여러 면에서 지난 한 해는 코로나19 팬데믹, 경기 침체, 일자리 감축, 그리고 무엇보다 너무나 많은 인명 손실까지 연이어 악재가 닥친 시기였습니다. 다행히 미국 사회를 지탱하는 여러 체계는 이러한 난관에도 비교적 강한 회복력을 보여주었습니다. 같은 기간 동안 크고 작은 다양한 사이버 보안 사건이 발생했으며, 그중 일부는 특히 큰 주목을 받았습니다. SolarWinds 침해 사고는 사이버 보안 업계에 경종을 울렸습니다. 소프트웨어 공급망이 침해되면서 최초 피해자뿐 아니라 해당 소프트웨어를 사용하는 모든 기업과 연방 기관까지 영향을 받았기 때문입니다. IT 조직들은 여전히 이 공격으로 인한 피해를 체감하고 산정하고 있으며, 이러한 상황은 당분간 계속될 것입니다. 이 공격은 IT 업계 밖에서도 뉴스가 되었지만, 소비자가 직접 체감한 피해는 거의 없었습니다. 그러나 이 사건은 기술 업계 전반뿐 아니라 미국 국민에게 직접적인 영향을 미칠 공격의 전조였습니다. Colonial Pipeline 침해 사고는 우리 시스템이 얼마나 취약한지, 그리고 한 번의 공격이 미국 사회 전반에 얼마나 광범위한 혼란을 초래할 수 있는지를 여실히 보여주었습니다. 저도 지난 토요일에 주유할 곳을 찾아다녔으니까요…
5월 12일 자 국가 사이버 보안 개선에 관한 행정명령은 이러한 유형의 공격을 완화하기 위한 다각적인 접근 방식을 제시합니다. 아래에서 살펴보듯이 탐지, 보고, 적시에 보호 조치 적용, 궁극적인 위협 방어 중 어느 하나라도 제대로 이루어지지 않으면 연쇄적인 영향을 일으켜 위협을 성공적으로 저지할 수 있는지 여부를 좌우할 수 있습니다. 다시 말해, 공격자는 단 한 번만 성공하면 되지만 사이버 보안 전문가는 매번 성공해야 합니다.
제로 트러스트의 중요성
제로 트러스트라는 개념은 이미 오래전부터 존재해 왔습니다. 미국 연방정부는 주로 TIC 3.0 현대화 추진을 통해 제로 트러스트를 도입했으며, 이 추진의 핵심 기반은 제로 트러스트입니다. TIC 3.0 이니셔티브는 연방기관이 클라우드 서비스를 통해 연방 데이터와 서비스를 기관의 보안 경계 외부에 둘 수 있도록 해야 할 필요성에서 시작되었습니다. 그러나 클라우드 제공업체와 기관 간에 공유되는 민감한 데이터를 적절히 보호하는 수준은 허용 가능한 위험 기준에 미치지 못했으며, 최근의 행정명령에서도 이 문제를 지적하고 있습니다.
연방 정부는 최신 보안 위협에 지속적으로 대응하기 위해 파트너로부터 위협 데이터를 확보할 수 있어야 합니다. NIST는 SP 800-207을 통해 제로 트러스트가 연방 정부에 어떤 의미를 가져야 하는지 정립하는 데 있어 훌륭한 진전을 이루었습니다.
가시성이 그 어느 때보다 중요합니다
많은 정부 기관과 기업은 여전히 사이버 보안 조직 내의 사각지대로 인해 어려움을 겪고 있습니다. 공격이 보이지 않으면 이를 탐지하고 보고하며 완화할 수 없습니다. 모든 데이터 전송을 암호화해야 할 필요성이 커지면서, 전통적으로 안전한 내부 네트워크 영역으로 간주되던 곳까지 SSL/TLS 사용이 확산되어 가시성 문제가 더욱 심각해졌습니다. 또한 제로 트러스트 정책 시행 지점(PEP)이 액세스 허용 여부를 올바르게 판단하려면 필요한 모든 데이터를 확보해야 하므로, 제로 트러스트 패러다임이 제대로 작동하기 위해서는 가시성이 필수적입니다.
위협 인텔리전스의 보고, 모니터링 및 공유의 중요성
위협에 대한 가시성을 확보하는 것은 탐지에 필수적이며, 그다음으로는 위협 인텔리전스를 보고하고 모니터링하며 공유하는 역량이 중요합니다. 위협 인텔리전스를 적절히 공유하면 위협의 존재나 해당 위협이 초래하는 위험의 심각도를 확인할 수 있는 수단이 마련됩니다. 더욱 중요한 점은 사이버 보안 분석가가 새로운 위협을 정량화하는 데 필요한 모든 데이터를 확보할 수 있다는 것입니다.
위협 데이터의 통합 및 보고를 실현하기 위해 CDM과 같은 이니셔티브가 한동안 추진되어 왔습니다. 일부 프로세스와 위협 인텔리전스 수집은 요구되는 표준에 크게 미치지 못하며, 특히 일부 네트워크에는 여전히 상당한 사각지대가 존재합니다. 이는 사이버 보안 전반에 연쇄적인 영향을 미칩니다. 궁극적으로 사이버 보안 팀이 잠재적 위협을 가장 정확하게 평가하려면 클라이언트에서 애플리케이션에 이르는 모든 트랜잭션과 데이터를 파악할 수 있어야 합니다. 연방 기관 파트너 생태계에서는 위협 인텔리전스를 제약 없이 공유할 수 있어야 합니다. 위협 인텔리전스 공유는 소프트웨어 공급망 위협을 탐지하는 데에도 매우 중요합니다.
보안 민첩성의 중요성 증대
새로운 위협은 분명히 등장할 것이며, 이에 따라 사이버 보안 팀은 추가적인 보호 조치나 새로운 보호 조치를 도입해야 할 것입니다. 관건은 사이버 보안 팀이 얼마나 신속하게, 그리고 안전하면서도 업무 중단 없이 보호 조치를 적용할 수 있느냐입니다. 적절한 보호를 제공하려면 위협을 탐지하고 민첩하게 대응하는 역량이 이제 임무 수행에 필수적입니다. IT는 민첩성을 높이는 방향으로 큰 변화를 겪고 있습니다. 최신 애플리케이션을 더 적은 중단으로 신속하고 안전하게 제공하는 방식을 DevSecOps라고 합니다. 이러한 현대적인 개발 방식은 조직이 사이버 보안 보호 조치를 안전하고 업무 중단 없이 더욱 민첩하게 적용할 수 있도록 해줍니다.
Cloud Smart를 뒷받침하는 전략과 전술이 탄력을 받고 있습니다
클라우드 제공업체가 기본적으로 마련한 보안 조치 덕분에 온프레미스 보안을 클라우드 환경에 적용할 수 있게 되었으며, 이는 클라우드 도입을 촉진하는 원동력이 되었습니다. 하지만 클라우드 이용자는 데이터와 보안에 대한 통제권의 일부를 제공업체에 넘기면서도, 사이버 보안 측면에서 클라우드 제공업체가 ‘올바른 조치’를 취하고 있으리라 믿어야 하는 경우가 많습니다. 더욱 포괄적인 보안을 제공하려면 클라우드 제공업체와 기관 간의 정보 공유가 연방 파트너 생태계의 일부로 자리 잡아야 합니다.
이러한 각 테넌트는 더 높은 사이버 보안 표준을 충족해야 합니다. 최근 발표된 사이버 보안 행정명령과 관련된 보안 수준을 충족하고 그 이상을 달성하는 데 F5 Government Solutions가 어떻게 도움을 줄 수 있는지 여기에서 자세히 알아보세요.
Ryan Johnson, 솔루션 엔지니어링 매니저 – F5 미국 연방정부 솔루션
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.