제로 트러스트 도입이 봇 방어와 웹 및 API 보안 강화로 이어지는 세 가지 이유

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

오늘날 제로 트러스트는 모두가 연관되고 싶어 하는 새로운 인기 트렌드입니다. 이는 당사의 2022년 애플리케이션 전략 현황 보고서에서 선정한 가장 흥미로운 3대 트렌드 중 하나이며, 지난 12개월 동안 Google 트렌드에서도 꾸준히 높은 관심도를 기록했습니다.

그 결과, 제로 트러스트는 ‘시프트 레프트’가 등장한 이래 가장 많이 회자되면서도 가장 많이 오해받는 보안 접근 방식 중 하나가 되었습니다. 제로 트러스트를 소프트웨어 정의 경계(SDP)와 같은 특정 기술이나 ID 및 액세스 관리(IDAM)와 같은 시장 부문과 동일시하는 경우가 너무 많습니다.

이는 사실 그리 놀라운 일이 아닙니다. 클라우드 컴퓨팅이 등장했을 때도 특정 기술이나 제품을 ‘새롭게 떠오르는 트렌드’와 동일시하려는 움직임이 똑같이 나타났습니다. ‘클라우드 워싱’은 흔히 벌어지는 일이었으며, 어떤 신제품이 실제로 얼마나 ‘클라우드다운지’를 비꼬는 표현으로 자주 사용되었습니다.

따라서 먼저 제로 트러스트의 정의부터 살펴보는 것이 좋겠습니다. 이 주제에 관해 훌륭한 가이드를 이미 발표한 제 동료 Ken Arora와 Mudit Tyagi의 글을 인용하겠습니다. 이 주제에 관해 훌륭한 가이드를 이미 발표한:

"저희는 제로 트러스트 보안이 본질적으로 하나의 사고방식, 즉 신념 체계라고 생각합니다. 여기에서 기법과 전술이 도출되고 특정 기술이 활용되며, 이를 광범위한 보안 위협에 대응하는 데 적용할 수 있습니다."

이는 중요한 요점이므로 다시 한번 강조하겠습니다. 제로 트러스트 보안은 본질적으로 사고방식입니다.

이러한 사고방식은 일련의 가정을 포괄하며, 기술의 활용은 그러한 가정에서 비롯된 결과입니다.

즉, SDP나 API 보안과 같은 기술을 구현했다고 해서 제로 트러스트를 도입한 것은 아닙니다. 어떤 단일 제품을 도입한다고 해서 갑자기 ‘제로 트러스트를 준수’하게 되어 공격, 침해 또는 취약점 악용으로부터 안전해지는 것은 아닙니다.

분명한 것은 SDP와 API 보안이 제로 트러스트 접근 방식을 도입하기 위한 적절한 전술적 대응책이 될 수 있다는 점입니다. 하지만 이를 실현하려면 몇 가지 핵심 가정에서 출발해, 그에 따라 논리적으로 도출되는 최적의 도구와 기술이 무엇인지 결정해야 합니다.

이를 좀 더 구체적으로 살펴보기 위해 몇 가지 사례를 살펴보겠습니다. 제목에서 알 수 있듯이, 이러한 사례를 통해 봇 방어와 웹 및 API 보안이 ‘제로 트러스트’ 도구의 일부라는 결론에 도달할 수 있습니다.

1. 제로 트러스트 접근 방식은 침해를 전제로 합니다. 실제로는 액세스 권한이 있는 정상적인 사용자도 침해될 수 있으며, 그 결과 의도치 않게 막대한 비용을 초래하는 위협이 될 수 있습니다. 공격자는 일반적으로 정문(기업 네트워크)보다 창문(사용자)을 통해 침입하는 것이 더 쉽다는 사실을 잘 알고 있습니다. 사용자는 끊임없이 침해 위협에 노출되어 있으므로, 사용자가 이미 침해되었다고 가정하는 것이 가장 안전한 방책입니다. 침해된 회사 노트북이나 휴대폰에서 취할 수 있는 잠재적 행동은 매우 다양합니다. 여기에는 악성웨어(멀웨어, 랜섬웨어 및 앞으로 등장할 온갖 악성 소프트웨어)를 유포하려는 웹사이트와 앱을 공격하거나, 액세스 권한을 얻기 위해 취약점을 악용하는 행위가 포함됩니다. 모바일 및 웹 기반 앱이 기업의 애플리케이션과 시스템에 액세스하는 주요 방식으로 API를 사용하는 사례가 늘고 있으므로, 정상적으로 인증된 사용자가 보낸 콘텐츠라도 악성인지 확인하는 것이 중요합니다. 따라서 이러한 위험으로부터 보호하기 위한 합리적인 선택은 웹 및 API 보안을 구현하는 것입니다.
   
   
2. 제로 트러스트 접근 방식은 자격 증명만으로는 충분하지 않다고 가정합니다. 사용자가 사람이든, 머신이든, 소프트웨어든 관계없이 제로 트러스트 접근 방식은 유효한 자격 증명이 제시되더라도 실제 사용자는 정당한 사용자가 아닐 수 있다고 가정합니다. 결국 크리덴셜 스터핑은 도난당한 유효한 자격 증명을 악용하는 지속적인 위협입니다. 매일 평균 100만 개의 사용자 이름과 비밀번호가 유출되거나 도난당한 것으로 보고된다는 사실은 잘 알려져 있습니다. F5의 분석에 따르면 유출된 자격 증명 목록 중 0.5%~2%는 표적으로 삼은 웹사이트나 모바일 앱에서 유효합니다. 따라서 제로 트러스트 접근 방식에서는 자격 증명뿐만 아니라 사용자의 실제 신원까지 확인하는 조치를 취해야 합니다. 여기에는 정당한 사용자로 위장한 봇을 찾아내는 것도 포함됩니다. 실무적으로 이는 봇 탐지라고도 하는 봇 보호가 제로 트러스트 접근 방식에서 중요한 역할을 한다는 의미입니다.
   
   
3. 제로 트러스트 접근 방식은 변화가 끊임없이 일어난다고 가정합니다. 제로 트러스트는 사용자가 검증되고 리소스에 대한 액세스가 승인되면 위험이 없다는 가정을 배제합니다. 모든 트랜잭션을 위험한 것으로 간주하며, 트랜잭션에 포함된 콘텐츠와 이를 전송하는 사용자를 기준으로 평가합니다. 세션 하이재킹은 실제로 사용되는 공격 수법입니다. 따라서 지속적인 경계는 제로 트러스트의 모토이며, 적어도 그래야 합니다. 이는 악성 콘텐츠가 있는지 끊임없이 감시해야 한다는 의미입니다. 따라서 웹 및 API 보안과 봇 탐지는 제로 트러스트 접근 방식의 핵심 구성 요소입니다.

이러한 접근 방식은 또한 SDP, ID 및 액세스 제어, 네트워크 방화벽, CASB와 같은 다른 도구와 기술뿐 아니라, 이러한 가정에서 자연스럽게 파생되는 알려진 위험을 완화하는 다양한 솔루션으로도 이어집니다. 하지만 그중 하나만 구현하고 제로 트러스트 이니셔티브가 완료되었다고 할 수는 없습니다. 이는 병원에 가지 않고 타이레놀로 부러진 다리를 치료하려는 것과 같습니다. 물론 통증 완화에는 도움이 되지만, 나머지 문제를 실질적으로 해결하지는 못합니다.

제로 트러스트를 위험 완화로 이어지는 사고방식의 전환으로 받아들이는 것이 완벽한 해법은 아닙니다. 완벽한 방법은 없기 때문입니다. 하지만 이를 통해 적응력을 높이고 새롭게 등장하는 공격에 더 빠르고 효과적으로 대응하는 데 한 걸음 더 나아갈 수 있습니다.

모두 안전하시길 바랍니다.

제로 트러스트 접근 방식으로 보안을 현대화하는 방법에 대한 자세한 내용은 저희 책 디지털 비즈니스를 위한 엔터프라이즈 아키텍처의 5장에서 확인할 수 있습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물