클라우드 모빌리티 - vmware · 원 의원, ceo, 경영진 등 정부 기관 및 업계의...

클라우드 및 모빌리티 환경에서 사이버 건강관리의 핵심 원칙

백서 – 2017년 8월


백서 | 2

목차소개 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

사이버 보안의 난제 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

지침은 부족하지 않음 4

엄청난 복잡성 4

끊임없는 변화 4

자동화 실현 불가능 4

알림 대응의 번거로움 4

더 효과적인 보안을 위한 두 단계 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

1단계: 사이버 건강관리의 핵심 원칙 구현 5

이미 확립되어 있는 원칙 6

핵심 원칙이 효과적으로 구현되지 않은 주요 침해 사례 6

핵심 원칙의 효과적인 구현이 어려움 6

2단계: 중요한 개별 애플리케이션 보호에 집중 7

리스크 기반 접근 방식 취하기 7

더 세밀하게 보호 7

애플리케이션별로 액세스 제어 8

애플리케이션에 관한 구체적인 지식을 통한 모니터링 8

기업 및 기관에서 시행하지 않는 이유 9

현재 접근 방식으로는 개별 애플리케이션 파악 불가 9

클라우드 및 모바일 컴퓨팅을 통해 실현 가능 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

애플리케이션 중심 기능 사용 10

핵심 원칙을 효과적으로 구현 12

애플리케이션 분류부터 시작 13

기존 보안 툴의 효과 개선 13

보안 통합형 설계 13

결론 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

부록 1: 핵심 원칙과 NIST CSF 간 관계 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14

부록 2: 애플리케이션 중심 기능에 대한 자세한 정보 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .15

부록 3: 클라우드 및 모바일 컴퓨팅의 고유한 특성 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .18

부록 4: 데이터 센터에 구현 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20

부록 5: 엔드유저컴퓨팅에 구현. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21


백서 | 3

소개사이버 보안은 전 세계 정부 기관 및 업계에서 가장 중요하게 여기는 문제 중 하나입니다. 상하원 의원, CEO, 경영진 등 정부 기관 및 업계의 리더들은 효과적인 사이버 보안 전략을 구현하는 데 그 어느 때보다 긴밀하게 관여하고 있습니다.

하지만 사이버 보안에 대한 투자가 더 활발해짐에 따라 보안 침해 사고의 빈도도 급속히 증가하고 있습니다. 이는 무언가 잘못되었기 때문입니다. 그러면 무엇이 문제이고 어떻게 해결해야 할까요? 원론적인 측면에서 보면, 문제 해결 방법은 새로운 거버넌스 프레임워크를 도입하는 것부터 새 제품 및 서비스를 구축하는 것까지 다양합니다.

하지만 VMware는 새 프레임워크를 따르거나 특정 제품을 구매하는 것만으로는 더 효과적인 정보 보안을 달성할 수 없다고 생각합니다. 해법은 보안을 사후 대응 방안으로서 구축하기보다 처음부터 통합형으로 설계하는 것입니다. 기업 및 기관의 경우 이것을 실현하기란 근본적으로 어려운 일이었지만, 클라우드 및 모바일 컴퓨팅을 통해 새로운 기능이 제공되면서 이제는 가능해졌습니다(비록 필수는 아니더라도 말입니다).

더 효과적인 보안 접근 방식을 위해 두 가지 기본 단계를 수행해야 합니다. 그것은 바로 기본적인 사이버 건강관리의 구현과 "가장 중요한" 미션 크리티컬 비즈니스 애플리케이션의 보호에 집중하는 것입니다.

이 백서에서는 기업 및 기관이 반드시 수행해야 하는 가장 중요하고 기본적인 내용인 사이버 위생의 다섯 가지 핵심 원칙을 보편적인 기준으로 제시합니다. 이 개념은 새로운 것은 아니지만 더 효과적인 보안으로 전환하는 데 중요하며 NIST Cybersecurity Framework(CSF)와 같이 잘 정립된 프레임워크에 기반을 두고 있고 기술 중립적입니다. 최근 몇 년간 Target, Sony, 미국 인사관리처(OPM) 등에서 발생한 심각한 데이터 침해 사건에서 이러한 원칙을 효과적으로 준수했다면 결과가 크게 달라졌을 것입니다.

여전히 사이버 건강관리의 핵심 원칙을 구현하는 것은 쉬운 일이 아니며 오랫동안 기업 및 기관의 과제로 남아 있었습니다. 따라서 VMware에서는 가장 핵심인 미션 크리티컬 애플리케이션을 보호하는 데 기업 및 기관의 보안 활동을 집중할 것을 제안합니다. 이렇게 하면 보안의 효과를 크게 높일 수 있습니다.

이 백서는 정부 기관 및 기업의 리더가 현재의 사이버 보안 전략이 갖는 구체적인 문제점과 더 나은 접근 방법으로 전환하는 방법을 파악하는 데 도움을 주기 위해 마련되었으며, 사이버 보안 문제에 관여하는 리더를 대상으로 하지만 기술적 전문 지식이 없는 분들도 읽을 수 있습니다. 보안 전문가 또는 더 기술적인 세부 사항에 관심이 있는 분들을 위해서는 구현에 관한 실용적인 실행 방안을 부록으로 제공합니다.

사이버 보안의 개선은 정부 및 업계에서 중요하게 다루는 주제입니다. VMware는 클라우드 및 모빌리티 분야의 전문업체로서 사이버 보안의 개선을 위한 당사만의 관점을 제공할 수 있게 된 것을 기쁘게 생각합니다. VMware는 이 관점이 정보 보안 당면 과제를 해결하는 데 매우 유용할 것이라고 생각합니다. VMware와 함께 문제를 다른 시각에서 바라보는 시간을 가져보십시오.

"사이버 건강관리"의 정의

이 용어에는 여러 가지 의미가 있습니다. 여기서는 기업 및 기관이 사이버 보안을 위해 갖춰야 하는 기본적인 요소를 가리키는 의미로 사용합니다.

따라서 이는 사이버 건강관리의 다른 일반적인 의미, 즉 온라인 소비자가 개인의 온라인 활동을 감염으로부터 보호하기 위해 취하는 행동을 의미하지 않습니다.


백서 | 4

사이버 보안의 난제전 세계적으로 보안에 대한 지출이 지속적으로 활발해짐에 따라 2020년에는 연평균 성장률(CAGR)이 8.7%에 이를 것으로 예상됩니다.1 그러나 작년 미국 내 데이터 침해 건수는 사상 최고치를 경신했습니다.2 데이터 침해로 인해 전 세계의 기업과 정부 기관이 입는 피해액은 연간 5,000억 달러에 이릅니다.3 무언가 문제가 있는 것이 분명합니다. 그러면 무엇이 문제이고 어떻게 해결해야 할까요?

지침은 부족하지 않음사이버 보안상의 허점은 정보를 보호하기 위해 기업 및 기관에서 취해야 하는 행동에 대한 지침이 부족해서 발생하는 것이 아닙니다. NIST, ISO, SAS 등 미국 및 전 세계에서 정보 보안을 위해 널리 채택된 정부 및 업계 표준이 다양하게 존재합니다. 이러한 표준은 모두 일반적으로 합의된 모범 사례에 대한 목록을 광범위하게 제공합니다.

엄청난 복잡성현재 접근 방식으로는 엔터프라이즈 IT 환경 전체에 걸쳐 포괄적인 모범 사례를 구현하는 것이 불가능할 정도로 복잡합니다. 방화벽, 바이러스 방지, 침입 방지 시스템, 위협 감지 시스템 등 광범위한 보안 툴을 관리해야 하고 각 툴마다 엄청난 양의 규칙을 관리해야 합니다. 각 규칙은 기업 수준, 즉 기업 전반에서 모든 사용자와 시스템에 대해 액세스 제어 및/또는 정보 보호 정책을 시행하도록 설정되어야 합니다. 때로는 말 그대로 수백만 개의 규칙을 설정해야 하므로 구성이 매우 복잡해집니다.

끊임없는 변화보안 툴은 한 번 설정하면 끝나는 것이 아닙니다. 비즈니스 활동에 발맞추고 새로 발견된 취약점으로부터 보호하기 위해 기업 전반에 걸쳐 시스템을 지속적으로 업데이트해야 합니다.

자동화 실현 불가능기업 및 기관에서 보안 업무를 자동화하기 위한 다양한 툴을 보유했어도 이러한 툴을 완벽하게 자동화된 방식으로 연동하여 사용할 수 없습니다. 툴마다 보호하는 시스템에 라벨을 지정하는 방식이 서로 다르기 때문에 툴 기능을 조율하기가 어렵습니다.

또한 기업 및 기관에서 문제 발생을 우려하여 보안의 완벽한 자동화를 꺼려할 수도 있습니다. 예를 들어 업데이트를 자동화할 경우 중요한 시스템의 가동이 중단될 수 있습니다. 또한 이들 기업 및 기관은 패치가 시스템에 미칠 수 있는 영향에 대한 정보가 부족한 경우가 많습니다.

알림 대응의 번거로움또다른 어려움은 보안 알림에 대한 후속 작업에 필요한 작업량입니다. 기업 및 기관에서 사용하는 대부분의 보안 툴은 매일 수천 건, 어떤 경우에는 시간당 수천 건의 알림을 전송합니다. 툴마다 별도의 관리 콘솔이 있으므로 팀이 여러 개의 화면을 봐야 합니다. 알림의 우선 순위를 지정하는 일은 어렵고 대응을 위해서는 많은 조사가 필요합니다. 예를 들어, 감지 툴에서 네트워크에 의심스러운 활동이 있다고 표시하지만, 문제가 발생한 시스템, 리스크 수준 또는 취할 수 있는 조치에 대한 세부 사항을 제공하지는 않을 수 있습니다.

기업 및 기관은 보안 기능을 수행하는 데 사람에 크게 의존하고 있지만 사이버 보안 인재는 충분하지 않습니다.

1 Worldwide Semiannual Security Spending Guide, IDC, 2017년 3월2 Identity Theft Resource Center(ITRC) Data Breach Report 20163 Net Losses: Estimating the Global Cost of Cybercrime, Center for Strategic International Studies, 2014년 6월


백서 | 5

더 효과적인 보안을 위한 두 가지 단계최근 클라우드 및 모바일 컴퓨팅의 발전 덕분에 이제 보안을 간소화하고 더 완벽하게 자동화할 수 있게 되었습니다. 이를 위해 수행해야 하는 두 가지 기본 단계는 사이버 건강관리를 구현하고 가장 중요한 미션 크리티컬 비즈니스 애플리케이션의 보호에 집중하는 것입니다.

1단계: 사이버 건강관리의 핵심 원칙 구현이 단계는 기업 및 기관에서 수행해야 하는 가장 중요하고 기본적인 작업입니다.

기초: 교육IT 전문가부터 비즈니스 리더, 직원, 타사 계약직원에 걸친 모든 인원을 위한 의무 교육 단계를 마련해야 합니다(왼쪽 내용 참조).

핵심 원칙교육의 기초가 확고히 마련된 상태에서, 다음 다섯 가지 원칙이 더 효과적인 보안으로 전환하는 데 중요한 역할을 합니다.

이미 확립되어 있는 원칙핵심 원칙은 새로운 개념이 아니며, 이미 확립되어 있는 원칙을 기반으로 합니다. 예를 들어, 이들 핵심 원칙은 NIST CSF 내의 다양한 기능과 대응됩니다(부록 1 참조). 이러한 원칙은 NIST CSF 및 기타 프레임워크에서 다루는 내용의 일부에 불과하지만, 더 간편하고 자동화된 접근 방식으로 전환하는 데 핵심적인 원칙입니다.

이러한 다섯 가지 원칙을 지속적으로 적절히 실천하면 사이버 공격을 더 어렵게 하고 그로 인한 피해를 대폭 줄일 수 있습니다. 최근 몇 년간 발생한 데이터 침해 사건에서도 이러한 원칙을 효과적으로 구현했다면 아마 크게 다른 결과를 낳았을 것입니다(아래 참조).

마이크로 세분화:

IT 환경을 작은 부분으로 분할하여 보호하는 것은 배에 구역을 나누는 것과 같습니다. 이렇게 하면 배를 더욱 간편하게 보호할 수 있습니다. 배의 한 구역이 파손되면 피해는 해당 구역에 국한됩니다.

교육 프로세스

IT 전문가는 보안을 시스템에 통합하여 설계하는 데 최선을 다해야 합니다. 개발자는 최소한의 코드 보안 기술을 습득해야 합니다. 시스템 아키텍트는 보안 성과를 승인해야 합니다. 컴퓨팅, 네트워킹 또는 스토리지와 마찬가지로 기본적인 보안에 대해서도 잘 알고 있어야 합니다.

최종 사용자는 정보 보호의 리스크와 책임에 대해 알고 있어야 합니다. 웹사이트 방문이나 e-메일 확인과 마찬가지로 보안 기본 사항에 대해 충분히 인지해야 합니다.

1. 최소 권한 사용자에게는 업무 수행에 필요한 최소한의 액세스만 허용하고 그 이상은 허용하지 않아야 하며 시스템 구성 요소에는 목표 수행에 필요한 최소한의 기능만 허용하고 그 이상은 허용하지 않아야 합니다.

2. 마이크로 세분화 전체 IT 환경은 훨씬 용이하게 관리할 수 있도록 작은 부분으로 나누어 보호하고 한 부분이 손상될 경우 피해를 억제할 수 있도록 해야 합니다(왼쪽 내용 참조).

3. 암호화 중요한 비즈니스 프로세스에서 모든 데이터는 저장 또는 전송할 때 암호화되어야 합니다. 데이터 침해가 발생하여 중요한 파일이 도난당해도 공격자가 암호화로 인해 데이터를 읽을 수 없어야 합니다.

4. 다단계 인증 사용자와 시스템 구성 요소의 ID는 암호 입력을 비롯한 여러 인증 단계를 거쳐야 하며 요청한 액세스 또는 기능의 리스크에 맞게 인증을 강화해야 합니다.

5. 패치 적용 시스템을 최신 상태로 유지하고 지속적으로 유지 관리해야 합니다. 중요한 시스템을 업데이트하지 않는 것은 심각한 보안 리스크에 해당합니다.


백서 | 6

핵심 원칙이 효과적으로 구현되지 않은 주요 침해 사례

핵심 원칙의 효과적인 구현이 어려움대다수 기업 및 기관의 보안 전문가들은 이러한 원칙에 대해 잘 알고 있습니다. 실제로 침해 사고가 발생한 기업 및 기관의 보안 팀에서 이러한 원칙을 구현하려고 시도했을 수도 있습니다. 그러나 문제는 대부분의 기업 및 기관에서 현재 사용하는 보안 접근 방식을 통한 도구와 기술로는 이 과정이 매우 어렵다는 것입니다.

원칙 침해의 예

참고: 데이터 침해를 유발하는 요인은 다양합니다. 아래의 예시는 핵심 원칙을 효과적으로 구현하지 않아 침해가 발생한 사례이며 다른 요인도 얼마든지 존재합니다.

1. 최소 권한 최소 권한 환경이 효과적으로 구현되지 않고 사용자에게 필요한 것보다 높은 수준의 액세스가 제공될 경우, 공격자가 자격 증명(사용자 이름과 암호)을 탈취하여 시스템에 폭넓게 액세스할 수 있습니다.

예를 들어 Target 및 Sony 침해 사건의 경우 공격자가 관리자 수준 권한을 획득했습니다.

2. 마이크로 세분화 마이크로 세분화를 효과적으로 구현하지 않을 경우 공격자가 네트워크의 한 부분으로 침투한 다음 다른 부분으로 쉽게 이동할 수 있습니다.

예를 들어 Target 침해 사건에서 공격자는 HVAC 시스템에 최초 침입한 이후 결제 네트워크 시스템으로 이동할 수 있었습니다. Sony 침해 사건에서도 공격자는 네트워크의 한 부분에서 다른 부분으로 이동할 수 있었습니다. OPM 침해 사건의 경우 공격자는 OPM의 LAN에 대한 액세스 권한을 확보한 다음 내부 부서의 데이터 센터로 이동했습니다.

3. 암호화 암호화가 효과적으로 구현되지 않을 경우 공격자는 데이터를 읽을 수 있는 형태로 탈취할 수 있습니다.

예를 들어 Royal & Sun Alliance Insurance PLC에서 데이터 침해 사건이 발생한 후 정부 조사에 따르면 데이터가 충분히 암호화되지 않았다는 사실이 밝혀졌습니다.

4. 다단계 인증 다단계 인증(MFA)이 효과적으로 구현되지 않을 경우 공격자가 암호를 입수한 다음 이를 사용하여 시스템에 액세스할 수 있습니다.

예를 들어 OPM 침해 사건에서 계약업체 로그온에 대해 리스크에 적합한 수준의 MFA를 시행했다면 공격자가 정부 계약업체의 자격 증명을 탈취하는 것을 억제할 수 있었을 것입니다. LinkedIn 침해 사건의 경우 충분하게 보호되지 않은 1억 개의 사용자 암호가 해킹으로 인해 노출되었습니다. 일반적으로 소비자는 여러 사이트에서 암호를 사용하기 때문에 MFA를 사용했다면 리스크를 줄일 수 있었을 것입니다.

5. 패치 적용 패치 적용이 효과적으로 구현되지 않을 경우 공격자가 시스템의 결함을 이용할 수 있습니다.

예를 들어 WannaCry 랜섬웨어는 패치가 존재했던 알려진 소프트웨어 취약점을 이용했습니다. 패치 적용을 효과적으로 수행하지 않은 기업 및 기관은 이 랜섬웨어의 희생양이 되었습니다.


백서 | 7

2단계: 중요한 개별 애플리케이션 보호에 집중다음 단계는 중요한 개별 애플리케이션 보호에 집중하는 것입니다. 이를 통해 사이버 건강관리의 핵심 원칙을 더 간편하게 구현할 수 있습니다.

중요한 애플리케이션에 집중하면 핵심 요소에 집중할 수 있습니다. 결국 기업 및 기관의 핵심 요소는 미션 크리티컬 비즈니스 애플리케이션과 그 안의 데이터입니다. 예를 들어, 기업의 재무제표를 생성하는 데 중요한 데이터를 처리하는 기업용 재무 애플리케이션, 개인 정보와 신용카드 데이터를 저장하고 고객 주문을 이행하는 주문 애플리케이션, 직원 기밀 정보를 포함하는 HR 애플리케이션, 영업 비밀을 포함하는 연구 개발 애플리케이션 등이 여기에 포함됩니다. 애플리케이션은 데이터에 액세스하고 데이터와 상호 작용하기 위한 메커니즘입니다.

정보 보안의 목표는 이러한 핵심 요소를 보호하는 것이지만, 현재 접근 방식은 라우터(네트워크에서 트래픽을 라우팅하는 하드웨어) 또는 서버(처리 능력을 제공하는 컴퓨터)와 같은 IT 인프라를 보호하는 데 중점을 두고 있습니다. IT 인프라 보호는 필수적이지만 이것만으로는 충분하지 않습니다.

리스크 기반 접근 방식 취하기비즈니스에 가치를 제공하는 것은 중요 애플리케이션과 데이터입니다. 이러한 자산이 손상되면 기업 및 기관에 상당한 리스크가 발생합니다. 인프라는 애플리케이션 운영에 필요한 요소를 제공하지만 그 자체로는 중요한 자산이 아닙니다.

더 세밀하게 보호보안의 중점을 인프라에 두는 것만으로는 충분한 보호가 이루어지지 않습니다. 이것은 마치 마을을 보호하기 위해 마을 전체를 둘러싸는 울타리를 치고 문을 잠그는 것과 같습니다. 이보다는 각각의 집을 보호하는 데 중점을 두는 것이 더 효과적일 것입니다(아래의 그림 1 참조).

그림 1: IT 환경 보호를 위한 현재 접근 방식은 마을의 집을 보호하기 위해 마을 전체를 둘러싸는 울타리를 치고 문을 잠그는 것과 같습니다. 하지만 각각의 집(중요 애플리케이션)에 울타리를 치고 문을 잠그는 것이 더 효과적입니다.

"핵심 요소 =

중요 애플리케이션"

현재 접근 방식 애플리케이션 중심 접근 방식

IT 환경 내의 중요 애플리케이션


APP APP


백서 | 8

애플리케이션별로 액세스 제어현재 접근 방식으로는 필요한 액세스를 최소한으로 유지하는 것과 같은 보안 목표를 효과적으로 달성하기 어렵습니다. 예를 들어, 애플리케이션 그룹(주로 수천 개의 애플리케이션)에 대한 액세스를 제어하기 위해 마을 전체에 울타리를 치듯 기업 전체의 경계에 방화벽을 설치하는 경우가 많습니다. 이보다는 각각의 집에 울타리를 치듯 각각의 중요 애플리케이션에 대한 액세스를 제어하기 위해 방화벽을 설치하여 하나의 애플리케이션(집)에 반드시 액세스해야 하는 사용자와 시스템 구성 요소의 액세스만 허용할 수 있도록 해야 합니다.

또한 보안의 효율성을 높여야 합니다. 문을 지키는 경비원들이 마을 어딘가에서 이례적인 상황이 발생했다는 연락을 받았다고 가정해 보겠습니다. 경비원들은 이례적인 상황을 위해 밤새도록 마을 안을 돌아다닐 수도 있습니다. 하지만 경비원들이 정확하게 어느 집으로 가야 하는지, 그 집이 비어 있거나 귀중품이 많은지, 발생한 이례적인 상황이 그 집에서는 정상적인 일이었는지 알 수 있다면 훨씬 효율적일 것입니다(아래의 그림 2 참조).

애플리케이션에 관한 구체적인 지식을 통한 모니터링위에서 언급한 문제는 정보 보안 모니터링 시스템과 유사합니다. 정보 보안 모니터링 시스템에서는 일반적으로 애플리케이션에 대한 세부 정보 없이 네트워크 또는 네트워크 일부에 침입이 발생했다는 알림을 표시하므로 사이버 보안 팀은 조사에 많은 시간을 소비해야 합니다. 알림을 통해 문제가 발생한 애플리케이션, 애플리케이션의 중요도, 감지된 활동이 해당 애플리케이션에 정상적인 것인지 여부가 표시된다면 더 좋을 것입니다.

그림 2: IT 환경을 모니터링하는 현재 접근 방식은 경비원들에게 마을 어딘가에서 이례적인 상황이 발생했다는 알림을 보내는 것과 같습니다. 만일 경비원들이 정확하게 어느 집(중요 애플리케이션)에서 무슨 일이 일어났는지 알 수 있다면 훨씬 효과적일 것입니다.

현재 접근 방식


알림: 마을

어딘가에서 이례적인 상황 발생

애플리케이션 중심 접근 방식


알림: Smith 씨 집에 무단 침입 발생, 집 안의

귀중품 = $$$


백서 | 9

기업 및 기관에서 이를 시행하지 않는 이유각각의 중요 애플리케이션에 중점을 두어 보안의 효과를 높일 수 있다면, 왜 기업 및 기관에서는 이 방법을 사용하고 있지 않을까요? 왜냐하면 대부분의 기업 및 기관에서 현재 사용하고 있는 기술로는 이것이 불가능하기 때문입니다.

현재 접근 방식으로는 개별 애플리케이션 파악 불가기존 애플리케이션은 모든 애플리케이션 구성 요소가 하나의 정적 머신에 상주하도록 설계되었습니다. 하지만 최신 애플리케이션은 분산된 동적 시스템으로 설계되었습니다. 구성 요소는 다양한 머신에 분산되어 있으며, 소프트웨어 기능은 공유 리소스 풀을 사용하고, 이는 시간이 지남에 따라 변경됩니다(왼쪽 내용 참조). 현재 접근 방식으로는 보안 툴로 개별 애플리케이션을 인식하거나 파악할 수 없습니다.

현재 접근 방식으로는 보안 툴로 다음 작업을 수행할 수 없습니다.

• 특정 애플리케이션을 구성하는 구성 요소 파악

• 특정 애플리케이션에 액세스해야 하는 사용자 파악

• 특정 애플리케이션의 일부로서 서로 통신해야 하는 시스템 구성 요소 파악

• 특정 애플리케이션의 변경 사항 추적(예: 소프트웨어가 사용하는 다양한 하드웨어 리소스)

애플리케이션의 지속적인 진화최신 애플리케이션은 더 작고 훨씬 동적인 소프트웨어 기능으로 구성되므로 인프라 보호에 중점을 두는 현재 접근 방식으로는 개별 애플리케이션을 성공적으로 보호하는 것이 더욱 어려워질 것입니다. 따라서 하루빨리 애플리케이션 중심의 접근 방식으로 전환해야 합니다.

최신 애플리케이션: 분산 및 동적 시스템

• 각각의 애플리케이션은 구성 요소로 이루어진 "시스템"입니다.

• 소프트웨어 기능(또는 서비스)은 네트워크, 프로세싱, 메모리, 스토리지의 리소스 풀을 사용합니다.

• 리소스는 IT 환경 전체(기업 및 기관의 자체 데이터 센터 및 클라우드 공급업체)에 걸쳐 분산되어 있습니다.

• 여러 애플리케이션이 리소스 풀을 함께 사용합니다.

• 리소스 사용은 시간이 지남에 따라 빠르게 변화합니다.


백서 | 1 0

클라우드 및 모바일 컴퓨팅을 통해 실현 가능프라이빗 클라우드, 퍼블릭 클라우드, 모바일 컴퓨팅이 발전함에 따라 기업 및 기관은 개별 애플리케이션 보호에 중점을 두어 더 효과적인 보안으로 전환하는 데 필요한 기능을 갖출 수 있습니다.

애플리케이션 중심 기능 사용구체적으로, 클라우드 및 모바일 컴퓨팅을 통해 다음을 실현할 수 있습니다.

기능 1: 개별 애플리케이션을 인식하고 해당 애플리케이션에 대한 기준 참조 생성• 특정 애플리케이션을 구성하는 구성 요소 파악

–애플리케이션에 대한 가시성 확보

• 애플리케이션에 기대하는 운영 방식과 런타임 중 실제 운영 방식 파악

–액세스를 필요로 하는 대상 및 이들 간 상호 작용 방식 파악

• 이 참조 정보를 사용하여 애플리케이션 보호

–이 정보를 참조하여 보안 툴 설정

기능 2: 시스템 구성 요소를 애플리케이션별로 구획화• 특정 개별 애플리케이션을 구성하는 모든 시스템 구성 요소 그룹화

• 그룹화에 관한 논리적 경계를 설정하여 해당 시스템 구성 요소를 모두 연결

• 경계를 사용하여 해당 애플리케이션에 고유한 라벨 지정

기능 3: 개별 애플리케이션 주변에 방어 설정• 애플리케이션의 경계를 통과할 수 있는 요소 결정

• 애플리케이션 경계에 맞게 보안 툴 조정

• 기준 참조 정보 및 경계에서 제공하는 라벨을 사용하여 보안 툴 설정

• 특정 개별 애플리케이션을 보호하는 애플리케이션별 규칙 세트 생성

• 애플리케이션 변경 사항 추적 및 그에 맞게 보호 조정

아래의 그림 3은 이러한 기능을 사용하여 최신 애플리케이션을 효과적으로 보호하는 방법을 보여줍니다. 기능에 대한 자세한 내용과 이 기능을 사용하여 기업 및 기관에서 할 수 있는 작업에 대해 알아보려면 부록 2를 참조하십시오.


백서 | 1 1

그림 3: 최신 애플리케이션은 분산된 동적 시스템으로서, 공유 리소스 풀을 사용하고 시간이 지남에 따라 사용 패턴이 변화합니다. 애플리케이션을 효과적으로 보호하려면, 애플리케이션을 구성하는 소프트웨어 및 하드웨어 구성 요소를 모두 식별하고 그룹화하여 주변에 경계를 정하고 이를 "애플리케이션 X"로 표기한 다음 경계 주변에 방어를 설정해야 합니다. 경계와 방어는 애플리케이션의 변화에 맞추어 이동해야 합니다.

소프트웨어 기능

프로세싱

스토리지

메모리

네트워킹

App B App A App A App B

애플리케이션의 리소스 사용은 시간이 지남에 따라 변화합니다. 효과적인 보호를 위해서는 애플리케이션의 변화에 맞추어 이동해야 합니다.


백서 | 1 2

핵심 원칙을 효과적으로 구현애플리케이션 중심 접근 방식을 사용하면 핵심 원칙을 효과적으로 구현할 수 있습니다. 보안이 훨씬 간편해지고 더 쉽게 자동화할 수 있습니다.

원칙 애플리케이션 중심 접근 방식 더 효과적인 구현

기초: 교육 IT 전문가부터 비즈니스 리더, 직원, 타사 계약업체 등 모든 인원을 위해 애플리케이션 중심의 필수 교육 절차를 마련해야 합니다.

IT 전문가 또는 사용자가 취급하는 애플리케이션에 맞추어 더 적절한 교육이 제공됩니다.

1. 최소 권한 사용자에게는 애플리케이션별 업무 수행에 필요한 최소한의 액세스만 허용하고 그 이상은 허용하지 않아야 하며 시스템 구성 요소에는 애플리케이션별 목표 수행에 필요한 최소한의 기능만 허용하고 그 이상은 허용하지 않아야 합니다.

사용자 액세스 및 시스템 구성 요소 기능이 더 엄격하게 제어됩니다. 공격자가 액세스 권한 획득, 프로세스 변경, 상호 작용( "시스템-시스템 간" 및 "사용자-시스템 간") 해킹 방법을 찾기 어려워집니다.

2. 마이크로 세분화

전체 IT 환경은 훨씬 용이하게 관리할 수 있도록 개별 애플리케이션 주위로 경계를 설정하여 작은 부분으로 나누어 보호하고 한 부분이 손상될 경우 피해를 억제할 수 있도록 해야 합니다.

IT 환경 내에서의 이동을 크게 억제하여 공격자가 한 부분에 침투하더라도 단일 애플리케이션과 같이 아주 작은 부분으로 제한되어 다른 부분으로 이동하기 어렵습니다.

3. 암호화 중요한 비즈니스 프로세스에서 모든 데이터는 저장 또는 전송 시 개별 애플리케이션의 구성 요소별로 암호화되어야 합니다. 데이터 침해가 발생하여 중요한 파일이 도난당해도 공격자가 암호화로 인해 데이터를 읽을 수 없어야 합니다.

데이터를 암호화/복호화하는 키가 애플리케이션별로 관리되므로 키 배포가 간편해집니다. 이렇게 하면 암호화를 더 포괄적으로 구현할 수 있습니다.

4. 다단계 인증 사용자와 시스템 구성 요소의 ID는 암호 입력을 비롯한 여러 인증 단계를 거쳐야 하며 애플리케이션별로 요청한 액세스 또는 기능의 리스크에 맞게 인증을 강화해야 합니다.

애플리케이션별로 관리되므로 각 요청에 따라 리스크에 알맞은 수준의 다단계 인증(MFA)을 시행할 수 있습니다. 공격자는 암호를 탈취하거나 예측할 수 없기 때문에 공격을 수행하기 훨씬 어려워집니다.

5. 패치 적용 시스템이 최신 상태로 유지되며 개별 애플리케이션에 대한 정보를 기반으로 하여 지속적으로 유지 관리됩니다. 중요한 시스템을 업데이트하지 않는 것은 심각한 보안 리스크에 해당합니다.

영향을 받는 애플리케이션 구성 요소와 시스템에 미치는 영향을 파악하게 되어 패치 적용을 더 간편하고 지속적으로 수행할 수 있습니다. 공격자는 취약점을 활용할 시스템을 찾기 어려워집니다.

애플리케이션 분류부터 시작애플리케이션 중심 접근 방식을 사용하면 보안 팀이 인프라 전체에 투자를 분산하지 않고 가장 중요한 자산, 즉 크리티컬 애플리케이션에 집중할 수 있습니다. 이를 위해 기업 및 기관은 먼저 애플리케이션을 분류하여 중요성과 우선 순위를 파악함으로써 가장 중요한 애플리케이션에 더 집중할 수 있도록 해야 합니다. 하지만 모든 애플리케이션에 일정 수준의 보호가 필요하다는 점을 염두에 두십시오.

기존 보안 툴의 효과 개선애플리케이션 중심 접근 방식을 사용하면 기업 및 기관에서 보안 툴을 최대한 활용할 수 있습니다.

• 잘못된 보안 툴 구성 감소

–규칙 세트 간소화: 애플리케이션별 규칙을 각각의 개별 애플리케이션에 적용합니다.

• 보안 툴이 서로 연동하도록 설정

–방화벽, 바이러스 방지, 침입 방지 시스템, 위협 감지 시스템 등 모든 보안 툴이 동일한 라벨(애플리케이션 경계)을 사용하여 보호 대상인 자산을 파악합니다.

• 더 간편하고 신속하게 알림 해석 및 대응

–보안 툴 알림을 사용하여 애플리케이션을 파악하고 우선 순위 및 가능한 조치에 대한 정보를 제공합니다.

• 더 완벽하게 자동화된 방식으로 보안 툴 사용

–보안 툴의 기능을 조율하여 개별 애플리케이션에 대한 보호, 모니터링 및 대응 활동을 구성할 수 있습니다.

• 보안 운영 비용 절감

–표시되는 알림 수가 감소하고 조사에 소요되는 시간이 줄어듭니다.

보안 통합형 설계일반적으로 보안은 "추가적으로 탑재"됩니다. 애플리케이션 팀은 애플리케이션을 빌드하고, 인프라 팀은 모든 애플리케이션을 처리할 수 있는 비교적 일반적인 인프라를 구축하며, 그런 다음 보안 팀은 이들 전체를 보호하라는 요청을 받습니다. 보안 툴이 배포되지만 애플리케이션 Fabric에 통합되지는 않습니다.

애플리케이션 중심 접근 방식을 위해 아키텍처의 전환이 필요합니다. 특정 보안 어플라이언스를 구입하거나 소프트웨어를 업그레이드하는 것만으로는 이를 달성할 수 없습니다. 클라우드와 모빌리티 기술의 고유한 특성을 도입하고 이를 보안에 활용해야 합니다(자세한 정보는 부록 3 참조).

클라우드 및 모빌리티 기술은 신규 애플리케이션뿐만 아니라 기존 애플리케이션의 보안 통합에도 사용할 수 있는 오버레이 아키텍처를 제공합니다. 데이터 센터 및 엔드유저컴퓨팅에 대한 실질적인 구축에 관한 자세한 내용은 부록 4 및 5를 참조하십시오.

결론사이버 건강관리의 핵심 원칙을 구현하고 애플리케이션 보호에 중점을 두는 두 가지 기본 단계를 수행함으로써 기업 및 기관은 더욱 효과적인 정보 보안으로 전환할 수 있습니다. 이제 클라우드 및 모빌리티 컴퓨팅을 통해 보안 통합형 설계를 마련하는 방법을 제공할 수 있습니다. IT 환경이 계속 발전함에 따라 이러한 업데이트된 모델을 통해 정보 보안 프로그램이 오늘날에도 효과적일 뿐만 아니라 미래에도 대비할 수 있도록 보장할 수 있습니다.


백서 | 1 3

부록 1: 핵심 원칙과 NIST CSF 간 관계사이버 건강관리의 핵심 요소는 이미 확립되어 있는 원칙을 기반으로 합니다. 예를 들어, 이러한 모든 원칙은 NIST Cybersecurity Framework의 다양한 기능과 일치합니다(아래 참조). 이러한 원칙은 NIST CSF 및 기타 프레임워크에서 다루는 범위의 일부에 지나지 않지만 더 간편하고 자동화된 보안 접근 방식으로 전환하는 데 핵심적인 원칙입니다.

핵심 원칙 NIST CSF 하위 범주

기초: 교육 PR.AT: 기업 및 기관의 직원 및 파트너사에 사이버 보안 인식 교육을 제공하고 관련 정책, 절차, 계약에 의거한 정보 보안 관련 업무를 수행하고 책임을 이행할 수 있도록 충분한 교육을 제공합니다.

1. 최소 권한 PR.AC-4: 최소 권한 및 업무 분장 원칙에 따라 액세스 권한 및 승인을 관리합니다.

PR.PT-3: 필수 기능만 제공하도록 시스템을 구성하여 최소 기능 원칙을 적용합니다.

PR.IP-1: 최소 기능 개념과 같은 적절한 보안 원칙을 적용하여 정보 기술/산업 제어 시스템의 기본 구성을 생성 및 유지합니다.

DE.AE-1: 네트워크 운영 및 사용자 및 시스템에 예상되는 데이터 흐름의 기준을 구축 및 관리합니다.

2. 마이크로 세분화 PR.AC-5: 필요한 경우 네트워크 격리를 적용하여 네트워크 무결성을 보호합니다.

3. 암호화 PR.DS-1: 미사용 데이터를 보호합니다.

PR.DS-2: 전송 중인 데이터를 보호합니다.

4. 다단계 인증 PR.AC: 물리적 및 논리적 자산 및 관련 시설에 대한 액세스를 승인된 사용자, 프로세스, 기기로 제한하고, 승인된 활동 및 거래에 대한 무단 액세스의 리스크를 평가하여 그에 맞게 액세스를 관리합니다.

PR.AC-1: 승인된 기기, 사용자, 프로세스에 대해 ID와 자격 증명을 발급, 관리, 인증, 해지 및 감사합니다.

PR.AC-6: 필요한 경우 ID를 증명하고 자격 증명에 연결하며 상호 작용 시 확증합니다.

5. 패치 적용 PR.IP-3: 구성 변경 제어 프로세스가 구축되어 있습니다.

PR.IP-7: 보호 프로세스가 지속적으로 개선됩니다.

PR.IP-12: 취약점 관리 계획을 작성하고 구현합니다.

ID.RA-1: 자산 취약점을 파악하여 문서화합니다.

DE.CM-8: 취약점 검사를 수행합니다.


백서 | 1 4

참고: 다음 부록은 기업 및 기관 내에서 새로운 애플리케이션 중심 보안 접근 방식의 구현을 담당하는 전문가 또는 기타 담당자에게 유용한 정보를 제공합니다.

부록 2: 애플리케이션 중심 기능에 대한 자세한 정보다음 섹션에서는 이 백서의 10페이지에서 제시한 애플리케이션 중심 기능에 대해 더욱 자세한 기술적 설명을 제공합니다.

기능 1: 애플리케이션 인식 및 해당 애플리케이션에 대한 기준 참조 생성이 기능을 통해 기업 및 기관은 소프트웨어 기능과 같은 특정 서비스를 실행해야 하는 서버, 사용 중인 리소스, 구성 요소의 바람직한 상호 작용 방식 등을 파악하여 애플리케이션을 구성하는 구성 요소를 결정하고 중요 애플리케이션을 보안 측면에서 더 잘 이해할 수 있습니다.

핵심 요소는 다음과 같이 애플리케이션에 기대하는 동작을 이해하는 것입니다.

• 실행해야 하는 항목

• 허용 가능한 상호 작용

• 구성 요소의 바람직한 통신 방법

애플리케이션은 동적으로 작동하므로 기업 및 기관은 개발자가 애플리케이션을 업데이트하고 애플리케이션이 운영 환경에서 실행되는 동안 발생하는 변경 사항을 추적할 수 있어야 합니다(예: 실행 중인 인스턴스 개수 파악).

이 기능을 통해 기업 및 기관에서 수행할 수 있는 작업• 기준 참조를 확보하여 애플리케이션을 효과적으로 보호

–애플리케이션을 이해하고 보호 방법을 숙지합니다.

–애플리케이션에 대해 신뢰할 만한 단일 정보 출처를 사용하여 애플리케이션 보안 제어를 위한 전체 포트폴리오를 구성합니다.

• 또한 제어 보증 및 감사 팀에서 이 참조 자료를 사용하여 제어 기능을 평가할 수도 있습니다.

• 엄격하지만 운영상 가능(프로세스 중단 없음)하도록 권한 세부 조정

–애플리케이션을 구성하는 요소에 필요한 최소한의 기능 및 상호 작용을 결정하기 위한 정보를 확보하여 애플리케이션 자체에 대한 최소 권한 환경을 생성합니다.

–개별 애플리케이션 안팎에서 이루어지는 시스템 구성 요소 간에 필요한 최소한의 통신을 결정하기 위한 정보를 확보합니다.

• 이를 통해 공격 면적을 대폭 줄일 수 있습니다.

• 알림을 통한 조치 가능성 개선

–보안 툴에서 표시하는 알림을 통해 애플리케이션을 파악하고, 보안 팀에서 참조 정보를 활용하여 대응에 필요한 노력, 우선 순위 설정 방법, 문제 해결 옵션을 파악할 수 있습니다.

실질적인 구현 가능성

과거에는 애플리케이션에 대한 가시성을 확보하고 운영 방식을 이해하는 것이 어려웠지만, 이제는 신기술로 인해 이 과정이 더 간편해졌습니다.

기존의 대규모 애플리케이션의 경우, 이제 네트워크 트래픽을 감시하여 애플리케이션의 구성 요소와 그 상호 작용 방식의 이해를 돕는 기술을 사용할 수 있습니다.

최신 애플리케이션 아키텍처의 경우, DevOps 기술을 통해 빌드 프로세스를 자동화하고 애플리케이션을 구성하는 모든 요소를 처음부터 추적할 수 있습니다.


백서 | 1 5

• 알림 유효성 개선

–엄격하게 제어되는 시스템을 통해 허가되지 않은 액세스, 기능 및 상호 작용의 발생 확률이 크게 줄어들고 알림 횟수가 감소합니다.

–알림 횟수 감소를 통해 잘못된 정보를 줄이고 알림의 유효성을 개선합니다.

• 지속적인 위협 추적에서 탈피

–위협은 계속해서 변화하고 있습니다. 이 접근 방식은 새로운 위협을 미리 파악하는 데 의존하지 않습니다.

• 보안 팀과 애플리케이션 팀 간의 긴밀한 제휴 유도(왼쪽 내용 참조)

• 구현 확장: 적은 수의 중요 애플리케이션 세트 파악에 우선적으로 집중

– "이 웹 서버는 애플리케이션 X의 일부이며 이 프로세스만 Y와 통신해야 합니다."와 같이 매우 특정한 작업을 수행하고 구성 요소가 비교적 적은 중요 애플리케이션으로 시작합니다.

기능 2: 시스템 구성 요소를 애플리케이션별로 구획화기업 및 기관은 위에서 설명한 참조 정보를 사용하여 개별 애플리케이션을 구성하는 시스템 구성 요소를 결정한 다음 해당 시스템 구성 요소를 구획화하고 그 주변에 논리적 경계를 설정할 수 있습니다. 경계를 통해 단일 애플리케이션을 고유하게 정의하고 라벨을 지정할 수 있으며 하나의 애플리케이션이 손상될 경우 공격을 단일 애플리케이션으로 제한합니다.

이 기능을 통해 기업 및 기관에서 수행할 수 있는 작업• 애플리케이션에 정책을 효과적으로 시행하기 위한 단일 게이트웨이 설정

• 네트워크 내의 위협으로부터 애플리케이션 보호 강화

–서버 유형 등 인프라에 기반을 둔 세분화는 효과적이지 않습니다(왼쪽 내용 참조).

• 애플리케이션을 고유하게 식별 및 라벨 지정(왼쪽 내용 참조)

• 애플리케이션별로 적용할 정책 개발

–애플리케이션을 고유하게 정의하고 라벨을 지정하여 정책을 적용할 수 있습니다.

• 애플리케이션 간 수평 이동 방지

–공격자가 하나의 애플리케이션에 침투하면 다른 애플리케이션으로 이동하기 어렵습니다.

• 애플리케이션 경계에서 애플리케이션별 제어 적용

–더 중요한 애플리케이션에 더 높은 수준의 보호와 더 세밀한 검사를 적용할 수 있습니다. 환경 내에서 비교적 취약한 시스템이 손상되어도 공격자는 더 중요한 시스템으로 수평 이동할 수 없습니다.

DevOps 지원

최신 애플리케이션의 경우 DevOps 사례 및 기술을 사용하여 신속하고 빈번한 빌드, 테스트, 출시가 이루어집니다.

기업 및 기관은 리드 타임이 오래 걸리고 애자일 애플리케이션 및 개발 프로세스를 지원하지 않는 수동 보안 검토 및 테스트 프로세스에서 벗어날 수 있습니다.

효과적인 세분화

기존의 네트워크 세분화 모델은 웹 서버 또는 데이터베이스 서버 등의 서버 유형과 같은 특성을 기반으로 합니다. 애플리케이션이 단일 서버 구간이 아니라 여러 개의 구간에 걸쳐 운영되기 때문에 이 방법으로는 애플리케이션 간 수평 이동을 효과적으로 억제할 수 없습니다. 따라서 공격자가 여러 구간으로 이동할 수 있습니다. 애플리케이션을 효과적으로 보호하려면 애플리케이션 주변에 경계를 설정하고 애플리케이션의 모든 부분에서 발생하는 송수신 트래픽을 제어하고 모니터링할 수 있는 네트워크 제어 지점을 마련해야 합니다.


백서 | 1 6

기능 3: 개별 애플리케이션 주변에 방어 설정기업 및 기관은 애플리케이션 경계에서 제공하는 고유한 라벨을 사용하여 개별 애플리케이션에 적용할 보안 제어를 구성할 수 있습니다. 예를 들어, 애플리케이션 경계의 라벨을 사용하여 단일 애플리케이션을 보호하는 방화벽을 설치할 수 있습니다. 또한 기업 및 기관은 참조 정보를 사용하여 보안 제어를 구성할 수 있습니다. 예를 들어, 기업 및 기관은 참조 정보를 사용하여 침입 방지 시스템을 설치하고, 보호 중인 개별 애플리케이션에 대한 규칙 세트를 개발할 수 있습니다.

이 기능을 통해 기업 및 기관에서 수행할 수 있는 작업• 정책 시행 지점 배치 최적화

–애플리케이션 경계에서 정책을 시행합니다.

• 애플리케이션 보호 정책 간소화

–기업 및 기관은 더 이상 하나의 방화벽으로 수천 개의 애플리케이션을 보호하려는 것과 같이 현재 접근 방식에서 사용하는 복잡한 대규모 정책을 사용하지 않아도 됩니다(아래의 그림 4 참조).

• 암호화 키 관리의 복잡성 감소

–여러 애플리케이션 대신 단일 애플리케이션의 시스템 구성 요소에 암호화/복호화 키를 훨씬 간편하게 배포할 수 있습니다.

• 애플리케이션 액세스가 허용된 사용자와 시스템 구성 요소 및 필요한 인증 단계를 더 간편하게 파악하여 인증 정책(MFA) 시행

• 잘못된 보안 제어 구성 방지

–단일 애플리케이션 보호를 위해 제어를 설정합니다.

• 경계에 대한 제어를 추가하여 개별 애플리케이션에 대한 보호 강화

• 시스템 형태로 보안 제어 연동

–애플리케이션 경계를 사용하여 애플리케이션에 라벨을 지정함으로써 모든 제어를 하나의 애플리케이션에서 연동할 수 있습니다.

• 애플리케이션의 변화에 맞게 제어 조정

–애플리케이션이 이동함에 따라 제어를 통해 경계 보호 가능

그림 4: 일반적으로 경계에 방화벽을 설치하여 경계 내 모든 애플리케이션의 구성 요소에 대한 송수신 트래픽에 정책을 시행하는 현재 접근 방식은 수만 개의 방화벽 규칙으로 구성됩니다. 따라서 정책 세트가 매우 크고 복잡합니다. 하지만 각 애플리케이션에 대해 방화벽을 설치하면 단일 애플리케이션의 구성 요소에서 발생하는 송수신 트래픽에만 정책을 시행하면 되므로 정책 세트를 크게 줄이고 간소화할 수 있습니다.

고유한 식별자

기존의 보안 제어 방식은 애플리케이션, 운영 체제, 하드웨어 등 모든 스택에 대해 여전히 동일한 정적 라벨을 사용합니다. 하지만 이 방식은 정적 서버에 상주하지 않는 최신 애플리케이션에는 적용할 수 없습니다. VLAN 식별자 역시 여러 개의 애플리케이션을 격리하고 각 애플리케이션에 고유한 식별자를 제공하지 않으므로 이 문제를 해결할 수 없습니다. 보안을 효과적으로 제어하려면 개별 애플리케이션에 정책을 적용할 때 사용할 고유한 식별자가 있어야 합니다.


백서 | 1 7

APP APP APP APP APP APP APP APP

개별 애플리케이션 주변에 방어를 설정하여 정책 세트 간소화

부록 3: 클라우드 및 모바일 컴퓨팅의 고유한 특성기업 및 기관은 클라우드 및 모바일 컴퓨팅의 발전으로 가능해진 애플리케이션 중심 기능(부록 2에서 설명)을 사용하여 정보 보안에 대해 더 효과적인 접근 방법을 구현할 수 있습니다.

클라우드 컴퓨팅의 고유한 특성

클라우드의 기본 Fabric은 물리적 인프라와 애플리케이션 사이에 추상화 계층을 제공하는 가상화입니다.

애플리케이션 컨텍스트 • 가상화 계층:

• 가상화된 환경에서 실행 중인 모든 애플리케이션의 컨텍스트 정보를 수집, 보호, 분산

– 사용 가능한 리소스로 워크로드 이동, 로드 밸런싱 수행, 애플리케이션의 필요에 따라 리소스 확장/축소 등 애플리케이션을 동적으로 제어하는 가상화의 고유한 기능

– 또한 환경 내의 모든 워크로드 및 시스템 구성 요소에 대한 정보를 확보하고 워크로드의 지속적인 이동에 맞추어 해당 정보를 유지 관리

• 다음 내용을 확인할 수 있는 고유한 관점 제공:

– 실행 중인 애플리케이션과 애플리케이션 실행의 기반이 되는 하드웨어 간 연관 관계

– 애플리케이션 토폴로지

• 네트워크에서 애플리케이션을 구성하는 다양한 시스템 구성 요소의 배열

– 애플리케이션의 프로비저닝 방식 및 런타임 중 운영 방법

격리 • 가상화 계층:

• 별도의 신뢰 도메인 제공

– 게스트에 대한 가시성을 제공함과 동시에 게스트로부터 격리

• 애플리케이션 경계 보호를 위해 보안 제어를 배치할 격리된 지점을 제공

– 워크로드가 다른 물리적 머신 또는 네트워크 링크로 이동해도 애플리케이션 경계 유지

변경 불가 • 가상화 계층을 사용하여, 매번 구축할 때마다 변경 불가능한 구성 요소를 현재 위치에서 업데이트하지 않고 교체

– 구축 시마다 공통 이미지를 한번 빌드하고 테스트 및 검증 가능

소프트웨어 정의 • 가상화를 통해 시스템 구성 요소의 동작을 프로그래밍 방식으로 초기화, 제어, 변경, 관리

• 머신 격리, 머신 이미지 재생성, 트래픽 차단, 머신 스냅샷 생성, 향상된 가시성 추가 등의 작업을 수행할 수 있는 유연한 제어 지점


백서 | 1 8

모바일 컴퓨팅의 고유한 특성

모바일 컴퓨팅을 이용하면 기기 자체의 고유한 기능뿐 아니라 가상 데스크톱 및 모바일 기기 관리 기술의 기능을 활용할 수 있습니다.

사용자 및 기기 컨텍스트

• 모바일 컴퓨팅은 사용자와 기기에 다음과 같이 다양한 데이터를 제공하여 리스크 기반 인증 및 액세스 제어 결정을 내리는 데 도움을 줍니다.

– 사용자 및 기기에서 제공하는 데이터

• 생체 인식: 지문, 음성, 화상

• 지리적 위치

• 기기 ID: 일련 번호, 자격 증명

• 네트워크 매개 변수(WiFi, 인트라넷 등) 및 IP 주소

• 기기 구성: 하드웨어, 운영 체제, 설치된 애플리케이션

• 보안 태세: 관리형 또는 비관리형, 보안 소프트웨어, 탈옥 또는 루팅 여부, 소프트웨어 업데이트 및 패치 상태

• 대역 외: 전화 통화, 푸시 알림

– 조건부 액세스 결정

• 여러 기기: 액세스를 허용하기 전에 스마트폰 및 랩톱의 지리적 위치가 다른지 확인

• 사용자 및 기기 데이터 조합: 액세스를 허용하기 전에 안전한 네트워크에 위치한 신뢰할 수 있는 사용자와 관리되는 기기인지 확인

격리 • 가상 데스크톱을 통해 애플리케이션에 격리된 연결 제공

– 기업 및 기관이 네트워크상의 모든 애플리케이션이 아니라 특정 애플리케이션 세트로 사용자 액세스 제한 가능

• 가상 데스크톱을 통해 애플리케이션 사용과 기기 사용을 분리

– 애플리케이션 및 관련 데이터가 모바일 기기 자체에 남아 있는 것을 방지하고 모바일 기기는 애플리케이션을 원격으로 조회

변경 불가 • 변경 불가능한 임시 가상 데스크톱

– 매번 제어되는 마스터 이미지에서 즉시 생성한 다음 삭제하고 다시 생성 가능, 변경 방지로 인해 공격자는 지속성을 유지하기 매우 어려움

텔레메트리 • 원격 모니터링, 정책 시행 및 문제 해결을 통해 다음 작업을 수행 가능:

– 지속적인 업데이트 및 패치 적용

– 기기가 분실/도난되거나, 체크인에 실패하거나, 보안 WiFi에서 벗어나는 경우 기기 데이터 삭제

– 요구 사항을 충족하지 않는 기기 격리 또는 종료


백서 | 1 9

부록 4: 데이터 센터에 구현

이 부록은 기업 및 기관의 데이터 센터에 애플리케이션 중심 기능을 구현하는 데 구체적인 제안 사항을 제공합니다.

기능 구현 제안 사항

1. 애플리케이션 인식 및 해당 애플리케이션에 대한 기준 참조 생성

• 중요 애플리케이션의 설정 방식과 시스템 구성 요소 간의 의도된 상호 작용에 관한 기록 시스템 생성

– 애플리케이션 팀과의 협력, 프로비저닝 시스템 조사, 학습/기준 지정, 자동화 시스템/Blueprint를 통해 실현 가능

– 문제 파악 및 진단을 위한 중요한 기록 정보로 활용

• 구성 요소 시스템, 프로세스, 네트워크에서의 상호 작용/통신 방식과 관련하여 애플리케이션에 대한 화이트리스트 생성

2. 시스템 구성 요소를 애플리케이션별로 구획화

• 가상 Fabric을 활용하여 애플리케이션 또는 서비스 주변에 논리적 경계 생성(마이크로 세분화)

– 분산 방화벽뿐만 아니라 격리된 L2/L3 네트워크를 통해 경계를 적용하여 비연속 주소 공간 생성

– 애플리케이션의 모든 구성 요소를 단일 제어 경계를 갖는 격리된 단일 세그먼트에 포함

• 단일 송신 지점 설정

– 세그먼트 내의 애플리케이션 구성 요소는 서로 자유롭게 통신 가능

– 경계를 넘나들며 통신할 수 있는 서비스 세트 제한(DHCP, DNS, AD 등)

– 애플리케이션 경계는 해당 서비스에서 발생하는 트래픽을 조사하기 위해 제어를 조정할 수 있는 정의된 지점

3. 개별 애플리케이션 주변에 방어 설정

• 가상화 계층을 사용하여 애플리케이션에 대한 제어 조정

– 이제 소프트웨어 정의 네트워킹 및 소프트웨어 기반 보안 제어를 통해 각각의 애플리케이션 주변에 방어를 설정할 수 있습니다.


백서 | 2 0

기능 구현 제안 사항

1. 애플리케이션 인식 및 해당 애플리케이션에 대한 기준 참조 생성

• Endpoint 기기에 영구 애플리케이션 대신 임시 가상 데스크톱을 사용하여 애플리케이션이 의도된 대로 운영되도록 보장

– 임시 데스크톱 이미지를 통해 데스크톱 이미지를 로그오프 시 삭제하고 다음 로그인 시 새로 생성하여 운영 체제와 애플리케이션을 의도된 상태로 유지

– 임시 데스크톱 이미지가 손상될 경우 사용자가 로그오프하면 공격이 제거됨, 공격자는 초기 머신에서 네트워크 전체로 공격을 확산하는 데 주로 며칠 이상의 시간이 필요하므로 임시 데스크톱을 통해 공격자가 초기 침입 이후 이동하는 것을 방지할 수 있음

– 공격자가 환경 내에서 공격 거점을 유지하지 못하게 하고, 발전된 형태의 영구적 위협(APT)이 지속되지 않도록 방지

• 실시간으로 기기 보안 규정 준수 여부를 확인하여 기기가 보안 정책을 위반했는지 여부를 신속하게 결정하고 즉시 문제를 해결하거나 기업 리소스에 액세스를 차단

2. 시스템 구성 요소를 애플리케이션별로 구획화

• 전체 프로세스(예: 사용자가 애플리케이션에 연결)를 제한

– 구획화된 애플리케이션을 최종 사용자 인프라에 연결

• 가상 데스크톱 인프라(VDI) 기술을 사용하여 사용자가 승인된 시스템에만 액세스하도록 보장

– 애플리케이션 계층에서 액세스 제어 사용

– 예: 계약업체가 필요한 애플리케이션에만 액세스할 수 있도록 허용

• 계약업체가 가상 데스크톱에 로그인하면 하나의 마이크로 구간(애플리케이션)에만 액세스 가능

• VDI 기술과 마이크로 세분화를 함께 사용하여 공격자가 네트워크 전체로 공격을 확산하는 것을 방지

– 가상 데스크톱 플랫폼에서 마이크로 세분화를 사용하여 스피어 피싱 등으로 인해 사용자의 머신이 손상될 경우 공격자가 수천 개의 호스트 대신 소수의 호스트에만 액세스하도록 할 수 있음

• 공격자는 사용자가 VDI를 통해 액세스할 수 있는 제한된 애플리케이션 세트에만 액세스 가능

– VDI에서 마이크로 세분화를 사용하여 간편하게 격리

• 사용자 ID 기반: 사용자가 로그온하면 ID에 따라 동적으로 네트워크 표시

• 사전에 복잡한 네트워크 매핑을 수행하거나 저마다 다른 VLAN과 연결된 여러 데스크톱 풀 세트를 사전 구성할 필요 없음

부록 5: 엔드유저컴퓨팅에 구현이 부록은 엔드유저컴퓨팅에 애플리케이션 중심 기능을 구현하는 데 구체적인 제안 사항을 제공합니다.


백서 | 2 1


백서 | 2 2

• 모빌리티 기능을 마이크로 세분화와 함께 사용하여 모바일 애플리케이션 또는 모바일 기기를 종료할 수 있는 데이터 센터 리소스를 제한

– 기기가 데이터 센터의 리소스에 액세스할 경우 기기 ID에 따라 특정 IP 또는 포트 등 네트워크의 극히 일부분에만 액세스 가능

• 마이크로 구간 경계에서 VPN을 종료하여 사용자에게 하나의 애플리케이션에 대해 보안 인증을 거친 직접 연결 제공

– 기존에는 VPN이 경계에서 종료되어 사용자가 내부에 액세스한 다음에는 네트워크 내의 여러 위치에 액세스 가능

3. 개별 애플리케이션 주변에 방어 설정

• VDI 기술을 사용하여 애플리케이션에 직접 보안 제어 적용

– 수천 개의 기기에 제어를 적용하는 것보다 데이터 센터에서 중앙 집중화된 애플리케이션에 보안 제어를 적용하는 것이 더 효과적임

• 운영 체제 및 애플리케이션 컨테이너화 기술을 활용하여 BYOD 사용 사례에서 기업 애플리케이션 및 데이터를 개인용 애플리케이션 및 데이터로부터 안전하게 분리하여 기업 보안 제어를 기업 애플리케이션에 직접 적용

– 애플리케이션을 Sandbox화 및 암호화하여 제공

• Endpoint 기기의 데이터를 활용하여 ID 및 신뢰성에 대한 근거 수준이 개별 중요 애플리케이션에 대한 액세스 요청의 리스크 수준과 비례하도록 보장

– 예를 들어, 사용자는 알 수 없는 기기를 사용할 경우 애플리케이션에 액세스하기 위해 2단계 인증을 거쳐야 하고, 등록되고 신뢰할 수 있는 기기를 사용할 경우에는 1단계 인증을 거칩니다. 기기가 인증의 두 번째 단계 역할을 하는 것입니다. 또는 기업 사무실에서 신뢰할 수 있는 Wi-Fi 네트워크를 사용할 경우 사용자는 1단계 인증을 거치며 네트워크 인증이 두 번째 단계 역할을 합니다.

• 지리적 위치 정보를 사용하여 중요한 단일 애플리케이션 액세스와 관련한 리스크를 실시간으로 결정

– 사용자의 랩톱 및 스마트폰의 지리적 위치를 수집한 결과 지리적으로 다른 위치에 있는 경우 리스크 수준에 따라 인증 프로세스에 추가 단계를 요청합니다. 예를 들어, 스마트폰에 인증을 요청하는 푸시 알림을 보낼 수 있습니다.

• 통합 ID를 사용하여 더 안전하게 인증하고 사용자 로그온 간소화

– 타사 디렉토리에 통합 인증을 사용할 경우 다음과 같은 보안 문제 방지

• 디렉토리 동기화

• 여러 개의 암호를 사용하여 사용자가 암호를 적어두어야 하거나 모든 애플리케이션에 같은 암호를 재사용하는 경우

• 모바일 기술을 사용하여 Windows, OSX, iOS, Android, QNX 등 기기에서 실행하는 운영 체제에 상관없이 기기의 보안 대비 태세를 자동으로 보장

– 예: 기기를 폴링하여 패치 누락과 같은 모든 보안 문제를 파악하고 즉시 패치를 전개하여 문제 해결

VMware, Inc. 3401 Hillview Avenue Palo Alto CA 94304 USA Tel 877-486-9273 Fax 650-427-5001 www.vmware.com 서울시 강남구 영동대로 517 아셈타워 13층 (우) 06164 전화: (02) 3016-6500 e-메일: [email protected] © 2017 VMware, Inc. All rights reserved. 본 제품은 미국 및 국제 저작권과 지적 재산권에 관한 법률의 보호를 받습니다. VMware 제품은 http://www.vmware.com/kr/support/patents에 기술된 하나 이상의 특허로 보호받습니다. VMware는 미국 및 기타 관할 지역에서 VMware, Inc. 및 자회사의 등록 상표 또는 상표입니다. 이 문서에 언급된 기타 명칭과 표시는 모두 해당 소유권자의 상표입니다. Item No: vmw-0044-wp-cyber-hygiene-A4-102 8/17

클라우드 모빌리티 - vmware · 원 의원, ceo, 경영진 등 정부 기관 및 업계의...

Documents