전체메뉴

[애플경제 전윤미 기자] 제로트러스트는 네트워크 안팎의 경계를 설정하는 ‘경계보안’이 아니라, 보호해야 할 모든 데이터와 컴퓨팅 서비스를 각각의 자원으로 분리·보호하는, ‘분리보안’의 개념에 가깝다. 특히 네트워크 안팎의 흩어져있는 자원 하나하나마다 엄격한 (제어)정책결정지점(PDP, Policy Decision Point)과 정책시행지점(PEP, Policy Enforcement Point) 간 피드백에 의한 검증으로 제어한다는 점에서 기존 레거시 보안정책과는 차원이 다르다.

미국표준기술연구소(NIST)는 이에 관한 확고한 규준을 마련한 바 있다. 이에 따르면 네트워크상의 모든 자원에 접근하려면 일단 정책결정지점(PDP)과 정책시행지점(PEP) 간 통신에 의한 신뢰도평가와 인증, 허가를 받아야 한다.

이를 위해 제로트러스트 아키텍처는 제어영역과 데이터 영역으로 구분되어, PDP와 PEP에 의한 접속 요구에 대한 제어가 이뤄져야 한다.

미, 표준기술연구소 ‘규준’ 제시

NIST자료와 전문가들의 연구결과를 바탕으로 최근 ‘제로트러스트 가이드라인’을 펴낸 인터넷진흥원, 제로트러스트포럼 등에 따르면 PDP는 다시 정책엔진(PE)과 정책관리자(PA)로 나뉜다.

이때 정책엔진(PE)은 접근을 요구하는 대상의 신뢰도를 판단, 접속 허가를 최종 결정하는 역할을 한다. 즉, ‘신뢰도 평가 알고리즘’을 기반으로 접근을 요청한 주체가 네트워크 내 리소스에 접근할 수 있을지를 최종적으로 결정하는 것이다.

이를 위해 먼저 OS 이름과 버전, 사용 중 소프트웨어, 권한 등 ‘접근 정보’를 파악한다. 그런 다음 알고리즘에 의해 특정기준에 의해 접수하고, 가중치를 적용하거나, 머신러닝 등 다양한 방식으로 신뢰도를 평가한다.

이에 정책관리자(PA)는 다시 PE의 결정에 따라 정책시행시점(PEP)에 명령, 실행하도록 한다. 즉 정책엔진의 결정을 정책시행지점에 알려줌으로써, 접근을 요청한 주체와 리소스 사이의 통신 경로를 생성해주거나, 아니면 차단, 폐쇄한다.

또 PDP는 PEP를 비롯해 다양한 보안 정보인 ‘SIEM’, ‘C-TAS’, ‘IAM’, ‘LMS’ 등에서 생성한 보안 정보 등을 바탕으로 신뢰도를 평가한다. ‘신뢰도 평가’를 통해 자원 접근 여부를 결정하고, 접근 허가 후에는 양방향 보안 통신 경로를 생성한다.

이때 신뢰도 평가는 신뢰도 판단용 데이터를 기반으로 인공지능(AI·ML) 기술을 활용하여 결정한다.

특히 정책시행지점(PEP)은 데이터 영역에서 접근 주체가 네트워크 리소스에 접근할 때 결정된 정책에 따라 최종적으로 이를 연결해주거나, 종료하는 역할을 한다.

이때 “방화벽, 네트워크 접근통제 등 단순한 보안 제품으로는 높은 성숙도의 제로트러스트 보안모델 구현은 어려우며, 다양한 정책·제품이 조화를 이루어야 한다”는 지적이다.

특히 “PE, PA, PEP 등은 ‘논리 컴포넌트’로서 기업 네트워크 환경과 리소스 종류, 접근제어 기술에 따라 구현 방식이 달라질 수 있음”을 상기시켰다.

보안당국, 세 가지 ‘철학적’ 키워드 제시

한편 최근 보안당국이 공개한 ‘제로트러스트 가이드라인’은 ▲인증 체계 강화, ▲마이크로 세그멘테이션, ▲소프트웨어 정의 경계 등 세 가지로 이를 요약하고 있다.

우선 각종 리소스에 접근하려는 주체에 대한 신뢰도를 핵심요소로 설정, 인증 정책을 수립하는 것이다. 이를 위해 사용하는 단말이나, 자산 상태, 환경 요소, 접근 위치 등을 판단할 필요가 있다.

특히 “기업 내 사용자에 대한 여러 아이디를 허용하여 일관된 정책을 적용하지 않거나, 신뢰도 판단없이 단일 인증 방식만으로 접속을 허용할 경우 신뢰도 평가를 제대로 할 수 없다”는 지적이다.

‘마이크로 세그멘테이션’도 중요하다. 즉, “보안 게이트웨이를 통해 보호되는 단독 네트워크 구역(segment)에 개별 자원(자원그룹)을 배치하고, 각종 접근 요청에 대한 지속적인 신뢰도를 검증”하는 것이다.

만약 개별 자원별 구역을 설정하지 않으면, 기업망 내부에 침투한 공격자가 중요 리소스로 이동하기 쉬워 횡적 이동 공격에 성공할 가능성이 높아지기 때문이다.

또한 ‘소프트웨어 정의 경계’를 활용, 정책엔진결정(PED)에 따른 네트워크 동적 구성, 사용자·단말 신뢰도 확보 후 접근을 허용하기 위한 데이터 채널을 형성해야 한다.

또한 “클라우드·온프레미스로 구성된 기업 네트워크 내부에서 만약 접근을 요청한 단말이 임의 데이터를 전송할 수 있다면, 네트워크와 호스트 취약성에 따르는 피해 가능성이 커진다”고 주의를 요망했다.