블로그

애플리케이션 중심 세계에서의 제로 트러스트

F5 썸네일
F5
2020년 5월 19일 게시

Zero Trust는 기업의 속도를 높이고 보안을 강화하는 데 도움이 되는 강력한 전략입니다. 이는 새로운 개념은 아니지만 최근 몇 년 동안 많은 방송에서 다루어졌습니다. 오늘날 이 개념은 그 어느 때보다도 더 관련성이 높고 중요합니다. 특히 전 세계 기업이 COVID-19 위기 동안 어떻게 운영하고 대응할지 고심하고 있는 상황에서 더욱 그렇습니다. 제로 트러스트는 제가 최근 Agility에서 한 기조연설 에서 다룬 주제였으며, 디지털 혁신 이니셔티브를 가속화함에 따라 모든 조직이 더 잘 이해해야 하는 중요한 개념입니다.

기존 네트워크 경계(해자와 성 접근 방식)를 보호하는 것만으로는 더 이상 충분하지 않습니다. 멀티 클라우드에 배포되는 애플리케이션이 늘어나고 모바일 인력이 증가함에 따라 네트워크 경계는 사실상 사라졌습니다.

Zero Trust는 정의된 경계 내의 신뢰할 수 있는 네트워크라는 개념을 제거합니다. 오늘날 최소 권한 사용자 접근을 적용하고 최대한 면밀히 조사해야 하며, 공격자가 이미 네트워크에 있고 숨어 있다고 가정하고 제어 지점에서 더 많은 상황 정보와 가시성을 얻어야 합니다. Zero Trust를 활성화하려면 조직은 "신뢰하지만 확인" 접근 방식을 포기하고 이제 다음 세 가지 원칙을 준수해야 합니다.

  • 절대 믿지 마세요
  • 항상 확인하세요
  • 지속적으로 모니터링

어떤 공급업체도 Zero Trust에 필요한 모든 것을 제공할 수는 없지만 F5는 강력한 애플리케이션 보안 포트폴리오를 통해 가치를 더하고 Zero Trust 아키텍처에서 핵심 제어 지점 4개를 보호할 수 있습니다. 구체적으로:

  • 애플리케이션에 액세스하는 엔드포인트: 당사의 신뢰할 수 있는 앱 액세스 솔루션은 모든 앱에 대한 최신 인증을 제공합니다.
  • 네트워크 인프라: 우리는 네트워크를 보호하는 데 도움이 되는 애플리케이션 인프라 보안 솔루션을 갖추고 있습니다.
  • 애플리케이션(앱이 클라우드, 온프레미스, SaaS 기반 또는 완전 관리형인지 여부): 애플리케이션에서 또는 애플리케이션 근처에서 보안을 제공하고 애플리케이션 스택(4계층~7계층)을 보호하는 애플리케이션 계층 보안 솔루션을 제공합니다.
  • ID 서비스: Microsoft , Okta , Ping 과 긴밀한 파트너십을 맺고 있습니다. 신뢰할 수 있는 앱 액세스 솔루션을 이러한 IDaaS(Identity-as-a-Service) 공급자와 통합하여 클라우드 기반, SaaS, 미션 크리티컬 및 맞춤형 애플리케이션 간의 ID 격차를 해소하여 사용자에게 통합되고 안전한 액세스 환경을 제공합니다.

F5가 이러한 세 가지 F5 보안 솔루션을 사용하여 Zero Trust 모델을 배포하는 데 구체적으로 어떻게 도움을 줄 수 있는지 자세히 살펴보겠습니다. 신뢰할 수 있는 앱 액세스, 앱 인프라 보안 및 앱 계층 보안.   

신뢰할 수 있는 앱 액세스

애플리케이션 액세스와 관련하여 조직에서는 자사 사이트에 액세스하는 모든 사람이 나쁜 행위자라고 가정해야 합니다. 접근 관련 침해는 계속해서 증가하고 있습니다. F5 Labs에 따르면, 2019년에는 액세스 관련 침해가 알려진 침해 원인 중 가장 큰 비중을 차지했으며, 2018년 47%에서 52%로 증가했습니다.

F5 BIG-IP 액세스 정책 관리자(APM)는 사용자와 앱의 위치에 관계없이 앱, API 및 데이터에 대한 액세스를 보호하고 간소화하고 중앙화합니다. APM은 IAP(Identity Aware Proxy)를 통해 세부적인 컨텍스트를 기반으로 Zero Trust 모델 검증을 배포하여 모든 앱 액세스 요청을 보호합니다. 또한 앱 세션 전체에 걸쳐 각 사용자의 기기, 위치 및 액세스를 지속적으로 모니터링합니다.

주요 가치 제안은 다음과 같습니다.

  • SSO를 통한 뛰어난 사용자 경험과 앱이 온프레미스 또는 클라우드에 있는지 여부에 관계없이 모든 앱에 액세스할 수 있는 공통 사용자 경험
  • Zero Trust 아키텍처에서 보다 안전한 애플리케이션
  • 하이브리드 환경을 위한 공통 아키텍처와 여러 클라우드에 걸친 공통 정책

Shape를 추가하고 사기를 저지르는 악의적 행위자를 판별하는 기능을 통해 이제 건강한 사용자를 더 잘 식별하고 사용자가 비밀번호를 입력해야 하는 횟수를 줄일 수 있게 되었습니다. 이를 통해 사용자는 비밀번호를 잊어버리지 않고도 서비스에 더 쉽게 접근할 수 있으며, 지원 비용은 낮아지고, 매출은 늘어납니다.

앱 인프라 보안

네트워크 인프라는 앱이 안전하고 Zero Trust를 달성할 수 있는 사용 가능성을 보장하는 데 중요합니다. 네트워크에 영향을 미칠 수 있는 한 가지 영역은 암호화된 위협입니다.

암호화는 이제 새로운 표준이 되었습니다. F5 Labs 연구에 따르면, 페이지 로드의 91%가 SSL/TLS로 암호화됩니다. 하지만 공격자는 보안 제어를 우회하기 위해 암호화를 사용하기도 합니다. 조직에서는 암호화된 인바운드 트래픽에 맬웨어가 숨겨져 있을 수 있다고 가정해야 합니다. 또한, 외부로 나가는 암호화된 트래픽에는 유출될 수 있는 민감한 정보가 포함되어 있다고 가정해야 합니다.

F5 SSL Orchestrator는 네트워크의 암호화된 트래픽 위험을 해결합니다. 인바운드/아웃바운드 SSL/TLS 트래픽을 오케스트레이션하고 암호화 제어를 중앙에서 관리하기 위한 전담 솔루션입니다. 암호화된 트래픽에 숨겨진 악성 코드를 노출시켜 보안 사각지대를 없애고, 도난당한 데이터의 유출을 차단합니다.

앱 계층 보안

현실적으로 어떤 조직에서든 애플리케이션은 취약합니다. F5 Labs 조사에 따르면, 기업은 평균 765개의 앱을 배포합니다. 한 기업이 이렇게 많은 앱을 사용한다면 공격자는 각 앱의 중요성을 알고 있으며, 각 앱이 귀중한 지적 재산 및 데이터로의 뒷문(또는 앞문)이 될 수 있으므로 적극적으로 앱을 손상시키려고 시도합니다. Zero Trust 전략의 일환으로 앱을 지속적으로 보호하는 것이 중요합니다.

F5는 Zero Trust 아키텍처에서 애플리케이션 스택을 보호할 수 있습니다. Advanced WAF 및 Essential App Protect 와 같은 당사의 WAF 솔루션은 OWASP Top 10이나 SQL/PHP 주입과 같은 일반적인 취약점과 악용을 방지하는 데 도움이 됩니다.

당사의 WAF 솔루션은 앱의 상태를 지속적으로 모니터링하는 행동 분석 기능을 통해 7계층 DoS 공격으로부터도 보호할 수 있습니다. 또한 공격자가 사용자 계정에 무단으로 접근하는 것을 방지하기 위해 자격 증명 보호 기능도 제공합니다. 또한 API 사용이 증가함에 따라 API를 보호하고 앱을 API 공격으로부터 보호할 수 있습니다.

F5는 WAF 및 API 보안 솔루션을 통해 애플리케이션 취약점을 보호하는 동시에 Shape를 통해 비즈니스 로직이 남용되지 않도록 보호합니다.

F5는 조직의 Zero Trust 배포 전략에 맞춰 보안 솔루션을 제공합니다. 즉, 자체 관리형, 서비스형 또는 Silverline 과 Shape Security를 통한 완전 관리형 서비스 형태로 제공됩니다.

자세한 내용을 알고 싶으시다면 Agility on-demand에서 제 기조연설을 시청하시고, Zero Trust 구축과 관련된 도움이 필요하면 저희에게 문의하세요 .