BIG-IP 제로 트러스트 액세스(이전 명칭: Access Policy Manager(APM)): 제로 트러스트 아키텍처로 향하는 게이트웨이
이전에 Access Policy Manager로 불렸던 F5 BIG-IP Zero Trust Access는 ID 인식 프록시(IAP)를 지원하여 제로 트러스트 애플리케이션 액세스를 제공합니다.
가상 사설망 보안 강화
원격 근무가 이제 보편화됨에 따라 조직은 애플리케이션이나 사용자의 위치와 관계없이 애플리케이션과 리소스에 대한 안전하고 승인된 액세스를 제공해야 합니다. 많은 조직이 애플리케이션과 리소스에 대한 원격 사용자의 액세스를 보호하기 위해 가상 사설망(VPN)에 의존해 왔습니다. 하지만 VPN은 안전한 사용자 액세스를 지원하는 한편, 관리와 사용이 번거로울 수 있습니다.
사용자가 VPN을 통해 네트워크의 애플리케이션에 접속한 다음 퍼블릭 클라우드 또는 SaaS(Software-as-a-Service) 애플리케이션에 접속하면, 클라우드 네이티브 또는 SaaS 앱의 데이터와 코드가 네트워크를 거쳐 사용자에게 전달됩니다. 이로 인해 VPN 내에 병목 현상이 발생할 수 있으며, 지연 시간이 늘어나 사용자 경험과 생산성에 부정적인 영향을 줄 수 있습니다. 게다가 VPN은 해킹될 수도 있습니다. 특히 사용자가 공용 Wi-Fi를 통해 원격지의 리소스와 애플리케이션에 접속할 때 VPN이 교묘한 중간자(MitM) 공격의 표적이 된 사례가 많습니다. 재택근무자의 홈 라우터가 감염되어 MitM 공격과 데이터 탈취가 발생할 수도 있습니다. 또한 VPN 접속은 이제는 구식이 된 ‘성과 해자’ 방식의 보안 모델을 사용합니다. 즉, 사용자가 올바른 자격 증명을 보유하고 있으면 네트워크 내에서 권한이 부여된 모든 애플리케이션과 리소스에 접속할 수 있습니다. 편리하기는 하지만 이러한 접속 방식은 조직에 문제를 일으킬 수 있습니다. 신뢰할 수 있는 알려진 사용자조차 자신도 모르게 의도치 않은 내부자 위협이 될 수 있습니다.
공격자는 조직의 VPN 로그인에 크리덴셜 스터핑 공격을 감행하여 네트워크, 애플리케이션 및 데이터에 대한 액세스 권한을 얻을 수 있습니다. 데이터를 훔치고, 네트워크에 추가 악성 코드를 설치하며, 사용자 계정을 탈취해 공격을 실행할 수 있습니다. 또한 네트워크 내에서 수평 이동하여 다른 사용자를 감염시키거나 더 많은 데이터를 빼낼 수도 있습니다. 네트워크의 상위 또는 하위 단계로 이동해 공급망을 공격할 수도 있습니다. 이는 조직과 사용자뿐만 아니라 파트너와 공급업체에도 피해를 줄 수 있습니다.
제로 트러스트 아키텍처의 이점
많은 조직이 제로 트러스트 아키텍처를 도입하고 있습니다. 제로 트러스트는 공격자가 이미 네트워크에 침투해 숨어 있다가 공격을 개시할 기회를 노리고 있다고 전제하고 보안에 접근하도록 합니다. 제로 트러스트 보안 접근 방식은 정해진 네트워크 경계 안에 신뢰할 수 있는 내부자가 존재한다는 개념을 배제합니다. 수십 년간 사용되어 온 ‘성과 해자’ 방식의 보안과 달리, 안전한 네트워크 경계가 제한적이거나 아예 없다고 가정합니다. 또한 애플리케이션이 퍼블릭 클라우드로 이전되거나 SaaS 애플리케이션으로 대체되고, 이제 AI 에이전트와 비인간 ID(NHI)까지 등장하면서 제로 트러스트 접근 방식은 그 어느 때보다 높은 연관성과 적용 가능성, 시급성을 갖게 되었습니다.
제로 트러스트의 원칙은 “절대 신뢰하지 말고, 항상 검증하라”입니다. 사용자가 이미 인증 및 권한 부여를 거쳐 애플리케이션과 리소스에 대한 액세스 권한을 얻었더라도 신뢰해서는 안 됩니다. 사용자 ID, 디바이스 유형과 무결성, 위치, 액세스를 요청하는 애플리케이션과 리소스 등을 항상 검증하고 면밀히 확인해야 합니다. 또한 사용자가 액세스를 요청하는 시점뿐만 아니라 애플리케이션이나 리소스에 액세스하는 내내, 그리고 이후의 모든 액세스 요청과 시도마다 검증해야 합니다. 제로 트러스트 접근 방식은 사용자 액세스에 최소 권한 원칙을 적용하는 것을 의미합니다. 즉, 사용자가 권한을 부여받은 애플리케이션과 리소스에만 액세스하도록 허용하고, 한 번에 하나의 애플리케이션이나 리소스에만 액세스하도록 제한하는 것입니다.
제로 트러스트 아키텍처의 핵심 원칙은 ID와 컨텍스트입니다. 신뢰할 수 있고 검증 가능한 ID 소스를 활용하여 사용자가 자신이 주장하는 본인이 맞는지 항상 확인해야 합니다. 또한 올바른 사용자만이 올바른 시간에, 올바른 디바이스와 구성으로, 올바른 위치에서 올바른 애플리케이션에 안전하게 액세스하도록 보장해야 합니다.
“제로 트러스트 아키텍처의 핵심 원칙은 ID와 컨텍스트입니다.”
Identity-Aware Proxy: 제로 트러스트로 향하는 게이트웨이
Identity Aware Proxy(IAP)는 ID 및 컨텍스트 인식을 지원하고 제공합니다. Identity Aware Proxy는 사용자 인증 및 권한 부여에 세분화된 방식을 적용하여 특정 애플리케이션에 안전하게 액세스할 수 있도록 합니다. IAP는 요청별로만 애플리케이션 액세스를 허용하며, 세션 기반 액세스를 적용하는 VPN의 광범위한 액세스 방식과는 매우 다릅니다. 즉, 사용자가 액세스 권한을 부여받은 모든 애플리케이션이나 리소스에 접근하도록 허용하는 대신, 권한이 있는 특정 애플리케이션이나 리소스로 액세스를 제한합니다. 권한 부여를 중앙 집중화하면 애플리케이션 수준의 액세스 제어를 구현할 수 있습니다.
IAP에서는 컨텍스트가 매우 중요합니다. 컨텍스트를 활용하면 사용자 ID, 기기 무결성, 사용자 위치 등의 컨텍스트 속성을 기반으로 세분화된 애플리케이션 액세스 정책을 만들고 적용할 수 있습니다. IAP는 네트워크 계층에서 적용되는 규칙이 아니라 애플리케이션 수준의 액세스 제어를 사용합니다. 구성된 정책에는 포트와 IP 주소가 아닌 사용자 및 애플리케이션의 의도와 컨텍스트가 반영됩니다. 마지막으로 IAP는 사용자와 기기를 확인하고 허용된 액세스 범위를 엄격하게 적용하기 위해 신뢰할 수 있는 강력한 ID 기반을 필요로 합니다.
Identity Aware Proxy는 F5 BIG-IP Zero Trust Access(이전 명칭: BIG-IP Access Policy Manager(APM))의 기반입니다. BIG-IP Zero Trust Access는 Identity Aware Proxy를 활용하여 모든 애플리케이션 액세스 요청에 Zero Trust 모델 검증을 적용합니다. 특정 애플리케이션에 인증 및 권한 부여를 거친 안전한 액세스를 제공하기 위해 F5의 업계 최고 수준 액세스 프록시를 활용합니다. BIG-IP Zero Trust Access는 사용자 ID 및 권한 부여를 중앙에서 관리합니다. 권한 부여는 최소 권한 액세스 원칙을 기반으로 합니다. BIG-IP Zero Trust Access는 IAP 접근 방식을 통해 애플리케이션 액세스 요청을 검사하고 종료하며 권한을 부여할 수 있습니다. Zero Trust 환경에 필요한 컨텍스트 인식 기능을 구현하려면 매우 세분화된 권한 부여 정책을 개발하고 적용해야 합니다. BIG-IP Zero Trust Access는 IAP 지원을 통해 바로 이러한 기능을 제공합니다. BIG-IP Zero Trust Access 내에서 사용자 ID를 확인하고, 디바이스의 적합성과 보안 상태를 점검하며, 사용자 권한을 검증하는 정책을 만들 수 있습니다.
ID 및 컨텍스트 인식 정책을 생성하여 다음을 수행할 수도 있습니다:
- 애플리케이션의 무결성과 민감도 확인
- 시간 및 날짜에 대한 접근성을 확인합니다
- 사용자의 위치가 부정확하거나 부적절하거나 안전하지 않은 것으로 판단되는 경우 액세스를 제한하거나 중단합니다
- 사용자의 위치나 액세스를 요청하는 기기, 애플리케이션 또는 파일의 민감도에 따라 필요한 경우 다단계 인증(MFA)을 비롯한 추가 인증 수단을 요청합니다. 이를 일반적으로 단계적 강화 인증이라고 합니다.
- 사용자에 대한 애플리케이션 액세스 정책의 일부로 다른 API 기반 보안 및 위험 소스의 데이터를 통합합니다
사용자를 인증하고 애플리케이션 액세스를 승인하기 전에 디바이스가 적합하고 안전한지 확인하기 위해 BIG-IP Zero Trust Access는 통합 엔드포인트 관리(UEM), 엔터프라이즈 모빌리티 관리(EMM), 모바일 위협 방어(MTD), 확장 탐지 및 대응(XDR) 등을 제공하는 기존 주요 공급업체의 디바이스 보안 상태 점검 기능을 활용할 수 있습니다. 이는 인증 시 디바이스 무결성을 단순히 확인하는 수준을 넘어섭니다. 지속적인 디바이스 상태 점검을 활성화하여 사용자의 애플리케이션 액세스 전반에 걸쳐 사용자 디바이스가 엔드포인트 보안 정책을 충족할 뿐만 아니라 지속적으로 준수하도록 보장할 수 있습니다. 또한 BIG-IP Zero Trust Access가 디바이스 무결성의 변화를 감지하면 사용자의 애플리케이션 액세스를 제한하거나 차단하여 잠재적인 공격이 시작되기 전에 이를 방지하거나 완전히 차단할 수 있습니다.
Identity Aware Proxy는 원격 근무자의 애플리케이션 액세스를 간소화하는 동시에 애플리케이션 접근성을 개선하고 안전하게 보호합니다. VPN 액세스는 사용자가 권한을 부여받은 모든 애플리케이션이나 리소스에 액세스할 수 있도록 허용하므로 제로 트러스트 모델을 준수하지 않습니다. 반면 BIG-IP Zero Trust Access를 사용하면 조직은 사용자의 애플리케이션 액세스 요청을 특정 애플리케이션으로 직접 제한하고 암호화를 사용하여 액세스를 보호할 수 있습니다.
제로 트러스트를 위한 ID 브리지
하지만 진정한 제로 트러스트 보안 접근 방식을 구현하려면 사용자가 접근 권한을 부여받을 수 있는 모든 애플리케이션에 대한 접근을 보호해야 합니다. 여기에는 퍼블릭 클라우드 기반이 아니거나 서비스형 소프트웨어(SaaS)로 제공되지 않는 애플리케이션도 포함됩니다. 또한 서비스형 ID(IDaaS)와 같은 클라우드 기반 ID와 연동되지 않거나 연동할 수 없고 Kerberos, 헤더 기반 인증 등의 기존 인증 방식만 지원하는 레거시 또는 맞춤형 애플리케이션까지 포함해야 합니다. 이러한 애플리케이션은 SAML(Security Assertion Markup Language), OpenID Connect(OIDC), OAuth와 같은 최신 인증 및 권한 부여 프로토콜을 지원하지 못합니다. ID 페더레이션, 싱글 사인온(SSO)은 물론 다단계 인증(MFA)조차 지원할 수 없습니다.
BIG-IP Zero Trust Access는 이 문제를 해결합니다. 선도적인 IDaaS 제공업체와 긴밀하게 연동되는 BIG-IP Zero Trust Access는 최신 인증과 기존 인증 간의 ID 격차를 해소합니다. BIG-IP Zero Trust Access는 기존 및 맞춤형 애플리케이션에서 ID 페더레이션과 SSO를 지원하도록 보장합니다. 이를 통해 액세스 제어를 중앙 집중화하여 애플리케이션 액세스를 간소화함으로써 사용자 경험을 개선할 뿐만 아니라, 안전하고 신뢰할 수 있는 ID 소스를 확보할 수 있습니다. 모든 애플리케이션에 MFA를 적용함으로써 BIG-IP Zero Trust Access는 부적절한 액세스로부터 모든 애플리케이션을 보호하고, 적절한 애플리케이션 액세스를 보장하는 추가 보안 계층을 제공합니다. BIG-IP Zero Trust Access는 애플리케이션이 어디에 호스팅되어 있든 사용자 액세스를 관리하고 보호할 수 있는 단일 중앙 집중식 제어 지점입니다.
“BIG-IP Zero Trust Access는 Identity Aware Proxy를 활용하여 모든 애플리케이션 액세스 요청에 대해 제로 트러스트 모델 검증을 수행할 수 있도록 합니다.”
결론
F5 BIG-IP Zero Trust Access는 Identity Aware Proxy 지원을 통해 제로 트러스트 애플리케이션 액세스를 배포할 수 있도록 합니다. BIG-IP Zero Trust Access는 요청별 애플리케이션 액세스를 제공하는 동시에, 위치와 인증 및 권한 부여 방식에 관계없이 모든 애플리케이션에 대한 액세스를 보호하고 관리합니다. 또한 F5를 대표하는 확장성과 안정성을 제공하며, 업계 최고 수준인 F5의 풀 프록시 아키텍처를 활용합니다.
Identity Aware Proxy를 지원하는 BIG-IP Zero Trust Access는 인프라 비용을 절감하고 애플리케이션 보안을 강화하며 사용자 및 관리자 경험을 개선합니다.
“BIG-IP Zero Trust Access는 애플리케이션의 위치와 인증 및 권한 부여 방식에 관계없이 모든 애플리케이션에 대한 액세스를 보호하고 관리하는 동시에 요청별 애플리케이션 액세스를 제공합니다.”
주요 이점
제로 트러스트 애플리케이션 액세스
Identity Aware Proxy(IAP)는 ID 인식 및 세분화된 컨텍스트를 기반으로 애플리케이션 액세스에 제로 트러스트 모델 검증을 적용하여, VPN 없이도 모든 애플리케이션 액세스 요청을 안전하게 보호합니다.
모든 애플리케이션에 대한 액세스 간소화
SAML(Security Assertion Markup Language), OAuth 및 OpenID Connect(OIDC)와 같은 최신 인증을 지원하지 못하는 애플리케이션도 SSO(Single Sign-On)를 통해 한 번의 로그인으로 온프레미스 및 클라우드 앱에 안전하게 액세스할 수 있습니다.
안전한 인증 및 권한 부여 간소화
SAML, OAuth 및 OIDC를 활용하는 적응형 ID 페더레이션, SSO, 다단계 인증(MFA)을 통해 모든 애플리케이션에서 원활하고 안전한 사용자 경험을 제공할 수 있습니다.
주요 기능
Identity-Aware Proxy(IAP) 지원
제로 트러스트 운영 모델을 제공하여 모든 애플리케이션에 대한 제로 트러스트 액세스를 지원하고, 수평 이동을 제한하며, 악의적 행위자의 직접적인 접근으로부터 애플리케이션을 보호합니다.
범용 인증 변환기
인증 방식을 변환하는 역할을 하여, 레거시 인증 방식을 사용하고 SAML이나 OAuth 같은 최신 인증을 지원하지 못하는 애플리케이션에서도 SSO를 사용할 수 있도록 합니다.
기존 솔루션과의 원활한 통합
온프레미스 및 서비스형 ID(IDaaS) 제품을 비롯해 모바일 기기 관리(MDM), 엔터프라이즈 모빌리티 관리(EMM), SSO, MFA, 기기 검사 등을 위한 주요 솔루션과 기존 도구의 통합을 간소화합니다.