손상을 예방한다. 또한 사고 대응을 자동화할 수 있는 도구를 제공하며 MS 오피스 365, 지스위트, 슬랙과 같은 엔터프라이즈 플랫폼과 통합할 수 있는 클라우드 네이티브 API를 제공한다.  아피로 아피로(Apiiro)는 2020년 스텔스 모드에서 벗어났다. 공동 설립자겸 CEO인 이단 플로닉은 블로그를 통해 자사의 데브섹옵스 플랫폼이 보안 개발 라이프사이클을 "수동적이...

2021.05.06

대기업 도입은 더디다…2021년 SASE 시장 동향

중견중소기업에서 애플리케이션에 대한 보안 접근을 제공하기 위해 SASE에 주목하고 있다. 반면 대기업은 성숙도 부족, 기존 보안 및 디지털 혁신 투자로 인해 SASE 도입이 저조하다.    지난 10년 간 엣지 컴퓨팅 및 클라우드 인프라의 채택은 최근 급증한 원격 근무와 맞물려 전통적인 기존 네트워크 아키텍처 및 보안 모델에 심각한 과제를 안겼다. 대기업은 더 많은 IT 예산과 숙련된 직원이 접근 권한을 가지면서 이런 새로운 현실에 더 잘 적응할 수 있었지만, 중소기업은 원격 자산을 보호하는 데 필요한 접근 제어, 모니터링, 위협 탐지 기술을 따라잡기 위해 고군분투하고 있다.    이런 추세에 대응해 보안 공급업체와 클라우드 및 네트워크 공급업체는 서비스형 네트워크(Network as a Service)와 서비스형 네트워크 보안(Network Security as a Service) 기능을 결합한 새로운 소프트웨어 정의 및 클라우드 제공 솔루션을 출시했다. 가트너가 SASE(Secure Access Service Edge)라고 명명한 이 새로운 개념이 지향하는 목표는 기업이 로컬에 구현된 보안 어플라이언스에 의존하지 않고 클라우드 또는 로컬에서 모든 사용자와 모든 장치에서, 모든 애플리케이션에 대한 보안 접근을 제공할 수 있도록 하는 것이다.  최근 가트너 보고서에 따르면, 제로트러스트 네트워크(Zero Trust Network) 원칙을 기반으로 구축된 이 새로운 네트워크 보안 모델에 대한 관심이 지난 1년동안 폭발적으로 증가했다.  가트너는 2024년까지 기업의 30%가 동일한 공급업체로부터 클라우드 기반의 SWG(Secure Web Gateway), CASB(Cloud Access Security Broker), ZTNA(Zero Trust Network Access) 및 지사의 서비스형 방화벽(FireWall as a Service, FWaaS) 기능을 채택할 것으로 예상했다. 또한 가트너는 2...

SASE 대기업 중견중소기업 SASE시장 제로트러스트 가트너 IDC SWG CASB ZTNA

2021.05.04

중견중소기업에서 애플리케이션에 대한 보안 접근을 제공하기 위해 SASE에 주목하고 있다. 반면 대기업은 성숙도 부족, 기존 보안 및 디지털 혁신 투자로 인해 SASE 도입이 저조하다.    지난 10년 간 엣지 컴퓨팅 및 클라우드 인프라의 채택은 최근 급증한 원격 근무와 맞물려 전통적인 기존 네트워크 아키텍처 및 보안 모델에 심각한 과제를 안겼다. 대기업은 더 많은 IT 예산과 숙련된 직원이 접근 권한을 가지면서 이런 새로운 현실에 더 잘 적응할 수 있었지만, 중소기업은 원격 자산을 보호하는 데 필요한 접근 제어, 모니터링, 위협 탐지 기술을 따라잡기 위해 고군분투하고 있다.    이런 추세에 대응해 보안 공급업체와 클라우드 및 네트워크 공급업체는 서비스형 네트워크(Network as a Service)와 서비스형 네트워크 보안(Network Security as a Service) 기능을 결합한 새로운 소프트웨어 정의 및 클라우드 제공 솔루션을 출시했다. 가트너가 SASE(Secure Access Service Edge)라고 명명한 이 새로운 개념이 지향하는 목표는 기업이 로컬에 구현된 보안 어플라이언스에 의존하지 않고 클라우드 또는 로컬에서 모든 사용자와 모든 장치에서, 모든 애플리케이션에 대한 보안 접근을 제공할 수 있도록 하는 것이다.  최근 가트너 보고서에 따르면, 제로트러스트 네트워크(Zero Trust Network) 원칙을 기반으로 구축된 이 새로운 네트워크 보안 모델에 대한 관심이 지난 1년동안 폭발적으로 증가했다.  가트너는 2024년까지 기업의 30%가 동일한 공급업체로부터 클라우드 기반의 SWG(Secure Web Gateway), CASB(Cloud Access Security Broker), ZTNA(Zero Trust Network Access) 및 지사의 서비스형 방화벽(FireWall as a Service, FWaaS) 기능을 채택할 것으로 예상했다. 또한 가트너는 2...

2021.05.04

2021년 인기 네트워크 자격인증 현황

지난 해 3월, IT 전문가 협회인 CompTIA는 코로나19와 강제 재택근무가 업체 중립적인 IT 자격 인증과관련 교육을 제공한다는 협회의 핵심 목표에 어떤 영향을 미칠지 신경을 곤두세웠다. CompTIA의 최고 기술 에반젤리스트인 제임스 스테인저는 “이런 종류의 대변동이 일어날 때 교육은 어떤 의미를 갖는가?”라고 반문한다. 물론 교육보다는 비즈니스 문제에 더 많은 압력이 가해지기 쉽다. 하지만 우려와 달리 자격 인증은 원래의 성장세를 계속 유지한 것으로 나타났다.   CompTIA가 정확한 숫자를 밝히지는 않았지만, 어데코 그룹이 진행한 설문조사 결과는 예상치 못한 코로나19 봉쇄 조치의 영향으로 업무 기술력 향상, 이른바 업스킬(Upskill)이 큰 인기를 얻은 것으로 나타났다. IT 전문가 10명 중 6명은 재택근무가 시작된 이후 자격 인증을 포함해 기술 노하우를 향상시켰다고 답했다. 실제로 기초 표준과 프랙티스를 다루는 초급 네트워크 자격 인증은 2020년에 가장 큰 인기를 누렸다. 리서치 회사 푸트 파트너스(Foote Partners)에 따르면, CompTIA Network+는 업체 중립적인 교육으로 인기를 얻었고, CCNA(Cisco Certified Network Associate)는 폭넓은 기술 영역으로 가치가 20% 상승했다. CCNA는 네트워크 기초 요소부터 네트워크 액세스, IP 연결성, IP 서비스, 보안 기초 자동화 등의 영역을 포함한다. 기업 역시 갑자기 업무 관련성이 낮아진 IT 인력의 재교육을 추진했다. IT 리크루트 업체 로버트 하프 테크놀로지의 수석 부사장 짐 존슨은 “급하게 원격 근무로 바꾸느라 만약 헬프데스크 인력은 넘치는데 네트워크 인력이 부족하다면, 자격 인증 교육이 필요한 기술 역량을 제공한다”라고 설명했다. 푸트 파트너스의 CEO 데비잇 푸트는 IT 전문가 역시 코로나19 팬데믹에도 안전한 일자리를 찾을 수 있을지 알 수 없다며, 네트워킹과 보안 기술력은 일자리 안전에도 좋은 선택이 될 것이라고 ...

자격인증 뉴노멀 재택근무 제로트러스트 IaC

2021.02.08

지난 해 3월, IT 전문가 협회인 CompTIA는 코로나19와 강제 재택근무가 업체 중립적인 IT 자격 인증과관련 교육을 제공한다는 협회의 핵심 목표에 어떤 영향을 미칠지 신경을 곤두세웠다. CompTIA의 최고 기술 에반젤리스트인 제임스 스테인저는 “이런 종류의 대변동이 일어날 때 교육은 어떤 의미를 갖는가?”라고 반문한다. 물론 교육보다는 비즈니스 문제에 더 많은 압력이 가해지기 쉽다. 하지만 우려와 달리 자격 인증은 원래의 성장세를 계속 유지한 것으로 나타났다.   CompTIA가 정확한 숫자를 밝히지는 않았지만, 어데코 그룹이 진행한 설문조사 결과는 예상치 못한 코로나19 봉쇄 조치의 영향으로 업무 기술력 향상, 이른바 업스킬(Upskill)이 큰 인기를 얻은 것으로 나타났다. IT 전문가 10명 중 6명은 재택근무가 시작된 이후 자격 인증을 포함해 기술 노하우를 향상시켰다고 답했다. 실제로 기초 표준과 프랙티스를 다루는 초급 네트워크 자격 인증은 2020년에 가장 큰 인기를 누렸다. 리서치 회사 푸트 파트너스(Foote Partners)에 따르면, CompTIA Network+는 업체 중립적인 교육으로 인기를 얻었고, CCNA(Cisco Certified Network Associate)는 폭넓은 기술 영역으로 가치가 20% 상승했다. CCNA는 네트워크 기초 요소부터 네트워크 액세스, IP 연결성, IP 서비스, 보안 기초 자동화 등의 영역을 포함한다. 기업 역시 갑자기 업무 관련성이 낮아진 IT 인력의 재교육을 추진했다. IT 리크루트 업체 로버트 하프 테크놀로지의 수석 부사장 짐 존슨은 “급하게 원격 근무로 바꾸느라 만약 헬프데스크 인력은 넘치는데 네트워크 인력이 부족하다면, 자격 인증 교육이 필요한 기술 역량을 제공한다”라고 설명했다. 푸트 파트너스의 CEO 데비잇 푸트는 IT 전문가 역시 코로나19 팬데믹에도 안전한 일자리를 찾을 수 있을지 알 수 없다며, 네트워킹과 보안 기술력은 일자리 안전에도 좋은 선택이 될 것이라고 ...

2021.02.08

제로 트러스트 계획에서 IT 전문가가 고려해야 할 주요 요소

네트워크의 내부적으로 관리/소유/제어되는 측면(인트라넷 등)과 공용 측면(인터넷 등) 간의 보안 인터페이스인 네트워크 경계(Perimeter)에서 기업 네트워크를 보호하기 위한 수단으로 VPN에서 벗어나 제로 트러스트(Zero-Trust) 네트워크 액세스로 전환하려면 신중한 계획이 필요하며, 각각의 기업에 새로운 기술을 구현해야 할 수도 있다.    제로 트러스트 네트워크 액세스(Zero-Trust Network Access, ZTNA)는 ID 기반 인증을 사용해 네트워크에 접근하려는 개체와 신뢰를 구축하고 인증된 각 개체가 작업 수행에 필요한 데이터와 애플리케이션에만 접근할 수 있도록 허용한다. 또한 신뢰할 수 있다고 간주되는 개체의 중요한 데이터에 대한 접근을 제어할 수 있는 새로운 도구를 IT 부서에 제공한다.  ZTNA는 소프트웨어와 하드웨어, 서비스형(as a service) 등 다양한 형태를 취할 수 있으며 수많은 네트워킹과 보안 공급업체가 있다.  제로 트러스트와 SASE ZTNA는 보안과 네트워크 기능을 통합 클라우드 서비스로 통합하기 위해 더 광범위한 SASE(Secure Access Service Edge) 아키텍처와 호환된다. SASE는 어떤 사용자나 장치, 애플리케이션이라도 손상될 수 있다는 ZTNA 가정과 일치하므로, ZTNA는 SASE 아키텍처로 마이그레이션하는 데 도움이 되는 기술로 볼 수 있다. 그러나 ZTNA 구현은 간단한 작업이 아니다.  ZTNA 채택하기 위한 조건 및 고려사항 ZTNA를 채택하려면 엔터프라이즈 IT와 보안 팀의 상당한 조정 작업이 필요하며, 이는 항상 잠재적인 지연의 원인이 되므로 팀은 비즈니스 목표에 집중하고, 접근을 간소화하는 동시에 민감한 데이터를 보호하고 규정 준수를 유지해야 한다.  첫 번째 단계는 보호해야 할 데이터를 찾고, 네트워크 전체에서 현재 접근 및 데이터 흐름을 식별하는 것이다. 이는 보안의 가능한 약점을 밝혀내고 이를 방어...

제로트러스트 ZTNA SASE

2021.01.13

네트워크의 내부적으로 관리/소유/제어되는 측면(인트라넷 등)과 공용 측면(인터넷 등) 간의 보안 인터페이스인 네트워크 경계(Perimeter)에서 기업 네트워크를 보호하기 위한 수단으로 VPN에서 벗어나 제로 트러스트(Zero-Trust) 네트워크 액세스로 전환하려면 신중한 계획이 필요하며, 각각의 기업에 새로운 기술을 구현해야 할 수도 있다.    제로 트러스트 네트워크 액세스(Zero-Trust Network Access, ZTNA)는 ID 기반 인증을 사용해 네트워크에 접근하려는 개체와 신뢰를 구축하고 인증된 각 개체가 작업 수행에 필요한 데이터와 애플리케이션에만 접근할 수 있도록 허용한다. 또한 신뢰할 수 있다고 간주되는 개체의 중요한 데이터에 대한 접근을 제어할 수 있는 새로운 도구를 IT 부서에 제공한다.  ZTNA는 소프트웨어와 하드웨어, 서비스형(as a service) 등 다양한 형태를 취할 수 있으며 수많은 네트워킹과 보안 공급업체가 있다.  제로 트러스트와 SASE ZTNA는 보안과 네트워크 기능을 통합 클라우드 서비스로 통합하기 위해 더 광범위한 SASE(Secure Access Service Edge) 아키텍처와 호환된다. SASE는 어떤 사용자나 장치, 애플리케이션이라도 손상될 수 있다는 ZTNA 가정과 일치하므로, ZTNA는 SASE 아키텍처로 마이그레이션하는 데 도움이 되는 기술로 볼 수 있다. 그러나 ZTNA 구현은 간단한 작업이 아니다.  ZTNA 채택하기 위한 조건 및 고려사항 ZTNA를 채택하려면 엔터프라이즈 IT와 보안 팀의 상당한 조정 작업이 필요하며, 이는 항상 잠재적인 지연의 원인이 되므로 팀은 비즈니스 목표에 집중하고, 접근을 간소화하는 동시에 민감한 데이터를 보호하고 규정 준수를 유지해야 한다.  첫 번째 단계는 보호해야 할 데이터를 찾고, 네트워크 전체에서 현재 접근 및 데이터 흐름을 식별하는 것이다. 이는 보안의 가능한 약점을 밝혀내고 이를 방어...

2021.01.13

"코로나19가 위험 평가 및 대응 방식을 변화시켰다" 2020 보안 우선순위 보고서

새로운 IDG 설문 조사에 따르면, 코로나19로 인해 기관과 기업이 보안 위험을 평가하고 대응하는 방식이 바뀌었다.   보안 계획과 예산 책정은 언제나 모험이다. 현재 위험을 평가하고 가장 가능성이 높은 위협을 예측할 수 있지만, 사이버보안 위험의 유일한 상수는 예측 불가능성(unpredictability)이다. 그 위에 전 세계적인 전염병이 더해지면 CISO는 2021년 리소스를 어디에 요청하고 할당할 것인지 결정하기가 거의 불가능한 상황에 처하게 된다.  IDG는 11월 보안 우선순위 연구 보고서를 발표했다. 이 보고서는 코로나19 시대에 현재 보안의 초점이 무엇인지, 코로나19가 2021년 보안 우선순위와 지출을 주도할 요소를 어떻게 변화시켰는지를 보여주는 것이 목적이다. 미국, 아시아/태평양 및 유럽의 522명의 보안 전문가를 대상으로 한 이번 설문 조사에 따르면, 전염병은 기업이 위험을 평가하고 대응하는 방식을 영구적으로 변화시켰다.  새로운 관점에서 위험 바라보기   코로나19의 여파로 위협 행위자는 공격을 강화했다. 공격자는 많은 사람이 현재 원격으로 일하고 있기 때문에 더 취약해질 것을 알고 있다. 예를 들어, 지난 1년동안 발생한 보안 사고의 36%가 회사에 접속하기 위한 피싱 공격과 관련된 것으로 나타났다.  또한 공격자들은 직원의 업무 공간이 집으로 이동하면서 발생하는 업무 중단이 보안 및 IT 팀을 약하게 만든다는 것을 알고 있다. 응답자는 보안 사고의 29%가 패치가 적용되지 않은 소프트웨어 취약점과 관련이 있다고 답했으며, 대기업은 보안 사고의 34%가 잘못 구성된 서비스나 시스템에서 발생한다고 응답했다.  기업이 이런 위협에 대응하기 위해 IT 및 보안 시스템을 변경함에 따라 공격자는 새로운 약점을 찾아내기 위해 공격 전술을 바꿀 것으로 예상된다. 결과적으로 기업은 위험 평가와 대응 전략을 검토하고 있다. IDG 설문조사 응답자의 62%는 전염병이 위험에 대한 접근 방식...

보안우선순위 제로트러스트 위험평가 디셉션 인증

2020.12.03

새로운 IDG 설문 조사에 따르면, 코로나19로 인해 기관과 기업이 보안 위험을 평가하고 대응하는 방식이 바뀌었다.   보안 계획과 예산 책정은 언제나 모험이다. 현재 위험을 평가하고 가장 가능성이 높은 위협을 예측할 수 있지만, 사이버보안 위험의 유일한 상수는 예측 불가능성(unpredictability)이다. 그 위에 전 세계적인 전염병이 더해지면 CISO는 2021년 리소스를 어디에 요청하고 할당할 것인지 결정하기가 거의 불가능한 상황에 처하게 된다.  IDG는 11월 보안 우선순위 연구 보고서를 발표했다. 이 보고서는 코로나19 시대에 현재 보안의 초점이 무엇인지, 코로나19가 2021년 보안 우선순위와 지출을 주도할 요소를 어떻게 변화시켰는지를 보여주는 것이 목적이다. 미국, 아시아/태평양 및 유럽의 522명의 보안 전문가를 대상으로 한 이번 설문 조사에 따르면, 전염병은 기업이 위험을 평가하고 대응하는 방식을 영구적으로 변화시켰다.  새로운 관점에서 위험 바라보기   코로나19의 여파로 위협 행위자는 공격을 강화했다. 공격자는 많은 사람이 현재 원격으로 일하고 있기 때문에 더 취약해질 것을 알고 있다. 예를 들어, 지난 1년동안 발생한 보안 사고의 36%가 회사에 접속하기 위한 피싱 공격과 관련된 것으로 나타났다.  또한 공격자들은 직원의 업무 공간이 집으로 이동하면서 발생하는 업무 중단이 보안 및 IT 팀을 약하게 만든다는 것을 알고 있다. 응답자는 보안 사고의 29%가 패치가 적용되지 않은 소프트웨어 취약점과 관련이 있다고 답했으며, 대기업은 보안 사고의 34%가 잘못 구성된 서비스나 시스템에서 발생한다고 응답했다.  기업이 이런 위협에 대응하기 위해 IT 및 보안 시스템을 변경함에 따라 공격자는 새로운 약점을 찾아내기 위해 공격 전술을 바꿀 것으로 예상된다. 결과적으로 기업은 위험 평가와 대응 전략을 검토하고 있다. IDG 설문조사 응답자의 62%는 전염병이 위험에 대한 접근 방식...

2020.12.03

칼럼ㅣ좀 더 똑똑한 '보안'을 위해서 필요한 것

당신의 네트워크가 맥락을 파악할 수 있는가? 이러한 부분에서 머신러닝이 도움을 줄 수 있다. CIO의 최우선 현안은 무엇일까? CIO의 직무가 무엇인지 한마디로 명확하게 표현할 수 있을까? 기업 이사회와 고위 임원은 (정보시스템 회사가 아닌 이상) 자사의 정보시스템에 많이 신경 쓰지 않는다. 그러나 이들도 신경 쓰며 걱정하는 것이 한 가지 있다. 바로 보안 침해와 지속적인 사이버 위협이다.  조직 내에 최고정보보호책임자(CISO)가 있든 없든, CIO로서 당신의 최우선 현안은 조직을 보호하는 것이다. 기업 정보 자산의 보호를 위해 고려해볼 수 있는 방법을 소개한다.    게이팅 게임  '게이팅 게임(Gating game)'이란 게이머가 퍼즐을 풀어야만 앞으로 나아갈 수 있는 전략 또는 모험 경기를 말한다. 게이머는 출입구를 여는 도구를 발견하거나 다음 스테이지로 향하는 경로를 알려주는 수수께끼를 풀어야 한다. 게이머는 이러한 과제가 자신의 지적 능력을 측정하는 것이라 생각하곤 한다. 그래서 몇 날 며칠씩 문제를 해결하는 데 골몰한다.  (해커의) 관심 영역을 분할하고 물리적 관문이 아닌 논리적 관문을 통해 흐름을 통제한다는 발상은 보안에 걸맞는 개념인 것처럼 보인다. 다소 딱딱한 비유일 수 있지만 교정 시설은 실시간 감시 가능한 범위 내에서만 각 구역에 접근할 수 있게 함으로써 수감자를 관리한다. 특정 행위가 발생하면 일련의 이벤트가 촉발돼 적정 영역을 차단하여 잠재적 위험을 막는다.  현명한 CIO라면 이 두 가지 개념을 결합해 행동 인지와 문제 해결에 바탕을 둔 보안 시스템을 구축할 수 있다.  제로 트러스트가 아니다. '제로 에포트(effort)'다. 다음은 발신자 및 수신자 네트워크와 그에 따른 클라이언트-서버 조합이 포함된 이메일 시스템 기본 개요다. 녹색 상자는 이메일을 주고받는 사용자다. 노란색 양방향 화살표는 인증행위 및 이메일 클라이언...

보안 머신러닝 게이팅게임 제로트러스트

2020.09.14

당신의 네트워크가 맥락을 파악할 수 있는가? 이러한 부분에서 머신러닝이 도움을 줄 수 있다. CIO의 최우선 현안은 무엇일까? CIO의 직무가 무엇인지 한마디로 명확하게 표현할 수 있을까? 기업 이사회와 고위 임원은 (정보시스템 회사가 아닌 이상) 자사의 정보시스템에 많이 신경 쓰지 않는다. 그러나 이들도 신경 쓰며 걱정하는 것이 한 가지 있다. 바로 보안 침해와 지속적인 사이버 위협이다.  조직 내에 최고정보보호책임자(CISO)가 있든 없든, CIO로서 당신의 최우선 현안은 조직을 보호하는 것이다. 기업 정보 자산의 보호를 위해 고려해볼 수 있는 방법을 소개한다.    게이팅 게임  '게이팅 게임(Gating game)'이란 게이머가 퍼즐을 풀어야만 앞으로 나아갈 수 있는 전략 또는 모험 경기를 말한다. 게이머는 출입구를 여는 도구를 발견하거나 다음 스테이지로 향하는 경로를 알려주는 수수께끼를 풀어야 한다. 게이머는 이러한 과제가 자신의 지적 능력을 측정하는 것이라 생각하곤 한다. 그래서 몇 날 며칠씩 문제를 해결하는 데 골몰한다.  (해커의) 관심 영역을 분할하고 물리적 관문이 아닌 논리적 관문을 통해 흐름을 통제한다는 발상은 보안에 걸맞는 개념인 것처럼 보인다. 다소 딱딱한 비유일 수 있지만 교정 시설은 실시간 감시 가능한 범위 내에서만 각 구역에 접근할 수 있게 함으로써 수감자를 관리한다. 특정 행위가 발생하면 일련의 이벤트가 촉발돼 적정 영역을 차단하여 잠재적 위험을 막는다.  현명한 CIO라면 이 두 가지 개념을 결합해 행동 인지와 문제 해결에 바탕을 둔 보안 시스템을 구축할 수 있다.  제로 트러스트가 아니다. '제로 에포트(effort)'다. 다음은 발신자 및 수신자 네트워크와 그에 따른 클라이언트-서버 조합이 포함된 이메일 시스템 기본 개요다. 녹색 상자는 이메일을 주고받는 사용자다. 노란색 양방향 화살표는 인증행위 및 이메일 클라이언...

2020.09.14

코로나19로 '제로 트러스트 보안 모델' 문 열린다

코로나19(COVID-19)의 팬데믹으로 인해 많은 조직이 재택근무를 시행할 수밖에 없는 상황에 처했지만 재택근무를 철저히 준비한 조직은 많지 않다.   IT 부서는 빈약한 VPN 인프라, 부족한 대역폭, 직원이 집으로 가져갈 수 있는 기기의 부족 등에 시달리면서도 현재 상황이 생산성에 미치는 영향을 줄이고 직원이 업무 수행을 위해 필요한 회사 리소스와 애플리케이션에 액세스할 수 있도록 하기 위해 동분서주하고 있다. 그러나 최대한 신속하게 원격 근무 환경을 구축하라는 경영진의 강한 압박은 IT 부서가 지름길을 선택해 기존 보안 정책과 관행을 무시하는 결과로 이어져 이는 장기적으로 비즈니스 연속성 측면에서 큰 문제를 야기할 수 있다. 공격자가 노출된 서비스 또는 원격 직원의 개인 기기를 통해 회사의 프라이빗 네트워크에 대한 액세스 권한을 획득한 다음, 횡적으로 이동하면서 랜섬웨어로 내부 서버를 감염시키는 경우 발생할 피해를 상상해 보자. 게다가 IT 팀과 보안 팀도 원격으로 작업하고 있어 현장에서 직접 문제를 해결할 수도 없는 상황이다. 포레스터에서 보안 및 위험 전문가를 위한 정보를 제공하는 수석 분석가 체이스 커닝햄은 이런 상황에서 복구하기는 극히 어렵다면서 “한 사람의 액세스 권한이 순식간에 인프라 전체의 파괴로 이어지는 시나리오”라고 말했다. 원격 근무자를 향한 공격 심화 과거에는 기업이 원격 데스크톱 프로토콜(RDP) 서비스를 인터넷에 직접적으로 노출하고 이런 서비스가 해킹되어 사이버 범죄의 진입점으로 사용되는 경우가 많았다. 좋지 않은 소식이지만 코로나19 사태를 맞은 지금 사람들이 원격 액세스를 위해 지름길을 택하는 추세가 나타나면서 안전하지 않은 서비스 및 방화벽 구성으로 인한 사고도 증가할 가능성이 높다. 최근 비트디펜더(Bitdefender)의 연구진은 인증 정보를 훔치는 트로이목마인 트릭봇(TrickBot)에 감염된 컴퓨터를 사용해 RDP 무차별 대입 공격을 실행하는 새로운 모듈이 추가됐다고 경고했다. 연구진이 확인한 ...

제로트러스트

2020.03.27

코로나19(COVID-19)의 팬데믹으로 인해 많은 조직이 재택근무를 시행할 수밖에 없는 상황에 처했지만 재택근무를 철저히 준비한 조직은 많지 않다.   IT 부서는 빈약한 VPN 인프라, 부족한 대역폭, 직원이 집으로 가져갈 수 있는 기기의 부족 등에 시달리면서도 현재 상황이 생산성에 미치는 영향을 줄이고 직원이 업무 수행을 위해 필요한 회사 리소스와 애플리케이션에 액세스할 수 있도록 하기 위해 동분서주하고 있다. 그러나 최대한 신속하게 원격 근무 환경을 구축하라는 경영진의 강한 압박은 IT 부서가 지름길을 선택해 기존 보안 정책과 관행을 무시하는 결과로 이어져 이는 장기적으로 비즈니스 연속성 측면에서 큰 문제를 야기할 수 있다. 공격자가 노출된 서비스 또는 원격 직원의 개인 기기를 통해 회사의 프라이빗 네트워크에 대한 액세스 권한을 획득한 다음, 횡적으로 이동하면서 랜섬웨어로 내부 서버를 감염시키는 경우 발생할 피해를 상상해 보자. 게다가 IT 팀과 보안 팀도 원격으로 작업하고 있어 현장에서 직접 문제를 해결할 수도 없는 상황이다. 포레스터에서 보안 및 위험 전문가를 위한 정보를 제공하는 수석 분석가 체이스 커닝햄은 이런 상황에서 복구하기는 극히 어렵다면서 “한 사람의 액세스 권한이 순식간에 인프라 전체의 파괴로 이어지는 시나리오”라고 말했다. 원격 근무자를 향한 공격 심화 과거에는 기업이 원격 데스크톱 프로토콜(RDP) 서비스를 인터넷에 직접적으로 노출하고 이런 서비스가 해킹되어 사이버 범죄의 진입점으로 사용되는 경우가 많았다. 좋지 않은 소식이지만 코로나19 사태를 맞은 지금 사람들이 원격 액세스를 위해 지름길을 택하는 추세가 나타나면서 안전하지 않은 서비스 및 방화벽 구성으로 인한 사고도 증가할 가능성이 높다. 최근 비트디펜더(Bitdefender)의 연구진은 인증 정보를 훔치는 트로이목마인 트릭봇(TrickBot)에 감염된 컴퓨터를 사용해 RDP 무차별 대입 공격을 실행하는 새로운 모듈이 추가됐다고 경고했다. 연구진이 확인한 ...

2020.03.27

위기를 낭비하지 마라··· CIO가 기업 연속성을 강화하는 법

코로나19의 여파가 전 세계를 뒤흔들고 있다. 기업도 예외는 아니다. 이에 따라 IT 리더가 원활한 원격근무 환경은 물론 안전한 보안 환경을 구축 및 지원하는 것이 그 어느 때보다도 중요해지고 있다.  가트너의 애널리스트 샌디 셴은 “코로나바이러스가 전통적인 채널과 운영 방식에 큰 영향을 주면서 디지털 채널과 제품, 운영 방식의 가치가 명백히 드러나고 있다. 이는 디지털 비즈니스와 장기적 차원의 지속가능성에 대한 투자를 경시한 채 일상적인 운영 요구사항에만 집중해왔던 기업에 경종을 울리고 있다”라고 지적했다.  기업 연속성 계획(BCP) 강화가 필요한 시점이다. 사이버위협 대응 훈련 계획부터 추가적인 데이터센터 가동 계획, 원격근무 관리까지 IT 리더들도 COVID-19 위기에 맞서고 있다. 여러 IT 리더들이 코로나19 위기에 대응해 기업 연속성을 강화하는 계획을 어떻게 수립하고 있는지 살펴본다.    원격 액세스를 강화하라 결제기술 서비스 회사인 어비드익스체인지(AvidXchange)에 2018년 CIO로 취임한 엔젤릭 깁슨은 장애 없는 서비스 제공을 위해 기업 연속성 계획에 계속해서 투자해왔다. 여기에는 직원 1,400명을 대상으로 한 원격근무 시행 계획도 포함돼 있다. 깁슨은 CIO닷컴과의 인터뷰에서 “코로나19로 인해 실제 시행되고 있는 기업 연속성 계획들이 있다”라고 말했다. 특히 코로나19가 세계적 대유행병으로 격상되면서 깁슨은 ‘롤플레잉’ 활동을 강화했다. 이를테면 원격근무자가 적절한 도구, 즉 끊김 없는 화상회의를 가능케 하는 컴퓨터와 협업 솔루션을 갖추고 있는지 테스트하는 것이다. 그는 또한 용량 테스트 등을 진행해 VPN을 통한 안정적인 네트워크 트래픽도 확보했다. 직원들이 기업용 애플리케이션을 원활하게 이용할 수 있게 하기 위해서다.  많은 기업이 사이버 공격으로 업무가 중단되는 상황을 대비해 실시하는 사이버위협 대응 훈련과 '롤플레잉'이 유사하다고 깁슨은 설명했다. 사이버위협 대응 ...

원격근무 코로나바이러스 코로나19 다중인증 제로트러스트 네트워크 위기관리 재택근무 커뮤니케이션 보안 기업연속성

2020.03.20

코로나19의 여파가 전 세계를 뒤흔들고 있다. 기업도 예외는 아니다. 이에 따라 IT 리더가 원활한 원격근무 환경은 물론 안전한 보안 환경을 구축 및 지원하는 것이 그 어느 때보다도 중요해지고 있다.  가트너의 애널리스트 샌디 셴은 “코로나바이러스가 전통적인 채널과 운영 방식에 큰 영향을 주면서 디지털 채널과 제품, 운영 방식의 가치가 명백히 드러나고 있다. 이는 디지털 비즈니스와 장기적 차원의 지속가능성에 대한 투자를 경시한 채 일상적인 운영 요구사항에만 집중해왔던 기업에 경종을 울리고 있다”라고 지적했다.  기업 연속성 계획(BCP) 강화가 필요한 시점이다. 사이버위협 대응 훈련 계획부터 추가적인 데이터센터 가동 계획, 원격근무 관리까지 IT 리더들도 COVID-19 위기에 맞서고 있다. 여러 IT 리더들이 코로나19 위기에 대응해 기업 연속성을 강화하는 계획을 어떻게 수립하고 있는지 살펴본다.    원격 액세스를 강화하라 결제기술 서비스 회사인 어비드익스체인지(AvidXchange)에 2018년 CIO로 취임한 엔젤릭 깁슨은 장애 없는 서비스 제공을 위해 기업 연속성 계획에 계속해서 투자해왔다. 여기에는 직원 1,400명을 대상으로 한 원격근무 시행 계획도 포함돼 있다. 깁슨은 CIO닷컴과의 인터뷰에서 “코로나19로 인해 실제 시행되고 있는 기업 연속성 계획들이 있다”라고 말했다. 특히 코로나19가 세계적 대유행병으로 격상되면서 깁슨은 ‘롤플레잉’ 활동을 강화했다. 이를테면 원격근무자가 적절한 도구, 즉 끊김 없는 화상회의를 가능케 하는 컴퓨터와 협업 솔루션을 갖추고 있는지 테스트하는 것이다. 그는 또한 용량 테스트 등을 진행해 VPN을 통한 안정적인 네트워크 트래픽도 확보했다. 직원들이 기업용 애플리케이션을 원활하게 이용할 수 있게 하기 위해서다.  많은 기업이 사이버 공격으로 업무가 중단되는 상황을 대비해 실시하는 사이버위협 대응 훈련과 '롤플레잉'이 유사하다고 깁슨은 설명했다. 사이버위협 대응 ...

2020.03.20

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.5.0.9