[데이터넷] 제로 트러스트가 모든 보안의 절대적인 원칙인 것 처럼 여겨지지만, 실제로는 복잡성을 높이고, 비용을 증가시키며, 사용자와 고객의 경험을 저하시켜 오히려 비즈니스 성장을 막는 방해 요소가 될 수 있다. 제로 트러스트 보안을 성공시키려면 분명한 목표와 장기적인 계획이 필요하며, 모든 환경에 대한 투명한 가시성이 요구된다. 현실적인 제로 트러스트 이행 방안을 제안한다. |권중술 굿모닝아이텍 상무|

네트워크 확장, 클라우드 인프라 확장, 변화하는 근무 형태에 맞춰 다양하게 제공되는 수많은 SaaS 서비스 등 이전과 다른 IT 서비스가 많이 제공되고 있다. 신규 서비스가 많아진다는 것은 그만큼 외부에서의 접속경로가 증가하고 있다는 뜻이다.

이는 외부 공격자 접근뿐 아니라 내부 직원의 외부에서의 업무 접속, 그리고 내부에서의 접근에 대한 경계와 보안의 중요도가 증가하고 있다는 것을 의미한다. 이전에 경험해 보지 못한 다양한 IT서비스가 비즈니스 활동에 도움을 주고 있는 것은 사실이지만, IT 보안의 시각에서 보면 보안관리자의 업무 부담이 과중된다는 우려가 있다.

과거에는 기업이 내부 네트워크를 보호하기 위해 방화벽과 가상 사설망(VPN) 등 전통적인 보안 시스템을 사용했다. 하지만 최근 몇 년간 급속한 기술 발전과 사이버 공격기법도 많은 발전을 이뤘다. 발전된 공격기법을 이용한 공격 벡터의 증가로 인해 기존의 보안 접근법으로는 강력한 방어 체계로 동작하지 않는 경우가 늘고 있다.

디지털 트랜스포메이션(DX)을 추진하면서 빅데이터, 클라우드로 이전이 가속화되고 있는 상황에서, 전통적인 보안 방식으로 방어할 수 없기 때문에, 보안 전문가들은 새로운 보안 패러다임을 모색하고 있다. 이에 새로운 보안 모델로서 제로 트러스트가 보안의 핵심으로 자리를 잡고 있다.

모든 접근 시도 실시간 검증하는 제로 트러스트

제로 트러스트 아키텍처라고도 하는 제로 트러스트 보안모델은 ▲신뢰할 수 있는 네트워크 경계는 존재하지 않으며 ▲모든 네트워크 트랜잭션은 먼저 인증 받아야 하고 ▲인증 절차를 통과한 후 접속이 이뤄져야 한다는 개념이다. 다시 말해 신뢰를 두지 않고 경계 없는 IT 시스템의 전략, 설계·구현에 대한 접근방식이다.

디지털 기술의 발전과 함께 빠르게 변화하는 환경에 맞춰 등장한 고도화된 보안모델로, 성능, 속도, 비용 등의 이유로 기본적인 보안원칙에 대한 예외처리를 허용하지 않고, 보안의 기본원칙에 충실히 하는 것이 최고의 보안이라는 뜻을 내포하고 있다.

방화벽과 같은 경계 기반 보안장비는 ‘내부 네트워크 자원은 믿을 수 있다’고 가정하고 외부로부터의 접근을 검증했다. 제로 트러스트는 ‘신뢰하지 않고 검증한다(Trust No One, Verify Everyone)’는 원칙으로, 모든 사용자, 장치, 애플리케이션 등 네트워크에 접근하는 모든 시도를 검증하고 인증해 내부 네트워크를 견고하게 보호한다.

외부-내부를 구분하지 않고, 모든 접근 시도를 실시간으로 검증해 보안을 강화하기 때문에 제로 트러스트는 내부 공격 방지, 데이터 유출 등의 보안 위협으로부터 비즈니스를 보호하는 효과적인 방법으로 인정받고 있다.

제로 트러스트의 핵심 원칙은 다음과 같다.

신뢰하지 않는 접근 가정: 제로 트러스트에서는 사용자, 장치, 서비스 등 모든 요소를 신뢰하지 않는다. 내부 네트워크에 있더라도 누구나 접근 권한을 부여받기 위해서는 검증과 인증 절차를 거쳐야 한다.

최소 권한 원칙: 사용자와 장치는 필요한 최소한의 권한만을 받아 접근한다. 필요 이상의 권한을 가진 사용자가 접근할 경우 데이터 유출 등의 위험이 증가한다.

다중 인증 요소(MFA): 사용자의 신원을 확인하기 위해 MFA가 사용된다. 비밀번호 외에 추가적인 인증 수단을 사용해 보안을 강화한다.

마이크로 세그멘테이션: 내부 네트워크를 작은 단위로 세분화해 미세한 세그멘트로 나누고, 각각의 세그멘트들이 독립적인 보안 정책을 따르도록 한다. 이를 통해 내부 공격에 대비한다.

행위 기반 접근 제어: 제로 트러스트는 사용자의 행동 패턴과 관련된 요소들을 고려해 접근을 허용하거나 거부한다. 이를 통해 보다 정교한 보안을 구현할 수 있다.

지속적인 모니터링: 제로 트러스트 시스템은 접근 시도와 사용자 활동을 지속적으로 모니터링해 이상 행동을 탐지하고 대응한다.

신뢰하지 않는 네트워크 환경: 외부 네트워크에 연결된 장치들도 신뢰하지 않는 것으로 가정하며, 그들의 접근 권한을 철저히 검증한다.

제로 트러스트 도입 단계: 기존의 보안 모델에서 제로 트러스트로의 전환은 단계적으로 이루어진다. 즉시 완전한 제로 트러스트 시스템을 구축하기 보다는 단계적으로 시스템을 업그레이드하고 보완해 전환하는 방식이 일반적이다.

복잡성 높아지는 제로 트러스트

제로 트러스트는 현대 보안의 발전을 위한 강력한 접근법이지만, 그렇다고 해서 도입에 있어서 어려움이 없는 것은 아니다. 제로 트러스트를 구현하고 유지하는 과정에서 다음과 같은 어려움이 발생할 수 있다.

복잡성: 제로 트러스트 시스템은 기존 보안 모델과 다른 철저한 접근 제어를 필요로 한다. 제로 트러스트 구현을 위해서는 사용자, 장치, 서비스 등 모든 요소에 대한 상세한 정책과 인증 절차를 설정해야 한다. 이로 인해 구현과 유지보수가 복잡해질 수 있다.

비용: 제로 트러스트 시스템 도입은 추가 비용을 발생시킬 수 있다. 새로운 보안 인프라를 구축하거나 보안 솔루션을 구매하고 통합하는 데에 적지 않은 비용이 들 수 있다.

사용자 경험 저하: 제로 트러스트는 사용자의 접근을 엄격하게 검증하기 때문에 일부 사용자는 불편을 느낄 수 있다. 특히 MFA를 사용하거나 접근권한이 제한적인 경우, 사용자들이 작업을 수행하는 데에 더 많은 시간과 노력이 필요할 수 있다.

시스템 호환성: 기존의 시스템과 제로 트러스트 시스템을 통합하는 과정에서 호환성 문제가 발생할 수 있으며, 특히 레거시 시스템과의 통합은 쉽지 않은 도전이 될 수 있다.

위험 평가와 정책 관리: 제로 트러스트 시스템에서 모든 요소를 신뢰하지 않는다고 가정하기 때문에 보안 정책을 관리하는 것이 중요하다. 정책을 세밀하게 관리하지 않으면 실제 필요한 접근이 차단되거나, 반대로 불필요한 권한을 가진 사용자가 접근할 수 있다.

인력과 노하우 부족: 제로 트러스트 시스템을 구현하고 운영하기 위해서는 많은 보안 전문가들의 노력과 높은 수준의 보안 노하우가 반드시 필요하다. 기업들이 충분한 보안팀과 자원을 확보하지 못하면 적절한 운영과 보안 관리가 어려워질 것이다.

장기 목표·계획 필요한 제로 트러스트 여정

제로 트러스트 시스템의 복잡성과 비용을 상쇄할 수 있는 많은 장점이 있지만, 신중한 계획과 전문적인 관리가 필요하다는 사실을 명심해야 한다. 특히 기업은 이러한 어려움을 인식하고, 적절한 대응 방안을 마련해 보안 시스템을 구축하고 유지해야 한다. 이를 해결하려는 방안으로 신뢰할만한 보안업체와 전략적 제휴를 생각해볼 수 있다. 지속적인 보안 트렌드 업데이트와 즉시 적용할 수 있는 보안 시스템 체계를 유지하는 것이 중요하다.

특히 AI, 챗GPT 등을 이용한 갈수록 다양해지고 교묘해지는 사이버 공격에 대응하기 위해 기업은 기본적이지만 강력한 원칙을 기반으로 하는 제로 트러스트로의 여정에 빠르게 동참하게 될 것이다. 제로 트러스트가 ‘여정’인 이유는 1~2개의 보안 솔루션 도입만으로 전사적 제로 트러스트 구현이 불가능하기 때문이다. 장기적 목표와 계획을 수립하고, 단기적으로 도입 가능한 부분부터 제로 트러스트 보안정책을 구현해야 한다.

이러한 여정의 출발점에서 제로 트러스트가 먼저 적용되어야 할 부분은 온프레미스, 클라우드, 컨테이너 환경에서 모든 네트워크 트래픽을 한눈에 파악할 수 있는 가시성 시스템을 확보해야 한다. 이렇게 파악한 가시성을 기반으로 기업 네트워크 트래픽의 85%를 차지하는 내부 네트워크 트래픽에서 측면 이동에 대한 세밀한 네트워크 통제(Micro Segmentation) 정책을 온프레미스, 클라우드 환경에 상관없이 즉시 적용할 수 있는 시스템을 갖춰야 한다.

가시성은 보안에 있어 매우 중요한 요소다. 가시성이란 소유한 인프라의 모든 네트워크 트래픽을 한눈에 파악할 수 있는 것을 뜻한다. 특히 플랫 네트워크(Flat Network) 구조와 점점 복잡해지는 클라우드, 컨테이너 환경과 더불어 레거시 환경까지 한눈에 파악할 수 있는 가시성 시스템 확보가 필요하다. 하이브리드 환경에서 온프레미스와 클라우드를 제각각 관리하는 것은 생각보다 큰 리스크를 떠안아야 한다.

가시성 확보 대상은 이전과 같이 사용자·관리자의 접속통제가 아니라, 수많은 애플리케이션과 API 접근현황이 포함돼야 한다. 현재 기업의 수많은 비즈니스 서비스는 대부분 API를 이용해 서비스를 지원하는 구조다. 수많은 API의 가시성 확보에 있어 내외부의 흐름뿐만 아니라, 기업 내 API 흐름까지 파악해야 하는 것은 필수이며, 이에 대한 가시성을 확보하지 못한다면 공격자의 다양한 공격에 대비할 수 없을 것이다.

이렇게 파악한 기업 네트워크의 모든 경로에 대해 검증 과정을 적용하기 위해서는 세밀한 접근제어 정책이 필요하며, 이러한 기능을 제공하는 기술이 바로 마이크로 세그멘테이션이다. 세밀한 정책 설정 또한 가시성 시스템에서 즉시 설정이 가능하다면, 좀 더 간단하게 말해 하나의 화면에서 가시성과 통제(One View & One Control)를 할 수 있다면, 제로 트러스트의 필수 아이템이 아닐까 한다. 제로 트러스트로의 긴 여정의 시작을 가시성 확보와 마이크로 세그멘테이션 전략을 우선으로 고려해 진행하기를 권장한다.