구조화된 정책 제어로 올바른 세분화 달성하기

궁극적으로 제로 트러스트 세분화는 보안 규칙을 만들고 적용하는 것입니다.

제로 트러스트 세분화는 신중하게 정의된 액세스 정책을 수립하여 IT 시스템과 환경 전반으로 침해가 확산되는 것을 방지합니다.

모든 조직에서 공격자가 하나 이상의 엔드포인트 디바이스를 침해하는 것은 피할 수 없는 일입니다. 그러나 조직에 제로 트러스트 세분화 보안이 적용되어 있는 경우 해당 엔드포인트가 노트북, 데스크톱, 서버 또는 가상 머신이든 상관없이 침해는 해당 초기 엔드포인트에국한될 수 있습니다.

세분화 정책은 멀웨어가 다른 미션 크리티컬 서버 및 데이터 센터에 자신을 복사하거나 중요한 데이터를 찾기 위해 네트워크를 탐색하는 데 필요한 네트워크 포트 및 프로토콜에 액세스하는 것을 방지합니다. 세분화는 유리 밑의 파리처럼 공격을 제자리에 가둡니다.

제로 트러스트 세분화: 두 가지 접근 방식

규칙 엔진은 세분화 규칙의 구문을 정의하는 소프트웨어입니다. 또한 규칙이 정의되면 해당 규칙을 적용합니다. 일반적으로 세분화 소프트웨어 공급업체는 고객을 위한 규칙 엔진을 설계할 때 두 가지 다른 접근 방식을 취합니다.

첫 번째 접근 방식은 고객에게 최대한의 유연성을 제공하여 조직 전반의 이해관계자가 원하는 카테고리나 레이블로 규칙을 정의할 수 있도록 하는 것입니다.

다른 접근 방식은 구조화된 정책 제어라는 설계 철학을 채택하는 것입니다. 이 접근 방식은 세분화 규칙에 사용할 수 있는 레이블의 수를 제한합니다. 또한 IT 보안 전문가로 구성된 중앙 집중식 팀의 통제 하에 규칙 제정이 이루어집니다. 이 접근 방식을 채택하는 공급업체는 결국 개방형 복잡성보다 단순성이 공격을 줄이는 데 더 효과적일 것이라고 믿습니다.

이제 이러한 접근 방식을 살펴보고 실제 배포 시 각 접근 방식의 장점과 문제점을 비교해 보겠습니다.

세분화에 대한 최대한의 유연성 접근 방식

모든 조직에서 보안 요구 사항은 부서마다, 사용 사례마다 다를 수 있습니다. 애플리케이션마다 다른 규칙이 필요합니다. 동일한 애플리케이션이라도 실행 중인 데이터 센터, 실행 중인 소프트웨어 버전, 의존하는 리소스 등에 따라 다른 규칙이 적용될 수 있습니다.

많은 세분화 공급업체는 다양한 사용자와 애플리케이션 소유자가 자신의 전문 분야 또는 책임 영역에 대한 자체 규칙을 설정할 수 있도록 함으로써 이러한 유연성 요구를 해결합니다.

일반적으로 이러한 공급업체는 세 가지 유형의 규칙을 지원합니다:

• "특정 경로를 따라 트래픽 이동을 방지하기 위한 '차단' 규칙
• "특정 유형의 트래픽이 경로를 이동할 수 있도록 권한을 부여하는 '허용' 규칙
• "특정 상황에서 트래픽을 차단하거나 허용하기 위해 다른 규칙을 선점하기 위한 '재정의' 규칙

높은 수준에서 보면 유연한 규칙 제정에 대한 이러한 분산 접근 방식은 유망해 보입니다. 결국, IT 자산 소유자는 특정 IT 자산 또는 관련 자산 그룹에 가장 적합한 세분화 규칙을 설정하는 데 필요한 도메인 지식을 갖추고 있어야 합니다. 또한 차단, 허용, 재정의의 세 가지 유형의 규칙을 제공함으로써 IT 보안 팀과 비즈니스 이해관계자가 IT 자산을 보호하기 위한 적절한 보안 정책을 정의하는 데 필요한 정밀성을 확보할 수 있을 것으로 보입니다.

안타깝게도 대부분의 조직, 특히 클라우드,온프레미스 및 엔드포인트 환경에 수만 또는 수십만 개의 워크로드가 분산되어 있는 대규모 조직에서 이러한 접근 방식은 곧 "황야의 서막"이 되고 맙니다.

물론 조직 전반의 이해관계자들은 소중한 IT 자산을 보호하기 위한 규칙을 정의하고 있습니다. 그러나 이는 결국 효과적으로 관리하기에는 너무 다양한 종류의 규칙이 너무 많기 때문에 혼란을 초래합니다.

규칙 제정이 분산되어 있고 조정되지 않기 때문에 규칙 모음에는 충돌과 누락이 발생하여 공격자가 빠져나갈 수 있는 기회가 생깁니다. 중앙의 일관된 거버넌스는 사실상 불가능합니다.

이러한 '와일드 웨스트' 상황을 만드는 요인은 다음과 같습니다:

• 책임 영역이 겹치는 경우가 많습니다.
  예를 들어 한 사람은 비즈니스 애플리케이션을 담당하고 다른 사람은 데이터베이스를 담당할 수 있습니다. 애플리케이션은 데이터베이스에 의존할 수 있지만 애플리케이션과 데이터베이스에 대해 정의된 액세스 규칙은 독립적으로 개발됩니다. 그 결과, 특히 다른 애플리케이션에서도 데이터베이스를 사용하는 경우 두 규칙 세트가 일관되지 않을 수 있습니다.
  
  또 다른 예입니다: 한 사람이 회사의 고객 관계 관리(CRM) 애플리케이션을 담당하고 있습니다. 또 다른 담당자는 CRM 애플리케이션이 실행되고 있는 회사의 뉴욕 데이터 센터를 담당하고 있습니다. 두 사람이 보안 철학에 동의하더라도 세분화 규칙을 독립적으로 구현하는 것이 완벽하게 함께 작동할 가능성은 거의 없습니다. 수십, 수백 개의 규칙을 독립적이고 효과적으로 작성하기에는 IP 주소, 포트 및 프로토콜과 관련된 복잡성이 너무 큽니다.
   
• 세분화 제어는 중앙 집중식이 아니라 분산되어 있으므로 테스트가 거의 발생하지 않습니다.
  제어권이 많은 이해관계자에게 분산되어 있기 때문에 IT 조직이 모든 세분화 규칙을 활성화하기 전에 테스트하기는 어렵습니다. 테스트가 부족하면 오류와 감독 소홀의 위험이 높아집니다. 심지어 비즈니스에 중요한 트래픽이 실수로 차단될 수도 있습니다.
   
• 무제한 또는 많은 수의 레이블을 지원하면 혼란이 발생할 수 있습니다.
  이러한 방식으로 제어권을 분배하는 세분화 제품은 일반적으로 고객이 직접 세분화를 위한 카테고리 또는 레이블을 정의할 수 있습니다.
  
  이러한 유연성을 활용하여 고객은 곧 20개, 30개 또는 그 이상의 세분화 정책을 위한 레이블을 보유하게 됩니다. 예를 들어, 고객은 PCI 규정 준수와 관련된 모든 IT 자산에 'PCI 규정 준수' 레이블을 붙일 수 있습니다. 또한 특정 위치의 모든 자산에 위치 이름을 레이블로 지정하거나 사업부, 애플리케이션, 환경(예: 테스트 대 프로덕션), 추가 정부 규정(예: GDPR) 등에 대한 레이블을 지정할 수도 있습니다.
  
  이론적으로 이러한 라벨의 확산은 정확성과 가시성을 제공합니다. 실제로는 너무 복잡해서 효과적으로 관리하기 어려운 보안 모델로 이어집니다.
  
  팀에서는 규칙 순서를 지정하여 이러한 혼란을 줄일 수 있습니다. 예를 들어, 데이터 센터의 규칙을 먼저 적용하고, 애플리케이션의 규칙을 다음으로 적용하며, 규정이나 사업부에 대한 규칙을 마지막으로 적용하도록 규칙 집합을 구조화할 수 있습니다. 하지만 실제로는 이러한 구조로 인해 정책이 미로처럼 복잡해져 특정 조건에서 어떤 규칙이 적용되는지 알기가 매우 어렵습니다.
   
• 분산형 규칙은 직원이 이직할 때 관리하기가 더 어렵습니다.
  분산된 규칙 만들기의 또 다른 문제점은 조직의 IT 및 보안 팀이 어떤 규칙이 왜 만들어졌는지 추적하기가 더 어려워진다는 점입니다.
  
  애플리케이션 소유자와 같은 규칙 작성자가 세분화 규칙에 대한 생각을 문서화하지 않았을 수 있습니다. 해당 직원이 퇴사하면 중요한 보안 및 운영 지식이 손실됩니다.

이 매우 유연한 접근 방식의 가장 큰 문제점은 무엇일까요? 공격자가 악용할 수 있는 틈새를 남깁니다. 랜섬웨어는 조직이 네트워크를 세분화하는 데 많은 시간과 비용, 노력을 투자했음에도 불구하고 여전히 침투하고 있습니다.

세분화에 대한 구조화된 정책 제어 접근 방식

세분화 규칙을 만드는 "최대 유연성" 접근 방식과 달리, 세분화 공급업체는 만들 수 있는 레이블 수를 제한할 수 있습니다.

허용되는 레이블의 수는 역할, 애플리케이션, 환경 및 위치만 포함하는 4개로 제한될 수 있습니다. 또는 그 숫자가 조금 더 높을 수도 있지만 위에서 설명한 최대 유연성 접근 방식에서 허용되는 숫자만큼 높지는 않습니다.

실제로 레이블을 제한하는 것이 효과적이라는 것이 밝혀졌습니다. 실제로 제로 트러스트 세분화를 성공적으로 배포한 가장 큰 규모의 기업들은 모두 이 접근 방식을 채택하여 레이블을 10개 이하로 제한하고 있으며, 이러한 정책은 매우 복잡한 하이브리드 IT 환경을 보호하고 있습니다.

구조화된 정책 제어 접근 방식이 효과적인 이유는 다음과 같습니다:

• 제한된 레이블은 중앙 집중화와 조정을 사전에 강제합니다.
  세분화 정책 관리가 제대로 작동하려면 조직은 네트워크 트래픽을 분석하고 시행할 세분화 정책을 공동으로 개발하는 중앙 팀이 필요합니다.
  
  애플리케이션 소유자는 데이터베이스 소유자와 협력하고, 데이터베이스 소유자는 다시 방화벽 관리자와 협력합니다. 승인된 트래픽 패턴에 대한 공유된 분석과 이해를 바탕으로 작업하기 때문에 필요한 보안을 제공하는 일관되고 상호 일관된 세분화 규칙을 정의할 수 있습니다.
   
• 구조화된 정책 제어가 제공할 수 있는 포괄적인 네트워크 가시성을 기반으로 합니다.
  다양한 애플리케이션, 데이터베이스 및 기타 리소스 전반에서 규칙을 조정하려면 IT 및 보안 팀은 조직의 네트워크 트래픽에 대한 포괄적인 가시성이 필요합니다. 이렇게 하면 애플리케이션과 서비스가 의존하는 합법적인 트래픽을 식별할 수 있습니다.
  
  필수 트래픽이 식별되면 다른 모든 트래픽을 차단하는 정책을 작성하기가 더 쉬워집니다. 또한 다양한 이해관계자가 어떤 트래픽을 허용할지 쉽게 합의할 수 있습니다. 이해관계자가 네트워크 사용량에 대한 공유된 이해를 바탕으로 작업할 수 있으면 협업이 간단해집니다.
   
• 제로 트러스트 보안을 위해 기본적으로 모든 트래픽을 거부하여 더욱 간소화합니다.
  이해 관계자에게 트래픽 차단, 트래픽 허용 또는 이전 세분화 규칙 재정의 옵션을 제공하는 대신 모든 시스템 또는 환경에 대해 기본적으로 모든 트래픽을 차단하는 것으로 구조화된 정책 접근 방식을 시작할 수 있습니다. 그런 다음 조직 전체의 모든 합법적인 트래픽을 보여주는 시각화 맵에서 작업하여 IT 및 보안 팀은 애플리케이션, 데이터베이스 또는 서비스에 필요한 트래픽만 허용하는 정책을 작성할 수 있습니다.
  
  구조화된 정책 제어 공급업체는 기본적으로 아무것도 신뢰하지 않음으로써 미국 국립표준기술연구소 (NIST), 미국 백악관의 국가 사이버 보안 개선에 관한 행정 명령 및 기타 IT 보안 당국에서 권장하는 엄격한 제로 트러스트 보안을 제공합니다.
   
• 규칙 제정이 중앙 집중식으로 이루어지므로 IT 및 보안 팀은 규칙을 적용하기 전에 규칙을 테스트하고 매핑할 수 있습니다.
  규칙 제정에 대한 중앙 집중식 접근 방식의 또 다른 장점은 규칙에 대한 일관된 모델이 하나이므로 전체 모델을 테스트 모드로 실행할 수 있다는 점입니다. 또한 규칙이 구현되기 전에 워크로드 간의 커뮤니케이션 경로를 시각적으로 매핑하여 잠재적인 문제를 팀에 알릴 수 있습니다. 이를 통해 IT 및 보안 팀은 규칙을 적용하기 전에 문제를 해결하고 미세 조정할 수 있습니다.

결론 결론: 유연성 대 확장성

대규모로 규칙을 구현할 때는 이 두 가지 접근 방식 사이에서 선택의 기로에 서게 됩니다.

소규모 조직에서도 유연성이 높은 접근 방식은 금방 지탱할 수 없게 됩니다. 독립적으로 개발된 수많은 규칙 집합으로 인해 보안 공백은 필연적으로 존재할 수밖에 없습니다. 통합된 조정이 없기 때문에 공격이 통과하거나 선의의 보안 규칙이 실수로 미션 크리티컬 트래픽을 차단하는 경우가 있습니다.

반면, 설계 규율을 미리 적용함으로써 세분화에 대한 구조화된 정책 제어 접근 방식은 IT 및 보안 팀이 스타트업부터 가장 크고 복잡한 글로벌 네트워크에 이르기까지 모든 종류의 IT 환경을 간단하고 효율적으로 보호할 수 있도록 지원합니다.

제로 트러스트 세분화를 위한 Illumio 솔루션에 대해 자세히 알아보세요:

• 제로 트러스트 영향 보고서를 다운로드하여 조직이 제로 트러스트에 접근하는 방식에 대한 ESG 연구를 알아보세요.
• 심층 가이드 ' 5단계로 마이크로 세분화 전략을 구축하는 방법'을 다운로드하세요.
• Forrester 뉴 웨이브 무료 사본을 받아보세요: 마이크로세분화, 2022년 1분기 보고서에서 Illumio를 리더로 선정했습니다.
• 제로 트러스트 세분화 전문가와 무료 데모 및 상담을 예약하세요.