[보안 기사 읽기] 제로 트러스트

http://www.datanet.co.kr/news/articleView.html?idxno=180161 

[제로 트러스트 이행 방안①] 사이버 위생으로 제로 트러스트 준비 - 데이터넷

데이터넷이라는 사이트에 한번쯤 읽어볼 만한 기사가 있어서 읽어 보았다.

연재성 기사이며, 현재? 4편까지 있다.

읽으면서 애매하게 알고 있거나 모르는 용어 혹은 정리하고 싶은 것들이 있어서 찾아서 정리해보고 싶었다.

 

1. 제로 트러스트

특별한 기술이라기보단 보안 모델이며, 시스템에 대해 어떤 접근 권한도 부여하지 않는 보안 전략이다.

쉽게 말하면, 신뢰하지 않고 항상 검증하는 보안 전략이다.

이걸 또 다른 말로 하면, 신뢰성이 입증되기 전까지는 어떤 디바이스, 사용자도 신뢰하지 않는 것이다.

조금 더 일반적인 비유로 하자면, 건물 출입시 자주 봤고 아는 사람이더라도 무조건 신원을 확인하는 것이다.

 

제안한 사람 : 존 킨더바그(애널리스트)

 

2. 제로 트러스트 원칙(NIST가 발표한 7가지 원칙)

1. 모든 데이터, 컴퓨팅 서비스는 자원이며 보호 대상이다.
2. 모든 통신은 내/외부망에 관계없이 동일한 보안 요구를 충족해야 한다.
3. 개별 엔터프라이즈 리소스에 대한 접근은 세션 별로 검증해 부여한다.
4. 액세스는 클라이언트 ID, 애플리케이션/서비스 및 요청 자산의 동적 정책에 따라 결정되며, 모든 단말기에 설치된 소프트웨어 버전, 네트워크 위치, 요청 시간 및 날짜, 이전에 관찰할 행동처럼 상세한 정보에 기반을 두어야 한다.
5. 기업은 모든 소유 자산 및 관련 자산의 무결성과 보안 상태를 계속 모니터링, 측정한다.
6. 모든 인증 및 권한 승인은 동적이며, 액세스를 허용하기 전 철저하게 적용한다.
7. 기업은 자산, 네트워크 인프라, 현재 통신 상태에 대한 가능한 많은 정보를 수집하고, 활용해 꾸준히 보안 상태를 개선한다.

 

제로 트러스트에서 더 깊이 보고 싶다면,

다른 곳에도 어마어마하게 정보도 많지만 MS에 올라와있는 정보가 맘에 들어 링크를 걸어둔다.

 

제로 트러스트 모델 - 최신 보안 아키텍처 | Microsoft Security

제로 트러스트 모델 - 최신 보안 아키텍처 | Microsoft Security

 

3. ZTNA

Zero Trust Network Access

VPN을 대체, 개선하기 위해 도입되었다.

MFA(Multi-Factor Authentication), IAM(Identity and Access Management), 접속 허가 제도 등을 사용하여 접근 권한을 통제하는 것이다.

내부 자산 접속에 대해 중심을 둔다.

 

4. UEM 솔루션

UEM은 중앙 집중적인 방식으로 모든 하드웨어를 하나의 전략으로 제어하는 것이다.

단일 플랫폼으로 다양한 디바이스와 PC를 관리할 수 있다.

 

5. BYOD

Bring Your Own Device

개인 소유의 디바이스를 업무에 활용하는 것을 말한다. 기업 임장에서는 시간과 공간에 구애를 받지 않고 업무를 할 수 있어 비용절감이 있다. 그렇기 때문에 보안 문제가 불안 요소이다.

 

8. 가트너

미국의 IT분야 리서치 기업이다. 설문 조사에서 높은 신뢰도로 힘이 좀 있다고 한다.

뭔가 궁금해서 회사 위치를 찾아봤다.

 

https://goo.gl/maps/vTmJrSSBAJz1JVJm9

41°01'51.0"N 73°33'01.1"W

 

 

뭐 알아야 할게 너무 많은 것 같다...

아래는 그 외에 한번 정리가 필요한 것.

7. CAASM(사이버 자산 공격표면 관리)

8. ASM(공격표면관리)

9. XEM

10. 사이버 위생