제로 트러스트: 세상에 믿을 녀석 하나 없다.
안녕하세요. 여러분 Chaning입니다!
먼저 2022년 새해가 밝았네요.
새해 복 많이 받으시구요. 바라는 소원 이루는 한 해가 되시길..!(🙏)
스텔스솔루션이 새해를 맞아 올해의 보안 키워드 TOP 10을 준비했습니다!!(짜잔)
- Zero Trust
- SOAR
- 다크웹
- 랜섬웨어
- 안티애널리틱스
- Edge Computing
- SASE
- 클라우드 보안
- DevSecOps
- 인공지능 보안
스텔스솔루션 블로그를 이전에 읽어보셨다면 이미 다룬 주제들이 보이실겁니다.
하지만 내용은 다르게 구성해서 진행할 예정이니 꼭 읽어주세요.(^^)
오늘 처음으로 알려드릴 1번 키워드는!!
제로 트러스트(Zero Trust)입니다.
어떤 이유로 제로 트러스트가 주목해야할 키워드에 선정됐는지 알아보겠습니다.
코로나 2년, 늘어난 재택근무
코로나 바이러스의 유행으로 업무 환경까지 달라졌습니다.
감염의 위험을 줄이기 위해 회사에서는 발빠르게 재택근무를 선택했습니다.
재택근무를 하며 이 글을 읽으시는 분들도 계시겠죠?(부럽..)
대부분의 회사는 전용 클라우드를 사용하거나 VPN(가상사설망)을 통해 회사 네트워크(인트라넷)에 개인 PC로 접속하는 방법을 이용하고 있습니다.
업무 환경 조성에만 초점을 맞춘 선택입니다.
위험 가득한 재택근무
전용 클라우드나 인트라넷을 회사에서만 사용하면 괜찮습니다.
외부 접속은 차단하고 내부 허가를 받은 사용자, 기기들은 정보를 자유롭게 이용할 수 있도록 하면 되니까요.
하지만 재택근무를 하게되면 개인 PC를 사용하여 외부에서 접속합니다.
직원들은 회사 네트워크에 접속한 상태로 피싱 링크를 클릭하거나 악성코드가 포함된 파일을 다운로드 받아 자신도 모르는 사이 회사 정보를 탈취당하고 공격자들이 인트라넷, 회사 클라우드 계정에 접근할 수도 있습니다.
이 말은 외부에서 접속한 사용자가 ‘진짜 김대리’인지 ‘가짜 김대리’인지 판별할 근거가 부족하다는 말입니다.
김대리의 계정을 탈취한 공격자가 회사 네트워크에 침투해 랜섬웨어를 심거나 내부 기술을 유출한다면?
상상할 수 없는 손해가 발생할 수도 있겠죠?
여기서 문제점을 두 가지로 정리해볼게요.
- 사용자 계정이 탈취당하면 회사 네트워크에 접속할 수 있다.
- 사용자들은 거의 모든 정보에 접근할 수 있는 권한이 있다.
위의 문제들을 해결할 수 있는 열쇠가 제로 트러스트입니다.
제로 트러스트(Zero Trust)
이 모델의 컨셉은 ‘아무도 믿지 말고 전부 확인해야 한다’는 것입니다.
기존 “선 접속 후 인증”에서 “선 인증 후 접속”이라는 인증 패러다임의 변화이며, 접속 시 보안강도 상승 뿐만 아니라 모든 구간에서 인증을 받아야 하기 때문에 혹시라도 공격을 당했을 때 연쇄 작용을 최소화 할 수 있습니다.
쉽게 말씀 드리면 기존 보안 모델처럼 외부의 침입을 막기위해 여러 장치를 구비하는 것이 아니라
처음 시스템 접속을 위한 초기 인증부터 이후 사용자가 접근하려는 모든 요소에 인증 절차를 적용하고 개인에게 맞는 권한을 부여합니다.(ex. 열람만 가능)
그렇게 되면 공격자가 계정을 탈취하더라도 로그인 이후에 접근할 수 있는 권한이 제한적이기 때문에 피해를 최소화할 수 있습니다.
이제 위의 두 가지 문제점을 하나 씩 짚어보죠.
- 공격자가 계정을 탈취하면 회사 네트워크에 ‘접속’만 가능합니다.(이중 인증을 설정했다면 ‘접속’도 불가능하겠죠?ㅋ)
- 권한이 한정적이기 있기 때문에 공격자가 접속에 성공해도 다른 요소에 접근할 때마다 인증이 필요합니다.
모두 제로 트러스트 모델로 해결할 수 있는 부분이었네요.
물론 제로 트러스트 모델을 적용하기까지 오랜 시간이 필요하고 실제 적용했을 때의 사용자들이 겪는 불편도 존재합니다.
하지만 감당할 수 없는 피해보다는 우리가 조금 불편한 것이 낫지 않을까라는 생각이 드네요.
오늘은 제로 트러스트에 대해 알아봤습니다.
나날이 고도화되는 공격을 막는 것은 앞으로 더욱 어려워질텐데요.
침입이 발생하더라도 피해를 최소화할 수 있는 제로 트러스트가 어쩌면 현 상황에 적합한 보안 모델이라고 할 수 있겠습니다.
스텔스솔루션에서도 제로 트러스트 모델을 적용한 기술이 있는데요.
바로 스텔스MTD 입니다.
어떻게 적용했는지 관심이 가신다면 읽어보시는 것을 추천할게요!
읽어주셔서 감사합니다.
Chaning이었습니다.
