끊임없이 진화하는 미국 국방부(DoD)의 사이버 보안 환경에서 기존의 액세스 제어 메커니즘만으로는 더 이상 민감한 데이터와 리소스를 보호할 수 없습니다. 조직이 성숙해지고 DoD 제로 트러스트 로드맵과 같은 로드맵의 주요 목표를 달성해 나감에 따라, 적절한 사용자가 적시에 적절한 리소스에 액세스할 수 있도록 더욱 세분화되고 동적이며 유연한 접근 방식이 필요합니다. 바로 이 지점에서 속성 기반 액세스 제어(ABAC)가 중요한 역할을 합니다. 이 블로그 게시물에서는 ABAC의 개념을 자세히 살펴보고, 특히 F5 솔루션을 활용하여 보안 조치를 강화하는 구현 방안을 알아보겠습니다.
속성 기반 액세스 제어(ABAC) 이해하기
속성 기반 액세스 제어(ABAC)는 사용자, 리소스 및 환경과 관련된 다양한 속성이나 특성을 평가하여 액세스 허용 여부를 결정하는 최신 액세스 제어 모델입니다. 역할이나 그룹에 의존하는 기존 액세스 제어 모델과 달리, ABAC는 사용자 속성(보안 인가 수준, 부서, 직책), 리소스 속성(민감도, 보안 등급), 환경 속성(시간대, 위치) 등 광범위한 특성을 고려합니다.
ABAC의 탁월한 이점:
- 세분성: ABAC는 세분화된 액세스 제어를 지원하여 조직이 특정 속성을 기반으로 액세스 정책을 정의할 수 있도록 합니다. 이를 통해 사용자는 자신의 역할에 필요한 리소스에만 액세스할 수 있습니다.
- 동적 액세스: ABAC는 속성과 컨텍스트의 변화에 맞춰 조정됩니다. 이러한 동적 특성 덕분에 액세스 결정 시 실시간 변경 사항을 고려하여 무단 액세스 위험을 줄일 수 있습니다. 예를 들어 UEBA 또는 위험 엔진에서 텔레메트리 데이터를 수집해 사용자와 관련된 전반적인 위험을 판단하고 권한을 즉시 조정할 수 있습니다.
- 정책 유연성: 조직은 비즈니스 규칙을 정확하게 반영하는 복잡한 액세스 정책을 만들 수 있습니다. 이러한 유연성은 사용자의 역할과 리소스 요구 사항이 다양한 환경에서 유용합니다.
- 위험 관리: ABAC는 데이터의 민감도와 사용자 기기의 보안 상태 같은 속성을 고려하여 보안 위험을 효과적으로 관리할 수 있도록 지원합니다.
F5를 활용한 ABAC 구현
F5는 애플리케이션 전송 및 보안 분야의 선도 기업으로, ABAC 원칙을 통합하여 액세스 제어와 보안을 강화하는 솔루션을 제공합니다. F5를 활용해 ABAC를 구현하거나 기존 솔루션을 보완하는 방법은 다음과 같습니다.
- BIG-IP Access Policy Manager (APM): F5의 APM 모듈을 사용하면 광범위한 속성을 기반으로 액세스 정책을 생성할 수 있습니다. 이 모듈은 사용자 요청을 가로채고 속성을 평가한 후 그에 따라 액세스를 허용하거나 거부할 수 있습니다. 이를 통해 사용자는 지정된 속성 기준을 충족하는 경우에만 리소스에 액세스할 수 있습니다. Access Policy Manager는 제로 트러스트 아키텍처에서 PEP 또는 PDP로 자주 사용됩니다. 또한 C2C(Comply to Connect)는 DoD의 또 다른 사용 사례로, APM을 통해 조직은 세분화된 ABAC 제어를 구현할 수 있습니다.
- 컨텍스트 기반 보안: F5 솔루션은 사용자 디렉터리, 디바이스 정보, 신뢰도 평가 엔진, UEBA와 같은 타사 서비스 등 다양한 소스에서 컨텍스트를 수집할 수 있습니다. 이러한 컨텍스트 정보는 속성 평가 프로세스를 보강하여 더욱 정확한 액세스 결정을 내릴 수 있도록 합니다.
- 싱글 사인온(SSO): F5의 SSO 기능은 ABAC와 결합되어 원활하고 안전한 사용자 경험을 제공합니다. 사용자는 한 번만 인증하면 되며, 이후 각 요청에 따른 다양한 리소스 접근은 사용자의 속성과 정의된 정책에 따라 제어됩니다.
- ID 공급자 및 서비스 공급자와의 통합: F5 솔루션은 사용자 속성을 가져오기 위해 Active Directory, LDAP를 비롯해 Okta, Ping, SailPoint와 같은 클라우드 공급자 등 다양한 ID 공급자 및 서비스 공급자와 통합할 수 있습니다. 이러한 속성은 정확한 정보를 바탕으로 액세스 여부를 결정하는 데 중요한 역할을 합니다.
DoD 조직이 디지털 자산 보호와 관련된 과제를 지속적으로 해결해 나가는 가운데, 속성 기반 액세스 제어(ABAC)와 같은 솔루션은 액세스 제어 조치를 강화할 수 있는 강력한 방법을 제공합니다. F5는 고급 애플리케이션 전송 및 보안 솔루션을 통해 ABAC 원칙을 구현할 수 있는 강력한 플랫폼을 제공합니다. 조직은 다양한 속성과 컨텍스트를 고려함으로써 권한이 부여된 사용자가 효율적으로 업무를 수행할 수 있도록 지원하는 동시에 민감한 리소스를 안전하게 보호할 수 있습니다.
데이터 유출과 무단 액세스 사고에 대한 우려가 커지는 오늘날, 최신 액세스 제어 메커니즘을 도입하는 것은 필수적입니다. 미 국방부 조직은 ABAC의 기능과 F5 솔루션을 결합하여 보안 태세를 강화하고 진화하는 사이버 위협에 대한 강력한 방어 체계를 구축할 수 있습니다.
정부 기관에 특화된 보안 솔루션에 대한 자세한 내용은 https://www.f5.com/solutions/public-sector/public-sector-cybersecurity에서 확인하세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.