제로 트러스트(Zero Trust)이해하기

안녕하세요, 에디터 푸린입니다!

오피스 근무, 재택근무, 하이브리드 근무 등 팬더믹으로 인해 이전에 비해 근무 형태가 좀 더 다양해지면서 당연히 보안에 대한 우려 혹은 요구되는 수준이 더 높아지게 되었습니다. 그에 따라, 최근에는 "제로 트러스트"란 개념이 각광받고 있는 추세인데, 오늘은 제로 트러스트가 무엇인지 설명해주는 해외 아티클을 들고왔습니다.

원문의 느낌을 살리기 위해 최대한 직역으로 번역을 하긴 했는데, 아무래도 조금 어색한 부분이 있어 아주 조금 의역을 첨가했습니다. 그 부분은 감안해서 봐주시길 바랄게요 :) 틀린 부분이 있거나 오역이 있다면 가감없이 알려주세요!
(번역투로 문장이 어색해 이해를 돕기 위해 주요 포인트들은 하이라이트 및 및줄 표시를 했습니다)

---

Demystifying Zero Trust

By John Maddison on March 22, 2022

원문 출처: https://www.securityweek.com/demystifying-zero-trust

서로 다른 의미로 "제로 트러스트"란 용어를 사용하는 벤더들

팬더믹으로 인해 원격 혹은 하이브리드 근무자들을 보호해야 할 필요성이 증가했고, 이에 대한 부작용으로 제로 트러스트 컨셉을 둘러싼 관심, 유행 그리고 혼란이 급증했다. 벤더사에서 재빠르게 제로 트러스트에 대해 다양한 메시지를 들고 왔지만, 실제 제로 트러스트의 개념에 대해 오히려 다양한 오해를 생기게 되었다.

시작하기 좋은 포인트는 NIST Special Publication 800-207인데, 제로 트러스트를 "단일 아키텍처가 아닌 워크플로우, 시스템 디자인, 그리고 운영에 대한 가이드 원칙의 모음"이라고 설명하고 있다. NIST는 이런 지침에 대해 제로 트러스트 "원리(tenet)" 라고 언급한다. 다른 말로 말하자면, 제로 트러스트는 제품 자체가 아닌 것이다. 만약 누군가가 그렇다고 한다면, 그 사람은 자신이 말하는 것이 무엇인지 잘 모르거나 오해의 여지가 있을 정도로 마케팅 수준을 얕게 만든 것임이 분명하다.

 

제로 트러스트 보안 모델과 원칙

제로 트러스트는 간단한 전제를 기반으로 한 사이버보안 모델이다: 기본적으로 증명되기 전까지는 아무것도 믿을 수 없다. 제로 트러스트란 이름 자체가 모든 이나 모든 것에 대한 "자동거부방식"의 자세에서 근거한 것이다(zero trust).

제로 트러스트 모델은 네트워크 위치나 IP주소를 기반으로 한 "내제된 신뢰"의 반대 개념이다. 대신, 신뢰는 트랜잭션 단위 기반으로 평가되며 ID와 문맥 기반의 측면이 혼합된 상태에서 명시적으로 도출된다.

제로 트러스트의 개념은 "네트워크 안은 신뢰 가능"와 "네트워크 바깥은 비신뢰"라는 개념이 과도한 암묵적 신뢰로 인해 더 이상 소용이 없기 때문이다. 누군가 혹은 무엇이 직접이든 VPN을 이용하든, 한번 연결된다면 신뢰의 대상이 된다. 사이버 범죄자가 제한받지 않는 접근을 통해 전체 네트워크에 무엇을 할 수 있을지는 많은 상상이 필요없다.

제로 트러스트는 사용자가 디바이스나 리소스에 대해 접근을 요청할 때, 접근허용이 되기 전 자격이 증명되어야 한다. 자격 증명은 사용자나 디바이스의 ID를 다른 속성과 함께 시간/일자, 지리적 위치, 그리고 디바이스 보안 태세와 같은 문맥을 통해 이뤄진다.

자격 검증 이후 최소 권한의 원칙을 기반으로 접근이 허용되는데, 이는 그 리소스를 제외하고는 접근이 허용되지 않는다는 뜻이다. 예를 들어, 어떤 사용자가 급여 애플리케이션에 대한 접근을 요청하고 자격 검증이 된 경우, 그 사용자는 급여 애플리케이션에 대한 접속만 가능하며 네트워크의 다른 부분은 전혀 볼 수 없다. 또한 신뢰는 지속적으로 재평가된다. 만약 사용자나 디바이스의 속성이 변경될 경우, 검증되었던 자격이 취소되고 접근권한이 제거된다.

 

제로 트러스트 약어 풀어보기

제로 트러스트를 둘러싼 미스터리의 일부는 이 두 단어를 포함한 여러 정의들과 관련이 있다. 많은 벤더들이 "제로 트러스트"를 포함한 표현을 사용함에도 불구하고, 그들은 종종 다른 것들을 각각 나타내는데 사용한다. 제로 트러스트 접근(ZTA, Zero Trust Access)와 제로 트러스트 네트워크 접근(ZTNA, Zero Trust Network Access)가 종종 구분없이 쓰이기도 한다.

이러한 용어들은 단일 제품에 해당되는 것이 아니다. 이 용어들은 보안 측면에서 함께 작동하는 제품들의 집합을 설명한다. 다음은 접하게 될만한 몇몇 용어나 약어들이며, 그들이 실질적인 관점에서 무엇을 의미하는지에 대한 내용이다.

• Zero Trust Access (ZTA) 는 누가 그리고 무엇이 기업의 네트워크에 있는지를 알고 통제하는 것이다. 역할 기반의 접근 통제(RBAC, Role-based Access Control)은 접근 관리의 결정적인 요소이다. ZTA는 사용자의 엔드포인트가 그들의 역할별로 필요한 최소한의 네트워크 접근 레벨만 허용하는 최고 접근 정책을 포함한다.
• Zero Trust Network Access (ZTNA) 는 사용자나 애플리케이션이 어디에 있든 애플리케이션에 대한 접근을 통제하는 것이다. VPN와 달리, ZTNA는 제로 트러스트 모델을 네트워크 너머로 확장시켜 애플리케이션을 인터넷에 드러나지 않게 해 공격표면을 줄인다.
• Zero Trust Edge (ZTE) 는 포레스터가 서술한 아키텍처로, 네트워크와 보안을 합쳤지만 SASE(Secure Access Service Edge)에 제한되지 않는 아키텍처이다. 제로 트러스트 원칙에 따라, ZTE는 SD-WAN, 방화벽, 그리고 ZTNA로 온프레미스에서 출발한다. 그리고 라우팅, SWG(Secure Web Gateway)와 클라우드 보안 게이트웨이로 클라우드에서 끝난다.

각 용어들이 어떤 것을 의미하는 지에 대해서 좀 더 이해도가 높아진다면, 제품 종류에 대해 좀 더 조사하고 아키텍처 전략을 짠 후 특정 프로젝트를 시행하면 된다.

 

제로 트러스트 전략 짜기

네트워크 에지가 그 어떤 때에 비해 동적이고 분산되어 있기에, 기업들은 더 새롭고 발전된 위협에 노출되어 있다. 에지 환경은 WAN, 멀티 클라우드, 데이터센터, 사물인터넷(IoT), 그리고 집이나 다른 원격 근무 환경을 포함할 수 있다. 보안 엑세스 서비스 에지(SASE, Secure Access Service Edge)는 기존의 전통적인 데이터센터 너머로 보안을 확장시키는 최고의 방법으로 꼽혀왔다. 이 클라우드 제공 서비스는 네트워크와 보안 기능을 WAN 역량으로 합치고 종종 ZTNA 기능을 포함한다. SASE의 문제는 클라우드를 통해서만 보안이 제공될 수 있기에, 하이브리드 IT 아키텍처를 가지고 클라우드와 온프레미스 리소스에 대해 모두 접근이 필요한 기업들에게는 통하지 않는다는 것이다.

기업에서는 지속적으로 기업 전반의 네트워킹과 보안의 융합하여 네트워크 에지와 원격 사용자들에 대한 암묵적인 신뢰를 대체하기 위한 시스템적인 접근방식을 택해야 한다. SASE와 다르게 포레스터 제로 트러스트 에지는 아래와 함께 온프레미스와 클라우드에 접근한다:

• 모든 환경에 안전하게 연결하기 위한 소프트웨어 정의 광역 네트워크(SD-WAN)
• 차세대 방화벽(NGFW)
• 원격 사용자들을 안전하게 연결하기 클라우드 제공 보안
• 안전한 애플리케이션 접근을 위한 ZTNA

제로 트러스트 에지는 하이브리드 IT 환경에서 누구나, 어느 것이나 네트워크 어디에서든 보호될 수 있도록 지원하며, 온프레미스와 클라우드를 이용하는 기업에게 안전한 제로 트러스트 전략이다.

 

제로 트러스트 이니셔티브 구현

제로 트러스트가 특정 제품보다는 사고방식에 더 가깝기 때문에 제로 트러스트 보안 접근방식과 프레임워크를 통해 다양한 방법으로 보안을 향상시킬 수 있다. 예를 들어 당신은 다음과 같은 특정 프로젝트를 위한 예산을 배정하고 싶을 수 있다:

• 적절한 네트워크 존에 각각의 디바이스를 할당하는 마이크로세그멘테이션 프로젝트. 이 때, 디바이스 할당은 디바이스 종류, 기능, 그리고 네트워크 내에서 사용 목적 등과 같은 여러 요소에 기인할 수 있다. 클라우드 기반의 SASE 솔루션은 온프레미스에서 이런 레벨의 통제를 하기 어렵다.
• 사용자 ID에 "최소 접근 정책"을 적용하는 프로젝트. 인증(Authentication), 권한부여(Authorization), 계정관리(Accounting)의 AAA서비스, 접근 관리, 그리고 싱글사인온(SSO)를 이용해 조직 내에서 사용자들을 그들의 역할에 따라 식별하고 적절한 접근 정책을 적용한다.
• 클라이언트에서 시작하는 방화벽 기반의 ZTNA 솔루션을 사용한 ZTNA 프로젝트. 이 ZTNA 솔루션은 사용자가 클라우드나 온프레미스 어느 리소스에 접근하든 기능한다. ZTNA 정책이 원격 사용자들 대상으로 제한되지 않고 보편적인 것이 중요하다. VPN과 ZTNA를 동시에 지원하는 에이전트를 사용중이라면 VPN에서의 마이그레이션이 더 간단해진다.

일부 벤더에서 내포하는 것과 반대로, 제로 트러스트는 "한방에 끝나는" 유형의 프로젝트가 아닌 제로 트러스트 원칙을 통해 전반적인 보안 태세를 향상시키기 위한 여정이다.

 

어디에서든 제로 트러스트

가장 기초적인 수준으로 보면 제로 트러스트 보안 모델은 간단하다. 누구든 어느것이든 네트워크 접속 권한을 얻었다고 신뢰할 수 있다는 가정을 하지 말자. 어려운 점은, 이것을 가능하게끔 하는 기술을 구체화하는 것이다. 이를 위해서는 여러 제품이 필요하기에 서로 호환되지 않을 수 있는 특정 기능 제품들 여러 개를 중구난방으로 시도하기보다 한걸음 뒤로 물러서서 큰 그림을 보는 것이 중요하다.

기업을은 MFA와 같이 이미 잘 사용되고 있는 제로 트러스트 요소를 갖고 있을 수 있다. 만약 여러 선택지를 조사중이고 그 과정에서 혼란스럽다면 NIST report와 같이 중립적인 출처에 나온 원칙을 참고하라. 그리고 기억하라, 어떤 것이 사실이라기에 너무 쉽거나 좋을 경우, 그 느낌이 맞을 수 있다는 것을.

---

푸린's 요약: 제로 트러스트는 단일 아키텍처가 아닌, 워크플로우나 시스템 디자인, 운영에 대한 내용이 모두 포함된 모델이다. 신뢰되는 대상에 대한 재검증을 통해 "무엇이든 어디든 100%신뢰를 유지하지 않는" 방식으로 내·외부 공격에 선제적으로 방어하는 방식. ZTA나 ZTNA 같은 용어가 서로 혼동되어 사용되는 경우도 있으니, 개념에 대해서 다시 명확하게 잡고 제로 트러스트의 구현 방향에 대한 고민이 필요하다.