제로 트러스트는 오늘날 기술 분야에서 가장 주목받는 유행어(또는 유행 문구) 중 하나입니다. 제로 트러스트는 F5의 2022년 애플리케이션 전략 현황 연구에서 세 번째로 주목받는 기술로 선정되었으며, 조직의 모든 계층에서 큰 관심을 받고 있습니다.
흔히 간과되는 사실 중 하나는 제로 트러스트가 실제로는 사고방식이라는 점입니다, 기술이나 솔루션이 아니라는 것입니다. 그래서 저는 제로 트러스트에 대한 우리의 핵심 신념을 계속 되새기게 됩니다:
“저희는 제로 트러스트 보안이 본질적으로 하나의 사고방식, 즉 신념 체계라고 믿습니다. 여기에서 기법과 전술이 도출되고 특정 기술이 활용되며, 이를 광범위한 보안 위협에 대응하는 데 적용할 수 있습니다.”
그렇기 때문에 보안 규칙 제로를 다시 살펴보는 것이 중요합니다.
‘규칙 제0조’라는 개념이 생소한 분들을 위해 설명하자면, 이는 규칙이 중요한 역할을 하는 롤플레잉 게임에서 유래했습니다. 규칙은 상호작용의 순서와 주사위 결과의 해석, 그리고 무엇을 할 수 있고 할 수 없는지를 결정합니다. 현실 세계와 마찬가지죠. 하지만 롤플레잉 게임에는 다른 모든 규칙에 우선하는 규칙 제0조가 있습니다. 바로 “게임의 모든 사안에 대한 최종 결정권은 GM에게 있다.” 라는 것입니다. 즉, GM은 언제든 규칙을 변경하거나 추가하고 삭제할 수 있습니다. 정말이지, 실제로도 자주 그렇게 합니다.
보안에도 제0원칙이 있다는 사실에 놀라는 분도 있겠지만, 그 원칙은 바로 이것입니다:
“사용자 입력을 절대로 신뢰하지 말지어다.”
이는 새로운 원칙이 아닙니다. 이전에도 수없이 강조되어 왔으며, 저 역시 보안 모범 사례의 핵심이라는 점을 상기시키기 위해 이에 관해 여러 차례 글을 썼습니다. 이 원칙을 따르지 않으면 광범위하고 위험한 악용으로 급속히 번질 수 있는 취약점이 발생합니다.
보안 규칙 제로는 오늘날에도 여전히 유효하며, 어쩌면 그 어느 때보다 더 중요해졌을지도 모릅니다. API가 확산되고 디지털 서비스가 폭발적으로 증가하면서 봇과 스크립트, 악의적 행위자도 그 어느 때보다 많아졌습니다. 또한 크리덴셜 스터핑이 여전히 주요 공격 기법으로 사용되는 가운데, 보안 규칙 제로를 준수하지 않는 디지털 서비스와 API를 악용한 공격 소식도 끊이지 않고 있습니다.
사용자 입력을 신뢰하는 것은 제로 트러스트의 개념 자체에 정면으로 배치됩니다. 사용자가 사람이든, 소프트웨어든, 시스템이든 관계없이 어떤 사용자 입력도 검사 없이 안전하게 처리할 수 있다고 가정해서는 안 됩니다. 예외는 없습니다. 단호한 원칙입니다.
제로 트러스트의 핵심 원칙, 즉 신념 중 하나는 시스템이 이미 침해되었다고 가정하는 것입니다. 침해란 멀웨어가 존재하거나 악의적인 행위자가 시스템을 장악한 상태를 의미할 수 있습니다. 이것이 시스템의 상태입니다. 그로 인한 결과는 해당 시스템에서 오는 데이터, 즉 메시지가 악의적일 수 있다는 것입니다.
그러므로, 따라서, 결론적으로 사용자가 입력한 내용은 절대 신뢰해서는 안 됩니다. 예외는 없습니다.
앞서 설명했듯이, 이 기본 원칙은 다양한 공격을 탐지하고 무력화하는 데 사용할 수 있는 전술(검사)과 기술(WAAP, WAF, NGF)로 이어집니다.
보안 규칙 제로는 제로 트러스트의 핵심 구성 요소입니다. 이를 도입하면 더 효과적인 전술을 수립하고 모두를 위한 보안을 강화할 수 있습니다.
모두 안전에 유의하세요.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.