애플리케이션 중심 세계에서의 제로 트러스트

F5

제로 트러스트는 기업이 더 빠르게 성장하면서 보안을 강화할 수 있도록 지원하는 강력한 전략입니다. 새로운 개념은 아니지만 최근 몇 년간 많은 주목을 받아 왔습니다. 특히 전 세계 기업들이 코로나19 위기 속에서 운영 및 대응 방안을 고심하는 오늘날, 그 어느 때보다 관련성과 중요성이 커진 개념입니다. 제로 트러스트는 최근 제가 진행한 Agility 기조연설의 주제이기도 했으며, 디지털 혁신 이니셔티브에 속도를 내고 있는 모든 조직이 반드시 더 깊이 이해해야 할 핵심 개념입니다.

기존의 네트워크 경계(일명 ‘해자와 성’ 방식)를 보호하는 것만으로는 더 이상 충분하지 않습니다. 멀티클라우드 환경에 배포되는 애플리케이션이 늘어나고 모바일 인력이 증가하면서 네트워크 경계는 사실상 사라졌습니다.

제로 트러스트는 정해진 경계 내부에 신뢰할 수 있는 네트워크가 존재한다는 개념을 없앱니다. 오늘날에는 최소 권한 원칙에 따라 사용자 액세스를 허용하고 이를 최대한 면밀히 검토해야 하며, 공격자가 이미 네트워크에 침투해 숨어 있다고 가정하고, 통제 지점에서 더 많은 맥락 정보와 가시성을 확보해야 합니다. 제로 트러스트를 구현하려면 조직은 ‘신뢰하되 검증하라’는 접근 방식을 버리고 다음 세 가지 원칙을 준수해야 합니다:

• 절대 신뢰하지 않기
• 항상 검증하세요
• 지속적으로 모니터링

어떤 공급업체도 제로 트러스트에 필요한 모든 것을 제공할 수는 없지만, F5는 강력한 애플리케이션 보안 포트폴리오를 통해 가치를 더하고 제로 트러스트 아키텍처의 네 가지 핵심 제어 지점을 보호할 수 있습니다. 구체적으로는 다음과 같습니다.

• 애플리케이션에 액세스하는 엔드포인트: F5의 신뢰할 수 있는 앱 액세스 솔루션은 모든 앱에 최신 인증 기능을 제공합니다.
• 네트워크 인프라: 네트워크 보호를 지원하는 애플리케이션 인프라 보안 솔루션을 제공합니다.
• 애플리케이션(클라우드, 온프레미스, SaaS 기반 또는 완전 관리형 여부와 관계없이): 당사는 애플리케이션 자체 또는 애플리케이션과 가까운 위치에서 보안을 제공하고 애플리케이션 스택(계층 4~7)을 보호하는 애플리케이션 계층 보안 솔루션을 제공합니다.
• ID 서비스: 당사는 긴밀한 파트너십을 Microsoft, Okta, Ping과 맺고 있습니다. 당사의 신뢰할 수 있는 앱 액세스 솔루션을 이러한 IDaaS(Identity-as-a-Service) 제공업체와 통합하여 클라우드 기반 애플리케이션, SaaS 애플리케이션, 미션 크리티컬 애플리케이션 및 맞춤형 애플리케이션 간의 ID 격차를 해소하고, 사용자에게 통합된 보안 액세스 환경을 제공합니다.

F5의 세 가지 보안 솔루션인 신뢰할 수 있는 애플리케이션 액세스, 애플리케이션 인프라 보안, 애플리케이션 계층 보안을 활용하여 제로 트러스트 모델을 구축하는 데 F5가 구체적으로 어떤 도움을 줄 수 있는지 자세히 살펴보겠습니다.

신뢰할 수 있는 애플리케이션 액세스

애플리케이션 액세스와 관련하여 조직은 자사 사이트에 액세스하는 모든 사용자를 악의적 행위자로 간주해야 합니다. 액세스 관련 침해 사고는 계속 증가하고 있습니다. F5 Labs에 따르면 2019년 액세스 관련 침해 사고는 알려진 침해 원인 중 가장 큰 비중인 52%를 차지했으며, 이는 2018년의 47%에서 증가한 수치입니다.

F5 BIG-IP Access Policy Manager (APM)은 사용자와 앱의 위치에 관계없이 앱, API 및 데이터에 대한 액세스를 보호하고 간소화하며 중앙 집중화합니다. APM은 Identity Aware Proxy(IAP)를 통해 세분화된 컨텍스트를 기반으로 제로 트러스트 모델 검증을 적용하여 모든 앱 액세스 요청을 보호합니다. 또한 앱 세션이 진행되는 동안 각 사용자의 디바이스, 위치 및 액세스를 지속적으로 모니터링합니다.

주요 가치 제안은 다음과 같습니다:

• SSO를 통해 뛰어난 사용자 경험을 제공하며, 앱이 온프레미스에 있든 클라우드에 있든 모든 앱에 일관된 방식으로 액세스할 수 있습니다.
• 제로 트러스트 아키텍처를 통한 애플리케이션 보안 강화
• 하이브리드 환경을 위한 공통 아키텍처와 여러 클라우드에 걸쳐 일관되게 적용되는 정책

Shape가 추가되고 사기를 저지르는 악의적 행위자를 식별할 수 있게 되면서, 이제 정상 사용자를 더 정확하게 식별하고 사용자가 비밀번호를 입력해야 하는 횟수를 줄일 수 있습니다. 이를 통해 사용자는 비밀번호를 잊어버릴 걱정 없이 더 많은 서비스에 액세스할 수 있으며, 지원 비용은 절감되고 매출은 증가합니다.

앱 인프라 보안

제로 트러스트를 구현하려면 네트워크 인프라를 통해 앱의 보안과 가용성을 보장하는 것이 중요합니다. 네트워크에 영향을 미칠 수 있는 영역 중 하나는 암호화된 위협입니다.

이제 암호화는 새로운 표준이 되었습니다. F5 Labs의 연구에 따르면 페이지 로드의 91%가 SSL/TLS로 암호화됩니다. 하지만 공격자들도 보안 통제를 우회하기 위해 암호화를 사용합니다. 조직은 인바운드 암호화 트래픽에 멀웨어가 숨어 있을 수 있다고 가정해야 합니다. 또한 아웃바운드 암호화 트래픽에 외부로 유출될 수 있는 민감한 정보가 포함되어 있다고 가정해야 합니다.

F5 SSL Orchestrator는 네트워크의 암호화 트래픽으로 인한 위험을 해결합니다. 인바운드/아웃바운드 SSL/TLS 트래픽을 오케스트레이션하고 암호화 제어를 중앙 집중화하는 전용 솔루션입니다. 암호화된 트래픽에 숨어 있는 멀웨어를 탐지해 보안 사각지대를 없애고 도난당한 데이터의 유출을 차단합니다.

애플리케이션 계층 보안

현실적으로 어느 조직에서나 애플리케이션은 취약할 수 있습니다. F5 Labs의 연구에 따르면 기업은 평균 765개의 앱을 배포합니다. 한 기업에서 이처럼 많은 앱을 사용하기 때문에 공격자는 앱의 중요성을 잘 알고 있으며, 모든 앱이 귀중한 지적 재산과 데이터로 통하는 뒷문(또는 정문)이 될 수 있다는 점을 노려 적극적으로 앱 침해를 시도합니다. 따라서 제로 트러스트 전략의 일환으로 앱을 지속적으로 보호하는 것이 매우 중요합니다.

F5는 제로 트러스트 아키텍처에서 애플리케이션 스택을 보호할 수 있습니다. Advanced WAF 및 Essential App Protect와 같은 F5의 WAF 솔루션은 OWASP Top 10이나 SQL/PHP 인젝션과 같은 일반적인 취약점과 익스플로잇을 방지하는 데 도움이 됩니다.

당사의 WAF 솔루션은 행동 분석 기능을 통해 애플리케이션의 상태를 지속적으로 모니터링하여 계층 7 DoS 공격으로부터 보호할 수도 있습니다. 또한 공격자가 사용자 계정에 무단으로 액세스하지 못하도록 자격 증명 보호 기능도 제공합니다. 더불어 API 사용이 증가함에 따라 API를 보호하고 API 공격으로부터 애플리케이션을 안전하게 지킬 수 있습니다.

F5는 WAF 및 API 보안 솔루션으로 애플리케이션의 취약점을 보호하는 동시에, Shape를 통해 비즈니스 로직이 악용되지 않도록 보호합니다.

F5는 조직의 제로 트러스트 배포 전략에 맞춰 자체 관리형, 서비스형 또는 완전 관리형 서비스 형태로 보안 솔루션을 제공합니다. 완전 관리형 서비스는 Silverline 및 Shape Security를 통해 제공됩니다.

자세히 알아보고 싶으시다면 Agility 온디맨드에서 제 기조연설을 시청하거나, Zero Trust 배포에 대한 도움이 필요할 경우 저희에게 문의해 주세요.

작성자 소개

F5

F5의 다른 블로그 게시물