제로 트러스트 운영 - 2단계 및 3단계: 집중할 제로 트러스트 기둥을 결정하고 정확한 제어를 지정하기

이 블로그 시리즈는 3월에 작성한 "제로 트러스트는 어렵지 않습니다... 실용적이라면"이라는 포스팅에서 소개한 아이디어를 확장한 것입니다.

해당 게시물에서 제로 트러스트를 달성하기 위한 6가지 단계에 대해 설명했습니다. 여기에서는 크고 작은 조직의 마이크로세분화 실무자가 프로젝트를 더 성공적으로 수행하기 위해 사용할 수 있는 견고한 프레임워크를 제공하기 위해 설명한 6단계 중 2단계에 대해 더 자세히 살펴보겠습니다. 시작하기 전에 각 단계를 시각적으로 표현한 그림이 있습니다:

2단계: 집중할 제로 트러스트 기둥 결정하기

이 시리즈의 1부에서는 '보호할 대상 식별하기'를 살펴보면서 장기적인 목표인 전사적인 제로 트러스트 도입을 달성하려면 소규모로 시작하여 아래 나열된 3가지 기준 중 2개 이상에 이상적으로 부합하는 후보 애플리케이션을 찾는 것이 현명하다고 권장했습니다:

• 규정 준수 또는 규제 요건, 해결해야 하는 감사 결과, 침해에 대한 대응 등 제로 트러스트 보안 원칙을 채택할 강력한 동기가 있어야 합니다.
• 중요한 애플리케이션으로 표시됩니다.
• 기꺼이 기니피그가 되겠다는 의지가 있어야 합니다.

조직을 돌아다니다가 PCI 데이터를 처리하는 애플리케이션을 찾았고, 따라서 PCI-DSS 요구 사항을 준수해야 한다고 가정해 보겠습니다. 또한 '과도한 네트워크 액세스'에 대한 감사 결과가 고객 결제 시스템에서 중요한 요소로 표시되어 있었고, 많은 설득 끝에 애플리케이션 팀은 애플리케이션을 적절히 보호하기 위해 제로 트러스트 프레임워크를 채택하는 데 저와 협력하기로 동의했습니다. 선택 기준 목록으로 빠르게 돌아가면 제가 선택한 애플리케이션이 3가지 요건을 모두 충족하는 것을 확인할 수 있습니다.

이제 이 반복 작업에서 어떤 제로 트러스트 기둥에 집중할지 결정하는 단계로 넘어가겠습니다:

이 단계에서 보호할 애플리케이션을 식별할 때 매우 집중적인 접근 방식을 취해야 하는 것과 마찬가지로, 제로 트러스트 자체에 접근하는 방법을 결정할 때도 비슷한 태도를 적용해야 합니다. 한 주기에 모든 기둥을 해결하려는 시도는 다양한 제어 및 기술을 구현해야 하므로 비교적 신속하고 측정 가능한 진전을 이루려는 권장 목표를 달성하는 데 방해가 될 수 있으므로 야심차고 비현실적입니다.

포레스터는 실제로 제로 트러스트 성숙도 모델 평가 도구를 제공하여 실무자가 조직의 제로 트러스트 도입에 있어 부족한 부분을 파악할 수 있도록 지원하며, 이러한 결과는 집중해야 할 특정 제로 트러스트 요소를 식별하는 데 사용할 수 있습니다. 제가 선택한 애플리케이션에 대해 이 평가를 실행한 결과 애플리케이션을 실행하는 워크로드 보호에 상당한 격차가 있음을 확인했으며, 특히 네트워크 전체에서 쉽게 액세스할 수 있다는 점을 강조했다고 가정해 보겠습니다. 이렇게 하면 애플리케이션을 호스팅하는 워크로드를 보호하는 데 이 특정 반복을 집중하여 이 영역에 대한 탁월한 가시성을 확보할 수 있습니다.

3단계: 정확한 제어 지정

워크로드 보호에는 OS 및 설치된 애플리케이션의 효과적인 보안 및 패치 적용, 안티바이러스, EDR, 파일 무결성 모니터링, 호스트 기반 방화벽 등의 호스트 기반 위협 보호 제어 등 다양한 보안 기능이 포함되지만 이에 국한되지 않습니다.

제로 트러스트 성숙도 평가의 2단계에서는 애플리케이션 워크로드에 대한 과도한 네트워크 액세스가 제로 트러스트의 가장 중요한 격차로 확인되었으므로 애플리케이션의 제로 트러스트 여정을 한 단계 더 발전시키기 위해 적용할 보안 제어로 호스트 기반 방화벽 또는 더 일반적으로 마이크로 세분화에 집중할 것을 권장합니다.

일루미오에 합류하기 전 실무자로서 직접 경험한 바에 따르면, 마이크로 세분화를 효과적으로 구현하려면 애플리케이션의 업스트림 및 다운스트림 종속성에 대한 탁월한 가시성이 있어야 워크로드를 보호할 최소 권한, 화이트리스트 기반 제로 트러스트 정책을 구축하고 검증할 수 있는 올바른 정보를 확보할 수 있습니다.

따라서 워크로드 보호와 이와 관련된 가시성 및 분석에 집중하고 이 단계에서는 마이크로 세분화제어만 구축할 계획임을 더욱 명확히 했다면 이제 이 비전을 실현하는 데 필요한 입력 데이터를 식별할 준비가 된 것입니다. 이 시리즈의 다음 편에서는 바로 이 부분을 집중적으로 다룰 예정입니다.

다음 포스팅에서 더 자세히 알아보고 싶으신가요? 페이지 방문하기 에서 마이크로 세분화를 통해 제로 트러스트 전략을 운영하는 방법에 대해 자세히 알아보세요.