최근 미국 관리예산처(OMB)는 다음과 같이 발표했습니다. 각서 M-22-09 이 지침에 따라 각 기관은 2024 회계연도 말까지 구체적인 제로 트러스트 보안 목표를 달성해야 합니다. 제로 트러스트로의 전환은 『The』에 명시된 바와 같이 정부 사이버 보안 현대화의 주요 목표 중 하나입니다. 2021 국가 사이버 보안 개선에 관한 행정 명령.
국방부 제로 트러스트 참조 아키텍처에 설명된 바와 같이, “이 아키텍처의 기본 원칙은 제로 트러스트 모델 ”보안 경계 내부나 외부에서 운영되는 어떤 행위자, 시스템, 네트워크, 서비스도 신뢰해서는 안 된다.” 대신, 접근을 시도하는 모든 대상은 반드시 검증되어야 한다.
제로 트러스트로의 전환은 “다음과 같은 사항을 포함한, 더욱 강력한 기업 신원 및 접근 제어”를 강조하며, 다단계 인증(MFA)”이는 “안전하고 기업 차원에서 관리되는 신원 관리 시스템이 없다면, 공격자가 사용자 계정을 탈취하여 기관 내부에 발판을 마련한 뒤 데이터를 훔치거나 공격을 감행할 수 있기 때문”이다. 인증 프로세스는 “정당한 시스템으로 위장한 웹사이트나 애플리케이션에 대한 인증 비밀 정보 및 결과값의 유출을 탐지하고 방지”할 수 있어야 한다. 또한 이 각서에는 MFA가 가상 사설망(VPN)과 같은 네트워크 인증을 통해서가 아니라, 기업 신원 관리 서비스 등을 통해 애플리케이션 계층에 통합되어야 한다고 명시되어 있다.
RSA는 제로 트러스트 모델로의 전환을 지원합니다. 당사는 신원 및 접근 관리(IAM)에 대한 포괄적이고 현대적인 접근 방식을 통해 전 세계 기업과 기관이 이러한 새로운 과제를 해결할 수 있도록 돕고 있습니다. RSA는 다양한 사용자와 사용 사례의 요구를 충족하기 위해 폭넓은 다단계 인증(MFA) 방법을 제공합니다. RSA는 신뢰할 수 있는 사용자 신원을 재확인하는 동시에 머신 러닝과 위험 기반 분석을 활용하여 잠재적인 피싱 공격을 포함한 비정상적인 활동을 탐지합니다. 또한 당사는 지능형 거버넌스 및 라이프사이클 기능 조직의 공격 표면을 줄이도록 설계된 솔루션입니다. 외부 및 내부 위협으로부터 조직을 보호하기 위해, 당사의 제품은 위협 행위자들이 악용할 수 있는 과도한 권한을 제거합니다.
정부 기관들이 제로 트러스트(Zero Trust)로 전환하고 M-22-09 및 행정 명령에 대비할 수 있도록 지원해 온 과정에서, 당사는 고객들이 이러한 새로운 요구 사항에 어떻게 대응해야 하는지에 관한 다양한 의문점을 해소할 수 있도록 도왔습니다:
RSA는 다음과 같은 다양한 강력한 다단계 인증(MFA) 옵션을 제공합니다. 연방 기관 어디서든 어떤 시스템이든, 차세대 시스템과 기존 정부 기관 시스템을 모두 포함하여 사용자를 안전하게 인증합니다. 클라우드 전환, 원격 근무 및 디지털 전환 노력으로 인해 네트워크 환경이 변화했으며, 과거 자원을 보호해 온 경계는 계속해서 사라지고 있습니다. 이제 모든 정부 기관의 직원들은 다양한 장소에서 접속해야 하며, 일부는 인터넷에 접속할 수 없는 환경에서도 로그인해야 합니다. 이러한 환경과 사용자의 다양성은 다양한 인증 과제를 야기하지만, 정부 기관은 사람이나 기기가 어디에 있든 상관없이 안전하고 편리한 인증 서비스를 안정적으로 제공해야 합니다.
RSA 솔루션은 모든 사용자를 어디서나 모든 것에 연결합니다. 당사는 다양한 기관의 요구사항과 사용자 선호도를 충족하기 위해 다양한 인증자 옵션을 제공하며, FIDO를 지원합니다. FIDO 얼라이언스의 이사회 멤버이자 엔터프라이즈 워킹 그룹의 공동 의장으로서 저희는 비밀번호가 유행하기 훨씬 전부터 비밀번호 제거를 추진해 왔으며, 다른 기업들도 비밀번호를 제거하게 되어 기쁩니다. 플랫폼 도 비슷한 조치를 취하고 있습니다. 저희의 ID 플랫폼은 다음을 지원합니다. 비밀번호 없는 인증 네트워크 연결 없이도 인증이 가능한 무장애 기능을 포함하여 99.95% 가용성을 제공하므로 사용자는 다음을 수행할 수 있습니다. 연결이 중단되더라도 안전하게 인증하기, 를 클릭하거나 인터넷 서비스가 없는 경우.
RSA는 다양한 IAM 기능을 제공합니다. 제로 트러스트, 클라우드 보안 및 인증과 관련된 연방 정부 요구 사항을 지원하며, 당사는 FedRAMP 인증을 획득하여 가장 기밀성이 높은 정부 기관들로부터 신뢰를 받고 있습니다. 현재 일부 기관에서는 FIDO를 지원하지 않는 애플리케이션을 보유하고 있을 수 있으며, 당사는 솔루션 및 기업들이 인프라와 애플리케이션을 FIDO를 지원하도록 전환하는 과정에서 고객을 지원하기 위해 노력하고 있습니다. 그동안 기관들은 일회용 비밀번호(OTP) 솔루션이 계속 필요할 수 있지만, 모든 OTP 솔루션이 동일하게 만들어진 것은 아니라는 점을 인식하는 것이 중요합니다.
안전하게 구현된 SecurID OTP는 여러 제어 기능을 사용하여 공격자가 시간 기반 OTP(TOTP)에 액세스하는 것을 방지합니다. 또한 드물게 공격자가 액세스 권한을 얻는 경우에도 TOTP를 사용할 수 없도록 차단합니다. 일반적으로 10~15분의 시간 창이 있는 SMS TOTP와 달리, 저희의 시간 창은 60초에 불과합니다. 또한 SMS OTP는 정기적으로 사기 악용의 대상이 되는 안전하지 않은 채널을 통해 전송되지만 TOTP는 그렇지 않습니다.
RSA는 OTP의 수명을 단 1분으로 제한함으로써 악의적인 공격자가 나중에 사용하기 위해 인증 요소를 저장하는 것을 방지합니다. 또한 악의적인 공격자가 60초 이내에 OTP를 재사용하려고 시도하더라도 인증 서버는 이미 본 적이 있는 OTP를 수락하지 않습니다. 이러한 거부는 감사 가능한 이벤트를 생성하며, 실제 사용자가 액세스하려면 두 번째로 인증해야 하거나 단순히 액세스가 거부되기 때문입니다. OTP를 한 번만 인증에 사용할 수 있으면 피셔가 합법적인 사용자의 인증 시도를 미러링하거나 저장할 수 없습니다. SecurID OTP는 한 번만 사용할 수 있으며 수명이 매우 짧습니다.
당사의 기계 학습 기반 리스크 엔진은 행동상의 이상 징후도 탐지합니다. RSA 위험 기반 인증 기술과 기법을 활용하여 접근 요청이 조직에 미치는 위험을 평가합니다. 머신러닝을 활용하는 이 위험 기반 인증 시스템은 평가 결과를 통해 학습하고, 그 지식을 향후 요청에 적용합니다.
RSA는 인증뿐만 아니라 셀프서비스 비밀번호 관리, 간편한 접속 인증, 자동화된 가입, 이동, 탈퇴(JML) 프로세스를 통해 전체 ID 수명 주기를 보호하여 사용자 수명 주기 동안 규정을 준수하는 적절한 접속을 보장합니다. RSA는 인증자의 프로비저닝 및 프로비저닝 해제를 관리하고 토큰 분실 및 긴급 액세스 등의 상황을 처리하는 데 도움이 되는 헬프데스크 도구를 제공합니다.
또한 RSA는 표준 기반 암호화 방법을 사용하여 인증 시도를 처리하는 데 필요한 모든 통신을 보호합니다. 당사는 전송 계층 암호화를 뛰어넘는 엔드투엔드 암호화를 사용하여 PIN과 OTP를 모두 암호화하므로 프록시에서 OTP를 해독할 수 없습니다. 이러한 방식은 네트워크 안팎으로 전송되는 OTP와 PIN을 보호할 뿐만 아니라 다양한 소프트웨어 구성 요소가 스스로 인증할 수 있도록 보장합니다.
피싱은 사라지지 않는 문제입니다., 하지만 기술은 고립된 채로 작동하지 않는다는 점을 기억하는 것이 중요합니다. 피싱 공격의 성공 여부는 기술만큼이나 사람의 심리에 따라 달라질 수 있습니다. 교육을 받은 인력이 첫 번째 방어선이 되어야 합니다. 피싱 이메일을 경계하는 직원은 공격자에게 발판을 제공하는 의심스러운 링크를 클릭하지 않습니다.
다양한 인증 옵션을 제공하고 행동 모델을 구축함으로써 정부 기관은 특정 인증 요소를 뛰어넘는 심층적인 방어 기능을 제공하는 피싱 방지 인증 솔루션을 구축할 수 있습니다.
또한 모든 기술은 구현된 만큼만 우수하다는 점을 기억하는 것이 중요합니다. 좋은 인증 솔루션은 잠재적인 피싱 위협에 대처하는 것 이상의 기능을 제공해야 합니다. 적절한 프로비저닝과 자격증명 수명 주기 관리 인증 솔루션의 총체적인 부분이어야 합니다. RSA는 다음과 같은 업계 표준 관행을 개척하고 확립했습니다. OTP 기반 인증에 대한 이러한 목표 달성.
RSA는 수십 년 동안 혁신적이고 실용적인 인증 솔루션을 제공해 왔습니다. 당사의 검증된 기술은 전 세계에서 보안에 가장 민감한 정부 및 상업 고객으로부터 신뢰를 받고 있습니다. 당사의 IAM은 조직이 중요한 국가 사이버 보안 목표를 달성하는 데 필요한 기능을 제공합니다. 저희 인증 솔루션은 오랜 시간 테스트를 거쳤으며 위협 환경이 진화함에 따라 지속적으로 혁신하고 구현을 개선하고 있습니다.
