ID 거버넌스와 제로 트러스트: 하이브리드 업무환경을 보호하는 방법

이 블로그는 2021년에 처음 게시되었으며 업데이트되었습니다. 

신원 보안은 인증에서 시작됩니다. 본인임을 증명하는 것은 조직의 보안을 강화하는 첫 번째 단계이지만, 마지막 단계는 아닙니다. 너무 많은 조직에서 인증 이후에 일어나는 일은 주요 사각지대입니다. 액세스가 프로비저닝됩니다. 계정에 권한이 누적됩니다. 사람들이 역할을 변경하거나 퇴사합니다. 누가, 언제, 무엇에, 왜 액세스해야 하는지에 대한 명확하고 지속적인 이해가 없으면 보안의 공백은 소리 없이 커집니다.

팬데믹으로 인해 원격 근무가 3배 가까이 증가하면서 액세스 요청이 크게 급증했습니다. 그 규모 때문에 격차를 무시하기 어려웠습니다. 해커는 더 이상 사용하지 않는 VPN 계정을 사용하여 Colonial Pipeline의 네트워크에 침입했습니다. 정교한 익스플로잇이 아니었습니다. 액세스 거버넌스 실패였으며, ID 거버넌스 및 관리(IGA)는 이를 방지하기 위해 특별히 설계되었습니다. 하이브리드 업무가 기본이 되면서 사후 인증 보안을 확보하는 것은 더 이상 선택 사항이 아닙니다.

하이브리드 업무는 단순히 일하는 장소만 바꾼 것이 아닙니다. 조직이 보호해야 하는 대상도 바뀌었습니다. 직원들이 홈 네트워크, 커피숍, 공유 업무 공간에서 회사 리소스에 액세스할 때 기존의 보안 경계는 더 이상 의미가 없어집니다. 더 이상 “이 사람이 네트워크 내부에 있는가?”가 문제가 아닙니다. “이 사람이 지금 이 상황에서 이 리소스에 액세스해야 하는가?”가 문제입니다. 이러한 변화는 경계 기반 보안이 처리하도록 설계되지 않은 일련의 문제를 야기합니다.

액세스 스프레드 

팬데믹 기간 동안 원격 근무가 거의 하룻밤 사이에 급증하면서 새로운 액세스 요청이 쇄도했습니다. 직원들은 VPN, SaaS 애플리케이션, 클라우드 리소스, 협업 도구를 한꺼번에 필요로 하는 경우가 많았습니다. 보안팀은 비즈니스를 계속 운영하기 위해 신속하게 액세스를 프로비저닝했습니다. 하지만 빠르게 프로비저닝된 액세스는 신중하게 검토되는 경우가 드뭅니다. 그 결과 권한 변동이 발생합니다. 사용자 누적 보안 팀이 더 이상 완전히 볼 수 없는 시스템에서 더 이상 필요하지 않은 권한을 제거합니다.

고아 계정 및 휴면 계정

공격자는 문이 열려 있을 때 침입할 필요가 없습니다. 휴면 계정, 즉 직원이 퇴사하거나 역할을 변경한 후에도 오랫동안 남아 있는 자격 증명은 바로 그런 종류의 열린 문입니다. 콜로니얼 파이프라인 침해는 잘 알려진 사례로, 공격자는 더 이상 사용하지 않는 VPN 계정을 통해 액세스 권한을 얻었습니다. 정교한 익스플로잇이 아니었습니다. 액세스 거버넌스의 실패였습니다. 그리고 이런 사례는 흔치 않습니다.

타사 및 계약자 액세스

하이브리드 인력은 고립된 상태로 운영되는 경우가 거의 없습니다. 공급업체, 계약업체, 파트너는 업무를 수행하기 위해 정기적으로 내부 시스템에 액세스해야 합니다. 이러한 액세스 권한은 일반적으로 필요에 따라 부여되며 재방문은 거의 이루어지지 않습니다. 조직은 결국 정상적인 프로비저닝 및 검토 주기를 벗어난 타사 자격 증명의 롱테일로 인해 제로 트러스트가 제거하고자 하는 암묵적 신뢰와 정확히 같은 종류의 신뢰가 형성됩니다.

측면 이동 위험

공격자가 하나의 유효한 인증 정보 세트를 확보한 후, 진짜 문제는 그들이 얼마나 멀리 갈 수 있느냐입니다. 액세스 경계가 약한 환경에서는 '매우 멀리'라는 답이 나오는 경우가 많습니다. 합법적인 액세스를 사용하여 네트워크 내부로 더 깊이 침투하는 측면 이동은 기업 침해에서 가장 흔한 패턴 중 하나입니다. 최선의 방어는 사후에 더 잘 탐지하는 것이 아닙니다. 침해된 계정이라도 절대로 접근해서는 안 되는 시스템에 접근하지 못하도록 하는 것입니다.

가시성 격차

보이지 않는 것은 관리할 수 없습니다. 하이브리드 환경에서는 ID 데이터가 한 곳에 있는 경우가 드뭅니다. 직원들은 온프레미스 시스템, 클라우드 애플리케이션, SaaS 도구, 인프라 플랫폼에 각각 다른 디렉터리와 액세스 제어를 통해 인증하는 경우가 많습니다. 누가 무엇에 액세스할 수 있는지에 대한 통합된 뷰가 없으면 보안팀은 불완전한 정보로 액세스 결정을 내릴 수밖에 없고, 액세스 검토는 신뢰할 수 있는 제어가 아니라 최선의 추측이 됩니다.

보안과 개인 정보 보호의 균형

하이브리드 환경에서 보안을 제대로 확보한다는 것은 단순히 액세스를 제한하는 것이 아니라 액세스를 활성화하는 것을 의미합니다. ID 거버넌스의 목표는 모든 것을 잠그는 것이 아니라 정확히 해야 할 일을 하는 사람들에게 마찰을 일으키지 않으면서 적절한 사람들에게 적절한 액세스를 보장하는 것입니다. 이러한 균형을 유지하려면 더 엄격한 제한뿐만 아니라 정책, 자동화, 거버넌스가 함께 작동해야 합니다.

성숙한 ID 거버넌스 프로그램은 액세스 권한을 부여, 모니터링 및 취소하는 방식에 보안을 직접 구축하여 이러한 문제를 해결합니다. 핵심 구성 요소는 다음과 같습니다:

• ID 거버넌스 및 관리(IGA). 기본 계층. IGA는 누가 어떤 항목에 액세스해야 하는지 정의하고, 프로비저닝 및 프로비저닝 해제를 자동화하며, 모든 액세스 결정에 대한 감사 가능한 기록을 생성합니다.
• 역할 기반 액세스 제어(RBAC). 개별 협상이 아닌 직무 기능에 따라 권한을 할당합니다. RBAC는 침해된 계정의 폭발 반경을 제한하고 액세스 검토 속도를 크게 높입니다.
• 지속적인 액세스 검토. 정기적인 인증을 통해 현재 권한이 현재 직무 책임과 일치하는지 확인하여 권한이 문제가 되기 전에 미리 파악할 수 있습니다.
• 자동화된 프로비저닝 해제. 직원이 퇴사, 역할 변경 또는 오프라인 상태가 되면 즉시 액세스 권한을 취소하면 콜로니얼 파이프라인 유출을 가능하게 했던 휴면 계정 위험을 제거할 수 있습니다.
• 이상 징후 탐지 및 행동 분석. 로그인 자체는 정상적으로 보이는 경우에도 인증정보 유출 또는 내부자 위협을 나타낼 수 있는 비정상적인 액세스 패턴을 식별합니다.
• 제로 트러스트 네트워크 액세스(ZTNA). 네트워크 위치에 기반한 암묵적 신뢰를 리소스에 대한 액세스 권한을 부여하기 전에 신원, 디바이스 상태 및 컨텍스트를 지속적으로 확인하는 것으로 대체합니다.

성숙한 ID 거버넌스 및 관리(IGA) 프로그램을 구축하려면 인증 후 격차를 이해하고 이를 해소하는 것부터 시작해야 합니다. IGA는 오늘날 기업이 생산성을 유지하면서 보안을 보장하는 데 필요한 인증 후 보안을 제공합니다.

즉, 보안 팀에 하이브리드 업무에 필요한 규모에 맞게 액세스 결정을 자동화하고, 이상 징후를 파악하고, ID 플레인을 제어할 수 있는 도구를 제공해야 합니다.

실제로는 그렇게 보입니다:

• 펜 테스터가 기업 네트워크 내에서 접근 권한을 얻고 측면으로 이동할 수 있을 때 어떤 일이 발생하는지, 그리고 IGA가 이러한 종류의 이동을 어떻게 제한할 수 있는지 이해합니다.
• 사용자 중심 ID가 여전히 가능한지, 그리고 그것이 IGA에 어떻게 부합하는지 평가합니다.
• 역할 기반 액세스 제어를 사용하여 사용자, 시스템, 애플리케이션, 데이터를 비즈니스 속도 저하 없이 보호할 수 있을 만큼 정밀한 방식으로 인증하세요.

RSA ID Plus는 클라우드, 하이브리드, 온프레미스 구성 등 다양한 환경의 사용자를 지원할 수 있습니다. 솔루션에 대해 자세히 알아보기 또는 지금 ID Plus 무료 체험을 시작하세요..