제로 트러스트의 7가지 기둥

조직들은 사이버 보안과 사이버 복원력을 강화하기 위해 점점 더 제로 트러스트 모델을 도입하고 있습니다. 본 문서는 제로 트러스트가 무엇인지, 주요 이점과 과제, 그리고 제로 트러스트 구현의 7가지 기둥을 설명합니다.

제로 트러스트란?

전통적인 사이버보안 전략은 경계 기반 프레임워크(perimeter-based framework)에 기반을 두었습니다. 핵심은 악의적인 주체가 네트워크에 침입하는 것을 막는 데 있었습니다. 반면, 경계 내부의 사용자, 프로세스, 장치 및 기타 주체들은 IT 리소스에 대해 광범위한 접근 권한을 부여받았습니다. “우리는 상당히 평평한 네트워크를 가지고 있다”는 표현은 경계 안에 있는 누구나 모든 것(또는 거의 모든 것)을 볼 수 있고 접근할 수 있으며, 내부 경계가 설정되어 있지 않다는 의미를 설명하기 위해 사용되었습니다.

그러나 원격 근무, 개인 소유 기기(Bring-Your-Own-Device, BYOD) 정책, 복잡한 공급망과 같은 요인들로 인해 수년에 걸쳐 네트워크 내 주체와 네트워크 외 주체의 구분이 점점 더 흐려지고 있습니다. 또한 사고 포렌식(Incident forensics) 결과, 네트워크를 침해한 공격자들은 합법적인 사용자 자격 증명을 훔치거나 추측하는 방식으로 접근하는 경우가 많고, 그 뒤에는 몇 주, 몇 달, 심지어 몇 년 동안 내부에 은밀히 머무르면서 측면 이동을 하고 권한을 상승시켜 민감한 시스템이나 데이터에 접근할 수 있을 때까지 활동하는 것으로 드러났습니다. 더불어 자격 증명의 소유자 자신도 고의 또는 실수나 부주의를 통해 피해를 유발할 수 있습니다.

이러한 현실에 대응하기 위해 Zero Trust는 “절대 신뢰하지 말고, 항상 검증하라(never trust, always verify)”로 요약되는 새로운 형태의 사이버보안 접근 방식을 제공합니다. 실제로 Zero Trust에는 다음을 포함한 다양한 보안 제어가 포함됩니다:

• 위험 기반 재인증 — 어떠한 사용자, 프로세스 또는 기타 신원(Identity)도 한 번 인증한 다음 IT 리소스에 자유롭게 접근하도록 허용해서는 안 됩니다. 초기 접근이 다중 인증(Multi-Factor Authentication, MFA)으로 확인되었다 하더라도 마찬가지입니다. 대신, 각 액세스 요청의 위험을 다양한 요소에 근거해 평가해야 하며, 그 위험이 정의된 임계값을 초과하면 추가 인증이 필요해야 합니다. 예를 들어 요청의 시간과 위치, 요청되는 리소스의 분류 방식(예: 공개, 기밀 또는 최고기밀), 요청하는 장치의 특성(예: 소프트웨어 버전 정보), 그리고 해당 주체에 대한 정상 활동 패턴에 관한 행동 분석(behavioral analytics) 등이 요소가 될 수 있습니다.
• 최소 권한 원칙에 대한 엄격한 준수 — 또한 Zero Trust는 특정 작업을 완료하는 데 필요한 리소스에 대해서만 접근 권한을 부여해야 하며, 그 권한은 시간 제한을 두어야 한다고 요구합니다. 이는 네트워크 내의 어떤 신원(Identity)이든, 정당한 소유자가 사용하든 공격자가 침해해 사용하든 간에, 해당 신원이 초래할 수 있는 피해 범위를 제한합니다.
• 활동에 대한 면밀한 모니터링 — 위협을 신속하게 탐지하기 위해 Zero Trust는 IT 인프라 전반에서 활동을 지속적으로 모니터링해야 하며, 여기에는 엔드 유저, 관리자, 서비스 계정, 디바이스 등의 행위가 포함됩니다.

Zero Trust의 7가지 기둥은 무엇인가요?

미 국방부(DoD) "Zero Trust Reference Architecture"Department of Defense (DoD) "Zero Trust Reference Architecture"는 Zero Trust 원칙을 구현하기 위한 상호 연결된 7가지 기둥을 제시합니다:

• 사용자 — 이 영역에는 사용자 신원을 인증하고 그들의 권한을 관리하기와 관련된 모든 프로세스가 포함됩니다. 예로는 identity and access management (IAM), privileged access management (PAM), 그리고 다중 요소 인증이 있습니다.
• 디바이스 — 이 기둥은 디바이스의 정체성을 인증하고, 최신 소프트웨어를 보유하는 것처럼 보안 표준을 충족하며 승인되지 않은 구성요소가 없는 등의 조건을 보장하는 것을 포함합니다. 디바이스 보안을 위한 도구로는 지속적인 진단 및 대응(CDM) 시스템, 모바일 디바이스 관리(MDM) 솔루션, 신뢰할 수 있는 플랫폼 모듈(TPM)이 있습니다.
• 네트워크/환경 — 이 영역은 온프레미스 및 원격(오프사이트) 환경을 포함해 네트워크를 분리하고 제어하는 것을 다룹니다. 주요 네트워크 보안 전략에는 세분화된 접근 권한과 마이크로 및 매크로 분할(세그멘테이션)이 포함됩니다.
• 애플리케이션 및 워크로드— 이 기둥은 소프트웨어가 수행하는 모든 작업을 포함합니다. 여기서 프록시 기술이 유용할 수 있습니다.
• 데이터 — 이 영역에는 조직이 저장하고 처리하는 모든 데이터가 포함됩니다. 포괄적인 데이터 관리 전략에는 최소 권한 원칙을 적용하기 위한 데이터 접근 검토, 그리고 잘못된 손에 넘어갈 경우를 대비해 데이터를 보호하는 암호화 같은 통제가 포함됩니다.
• 가시성 및 분석 — 이 기둥은 위협을 탐지하기 위해 네트워크 및 시스템 활동을 분석하는 것을 포함합니다. 관련 기술로는 네트워크 및 시스템 활동 로그, 위협 인텔리전스 피드, 그리고 SIEM 도구가 있습니다.
• 자동화 및 오케스트레이션 — 이 영역은 위협 탐지 및 대응과 같은 보안 프로세스를 자동화하여 보안 정책 구현의 속도와 일관성을 높이는 것을 포함합니다.

제로 트러스트 아키텍처란 무엇인가요?

제로 트러스트의 핵심 원칙을 구현하려면 조직은 제로 트러스트 아키텍처를 구축해야 합니다. NIST SP 800-207 “Zero Trust Architecture” 에서는 주요 구성 요소를 다음과 같이 설명합니다:

그림의 가운데에는 정책 구성 요소가 있습니다:

• 정책 엔진(PE) — 요청에 대한 데이터를 수집하고, 엔터프라이즈 정책을 사용하여 요청을 승인할지 여부를 결정합니다
• 정책 관리자(PA) — PE로부터 인증 결정 사항을 받아 세션을 허용하기 위해 자격 증명이나 토큰을 생성(또는 생성하지)합니다
• 정책 집행 지점(PEP) — PA가 보낸 명령에 따라 요청 장치와 프라이빗 리소스 간의 연결을 관리합니다.

왼쪽과 오른쪽에는 PE에 입력되는 데이터 소스가 있습니다:

• 지속적인 진단 및 대응(CDM) 시스템 — 요청 장치의 특성에 대한 정보를 수집합니다
• 산업 규정 준수 시스템 — 해당 규정(예: FISMA 또는 )을 준수하는 데 도움이 되도록 정책 규칙을 인코딩합니다
• 위협 인텔리전스 피드 — 액세스 제어 프로세스와 관련된 공격 또는 취약점에 대한 정보를 제공합니다.
• 네트워크 및 시스템 활동 로그 — 위협 탐지를 개선하고 비정상 행위를 측정하기 위해 네트워크 내 이벤트에 대한 정보를 기록합니다
• 데이터 액세스 정책 — 특정 시간에 특정 리소스에 접근이 허용되는 주체(대상)를 결정하는 기본 규칙을 정의합니다
• 보안 정보 및 이벤트 관리(SIEM) 시스템 — 다양한 소스의 데이터를 수집하고 분석하여 보안 위협을 식별합니다
• 아이덴티티 관리 시스템 — 리소스에 대한 액세스를 요청하는 계정의 아이덴티티(신원) 레코드를 관리합니다

제로 트러스트를 구현할 때 어떤 과제가 있나요?

Zero Trust 모델을 구현할 때의 주요 과제는 다음과 같습니다:

• 레거시 시스템에서 마이그레이션 — 대부분의 조직은 처음부터 Zero Trust를 구축하기 어렵습니다. 대신 기존 시스템과 프로세스를 Zero Trust 대안으로 점진적으로 교체해야 합니다. 마이그레이션 기간 동안에는 기존 구성요소와 새로운 구성요소가 원활하게 함께 작동하도록 하여 강력한 보안을 유지할 필요가 있습니다.
• 견고한 데이터 소스 구축 — 또 다른 구현 과제는 신뢰할 수 있는 인증 결정이 가능하도록 PE에 제공할 충분한 데이터를 수집하는 데 있습니다. 이를 위해서는 기업 자산, 주체(subjects), 그리고 비즈니스 프로세스에 대한 상세한 지식이 필요합니다.
• 정책 구성 요소 보안 — 인증 프로세스, 나아가 비즈니스 운영에 대한 중단을 방지하려면 조직은 PE, PA, PEP를 보호해야 합니다. 이들은 안전한 환경에 배치하거나 여러 환경에 복제해야 합니다. 또한 구성 변경 사항은 모두 로그로 기록하고 감사(audit)하여, 면밀하게 모니터링해야 합니다.
• 사용자 수용성 높이기 — Zero Trust는 권한을 최소화하고 위험이 더 큰 액세스 요청에 대해서는 재인증을 요구하므로, 사용자는 변화에 대해 불만이나 좌절감을 느낄 수 있습니다. 이를 줄이기 위해 보안 피로감을 유발하지 않도록 실제로 사용자가 필요로 하는 액세스 권한을 제거하지 말고, MFA는 정당한 경우에만 요구하세요. 더 넓게는 보안 이점을 설명함으로써 Zero Trust에 대한 사고방식을 길러주는 것이 중요합니다. 또한 오해도 바로잡을 만합니다. 즉 "Zero Trust"가 사람인 직원에 대한 신뢰 부족을 의미한다는 오해가 있는데, 실제로는 어떤 장치, 시스템, 사용자 또는 기타 엔터티도 자동으로 신뢰하지 않는다는 뜻이라고 설명하세요.
• 적절한 수준의 권한 관리 – 권한을 최소화하는 것이 곧 ‘권한 0’을 의미하는 것은 아닙니다. 사용자는 인증을 마친 이후에도 일정한 권한을 부여받게 되지만, 사용 가능한 모든 권한을 그대로 다 받지는 말아야 합니다. 2023년 Microsoft 보고서는 클라우드에서 부여된 권한과 실제 사용된 권한 사이에 위험한 격차가 있음을 보여주는데, 정체성(아이덴티티)은 자신에게 부여된 권한의 1%만 사용합니다. 이를 해결하려면 사용자의 역할(들)과 해당 역할에 부여된 권한이 면밀하게 관리되며, 가능한 한 최소 수준으로 축소되도록 하세요. 또한 필요한 권리를 부여할 때 단기적(just-in-time) 예외를 허용하는 프로세스나, 감사(audited) 대상이 되는 셀프 서비스 방식으로 필요한 권리를 할당할 수 있는 절차를 마련해 두면 제로 트러스트 운영이 더 쉬워집니다.

결론

제로 트러스트(Zero Trust) 보안 모델을 구현하는 것은 빠르고 쉬운 작업이 아니지만, 7가지 제로 트러스트 원칙은 필요한 도구와 프로세스를 식별하기 위한 탄탄한 기반을 제공합니다. 좋은 소식은 모든 원칙을 다 구현하지 않아도 이점을 확인할 수 있다는 점입니다. 제로 트러스트 아키텍처를 구축해 나가는 각 단계는 여러분의 사이버 보안과 사이버 회복탄력성을 향상시켜 줍니다.