보안뉴스
신뢰하지 않음으로 신뢰한다... ‘제로트러스트’ 톺아보기①
박은주 기자
입력 : 2023-08-06 10:12
제로트러스트 가이드라인 1.0 발간, 국내 제로트러스트 도입에 도움을 주는 첫걸음
제로트러스트 도입 배경·개념과 철학 및 원칙 짚어보기
[보안뉴스 박은주 기자] 기존 사이버보안 체계인 ‘경계 보안 모델’은 한계에 다다랐다는 평가다. 세계는 코로나19를 겪으며 빠르게 비대면 환경으로 변화했고, 디지털 대전환이 시작됐다. 모바일 기기와 사물인터넷(IoT), 클라우드 사용이 늘며 리소스 위치가 다변화하고 접속 요구 시간 및 위치에 대한 예측이 어려워졌다. 기하급수적으로 늘어나는 사용자와 장비, 단말기로 권한 관리가 복잡해지고 보안 유지에 어려움이 생겼다. 이는 기존 보안 체계에 균열을 일으켰다.
[이미지=Gettyimagesbank]
경계 기반 모델은 내부자를 암묵적으로 신뢰하고 높은 권한을 부여한다. 이는 최근 고도화·지능화되는 사이버 위협으로부터 치명적인 손상을 입을 수 있다는 단점으로 작용한다. 공격자가 관리자나 임원의 계정을 탈취해 서버 침투에 성공했을 때, 중요 서버까지 침투하는 횡적 이동(Lateral Movement)이 가능하다. 이를 통해 해당 서버의 핵심 정보를 빼앗기고, 데이터가 유출될 수 있는 위협이 존재한다.
오늘날 랜섬웨어 등의 사이버 공격은 실질적인 국가 안보와 인프라, 국민 생활에 위협이 되고 있다. 내부자에게 높은 신뢰와 권한을 부여하는 보안 모델이 유지된다면, 기업 내 서버 침투 및 데이터 유출은 불가피한 상황이다. 사이버 공격에 대비해 기업이나 기관은 기존 보안 기술을 개선한 SIEM, SOAR, XDR 등의 보안관제 솔루션을 도입해 운용하고 있지만, 보안 체계의 문제를 완전히 해결하기엔 어려움이 따른다.
이에 보안 선진국이라고 불리는 미국에서는 제로트러스트(Zero Trust)에 대한 논의가 활발하게 이뤄졌다. 미국표준기술연구소(NIST, National Institute of Standards and Technology)는 2020년 ‘제로트러스트 아키텍처’를 발표했다. 또한, 바이든 행정부도 2021년 연방정부의 사이버보안 강화를 위해 제로트러스트와 공급망 보안을 추진하는 행정명령을 내렸다.
국내에서는 2023년 3월 산·학·연·관 전문가들이 참여해 ‘한국제로트러스트 포럼’을 구성했다. 또한, 국내외 기술동향을 분석하고, 전문가의 의견을 모아 7월 ‘제로트러스트 가이드라인 1.0’을 발간했다.
제로트러스트의 개념을 한마디로 설명하면 ‘절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)’이다. NIST는 제로트러스트 개념을 ‘항상 네트워크가 침해됐다고 가정하고, 보호해야 할 데이터 및 컴퓨팅 서비스에 대한 접근 요구에 정확하고 최소한의 권한을 부여하는 아이디어와 개념의 모음’이라고 설명했다.
국내 가이드라인에서 제로트러스트 개념을 설명할 때 보안 위협이 언제 어디서든 발생할 수 있다는 상황을 전제로 한다. 보안 요건을 갖추지 않은 사용자나 기기에 대한 접근을 제한하고, ‘내부 데이터 보호’에 집중하는 새로운 보안 패러다임이라고 소개하고 있다.
제로트러스트 모델을 적용하면, 신뢰도를 판단하기 전까지 어떤 접근도 믿지 않고, 접근을 거부한다. 기존 경계 기반 모델은 내부 네트워크를 신뢰하는 자원, 인터넷을 신뢰하지 않는 자원으로 구분 지어 보안을 유지했다. 반면, 제로트러스트 모델은 보호해야 하는 모든 데이터와 컴퓨팅 서비스를 자원(Resource)으로 분리·보호하고, 각 자원에 접속할 때마다 인증을 거쳐야 한다. 네트워크 내부의 접속 요구 시 어느 정도 신뢰를 기반으로 판단하는 기존 보안 체계와 뚜렷하게 구분되는 점이다.
또한, 제로트러스트는 기술적인 접근뿐만 아니라 조직 문화, 프로세스 개선도 일부분으로 도입할 수 있다. 그러나 더 높은 수준의 보안을 유지하기 위한 개념의 모음으로 특정한 보안 솔루션이 아니며 어떤 제품에 종속되지 않는다.
제로트러스트 6가지 철학과 3가지 핵심 원칙
가이드라인에는 국내 네트워크 환경 등을 고려해 6가지 기본 철학과 3가지 핵심 원칙을 제시하고 있다. 6가지 철학은 다음과 같다.
1. 모든 종류의 접근에 대해 신뢰하지 않을 것
2. 일관되고 중앙 집중적인 정책 관리 및 접근제어 결정·실행 필요
3. 사용자, 기기에 대한 관리 및 강력한 인증
4. 자원 분류 및 관리를 통한 세밀한 접근 제어(최소 권한 부여)
5. 논리 경계 생성 및 세션 단위 접근 허용, 통신 보호 기술 적용
6. 모든 상태에 대한 모니터링, 로그 기록 등을 통한 신뢰성 지속 검증·제어가 있다.
3가지 핵심 원칙은 제로트러스트 아키텍처를 구현하기 위한 접근 방법으로 △인증 체계 강화 △마이크로 세그멘테이션(Micro Segmentation) △소프트웨어 정의 경계가 있다. 제로트러스트 아키텍처(Zero Trust Architecture)란 제로트러스트 개념을 사용한 기업 사이버보안 계획을 말하는데, 컴포넌트 간 관계, 워크플로우 설계, 접근 정책을 포함하고 있는 제로트러스트 설계 방식을 지칭한다. 제로트러스트 아키텍처 구현은 네트워크 환경에 따라 차이가 있을 수 있으나, 완전한 제로트러스트의 개념은 3가지 핵심 원칙을 모두 포함해야 한다.
3가지 핵심 원칙 중 첫째, 인증체계를 강화하려면 각종 자원에 접근하는 단말, 자산 상태, 환경 요소 등의 신뢰도를 핵심요소로 설정하고 인증 정책을 수립해야 한다. 그 다음, 마이크로 세그멘테이션 구현을 위해서는 우선 보안 게이트웨이를 통해 보호되는 단독 네트워크 구역(Segment)에 개별 자원을 배치해야 한다. 이후 각종 접근 요청에 대한 지속적인 신뢰 검증을 수행하게 된다. 세 번째, 소프트웨어 정의 경계 시 경계 기법을 사용해 정책 엔진 결정에 따르는 네트워크 동적 구성, 사용자·단말 신뢰 확보 후 자원 접근을 위한 데이터 채널을 형성한다.
핵심 원칙을 포함한 제로트러스트 실현은 기존 경계 기반 보안과 달리 내부자조차도 더 이상 신뢰하지 않는다. 이에 따라서 강력한 관리, 인증, 접근제어 및 상태 감시를 통한 통제가 필요하다. 3가지 핵심 원칙을 토대로 기본 철학 6가지를 기술적으로 실현할 수 있게 되는 것이다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
