하이브리드 클라우드 모델이 보편화되면서 여러 환경 전반에서 일관된 액세스 보안을 유지하기가 더욱 어려워졌습니다. 기존의 많은 보안 도구는 전통적인 네트워크 경계가 없으면 더 이상 효과적으로 작동하지 않는 반면, 위협과 공격자는 갈수록 정교해지고 있습니다. 레거시 인증 프로토콜 역시 널리 악용되는 공격 경로로 부상하며 위험을 초래하고 있습니다. 이러한 변화에 대응하려면 대대적인 전환이 필요합니다.
전 세계의 조직들은 오늘날의 현대적인 분산 환경을 보호하기 위해 제로 트러스트 원칙을 도입하고 있습니다. 귀사도 도입해야 할까요? 이 블로그 게시물에서는 F5와 Microsoft Entra ID(이전의 Azure Active Directory)를 통해 제로 트러스트를 구현해야 하는 이유와 방법을 살펴봅니다.
제로 트러스트 보안에 대한 수요 증가
제로 트러스트는 지난 몇 년간 크게 주목받았습니다. 현재까지 전략적 제로 트러스트 이니셔티브를 구현했다고 답한 조직은 61%이지만, 거의 모든 조직이 조만간 이를 구현할 계획입니다.1
네트워크 내부의 모든 요소를 신뢰할 수 있다고 가정하는 기존 보안 개념과 달리, 제로 트러스트는 "절대 신뢰하지 말고, 항상 검증하라"는 원칙에 따라 작동합니다. 이 접근 방식은 네트워크 외부와 내부 모두에 위협이 존재한다고 가정하며, 리소스에 액세스하려는 모든 사용자, 디바이스 및 애플리케이션을 지속적으로 검증하도록 요구합니다.
원격 액세스를 안전하게 보호하는 방법
원격 근무는 최신 앱과 업무에 필수적인 경우가 많은 기존 앱 모두에 대해 더욱 세분화된 보안 액세스가 필요해짐에 따라 제로 트러스트 도입을 촉진하는 핵심 요인이 되었습니다. 사무실 복귀 정책이 추진되고 있음에도 불구하고, 2024년 5월 기준 원격 근무가 가능한 직종에 종사하는 미국 근로자의 79%가 하이브리드 또는 완전 원격 방식으로 근무하고 있습니다.2 이러한 현실은 조직의 공격 표면을 크게 확대하고 액세스 요청을 인증하기 더욱 어렵게 만듭니다.
제로 트러스트 애플리케이션 액세스의 주요 이점 중 하나는 자격 증명뿐만 아니라 컨텍스트를 활용해 애플리케이션별로 요청을 평가할 수 있다는 점입니다.
F5 BIG-IP Access Policy Manager (APM)는 ID 인식 프록시 역할을 하며, 사용자 ID와 컨텍스트를 기반으로 각 액세스 요청을 개별적으로 검증할 수 있는 중앙 집중식 제어 지점을 제공합니다. 이를 통해 사용자는 전체 네트워크가 아닌 승인된 특정 애플리케이션과 리소스에만 액세스할 수 있으므로 사용자의 수평 이동을 차단하고 공격 표면을 제한할 수 있습니다.
“제로 트러스트는 "절대 신뢰하지 말고, 항상 검증하라"는 원칙에 따라 작동합니다.”
컨텍스트는 도난당한 자격 증명을 사용한 로그인 시도나 무차별 대입 공격을 식별하는 데도 도움이 되어 보호 계층을 한층 강화할 수 있습니다. BIG-IP APM은 추가적인 컨텍스트를 확보하기 위해 액세스 결정 시 타사 행동 분석도 고려할 수 있습니다.
Microsoft Entra ID 통합으로 보안 액세스 간소화
클라우드 및 온프레미스 애플리케이션이 혼재된 환경에서 액세스를 관리하는 것은 쉽지 않습니다. Microsoft Entra ID는 수천 개의 SaaS 애플리케이션에 SSO(Single Sign-On) 및 MFA(다단계 인증) 기능을 제공하며, 제로 트러스트 정책 엔진인 Microsoft Entra 조건부 액세스를 지원합니다. BIG-IP APM과 Microsoft Entra ID를 함께 사용하면 하이브리드 클라우드 환경 전반에서 최신, 레거시 및 맞춤형 애플리케이션을 포함한 포트폴리오의 모든 앱으로 SSO 및 MFA 기능을 확장할 수 있습니다.
모든 앱이 기존 SSO 솔루션과 손쉽게 호환되는 것은 아니며, 레거시 앱은 오래된 인증 방식을 사용할 수 있습니다. SSO를 지원하지 않는 앱에 반복해서 로그인해야 하면 사용자는 불편을 느끼고 보안에 주의를 기울이지 않게 되어 공격자의 표적이 될 수 있습니다. 또한 앱마다 비밀번호를 만들어야 하므로 비밀번호를 재사용할 가능성이 커지며, 공격자가 사용자 인증 정보 하나를 탈취해 더 다양한 앱에 액세스할 수 있는 빌미를 제공할 수 있습니다.
이 문제를 방지하기 위해 F5 BIG-IP APM은 변환기 역할을 하여 사실상 모든 앱에서 SSO 액세스를 지원할 수 있습니다.
애플리케이션이 Azure, 온프레미스 또는 다른 클라우드 공급자를 통해 호스팅되는지 여부와 관계없이 F5는 액세스를 위한 중앙 집중식 프런트 엔드 역할을 하여 일관된 사용자 경험을 제공합니다. 또한 환경 전반을 중앙에서 관리하면 보안 팀의 지속적인 업무 부담을 줄일 수 있습니다.
익스플로잇으로부터 애플리케이션 보호
보안 액세스는 제로 트러스트 보안 모델의 핵심이지만, 애플리케이션 보안 역시 전략에 포함해야 합니다. 제로 트러스트 원칙에 따라 애플리케이션은 웹 애플리케이션 및 API 공격에 취약한 신뢰할 수 없는 네트워크에 있다고 간주됩니다. 따라서 네트워크뿐만 아니라 각 애플리케이션과 API 엔드포인트도 보호해야 합니다.
F5는 모든 애플리케이션과 앱 배포를 보호하는 웹 애플리케이션 방화벽(WAF)과 Microsoft Azure와 연동하여 OWASP 웹 애플리케이션 10대 보안 위험 및 API 10대 보안 위험으로부터 보호하는 포괄적인 API 보안을 제공합니다.
F5 제로 트러스트 보안을 Azure에 도입
F5의 포괄적인 보안 솔루션은 Azure 및 나머지 하이브리드 또는 멀티클라우드 환경과 원활하게 통합되어 엄격한 보안 정책을 적용하고, 액세스 관리를 간소화하며, 위치에 관계없이 모든 애플리케이션의 민감한 데이터를 보호합니다.
자세한 내용은 f5.com/azure에서 확인하세요.
출처
1. Okta, 2023년 제로 트러스트 보안 현황, 2023년 10월
2. Gallup, 하이브리드 근무, 2024년 5월
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.