태그검색

찾고 싶은 것이 있나요?

제로트러스트에 대한 6개의 태그 검색결과가 있습니다.

블로그 다크웹의 위협과 AI 보안: 거세지는 사이버 공격, 어떻게 대비할 것인가 “OP KOREA에 돌입하겠다. 한국은 키이우(우크라이나 수도) 정권을 지지하면서, 반(反)러시아 정서를 조장하는 국가다.” 24년 6월 초, 친러시아 해커 집단인 ‘사이버드래건(Cyber Dragon)’이 특수한 경로로만 접근이 가능한 한 다크웹에 올린 글입니다. 해커 업계에서 ‘OP’는 작전인 오퍼레이션(Operation)을 의미하며 이는 곧 해킹을 수행하겠다는 뜻인데, 이들은 한국 정부 부처와 금융사 5곳을 공격한다고 선언했습니다. 별도 프로그램으로만 입장할 수 있는 다크웹 오늘날 전 세계는 디지털 세상에서 유기적으로 연결돼 있습니다. 국경을 넘나드는 전자상거래, 수억 명이 연결된 소셜미디어(SNS), 간편한 핀테크...
블로그 DX시대, 떠오르는 ‘노코드/로우코드’ 운영 전략은? DX거버넌스를 앞당기는 노코드/로우코드 오늘날, 디지털 트랜스포메이션(Digital Transformation, DX)은 조직 생존의 문제로 자리 잡았습니다. 코로나 19 대유행으로 인해 디지털 혁신은 시급한 이슈로 떠올랐는데요. 일상 회복 단계에 놓인 현재, 디지털 비즈니스 운영은 조직 전체에 요구되는 DX 거버넌스 전략의 일부가 됐습니다. DX는 기술과 관련된 디지털 혁신의 일부입니다. 정확히는 패러다임을 의미하며, 비즈니스 모델 촉진, 고객 경험 향상에 디지털 기술이 어떤 관련성과 긍정성을 보였는가에 중점을 둡니다. 즉, 빠른 테스트 주기로 비즈니스 및 고객 가치를 창출하고,...
블로그 코카콜라, 넷플릭스도 도입한 ‘Zero Trust’ 5가지 구현 기술은? Zero Trust Network Access(ZTNA) 제로 트러스트(Zero Trust)는 ‘아무것도 신뢰하지 않는다’는 것을 전제로 한 사이버 보안 모델로,사용자나 기기가 접근을 요청할 때 철저한 검증을 실시하고, 검증이 이뤄진 후에도 최소한의 신뢰만 부여해 접근을 허용하는 방식입니다. ZTNA (Zero Trust Network Access)는 ‘초세분화 적응형 인증 및 컨텍스트(Context) 인식 정책’으로, 원격 위치 또는 단말기에 클라우드 혹은 기업 데이터 센터에서 호스팅 되는 프라이빗 애플리케이션을 안전하게 제공하는 방법입니다. LAN(Local Area Network)에 대한 완전한 접근을 허용하는 VPN(Virtual private network)과 달리 ZTNA는 사용자에게 명시적으로 부여된 서비스의 접근만 허용합니다. ZTNA는 사용자가 ZTNA 서비스에 대해 인증한 후 접근이 설정됩니다. 그런 다음, 암호화된 보안 터널을 통해 사용자를 대신해 ZTNA 서비스가 애플리케이션에 대한 접근을 제공하는데요. 이렇게 하면 공개적으로 볼 수 있는 IP주소를 차단해 기업 애플리케이션과 서비스에 추가 보호를 도입할 수 있습니다. 또한, ZTNA는 다크 클라우드 개념을 활용해 사용자가 접근 권한이 없는 애플리케이션과 서비스를 볼 수 없도록 차단합니다. 기업은 주로 아래 4가지 중 하나를 해결하기 위해 ZTNA를 도입합니다. 1) 관리가 어려운 VPN 대체VPN은 불편하고 느리며, 보안에 취약하고 관리가 어렵습니다. 가트너는...
블로그 사이버 보안의 대세는 ‘Zero Trust’, 7가지 기본 원칙을 살펴보자! 제로 트러스트(Zero Trust)를 구현하는 기본적인 내용은 단순합니다. 사용자는 정책결정포인트(Policy Decision Point, PDP)에서 인증한 ID와 연관된 여러 가지 상황에 따라, 정책집행포인트(policy Enforcement Point, PEP)가 부여한 최소한의 권한으로 자원에 접근합니다. 또한, 권한을 부여한 이후에도 ID와 컨텍스트(Context)를 지속해서 검증해 접근을 허용하거나 차단하는 형태로 구현합니다. 미국 국립표준기술연구소(NIST)는 2020년 ZTA(Zero Trust Architecture)를 실현하기 위한 기본 원칙을 7가지로 정리해 발표했습니다. 원칙은 이상적인 목표이지만, 모든 원칙이 Zero Trust에 순수하게 반영될 수 없다는 걸 인정해야 한다는 전제에 기초하는데요. NIST는 아래 7 가지 원칙을 기술 불가지론적(초경험적인 것의 존재나 본질은 인식 불가능하다고 하는 입장)자세로 시도할 것을 권장합니다. 기술 도입만으로 Zero Trust를 실현할 수 없다는 얘기입니다. 물론 특정 문제를 해결하기에 가장 좋은 도구가 존재할 수는 있습니다. 도구의 성능도 차이가 날 수 있죠. 단지, 도구의 가변성이라는 특성이 바뀌는 건 아니기 때문에 정책 개선과 시행의 사이클이 초세분화(Micro Segmentation)가 돼야 한다는 겁니다. 그렇다면 NIST가 발표한 Zero Trust 실현을 위한 7가지 원칙을 살펴보겠습니다. 1. Resources : 모든 데이터, 컴퓨팅 서비스는 자원으로, 보호 대상이다.2. Communication : 모든 통신은 내부망/외부망에 관계없이 동일한 보안 요구를 충족해야 한다.3. Per-session Access : 개별 엔터프라이즈 리소스에 대한 접근은 세션 별로 검증해 부여한다.4. Dynamic Policy : 액세스는 클라이언트 ID, 애플리케이션/서비스 및 요청 자산의 동적 정책에 따라 결정되며, 모든 단말기에 설치된 소프트웨어 버전, 네트워크 위치, 요청 시간 및 날짜, 이전에 관찰한 행동처럼 상세한 정보에 기반을 두어야 한다. 5. Monitoring : 기업은 모든 소유 자산 및 관련 자산의 무결성과 보안 상태를 계속 모니터링하고, 측정한다.6. Authentication and Authorization : 모든 인증 및 권한 승인은 동적이며, 액세스를 허용하기 전 철저하게 적용한다.7. Continuous Improvement : 기업은 자산, 네트워크 인프라, 현재 통신 상태에 대한 가능한 많은 정보를 수집하고, 활용해 꾸준히 보안 상태를 개선한다. Zero Trust의 주요 보안 요건을 기반으로 주요 CSP(Cloud Service Provider) 와 보안업체들은 저마다 Zero Trust 솔루션을 소개하고 있습니다. 그러나, NIST가 언급했듯 위 7가지 요건을 모두 만족시키는 솔루션은 존재하지 않는데요. 이에 업체별로 기존 보안 역량을 기반으로 한 인증, 접근통제, 가시성 확보를 주요 요건으로 Zero Trust 솔루션을 제공하고 있습니다. 마이크로소프트, Azure Active Directory 마이크로소프트는 Zero Trust 원칙으로 ‘명확한 검증’, ‘최소한의 권한 액세스’, ‘침해 가정’ 3가지를 정하고 이에 따라 Azure Active Directory를 구축해 Zero Trust를 실현하고자 했습니다. 마이크로소프트는 Azure Active Directory를 통해 기업용 ID를 기반으로 사용자 인증을 진행하고, 기업 사용자가 싱글 사인 온(Single Sign On, SSO)을 통해 기업 ID로 클라우드에 접속할 수 있게 했습니다. 싱글 사인 온이란 가장 기본적인 인증 시스템으로, 모든 인증을 하나의 시스템에서 이용할 수 있도록 개발된 시스템을 의미합니다. 이와 동시에 멀티 팩터 인증(Multi-Factor Authentication, MFA)을 통해 보안 키, 지문, 얼굴 등을 함께 인증해 Zero Trust 보안성을 높이는 방식을 적용했습니다. 마이크로소프트가 Azure Active Directory를 통해 실현하고자 한 Zero Trust를 살펴보겠습니다. • 모든 액세스 요청은 보안을 위반하며, 내부/외부 접근 구분 없이 개방형 네트워크에서 발생했다고 가정함• 요청의 시작 위치나 액세스하는 리소스와는 무관하게 무조건 신뢰하지 않고 항상 확인함•모든 액세스 요청은 액세스 권한을 부여하기 전에 완전히 인증, 승인 및 암호화가 되며 측면이동을 최소화하기 위해...
블로그 아무것도 신뢰하지 않는 보안 전략, ‘Zero Trust’ 제로트러스트(Zero Trust)는 ‘아무것도 신뢰하지 않는다’는 것을 기본 전제로 삼는 보안 개념입니다. 2010년, 세계 3대 리서치 기업 중 하나인 포레스터 리서치의 분석가 존 킨더백(John Kindervag)이 기업 내 보안 및 액세스 컨트롤을 설명하기 위해 사용하면서 주목받기 시작했죠. 전통적인 보안 시스템은 액세스 지점에서 신뢰하는 사용자나 단말기를 (내부 네트워크) 인식해 권한을 확인합니다. 반면, Zero Trust는 신뢰하는 내부자나 단말기의 여부와 상관없이 철저하게 검증하고 권한을 부여한 뒤에도 접근 범위를 최소화합니다. Zero Trust는 한동안 추상적이고 신선하지 않은 개념으로 여겨졌습니다. Zero Trust 실현에 필요한 시스템 중 하나인 싱글 사인 온(Single Sign On, SSO)은 90년대에 개발된 기술로, 단 한 번 로그인해 여러 서비스에 액세스 할 수 있게 합니다.새로운 영역에 있는 기술이 아니기 때문에 이미 SSO를 도입한 조직 입장에서 Zero Trust라는 개념은 신선하지 않게 느껴질 수밖에 없었죠. 그러나 Zero Trust 개념을 준수하려면 보안 체계를 새롭게 설계하거나 재구축해야 할 가능성이 높습니다. 기존 사용자와 단말기에 대한 신뢰를 바탕으로한 보안 아키텍처에서 아무것도 신뢰하지 않는 구조로 넘어가기 위해서는 새로운 사고방식과 도구, 방법론이 고려돼야 하기 때문이죠. 하지만, 당장 큰 문제가 발생하지 않는 상황에서 새로운 보안 아키텍처를 고민하는 것은 쉽지 않은 일이었습니다. 이런 인식은 코로나19 팬데믹 이후 급속도로 바뀌었습니다. 실제로 심각한 보안 문제가 발생했으며, 이러한 보안 문제가 더 이상 먼 이야기가 아니라는 위기감이 조성되었기 때문입니다. 이번 글에서는 주요 사례를 통해 Zero Trust가 해법이 된 이유와 Zero Trust의 전망에 대해서 살펴보겠습니다. 코카콜라의 영업비밀 도난 지난 2018년, 중국계 과학자 샤논 유(Shannon You)는 약 1억 2,000만 달러 가치의 영업 비밀을 훔친 혐의로 코카콜라 컴퍼니로부터 미국 법무부에 고발됐습니다....
블로그 [보안동향] ‘아기 돼지 삼형제’로 보는 기업보안전략 최근 랜섬웨어 공격은 금품 요구를 위해 특정 기업을 노린 ‘표적형’으로 진화하고 있습니다. 또한 단순히 데이터를 인질로 삼는 수법에서 데이터 갈취와 협박을 병행하는 수법으로 발전하고 있습니다. 코로나19 이후 재택근무 등의 증가로 관리 포인트는 늘어나고 해킹 공격은 점점 더 교묘해지는 환경에서 기업은 어떤 보안 전략을 취해야 할까요? ‘아기 돼지 삼형제’ 동화를 통해 기업의 정보 보안 방안에 대해 알아보겠습니다. 엄마 돼지와 함께 살던 아기 돼지 삼형제는 쑥쑥 자라 각자 집을 짓기로 했습니다. 첫째와...