할리우드가 내게 가르쳐 준 제로 트러스트

Ken Arora

언젠가—어떤 대체 현실이나 환상 속 미래에서라도—내게 스타플릿의 컴퓨터 시스템을 설계할 기회가 생긴다면, 무기 시스템이 생명 유지 장치의 서브루틴과 연결되지 않도록 하는 것만큼은 반드시 보장할 것이다. 또는 나와는 완전히 다른 종족이 사는 행성인 지구를 점령하라는 임무를 맡은 외계 침공군의 지휘관이 된다면, 암호나 토큰 대신 생체 인증을 고집할 것이다. 그리고 마지막으로, 내 장교나 우주선이 온갖 역경을 뚫고 기적적으로 포로 상태에서 ‘탈출’해 돌아온다면, 무엇보다 먼저 트로이 목마를 숨겨 들여온 것은 아닌지 확인할 것이다.

그렇다면 이것이 제로 트러스트와 무슨 관련이 있을까요? 이제 짐작하셨겠지만, 할리우드는 사전에 약간의 건전한 의심을 품지 않았을 때 벌어지는 엄청난 결과를 그려 내는 이야기를 좋아합니다. 사이버 보안 실무자인 제 관점에서 보면, 바로 그와 같은 사고방식, 즉 건전한 의심을 유지하는 것이야말로 제로 트러스트의 진정한 핵심입니다.

그렇다면 제가 특별히 제로 트러스트에 초점을 맞추는 이유는 무엇일까요? 그 동기는 오늘날 ‘제로 트러스트’라는 용어가 사용되는 방식에서 나타나는 한 가지 경향에 있습니다. 1980년대 후반의 또 다른 영화 제작 일화로 돌아가 보겠습니다. 당시 할리우드는 기존 아날로그 기술에서 오디오, 비디오, 후반 작업 편집을 위한 디지털 표준으로 전환하고 있었습니다. 그 시절 그곳에서 영화 제작에 참여하던 사람들 중 기술에 익숙하지 않은 이들은 ‘디지털’이 실제로 무엇을 의미하는지 이해하지 못했고, 딱히 알고 싶어 하지도 않았습니다. 대신 그들에게 ‘디지털’이라는 말은 사실상 ‘최고 수준’과 같은 뜻이었습니다. 그 결과, 그들과 함께 일하던 제 기술자 친구들이 몹시 난감해할 정도로 제작자와 감독들은 조명이나 세트 제작이 ‘디지털’인지 묻기 시작했습니다. 하지만 그들이 실제로 묻고 싶었던 것은 ‘이게 최고의 조명 디자인인가, 아니면 최고의 세트 제작인가?’였습니다. 다시 오늘날로 돌아오면, CSO 커뮤니티에서 ‘제로 트러스트’라는 말이 1990년 당시 영화 제작자들이 ‘디지털’이라는 말을 사용했던 것과 매우 비슷한 방식으로 쓰이는 경우를 너무 자주 접합니다.

한편, 최근에 사이먼 시넥의 ‘왜에서 시작하라(Starts with Why)’ 프레임워크를 접하게 되었습니다. 이 프레임워크는 할리우드가 ‘디지털’의 초창기를 어떻게 바라보았는지에 대한 기억, 그리고 영화가 보안 관행과 잘못된 보안 관행을 바탕으로 이야기를 만들어 온 방식과 어우러져, 제가 제로 트러스트에 관해 품고 있던 여러 생각을 정리하는 데 도움이 되었습니다. 제로 트러스트의 핵심에는 앞서 소개한 할리우드 영화 줄거리의 교훈이 자리합니다. 즉, 중요 시스템의 보안을 설계하고 운영할 때 신중한 사이버 예방 조치를 조금이라도 소홀히 하면, 나중에 훨씬 더 큰 침해와 고통을 겪게 된다는 것입니다. 이와 마찬가지로, 프레임워크의 중심인 ‘왜’의 차원에서 제로 트러스트는 다음과 같은 신념으로 표현할 수 있습니다:

A. 항상 명시적으로 확인하십시오 ‘누구인지’: 즉, 시스템과 상호 작용하려는 주체를 확인해야 합니다.

B. 필요한 최소 권한을 기본값으로 설정: ID가 확인되면 해당 행위자에게 현재 수행 중인 특정 비즈니스 트랜잭션을 위해 시스템과 상호 작용하는 데 필요한 만큼의 권한만 허용하고, 필요한 권한은 설계에 명시합니다.

C. 지속적으로 모니터링하고 (재)평가: 신원 확인 및 권한 부여는 정적인 일회성 절차에 그쳐서는 안 되며, 관련 결정은 지속적으로 평가하고 재평가해야 합니다.

D. 그리고 그럼에도 침해당했다고 가정하십시오: 마지막으로, 위의 세 가지 조치를 수행했더라도 정교한 공격자가 방어 체계를 뚫었다고 가정해야 합니다. 따라서 시스템은 침해된 요소나 ID를 식별하고 격리하는 방법뿐 아니라, 이들이 시스템에 미치는 영향을 억제 및/또는 해결하기 위한 전략도 고려해야 합니다.

간단히 말해, 암묵적으로 신뢰하지 말고 항상 검증해야 합니다. 그리고 필요한 만큼만 신뢰해야 합니다. 지속적으로 평가해야 하며, 모든 위협을 잡아낼 수 있다고 가정해서도 안 됩니다. 이것이 바로 제로 트러스트가 필요한 이유입니다.

물론 ‘왜’는 이야기의 일부일 뿐입니다. ‘어떻게’, 즉 ‘왜’에서 비롯된 사고방식을 구현하는 데 사용되는 기법과 도구 역시 실무자에게 중요한 또 하나의 관점이며, 이는 앞서 언급한 신념에서 자연스럽게 도출됩니다. 여기서도 오늘날 사이버 보안 실무자들이 사용할 수 있는 현재의 도구들을 바탕으로 구체적으로 설명하겠습니다:

1. 인증: 보호 대상 시스템과 상호 작용하는 모든 주체는 자신이 특정 신원을 보유하고 있음을 증명해야 하며, 경우에 따라서는 여러 신원의 조합을 증명해야 합니다. 예를 들어 사람 또는 자동화 시스템의 신원뿐 아니라 해당 사람이나 시스템이 사용하는 기기 또는 플랫폼의 신원, 나아가 접근에 사용되는 브라우저나 도구의 신원까지 포함될 수 있습니다. 제로 트러스트 사고방식에서는 이러한 모든 증명을 하나 이상의 수단으로 검증, 즉 ‘인증’해야 합니다. 그 수단에는 공유 비밀, 토큰 또는 인증서가 있으며, 최신 시스템에서는 해당 주체의 행동 패턴을 관찰하고 검증하는 방식도 사용됩니다.
   
2. 액세스 제어: ID가 확인되면 해당 ID에 부여된 액세스 제어 권한으로 구체화되는 신뢰 수준을 할당해야 합니다. 액세스 제어 정책은 최소 권한 원칙을 따라야 하며, 시스템 내에서 주체가 자신의 역할을 수행하는 데 필요한 최소한의 권한만 부여해야 합니다. 이상적인 액세스 제어 구현에서는 다음과 같이 부여할 권한을 세부적으로 지정할 수 있어야 합니다. 역할 <X>에는 API <1>, <3>, <4>에 대한 액세스 권한과 <Y> 및 <Z> 클래스 객체에 대한 읽기 권한이 부여됩니다. 애플리케이션 리소스를 대상으로 하는 복잡한 액세스 제어 시나리오에서는 객체, 파일 및 네트워크 리소스에 대한 직접 액세스 권한을 부여하기보다 API 뒤에서 추상화하는 것이 모범 사례입니다.
   
3. 가시성: 사고방식의 ‘모니터링’ 부분, 즉 ‘지속적인 재평가’의 전제 조건으로 넘어가면, 시스템은 각 행위자의 시스템 내 행동을 지속적으로 실시간 파악할 수 있어야 합니다. 이러한 맥락에서 ‘보지 못했다면 일어나지 않은 것이다’라는 명제는 자명한 원칙입니다. 또한 수집된 ‘텔레메트리’는 단순히 볼 수 있는 데 그치지 않고 활용할 수 있어야 합니다. 즉, 보고된 정보를 공유하고 맥락화할 수 있는 프레임워크 내에 존재해야 합니다. 이를 통해 여러 출처의 데이터를 유의미하게 결합하고 상호 연관 지어 더욱 견고하고 효과적인 위험 평가를 수행할 수 있습니다.
   
4. ML 지원 기반 상황별 분석: 앞서 언급한 가시성을 확보하는 목적은 ‘지속적인 재평가’ 원칙을 실행하기 위함입니다. 이 원칙을 구현하려면 가시성뿐만 아니라 분석도 필요하며, 일반적으로 앞서 언급한 공유 친화적 프레임워크를 활용해 여러 데이터 소스를 거의 실시간으로 분석해야 합니다. 이를 위해 지속적인 평가에는 비정상적으로 행동하는 주체를 탐지하고 잠재적인 시스템 침해 여부를 식별할 수 있도록 AI 머신러닝 시스템의 지원이 필요한 경우가 많습니다. 마지막으로, 강력한 분석 엔진은 단순한 예/아니요의 이분법적 답변보다 더 세밀한 결과를 제공할 수 있어야 하며, 이상적으로는 관련 신뢰도 점수와 함께 위험 평가를 제시해야 합니다.
   
5. 위험 인식 기반 자동화된 대응: 마지막으로, 정교한 공격자 중 일부는 여전히 시스템 침투에 성공할 것이라는 전제를 바탕으로 하므로, 시스템은 이러한 행위나 행위자를 더욱 면밀히 모니터링하고 필요할 경우 억제 및/또는 차단할 수 있어야 합니다. 단순한 로깅부터 심층 검사, 시도된 행위의 차단, 나아가 의심되는 악의적 행위자를 기만하는 것에 이르기까지 시스템의 대응은 상위 수준의 비즈니스 맥락에서 고려되어야 합니다. 오탐이나 미탐의 가능성과 영향, 해당 조치가 초래할 비즈니스 위험도 이러한 고려 사항에 포함됩니다. 예를 들어, 제품 카탈로그 탐색을 차단하는 것은 해당 행위자가 악의적인 사이트 스크래퍼라는 확신이 매우 높은 경우에만 적절할 수 있지만, 은행 거래의 경우에는 그보다 낮은 확신 수준에서도 추가 인증을 요구하는 것이 적절할 수 있습니다. 마지막으로, 현대 사이버 공격의 정교함과 속도를 고려할 때 운영상의 대응 조치는 자동화할 수 있어야 하며, 사람이 지정하는 정책은 의도 중심의 목표로 기술되어야 합니다.

‘왜, 어떻게, 무엇을’ 프레임워크의 마지막 측면은 ‘무엇을’에 해당합니다. 즉, 위의 도구와 기법을 사용하면 목표를 달성하고 다양한 유형의 공격을 예방하거나 완화할 수 있습니다. 모든 사이버 공격을 포괄하는 완전한 분류 체계는 향후 글에서 다룰 주제입니다. 다만 앞으로 다룰 내용을 미리 살펴보면, 여기서 설명한 ‘왜’와 ‘어떻게’는 정교한 ‘지능형 위협’ 전반에 대응할 수 있습니다. 한 가지 예로, 제로 트러스트 사고방식은 ‘신뢰할 수 있는’ 소프트웨어 구성 요소에서 시작된 경우(일명 ‘공급망 공격’)에도 랜섬웨어 위협에 대응할 수 있습니다. 구체적으로는 액세스 제어 정책에 구현된 최소 권한 원칙을 적용하여, 실제로 해당 권한이 필요한 주체에만 파일 읽기/쓰기 권한을 부여함으로써 파일 리소스의 암호화를 방지해야 합니다. 또한 파일 쓰기 권한이 있는 기존 소프트웨어 구성 요소와 같은 주체가 앞서 언급한 공급망 공격 경로를 통해 침해되어 다수의 파일을 빠른 속도로 암호화하려 할 경우, 지속적인 재평가와 분석을 통해 액세스한 파일의 범위와 액세스 속도를 파악하여 비정상적인 동작을 신속하게 탐지해야 합니다. 이러한 탐지를 자동화된 완화 조치와 연계하면 해당 활동을 빠르게 차단할 수 있습니다.

그럼 처음에 이야기했던 또 다른 세계로 돌아가 보겠습니다... 스타플릿의 모든 컴퓨터 하위 시스템이 최소 권한 원칙에 따라 작동한다면, 광자 어뢰를 발사하는 API를 중력 제어 하위 시스템에서 호출할 수 없어야 합니다. 또한 외계 모선의 제어 시스템은 생체 인식 기반 MFA를 수행할 뿐만 아니라, 모선의 보안 제어 시스템이 침해 사고의 발생을 전제로 지속적인 모니터링과 재평가를 수행해야 합니다. 이를 통해 함선 내부를 비행하는 전투 드론의 이상 징후를 탐지하고, 그 비정상적인 드론이 엔진 코어로 향할 경우 위협을 완화할 수 있습니다. 이처럼 몇 가지 핵심적인 예방 조치만으로도 이후 벌어질 수많은 극적인 상황을 피할 수 있습니다. 할리우드에는 좋지 않겠지만, 사이버 보안 실무자에게는 좋은 일입니다.

기존 비즈니스 환경과 관련하여 제로 트러스트를 둘러싼 광범위한 개념을 포괄하는 프레임워크와 애플리케이션 비즈니스 리더가 갖춰야 할 보안 사고방식에 대해 자세히 알아보려면, 백서 제로 트러스트 보안: 제로 트러스트가 중요한 이유(단순히 액세스 때문만은 아닙니다)를 읽어보세요.

작성자 소개

Ken Arora

Ken Arora의 다른 블로그 게시물