제로트러스트 보안 모델과 구현 기술

디지털 전환이 가속화되는 시대에 걸맞는 사이버보안 모델로 ‘제로트러스트(ZeroTrust)’ 보안 모델이 부상했다. 그동안 수많은 기술 경쟁과 논쟁이 벌어졌던 사이버보안 산업 분야에서는 이제 ‘제로트러스트’가 새롭게 등장하는 모든 보안 기술 이슈를 흡수하는 모양새다. 수많은 국내외 보안업체들은 최근 ‘제로트러스트’ 지원과 구현에 초점을 맞춰 제품 마케팅 메시지를 강화하거나 기존 공급 제품을 탈바꿈하고 있다. 제로트러스트 솔루션으로 신제품을 출시하기도 한다. ‘제로트러스트’ 보안이 과연 뭐길래?

제로트러스트 보안의 등장

아무도 믿지 말라는 뜻을 지닌 ‘제로트러스트(ZeroTrust)’의 중요성이 정보보안 분야에서 날이 갈수록 더욱 강조되고 있다. 모바일과 클라우드 확산으로 조직 내·외부 네트워크 경계가 허물어지고 기업의 업무환경도 원격·재택근무를 포함한 하이브리드 방식이 활발히 채택되면서, 최적의 보안 원칙이자 모델로 완전히 자리매김하는 분위기다.

제로트러스트 보안 모델은 사실 최근에 대두된 새로운 개념이 아니다. 이미 10여년 전, 모바일과 클라우드가 한창 확산되면서 조직의 내·외부 네트워크 경계가 허물어지던 시기에 등장했다. 국내에서는 2010년이라고 종종 인용되지만, 실제로 지난 2009년에 포레스터리서치의 애널리스트였던 존 킨더박(John Kindervag)이 ‘제로트러스트’란 용어와 개념을 사용한 보안 모델을 처음 개발했다.

제로트러스트는 신뢰할 수 없는 인터넷으로부터 신뢰할 수 있는 기업 네트워크를 방화벽으로 보호하는 기존의 ‘경계(Perimeter) 기반 보안’ 모델에 문제를 제기한다.

그 기본 원리는 ‘절대 신뢰하지 말고 항상 검증하라(Never Trust, Always Verify)’는 것이다. 내부 네트워크와 애플리케이션에 접속하는 사용자나 기기는 사전에 신뢰성과 안전성을 검증하라는 의미를 담고 있다. 경계 안에 있는 내부 네트워크는 안전하고 신뢰하다고 여길 것이 아니라 해킹을 당했거나 당할 수 있다는 전제를 기반으로 한다.

신뢰성을 먼저 확인하기 위한 가장 중요한 원칙으로는 사용자와 디바이스 식별과 최소 권한 부여가 꼽힌다. 즉, 사용자와 디바이스를 식별·인증해야 하며, 보안 상태를 확인해야 하고, 적절한 네트워크 접속 권한을 바탕으로 액세스가 이뤄져야 한다. 그리고 변화에 따라 지속적으로 권한과 허용범위가 적용돼야 한다. 사용자와 디바이스가 기업 내부이건 외부에서 접속하든 관계없이 이같은 조치는 일관되게 이뤄져야 한다.

업무 환경 변화, 전통적 보안 방식 한계 노출

전통적인 사이버보안 접근방식인 ‘경계 보안(Perimeter security)’은 방화벽을 놓고 네트워크를 드나드는 트래픽을 제어하면서 내·외부 네트워크를 구분했다. 기업 내에 안전한 경계를 구축해 놓고 내부 네트워크 안에 있는 모든 것은 안전하다고 여겼다.

네트워크 경계 안에 들어와 있는 사용자와 기기는 누구도 신뢰할 수 있고, 외부에 있으면 신뢰할 수 없는 것으로 가정해 구분했다. 하지만 디지털화로 인한 업무 환경이 크게 변화하면서 갈수록 한계가 크게 노출됐다. 더욱이 코로나19 팬데믹을 거치며 급격하게 원격·재택 근무와 사무실 근무를 병행하는 하이브리드 방식을 채택하는 조직이 많아졌다.

직원들은 이제 늘 사무실에서 일하는 것이 아니기 때문에, 언제 어디서나 어떠한 디바이스로든 직원들이 기업 애플리케이션과 데이터에 접근해 편리하고 안전하게 업무를 할 수 있어야 한다. 기업 애플리케이션과 데이터 역시 기업 데이터센터 내에만 있는 것이 아니다. 클라우드 인프라와 애플리케이션 서비스(SaaS) 사용 비중도 두드러지게 증가했다. 이에 따라 기업 네트워크에 있든 클라우드에 있든 어디서든 안전하고 일관된 방법으로 접근하는 것이 중요하다. 그 과정에서 중요 데이터 유출과 악성코드 감염과 전파를 막을 수 있는 조치가 필요하다.

조직의 업무환경과 인력은 점점 분산되고 있는 비즈니스 환경은 공격에 노출되는 범위, 즉 ‘공격 표면(Attack Surface)’을 크게 확장시킨다. 조직과 구성원들은 보안위협에 더 쉽게 노출되기 십상이지만, 보안관리는 한층 어렵고 복잡해지기 때문이다.

이같은 환경에서는 제로트러스트 모델로 분산된 네트워크 전반에 엄격한 액세스 제어를 적용해 사용자와 디바이스, 인프라를 모두 보호할 수 있어야 한다는 얘기다.

제로트러스트를 구현하는 보안 기술들

기업 내에 안전한 경계를 구축해 놓고 내부 네트워크 안에 있는 모든 것은 안전하다고 여겼던 전통적인 보안 방식에 한계가 노출될 수밖에 없는 환경이 됐다는 점에서 제로트러스트 보안에 IT·보안 업계와 전문가들이 모두 공감하는 상황이다.

클라우드시큐리티얼라이언스(CSA)는 지난 6월 열린 ‘RSA컨퍼런스(RSAC) 2022’ 행사 기간에 제로트러스트 도입에 관한 최신 정보보호최고책임자(CISO)의 관점과 현황 보고서를 발표했다. 이 보고서는 C레벨 리더의 80%는 조직의 우선순위로 제로트러스트를 활용하고 있고, 94%는 제로트러스트를 구현하는 과정에 있으며, 77%는 향후 12개월 안에 제로트러스트 관련 지출을 늘릴 계획이라는 조사결과를 내놨다.

구글, 마이크로소프트, 멘로시큐리티, 시스코시스템즈, 아카마이, 옥타, 팔로알토네트웍스, 포티넷 등 많은 글로벌 IT·보안 기업들은 제로트러스트 보안의 중요성을 강조하면서 관련 신제품을 경쟁적으로 출시하고 있다. 소프트캠프, 스파이스웨어, 지니언스, 파수 등 국내 보안기업들도 이같은 대열에 적극 참여하고 있는 모양새다.

대표적으로 마이크로소프트는 지난해 하이브리드 업무 환경이 초래하는 IT 복잡성 속에서 조직이 보안을 유지하는데 있어 제로트러스트가 도움이 된다고 강조하면서, ▲명확한 검증(verify explicitly) ▲최소한의 권한 액세스 부여(grant least privileged access) ▲침해 가정(assume breach)의 3가지 제로트러스트 원칙을 발표했다. 또 이 원칙에 발맞춰 제로트러스트 구현을 지원하는 ‘암호없는 인증(Passwordless Authentication)’, 확장형 위협 탐지·대응(XDR), 위협 인텔리전스 솔루션 등 보안 관련 추가 기능과 신제품을 지속적으로 내놓고 있다. 마이크로소프트는 특히 제로트러스트 전환에 있어 가장 중요한 첫 단추로 강력한 인증 설정을 꼽았다.  

제로트러스트 보안을 구현하기 위해서는 사용자와 디바이스에 대한 강력한 인증과 계정·접근관리(IAM)를 필두로 엔드포인트와 네트워크, 애플리케이션을 아우르는 통합된 보안 접근방식이 필수적이다.

IAM 인증과 RBAC

포티넷은 최근 발간한 ‘제로트러스트 액세스’ 특별판 보고서에서 “제로트러스트 액세스(ZTA)를 통해 네트워크 리소스를 보호하기 위한 첫 단계는 액세스 권한을 부여하기 전에 인증을 통해 사용자를 신뢰하는 것”이라며, “IAM과 역할 기반 액세스 제어(RBAC)로 ZTA의 기반을 구축할 수 있다”고 밝혔다.

이 보고서에 따르면, IAM 솔루션은 MFA와 디지털 인증서를 통해 계정을 설정하고, 컨텍스트(Context) 기반 인증, FIDO(Fast Identity Online) 생체인증 등을 추가 지원할 수 있다. 또 그룹이나 역할별 권한을 할당하는 RBAC 정책을 설정·적용할 수 있어야 하고, 높은 권한을 가진 관리자와 사용자 계정을 보안관리할 수 있는 특별 액세스 관리(PAM)도 필요하다. RBAC 적용에서 역할은 명확하게 정의돼야 하며, 각 역할에 요구되는 기능을 수행하는 데 필요한 최소한의 권한만 할당 받아야 한다. 이것이 바로 ‘최소 권한의 원칙’이다.

EDR과 NAC

엔드포인트 데이터 수집 에이전트와 자동화된 대응, 실시간 데이터 분석 기능을 지원하는 엔드포인트 위협 탐지·대응(EDR) 역시 제로트러스트 전략의 필수 구성요소로 작동한다. EDR은 절대 신뢰하지 말고 언제나 확인해야 하는 제로트러스트 보안 태세를 엔드포인트로 확장할 수 있게 한다.

네트워크접근제어(NAC)는 네트워크에 연결된 엔드포인트와 디바이스의 확산으로 넓어지는 공격면에 대응할 수 있는 솔루션이다. 정책을 시행하고 동적으로 제어할 수 있는 네트워크 환경 가시성을 제공하며, 침해된 디바이스나 비정상적인 활동에 자동으로 대응한다. NAC 솔루션은 네트워크 액세스를 요청하는 모든 디바이스를 자동으로 식별하고 프로파일링하고 디바이스의 취약성을 스캔할 수 있다. 보고서는 “디바이스 침해 리스크를 최소화하기 위해 NAC 프로세스는 몇 초 안에 완료돼야 한다. NAC 솔루션은 중앙에서 손쉽게 배포할 수 있어야 하며, 유무선 네트워크 전반에서 일관된 운영을 제공해야 한다”고 강조했다.

ZTNA

원격 업무환경에서 사용자들이 안전하게 연결하는데 사용돼온 가상사설망(VPN)의 한계가 노출되면서 제로트러스트 네트워크 액세스(ZTNA)가 부상했다. 보고서는 “VPN은 오래된 경계 보안 기술로 회사 네트워크에 연결되면 모든 네트워크 리소스에 대한 광범위한 액세스 권한을 갖게 된다. 전달하는 트래픽에 대한 가시성을 확보할 수 없고 고도로 분산된 네트워크 리소스에 맞게 설계되지 않아 문제가 발생할 수 있다”고 지적했다.

ZTNA는 검증될 때까지 사용자와 기기를 신뢰해 액세스를 허용하지 않는다. 사용자나 디바이스를 인증한 후에만 세션별로 개별 애플리케이션과 워크플로우에 대한 액세스 권한을 부여한다. 계정(ID)과 컨텍스트를 기반으로 애플리케이션별로 사용자에게 명시적인 액세스를 제공하는 방식이다. 인증 과정에선 사용자 역할, 디바이스 유형, 디바이스 규정 준수, 위치, 시간, 디바이스나 사용자가 네트워크나 리소스에 접속하는 방식 등 다양한 컨텍스트 정보를 사용한다.

현재 많은 국내외 보안 기업들이 ZTNA 솔루션을 선보이고 있다.

성공적인 제로트러스트 여정을 위한 10가지

제로트러스트는 하나의 제품이나 솔루션으로 구현될 수 없는 보안 아키텍처이자 추구해야 하는 보안 모델로, 조직 내에서 완성도 높은 보안체계를 만들어가는 과정을 꾸준히 진행해야 한다.

포티넷 제로트러스트 액세스 보고서에는 ‘제로트러스트 여정을 위한 10단계’가 제시돼 있다.

1. 자산 및 해당 자산의 비즈니스 프로세스 중요도 평가
2. 네트워크의 사용자, 엔티티 및 역할 식별
3. 네트워크 디바이스 식별
4. 사용 중인 애플리케이션 식별
5. 네트워크 및 자산 내 제어 영역 생성
6. 자산에 역할 기반 액세스 제어 적용
7. 네트워크 디바이스가 통신할 수 있는 위치 제어
8. 디바이스 제어 확장
9. 애플리케이션 액세스 제어 적용
10. 사용자 및 디바이스의 지속적인 확인과 인증

자산 및 해당 자산의 비즈니스 프로세스 중요도 평가

네트워크의 모든 자산과 리소스를 동일한 수준으로 보호할 수는 없다. 비즈니스 프로세스에 가장 중요한 자산과 리소스가 어떤 것인지 먼저 결정해 활동의 우선순위를 지정하는 것이 중요하다. 어디서부터 시작할지 결정했다면, 가장 중요한 리소스와 가치 있는 자산을 먼저 보호하기 위한 제로트러스트 액세스 전략 구현을 시작할 수 있다.

네트워크의 사용자, 엔티티 및 역할 식별

네트워크상 모든 사용자 및 엔티티를 식별하는 것은 효과적인 ZTA 전략 수립에 중요하다. 계정이 설정되면 조직 내 사용자의 역할에 따라 액세스 정책이 결정됩니다. 최소 권한 액세스 정책과 RBAC을 통한 사용자 인증 및 권한 부여는 액세스 관리의 중요한 구성요소다.

네트워크 디바이스 식별

제로트러스트 전략을 도입하기 위한 다음 단계는 네트워크상 모든 디바이스를 파악하고 식별하는 것이다. 애플리케이션과 디바이스의 확산으로 인해 기존 네트워크 경계가 확장되면서 관리·보호해야 하는 수십억 개의 엣지가 생성된다. NAC 솔루션은 네트워크 디바이스에 대한 가시성을 제공한다.

기업에서 사용하는 애플리케이션 식별

비즈니스 애플리케이션은 이제 데이터센터의 엔드포인트나 서버에서만 설치되지 않는다. 프라이빗 클라우드와 퍼블릭 클라우드에서 호스팅되는 SaaS 및 애플리케이션 워크로드도 포함된다.

네트워크 및 자산 내 제어 영역 생성
네트워크 세그멘테이션은 네트워크의 특정 영역에서 트래픽을 제한하고, 네트워크 내에 추가 보안 제어를 제공하는 데 오랫동안 사용돼 왔다. 내부 세그멘테이션 방화벽은 네트워크 내에
가시성과 제어를 설정하고 트래픽을 스캔, 보호, 차단하는 기능을 제공한다.

자산에 역할 기반 액세스 제어 적용

RBAC은 사용자 그룹이 기업 내에서 수행하는 작업이나 역할에 따라 특정 자산에 대해 부여받는 권한을 효율적으로 관리하는 데 사용된다. 중요한 것은 역할에 할당된 권한이 과도하지 않아야 한다는 것이다. 무엇보다 중요한 것은 역할에서 필요로 하는 특정 리소스로 범위가 한정돼야 하고, 그 역할 내에서 기능을 수행하는 데 필요한 권한만 부여돼야 한다는 점이다. 바로 최소 권한 액세스다.

네트워크 디바이스가 통신할 수 있는 위치 제어

제로트러스트 보안 접근 방식은 마이크로 세그멘테이션을 사용해 개인 리소스에 대한 세분화된 신뢰구간(trust zone)을 생성한다. 이는 최소 권한 액세스 원칙을 적용하는 데 도움이 된다. 마이크로 세그멘테이션은 사용자 혹은 공격자라도 네트워크에서 자유롭게 이동하는 것을
방지한다.

디바이스 제어 확장

재택근무, 원격근무가 확대되면서 제로트러스트 전략을 구축해 기업은 엔드포인트 가시성을 높여 네트워크 외부 디바이스를 보호해야 한다. 취약성 스캔, 강력한 패치 적용 정책, 웹 필터링은 모두 제로트러스트 전략의 중요한 요소다. 아울러 제로트러스트 접근 방식은 네트워크로 연결된 리소스에 대한 보안 원격 액세스를 지원할 수 있다. ZTNA는 네트워크 액세스를 애플리케이션별 사용으로 확장한다. 관리자는 모든 트랜잭션 및 사용을 지속적으로 모니터링하고 검사해 네트워크에 누가 있는지, 이들이 현재 사용 중인 애플리케이션은 무엇인지 파악할 수 있다.

애플리케이션 액세스 제어 적용

효과적인 제로트러스트 액세스 전략은 기본적으로 신뢰할 수 있는 사용자나 디바이스는 없다는 가정을 전제로, 사용자와 디바이스가 액세스 권한을 부여받았다는 확인이 먼저 이뤄지지 않으면 어떤 트랜잭션에도 신뢰가 부여되지 않는다.

사용자 및 디바이스의 지속적인 확인과 인증

제로트러스트 액세스는 네트워크에 연결되는 사용자 및 디바이스의 지속적인 인증, 확인과 모니터링을 요구한다. 네트워크에 로그인하는 데 성공하는 것만으로는 사용자나 디바이스가 네트워크의 리소스에 대한 무제한 액세스 권한을 부여받을 수 없다. 제한된 영역의 중요한 특정 리소스에 액세스하려면 추가 인증을 해야 하고, 사용자 세션 기한도 제한돼야 한다.

이 보고서에서는 “제로트러스트 전략을 구현하는 과정이 아주 빠르고 쉽지는 않을 수 있다. 그러나 궁극적으로 사이버 보안의 단계를 높이기 위해서는 네트워크에 누가 접속하고 있는지, 그리고 어떤 것들이 있는지 파악하는 과정이 필수적이다. 사이버 공격을 보다 빠르게 막고 위협을 예방하려면 이제 ‘제로트러스트 액세스’ 라는 여정을 통해 보안의 완성도를 높여야 한다”고 강조했다.

글. 바이라인네트워크
<이유지 기자>yjlee@byline.network