제로트러스트 가이드라인 1.0 정리

1. 제로트러스트 아키텍처의 주요 구성 요소

제로트러스트 아키텍처는 모든 자원에 대한 접근을 지속적으로 검증하며, '절대 신뢰하지 말고 항상 검증하라'는 철학을 기반으로 작동합니다. 주요 구성 요소는 다음과 같습니다:

• 정책 엔진(Policy Engine, PE): 자원에 대한 접근을 허용할지 여부를 결정하는 역할을 합니다. PE는 신뢰도 평가 데이터를 바탕으로 자원 접근의 승인 또는 거부를 결정합니다.
• 정책 관리자(Policy Administrator, PA): 정책 엔진에서 내린 결정을 실행하는 시스템입니다. PA는 정책 시행 지점(PEP)과 소통하며, 정책에 따라 세션을 허용하거나 차단하고, 세션을 종료할 수도 있습니다.
• 정책 결정 지점(Policy Decision Point, PDP): PDP는 정책 엔진(PE)과 정책 관리자(PA)를 포함하며, 자원 접근 요청을 종합적으로 평가하고 최종 결정을 내립니다.
• 정책 시행 지점(Policy Enforcement Point, PEP): PEP는 정책 결정에 따라 자원 접근을 제어합니다. 사용자와 자원 사이의 통신 경로를 차단하거나 허용하는 역할을 합니다.

2. 신뢰도 판단용 데이터

제로트러스트 아키텍처에서 신뢰도 판단을 위해 사용되는 데이터는 다음과 같습니다:

• 규제·내부 규정(Industry Compliance): 정보보호법, 개인정보 보호 규정 등 산업별 규제를 준수하는지 평가합니다.
• 데이터 접근 정책(Data Access Policies): 기업 내 자원에 대한 접근 권한과 정책을 정의합니다. 정책 엔진은 이를 기반으로 접근 통제를 실행합니다.
• 보안 정보 및 이벤트 관리(SIEM): 보안 이벤트 데이터를 분석하여 위협을 탐지하고 대응합니다. SIEM 시스템은 수집된 로그 데이터를 통해 보안 사고를 모니터링하고, 이를 정책에 반영합니다.
• 위협 인텔리전스(C-TAS 등): 외부에서 수집된 최신 위협 정보를 통해 새로운 보안 위협을 파악하고, 정책 엔진에서 이를 반영하여 대응합니다.
• ID 관리 시스템(IAM/ICAM): 사용자 계정과 기기 정보를 관리하며, 이를 통해 신뢰도를 판단하고 자원 접근 권한을 부여합니다.
• 네트워크·시스템 행위 로그: 네트워크 트래픽과 시스템에서 발생하는 모든 행위를 기록하고, 비정상적인 활동을 실시간으로 모니터링합니다.

3. 성숙도 모델 3단계

제로트러스트 도입은 성숙도에 따라 세 단계로 나뉩니다:

• 레벨 1: 기존(Traditional): 경계 기반 보안에 의존하며, 사용자의 신원 확인 및 접근 제어가 제한적입니다. 기존 시스템에만 의존하여 보안 통제가 이루어집니다.
• 레벨 2: 향상(Advanced): 제로트러스트의 일부 원칙이 도입됩니다. 사용자 및 기기 인증이 강화되고, 네트워크 세분화 및 실시간 모니터링이 추가됩니다.
• 레벨 3: 최적화(Optimal): 제로트러스트가 완전히 구현된 상태로, 자동화된 정책 관리, 실시간 위협 탐지, 최소 권한 원칙을 기반으로 모든 접근이 엄격하게 관리됩니다.

4. NIST SP 800-207 기반 아키텍처 도입 단계

NIST SP 800-207 제로트러스트 프레임워크를 기반으로 한 아키텍처 도입 단계는 다음과 같습니다:

• 준비 단계(Prepare): 자산, 리소스, 보안 상태를 평가하여 도입 준비를 마칩니다.
• 계획 단계(Plan): 신뢰도 평가 기준을 설정하고, 네트워크 세분화, 사용자 및 기기 인증 방법 등을 구체적으로 설계합니다.
• 구현 단계(Implement): 마이크로 세그멘테이션, 실시간 인증 및 모니터링 시스템을 통해 제로트러스트 아키텍처를 구현합니다.
• 운영 및 최적화 단계(Operate & Optimize): 도입된 시스템을 지속적으로 운영하며, 보안 정책을 실시간으로 모니터링하고 최적화하여 위협에 대응합니다.

5. NIST SP 800-37과 연계한 위험 관리 프레임워크

NIST SP 800-37은 제로트러스트 도입 과정에서 위험 관리 프레임워크(RMF)를 제공하여, 제로트러스트 도입을 체계적으로 진행하는 방법을 제시합니다. NIST SP 800-207과 연계하여 다음과 같은 단계로 진행됩니다:

1. 준비(Prepare): 조직이 보안과 프라이버시 위험을 관리하기 위해 준비하는 필수 활동을 수행하는 단계입니다.
2. 분류(Categorize): 영향 분석에 기반하여 시스템에 저장, 처리, 전송되는 정보를 분류하는 단계입니다.
3. 선택(Select): 위험 평가에 기반하여 시스템을 보호하기 위한 NIST SP 800-53 제어 세트를 선택하는 단계입니다.
4. 구현(Implement): 선택된 제어를 시스템에 적용하고, 제어 배포 방법을 문서화하는 단계입니다.
5. 평가(Assess): 제어가 의도한 대로 작동하며 원하는 보안 목표를 달성하는지 평가하는 단계입니다.
6. 인가(Authorize): 상급 관리자가 시스템 운영을 인가하기 위한 위험 기반 결정을 내리는 단계입니다.
7. 모니터링(Monitor): 보안 제어와 시스템 상태를 지속적으로 모니터링하여 새로운 위협에 대응하는 단계입니다.

6. 도입 시 고려사항

제로트러스트 도입 시에는 다음과 같은 사항들을 고려해야 합니다:

• 기존 시스템과의 통합: 기존 보안 솔루션과의 상호작용을 고려하여 점진적으로 제로트러스트 모델을 통합합니다.
• 정책 일관성: 모든 보안 정책은 중앙에서 관리되고, 각 시스템에 일관되게 적용되어야 합니다.
• 사용자 경험: 강화된 인증 절차가 사용자 경험을 저해하지 않도록, 보안성과 사용자 경험 간의 균형을 유지해야 합니다.

7. 제로트러스트 도입으로 인한 보안 위협 및 대응 방안

제로트러스트 도입 시 발생할 수 있는 주요 보안 위협과 그에 대한 대응 방안은 다음과 같습니다:

• 정책 무력화: 정책 엔진이나 관리자가 침해될 위험이 있습니다. 실시간 모니터링과 정책 변경 기록을 통해 보안성을 유지해야 합니다.
• 서비스 거부 공격(DoS): PEP나 PDP가 서비스 거부 공격을 받을 수 있습니다. 이를 방지하기 위해 클라우드 기반 보호 및 복제 시스템을 운영하여 가용성을 보장해야 합니다.
• 내부자 위협 및 자격 도용: 다중 인증(MFA)을 적용하고, 내부자 행위를 지속적으로 모니터링하여 자격 도용이나 내부자 위협에 대응해야 합니다.

제로트러스트가이드라인 1.0 전체본 (230714).pdf

4.90MB

제로트러스트가이드라인 1.0 요약서 (230801).pdf

9.31MB