| 최근 모바일・사물 인터넷 기기의 보급 확산과 클라우드 기반의 재택・원격근무의 활성화로 언제 어디서든 네트워크에 접속해 업무시스템을 활용할 수 있는 환경이 조성되고 있다. 이에 따라 전통적인 보안 접근 방식인 경계 보안(Perimeter Security)으로는 기업망 내・외부의 경계가 모호해지는 현실에서의 진화되어 가는 공격에 대응하는 것이 점점 어려워지고 있는 실정이다. 이러한 환경에 대응할 수 있는 새로운 보안 모델로 제로트러스트(Zero Trust)가 각광을 받고 있으며 단순히 보안 솔루션의 교체 또는 도입이 아닌, 새로운 보안 패러다임의 전환, 보안 생태계의 확장이 진행되고 있다. 이에 본 고에서는 제로트러스트 보안의 등장 배경과 필요성, 제로트러스트 보안 아키텍쳐 및 주요 기술요소를 살펴보고 각 국의 정부 및 관련 기업에서의 기술 도입 현황과 도입 추진 시 고려사항을 살펴보고자 한다. |
I. 서론
최근 다양한 기술의 발전으로 인해 비즈니스는 경계선이 없는 심리스(Seamless) 한 환경으로 변화되고 있다. 제한없이 연결되어 있는 사물 기기(IoT)와 인프라를 서비스 형태로 공급하는 클라우드는 비즈니스 환경의 혁신을 일으키며 우리의 삶 자체를 바꿔 놓았다. 더욱이 최근까지 사회적 이슈로 삶의 패턴을 바꿨던 코로나는 재택근무와 원격 근무를 활성화하며, 비대면(언택트) 환경을 더욱 촉발하는 원인으로 작용하였으며, 포스트 코로나가 도래한 지금까지 사회의 다양한 측면에서 진화된 형태로 자리잡았다. 이러한 삶의 변화는 보안 영역까지 영향을 주었으며, 기존의 명확한 경계선으로 구분지어지던 경계 보안(Perimeter Security)의 패러다임을 전환시키는 계기로 작용했다.
경계 보안은 기존의 사이버 보안 접근 방식으로 과거부터 현재까지 이어져 오던 보안의 패턴이다. 경계 보안 모델에서의 관리 대상은 외부로부터의 접근이며 보안 경계 영역(F/W, VPN, DMZ 등)을 통과하고 나면 내부망 내의 서버, 서비스, 데이터 등의 자원들에 접근은 신뢰를 부여한다.
이러한 경계보안은 최근 우리나라와 해외에서 주요 이슈로 떠올랐던 내부망 공격 및 해킹 사례를 통해 분석된다면, 보다 세밀하고 구체적인 인증체계, 보호 대상에 대한 구분된 분리와 보호 강화, 모든 측면의 접근에 대한 제어와 권한의 최소화 등 새로운 보안체계로의 전환이 필요한 실정이다.
이는 비단 국내 현실만이 아니라 미국, 유럽 등 주요 국가에서 정부 차원으로 기존 경계 보안에 대한 한계점을 인식하고, 일찍이 전환하려는 시도로 이어지고 있다. 즉, 글로벌적인 보안 패러다임의 전환 시기로 촉발되어진 ‘제로트러스트 보안(Zero Trust Security)’ 의 도입 필요성이 대두 된 것이다.
제로트러스트는 점차 고도화, 지능화 되어가는 사이버(각종) 공격을 효과적으로 방어하기 위한 기법으로 받아들여졌으며, 이론적/추상적 방어 기법에서 기술과 연계한 구체적 대응 전략으로 발전되어 가는 중이지만 아직까지 국내의 공공, 민간 등 주요 기관에서는 제로트러스트 보안의 필요성에 대한 인식 전환에 따른 구체적 대응방안 수립, 보안 체계 구축의 후속 진행이 미비한 실정이다. 이는 새로운 보안 패러다임의 개념에 대한 도입사례가 없었기 때문이며 이를 극복하기 위해 과기부와 한국 인터넷 진흥원에서는 제로트러스트 가이드를 발간했고, 정부에서는 작년 대비 올해 실증사업 예산을 6배 이상 투입하며 제로트러스트 저변 확대를 추진 중이다.
본 고에서는 제로트러스트를 국내 가이드와 관련 리포팅, 연구 자료를 기반으로 해석해보려고 하며, 제로트러스트의 개념과 구현 아키텍처 보안 모델, 도입 동향, 그리고 나아가 고려해야 할 사항들에 대해 논의하고자 한다.
II. 제로트러스트의 개념과 아키텍처 (보안 모델)
- 제로트러스트의 개념
제로트러스트 등장 이전의 전통적인 사이버 보안 접근 방식인 경계 기반 보안 모델은 업무환경에서 가장 일반적으로 보안체계를 구축하는 방식이었다. 기존의 업무환경에서는 기업의 여러 인프라 자원들과 환경요소들로 구축된 기업망이 외부의 인터넷망과 연계하여 비즈니스 활동과 정보를 송수신하였고, 이러한 네트워크망 연계의 접점에는 방어선 역할을 하는 방화벽, 침입 탐지시스템 등의 보안 솔루션을 구축하여 내부 업무망을 안전하게 보호하는 역할을 하였다.
하지만, 경계 기반 보안 모델은 코로나 19의 팬데믹으로 인해 한계에 직면했다. 급진적으로 변화된 업무환경에서 재택 및 비대면, 원격 근무가 확산되면서 업무환경의 범위는 더이상 한정된 범위로 제한하기 어려워졌으며, 직원들은 언제 어디에서든지 다양한 IoT 기기를 활용해 내부망에 접속하고 있고 가상화된 환경에서 클라우드 활용 증가는 보안영역과 비보안영역의 경계를 허물게 되었다. 네트워크로 연결된 업무환경에서 더이상 내부자 또한 신뢰할 수 있는 대상으로 구별하기 어려워지게 된 것이다. 이러한 한계를 극복하기 위해서는, 보안 패러다임의 자체의 전환이 필요했고 이렇게 등장하게 된 것이 제로트러스트이다.
제로트러스트는 갑자기 부각되어진 신생 이론이 아닌 2000년대 초반부터 경계 보안의 한계점을 극복하기 위해 등장한 보안철학이다. 산업보안 전문가 그룹인 제리코 프로젝트(Jeridcho Project)에서 탈 경계화(De-perimeterization)의 개념을 제안하였고, 미 국방부에서는 내부 네트워크 계층에서 종단 간의 암호화를 제공하는 블랙코어(Black Core 또는 Black Transport)라는 전략을 개발하였는데 이는 추후에 소프트웨어 정의 경계(Software-Defined Perimeter, SDP) 기술로 발전되었다. 이와 같은 논의들의 공통점은 그동안의 내부 네트워크에 대해 신뢰를 할 수 없다는 주장으로 초기 제로트러스트 네트워크의 개념을 수립했다는 것이다. 정리하자면, 제로트러스트는 ‘신뢰할 수 있는 네트워크’의 전제를 완전히 배제하며, 기업망의 외부 뿐만 아니라 내부에서도 언제나 공격자가 존재할 수 있으며, 기존의 기업망 경계는 더 이상 유효하지 않은 것으로 판단하여 기업 내 데이터에 접근하는 모든 주체를 지속적으로 인증하고 평가하며 위험에 대비할 것을 주장하는 보안 모델이자 아이디어이다.
이러한 제로트러스트 기반의 아키텍처는 기업의 사이버 보안과 시스템 보호에 적용되는 개념으로 기업망을 구성하고 있는 인프라 자산과 자산 간의 인터페이스, 접근제어 정책 등을 모두 포함하는 설계를 의미하고 있다.
이러한 정의는 기존 경계 기반 모델의 보안 방식을 거부해야 한다는 것은 아니며, 현재 기업 환경을 반영하여, 내・외부망의 경계보안 솔루션인 방화벽, VPN, 침입탐지시스템 등을 더욱 세밀하게 설계하고 운영하는 데 목표를 두고 있음을 이해해야 한다.
<자료> 과학기술정보통신부, 한국인터넷진흥원, 한국제로트러스트포럼, “제로트러스트 가이드라인 1.0,” 2023. 6.
[그림 1] 보안 패러다임의 변화
- 제로트러스트 아키텍처
제로트러스트 보안 원리는 리소스(데이터 및 시스템)에 접근하는 모든 주제에 대한 접근 제한을 의미하여, 구체적 구현방안은 제로트러스트 아키텍처 보안 모델을 통해 확인할 수 있다. 그림 2에서 정의된 것과 같이 제로트러스트 아키텍처 모델은 미국의 국립표준기술연구소(NIST)의 NIST SP 800-207의 정보를 일반적으로 준용하며, 해당 모델에서 제로트러스트 보안의 핵심인 접근제어 정책과 관련된 논리 컴포넌트, 논리 컴포넌트 간의 연계를 통한 메커니즘이 정의되어 있다. 현재 솔루션 업체들 또한 해당 모델에 기반하여 제로트러스트를 실현하고 있다.
<자료> 과학기술정보통신부, 한국인터넷진흥원, 한국제로트러스트포럼, “제로트러스트 가이드라인 1.0,” 2023. 6.
[그림 2] 제로트러스트 아키텍처 보안 모델 및 구성요소
- 제로트러스트 아키텍처 구성요소
제로트러스트 아키텍처를 구성하는 두 개의 큰 축은 성적을 결정하는 부분인 제어 영역(Contral Plane), 정책이 시행되며, 주체가 리소스에 접근하는 것을 관리하는 논리적 공간을 데이터 영역 (Data Plane)이다. 이 중에서도 핵심은 정책 엔진 (Policy Engine, PE)과 정책 관리자 (Policy Adminisrator,PA)의 요소로 되어 있는 정책 결정 포인트(Policy Decision Point, PDP)와 정책 실시 포인트(Policy Enforcement Point, PEP)로 구성된다.
가. 제어 영역 (Control Plane)과 데이터 영역 (Data Plane)
제어 영역은 네트워크 상에 유입되는 데이터를 송수신하기 위해 경로의 계산, 패킷의 전송 정책, 우선 제어 부하 분산 등 복잡한 거리를 담당하는 부분이며, 제어 영역에서 결정된 패킷의 경로와 정책에 따라 실제 데이터가 있는 패킷을 전송하는 것이 데이터 영역이다.
나 정책 엔진(PE)
정책 엔진에서는 리소스에 접근을 시도하는 주체를 허용할지, 거부할지 최종적으로 결정하는 역할을 수행한다.
다. 정책 관리자 (PA)
정책 관리자는 정책 엔진과 함께 정책 결정 지점을 구성하며, 정책 실행 시점에 명령을 하달하여 접근 주체의 리소스 접근을 허용하거나 폐쇄한다.
라. 정책 결정 지점 (PDP)
주체로부터의 리소스에 대한 집근 요구를 검증하고, 검증된 결과를 정책에 적용시키는 기능으로 허가와 평가결과로 인한 판단을 진행한다.
마. 정책 실행 시점(PEP)
접근 주체와 기업의 리소스 사이를 연계하고 모니터링하며, 연결을 최종 종료시키는 역할을 수행한다.
앞서 언급한 제로트러스트 아키텍처 보안 모델은 기업의 운영형태와 리소스 구성에 따라 적용되는 접근방법을 설정하고 운용하는 것이 필요하다.
Ⅲ. 국내외 제로트러스트 도입 동향
경계기반 모델의 약점을 극복하고, 변화된 환경에 대응하기 위한 제로트러스트 보안 모델 도입 노력이 국내외로 활발하게 진행되고 있다. 2000년대 초반에 형성된 제로트러스트 보안 용어의 개념을 기반으로 국외에서는 미국 주도의 실증 연구가 진행 중이다.
- 국내 제로트러스트 도입 동향
국내에서는 작년 12.11일 과학기술정보통신부와 한국 인터넷진흥원은 국내 최초로 발표한 「제로트러스트 가이드라인 1.0」을 기반으로 국내 기업망 환경에 적용할 수 있는 보안모델 2종을 적용,실증하는데 성공했다. 이는 글로벌 기업들이 제로트러스트 시장을 선점하기 위해 노력하는 가운데 국산 제로트러스트 보안 모델의 보안 효과성을 확인하는 의미있는 성과를 거둔 사례이다.
가. 과기정통부 ‘제로트러스트 가이드라인 1.0’ 공개 : 한국형 제로트러스트(K-Zero Trust)의 실증사업 추진을 위해 한국인터넷 진흥원과 함께 가이드를 마련, 개념과 아키텍처, 모델, 도입 절차 등을 정리하고 있다.
나. 국가정보원 ‘K-제로트러스트 구축 로드맵’ 발표‘ : 국가 및 공공 보안 영역에서의 사이버 보안 강화를 위한 제로트러스트 도입의 필요성을 인지하고 사이버안보 민관합동 협의체에서 ’24년까지 전 국가 및 공공기관 대상의 적용을 포함하는 로드맵을 발표하였다.
다. 한국정보보안산업협회(KISIA) 플랫폼 운영 : 제로트러스트 시대의 중요성을 강조하는 포괄적인 플랫폼을 제공하여 중추적인 역할을 수행하고 있다.
- 국외 제로트러스트 도입 동향
국외에서는 바이든 미국 행정부가 이끄는 ‘국가 사이버 보안 현대화’ 정책이 가장 강력히 추진되고 있으며, 그 외 일본, 영국, 중국 등이 자체적인 제로트러스트 보안 모델 도입을 추진 중이다.
가. 미국의 ’국가 사이버 보안 현대화‘ : 바이든 미국 행정부는 지난 ’21년부터 연방정부 사이버 보안강화를 위한 행정명령을 발표하고, 제로트러스트 달성 목표, 미국 사이버 보안 및 인프라 보안국(CISA) 성숙도 모델 준수 등을 담은 각서를 공개하기도 했다. 최근에는 미국 전기전자공학회(IEEE)산하 사이버 보안 및 개인정보 표준화위원회에서 국제 표준화를 위한 워킹그룹을 결성하였다.
나. 영국의 ‘제로트러스트 아키텍처 설계 원칙’ 제시: 영국은 ‘21년 조직 네트워크 구조 파악, 이용자 서비스・디바이스에 대한 신원 파악, 모든 접근을 인증한 뒤 허가 등의 내용을 수록한 제로트러스트 아키텍처 설계 원칙을 제시하였다.
다. 일본・중국의 제로트러스트 도입: 일본은 ’20년 정부 정보시스템에서 제로트러스트 적용을 위한 사고방식을 도입하였으며, 디지털청을 발족해 정책을 구체화하고 있다. 중국은 정보보안 기술 제로트러스트 참조 아키텍처 초안발표를 진행, 의견을 수렴 중이다.
Ⅳ. 결론 및 시사점
본 고에서는 현재 기업 보안에서 가장 주목받는 기술인 제로트러스트의 도입 배경, 개념, 구현을 위한 아키텍처 보안 모델 및 국내외 도입 추진 동향에 대해서 살펴보았다. 본 고에서 언급한 사례 외에도 현재 제로트러스트 보안은 다양한 응용기술 분야와의 연계 및 연구 개발 또한 활발하게 진행 중에 있으며 대표적으로 인공지능(AI), 블록체인(Blockchain), 양자기술(Quantum Technology), 보안관제 고도화, 포렌식(Forensics) 등의 결합이 있다. 더욱이 최근 정부에서 발표한 ‘2024년 주요 정책 추진계획’을 통해 올해 정부가 집중할 디지털 안전 전략으로 인공지능(AI) 기술을 접목한 최적의 제로트러스트 보안 모델 개발과 실증 작업이 선정되어 제로트러스트 보안 패러다임으로의 변화는 더욱 가속화될 전망이다. 이러한 제로트러스트 보안 패러다임을 기존의 보안체계에 안전하게 정착시키기 위해서는 다음과 같은 사전 고려가 필요하다.
첫째, 현재 기업망의 보안 수준을 평가하는 것이 중요하다. 기업이 현재 구축한 보안 성숙도를 객관화하고, 기업의 워크플로우에 대한 철저한 분석을 통해 변화에 대비해야 한다.
둘째, 제로트러스트 적용 범위를 설정하고, 시범적인 도입과 피드백 과정을 수행해야 한다. 기존의 경계 기반 모델 보안 방식의 장점을 유지하되, 복잡한 클라우드 환경과 내부자 보안 위협 대응을 위한 범위를 설정하고 시범 운용으로 충분한 검증의 과정을 거쳐야 한다.
셋째, 설계와 도입, 운영 단계에서 견고한 구성을 해야 한다. 제로트러스트의 핵심인 사용자 검증을 위한 정책과 취약한 설계로 인한 침해 발생의 가능성을 예방하고, 오탐이나 과도한 정책 설정으로 인한 가시성 저하, 업무 연속성 문제, 사용자 불편 문제를 소거해야 한다.
넷째, 완벽한 보안이 불가능함을 수용하고, 발생가능한 위협에 대응한다. 제로트러스트의 도입으로 모든 사이버보안 위협을 제거하는 것은 현실적으로 불가능하며, 보안 강화 전략 및 정책으로 접근해야 한다.
다섯째, 가장 중요한 것은 기업 전체의 노력과 보안 거버넌스 확립을 통한 안정화를 유지하는 것이다. 기업의 규모와 운영환경에 따른 실현 방법은 상이할 수 있으나, 공통적으로 정부와 기관, 전문 기업들의 움직임에 주목하고 제시되는 가이드와 원칙, 실증 사례를 참고하여 단계별 보안 패러다임의 변화를 시도해야 하며, 과정에서 내부 구성원들의 이해와 의지 또한 중요하게 작용해야 할 것이다.
[참고문헌]
[1] 과학기술정보통신부, 한국인터넷진흥원, 한국제로트러스트포럼, “제로트러스트 가이드라인 1.0,” 2023. 6.
[2] 박춘식, “제로 트러스트 보안(Zero Trust Security) 동향,” 정보통신기획평가원, 주간기술동향, 제2098호, 2023. 7.
[3] 송왕철, “Zero Trust Architecture 기술동향,” KOREN, 한국지능정보사회진흥원(NIA), 2023. 8.
[4] 이석준, “제로트러스트 가이드라인, 새로운 사이버 보안 전략의 시작,” (사)한국인터넷자율정책기구, KISO저널, 제35호, 2023. 12.
[5] John Kindervag (Forrester), “No More Chewy Centers: Introducing The Zero Trust Model Of Information Security,” 2010.09.
[6] John Kindervag (Forrester), “Build Security Into Your Network’s Dna: The Zero Trust Network Architecture,” 2010.11.