제로 트러스트란 무엇인가요?

제로 트러스트(Zero Trust)는 위치 기반의 신뢰 방식을 지속적인 검증으로 대체합니다. 경계 모델이 네트워크 내부의 모든 것을 기본적으로 신뢰할 수 있는 것으로 간주했던 반면, 제로 트러스트는 실제 출처나 동일한 사용자에게 1시간 전에 부여된 권한과 관계없이 모든 요청을 마치 신뢰할 수 없는 곳에서 발생한 것처럼 평가합니다.

실무에서 이 모델을 정의하는 세 가지 개념은 다음과 같습니다:

• 암묵적인 신뢰 없음. 네트워크 위치만으로는 아무것도 보장되지 않으며, 방화벽 내부에 있다는 사실만으로는 요청이 정당한 것임을 입증할 수 없다.
• 지속적인 검증. 신뢰도는 로그인 시 한 번 설정되어 세션이 지속되는 동안 유지되는 것이 아니라, 요청이 발생할 때마다 평가됩니다.
• 최소 권한 원칙. 액세스 범위는 특정 요청에 필요한 사항으로 한정되며, 이를 넘어가지 않습니다.

제로 트러스트는 조직이 구매할 수 있는 제품이 아닙니다. 이는 특정 계층에만 국한된 기술이 아니라, 신원, 기기, 네트워크, 애플리케이션, 데이터를 아우르는 전략입니다. 이를 제품으로 제시하는 공급업체들은 대개 아키텍처의 단일 구성 요소를 설명하고 있는 것입니다.

이 용어 자체는 1994년으로 거슬러 올라가며, 당시 스티븐 폴 마쉬(Stephen Paul Marsh)가 스털링 대학교에서 계산적 신뢰(computational trust)에 관한 박사 학위 논문에서 이를 사용했습니다. 이 용어는 2010년 포레스터(Forrester)의 애널리스트 존 킨더바그(John Kindervag)가 “더 이상 쫄깃한 속은 없다: 정보 보안의 제로 트러스트 모델 소개(No More Chewy Centers: Introducing the Zero Trust Model of Information Security)”라는 논문을 발표하며 신뢰 그 자체가 취약점이라고 주장하면서 보안 분야의 주류로 자리 잡았습니다. 2009년에 시작된 구글의 ‘비욘드코프(BeyondCorp)’ 프로젝트는 이 모델을 최초로 대규모로 구현한 사례 중 하나였습니다.

NIST SP 800-207은 모든 제로 트러스트 아키텍처가 충족해야 하는 7가지 원칙을 정의하고 있습니다.

1. 모든 데이터 소스와 컴퓨팅 서비스는 자원입니다. 데이터베이스, 애플리케이션, SaaS 서비스, IoT 기기, 사용자 워크스테이션 등은 모두 보호가 필요하며, 위치나 중요도로 판단되는 정도에 따라 예외가 허용되지 않습니다.
2. 네트워크 위치와 관계없이 모든 통신은 안전하게 보호됩니다.. 내부 네트워크를 통과하는 트래픽은 공용 인터넷에서 들어오는 트래픽과 동일한 기준으로 인증 및 암호화됩니다.
3. 접근 권한은 세션 단위로 부여됩니다.. 신뢰 여부는 해당 세션에 한해 평가되며 다음 세션으로 이월되지 않으므로, 한 리소스에 대한 접근 권한이 있다고 해서 다른 리소스에 대한 접근 권한이 자동으로 부여되는 것은 아닙니다.
4. 접근 권한은 동적 정책에 따라 결정됩니다.. 의사 결정 과정에서는 정적인 규칙 집합에 따라 판단하기보다는 클라이언트 신원, 애플리케이션 상태, 자산 현황, 행동 및 환경적 속성 등을 종합적으로 고려합니다.
5. 이 기업은 모든 자산의 상태를 모니터링합니다.. 기본적으로 어떤 자산도 신뢰되지 않으며, 장치 무결성은 지속적으로 측정되어 액세스 결정에 반영됩니다.
6. 인증 및 권한 부여는 동적으로 이루어지며, 액세스 전에 엄격하게 적용됩니다.. 검증은 세션 시작 시점에 한 번만 이루어지는 단일 단계가 아니라, 승인, 스캔, 조정, 재평가를 반복하는 지속적인 순환 과정으로 이루어집니다.
7. 이 기업은 가능한 한 많은 정보를 수집하고, 이를 활용하여 보안 태세를 강화합니다.. 자산, 인프라 및 통신 채널에서 수집된 원격 측정 데이터는 액세스 권한을 관리하는 정책에 반영됩니다.

더 간결한 3단계 프레임워크도 널리 알려져 있습니다. 바로 ‘명시적으로 검증하고, 침해된 것으로 가정하며, 최소 권한 원칙을 적용한다’는 것입니다. 이 표현은 Microsoft에서 유래했으며 요약으로서 꽤 유용하지만, SP 800-207이 실제로 규정하는 내용은 아니므로, NIST 기준을 준수하여 시스템을 구축하는 조직은 앞서 언급한 7가지 원칙에 따라 구축해야 합니다.

모든 액세스 요청은 누가 기본 스택을 구축했는지에 관계없이 일관된 순서에 따라 실시간으로 차단되고 처리됩니다:

1. 특정 주체가 접근을 요청합니다 리소스에 대해, 여기서 해당 주체는 사람, 서비스 계정, 워크로드 또는 AI 에이전트일 수 있습니다.
2. 신호가 수집됩니다, 여기에는 신원, 기기 상태, 위치, 시간, 과거 행동 및 위협 인텔리전스가 포함됩니다.
3. 정책 엔진이 요청을 평가합니다 조직의 정책에 위배되며, 산출된 위험 점수에 비추어 볼 때.
4. 결정이 내려지고 집행된다, 접근을 허용하거나, 거부하거나, 추가 인증 요소를 통해 보안 수준을 강화하는 것입니다.
5. 이 세션은 모니터링되고 있습니다, 이를 통해 위험도의 변화에 따라 재평가가 이루어지고, 세션이 아직 열려 있는 동안에도 접근 권한을 취소할 수 있도록 합니다.

바로 이 마지막 단계가 제로 트러스트를 이전의 보안 모델들과 구별 짓는 요소입니다. 경계 보안은 경계 지점에서 한 번의 결정을 내린 뒤 그 결과에 따라 대응하는 반면, 제로 트러스트는 세션이 지속되는 동안 계속해서 평가를 진행하기 때문입니다.

이 둘의 차이를 이해하는 가장 명확한 방법은, VPN이 보안 경계를 확장하는 반면 제로 트러스트는 보안 경계를 아예 없애버린다는 점입니다.

사용자가 기존 방식의 VPN을 통해 연결하면, 해당 사용자는 기업 네트워크에 접속하게 되며, 연결 시점에 수행되는 단 한 번의 인증만으로 광범위한 네트워크 수준의 접근 권한을 부여받게 됩니다. 해당 네트워크 위치에서 접근 가능한 모든 곳에 그 사용자는 물론, 해당 사용자의 인증 정보를 탈취한 누구라도 접근할 수 있습니다.

제로 트러스트는 네트워크가 아닌 개별 리소스에 대한 접근 권한을 부여하므로, 특정 애플리케이션에 접근할 수 있는 권한이 다른 리소스까지 확대되지 않습니다. 각 요청은 당시의 위험 상황에 따라 재평가됩니다.

2020년 8월에 발간된 NIST 특별 간행물 800-207은 대부분의 조직이 이를 기준으로 아키텍처를 구축하는 참조 아키텍처입니다. 이 문서는 접근 결정을 내리고 이를 시행하는 구성 요소와, 이러한 결정의 근거가 되는 데이터 소스 사이에 명확한 구분을 두고 있습니다.

세 가지 핵심 논리적 구성 요소

정책 엔진(PE). 아래에 설명된 입력값을 기준으로 기업 정책을 평가하고, 신뢰 알고리즘을 적용한 후, 접근을 허용, 거부 또는 취소함으로써 접근 권한을 결정합니다.

정책 관리자(PA). 통신 경로를 열거나 닫고, 주체가 리소스에 접근하는 데 사용하는 인증 정보나 토큰을 발급함으로써 해당 결정을 실행합니다. PE와 PA는 함께 NIST가 ‘정책 결정 지점(policy decision point)’이라고 부르는 것을 구성합니다.

정책 적용 지점(PEP). 요청 경로에 위치하여 정책 결정 지점에서 결정된 내용을 적용함으로써, 주체와 리소스 간의 연결을 설정, 모니터링 및 종료합니다.

정책 엔진에 데이터를 제공하는 데이터 소스

다음은 정책 엔진이 평가하는 신호를 제공하지만, 그 자체로는 결정을 내리지 않습니다:

• 신원 관리 시스템. 계정, 신원 정보, 역할, 속성 및 권한.
• 데이터 접근 정책. 누가 어떤 리소스에 어떤 조건 하에서 접근할 수 있는지를 규정하는 규칙.
• 지속적인 진단 및 대응. 자산 현황 및 기기 상태.
• 위협 인텔리전스. 새로 발견된 공격 및 취약점에 대한 내부 및 외부 지표.
• 활동 로그 및 SIEM. 시간이 지남에 따라 정책을 개선하는 데 사용되는 집계된 텔레메트리 데이터.
• 산업 분야 규정 준수 시스템. 기업이 준수해야 할 규제 요건.
• PKI. 주체 및 리소스에 대한 인증서 발급 및 유효성 확인.

팀들은 구현 과정에서 이 경계를 종종 모호하게 만들곤 하는데, NIST 모델에서 신원 확인 시스템이나 위협 피드는 실제로 접근 권한을 결정하는 정책 엔진에 단지 입력값을 제공할 뿐임에도 불구하고, 마치 이 시스템들이 직접 접근 권한을 결정하는 것처럼 취급하는 경우가 있습니다. 이러한 구분은 벤더가 아키텍처의 어느 부분을 실제로 다루고 있는지 평가할 때 가장 중요합니다.

개념적으로 제로 트러스트는 매우 간단합니다. 즉, 해당 인물을 검증하고 요청에 대한 승인을 내리기 전까지는 누구도 신뢰하지 말고 어떤 행동도 승인하지 말라는 것입니다. 대부분의 조직이 막히는 부분은 바로 구현 단계입니다. 제로 트러스트는 신원, 네트워크, 엔드포인트, 애플리케이션, 데이터를 동시에 다루기 때문이며, 이 다섯 가지를 한꺼번에 해결할 예산이나 조직 내 영향력을 갖춘 보안 팀은 거의 없기 때문입니다. 이로 인해 어디서부터 시작해야 할지라는 실질적인 문제가 제기되는데, 그 해답은 거의 항상 ‘신원’입니다.

모든 제로 트러스트(Zero Trust) 결정은 결국 단 하나의 질문으로 귀결됩니다. 바로 해당 주체가 자칭하는 인물인지, 그리고 현재 이 접근 권한을 가져야 하는지 여부입니다. 세그멘테이션과 암호화는 이 질문에 답할 수 없으며, 디바이스 상태 점검은 범위를 좁혀줄 뿐 문제를 완전히 해결하지는 못하므로, 이를 해결할 수 있는 유일한 통제 수단은 신원 확인뿐입니다. 신원 확인이 취약할 경우, 그 하류에 위치한 모든 통제 수단은 검증되지 않은 전제에 기반한 결정을 충실히 집행하게 됩니다.

정체성은 다음 세 가지 측면에서 부담을 지고 있습니다:

• 인증. 다음을 통해 대상 확인 피싱 방지 방법 도난당하거나 재전송되거나 사회공학적 공격의 대상이 될 수 있는 공유 비밀번호보다는.
• 승인. 다음을 근거로 하여, 검증된 대상이 어떤 정보에 접근할 권한이 있는지 결정하는 것, 규정된 역할 수년에 걸친 역할 변화 과정에서 축적된 접근 권한보다는.
• 지속적 평가. 위험 신호가 변함에 따라 두 가지 모두를 재평가하고, 신호가 이를 요구할 경우 접근 권한을 취소한다.

여기에는 다소 불편한 함의가 숨어 있는데, 바로 정의조차 하지 않은 ‘최소 권한 원칙’을 시행할 수는 없으며, 현재 누가 어떤 자원에 접근할 수 있는지 알지 못하면 ‘최소 권한 원칙’을 정의할 수도 없다는 점입니다. 대부분의 조직은 이 질문에 확신 있게 답할 수 없기 때문에, 바로 그 이유로 ID 거버넌스 이는 제로 트러스트 프로그램의 후반 단계가 아니라 초기 단계에서 시행되어야 한다.

신원 및 접근 관리 제로 트러스트 아키텍처에 필수적인 구성 요소를 제공합니다.

다른 어떤 요건보다도 특히 과소평가되기 쉬운 두 가지 요건이 있습니다.

인증은 피싱에 강해야 합니다. 일회용 비밀번호를 기반으로 한 MFA SMS나 이메일을 통해 전송되는 방식은 보안 수준을 높여주지만, 보안 격차를 완전히 해소하지는 못합니다. 중간자 공격과 다단계 인증 피로감 유발 캠페인이 푸시 알림 및 일회용 비밀번호(OTP) 방식을 꽤 자주 무력화시키기 때문입니다. FIDO2 및 기기 전용 패스키 인증 정보를 기기와 원본 모두에 바인딩하는 것이, 공격을 단순히 늦추는 것이 아니라 실제로 막아내는 메커니즘입니다. RSA는 FIDO 얼라이언스 이사회 위원이자 엔터프라이즈 실무 그룹 공동 의장으로서, 이 입장이 업계의 공통된 견해로 자리 잡기 훨씬 전부터 이러한 주장을 펼쳐 왔습니다.

클라우드 서비스가 중단되더라도 Access는 계속 작동해야 합니다. 모든 액세스 결정을 클라우드 정책 엔진을 통해 처리하는 아키텍처는 설계상 단일 장애 지점을 내재하고 있으며, 해당 서비스에 접속할 수 없게 되면 아무도 업무를 수행할 수 없게 됩니다. 서비스 중단이 단순한 불편을 넘어 운영상의 심각한 결과를 초래하는 온프레미스, 하이브리드, 에어갭(air-gapped) 또는 상시 가용성 환경을 운영하는 조직의 경우, 이는 바람직하지 않은 타협입니다. 제로 트러스트는 조직의 서비스를 중단시킬 수 있는 요인을 집중시키는 것이 아니라 오히려 그 수를 줄여야 합니다. 바로 이 때문에 오프라인 및 온프레미스 적용 경로가 이러한 환경에서 모델의 생존성을 보장하는 핵심 요소인 것입니다.

조직이 제로 트러스트를 도입하기로 결정하면, 그때부터야말로 본격적인 작업이 시작됩니다. 이는 수년에 걸친 프로그램으로 진행되며, 이 분야에서 성과를 거두는 조직들은 모든 작업을 동시에 시도하기보다는 단계별로 진행하는 경향이 있습니다.

1. 인벤토리 식별 정보, 리소스 및 현재 액세스 권한. 최소 권한 원칙은 알려지지 않은 기준을 바탕으로 적용할 수 없으므로, 서비스 계정, 계약업체, 시스템 식별자 등을 포함하여 현재 누가, 어떤 주체가 어떤 리소스에 접근할 수 있는지 파악하는 것부터 시작하십시오.

2. 먼저 인증 절차를 강화하십시오. 가장 중요한 액세스 경로에 피싱 방지 다단계 인증(MFA)을 도입하면 투입된 노력 대비 가장 큰 위험 감소 효과를 얻을 수 있으며, 이는 이후 설명될 대부분의 조치의 필수 전제 조건입니다.

3. 접근 정책 정의 및 시행. 역할과 비즈니스 요구 사항을 명확한 정책으로 반영한 다음, 기존에 부여된 광범위한 접근 권한을 제거하고, 적용 범위가 명확하며 검토가 가능한 권한으로 대체하십시오.

4. 접근 결정에 맥락을 반영하기. 위험 기반 인증을 도입하면 위험도가 낮은 요청은 문제없이 통과시키는 한편, 비정상적인 요청은 추가 인증을 요구하거나 차단할 수 있으며, 이는 사용자가 프로그램을 우회하는 방법을 찾지 못하게 하는 방법이기도 합니다.

5. 세그먼트 리소스. 보안이 침해된 세션이 접근할 수 있는 범위를 제한하면, 제어 기능이 실패할 ‘때’—‘혹시’가 아니라—발생할 수 있는 피해 범위를 제한할 수 있다.

6. 모니터링, 검토 및 취소. 권한 검토는 일정대로 진행되어야 합니다. 검토 없이 누적된 접근 권한은 결국 해당 프로그램이 방지하고자 했던 ‘권한 남용’으로 이어지기 때문입니다.

이 경우 속도보다 순서가 더 중요합니다. 왜냐하면, 그 기반이 되는 통제된 신원 정보 없이 세분화를 적용하면 네트워크는 잘 분할되지만, 여전히 과도한 권한을 가진 계정을 보호하게 되기 때문입니다.

조직은 ‘제로 트러스트’를 결코 달성하거나 실현할 수 없습니다. 조직은 지속적으로 보안 상태를 평가하고 모든 접근 결정을 재검토해야 합니다.

사용자 불편. 지나치게 엄격한 인증 절차는 우회 방법, 비공식 IT 사용, 헬프데스크 문의량 증가를 초래하지만, 접근성과 보안은 실제로 서로 상충될 필요가 없습니다. 위험 기반 인증은 모든 사람에게 일률적인 번거로움을 부과하는 대신, 개별 요청이 초래하는 위험 수준에 맞춰 인증 절차를 조정합니다.

구형 시스템. 현대적인 인증 표준이 도입되기 이전에 개발된 애플리케이션은 게이트웨이, 프록시 또는 완전한 교체 없이는 종종 시스템에 통합될 수 없는데, 이로 인해 이 부분이 대부분의 프로그램에서 가장 큰 걸림돌이 되며, 계획 단계에서 가장 자주 과소평가되는 요소이기도 합니다.

가용성 종속성. 액세스 결정 기능을 단일 클라우드 서비스에 집중시키면 새로운 중대한 의존성이 발생하게 되며, 정책 엔진에 접속할 수 없게 되면 모든 사용자가 모든 서비스에 접근할 수 없게 됩니다. 서비스 중단 시 인증 처리가 어떻게 되는지 해당 공급업체에 직접 문의해 볼 필요가 있습니다.

조직의 범위. 제로 트러스트는 신원, 네트워크, 엔드포인트, 애플리케이션, 데이터 팀에 걸쳐 적용되기 때문에, 특정 기능 하나에서만 운영되는 프로그램은 해당 기능의 경계에서 막히는 경향이 있습니다.

공급업체 혼동. 제로 트러스트를 구현하는 단일 제품은 없으므로, 공급업체를 평가할 때는 실제로 어떤 아키텍처 구성 요소를 제공하는지에 중점을 두는 것이 가장 좋으며, “제로 트러스트 플랫폼”은 구매 대상 범주라기보다는 검증해야 할 주장으로 간주하는 것이 더 낫습니다.

신원 정보의 무분별한 확산. 신원 정보는 정적인 문제가 아니라 점점 더 커져가는 데이터 문제이며, 권한은 대부분의 팀이 수동으로 검토할 수 있는 속도보다 더 빠르게 누적됩니다. 바로 이 시점에서 자동화와 분석은 더 이상 선택 사항이 아닙니다.

제로 트러스트는 여러 규제 대상 환경에서 모범 사례에서 필수 요건으로 자리 잡았습니다.

• 행정 명령 14028 지시한다 미국 연방 민간 기관 제로 트러스트 아키텍처로 나아가기.
• CISA 제로 트러스트 성숙도 모델 연방 기관들이 성숙도 수준을 보고하는 기준을 제공하는 프레임워크로, 신원, 기기, 네트워크, 애플리케이션 및 워크로드, 데이터라는 다섯 가지 핵심 영역을 중심으로 구성되어 있습니다.
• 국방부 제로 트러스트 전략 방위 부문의 제로 트러스트 관련 활동을 제시한다.
• CMMC 2.0 방위 산업 기반 전반에 걸쳐 접근 통제 및 다단계 인증(MFA) 요건을 적용한다.
• DORA와 NIS2 다음에 대해 접근 제어, 복원력 및 운영 연속성 요건을 적용한다. EU 금융 서비스 그리고 ‘제로 트러스트’라는 용어가 본문에 명시되어 있든 없든, 제로 트러스트 원칙에 부합하는 핵심 인프라.

이 모든 사례에서 ‘신원’은 핵심 요소나 통제 범주로 등장하며, 감사인들이 가장 먼저 증거를 요구하는 부분이자 조직이 이를 제시할 준비가 가장 덜 되어 있는 부분이기도 합니다.

복원력 요구 사항과 클라우드 전용 아키텍처 간에는 서로 상충되는 측면이 있으므로, 이를 조기에 면밀히 검토할 필요가 있습니다. DORA에 따른 운영 연속성 기대치와 국방 및 중요 인프라 분야의 상시 가용성 의무는, 공급업체의 서비스에 접속할 수 없게 될 때마다 작동이 중단되는 액세스 모델로는 충족하기 어렵습니다.