여러분님을 위한 뉴스레터, 에쓱-케어입니다!

매달 새로운 IT보안 소식을 여러분님께 배달해드립니다 :)

피드백하기   |   구독하기 

제로 트러스트, 시작도 안 했는데 벌써부터 '피곤'

'~카더라'가 많은 제로 트러스트(Zero Trust), 이걸로 종결합니다

또 난리입니다.

최근 Microsoft사가 글로벌 해커집단에 의해 해킹사고를 겪은 것인데요.

바로 중국 해커로 추정되는 공격자들이 중국 회담을 앞두고 미국 상무부 장관, 주중 미국 대사, 국무부 동아시아 담당 차관보의 이메일에 접근한 사실이 밝혀졌습니다.

이에 대해 WIZ 리서치팀은 중국추정 공격자인 Storm-0558의 위협행위에 대해 아래와 같이 분석하였습니다.

그들은 먼저 Microsoft 엔지니어의 계정을 손상시킨 후 Microsoft 네트워크와 디버깅 환경에 대한 액세스 권한을 취득하여 MSA 키를 획득하고 이를 사용하여 Outlook 웹 액세스(OWA) 및 Outlook.com의 액세스 토큰을 위조하였습니다. 그리고 Microsoft의 토큰 확인 프로세스가 가진 두 가지 보안 문제를 악용하여 공격자가 원하는 사용자 인증을 통해 모든 메일 내용에 접근이 가능해졌다고 분석하였습니다.

이 사례로 미루어 봤을 때 다년간 사용되어온 인증 체계라 하더라도 언제든 무력화될 수 있으며, 사용자의 실수, 잘못된 인프라 구성 등을 가정하여 보다 적극적인 제로 트러스트 환경 구축의 필요성을 시사합니다.

하지만 제로 트러스트, 과대광고 심하다

제로 트러스트에 대한 관심은 높지만, 기업·기관은 어떻게 시작해야 할지 갈피를 잡지 못하고 있습니다. 그럴 수밖에 없는 것이, 제로 트러스트의 범위가 너무나도 광대하며, 제로 트러스트 붐을 불러온 미국 마저도 제로 트러스트 구현 방법과 전략에 대한 의견이 분분한 상황이기 때문이죠.

또한 글로벌 IT 기업들은 새로 떠오르는 제로 트러스트 시장에서 기술 주도권을 잡기 위해 각자 자사의 경쟁력 있는 기술을 중심으로 생태계를 만들려고 하고 있는 상황입니다.

그렇다면 제로 트러스트, 어떻게 해야 옳은 방법일까? 🧐

에스케어 윤우희 부사장은 “제로 트러스트에서 가장 중요한 것은 활용자산과 행위 주체를 명확히 하고 최대한 세분화할 수 있는 단계까지 나누어야 한다”고 말했으며 그 핵심엔 [Identity], [Access Control], [Edge] 이 3가지 요소가 필수로 들어가야 한다고 언급했습니다.

Part 1. Zero Trust – Identity

제로 트러스트 아이덴티티란 아이디, 패스워드, MFA 기반 로그인 검증으로 보안성이 완벽하다 가정하지 않습니다.

기업 인프라에 연결된 사용자, 시스템, 서비스 간의 모든 상호 작용에서 항상 인증과 검증을 수행합니다. 위협을 방어하기 위해 최소한의 권한 제공의 원칙에 따라 필요 권한만을 제공하고, 다양한 컨텍스트 (장치, 위치, 시간, 상태 등)에 따라 위험을 평가하고 접근 권한/범위를 동적으로 조정합니다. 다단계 인증과 같은 강력한 검증 매커니즘을 통해 인증 과정의 보안을 강화하며, 모든 아이덴티티는 지속적으로 모니터링되고 평가됩니다.

• 제로 트러스트 아이덴티티 구성 요소  : 지속적인 인증, 최소 권한 원칙, 컨텍스트 기반 접근, 다단계 인증(MFA), 인증 및 권한 부여 분리

그 외 [Access Control], [Edge]를 어떻게 정의하였는지,

실제로 국내에 구현한 사례가 있는지 궁금하지 않으세요?

아래 링크를 통해 간단한 설문 하시면 메일을 통해 자료집을 전달 드리겠습니다 🤩

⏰ 행사/이벤트 안내

[오프라인 행사] 글로벌 사이버 보안의 트렌드 및 국내 적용 전략

📌 “北에 정보유출, 개표 조작도 가능”…’구멍’ 뚫린 선관위 보안 더보기

중앙선거관리위원회의 사이버 보안 관리가 허술해 해킹 공격에 취약한 상태라고 보도되었습니다. 국정원에 따르면 지난 7월부터 두 달여 동안 중앙선관위, 한국인터넷진흥원 등 TFT팀을 구성해 점검한 결과 3군데 이상에서 해킹 대응 취약점이 발견되었다고 이 같이 밝혔습니다. 특히 유권자 등록 현황을 관리하는 ‘통합선거인명부시스템’에는 인터넷으로 선관위 내부망에 침투할 수 있는 데다 접속 권한과 계정관리가 부실해 해킹이 가능한 것으로 확인됐다고 설명했습니다.

📌 정부 ‘사이버 보안 10만 인재’ 어디에…”파이 커져야 인력 배출도 가능” 더보기

최근 몇 년간 국내에서 사이버 보안 사고가 빈번하게 발생하고 있지만 보안인재 채용 및 인력 유지에 어려움이 있습니다. 이를 대응하기 위해 정부는 앞서 ‘사이버 10만 인재 양성’을 내세웠으나,여러가지 이유로 성과를 내지 못하였는데요, 업계 관계자에 따르면 결국 업계의 ‘파이’가 커져야 한다는 의견을 내놓았습니다. 이를 위해선 한 정보보호대학원 교수는 정부의 과도한 규제를 풀어줘야 한다고 주장했지만, 정부는 지속적으로 보안 예산을 늘리는 중이라며 여전히 원론적 입장을 내놓고 있습니다.

📌 바클레이즈, 지스케일러 ‘비중확대’로 상향… 새로운 형태 사이버보안 성장 이익 더보기

9일 CNBC에 따르면 바클레이즈는 지케일러의 투자의견을 비중확대로 상향조정하고 목표주가를 176달러에서 190달러로 올렸다고 밝혔습니다. 이유는 바클레이즈가 지케일러의 1)워크로드 플랫폼이 성장하고 있으며 2)보안 액세스 서비스 엣지(SASE) 사업 부문도 확대해나가고 있어, SASE에서 점유율을 확보할 것이라고 판단했기 때문입니다.