ARPANET의 컴퓨터 4대가 온라인으로 연결되기 5년 전이었던 1964년에 가수 밥 딜런(Bob Dylan)은 ‘세상은 변해 가네(The Times They Are a-Changin)’를 작곡했습니다. 지난 10년간 인터넷 세상을 완전히 지배한 클라우드를 표현하기에 너무나도 적절한 제목이 아닐까 합니다. SaaS가 등장하면서 기업들은 자사의 핵심 이니셔티브에 해당하지 않는 지원 시스템의 관리는 써드파티에 맡기는 것이 더 쉽고 안전하다는 사실을 깨닫기 시작했습니다. SaaS 서비스 업체가 클라우드에서, 자신들이 소유한 매니지드 서버에서 직접 CRM을 운영하면 훨씬 안전하고 성능도 뛰어나다면 기업이 내부에서 CRM을 직접 운영할 필요가 없습니다. 이메일, 액티브 디렉터리(AD), ID 등 너무 중요해서 마이그레이션이 불가능한 것으로 여겨졌던 요소들도 Office 365, G Suite 등이 등장함에 따라 글로벌 클라우드 인프라로 이동하고 있습니다. 또한, IaaS(Infrastructure as a Service)와 클라우드 컴퓨팅이 부상하면서 이러한 변화의 속도가 더욱 빨라졌습니다.
경계기반 보안
경계기반의 보안접근은 물리적/논리적 망분리 크게 구분할수 있습니다.
물리적 망분리의 경우 중요접근 리소스에 인터넷 연결이라는 불안요소를 완전하게 제거하는것입니다.
논리적 망분리의 경우 VPN과같이 접근할수는 사설망을 구축을 하여 접근을 조금더 유연하게 제어하는 것입니다.
로봇과 전쟁을 다루는 SF 드라마인 배틀스타 갤럭티카에서 지구방위대가 AI 해킹공격을 막기위해
모든 우주선에 네트워크기능 자체를 제거한것은 물리적 망분리에 해당됩니다.
( 라디오 주파수와 같이 단방향 통신기로만 외부와 통신을 하며, 내부 네트워크기능자체도 없앴기때문에 물리적 망분리보다 사실은 조금더 높은 수준인 망제거입니다. )
20년 전까지만 해도 현대 세계에 가장 적합한 것으로 여겨졌던 보안 및 접속 방식을 지금 활용하는 것은 가장 바람직하지 못한 최악의 행동이라 해도 과언이 아닌 상황이 되었습니다. Forrester Research는 ‘Future-Proof Your Digital Business With Zero Trust Security’에서 다음과 같이 말합니다.
데이터 경제로 인해 오늘날의 경계 기반 보안은 쓸모가 없어졌습니다. 비즈니스가 정보와 인사이트를 복잡한 비즈니스 에코시스템 전체에서 수익화함에 따라 기업 경계에 대한 아이디어는 특이해질 수밖에 없고, 위험해지기도 합니다.
이건 그저 이론이 아닙니다. 최근 5년간 일어났던 막대한 데이터 유출 사건에서도 명백하게 알 수 있었듯이, 데이터 유출 사건의 대부분은 네트워크 경계 내부에서 누군가가 신뢰 관계를 악용해 저지른 행위로 인한 것이었습니다. 설상가상으로 이 문제는 더욱 커졌습니다. 네트워크 경계 내부에 배포하도록 설계된 애플리케이션의 보안 프로필이 최악인 경우가 상당히 많았습니다. 기업 시스템에 접근하는 사람은 오직 좋은 의도를 가진 인증된 직원들이라고 당연하게 생각하는 10년 전 개발자라면, 해커 중 상당수가 인터넷 기반 애플리케이션을 악용해 공격한다는 사실을 알고 있는 오늘날의 개발자만큼 방어적으로 시스템을 개발했을까요?
그럼 대체 어떻게 해야 할까요?
제로트러스트
이 분야의 사고 리더이자 Forrester 애널리스트였던 존 킨더바그(John Kindervag)는 ‘제로 트러스트’라고 직접 이름을 붙인 솔루션을 제안했습니다. 이 솔루션의 기본 개념은 상당히 단순하면서 강력했습니다. 즉,신뢰란 위치의 문제가 아니고, 기업 방화벽 내부에 있다는 이유 하나만으로 누군가를 믿지 말아야 하며, 대신 매우 비관적인 방향으로 발상을 전환해 모든 컴퓨터, 사용자, 서버는 신뢰할 수 있다고 입증되기 전까지는 신뢰하지 않아야 한다는 생각이었습니다.
제로 트러스트를 위한 입증 방식은 강력한 인증과 권한이고, 신뢰가 구축되기 전까지는 어떠한 데이터 전송도 행하지 않아야 합니다. 또한, 분석·필터링·로깅을 통해 행동이 적절한지를 확인하고 감염의 징후를 끊임없이 확인해야 합니다.
제로트러스트는 이미 구축된 물리적망분리및 논리적 망분리인 VPN을 없애고 전환하라는 이야기가 아닙니다.
물리적으로 분리되어 경계에서 접근할수있는 어플리케이션이라 할지라도 자격증명이라는 접근을 이용하라는것입니다.
제로트러스트를 위한 SSO의 선택
기업의 제로트러스트를 수행하기 위해 개인의 가장 강력한 증명장치는 업무폰또는 개인폰이 될수 있으며
SSO(단일통합인증) + 2FA( 2단계인증)를 지원하는 다음과 같은 솔루션을 채택할수 있습니다.
Okta - Oauth를 인수하고 인증관련 부분에서 선두
Microsoft Authenticator
Google Authenticator
여기서는 개발팀에서 도입경험이 있는 Okta를 예시를 들었습니다.
기업이 이미 사용하는 다양한 스택들과 로그인 통합을 할수 있습니다.
보안프로필이 취약했던 PHP로 이미 작성된 레거시 서비스의 접근 보안프로필을 Okta를 통해 간단한 연동 개발로 보안프로필을 강화를 할수 있습니다.
Okta 도입한후 자격증명단위로 로그인 시도 이상탐지를 할수 있게되었으며 보안에 취약한 강력한 단일 패스워드 접근을 제거하게 되었습니다.
경계 중심의 보안모델 뛰어넘기
클라우드의 부상
ARPANET의 컴퓨터 4대가 온라인으로 연결되기 5년 전이었던 1964년에 가수 밥 딜런(Bob Dylan)은 ‘세상은 변해 가네(The Times They Are a-Changin)’를 작곡했습니다. 지난 10년간 인터넷 세상을 완전히 지배한 클라우드를 표현하기에 너무나도 적절한 제목이 아닐까 합니다. SaaS가 등장하면서 기업들은 자사의 핵심 이니셔티브에 해당하지 않는 지원 시스템의 관리는 써드파티에 맡기는 것이 더 쉽고 안전하다는 사실을 깨닫기 시작했습니다. SaaS 서비스 업체가 클라우드에서, 자신들이 소유한 매니지드 서버에서 직접 CRM을 운영하면 훨씬 안전하고 성능도 뛰어나다면 기업이 내부에서 CRM을 직접 운영할 필요가 없습니다. 이메일, 액티브 디렉터리(AD), ID 등 너무 중요해서 마이그레이션이 불가능한 것으로 여겨졌던 요소들도 Office 365, G Suite 등이 등장함에 따라 글로벌 클라우드 인프라로 이동하고 있습니다. 또한, IaaS(Infrastructure as a Service)와 클라우드 컴퓨팅이 부상하면서 이러한 변화의 속도가 더욱 빨라졌습니다.
경계기반 보안
경계기반의 보안접근은 물리적/논리적 망분리 크게 구분할수 있습니다.
로봇과 전쟁을 다루는 SF 드라마인 배틀스타 갤럭티카에서 지구방위대가 AI 해킹공격을 막기위해
모든 우주선에 네트워크기능 자체를 제거한것은 물리적 망분리에 해당됩니다.
( 라디오 주파수와 같이 단방향 통신기로만 외부와 통신을 하며, 내부 네트워크기능자체도 없앴기때문에 물리적 망분리보다 사실은 조금더 높은 수준인 망제거입니다. )
20년 전까지만 해도 현대 세계에 가장 적합한 것으로 여겨졌던 보안 및 접속 방식을 지금 활용하는 것은 가장 바람직하지 못한 최악의 행동이라 해도 과언이 아닌 상황이 되었습니다. Forrester Research는 ‘Future-Proof Your Digital Business With Zero Trust Security’에서 다음과 같이 말합니다.
데이터 경제로 인해 오늘날의 경계 기반 보안은 쓸모가 없어졌습니다. 비즈니스가 정보와 인사이트를 복잡한 비즈니스 에코시스템 전체에서 수익화함에 따라 기업 경계에 대한 아이디어는 특이해질 수밖에 없고, 위험해지기도 합니다.
이건 그저 이론이 아닙니다. 최근 5년간 일어났던 막대한 데이터 유출 사건에서도 명백하게 알 수 있었듯이, 데이터 유출 사건의 대부분은 네트워크 경계 내부에서 누군가가 신뢰 관계를 악용해 저지른 행위로 인한 것이었습니다. 설상가상으로 이 문제는 더욱 커졌습니다. 네트워크 경계 내부에 배포하도록 설계된 애플리케이션의 보안 프로필이 최악인 경우가 상당히 많았습니다. 기업 시스템에 접근하는 사람은 오직 좋은 의도를 가진 인증된 직원들이라고 당연하게 생각하는 10년 전 개발자라면, 해커 중 상당수가 인터넷 기반 애플리케이션을 악용해 공격한다는 사실을 알고 있는 오늘날의 개발자만큼 방어적으로 시스템을 개발했을까요?
그럼 대체 어떻게 해야 할까요?
제로트러스트
이 분야의 사고 리더이자 Forrester 애널리스트였던 존 킨더바그(John Kindervag)는 ‘제로 트러스트’라고 직접 이름을 붙인 솔루션을 제안했습니다. 이 솔루션의 기본 개념은 상당히 단순하면서 강력했습니다. 즉, 신뢰란 위치의 문제가 아니고, 기업 방화벽 내부에 있다는 이유 하나만으로 누군가를 믿지 말아야 하며, 대신 매우 비관적인 방향으로 발상을 전환해 모든 컴퓨터, 사용자, 서버는 신뢰할 수 있다고 입증되기 전까지는 신뢰하지 않아야 한다는 생각이었습니다.
제로 트러스트를 위한 입증 방식은 강력한 인증과 권한이고, 신뢰가 구축되기 전까지는 어떠한 데이터 전송도 행하지 않아야 합니다. 또한, 분석·필터링·로깅을 통해 행동이 적절한지를 확인하고 감염의 징후를 끊임없이 확인해야 합니다.
제로트러스트는 이미 구축된 물리적망분리및 논리적 망분리인 VPN을 없애고 전환하라는 이야기가 아닙니다.
물리적으로 분리되어 경계에서 접근할수있는 어플리케이션이라 할지라도 자격증명이라는 접근을 이용하라는것입니다.
제로트러스트를 위한 SSO의 선택
기업의 제로트러스트를 수행하기 위해 개인의 가장 강력한 증명장치는 업무폰또는 개인폰이 될수 있으며
SSO(단일통합인증) + 2FA( 2단계인증)를 지원하는 다음과 같은 솔루션을 채택할수 있습니다.
여기서는 개발팀에서 도입경험이 있는 Okta를 예시를 들었습니다.
기업이 이미 사용하는 다양한 스택들과 로그인 통합을 할수 있습니다.
보안프로필이 취약했던 PHP로 이미 작성된 레거시 서비스의 접근 보안프로필을 Okta를 통해 간단한 연동 개발로 보안프로필을 강화를 할수 있습니다.
Okta 도입한후 자격증명단위로 로그인 시도 이상탐지를 할수 있게되었으며 보안에 취약한 강력한 단일 패스워드 접근을 제거하게 되었습니다.
제로트로스트 선언과 보안비용
기업이 제로트러스트를 선언했다란것은 단순하게 특정 서비스의 접근 만 자격증명으로 대체하는것이아닌
기업에서 사용하는 모든 중요 자원접근에 SSO와 함께 자격증명이 적용됨을 의미합니다.
-Github의 가격정책
Github을 MS가 인수하면서 Private저장소를 포함 스타트업에서는 핵심기능을 대부분 무료로 활용할수 있습니다.
가격정책을 살펴보면 핵심기능이 아닌 보안과 관련된 SSO 연동지원이 Enterprise에만 있다란것은 Enterprise급에서 필수로 선택할수밖에 없다란란 확신이 있기 때문에
탑티어 가격 정책이 보안과 관련된것이며 Github을 포함 Attlassian의 시리즈도 Enterprise에서만 SSO와 관련한 보안기능을 제공합니다.
위치 기반+단순인증으로만 허용했던 기업보안이 고객기업의의 제로트러스트 수행행을 위해 2FA를 포함한 SSO(+SAML)를 지원해야하는 부분은
기업형 솔루션에서 선택이 아닌 이제 필수가 되어가는것으로 보입니다.
참고링크: 제로트러스트와 관련된 다음 보안 솔루션의 자료를 참고하여 만들어졌습니다.