최근 미국 관리예산처(OMB)는 다음과 같이 발표했습니다. 각서 M-22-09 에 따라 각 기관은 2024 회계연도 말까지 구체적인 제로 트러스트 보안 목표를 달성해야 합니다. 제로 트러스트를 향한 발전은 정부 사이버 보안의 주요 현대화 목표 중 하나로, 다음과 같이 요약되어 있습니다. 2021 국가 사이버 보안 개선에 관한 행정 명령.
국방부 제로 트러스트 참조 아키텍처에 설명된 대로 "제로 트러스트 모델의 기본 원칙은 보안 경계 외부 또는 내부에서 작동하는 어떠한 행위자, 시스템, 네트워크 또는 서비스도 신뢰할 수 없다는 것입니다." 대신 액세스를 설정하려는 모든 것을 검증해야 합니다.
제로 트러스트로의 전환은 "기업에서 관리하는 안전한 ID 시스템이 없으면 공격자가 사용자 계정을 장악하여 데이터를 훔치거나 공격을 시작할 수 있는 발판을 마련할 수 있기" 때문에 "멀티팩터 인증(MFA)을 포함한 더 강력한 기업 ID 및 액세스 제어"를 강조합니다. 인증 프로세스는 "합법적인 시스템으로 가장한 웹사이트나 애플리케이션에 대한 인증 비밀 및 출력의 공개를 탐지하고 방지"할 수 있어야 합니다. 이 각서는 또한 MFA가 가상 사설망(VPN)과 같은 네트워크 인증이 아닌 엔터프라이즈 ID 서비스 등을 통해 애플리케이션 계층에서 통합되어야 한다고 명시하고 있습니다.
RSA는 제로 트러스트 모델로의 전환을 지원합니다. 당사는 전 세계 조직과 기관이 ID 및 액세스 관리(IAM)에 대한 완벽하고 현대적인 접근 방식을 통해 이 새로운 과제를 해결하도록 돕고 있습니다. RSA는 다양한 사용자와 사용 사례의 요구 사항을 충족하는 다양한 다단계 인증(MFA) 방법을 제공합니다. RSA는 신뢰할 수 있는 사용자 ID를 재설정하는 동시에 머신러닝 및 위험 기반 분석을 사용하여 잠재적인 피싱 공격을 비롯한 비정상적인 활동을 탐지합니다. 또한 조직의 공격 표면을 줄이기 위해 설계된 지능형 거버넌스 및 수명주기 기능을 제공합니다. 외부 및 내부 위협으로부터 조직을 보호하기 위해 저희 제품은 위협 행위자가 악용할 수 있는 과도한 권한을 제거합니다.
정부 기관이 제로 트러스트를 향해 나아가고 M-22-09 및 행정명령에 대비할 수 있도록 지원하면서 고객들이 이러한 새로운 요구사항에 대응하는 방법에 대한 다양한 질문에 답할 수 있도록 돕고 있습니다:
RSA는 연방 기관이 차세대 및 레거시 기관 시스템을 포함하여 어디서나 모든 사용자를 안전하게 인증할 수 있도록 광범위하고 강력한 MFA 옵션을 제공합니다. 클라우드로의 전환, 원격 근무 및 디지털 이니셔티브는 네트워크를 변화시켰으며, 과거에 리소스를 보호하던 경계는 계속해서 해체되고 있습니다. 이제 모든 기관의 직원들은 다양한 위치에서 연결해야 하며, 일부는 인터넷 접속 없이 로그인해야 하는 경우도 있습니다. 이처럼 다양한 환경과 사용자로 인해 다양한 인증 문제가 발생하지만, 정부 기관은 사람이나 디바이스의 위치에 관계없이 안전하고 편리한 인증을 안정적으로 제공할 수 있어야 합니다.
RSA 솔루션은 모든 사용자를 어디서나 모든 것에 연결합니다. 당사는 다양한 기관의 요구사항과 사용자 선호도를 충족하기 위해 다양한 인증자 옵션을 제공하며, FIDO를 지원합니다. FIDO 얼라이언스의 이사회 멤버이자 엔터프라이즈 워킹 그룹의 공동 의장으로서 저희는 비밀번호가 유행하기 훨씬 전부터 비밀번호 제거를 추진해 왔으며, 다른 기업들도 비밀번호를 제거하게 되어 기쁩니다. 플랫폼 도 비슷한 조치를 취하고 있습니다. 저희의 ID 플랫폼은 다음을 지원합니다. 비밀번호 없는 인증 네트워크 연결 없이도 인증이 가능한 무장애 기능을 포함하여 99.95% 가용성을 제공하므로 사용자는 다음을 수행할 수 있습니다. 연결이 중단되더라도 안전하게 인증하기, 를 클릭하거나 인터넷 서비스가 없는 경우.
RSA는 다양한 IAM 기능을 제공합니다. 제로 트러스트, 클라우드 보안 및 인증과 관련된 연방 요건을 지원하기 위해 노력해 왔으며, 가장 민감한 정부 기관에서 FedRAMP 인증을 받고 신뢰를 받고 있습니다. 현재 일부 기관에는 FIDO를 지원하지 않는 애플리케이션이 있을 수 있으며, 솔루션과 기업이 인프라 및 애플리케이션을 FIDO를 지원하도록 전환함에 따라 고객을 지원하기 위해 노력하고 있습니다. 그 동안 기관에서는 일회용 비밀번호(OTP) 솔루션이 계속 필요할 수 있지만 모든 OTP 솔루션이 동일하게 만들어지는 것은 아니라는 점을 인식하는 것이 중요합니다.
안전하게 구현된 SecurID OTP는 여러 제어 기능을 사용하여 공격자가 시간 기반 OTP(TOTP)에 액세스하는 것을 방지합니다. 또한 드물게 공격자가 액세스 권한을 얻는 경우에도 TOTP를 사용할 수 없도록 차단합니다. 일반적으로 10~15분의 시간 창이 있는 SMS TOTP와 달리, 저희의 시간 창은 60초에 불과합니다. 또한 SMS OTP는 정기적으로 사기 악용의 대상이 되는 안전하지 않은 채널을 통해 전송되지만 TOTP는 그렇지 않습니다.
RSA는 OTP의 수명을 단 1분으로 제한함으로써 악의적인 공격자가 나중에 사용하기 위해 인증 요소를 저장하는 것을 방지합니다. 또한 악의적인 공격자가 60초 이내에 OTP를 재사용하려고 시도하더라도 인증 서버는 이미 본 적이 있는 OTP를 수락하지 않습니다. 이러한 거부는 감사 가능한 이벤트를 생성하며, 실제 사용자가 액세스하려면 두 번째로 인증해야 하거나 단순히 액세스가 거부되기 때문입니다. OTP를 한 번만 인증에 사용할 수 있으면 피셔가 합법적인 사용자의 인증 시도를 미러링하거나 저장할 수 없습니다. SecurID OTP는 한 번만 사용할 수 있으며 수명이 매우 짧습니다.
머신러닝 기반 위험 엔진은 행동 이상 징후도 감지합니다. RSA 위험 기반 인증은 기법과 기술을 사용하여 액세스 요청이 조직에 미치는 위험을 평가합니다. 위험 기반 인증은 머신 러닝을 사용하여 평가를 통해 학습하고 그 지식을 향후 요청에 적용합니다.
RSA는 인증뿐만 아니라 셀프서비스 비밀번호 관리, 간편한 접속 인증, 자동화된 가입, 이동, 탈퇴(JML) 프로세스를 통해 전체 ID 수명 주기를 보호하여 사용자 수명 주기 동안 규정을 준수하는 적절한 접속을 보장합니다. RSA는 인증자의 프로비저닝 및 프로비저닝 해제를 관리하고 토큰 분실 및 긴급 액세스 등의 상황을 처리하는 데 도움이 되는 헬프데스크 도구를 제공합니다.
또한 RSA는 표준 기반 암호화 방법을 사용하여 인증 시도를 처리하는 데 필요한 모든 통신을 보호합니다. 당사는 전송 계층 암호화를 뛰어넘는 엔드투엔드 암호화를 사용하여 PIN과 OTP를 모두 암호화하므로 프록시에서 OTP를 해독할 수 없습니다. 이러한 방식은 네트워크 안팎으로 전송되는 OTP와 PIN을 보호할 뿐만 아니라 다양한 소프트웨어 구성 요소가 스스로 인증할 수 있도록 보장합니다.
피싱은 사라지지 않는 문제입니다., 하지만 기술은 고립된 채로 작동하지 않는다는 점을 기억하는 것이 중요합니다. 피싱 공격의 성공 여부는 기술만큼이나 사람의 심리에 따라 달라질 수 있습니다. 교육을 받은 인력이 첫 번째 방어선이 되어야 합니다. 피싱 이메일을 경계하는 직원은 공격자에게 발판을 제공하는 의심스러운 링크를 클릭하지 않습니다.
다양한 인증 옵션을 제공하고 행동 모델을 구축함으로써 정부 기관은 특정 인증 요소를 뛰어넘는 심층적인 방어 기능을 제공하는 피싱 방지 인증 솔루션을 구축할 수 있습니다.
또한 모든 기술은 구현된 만큼만 우수하다는 점을 기억하는 것이 중요합니다. 좋은 인증 솔루션은 잠재적인 피싱 위협에 대처하는 것 이상의 기능을 제공해야 합니다. 적절한 프로비저닝과 자격증명 수명 주기 관리 인증 솔루션의 총체적인 부분이어야 합니다. RSA는 다음과 같은 업계 표준 관행을 개척하고 확립했습니다. OTP 기반 인증에 대한 이러한 목표 달성.
RSA는 수십 년 동안 혁신적이고 실용적인 인증 솔루션을 제공해 왔습니다. 당사의 검증된 기술은 전 세계에서 보안에 가장 민감한 정부 및 상업 고객으로부터 신뢰를 받고 있습니다. 당사의 IAM은 조직이 중요한 국가 사이버 보안 목표를 달성하는 데 필요한 기능을 제공합니다. 저희 인증 솔루션은 오랜 시간 테스트를 거쳤으며 위협 환경이 진화함에 따라 지속적으로 혁신하고 구현을 개선하고 있습니다.
