제로 트러스트(zero trust)는 네트워크 경계와 관계없이 누구도, 그리고 어떤 활동이든 기본적으로 ‘신뢰하지 않는’ 것에 바탕을 둔 보안 개념이다. 전통적인 네트워크 보안은 물리적(또는 논리적) 네트워크 경계를 설정하고, 그 경계를 기준으로 신뢰할 수 있는 영역과 그렇지 않은 영역을 구분하는 것이다. 경계 내에서의 활동은 기본적으로 신뢰할 수 있다는 전제하에 보안 기준이 적용된다. 반면, 제로 트러스트 모델에서는 설정된 네트워크 경계와 관계없이 아무도 신뢰하지 않는 것을 전제로 한다.
위 개념도에서 보듯 제로 트러스트에서는 기본적으로 신뢰 구간(trust zone)이 없다. 악의를 품은 사용자는 항상 신뢰 구간 바깥에 있고, 신뢰 구간 안에 있는 사용자는 늘 믿을 수 있다는 기존의 경계 보안 모델과는 완전히 대조된다. 모든 사용자가 신뢰할 수 없다고 간주되기 때문에 제로 트러스트에서는 매우 엄격한 접근 제어 방식이 필요하다. 이를 위한 고도의 IAM(Identity and Access Management; ID 및 액세스 관리) 기능이 요구된다. 예를 들면, 다중 단계 인증, 싱글사인온, 생체인증, 사용자 모니터링 같은 것들이다. 전문 IAM 기업이 제공하는 솔루션을 도입하여 자체적으로 IAM을 구축하거나, 또는 클라우드 기반으로 제공되는 ‘서비스로서의 아이덴티티’(IDaaS; Identity as Service)를 사용할 수 있다.
VPN, SDP, 제로 트러스트
2020년부터 2년 넘게 이어지고 있는 코로나19 팬데믹은 모든 사람의 일상을 바꿔 놓았다. 특히 재택근무가 보편화되며 이젠 위치와 관계없이 어디서든 회사 시스템에 접근하여 업무를 처리하고 동료들과 협업하는 것이 자연스럽게 되었다. 회사의 물리적 네트워크 경계 안에 있는 시스템에서 안전하게 보호되던 회사의 주요 자산에 접근하기 위해서는 다른 방식의 접근 체계가 필요하다. 이를 위해 가상의 논리적 네트워크 경계를 설정하는 방식이 사용된다.
일반적으로 가장 많이 알려진 방식은 VPN(가상 사설망)을 사용하는 것이다. VPN은 승인된 사용자 장치와 서버 간 암호화 된 연결을 생성하여 마치 자체 사설 네트워크에 있는 것처럼 만든다. VPN을 사용하여 원격에서 근무하는 직원들도 마치 회사 네트워크에 직접 연결된 사무실에 있는 것처럼 사내 시스템을 원격으로 안전하게 사용할 수 있다.
회사에서는 직원들에게 VPN을 배포하여 각자 장치에 설치하여 이를 통해 원격으로 회사 내부 네트워크에 접속할 수 있게 한다. 회사 네트워크 접근이 필요한 모든 기기에 VPN을 설치하면 네트워크 경계를 설정하지 않더라도 안전하게 회사 네트워크 및 자원을 보호할 수 있다. 다만, 최근 다양한 IoT 기기 등 최신 장치들에 대한 지원이 부족하다는 것이 VPN 활용의 단점이 될 수 있다.
SDP(Software Defined Perimeter: 소프트웨어 정의 경계)는 논리적 가상 링크로 연결된 네트워크를 덮고 있는 마치 오버레이 네트워크 같은 개념이라고 볼 수 있다. 다르게 설명하면, 인터넷에 연결된 서버, 라우터와 같은 인프라를 숨김으로써, 온프레미스로 제공하든, 클라우드에서 호스팅을 하든 관계없이 외부의 잠재 공격자들이 아예 볼 수 없도록 투명 망토를 덮어 놓은 것 같은 것으로 연상하면 된다. 이름에서 알 수 있듯이 SDP 접근 방식의 궁극적인 목표는 네트워크 경계를 하드웨어가 아닌 소프트웨어로 결정한다는 것이다. 승인된 사용자만 ‘보이지 않는’ 인프라에 접속할 수 있다. 클라우드 보안 얼라이언스에서 SDP 개념을 처음으로 제시했다.
SDP를 적용하면 장치와 사용자 ID 인증을 통해 권한이 부여되어야만 호스팅을 하는 인프라에 접근할 수 있다. 장치에 대한 인증뿐만 아니라 장치의 상태까지 확인함으로써 인프라 접근을 허용 여부를 결정한다. 예를 들어 장치의 운영체제가 최신 패치까지 적용된 안전한 상태인지, 또는 악성코드(Malware)에 감염된 것은 아닌지 등 인프라에 위협이 될 만한 요소들이 없다고 확인되어야 인프라 접근이 허용된다.
여기에서 접근이 허용되는 인프라는 특정 물리적 네트워크 내에 있는 모든 자원을 말하는 것이 아니다. 접근 요청을 한 사용자와 장치의 접근 권한이 부여되는 일부 호스트만 해당한다. 접근 요청을 한 장치와 이를 허용하는 호스트 사이에는 VPN이 생성되어 상호 통신이 가능해진다. 이러한 일련의 과정을 제어하고 연결 여부를 결정하는 논리적 구성 요소가 SDP 컨트롤러다.
요약하면, SDP는 각 사용자에 대해 각각 개별화된 경계를 생성한다. SDP 게이트웨이를 통해 인증된 사용자만 인가된 호스트만 접근할 수 있도록 함으로써 매우 세분화된 접근 제어가 가능하다. 이 개념은 접근 대상을 물리적(또는 가상화된) 호스트뿐만 아니라 서비스가 제공되는 모든 리소스별, 또는 리소스 그룹별로 확장될 수 있다. 만일 물리적 경계만 활용된다면, 네트워크 내 컴퓨터 중 하나를 해킹하여 내부 네트워크에 침입함으로써 기업 내 네트워크 경계 안에서만 접근할 수 있는 민감한 데이터를 탈취할 수 있게 된다.
만일 SDP가 구동되고 있다면, 설사 네트워크 내 컴퓨터가 공격자의 수중에 떨어졌다고 하더라도 민감한 데이터를 열람할 수 있는 통로는 여전히 차단되어 권한이 없는 사용자로부터 데이터를 보호할 수 있다. 네트워크 내 애플리케이션도 마찬가지로 인가되지 않은 사용자는 구동시킬 수 없다. SDP가 바로 제로 트러스트에 기반하기 때문이다.
클라우드에서 SDP 활용
SDP는 물리적 시스템을 보호하는 데 유용하지만, SDP의 소프트웨어 오버레이 특성으로 인해 프라이빗 클라우드와도 쉽게 통합되어 클라우드의 유연성과 탄력성을 활용할 수 있다. 더 나아가 SDP는 기업에서 퍼블릭 클라우드 인스턴스를 격리하여 숨기고 보호하는 데에도 사용할 수 있다. 즉 프라이빗 및 퍼블릭 클라우드 모든 인스턴스를 포함한 통합 보안 모델을 제시할 수 있다. 하이브리드 클라우드를 도입하는 기업에서의 보안 구현에 매우 적합하다.
SaaS(Software as a Service; 서비스로서의 소프트웨어) 공급 업체는 SDP 아키텍처를 사용하여 서비스 사용 기업 간 보호가 가능하며 또한 서비스 공급업체 자신 역시 보호할 수 있다. SaaS 구조에서는 서비스 자체가 곧 외부 접근 인가 요청을 수락하는 SDP 호스트가 되고, SDP 서비스에 대한 연결을 원하는 모든 사용자는 SDP 클라이언트가 된다. SaaS 기반 서비스를 사용하는 기업별 구매 목록에 따라 접근할 수 있는 서비스 범위, 데이터에 대한 완벽한 소프트웨어 기반 경계를 설정할 수 있다. 인터넷에 연결된 어떤 사용자가 접근을 시도하든 완벽한 보안을 유지하게 된다.
퍼블릭 클라우드 기반 IaaS(Infrastructure as a Service)는 ‘서비스로서의 SDP'(SDP as a Service)와 같은 형태의 서비스를 통해 해당 고객만 접근할 수 있는 안전한 진입로(게이트웨이)를 제공할 수 있다. 이를 통해 외부 공격자로부터 기업이 활용하는 인스턴트, 스토리지, 네트워크 자원을 보호할 수 있다. 동시에, SDP의 특성을 활용하여 민첩하고 유연하게 자원을 배분할 수도 있다.
한편 클라우드컴퓨팅 벤더는 SDP를 플랫폼 서비스의 하나, 즉 PaaS(Platform as a Service) 형태로 제공할 수도 있다. 만일 기업이 PaaS 방식으로 SDP를 활용하면, 자체적으로 SDP를 내장한 보안시스템 구축도 가능하다. 제로 트러스트 보안 모델 내재화를 계획하고 있는 기업에는 단시간에 이를 구현할 수 있는 유용한 솔루션이며, 클라우드컴퓨팅 벤더 관점에서는 보안에 민감한 더 많은 기업을 끌어들일 수 있는 차별화된 서비스로 자리매김할 수 있을 것이다.
민감한 정보를 다루는 기업 또는 공공기관에서는 외부 인터넷망과 내부망을 분리하여 사용하는 경우가 많다. 전통적인 방식인 한 사용자가 두 개의 PC로 각각 다른 망에 접근하는 물리적 망 분리는 비용 효율적인 측면 및 유연성 측면에서 별로 바람직하지 않다. 비용 효율적인 측면에서는 클라이언트 기반 가상화 소프트웨어를 설치하는 것이 좋은 해법이다. 하지만 이 경우 저장매체를 이용한 정보 유출, 또는 악성코드 감염에 의한 보안 침해 가능성으로 인해 최선의 솔루션은 아니다.
데스크톱 가상화(VDI) 방식은 물리적 망 분리와 클라이언트 기반 가상화의 단점을 보완하는 솔루션으로 많은 기업, 특히 금융권과 공공기관에서 많이 쓰이고 있다. 하지만 기업 입장에서는 망 분리를 위한 가상화 서버팜 구축 등 그 비용이 만만치 않다. 만일 클라우드 기반의 VDI가 제공된다면 필요할 때만 사용하는 방식으로 구축 비용을 절감할 수 있을 뿐만 아니라, 클라우드에서 제공되는 최신 보안 솔루션을 자체 구축 없이 쉽게 활용할 수 있다. 이를 가능하게 하는 것이 SDP다.
최근에는 인터넷에 연결되는 수많은 IoT 장치를 통한 보안 침해 시도가 더욱 빈번해지고 있다. 상대적으로 컴퓨팅 능력이 떨어지고 관리가 허술한 점, 그리고 워낙 많은 공격 포인트가 존재한다는 특징을 최대한 활용한 해커들이 늘고 있다. SDP는 기본적으로 전체 인프라를 아예 숨김으로써 IoT 장치가 접근할 수 있는 통로를 원천 봉쇄할 수 있다. 대신, 각 IoT 장치로부터 매우 제한적인 접근 경로만 열어 두고 관리함으로써 IoT 기기를 통한 보안 공격에 효과적으로 대비할 수 있다. 특히, 점차 확대되고 있는 엣지컴퓨팅에서의 보안에 SDP가 매우 유용할 것으로 판단된다.
사례: 조 바이든의 행정명령, ‘제로 트러스트 필수화’
점점 더 많은 기업·기관이 클라우드 활용 비중을 높여가고 있는 가운데 온프레미스, 프라이빗 클라우드, 퍼블릭 클라우드가 혼재된 컴퓨팅 인프라를 운영하는 경우가 많아지고 있다. 하이브리드 멀티클라우드로 워크로드가 분산되는 것은 이제 피할 수 없는 대세다. 이런 분산 환경에 효과적으로 대응할 수 있는 클라우드 네이티브 컴퓨팅도 널리 확산되고 있다. 컨테이너화된 워크로드를 효율적으로 분산시킴으로써 클라우드에서 제공하는 컴퓨팅 자원을 효율적으로 활용함과 동시에, 기업·기관에서 필요로 하는 복잡한 보안 및 성능 요구사항에 최적의 대응이 가능하다는 것이 클라우드 네이티브 컴퓨팅의 매력이다.
클라우드 네이티브 컴퓨팅 환경에서는 전통적인 물리적 네트워크 경계를 설정할 수 없다. 즉, 기업 내 자산에 접속을 시도하는 모든 사용자와 그들이 활용하는 기기를 절대 신뢰할 수 없으므로 제로 트러스트 정책을 펼 수밖에 없다. 클라우드 전환을 계획하고 있다면 우선, 제로 트러스트에 기반한 보안 정책이 우선되어야 한다는 뜻이다.
2021년 5월 미국 조 바이든 대통령이 서명한 행정명령에는 연방정부와 클라우드 서비스 공급업체는 제로 트러스트 보안 정책을 채택하고 이에 따른 원칙과 프레임워크를 준수하도록 되어있다. 이 행정명령에서는 연방정부의 사이버 보안을 현대화하고, 클라우드 서비스로의 전환을 가속화하기 위해서는 제로 트러스트 아키텍처가 필수이며 각 기관장은 이를 구축하기 위한 계획을 60일 이내에 수립하도록 명령하고 있다.
기업 목표에 따른 제로 트러스트의 구현 단계
클라우드에서 제로 트러스트를 구현하기 위해서는 기업의 목표, 그리고 비즈니스가 추구하는 가치를 정의하는 것이 중요하다. 이에 따른 제로 트러스트 구현 단계를 살펴보면 다음과 같다.
- 회사에서 사용하는 애플리케이션의 경우 공개·비공개 또는 SaaS 활용 여부, 데이터의 경우 기밀성 수준을 분석하여 보호 영역을 정의한다.
- 실제 애플리케이션이 작동하는 방식을 분석하여 트랜잭션의 흐름을 파악한다.
- 클라우드 정책을 수립하고 이를 기반으로 실행될 애플리케이션과 사용자 간 경계를 생성한다.
- 회사의 컴플라이언스 기준에 따라 누가 무엇을 언제 접근할 수 있는지 제로 트러스트 정책을 개발하고 이에 따른 접근 제어를 시행한다.
- 제로 트러스트 환경을 모니터링하고 유지 관리한다.
제로 트러스트 기반 보안 환경에서 매우 중요하면서도 큰 비용이 들어가는 부분이 모니터링이다. 인증단계에서 장치 상태를 식별한다는 것은 모든 사용자 기기를 계속 모니터링할 수 있어야 함을 암시한다. 기기의 소프트웨어가 최신인지, 악성코드는 없는지, 정상적인 기기를 가장한 페이크 소프트웨어는 아닌지를 파악할 수 있어야 한다. 이를 위해서는 사용자 기기와 교환되는 모든 트랜잭션을 기록하여 상시 분석할 필요가 있다.
NIST(미국 국립표준기술연구소)에서는 5개의 핵심 기능인 식별(Identify), 보호(Protect), 감지(Detect), 대응(Respond), 복구(Recover)를 정의하여 이의 연속적 운영이 가능한 사이버 보안 프레임워크를 제시하고 있다.
이를 구현을 위해서는 엔드포인트(EndPoint)에 대한 보안이 매우 중요하다. 최근 금융권을 시작으로 많은 기업이 EDR(Endpoint Detection and Response) 도입을 서두르고 있는데, 이는 이미 제로 트러스트 기반 보안으로의 전환이 본격적으로 이루어지고 있음을 시사한다고 볼 수 있다. 또한, 클라우드 전환 가속화를 대비하는 것으로 볼 수도 있다.
요새 공공 부문에서의 클라우드 확산이 활발히 논의되고 있지만, 기대보다 더딘 이유 중 하나는 아직도 사이버 보안은 오래된 레거시 기술에 의존하고 있기 때문이다. 민간 클라우드 서비스를 우선 활용한다는 공공기관의 클라우드 도입 확산 전략은 이에 걸맞은 최신 보안 기술 도입이 함께해 주어야 성공할 수 있다. 미국 조 바이든 정부가 대통령 행정명령으로 제로 트러스트 아키텍처 구현 계획을 수립하라고 한 사실은 우리에 중요한 시사점을 던지고 있다.
[divide style=”2″]
[box type=”note”]
본 글은 한국지능정보사회진흥원의 지원을 받아 작성되었으며, 디지털서비스 이용지원시스템에 동시 게재합니다.
[/box]
