K_blueprint
제로 트러스트란 무엇인가? 본문
※ 제로 트러스트란?
- '아무것도 신뢰하지 않는' 보안의 새로운 사고방식
- 모든 접근에 대해서 의심하고 검증하는 것(접근한 곳을 의심하는 것이 전제)
< 기존의 '경계 방어' 방식 >
- 기존에 쓰여왔던 보안 사고방식은 "경계 방어"이다. 이는 '사내의 네트워크는 신뢰하고 인터넷은 신뢰하지 않는다.'의 사고방식인데 명확하게 구별한 후 사내 네트워크와 인터넷의 경계를 확실하게 지킨다.
- ex) 사내 네트워크는 '성', '성 안의 마을' 정도로 볼 수 있다.
- "경계 방어"는 사내 네트워크 안의 사용자나 단말은 신뢰하기 때문에 사내 네트워크에 한 번이라도 들어온 침입자는 '신뢰할 수 있는 사용자'로서 마음대로 행동을 할 수가 있다.(+침입에 성공한 공격자가 사내 네트워크를 자유롭게 돌아다니는 것을 '횡 방향 이동'이라고 한다.)
< 제로 트러스트가 주목받는 이유 >
- 기존의 '경계 방어'방식이 한계에 다다르면서 2020년도부터 제로 트러스트 방식이 주목받게 되었는데 이유로는 아래의 3가지가 있다.
- 업무에 사용하는 시스템을 클라우드 서비스로 이전하는 '클라우드 전환'
- '원격 근무'와 같이 회사가 아닌 외부에서 인터넷을 사용하여 근무하는 업무 처리 방식의 변화
- 교묘하고 집요해진 수법으로 방어가 어려워진 '사이버 공격'
(2020년 세계적으로 대유행이었던 COVID-19가 원격 근무 및 제로 트러스트 방식 도입의 쐐기를 박았다고 할 수 있다.)
- 즉 , 원격 근무가 확산됨에 따라 사용자가 기업 안에 머무르는 것이 아닌 외부로 나가게 되면서 '사용자를 사내 네트워크에 가둔다.'라는 경계 방어의 전제가 무너지게 된 것이다.
< 구글의 제로 트러스트 도입 >
- 제로 트러스트를 처음으로 전면 도입한 것은 구글이다.
- "오퍼레이션 오로라"로 인하여 기존의 '경계 방어'로는 부족하다고 판단, 전면적으로 보안을 점검하고 약 8년에 걸쳐 제로 트러스트의 방식으로 사내 네트워크를 다시 구축하였다. 이를 "비욘드 코프"라 한다.(2014년 전면 재검토 후 구축 과정 논문 발표)
(※ "오퍼레이션 오로라"란?)
- 2010년에 밝혀진 중국의 해커 그룹이 했다고 여겨지는 대규모 APT공격
- 최소 20개의 대기업을 표적으로 했다고 알려져 있으며 윈도우에 표준으로 탑재되어 있는 웹 브라우저인 '인터넷 익스플로러'의 '제로데이 취약점'을 이용한 공격이다.
- 당시에는 인터넷 익스플로러의 사용자가 많았기에 제로 데이 취약점은 암시장에서 고가에 판매되었고 공격자들이 비용을 들여 공격을 시도했던 사례이다.
< 제로 트러스트의 대중화 >
- 구글의 논문("비욘드 코프") 발표 후 제로 트러스트가 널리 알려지게 되면서 많은 보안 기업에서 제로 트러스트 구축을 지원하는 제품과 서비스를 시장에 내놓기 시작하였다.
- 2015년에 이르러 보안 기업들이 제로 트러스트를 강조하는 제품과 서비스를 적극적으로 팔기 시작하였다.(ID 관리, 접근 제어, 로그 관리, 엔드포인트 보안 등)
- 2020년 유행한 COVID-19로 원격 근무가 보편화되면서 모든 기업이 제로 트러스트의 도입을 고민하게 되었다.
< 정 리 >
- 제로 트러스트는 '아무것도 신뢰하지 않는다'는 보안 사고방식이며 '사내 네트워크의 내부는 신뢰할 수 있다"는 경계 방어 방식이 한계를 보이기 시작하며 새롭게 고안된 방식이다.
- 경계방어가 한계에 다다른 이유
- 지금까지 사내 네트워크 내부에 있던 사용자, 단말기, 서버 등의 기기 및 데이터가 외부로 이동 - (사용자는 원격 근무/서버, 데이터는 시스템 운영비의 절감 및 편의성을 위해 클라우드로 전환 = 기업의 시스템 자체가 클라우드화 되었다.)
- 2010년 이후 특정 조직을 노린 고도의 표적형 공격인 "APT 공격"이 등장(제로 데이 공격, 주문 제작 방식의 맬웨어 사용 등) - 이는 고도화된 사이버 공격이며 결과적으로 보안이 어려워졌다.
- 제로 트러스트 사고방식은 2000년대 초반부터 주장이 되었지만 어떻게 구현해야 할지 구체적인 사레나 제품 및 서비스 등이 없어 실현이 어려웠지만 2014년 구글의 "비욘드 코프"를 통해 제로 트러스트의 도입 장벽이 낮아졌으며 현재까지 국내외 도입 사례가 늘어나고 있다.
- "경계 방어"에서 사용되었던 경계라는 보안이 없어진 만큼 보다 구체적인 대책과 보안 수준을 전체적으로 올려야 한다.
해당 게시글은 "구글 엔지니어는 아무도 믿지 않는다 - 제로 트러스트"도서를 참고하여 작성되었습니다.