BLOG

차세대 통합보안관리 기업
이글루시큐리티 블로그입니다.

전문화된 보안 관련 자료, 보안 트렌드를 엿볼 수 있는
차세대 통합보안관리 기업 이글루시큐리티 블로그입니다.

블로그 상세
제로 트러스트(Zero Trust) 시대의 도래, 모든 것을 의심하고 조사하라 2019.07.03 3 2500


 

 

 

■ 보안 위협에 대응하는 보안관제의 발전 현황

 

정보통신기술(ICT)과 전통산업의 융합으로 촉진된 4차 산업혁명은 산업 간 기술의 경계를 허물고 있다. ICT에 기반한 비즈니스 경험이 없는 전통산업 기업들까지 기존에 경험하지 못했던 사이버 보안 위협에 대응해야 하는 상황에 놓이게 되었다. 보안이 전통산업 비즈니스에 필수불가결한 요소가 되어가고 있다.

 

사실 사이버 보안은 디지털 환경에서 공격자와 방어자 사이의 팽팽한 줄다리기를 지속해왔다. 그러나 단 하나의 공격만 성공해도 되는 공격자와 달리 모든 위협 요인을 관리해야 하는 방어자는 공격자에 비해 비대칭적 위치에 있을 수밖에 없었다. 이에 이러한 불평등을 해소하기 위한 방법으로 보안업계에서는 어떻게 하면 보안 위협 요인을 효율적으로 관리할 수 있을지에 대한 논의가 끊이지 않았다.

 

그리고 방어자는 보안관제센터(SOC, Security Operation Center)를 통해 IT 인프라에 대한 위협 대응 및 관리를 수행하게 되었고 보안관제는 보안 패러다임의 변화에 따라 단위보안관제, 통합보안관제, 빅데이터 보안관제, 인공지능 보안관제로 발전했다.

  

  

 

[그림 1] 보안 패러다임 변화에 따른 보안관제 주요 전략

 

 

보다 자세히 설명하자면 보안관제 전략은 네트워크 보안장비 기반의 경계 보안(Perimeter Security)을 통해 외부와 내부를 분리하는 1세대 단위보안관제를 시작으로 데이터 보안(Data Security)기반의 2세대 통합보안관제, 신뢰 보안(Trust Security)기반의 3세대 빅데이터 보안관제로 발전하였으며 최근에는 인공지능 기술을 적용한 보안관제 방안에 대한 연구가 활발히 진행되고 있다.

 

 

■ ‘믿는 도끼들의 배신’, 제로 트러스트(Zero Trust) 시대의 시작

 

내부 네트워크나 내부 사용자에 대한 신뢰기반의 보안모델(Trust based Security Model)은 경계 보안(Perimeter Security)을 지나 데이터 보안(Data Security), 신뢰 보안(Trust Security) 모델에 많은 영향을 미쳤다. 그러나 이는 ‘믿는 도끼들’을 기반으로 하기 때문에 내부 사용자로 인한 정보유출사고와 같이 ‘믿는 도끼에 발등 찍히는 사태’에 대응하기 어려운 구조다. 

 

최근 10년간 발생한 사이버 공격 중 대규모의 개인정보유출을 초래한 사건 상당수는 내부 직원, 외주 직원, 용역 직원, 외주 업체 직원 등 상시적 또는 한시적인 권한으로 중요 정보에 접근이 허용된 신뢰된 사용자에 의해 발생되었다. 그리고 이러한 보안 사고들은 공통적으로 그 피해 규모가 매우 컸으며 외부 사용자에 의한 공격에 비해 피해 사실을 인지하는데 더 많은 시일이 소요되었다는 특징을 보였다.

 

 

공격

대상

공격

유형

사이버 공격 사고

발생일

사고명

사고개요

금융

기관

(기반

시설)

내부자

정보유출

2011.4

캐피탈사 홈페이지 고객정보 유출공격

2011 4 A캐피탈사의 전직 직원이 퇴사 후, 재직 시 부여되었던 5개의 계정을 해커에게 전달, 해커는 금융회사의 서버와 통신하는 벤더사의 보조서버인 광고메일발송서버 및 정비내역조회서버에 정상 접속한 후 화면복사나 다운로드 방식으로 금융회사의 내부 서버에서 개인정보 약 175만 건 유출

2011.8

카드사 개인정보 유출공격

내부직원이 서버를 196회에 걸쳐 조회하여 47만 여건의 개인정보를 노트북에 복사 후 일부 유출하고, 텔레마케팅 업체에 개인정보를 전달

2013.5

캐피탈사 개인정보 유출공격

내부직원이 고객 8,000여명의 개인정보와 신용정보를 조회하고 유출, 회사 개인정보처리 시스템에 접속해 고객정보를 조회, 고객의 성명휴대전화번호회사명신용등급 등이 담긴 정보를 별도 엑셀파일로 작성한 후 회사 프린터로 출력, SNS를 통해 문자 또는 조회화면 사진파일을 제3자에게 전달

2013.12

은행 개인정보 유출공격

은행 IT 전산센터 외주직원이 고객정보 103천 건을 USB에 저장해 제3자에게 전달하고 은행 대출담당 직원이 실적을 올리기 위해 고객정보 34천 건을 문서로 출력, 대출모집인에 전달

2014.1

카드 3사 정보 유출공격

국내 카드 3사의 고객 거래정보 약 1400백만 건이 FDS 개발 용역직원을 통해 외부로 유출

2014.1

보험사 고객정보 유출공격

외주업체 직원 노트북으로 고객정보 35만 건 유출

외부

협력

조직

가상통화거래소 공격

2017.6

B

B직원의 개인PC에서 고객 개인정보를 탈취 및 악용하여 인증정보를 알아내 70억원 상당의 가상통화를 부정 인출

2018.6

C

거래소 직원PC 해킹 후, 가상통화 지갑을 탈취하여 350억원 상당의 가상통화를 부정 인출

 

[표 1] 지난 10년간 주요 사이버 공격사고(2011-2018) 중 신뢰된 내부 사용자로 인한 보안사고 / 

출처: 금융보안원, 전자금융과 금융보안 제 14호

 

 

공격자의 변화뿐 아니라 디지털 환경의 변화 역시 신뢰기반 보안 모델의 한계를 드러내는 새로운 변수로 작용했다. 오늘날 디지털 환경이 자체적한시적으로 보유한 전산실 서버에 소프트웨어 등을 직접 설치하여 운영하던 온프레미스(On-premise)환경에서 클라우드(Cloud)환경으로 전환됨에 따라, 기존의 보안 패러다임을 대체할 새로운 패러다임의 필요성이 제기되었다. 다시 말해 ‘믿는 도끼들’이 사라지고 ‘세상에 믿을 사람 하나도 없는 새로운 환경’을 맞이하게 되면서 이에 적합한 새로운 보안 모델이 요구되고 있다.

 

2010년 포레스터 리서치(Forrester Research)의 수석 애널리스트 존 킨더박(John Kindervag)이 제안한 ‘제로 트러스트 모델(Zero Trust Model)’은 새로운 환경에 적합한 보안 모델이라 할 수 있다. 제로 트러스트 모델은 모든 접근이 곧 잠재적 보안 위협이라는 전제를 갖는다. 그리고 이에 따라 모든 데이터 및 접근 경로에 대해 최소한의 권한만을 설정, 제한하고 모든 트래픽을 검사 및 로깅한다. 결국 제로 트러스트 모델의 탄생은 ‘믿는 도끼들의 시대’의 종말과 ‘모든 것을 의심하고 확인하고 조사하는 시대’가 도래하였음을 의미하게 된다.

 

신뢰기반의 환경에서 제로 트러스트 모델로의 패러다임 전환은 올해 3월 미국 샌프란시스코에서 개최된 RSA Conference 2019(RSAC 2019)에서도 확인할 수 있었다. 수많은 키노트(Keynote) 및 강연에서 ‘제로 트러스트’가 자주 언급되었고 다수의 ‘제로 트러스트’ 기반 인증 솔루션들이 전시 부스를 통해 홍보되면서 제로 트러스트가 새로운 보안 패러다임으로 자리 잡아가고 있음을 실감케 했다.

 

 

[그림 2] RSAC 2019 Word Cloud / 출처: RSAC 2019

 

 

 

■ 제로 트러스트의 진화, 시작부터 현재까지

 

 

 

[그림 3] Zero Trust의 발전 현황

 

 

비경계 기반의 보안 모델(Un-perimeter based Security Model)인 제로 트러스트는 해당 모델이라 정의되기 위해 충족하여야 하는 몇 가지 조건들을 보유하고 있다. 다수의 기관에서 입을 모아 이야기하고 있는 그 조건은 ‘식별하고, 검증하고, 확인하는 단계를 통해 최소한의 접근만을 허가’한다는 내용을 공통된 골자로 삼고 있다.

 

1) 비즈니스 기반의 데이터 식별

2) 보호해야 할 자산과 데이터 기반의 내부 설계

3) 최소한의 접근 권한 기반의 권한 설정

4) 모든 트래픽에 대한 검사 및 로깅​ 

 

[표 2] 제로 트러스트 모델의 필요조건

 

 

클라우드와 모바일 환경의 확산으로 인해 더욱 부상하게 된 제로 트러스트 모델은 구글의 비욘드코프(BeyondCorp)를 통해 구현 가능성을 보여주었다. 비욘드코프는 구글의 네트워크 구축 경험을 바탕으로 전통적인 VPN을 사용하지 않고 접근제어 기능을 네트워크 기반이 아닌 사용자 개인 기기 기반으로 수행할 수 있는 제로 트러스트 환경을 가리킨다. 사용자의 네트워크 위치와 상관없이 기기 인증, 사용자 인증, 접근 제어의 3단계를 거침으로써 그리고 보안 정책(Security Policy)만으로도 네트워크 제어가 가능하게 되는 구조로써, 제로 트러스트를 잘 구현한 사례 중 하나로 손꼽힌다.

 

 

 

[그림 4]  Google社 BeyoundCorp의 구성요소 및 접근 제어 / 출처: Google

 

 

더욱이 가트너(Gartner)는 2018년 10대 전략 기술 트렌드(Top 10 Strategic Technology Trends of 2018) 중 하나로 ‘지속적이며 적응할 수 있는 리스크 및 신뢰 평가(CARTA, Continuous Adaptive Risk and Trust)’를 선정했다. 이 접근법에 따르면 위협과 신뢰 기반의 의사결정을 실시간으로 지속 적용함으로써 디지털 시대 속 안전한 비즈니스 운영을 위한 제로 트러스트를 구현해야 한다고 강조한다.

 

제로 트러스트 개념이 날로 그 영향력을 키워감에 따라 네트워크 보안 기업들도 차세대 방화벽(NGFW, Next Generation Firewall)을 활용한 제로 트러스트 모델 구현에 집중하기 시작했다. 그리고 네트워크를 응용프로그램이나 기타 리소스에 대한 접근제어가 가능한 작은 단위의 세그먼트(Segment)로 분할함으로써 기존 방화벽의 접근 방식을 확장시킬 수 있었는데 다시 말해 세그먼트 게이트웨이(Segment Gateway)를 이용하여 네트워크 마이크로 세그먼테이션(Network Micro-Segmentation), 즉 제로 트러스트 모델을 구현해낸 것이다.

 

이 외에도 네트워크 기반 환경에서의 제로 트러스트 모델 구현을 위한 연구는 계속되었다. 그러나 새로운 응용프로그램, 네트워크, 사용자 및 장치가 동적으로 변화하는 환경에서 네트워크를 유지 및 관리하는 데는 크고 작은 문제가 발생할 수 있기 때문에 적용 시 각별한 주의가 요구된다. 또한 네트워크 마이크로 세그먼테이션(Network Micro-Segmentation)을 포함하여 제로 트러스트 모델 적용 방안은 소프트웨어 정의 경계(SDP; Software Defined Perimeter), 아이덴티티 어웨어 프록시(IAP; Identity Aware Proxy 등 다양하기 때문에 목적과 상황에 맞는 적절한 방식을 선택하는 것이 중요하다.

 

 

구분

기능

Network Micro-Segmentation

Ø  논리적으로 그룹을 분리하고 자체 보안 제어와 최소한의 접근제어를 통해 해당 그룹에 있는 어플리케이션이나 데이터에 접근하는 방식

Ø  그룹 간의 연결은 다수의 방화벽을 이용하여 연결

Software Defined Perimeter (SDP)

Ø  장치 인증과 ID 기반의 접근을 결합한 형태로 Controller를 통해 사용자의 신원을 확인 후에 사용자 정의 터널(Software defined tunnels)과 유사하게 동작

Identity Aware Proxy (IAP)

Ø  SDP방식과 유사하게 최소한의 접근 원칙을 기반으로 응용 프로그램에 접근

Ø  직접 터널을 사용하는 SDP방식과 달리 프록시 계층을 사용하여 특정 응용프로그램에 인증되고 권한이 부여된 보안 접근을 제공

 

[표 3] 제로 트러스트 모델의 접근 방식

 

 

그리고 여기서 더 나아가 지난 2018년 포레스터 리서치(Forrester Research)의 수석 애널리스트 체이스 커닝햄(Chase Cunningham)은 프로세스와 기술을 결합한 총체적인 접근 방식의 변화를 통해 보다 발전된 형태의 제로 트러스트 모델을 구현해냈다. 물론 네트워크 마이크로 세그먼테이션(Network Micro-Segmentation)과 가시성 확보는 중요하지만 이와 함께 네트워크 외에 워크로드(Workload)나 데이터 접근에 대한 보안성이 더욱 강화되었다는 점에서 기존과는 차별화된 모습을 보여준다.

 

 

 

 

[그림 5] Forrester의 Zero Trust eXtended 시스템 구성요소 / 출처: Cisco

 

 

이렇듯 시간이 흐름에 따라 다양한 형태의 제로 트러스트 모델이 등장했으며 이는 네트워크 기반의 경계 보안 환경에서 데이터와 인증 기반의 정보보안 환경으로의 변화를 촉진했다. 또 이를 통해 디지털 비즈니스 환경에 보다 잘 적응된 보안 모델의 구축이 가능하게 됐다.

 

 

■ 제로 트러스트 모델, 어떻게 적용할 것인가

 

제로 트러스트 모델의 도입을 위해서는 가장 먼저 현재 보유하고 있는 인프라의 구조, 중요 데이터, 데이터의 흐름 등 각 기업 및 기관을 둘러싼 다양한 환경에 대한 파악이 선행되어야 한다. 그리고 이때 중점적으로 고려해야 할 것은 주요 데이터의 선별과 선별된 데이터에 접근하는 사용자의 권한 관리를 어떠한 방식의 제로 트러스트 모델을 통해 가장 효율적으로 수행할 수 있을지 여부다.

 

 

구분

수행업무

상세 수행내역

Step1

중요데이터 식별

(Identify Your Sensitive Data)

- 민감 데이터 식별 및 분류

- 데이터의 민감도를 기준으로 네트워크 분류

Step2

민감데이터 흐름 매핑

(Map The Flows Of Your Sensitive Data)

- 모든 종속 네트워크 및 시스템 개체를 찾아서 매핑

- 필요에 따라서 보다 최적의 데이터 흐름을 설계

- 기존 데이터 및 네트워크 흐름도를 활용

Step3

제로트러스트의 Microperimeters 설계

(Architect Your Zero Trust Microperimeters)

- 민감 데이터를 기준으로 Microperimeters 정의

- 물리적 또는 가상보안 제어기능이 있는 Microperimeters 시행

- 규칙 및 정책기반의 자동화

- 감사 및 변경 제어 도구 사용

Step4

보안분석을 통한 제로 트러스트 시스템의 모니터링

(Continuously Monitor Your Zero Trust Ecosystem With Security Analytics)

- 비즈니스에 적합한 배포 모델을 결정

- 자동화 경로를 따라 조작이 가능한 제품을 사용

Step5

보안자동화 및 오케스트레이션 도입

(Embrace Security Automation And Orchestration)

- 비즈니스 결정권자와 협력하여 자동화 정책 정의

- SOC프로세스의 평가 및 문서화

- 보안분석 시에 사용 가능한 자동화 옵션 확인

- SAO(Security Automation and Orchestration)지원여부 확인

 

[표 4] 제로 트러스트 모델 적용방식 / 출처: Forrester Research의 Five Steps To A Zero Trust Network 일부 재구성

 

 

■ 제로 트러스트를 이용한 빅데이터와 클라우드 환경의 보안

 

나비의 작은 날갯짓이 날씨 변화를 일으키듯, 미세한 변화나 작은 사건이 추후 예상하지 못한 엄청난 결과로 이어진다는 의미의 ‘나비효과’를 들어본 적 있을 것이다. 빅데이터, 클라우드 등 디지털 환경의 변화는 이러한 정보자산을 보호하는 보안 업계에도 커다란 나비효과를 불러일으켰다. 네트워크 기반의 경계 보안에서 데이터 중심의 보안으로 변화하면서 제로 트러스트라는 새로운 개념이 등장하는 계기가 되었기 때문이다. 물론 새로운 개념이 등장했다고 해서 기존의 보안체계나 방법이 불필요하거나 잘못되었다는 것을 의미하는 건 아니다.

 

다만 인프라 환경이 변화함에 따라 주요 경계를 통해 공격에 대응하는 과거의 방식은 관리 포인트가 증가한 현시점에 더 이상 효율적이지 못하다. 현재 인프라에서 가장 중요한 자산이 무엇인지 파악하고 데이터를 기반으로 한 제로 트러스트 모델을 적용한다면, 비즈니스 환경 변화에 따른 인프라 변화에 대응하는 가장 효과적인 방안이 되어줄 것이라 기대한다.​ 

 

 

 


 

이전글, 다음글 목록
다음글 ISMS-P를 통해 본 개인정보보호 및 정보보호 정책의 흐름 변화
이전글 증가하는 개인정보 활용에 대처하는 우리의 자세

원하시는 계정으로 로그인 후 댓글을 남겨 주세요.

사용자 이미지
0/ 250 byte