[데이터넷] 제로 트러스트는 다양한 기술을 유기적으로 결합해 인터넷 통신(IP) 기술의 암묵적 신뢰 관계를 끊는 것을 말한다. 글로벌 팬데믹과 클라우드 확산으로 전통적인 네트워크 경계 보안의 한계가 드러나면서 새로운 보안 전략으로 ‘제로 트러스트’가 떠오르게 됐으며, 제로 트러스트 구현을 위한 다양한 방법과 기술이 제안되고 있다.

미국이 사이버 보안 행정명령으로 제로 트러스트를 의무화한 후 미국 국립표준기술연구소의 NIST SP-800-207 제로 트러스트 아키텍처, 제로 트러스트 도입을 위한 성숙도 모델 개발, 실증 모델(NIST SP 1800-35) 등 제로 트러스트를 위한 표준과 가이드가 봇물처럼 쏟아져 나오고 있다. 이에 발맞춰 관련 기업의 기술 발전도 빨라지고 있는데, 이는 미국 뿐만 아니라 일본, 대만, 호주 등 다양한 국가에서 활발하게 도입과 발전 방향이 논의되고 있다.

우리나라도 2022년 11월 과학기술정보통신부와 KISA 주관 제로 트러스트·공급망 보안 포럼이 공식 발족되면서 국내 환경에 최적화된 제로 트러스트 아키텍처를 정의하기 위한 여정이 시작됐다.

완성도·성숙도 낮은 제로 트러스트 구현 기술

제로 트러스트가 보안의 중요한 트렌드로 자리 잡고 있으며, 참고할 수 있는 NIST 제로 트러스트 아키텍처 표준이 있지만, 구체적인 기술 적용 방법에 대해서는 제조사마다 해석이 분분하다. 그래서 시장의 혼란이 가중돼 ‘제로 트러스트 포기(Zero Trust Abandonment)’ 현상까지 나타나고 있다.

NIST 표준에서는 신뢰할 수 없는 대상의 접속 또는 접근을 제어해 신뢰할 수 있는 경우에만 보호 대상과 연결할 수 있도록 했다. 이를 위해 필요한 다양한 솔루션과 기술을 결합해 유기적으로 동작할 수 있는 아키텍처가 제안됐다.

기존 네트워크의 ▲언제 어디서나 ▲스마트폰이나 노트북 또는 IoT 기기를 이용해 ▲복잡한 인증절차 없이 ▲불특정 대상과 연결되는 정책을 없애고 지속적으로 검증하고 모니터링하는 것을 제로 트러스트 원칙으로 하고 있다.

제로 트러스트 아키텍처는 단일 솔루션으로 구축할 수 있는 것이 아니며, 다양한 솔루션의 복합적인 결합이 필요하다. 기존에 공급되었던 솔루션의 기능, 보호, 제어가 중복되는 부분이 있는데, 이를 어디까지 결합할 것인지 기준이 분명하지 않고 표준화된 API 정의가 없는 상태에서 성숙도 높은 제로 트러스트 아키텍처를 구현하기 어렵다.

완벽한 수준의 제로 트러스트 모델 기반 성숙도를 구현하기 위해 필요한 기술 중 제조사에서 지원하지 않거나 아직 개발 전인 기술, 상업적인 품질 수준이 확보되지 않은 단계의 기술이 있다. 그래서 기업·기관은 한번에 제로 트러스트를 구축할 수 없으며 단계별로 구축해야 한다.

이러한 한계에도 불구하고 시장조사 기관은 제로 트러스트 아키텍처의 점진적 도입을 피할 수 없다고 진단한다. ICT 역사상 전례 없는 보안 사고로 인한 막대한 비용이 들고 있다. 복잡한 초연결시대에 물리적으로 통제할 수 없는 디지털 데이터를 제어하기 위해서는 지속가능한 디지털 트랜스포메이션을 진행해야 한다. 제로 트러스트 원칙의 보안 전략이 새로운 시대의 요구에 가장 적합하다고 여러 보안 전문 기관들이 입 모아 주장하고 있다.

신뢰할 수 있을 때만 연결하는 ZTA

제로 트러스트 아키텍처의 핵심 요소는 인터넷 통신을 신뢰할 수 있을 때에만 연결할 수 있어야 한다는 것이다. 국내에서 보안 등급이 높은 주요 시설이 망분리와 망연계를 사용하고 있으며, 매우 높은 시설은 일방향 망분리를 구축하는데, 이는 인터넷 통신을 통제할 수 없기 때문이다.

그런데 인터넷과 업무망이 완전히 분리되거나 제한적으로 연결되는 이 환경은 디지털 트랜스포메이션 환경에 적합하지 않다. 그래서 물리적으로 통신을 끊는 것이 아니라, 논리적으로 연결을 차단한 상태에서 통신 대상을 식별하고 인증하며 정책 허용, 안전성을 평가해 신뢰할 수 있다고 판단되는 경우에만 인가해 논리적으로 연결한다. 이것이 제로 트러스트 아키텍처의 통신제어 원칙이다. 구체적으로 이를 어떻게 구현하느냐에 따라 제로 트러스트 성숙도 모델이 달라진다.

프라이빗테크놀로지의 ‘패킷고(PacketGo)’는 논리적 연결, 터널링, 보안 세션 등 다양한 수준의 연결을 세분화·제어할 수 있는 신뢰된 연결(Trusted Connection) 기술을 기반으로 설계됐다. 기존 레거시 네트워크 경계 환경, 독립적인 네트워크 환경, 분산 네트워크 환경 모두에 적용 가능한 신뢰할 수 있는 최적의 연결을 제공한다.

신뢰된 연결은 불특정 대상이 상시 연결될 수 있는 기존 인터넷 통신 기술의 문제를 해결한다. ▲통신이 시작되는 단말, 노드, 라우터 등에서 ▲사용자, 단말, 애플리케이션 등 통신 대상의 다양한 요소를 식별한다. 그리고 보안 컴플라이언스 준수 여부, EPP 검사, SBOM 검사, 시그니처 탐지 등을 살펴보고 안전한지 여부를 검사하고 인가한다. 화이트리스트에 등록된 통신 대상이 보호 대상에 접속 가능한지 여부를 확인하고 허용한 경우에만 두 통신 대상의 네트워크 경계를 고려해 최적화된 연결을 제공, 상호 신뢰할 수 있는 통신을 가능하게 한다.

예를 들어, VPN이 도입돼 있으면 이미 사용자와 시스템 간 터널링이 돼 있기 때문에 논리적 연결만 제어하면 된다. VPN이 없으면 터널링과 논리적 연결을 제어한다. HTTP/S 기반 SaaS를 사용하는 경우에는 논리적 연결과 보안 세션을 제어하며, SAP ERP 등 네이티브 프로토콜을 사용하는 애플리케이션은 강력한 수준의 논리적 연결을 제어한다.

이처럼 사용자, 단말, 애플리케이션, 서비스가 어디에 있든, 어떠한 기술을 사용하든 불특정 대상의 연결을 원천 차단하고 상시 신뢰할 수 있는 대상만 연결을 허용해 제로 트러스트 아키텍처를 완성할 수 있다.

안전하지 않은 접속 71% 이상 차단

트러스티드 커넥션을 사용하면 어떠한 네트워크 경계 기술이 적용돼 있다해도, 기존에 사용 중인 다양한 개발, 운영 소프트웨어, 일반적으로 사용하고 있는 범용 소프트웨어를 통제할 수 있다. 랜섬웨어나 멀웨어 또는 안전하지 않거나 허용되지 않은 소프트웨어, 허용되지 않은 웹 서비스 접근을 원천 차단할 수 있다. 윈도우, Mac OS, iOS, 안드로이드, 구름OS 등 동일한 제어가 가능하다. 이 기술을 도입·운영한 기업은 전체 접속 시도의 71% 이상 안전하지 않은 접속을 차단하는 등 정량적 도입 개선 효과를 볼 수 있다.

EPP, EDR 솔루션과 결합으로 위험이 탐지되는 경우 보안 컴플라이언스 준수 여부 상시 검사, 소프트웨어 사용이 종료돼 더 이상 통신이 필요하지 않은 경우 즉시 연결을 해제해 직접적인 혹은 잠재적인 위험 대상을 제거할 수 있다. 이와 함께 다양한 보안 솔루션과 통합해 제로 트러스트 아키텍처를 구현할 수 있게 한다.

단일 인증으로 지속적인 보호

제로 트러스트의 시작은 ‘아이덴티티(Identity)’다. 인터넷 또는 IP를 사용하는 네트워크에 연결된 모든 기기는 상호 통신과 식별을 위해 IP 주소를 부여받는다. IP 주소는 별도의 인증없이 누구나 부여받을 수 있기 때문에 신원 확인이 중요하다. 그래서 사용자는 업무 시스템이나 포털에 접속할 때 ID/PW 기반 인증을 수행하고 보안을 강화하기 위해 MFA를 더한다.

제로 트러스트 아키텍처가 아이덴티티를 강조하는 것은 인터넷 통신의 구조상 인증요소가 일원화 돼 연결되지 않으면 다양한 통신 대상을 식별하고 보호할 수 없기 때문이다. 예를 들어 HTTP/S를 기반으로 하는 포털, OAuth 등의 인증은 수행한 후 HTTP 통신 데이터(헤더)에 고유의 식별 정보를 삽입·유지함으로써 통신 대상을 식별하고 인증 여부를 확인하며 그에 따라 매핑된 권한을 제공하고, 다양한 접속 로그를 기록하게 된다.

HTTP/S의 특성상 서버는 어떤 단말이 접속했는지, 어떤 네트워크에서 통신하고 있는지, 어떤 소프트웨어를 사용하고 있는지 확인해야 한다. 그런데 기존의 ID/PW와 MFA는 통신 대상의 IP 주소와 인증된 통신 대상(사용자)의 식별 정보 이외에는 알 수 없으며, 실제로 신뢰를 확보하기 위해 필요한 많은 식별정보를 제공하지 않는다.

불특정 대상이 연결가능한 노출된 인터넷 통신 환경에서 ID를 수집하고 위·변조 하는 공격(Session Hijacking)에 취약할 수밖에 없다. 포털 기반 인증이 확산되고 있는 상태에서 포털에 연결된 수많은 HTTP/S 서비스는 단 한번의 인증만으로도 심각한 위험에 빠질 수 있다.

이 문제를 해결하기 위해 프라이빗테크놀로지는 두 통신 대상 간 신뢰된 연결을 중계할 때 고유의 아이덴티티인 데이터 플로우 ID(Data Flow ID)를 부여한다. 중계 과정에서 식별된 사용자, 단말, 애플리케이션, 서비스, 네트워크, 인증서, 데이터 등을 통합하며, 레이어 3~레이어 7의 각 계층에 IP 주소를 보완하기 위한 일시적인 데이터 플로우 ID를 삽입한다. 두 통신 대상이 추가 인증 절차 없이 부여된 아이덴티티를 통해 상호 식별·인증이 가능하다. 단말에 노출되는 신원 정보가 최소화되기 때문에 ID를 수집하고 위·변조 하는 취약점을 해결할 수 있다.

단말은 보안 컴플라이언스를 준수하는 상태에서 ID/PW 인증과 더불어 MFA 인증을 완료한다. 사용자와 단말 등 다양한 정보를 안전하게 식별한 상태에서 연결하며, 논리적 통신 대상을 식별한다. 인증 전에 접속하는 인터넷 통신으로 인해 발생하는 다양한 문제를 해결할 수 있다. 식별된 풍부한 아이덴티티를 사용해 미세한 권한 제어와 상세한 가시성 확보, 다양한 솔루션과 협업해 향상된 제로 트러스트 아키텍처를 구현할 수 있다.

제로 트러스트 적용 무선통신 서비스 공급 예정

프라이빗테크놀로지는 2021년부터 제로 트러스트 기술이 적용된 솔루션을 공급해왔으며, 대기업, 공공기관, 금융사, 방위산업체 등 다양한 레퍼런스 확보를 했다. 기술에 대한 우수성을 입증받아 엘지유플러스와 공급 계약을 체결하고 국내 통신사 최초로 제로 트러스트가 적용된 무선 통신 서비스를 하반기에 공급할 예정이다.

국내 최다 제로 트러스트 특허(글로벌 특허 120건) 보유, 특허청장상 수상, 기술보증기금의 우수 가치 평가를 등 풍부한 IPR을 기반으로 기술, 자본, 경험으로 중무장한 글로벌 제조사로부터 국내 시장을 보호하고, 국내 기업과 함께 성숙도 높은 그리고 쉽고 빠르게 적용할 수 있는 제로 트러스트 아키텍처를 구현해 글로벌 시장에 동반 진출하기 위한 토대를 마련하고 있다.

앞으로도 끊임없는 R&D와 국내 통신 및 보안 환경을 개선하기 위한 다양한 솔루션 출시 및 실증 사례를 확보해 제로 트러스트 시장의 주력 주자로 발돋움할 것이다.