미국 연방기관, 지금이 제로 트러스트를 도입할 적기

Bill Church필드 CTO – 연방 정부

특히 모바일 및 클라우드 기반 업무 환경의 시대에 중요 데이터를 보호해야 하는 과제가 갈수록 커지면서, 점점 더 많은 연방 기관이 디지털 기술이 고도로 발달한 오늘날의 요구 사항을 더욱 효과적으로 충족하는 제로 트러스트 보안 모델을 도입하고 있습니다.

한 최근 설문조사에 따르면, 연방 정부 IT 임원 중 거의 절반이 소속 기관의 디지털 자원을 보호하기 위해 신원 중심, 즉 제로 트러스트 보안 전략으로 전환하고 있다고 답했습니다. FedScoop이 실시하고 Duo Security가 후원한 이 조사에 따르면, 연방 기관들은 기존의 네트워크 경계 방어 방식에서 벗어나 신원 확인 및 인증 도구를 주요 접근 수단으로 사용하는 경계 없는 데이터 환경을 점차 더 적극적으로 수용하고 있습니다.

제로 트러스트의 확산이 가속화되고 실제 도입으로 이어지고 있음을 가장 잘 보여주는 것은 최근 발표된 사이버 보안 행정명령입니다. 이 명령은 제로 트러스트의 중요성을 강조하며, 특히 백악관이 최근 향후 몇 년간 정부 기관 시스템의 사이버 보안을 대폭 강화하기 위한 제로 트러스트 아키텍처 전략의 최종안을 발표한 것과도 맥을 같이합니다. 이러한 변화는 멀티 클라우드 환경과 원격 근무자의 급격한 증가와 맞물려 있습니다. 이 두 가지는 현대적인 업무 환경의 핵심 요소로, 제로 트러스트 모델이 매우 효과적으로 대응할 수 있는 영역입니다.

연방 기관과 비즈니스 전반에서 제로 트러스트 모델의 도입이 가속화되는 현상은 네트워크 경계를 보호하는 기존 방식만으로는 더 이상 충분하지 않다는 인식이 확산되는 흐름과 맞물려 있습니다. 이제는 명확히 정의된 경계 안에 신뢰할 수 있는 네트워크가 존재하지 않으므로, ‘신뢰하되 검증하라’는 접근 방식은 더 이상 유효하지 않습니다. 대신 연방 보안팀은 다음과 같은 세 가지의 보다 효과적인 원칙을 준수해야 합니다:

• 사용자와 엔드포인트가 실제로 신뢰할 만하다는 것을 입증한 경우를 제외하고는 절대 신뢰하지 마십시오.
  
  
• 항상 검증합니다. 이는 엔드포인트 활동에 적합한 위험 기반 접근 방식을 도출하는 데 필요한 컨텍스트, 애플리케이션, 위치, 행동 분석 및 기타 구성 요소에 적용되는 지침입니다.
  
  
• 지속적으로 모니터링—한 번만 인증한 후 그 시점부터 위험이 낮을 것이라고 가정하는 것만으로는 충분하지 않다는 점을 이해해야 합니다. 지속적인 인증만이 보안을 계속 유지할 수 있습니다.

최근 F5는 NIST의 NCCoE와 제로 트러스트 아키텍처 구현 프로젝트에서 협력하여 제로 트러스트 아키텍처를 설계하고 구축하기 위한 실용적이고 상호 운용 가능한 접근 방식을 개발할 18개 공급업체 중 하나로 선정되었습니다. 제로 트러스트 도입을 선도하는 주요 연방 기관들과 협력하며 쌓은 F5의 풍부한 전문성은 이러한 중요한 문제를 해결하는 데 도움이 됩니다. F5의 광범위한 애플리케이션 보안 포트폴리오는 아래에 설명된 것처럼 제로 트러스트 아키텍처 내의 네 가지 핵심 통제 지점을 포괄합니다.

엔드포인트: 신뢰할 수 있는 앱 액세스

F5 Labs 보고에 따르면 2020년 액세스 관련 침해 사고는 알려진 침해 원인 중 가장 큰 비중인 34%를 차지했습니다. 액세스 관련 침해 사고가 증가하는 시대에는 신뢰할 수 있는 애플리케이션 액세스 솔루션이 필수적입니다.

F5 BIG-IP Access Policy Manager (APM)은 사용자와 애플리케이션의 위치에 관계없이 애플리케이션, API 및 데이터에 대한 액세스를 간소화하고 중앙 집중화하며 모든 애플리케이션에 최신 인증을 제공합니다. 애플리케이션이 온프레미스에 있든 클라우드에 있든, Zero Trust 아키텍처를 사용하는 더욱 안전한 환경에서 SSO와 일관된 사용자 경험을 통해 향상된 사용자 경험을 제공합니다.

APM은 IAP(Identity Aware Proxy)를 통해 모든 앱 액세스 요청을 보호하는 제로 트러스트 모델 검증을 구현합니다. 연방 기관에서 권한 있는 사용자에 대한 인증 절차는 APM이 사용자에게 미국 정부 경고 배너를 표시하는 것으로 시작되며, 사용자는 인증을 계속 진행하기 전에 이를 수락해야 합니다. 또한 APM은 인증서 해지 목록(CRL) 또는 온라인 인증서 상태 프로토콜(OCSP) 서버를 통해 자격 증명의 해지 여부를 확인하는 등 다양한 방식으로 사용자에게 강력한 자격 증명을 요구합니다.

권한 있는 사용자의 시스템 액세스가 허용되면 APM은 추가 속성을 조회하여 해당 사용자가 액세스할 수 있는 리소스를 결정합니다. 또한 클라이언트가 정부 지급 장비(GFE)를 사용하고 있는지, 호스트 기반 보안 시스템(HBSS)을 준수하고 있는지, 지원되는 운영 체제를 실행하고 있는지 등을 확인하여 클라이언트의 무결성을 보장하는 여러 고급 기능도 제공합니다.

네트워크 인프라: 애플리케이션 보안

제로 트러스트를 구현하려면 앱의 보안과 가용성을 보장하는 네트워크 인프라가 필요합니다. F5 Labs 연구에 따르면 페이지 로드의 약 90%가 SSL/TLS로 암호화되며, 이는 오늘날 암호화가 보편화되었음을 의미합니다. 그럼에도 암호화된 위협은 여전히 존재합니다. 실제로 공격자가 악성 페이로드를 숨기고 보안 제어를 우회하기 위해 암호화를 사용하는 경우가 흔합니다.

중앙 집중식 암호화 제어를 통해 인바운드 및 아웃바운드 SSL/TLS 트래픽을 강력하게 복호화/암호화하여 위협을 제거할 수 있는 SSL 가시성 솔루션을 고려해 보십시오. 이 솔루션은 사각지대를 없애고 모든 네트워크 토폴로지, 디바이스 또는 애플리케이션의 전체 보안 체인에 걸쳐 비용 효율적인 가시성을 확보할 수 있도록 정책 기반 오케스트레이션을 제공해야 합니다.

애플리케이션: 기관 보호를 위한 애플리케이션 계층 보안

F5 Labs의 연구에 따르면 조직은 평균적으로 765개의 앱을 배포합니다. 사이버 공격자에게 잠재적인 표적이 매우 많은 만큼, 기관은 제로 트러스트 전략의 일환으로 이러한 앱을 보호하기 위해 지속적으로 경계를 늦추지 않아야 합니다.

애플리케이션이 클라우드, 온프레미스, SaaS 기반 또는 완전 관리형 중 어디에 있든, 애플리케이션 계층 보안 솔루션은 애플리케이션 자체 또는 그 인접 지점에서 보안을 제공하고 제로 트러스트 아키텍처 내에서 애플리케이션 스택을 보호해야 합니다.

귀사의 연방 기관용 WAF 솔루션은 애플리케이션의 상태를 지속적으로 모니터링하는 행동 분석을 통해 계층 7 DoS 공격도 방어해야 합니다. 그 밖에도 사용자 계정에 대한 무단 액세스를 방지하는 자격 증명 보호와 API 공격으로부터 애플리케이션을 보호하는 기능을 제공해야 합니다.

ID 서비스: 파트너십

Consider deploying a solution from a provider with established deep partnerships with organizations like Microsoft, Okta, Ping 등과 긴밀하고 공고한 파트너십을 구축한 공급업체의 솔루션을 도입하는 것을 고려해 보세요. 신뢰할 수 있는 애플리케이션 액세스 솔루션을 이러한 IDaaS(Identity-as-a-Service) 공급업체와 통합하면 클라우드 기반 애플리케이션, SaaS, 미션 크리티컬 애플리케이션 및 맞춤형 애플리케이션 간의 ID 격차를 해소하여 사용자에게 통합되고 안전한 액세스 환경을 제공할 수 있습니다.

연방 기관 역시 제로 트러스트를 성공적으로 도입하려면 강력한 파트너십을 구축해야 합니다. 필요한 전문 지식과 솔루션을 제공받으려면 언제든지 저희에게 문의해 주세요. 저희의 목표는 귀 기관이 최대한 원활하게 제로 트러스트로 전환하여 기관 발전에 도움이 되는 이점을 신속히 누릴 수 있도록 지원하는 것입니다.

Bill Church
최고기술책임자(CTO) – F5 미국 연방정부 솔루션

(이 콘텐츠의 이전 버전은 2020년 말에 게시되었으며, 2022년 초에 업데이트되었습니다.)

작성자 소개

Bill Church필드 CTO – 연방 정부

Bill Church의 다른 블로그 게시물