|
최근 보안 이야기를 할 때 빠지지 않고 등장하는 주제가 있다. 바로 '제로 트러스트'!! 제로 트러스트를 한 마디로 정의하자면 '아무것도 신뢰하지 않는다'라고 정의할 수 있다. 엔터프라이즈 컴퓨팅 환경의 변화에 따라서 자연스럽게 등장하게 된 제로 트러스트는 이전에도 언급되긴 했지만, 본격적으로 언급이 되기 시작한 것은 구글에서 비욘드 코프 엔터프라이즈를 출시한 게 시점이 된다. 비욘드 코프 엔터프라이즈는 확장성, 개방성, 안정성을 고루 갖춘 제로 트러스트 플랫폼이다. 실제로 지금 국내에서 제로 트러스트 방식을 도입한 기술 제품들이 나오고 있고, 제로 트러스트로 전환하고 있는 회사들도 존재하지만, 대부분의 사람들은 제로 트러스트가 어떤 개념인지 인지하지 못하고 있다. 국내에 관련된 정보들이 흩어져 있어서 아쉬움이 컸는데, 제이펍에서 제로 트러스트 도서를 출간한 것이 정말 반갑게 느껴졌다.
이 책에서는 제로 트러스트의 등장부터 개념까지 포괄적으로 설명하고 있을 뿐만 아니라, 클라우드 보안에 대한 설명과 함께 제로 트러스트의 개념을 구체화하고 있다. 기본적으로 클라우드 보안과 네트워크에 대한 지식이 있다면 좀 더 심도 있게 책의 내용을 이해하고 활용할 수 있을 것 같다.
현재 많은 회사들이 제로 트러스트 전환을 고려하는 이유는 코로나 이후 재택근무가 보편화되면서, 그전에 회사 네트워크 내부를 지켜주던 VPN 방식에 대한 구멍이 생기기 시작했기 때문이다. VPN을 이용하는 경우, 회사 외부에서 들어오는 것에는 철저하게 막지만, 내부에서 네트워크를 이용하는 경우는 별다른 제제가 없는 편이다. 재택근무를 하게 되면 회사 외부에서 근무하는 것이 조건이 되기 때문에 VPN 보안 방식에 허점이 될 수밖에 없는 것이다. 또한 많은 회사가 관리 비용이 저렴한 클라우드를 이용하고 있다는 점인데, 클라우드에 경우도 VPN과 비슷한 맥락이다. 제로 트러스트는 시간이 갈수록 점점 더 중요성이 대두될 것이다. 제로 트러스트로 전환하게 되면 하이브리드 업무 환경에도 적합한 보안을 설정할 수 있고, APT 위협에도 좀 더 강력하게 대응할 수 있게 된다.
머릿속에서 도식화가 필요한 네트워크, 클라우드와 관련된 개념들을 이해하기 편하게 개념마다 이미지화 시켜두어서 어려운 개념도 쉽게 이해할 수 있었다.
한 챕터마다 주요 개념이 정리된 페이지가 있어서 앞 장에서 본 개념들을 다시 한번 복기하고, 정리하기 좋았다. 특히 책에 특성상 약어 표기가 많이 나와서 읽다 보면 헷갈릴 때가 종종 있었는데, 마지막 페이지에서 다시 한번 짚어주니 싹 정리가 되는 느낌이 들었다.
찾아보기 페이지로 다시 한번 읽어보고 싶을 부분을 쉽게 찾을 수 있다. 제로 트러스트는 보안 기능이 아니다. 명확한 방법으로 기능을 실현시킬 수 있는 것이 아니기 때문에 개념 이해가 어렵다. 이 책에서는 계속해서 반복적으로 개념을 언급하고 설명하고 있기 때문에 자연스럽게 개념을 파악할 수 있다. 다양한 신기술들이 나오면서 이를 지탱하는 인프라와 네트워크가 굉장히 복잡해지고 있다. 특히 많은 기업들의 서비스가 클라우드화되면서 가속화되어 가고 있는 지금 제로 트러스트에 대한 중요도는 앞으로 점점 더 부각될 것이다.
낯설고 어려운 개념일지 모르지만, 부담 없는 분량으로 한 권의 책을 만들었기 때문에 누구나 가벼운 마음으로 읽을 수 있다고 생각한다. 미래를 준비하는 마음으로 읽어보면 정말 좋을 것 같다. -YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다- |
|
이 책은 구글이 8년동안 자사의 보안 인프라를 재정비한 후, 그 내용을 정리하여 발표한 비욘드코프를 통해 소개한 제로 트러스트라는 보안 사고 방식에 대한 책입니다. 기존의 방화벽, VPN, UTM 등으로 보호되던 경계 보안이 한계를 드러내면서, 이를 보완하기 위한 개념으로 등장한 것입니다. 이 배경에는 클라우드 서비스의 확산과 코로나19로 인한 재택근무라는 근무형태가 크게 자리잡고 있습니다. 예전 같으면 기업 내부에 있어야 하던 기업의 서버들이 클라우드 환경으로 이전되고, 직원 PC가 사내에서 집으로 옮겨지면서, 경계 보안이라는 물리적 환경이 변화를 맞이 하였습니다 또한, APT와 같은 공격으로 인하여 내부에 해커가 침투하게 되면 경계 보안으로는 피해를 막을 수가 없다는 점도 큰 문제입니다. 결국, 내부 네트워크에 있는 PC나 서버들조차도 무조건적으로 신뢰해서는 안되는다는 것이 제로 트러스트입니다. 신뢰할 수 없으니, 확인과 검증이 필요해지는 것이죠. 이 책에 등장하는 많은 보안 요소들과 기술들은 개념적으로만 설명되어 있지만, 읽어보면 그렇게 어려운 부분은 없습니다. 다만 우리 회사 환경에 어떤 기술들이 필요한지 어떻게 적용해야 할지, 이러한 부분이 어려운 것 같습니다. 이 책의 최대 장점은 여러 가지 보안 기술들을 이해하기 쉽게 개념적으로 설명을 해주고 있고, 그림이 함께 제공되어 잘 이해가 된다는 점입니다. 상세한 세부 기술들을 설명하지 않고도 개념만 잡기에는 좋은 책인 것 같습니다. *** YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다 *** |
|
이 책은 구글에서 적용했다고 하는 제로 트러스트 개념에 대해 다루고 있는 책입니다. 이전까지의 보안이라고 하면, 보호하고자 아는 대상을 특정한 영역에 모아 놓고, 외부로부터 차단시킴으로써 보호해 왔습니다. (이 책에서는 경계보안이라고 합니다) 코로나19로 인한 재택근무의 확산과 클라우드 환경이 널리 보급되면서, 경계보안 만으로는 막을 수 없는 수많은 보안 위협들이 증가하고 있습니다. 제로 트러스트, 아무도 믿지 않는다 라는 책의 제목이 이 책의 내용을 한마디로 설명해주고 있습니다. 이전의 네트워크 보안에서는 방화벽, IDS, UTM 등으로 보호받고 있는 내부의 서버나 PC들은 안전하고 신뢰할 수 있는 요소로 구분하였지만, 제로 트러스트에서는 내부의 서버나 PC들도 무조건 신뢰할 수는 없는 개념에서 출발합니다. 이 책에서는 제로 트러스트를 구현하기 위해 필요한 기술들이 많이 등장합니다. IAM, IAP, EDR, CASB, DLP, SWG, SIEM, MFA, MAM, MDM, RIBA 등이 그것인데, 영문 약자로 표기되어서 어렵게 느껴지지만, 보안에 관심이 있는 사람이라면 내용을 한번 살펴보고 고개를 끄덕일 것입니다. 모두 예전부터 사용하던 기술들이 대부분을 차지하고 있습니다. 다만, 예전의 경계보안에서는 효과가 미미하거나, 비용대비 효율이 좋지 않아 크게 주목받지 못한 기술들이 많습니다. 하지만, 환경의 변화로 새롭게 부각되고 있는 것이죠. 이 책에서도 설명하고 있지만, 보안에는 정답이 있지는 않는 것 같습니다. 각각의 환경에 맞게 어떤 기술들이 더 효과적인지를 판단해서 구축하는게 최선의 방법인 듯 합니다. 게다가 공격방법도 시간이 흐름에 따라 변하기 때문에 오늘의 정답이 내일의 정답이 아닐 수도 있으니까요. 이 책을 읽으면서 가장 큰 수확이라면, 최근의 보안 트렌드를 알 수 있었다는 점과 그동안 간과해왔던 보안에 대한 중요성을 다시 한번 깨달았다는 점입니다. ＜YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다＞ |
|
??코로나19 변화하는 보안환경, 대책이 필요하다. |
|
리뷰 요청 메일을 받고, '이건 뭐지?'라고 혼잣말 했습니다. "제로 트러스트"... 그러고보니 오다가다 많이 들었던 용어인데, 정작 어디서 나오는 용어인지도 감을 잡지 못하고 있었다는 걸 세삼 깨닫게 되었고, 무슨 일이 있어도 책을 읽고, 알아봐야겠고 마음 먹었습니다. 그래서 리뷰 하겠다고 신청했는데, 다행히도 선정되어서 리뷰 도서를 받아들었습니다. 생각보다 책 분량이 얼마 안되어서, 또 한번 충격을 받았습니다. 뭔가 새로운 개념을 설명하는 책인것 같은데... 이정도 분량으로 가능할까? 싶었거든요. 하지만 저자는 그림으로 설명하는데 놀라운 재능이 있는 것 같았습니다. 간결하게 말로 설명하고 이걸 그림으로 보여주는 방식이었는데요. 설명이 장황하지 않아서 머릿속에 잘 남아있는 상태에서 그림으로 각인 시켜주니까 이해하기 쉬웠습니다. 보안 전문가가 아니기 때문에, 세세한 구현 방법에 대해서는 관심이 없었고, 오롯이 "제로 트러스트"에 대한 전반적인 설명만 원했던 저에게는 정말 재격인 책이었던것 같습니다.
"오퍼레이션 오로라", 2010년에 보안분야에서는 아마 큰 사건이 었었던 모양입니다. 인터넷 익스프롤러의 취약점을 이용해서 미국의 IT 대기업 여러곳이 공격을 받았는데요. 중국 해커들 소행으로 여겨졌고, 당시 미국 국무부 장관이었던 힐러리 클린턴도 비난 성명을 발표했다는 군요. 2010년 1월 12일 구글은 그 피해를 최초로 발표했습니다. 당시 보안전문가들은 이렇게 집중 표적이 되어서 APT 공격을 받게 되면, 언젠가는 직원중 한사람이 실수를 하게 되고 회사의 보안 체계는 한순간에 무력화 될 수도 있을 거라 걱정하기에 이르렀고 이를 해결하기 위한 노력에 박차를 가하게 됩니다. 구글은 2014년 그 연구 결과를 논문까지 써가며 발표했는데요 이것이 비욘드코프(beyondCorp)였습니다. 방화벽 안쪽 내부망은 신뢰할만하다고 판단하던 기존 "경계 방어"방식과는 다르게 아무것도 신뢰하지 않는다는 의미로 "제로 트러스트"라는 방식을 구상했고, 단순히 보안 솔루션을 만들어냈다기보다 보안의 철학을 바꾼 계기가 되었던 것이죠.
이 책은 머릿말에서 "제로트러스트는 어디까지나 사고방식이다. 방화벽 같은 제품명이 아니다"라고 못박고 있습니다. 책을 읽다보니, 저자가 왜 그렇게 이야기 했는지 납득이 가더군요. 구글 같은 회사도 8년이 걸려서 도입한 "제로 트러스트"라는 개념이 일반 회사들이 바로 따라가기엔 버거움이 있고, 단일 솔루션으로 "제로 트러스트" 방식을 지원해주는 서비스도 없기 때문이죠. 다만 클라우드의 보급이 어느정도 진척된 상황에서 앞으로는 "제로 트러스트"를 사내 보안의 방향성으로 잡을 수 있는 가능성이 좀더 커졌다고 볼 수 있는데요. 그건 클라우드 공급자들이 "제로 트러스트"를 구현하기 위한 다양한 도구들을 제공하기 시작했기 때문인듯 하네요.
게다가, 코로나 19는 우리에게 상당히 충격적인 변화를 요구했습니다. 특히 IT 업계에게는 "재택근무"라는 개념을 다른 방식으로 접근하게 했는데요. 코로나19전에 재택근무가 '가끔 선택적으로 할 수도 있는 것'이었다면, 코로나 19 이후 재택근무는 '상황에 따라서는 필수적으로 해야만 하는 것'이 되었습니다. 따라서 "제로 트러스트"의 영향력은 점차 확대될 것이 자명하네요. 저처럼 보안 전문가가 아니더라도 한번쯤 집어 두고 넘어가야 할 개념이라는 거죠.
[제이펍의 서평이벤트에 참여하여 받은 책을 읽고 작성한 리뷰입니다.]
|
|
몇 년 전부터 제로 트러스트에 대한 이야기들이 IT분야에서 화두가 되었고 다양한 솔루션도 쏟아져 나왔는데, 이제서야 전반적인 기술적 이해를 위해 이 책을 읽게 되었다. 예전에는 사내 네트워크 내부나 VPN을 경유해 외부에서 접속하는 사용자 혹은 단말은 안전하다고 간주했지만 제로 트러스트에서는 사용자나 단말이 정당한 목적으로 접속했는지 업무 애플리케이션과 서버가 엄격하게 확인해야 한다고 강조한다. 외부에서 사내의 업무 애플리케이션에 접근할 때는 VPN을 대체하는 구조도 필요하다면서 말이다. 사실 제로 트러스트는 대규모 사이버 공격으로 큰 피해를 본 구글이 자사 네트워크에 제로 트러스트 사고방식을 도입한 후 그 효과를 입증하면서 빠르게 확산되었다고 한다. 특히 코로나19로 재택근무나 원격근무가 많아지면서 제로 트러스트가 필수처럼 여겨지게 되었다면서 말이다. 즉, 지금까지는 사내 네트워크에 대부분 데이터나 애플리케이션이 있었고 업무상 통신은 거의 사내 네트워크에서 마무리했지만 클라우드 이용이 늘면서 업무상 통신도 인터넷을 경유하게 되었다고 말한다. 그러면서 인터넷 연결 회선이나 방화벽 등의 부하가 높아져 병목현상이 생기게 되었다면서 말이다.
보통 원격 근무를 하는 외부 사용자의 기기는 원래 직접 클라우드에 접근할 수 있지만 VPN은 사내 네트워크를 한 번 경유하는 형태이기에 VPN과 방화벽 양쪽에 병목현상이 일어나고 성능이 따라오지 못하면 통신 속도가 저하되거나 접속하지 못하는 등의 문제가 생긴다는 것이다. 제로 트러스트에서는 이러한 VPN의 대안으로 IAP를 제시하고 있는데, IAP는 애플리케이션 단위의 접근을 제어한다고 말한다. IAP에서 업무 애플리케이션에 직접 접근하는 것은 커넥터이며, 사용자는 사내 네트워크의 서버에 직접 접근할 수 없다는 장점이 있다면서 말이다. 또한 업무 애플리케이션을 이용할 때마다 사용자나 단말의 인증 및 인가를 실시한다고 말한다. 구체적으로 IAP는 사용자와 애플리케이션 간 통신을 중개하는 프록시, 사내 네트워크에는 커넥터라고 불리는 서버를 설치하게 되며, 커넥터로 클라우드 서비스인 IAP와 연계된다고 한다. 특히 사내 네트워크에서 운영하는 업무 애플리케이션은 사내에서의 이용을 전제로 설계되고 사내 DNS 서버나 사내에서 이용하는 사설 IP 주소가 운영의 전제가 되는 경우가 있다고 언급한다. 이와 같은 업무 애플리케이션을 IAP는 인터넷을 경유해 이용할 수 있도록 해준다고 말한다.
사실 제로 트러스트에서는 조건 없이 신뢰할 수 있는 사용자가 없기에 접근한 상대방을 인증하고 필요한 권한을 부여하는 인가 기능을 담당하는 IAM가 제로 트러스트 구축의 핵심 중 하나라고 말한다. 또한 ID 및 암호만으로 사용자를 인증하는 것은 충분하지 않다고 판단하기에 다요소 인증이 필수가 된다고 언급한다. 그 밖에도 클라우드 서비스로 프록시 서버 기능을 제공하면 단말이 어디에 있든 서비스에 접근할 수 있으며 단말의 인터넷 접근을 일원화해 관리할 수 있다고 말한다. 프록시 서버의 접근 제어 역할을 하는 서비스는 보안 웹 게이트웨이, 클라우드의 이용 상황을 가시화는 서비스로 CASB가 필요하다면서 말이다. 마지막으로 맬웨어 감염 등이 의심되는 이상한 행동을 자동 탐지하고, 의심스러운 프로그램을 중지시키고 통신을 차단시키며, 침입에 사용된 취약점이나 감염 범위 등을 조사하고, 맬웨어로 바뀐 파일 등을 복구할 수 있는 EDR과 사용자 및 단말의 상황에 맞춰 인증 기준이나 방법을 동적으로 변경하는 RIBA도 필수적이라 말한다. RIBA의 경우 사용자가 접근하는 장소나 단말 상태 같은 상황을 보고 의심스러운 행동이 포착되면 인증을 거부하거나 인증 요소를 늘릴 수 있다면서 말이다. YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다. |