제로트러스트 (Zero Trust)란 무엇일까??

아무것도 믿지말고 항상 검증하라

제로트러스트 Zero Trust

"아무것도 신뢰하지 마라"

 

제로 트러스트(Zero Trust)는 현대 IT 보안 분야에서 중요한 개념으로,

"아무것도 신뢰하지 마라"는 원칙을 가지고 있습니다.

이는 인터넷상에서 정보를 주고받는 모든 행위에 대해 근본적으로 의심하고,

모든 접근을 검증하는 보안 접근 방식을 말합니다.

 

예를 들어, 크x 브라우저, 카카x 메신저, 알x 백신 등의 소프트웨어를 다운로드하고 사용할 때,

제로 트러스트 접근법은 이러한 애플리케이션들이 안전하다고 가정하지 않고,

그들의 보안 수준을 지속적으로 검증하고 모니터링하는 것을 의미합니다.

---

제로 트러스트의 등장 배경

 

전통적인 보안 모델은 내부 네트워크를 신뢰하고 외부를 불신하는 방식으로 구성되어 있었습니다.

이 모델은 방화벽과 가상 사설망(VPN)을 중심으로 하여,

내부 네트워크에 대한 접근을 기본적으로 신뢰했습니다.

하지만 클라우드 컴퓨팅, 모바일 장치, IoT 기기의 대중화로 인해

보안 환경이 변화하면서 이러한 전통적인 접근 방식의 한계가 드러났습니다.

제로 트러스트 모델은 이러한 변화에 대응하여 등장했습니다.

 

---

제로 트러스트의 핵심 원칙

최소 권한 (Least Privilege): 사용자는 필요한 최소한의 권한만을 부여받으며, 이를 통해 잠재적인 위협으로부터의 공격을 방지합니다. 인증 및 접근 제어 (Authentication and Access Control): 모든 사용자와 장치는 인증을 거쳐야 하며, 식별과 권한 검증이 이루어집니다. 네트워크 분할 (Network Segmentation): 네트워크는 보안 영역으로 세분화되며, 각 영역은 다른 영역과 격리됩니다. 다중 요인 인증 (Multi-Factor Authentication): 단일 인증 요소만으로는 부족하므로, 추가적인 보안 계층을 위해 다중 요인 인증을 사용합니다. 이상 징후 감지 (Anomaly Detection): 사용자 및 장치의 행위를 지속적으로 모니터링하여 이상 징후를 감지합니다. 암호화 (Encryption): 데이터의 안전한 전송과 저장을 위해 암호화를 사용합니다.

 

기존의 보안체제와 제로트러스트 보안의 차이점

구분	제로트러스트 보안	기존 보안 모델
신뢰 원칙	내부 및 외부 네트워크 모두를 기본적으로 불신	내부 네트워크를 신뢰하고 외부를 불신
접근 제어	지속적인 인증과 권한 검증 필요	일단 인증되면 네트워크 내부 자원에 대한 접근이 허용
네트워크 보안	네트워크 전체에 걸쳐 일관된 보안 정책 적용	주로 네트워크 경계에 중점을 둔 보안
인증 방법	다중 요인 인증(MFA) 및 동적 권한 부여	단일 요인 인증(예: 비밀번호)
보안 전략	최소 권한 원칙 및 지속적인 모니터링	전통적인 방어벽 및 안티바이러스에 의존
데이터 보호	모든 데이터 전송 및 저장에 대한 암호화	주로 중요한 데이터에만 암호화 적용
투명성 및 통제	높은 수준의 투명성 및 사용자 행동 분석	제한적인 통제 및 투명성
적응성	클라우드, 모바일, IoT 등 다양한 환경에 유연	주로 고정된 IT 환경에 적합
위협 대응	실시간 위협 탐지 및 대응	주로 과거의 위협 패턴에 기반한 대응

 

---

미국의 제로트러스트 보안 가이드라인

 

사이버보안 및 인프라보안국(CISA)은

2023년 4월 제로 트러스트 성숙도 모델(Zero Trust Maturity Model, ZTMM)의 업데이트 버전을 발표했습니다.

이 업데이트된 모델은 연방 기관들이 제로 트러스트 아키텍처로 전환하기 위한 종합적인 로드맵을 제공하며,

다섯 가지 주요 영역에 걸쳐 구현 지침을 제공합니다. 이 모델은 연방 기관뿐만 아니라

주, 지방, 부족, 영토 정부 및 민간 부문에서도 사용할 것을 권장합니다.

모델의 목적은 기관들이 시간이 지남에 따라 제로 트러스트 아키텍처의 최적화를 향해

소규모 개선을 할 수 있도록 하는 것입니다.

업데이트된 ZTMM의 핵심 초점은 데이터, 네트워크, 인프라에 대한 접근을 최소한으로 유지하고

그 접근의 정당성을 지속적으로 검증하는 것입니다.

새로운 성숙도 모델은 "초기(Initial)" 단계를 도입하고

전체적으로 네 단계의 성숙도(전통적, 초기, 고급, 최적)를 포함합니다.

각 단계에서 CISA는 제로 트러스트 아키텍처 구현을 위한 계획 및 결정을 고려할 때

고려해야 할 여러 새로운 기능을 추가하고 기존 기능을 업데이트했습니다.

---

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

구독 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!