애플리케이션 중심 세계에서의 제로 트러스트
제로 트러스트는 기업이 더 빠르고 안전하게 성장하도록 지원하는 강력하고 포괄적인 보안 전략입니다. 기업 애플리케이션의 보안을 확보하는 것은 데이터 유출을 방지하는 데 매우 중요합니다. 이를 효과적으로 구현하면 비즈니스 프로세스의 효율성과 사용자 생산성도 높일 수 있습니다. 제로 트러스트 보안 모델은 이러한 비즈니스 가치를 제공할 수 있지만, 제로 트러스트는 제품이 아닙니다. 오히려 안전한 네트워크 및 애플리케이션 아키텍처로 구현되는 접근 방식이자 원칙입니다. 본질적으로 제로 트러스트는 네트워크 내부와 외부의 어떤 사용자나 디바이스도 기본적으로 신뢰하지 않으며, 애플리케이션에 액세스하기 전에 반드시 검증을 거치도록 여러 솔루션이 함께 작동하는 생태계입니다.
최근 몇 년간 제로 트러스트는 새로운 개념이 아님에도 불구하고 큰 주목을 받아 왔습니다. 특히 전 세계 기업들이 팬데믹을 비롯한 자연재해나 인재와 같은 비상 상황에서 어떻게 운영하고 대응할지를 고심하는 오늘날, 제로 트러스트는 그 어느 때보다 관련성과 중요성이 커진 개념입니다. 전 세계 조직이 디지털 혁신 이니셔티브를 가속화함에 따라, 제로 트러스트는 모든 조직이 반드시 더 깊이 이해해야 할 핵심 개념입니다.
기존 네트워크 경계 보안의 전통적인 ‘해자와 성’ 방식, 즉 신원이 확인된 신뢰할 수 있는 사용자만 ‘해자’를 건너 ‘성벽’ 안으로 들어오게 한 뒤 권한이 부여된 모든 애플리케이션이나 리소스에 접근하도록 허용하는 방식은 더 이상 충분하지 않습니다. 온프레미스와 여러 클라우드 환경, 서비스형 소프트웨어(SaaS) 애플리케이션 전반에 걸쳐 애플리케이션 배포 및 마이그레이션이 증가하고 모바일 및 원격 근무 인력이 늘어나면서 네트워크 경계는 사실상 사라졌습니다.
제로 트러스트는 정해진 경계 내부에 신뢰할 수 있는 네트워크가 존재한다는 개념을 없앱니다. 오늘날에는 공격자가 이미 네트워크에 침투해 숨어서 공격을 개시할 적절한 순간을 기다리고 있다고 가정해야 합니다. 최소 권한 원칙에 따라 사용자 액세스를 적용하고 사용자, 사용자의 기기와 액세스 등을 최대한 면밀히 검토하는 한편, 내부 및 외부 통제 지점에서 더 많은 맥락 정보와 가시성을 확보해야 합니다.
제로 트러스트를 구현하려면 “신뢰하되 검증한다”는 접근 방식을 버리고 이제 다음 원칙을 준수해야 합니다:
- 절대 신뢰하지 않기
- 항상 확인하세요
현재 어떤 공급업체도 제로 트러스트 환경을 구현하는 데 필요한 모든 것을 제공할 수는 없습니다. 하지만 F5는 포괄적인 제로 트러스트 접근 방식을 도입하는 데 필요한 핵심 구성 요소를 제공하여 실질적인 가치를 더합니다. 강력한 애플리케이션 보안 포트폴리오와 제로 트러스트 환경의 새로운 통제 지점을 보호하는 역량을 바탕으로, F5는 오늘날의 애플리케이션을 보호하기 위한 “절대 신뢰하지 말고, 항상 검증하라”는 접근 방식을 구현하는 데 필요한 기반을 제공하며, 여기에 “지속적으로 모니터링하라”는 세 번째 제로 트러스트 원칙을 추가합니다.
F5의 관점에서 보호해야 할 네 가지 제어 지점은 다음과 같습니다:
- 애플리케이션에 액세스하는 엔드포인트
- 애플리케이션(클라우드 네이티브 또는 SaaS 앱인지, 기존 또는 맞춤형 애플리케이션인지와 관계없이)
- ID 서비스
- 네트워크 인프라
그렇다면 F5는 각 제어 지점의 보안을 강화하는 데 어떻게 도움이 될까요?
- 애플리케이션에 액세스하는 엔드포인트를 위해 F5의 Trusted Application Access 솔루션은 최신 인증과 모든 애플리케이션에 대한 중앙 집중식 액세스 및 제어 기능을 제공합니다.
- 네트워크 인프라를 위해 F5의 Application Infrastructure Security 솔루션은 공격과 침입으로부터 네트워크를 보호하는 데 도움을 줍니다.
- 애플리케이션을 위해 F5는 애플리케이션 계층 보안 솔루션을 제공하여 애플리케이션 자체 또는 그 인접 지점에서 보안을 구현하고, 계층 4부터 7까지 애플리케이션 스택을 보호합니다.
- ID 서비스 부문에서 당사는 Microsoft, Okta, Ping 등과 긴밀한 파트너십을 맺고 있습니다. F5는 신뢰할 수 있는 애플리케이션 액세스 솔루션을 이러한 IDaaS(Identity-as-a-Service) 공급업체와 통합하여 클라우드 네이티브 및 SaaS 앱과 미션 크리티컬한 기존 및 맞춤형 애플리케이션 간의 ID 및 인증 격차를 해소하고, 모든 사용자가 어떤 애플리케이션에든 통합되고 안전하게 액세스할 수 있도록 지원합니다.
F5는 신뢰할 수 있는 애플리케이션 액세스, 애플리케이션 인프라 보안 및 애플리케이션 계층 보안 솔루션을 활용하여 제로 트러스트 모델을 구축할 수 있도록 구체적으로 지원합니다.
신뢰할 수 있는 애플리케이션 액세스
애플리케이션 액세스와 관련하여 조직은 자사 사이트에 접속하는 모든 사용자가 악의적일 수 있다고 가정해야 합니다. 액세스 관련 침해 사고는 계속 증가하고 있으며, 조만간 줄어들 기미도 보이지 않습니다.
F5 BIG-IP Access Policy Manager (APM) 은 사용자와 애플리케이션의 위치에 관계없이 앱, API 및 데이터에 대한 액세스를 보호하고 간소화하며 중앙 집중화합니다. BIG-IP APM은 ID 인식 프록시(IAP) 기능을 통해 세분화된 컨텍스트 및 ID 인식을 기반으로 제로 트러스트 모델 검증을 구현하여 모든 애플리케이션 액세스 요청을 보호합니다. 또한 애플리케이션 액세스 세션이 지속되는 동안 각 사용자의 디바이스 무결성, 위치 및 기타 애플리케이션 액세스 매개변수를 지속적으로 모니터링합니다.
BIG-IP APM은 애플리케이션의 호스팅 위치나 최신 또는 기존 인증 등 필요한 인증 방식의 유형과 관계없이, 사용자가 액세스 권한을 가진 모든 애플리케이션에 SSO(Single Sign-On)를 제공하여 사용자 경험을 향상하고 모든 앱에서 일관된 사용자 경험을 지원합니다. IAP를 활용하면 애플리케이션과 이에 대한 액세스의 보안이 강화되어 제로 트러스트 애플리케이션 액세스를 구현하는 데 도움이 됩니다. 또한 BIG-IP APM은 하이브리드 환경을 위한 공통 아키텍처를 제공하며, 여러 클라우드의 애플리케이션에 액세스할 때 적용할 공통 액세스 정책을 생성하고 시행할 수 있도록 지원합니다.
With the addition of Shape Security가 추가되고 사기를 저지르는 악의적 행위자를 식별할 수 있게 됨에 따라, F5는 이제 정상 사용자를 더욱 정확하게 식별하고 사용자가 비밀번호를 입력해야 하는 횟수를 줄일 수 있습니다. 이를 통해 사용자는 자격 증명 도용 및 크리덴셜 스터핑 공격의 주요 원인이 되는 추가 사용자 이름/비밀번호 조합을 만들 필요 없이, 권한이 부여된 더 많은 서비스에 액세스할 수 있습니다. 또한 비밀번호 분실을 줄이고 지원 비용을 절감하며 매출을 증대할 수 있습니다.
애플리케이션 인프라 보안
네트워크 경계의 중요성이 줄어들고 있지만, 가까운 미래에 완전히 사라지지는 않을 것입니다. 제로 트러스트를 구현하려면 온프레미스, 데이터 센터 또는 프라이빗 클라우드에 있는 애플리케이션의 보안과 가용성을 유지해야 하며, 이 과정에서 네트워크 인프라가 중요한 역할을 합니다. 네트워크와 사용자, 데이터에 심각한 영향을 미칠 수 있는 위험 요소 중 하나는 암호화된 트래픽에 숨겨진 위협입니다.
이제 암호화는 새로운 표준이 되었습니다. 현재 대부분의 웹 페이지 로딩은 암호화되어 있습니다. 이는 개인정보 보호 측면에서는 바람직하지만, 공격자가 암호화된 트래픽에 멀웨어와 기타 악성 페이로드를 숨겨 보안 통제를 우회할 수 있게 합니다. 이제는 유입되는 암호화 트래픽에 멀웨어가 숨어 있다고 가정해야 합니다. 또한 외부로 나가는 암호화 트래픽에는 유출 중인 민감한 데이터가 포함되어 있거나, 더 많은 공격 또는 더 큰 규모의 공격을 감행하기 위해 준비 중인 악성 명령 및 제어 서버와의 통신이 포함되어 있다고 가정해야 합니다.
F5 SSL Orchestrator는 네트워크에 접근하려는 암호화 트래픽의 위협을 해결합니다. 암호화된 트래픽에 숨어 있는 멀웨어를 탐지해 보안 사각지대를 없애고, 도난당한 데이터의 유출을 차단합니다. 인바운드 및 아웃바운드 암호화 트래픽을 오케스트레이션하기 위한 전용 솔루션입니다. 컨텍스트 인식 정책 엔진과 정책 기반 트래픽 스티어링을 활용해 동적 보안 서비스 체인을 구축할 수 있으므로, 보안 스택의 솔루션을 수동으로 데이지 체인 방식으로 연결할 필요가 없습니다. 또한 지능형 바이패스를 지원하여 업계 및 정부의 개인정보 보호 규정을 위반하지 않도록 합니다. SSL Orchestrator는 기존 보안 솔루션을 모니터링하고 부하를 분산하며 정상 작동 상태를 보장합니다. 또한 암호화 제어를 중앙 집중화하여 관리자의 시간과 노력을 절약합니다.
애플리케이션 계층 보안
현실적으로 어느 조직에서나 애플리케이션은 취약할 수 있습니다. 애플리케이션은 여전히 보안 침해의 최초 표적이 되는 경우가 압도적으로 많습니다. 공격자는 기업에 애플리케이션이 얼마나 중요한지 알고 있으며, 모든 애플리케이션이 귀중한 지적 재산과 데이터로 통하는 뒷문(또는 정문)이 될 수 있기 때문에 이를 적극적으로 침해하려 합니다. 따라서 모든 제로 트러스트 전략의 일환으로 애플리케이션을 지속적으로 보호하는 것이 매우 중요합니다.
F5는 제로 트러스트 아키텍처에서 애플리케이션 스택을 보호합니다. 당사의 웹 애플리케이션 방화벽(WAF) 솔루션인 Advanced WAF, Essential App Protect, Silverline WAF는 OWASP Top 10 취약점이나 SQL/PHP 인젝션과 같은 일반적인 취약점과 공격을 차단합니다. 또한 NGINX App Protect는 F5의 선도적인 WAF 기술을 기반으로 구축되어 NGINX Plus 소프트웨어에서 실행되며, 최신 애플리케이션 환경을 위한 경량 고성능 WAF입니다.
F5의 WAF 솔루션은 행동 분석 기능을 통해 애플리케이션의 상태를 지속적으로 모니터링하여 레이어 7 DoS 공격으로부터 보호할 수도 있습니다. 또한 F5는 공격자가 사용자 계정에 무단으로 액세스하지 못하도록 자격 증명 보호 기능을 제공합니다. 더불어 API 사용이 증가함에 따라 F5는 API를 보호하고 API 공격으로부터 애플리케이션을 안전하게 지켜줍니다.
F5는 WAF 및 API 보안 솔루션으로 애플리케이션의 취약점을 보호하는 동시에, Shape Security 솔루션을 통해 비즈니스 로직을 사기와 악용으로부터 보호합니다.
또한 F5는 조직의 제로 트러스트 배포 전략에 맞춰 자체 관리형, 서비스형 또는 Silverline 및 Shape Security를 통한 완전 관리형 서비스 형태로 보안 솔루션을 제공합니다.
