Genian ZTNA , 제로트러스트 보안의 완성1.

1. Introduction (포스트 코로나 그리고 해결과제)

코로나(Covid-19) 긴 터널의 끝이 보입니다. 코로나는 모든 분야에 영향을 주었으며 다양한 변화를 촉발시켰습니다. 기업의 IT 담당자는 급작스런 업무환경의 변화를 수용하면서 동시에 업무 연속성과 보안을 유지해야 했습니다. 그 결과 재택근무와 클라우드, SaaS(Software as a Service)와 사투를 벌여야 했습니다. 그러나 이러한 노력으로 우리는 유례없이 빠른 디지털 전환(DX, Digital Convergence)을 경험했습니다.

그러나 아직 끝나지 않았습니다. 코로나가 종식되어도 변화된 환경은 유지될 것 입니다. 하이브리드 근무(사무실 + 재택근무)는 대중화 되었고 클라우드와 SaaS의 활용은 사실상 표준이 되어가고 있습니다. 기업들은 디지털 전환을 통해 과거의 한계를 빠르게 극복하고 있습니다. 변화에 맞추어 규제나 제도 역시 개선되고 있습니다. 전환은 앞으로도 더욱 가속화 될 것 입니다.

[ Hybrid Work Becoming Pervasive, Gartner ]

이제 우리는 변화된 환경을 안전하고 견고하게 유지해야 합니다. 미래 보안에 대한 고민이 필요합니다. 불행히도 과거의 보안모델은 도전을 받고 있고 더 이상 효과적이지 않습니다. 변화된 환경에 맞추어 새로운 보안 모델이 필요 합니다.

2. 새로운 접근통제

* 클라우드를 보호하기 위해 다양한 보안기술이 필요합니다. 전문가들은 공통적으로 3가지를 언급하고 있습니다. 인증과 식별, 데이터 보호(암호화 등) 그리고 접근통제 입니다. 본 백서에서는 이 중, 접근통제에 관해서만 언급합니다.

새로운 환경으로 인해 기존의 보안 모델이 도전을 받고 있습니다. 대표적으로 ‘신뢰(Trust) 기반의 경계선(Perimeter) 모델’을 들 수 있습니다. 이것은 내부(신뢰)와 외부(비신뢰)를 나누고 경계를 강화하는(Castle and Moat) 네트워크 보안 모델의 기본이었습니다. 그러나 변화된 환경에서는 더 이상 효과적이지 않습니다. 가장 큰 변화는 ‘원격지(재택)와 클라우드’ 입니다. 이로 인해 내부와 외부의 구분이 불가능 해 졌습니다. 내부자는 어디에나 있고 서비스와 접근이 필요한 자원(Resource) 역시 안팎에 존재 합니다. 위치에 따른 신뢰는 모델은 무너졌습니다.

이를 해결하기 위해 다양한 네트워크 접근통제 모델이 제시 되고 있습니다. 특히 클라우드 접근통제는 그 특성으로 인해 기존 모델의 적용이 어렵습니다. 5 Tuple (IP 및 Port 정보)은 더 이상 유효하지 않으며 클라우드 모델(IaaS, PaaS & SaaS)에 따라 어플라이언스(H/W), 가상머신(VM), 컨테이너, 애플리케이션 등 통제의 대상(Object) 역시 다양합니다. 아울러 클라우드 사업자(CSP, Cloud Service Provider)의 API(Application Programming Interface) 제공 여부 등에 따라 접근통제의 정도(Granularity) 역시 달라질 수 있습니다.

그럼에도 클라우드 접근통제를 위한 대안은 존재 합니다. 각각의 올바른 이해를 통해 접근통제의 대상 및 정책을 고려한 최적의 방법을 선택할 수 있습니다. 본 백서에서는 SDP, CASB, SWG 그리고 SASE를 소개 합니다.

A. SDP ( Software Defined Perimeter, 소프트웨어 정의 경계 )

SDP는 CSA(Cloud Security Alliance)가 추진하는 접근통제를 위한 차세대 프레임워크 입니다. SDP는 컨트롤러, 게이트웨이(또는 서버), 클라이언트로 구성되어 모호해진 경계를 명확히 설정할 수 있으며, 이를 기반으로 접근통제를 수행합니다. 기존의 네트워크가 ‘선 연결, 후 인증’ 방식 인 것에 비해 SDP는 ‘선 인증, 후 연결’ 방식으로 동작하여 인증 결과에 따라 연결이 제한됩니다. 이러한 특징으로 권한이 없는 사용자(인증 실패자)는 연결 대상을 확인조차 할 수 없는 상태가 됩니다. 이것이 SDP를 ‘블랙 클라우드(Black Cloud)’ 기술 이라고 부르는 이유이기도 합니다.

[ SDP 아키텍쳐, SDP Specification 1.0, CSA ]

B. CASB ( Cloud Access Security Broker )

CASB는 이용자와 클라우스 서비스 사이에 위치하여 독립적으로 보안 기능을 수행하는 솔루션 입니다. 에이전트, 어플라이언스(Appliance), API 등 다양한 형태로 제공됩니다. 클라우드 서비스 이용에 대한 가시성, 접근제어, 내부정보 유출방지(DLP), 이상탐지, 로깅(Logging), 감사(Audit) 등의 보안 기능을 수행합니다. 일반적인 CASB는 API를 통해 보안 기능을 제공하며 클라우드 서비스에 특화된 정교한 보안 정책을 제공합니다. 반면 신규 서비스에 대한 지속적인 지원이 필요 합니다.

[ CASB – 클라우드 접속 보안 브로커, ITFIND ]

C. SWG ( Secure Web Gateway )

SWG 역시 사용자와 클라우드 사이에 위치 합니다. 다수의 클라우드 서비스는 웹(web) 기반이며 SWG는 웹에 특화된 기능을 제공합니다. 보안 정책에 따라 데이터 유출 방지, 안티바이러스, URL 필터링, HTTPS 검사, 애플리케이션 제어 등의 보안 기능을 제공합니다. SWG는 웹 콘텐츠가 내부에 도달하기 전에 이를 선별하고 필터링 할 수 있습니다. 이것은 매우 큰 장점이지만 모든 트래픽이 SWG를 경유해야 합니다. 따라서 독립적으로 실행되거나 또는 SASE의 일부로 배포되어 사용될 수 있습니다. SWG와 CASB는 제공하는 보안 기능의 수준(Granular) 과 범위(Coverage) 차이가 있습니다. 그러나 아래 SASE 또는 SSE(Secure Service Edge) 등의 모델에서는 통합된 형태로 제공될 수 있습니다.

[ How Secure Web Gateway Works, Toolbox ]

D. SASE ( Secure Access & Service Edge, 새시 )

SASE는 2019년 가트너(Gartner)가 제시한 새로운 개념으로 네트워크와 보안이 통합이 핵심입니다. SASE는 WAN(Wide Area Network)과 CASB, FWaaS(Firewall as a Service), SDP, SWG 등의 보안서비스를 단일 클라우드 또는 플랫폼으로 통합하여 제공합니다. 가트너는 이를 통해 다양한 네트워크 환경 및 보안 서비스 구축에 대한 유연성을 확보하면서 비용과 복잡성을 감소시킬 수 있다고 예상합니다. 또한 모든 연결과 컨텐츠를 SASE에서 검사하는 것으로 가시성과 보안성을 동시에 확보할 수 있다고 기대하고 있습니다.

[ SASE Convergence – The Future of Network is in the Cloud, Gartner ]

3. 제로트러스트 ( ZeroTrust )

가장 큰 환경의 변화는 ‘사무실(HQ)과 원격지(Home & Branch) 그리고 클라우드(IaaS & SaaS)’ 라고 할 수 있습니다. 이렇게 복잡하고 분산된 환경에서 어떻게 균일하고 높은 보안수준을 유지할 수 있을까요? 이것이 제로트러스트 보안 모델이 주목 받는 이유입니다.

제로트러스트는 이미 침해가 발생했다(Compromised)는 가정하에 불확실성을 제거하고 피해를 최소화 하기 위한 보안모델(컨셉) 입니다. 제로트러스트의 핵심은 ‘데이터(Data) 중심 아키텍처’ 라는 점 입니다. 따라서 기존 경계선(Perimeter)과 신뢰(Trust/Untrust)기반의 보안 모델로 해결이 어려운 지금의 상황을 효과적으로 해결할 수 있습니다. 제로트러스트는 지금의 (모든)보안 솔루션 또는 서비스가 수용해야 하는 철학 또는 원칙(Tenet)이 라고 할 수 있습니다.

이미 시장에는 제로트러스트와 관련된 다양한 정의와 용어가 사용되고 있습니다. 관련 내용(https://genians.co.kr/genians-nac/zt/)을 참고하십시오.

A. 제로트러스트 원칙 ( Tenets of Zero Trust )

미국국립표준기술연구소(NIST)는 제로트러스트의 이해 및 적용을 위한 다양한 가이드라인을 제시하고 있습니다. 이 중 ‘Zero Trust Architecture(NIST Special Publication 800-207)’에서는 제로트러스트의 개념과 함께 기본 원칙을 제시하고 있습니다. 아래의 내용은 신뢰성이 보장되지 않은 네트워크 환경을 가정하여 최소한의 권한(엑세스 최소화)과 세밀한 통제(지속적 인증/인가)를 수행하기 위한 일곱 가지 원칙과 세부 내용을 언급하고 있습니다.

Tenets of Zero Trust, Zero Trust Architecture, NIST

[ Tenets of Zero Trust, Zero Trust Architecture, NIST ]

B. 제로트러스트 아키텍쳐 ( Zero Trust Architecture )

보안모델을 이해하는 것과 실제 적용하는 것은 다른 문제 입니다. 제로트러스트의 적용을 위해 제로트러스트 아키텍처를 참고할 수 있습니다. 앞에서 제로트러스트를 위한 원칙을 언급하였습니다. 내용에 따르면 ‘제로트러스트 아키텍처는 (기업 내) 존재하는 구성요소(component)의 관계, 워크플로우, 접근정책 등에 제로트러스트(컨셉)를 적용하기 위한 사이버보안 계획’ 이라고 이해할 수 있습니다. 그럼 누구를 대상으로 어떻게 관계나 워크플로우를 이해하고 정보를 확인하여 최소한의 권한을 부여하고 세밀한 통제를 해야 할까요?

결국 제로트러스트 아키텍처(ZTA)의 시작은 ‘누구(Components)’ 를 어떻게 누락 없이 탐지하고 식별할 수 있는지의 가시성(Visibility)의 확보’ 라고 할 수 있습니다. 즉 여기서의 누구는 조직활동에 참여하는 모든 자산(Asset)이라고 할 수 있으며 구성원(사람)을 포함하여 서버, 네트워크 장비, 어플리케이션뿐만 아니라 정책, 워크플로우, 네트워크 연결 등 모든 것이 포함된다고 할 수 있습니다.