The Zero Trust Evolution

제로 트러스트(Zero Trust)라는 새로운 보안 모델은 현대 작업장의 증가하는 보안 문제를 해결합니다. 이름에서 알 수 있듯이 제로 트러스트(Zero Trust)의 기본 원칙은 데이터 흐름에서 단일 요소가 본질적으로 항상 신뢰되지 않는다는 것입니다. 대신 보안 상태 및 공격에 대한 지속적인 테스트는 회사 내 모든 사용자의 모든 워크로드, 서버, 네트워크 연결 및 엔드포인트에 구축됩니다.

엔드포인트 사용자뿐만 아니라 데이터 센터에서도 제로 트러스트 인프라를 확보하는 방법에 대한 실무 사례를 설계하고 구축했습니다. 이 아키텍처는 VMware 제품의 고유한 조합을 사용하여 Zero Trust를 이해하기 위한 출발점을 제공하며, Zero Trust 인프라가 확장됨에 따라 개념이 확장될 수 있습니다.

VMware는 엔드 투 엔드 Zero Trust 아키텍처를 더욱 단순화하고 제공하기 위해 제로 트러스트(Zero Trust)를 염두에 두고 설계하면서 클라우드 솔루션을 지속적으로 발전시키고 있습니다.

개요

모든 보안 모델은 가정을 기반으로 구축됩니다. 예를 들어, 기존의 엔터프라이즈 사이버 보안은 워크로드에서 최종 사용자에 이르기까지 기업 내의 모든 시스템이 알려져 신뢰받는 반면, 기업 외부의 모든 시스템은 덜 알려져 덜 신뢰받는다는 가정 하에 구축되었습니다.

유용한 비유는 높은 성벽과 해자를 가진 중세 성의 비유입니다; 성벽 안의 모든 것은 신뢰되고, 바깥은 덜 신뢰됩니다. 마찬가지로, 기존의 엔터프라이즈 보안은 한때 사무실 건물의 문을 통해 출입을 제어하는 배지와 같은 물리적 계층과 사설 기업 컴퓨터 네트워크를 수용하고 보호하는 방화벽 및 기타 사이버 제어를 포함한 가상 계층으로 구성된 단일 울타리 경계로 구성되었습니다. 대부분의 컴퓨터 시스템이 회사 구내에 남아 있고 회사 네트워크에만 연결되었을 때 이 성곽과 해자 기반 보안 모델은 의미가 있었습니다. 그러나 모바일 컴퓨팅과 클라우드 호스팅 애플리케이션의 폭발적인 성장 이전에도 이러한 모델은 범죄자와 국가가 후원하는 행위자가 너무 자주 악용하는 분명한 결함을 가지고 있었습니다.

사이버 보안은 새로운 위협이 출현함에 따라 항상 발전해 왔습니다. 그러나 COVID-19 대유행은 원격으로 근무하는 직원으로 전환하는 것을 고려할 때 특정 취약성을 해결해야 하는 필요성을 가속화했습니다. 또한 서비스형 인프라, 서비스형 플랫폼, 서비스형 소프트웨어(SaaS) 등 온디맨드 방식으로 액세스할 수 있는 멀티 클라우드 워크로드에 점점 더 많이 의존하고 있습니다. 이러한 요인들은 기업 사이버 보안 모델을 뒷받침하는 기본적인 가정을 재검토해야 할 긴급한 필요성을 제기합니다. 직장 및 워크로드 보안 모두에 대한 새로운 접근 방식이 필요합니다.

제로 트러스트로 들어가 보겠습니다.

제로 트러스트란?

간단히 말해서 제로 트러스트(Zero Trust)는 “기기를 신뢰하지 않고, 사용자를 신뢰하지 않음”을 의미합니다. 모든 사용자와 시스템에 대해 액세스가 지속적으로 재평가되고 모든 장치와 사용자 ID는 다중 요소 검증을 거칩니다. 그러나 제로 트러스트(Zero Trust)는 장치 및 사용자가 네트워크에서 작동하는 방식을 모니터링함으로써 더욱 발전합니다. 예를 들어 사용자 또는 장치가 어느 위치에서 데이터에 액세스합니까? 그리고 이 데이터에 액세스하는 것이 해당 사용자 또는 장치의 정상적인 동작으로 간주됩니까? 이러한 질문에 대한 답변이 수락 가능한 경우에만 해당 특정 활동에 필요한 최소한의 액세스 권한이 부여됩니다.

기존 경계 보안

기존의 보안 모델은 기기와 사용자를 단순히 방어합니다. 이 모델은 네트워크 내에서 액세스 권한이 부여된 경우 자유롭게 돌아다닐 수 있다고 가정합니다. 특정 섹션에는 잠겨 있을 수 있지만 대부분의 경우 출입구에서 확인 후 출입이 허용되면 네트워크의 대부분의 시스템에 액세스할 수 있습니다. 지금까지 관리자는 ACL(액세스 제어 목록), VLAN(가상 로컬 영역 네트워크), 프라이빗 VLAN 및 내부 방화벽을 사용하여 외부 네트워크로부터 분리되는 영역을 만드는 등 다양한 방법으로 네트워크 내의 액세스를 제어하려고 노력해 왔습니다. 이러한 전략은 물리적 장치 및 네트워크 포트가 있는 영역에 권한이 있는 사용자만 액세스할 수 있도록 보장하는 물리적 보안과 함께 내부 네트워크 보안을 강화하지만 여전히 많은 허점을 남깁니다. 새롭게 발생하는 위협으로 인해 끊임없이 변화하는 환경에서 기기를 관리하면 IT 리소스에 큰 부담이 됩니다.

제로 트러스트 보안

제로 트러스트(Zero Trust)를 사용하면 외부 시스템이 들어오기를 기다리는 것과 정확히 같은 방식으로 주변 문을 통해 진입할 수 있는 시스템을 볼 수 있습니다. 두 경우 모두에서 우리의 가정은 동일합니다. 그렇지 않다는 것이 입증되기 전까지는 시스템은 본질적으로 신뢰할 수 없습니다. 또한 사람과 기기가 네트워크에 대한 액세스 권한을 부여받으면 더 이상 돌아다니고 탐색할 수 있는 자유가 없습니다.

데이터 센터에서도 서로 상호 작용하는 워크로드가 암묵적으로 서로를 신뢰하는 것은 아닙니다. 각 트랜잭션 또는 작업 요청은 인증 유효성 검사 프로세스뿐만 아니라 장치 유효성 검사, 액세스 관리 및 실행 프로세스의 동작 분석도 수행합니다. 이러한 평가는 함께 시스템의 보안 상태, 즉 신뢰 상태를 실시간으로 검사합니다. 이러한 평가 중 하나라도 잠재적인 손상 또는 허용할 수 없는 위험 수준을 나타내는 경우 추가 재검증 단계가 트리거될 수 있으며 네트워크 정책에 따라 추가 액세스가 제한되거나 거부될 수 있습니다. 정책이 엄격할수록 검증 작업이 엄격해집니다. 또한 모든 트랜잭션은 감사를 거치므로 네트워크의 모든 활동에 대한 명확한 추적 정보가 유지됩니다.

제로 트러스트 원칙을 설계

VMware는 NSX 제품군, Workspace ONE을 통한 강력한 엔드포인트 관리, AI 기반 엔드포인트 및 워크로드 플랫폼 Carbon Black을 통한 자동화를 통해 소프트웨어 정의 네트워킹(SDN)을 지원합니다. 워크로드 VM(가상 머신) 암호화, TPM(신뢰할 수 있는 플랫폼 모듈)을 통한 하드웨어 기반 검증, vSphere Trust Authority를 통한 워크로드 신뢰 인증 등 vSphere의 기능과 결합된 이 세 가지 솔루션은 제로 트러스트 원칙에 부합하는 최신 인프라 구축을 위한 강력한 기반을 마련합니다.

엔드포인트 사용자뿐만 아니라 데이터 센터에서도 이러한 제품을 결합하여 제로 트러스트 인프라를 확보하는 방법에 대한 실무 사례를 설계하고 구축했습니다. 이 아키텍처는 제로 트러스트에 대한 이해의 출발점을 제공하며, 제로 트러스트 인프라가 확장됨에 따라 개념이 확장될 수 있습니다.

아키텍처

엔드포인트 제로 트러스트

VMware Carbon Black Cloud 센서는 알려진 악성 프로그램 및 알려지지 않은 악성 프로그램으로부터 보호하고, 육지 공격으로부터 살아 숨쉬는 소프트웨어 취약성 파악, 잠재적인 공격을 조사하기 위한 위협 사냥 및 원격 대응, VMware Workspace ONE에 대한 추가 위협 원격 측정 기능을 제공합니다. VMware Workspace ONE Unified Endpoint Management(UEM)은 도메인 수준 인증뿐만 아니라 소프트웨어, 네트워크 및 사용자 액세스 정책에 대한 엔드포인트 준수 여부도 검사합니다. Workspace ONE Access는 사용자가 조직 내에서 액세스할 수 있는 애플리케이션을 적용하는 반면, Workspace ONE UEM은 엔드포인트가 소프트웨어 빌드 및 현재 패치 수준에 관한 기업 표준을 준수하는지 확인합니다. 이 두 가지가 함께 다요소 인증을 제공합니다. 한편, Workspace ONE Intelligence는 위험 신호와 추가 대응 조치의 자동화를 제공하며, Carbon Black Cloud 및 타사 애플리케이션의 신호를 활용할 수 있습니다.

데이터 센터 제로 트러스트

제로 트러스트(Zero Trust)로 데이터 센터를 보호하기 위해 SDN 모델로 이동합니다. VMware NSX를 사용하면 데이터 센터를 쉽게 분할하고 마이크로 세분화 규칙을 애플리케이션 레벨까지 적용할 수 있습니다. VMware vSphere는 클라우드 인프라를 제공하고 워크로드에 대한 하드웨어 ID 및 규정 준수를 보장합니다.

제로 트러스트 콘트롤 플레인

제로 트러스트 제어 영역은 제로 트러스트 워크로드 환경과 분리되어 있습니다. 사내 데이터 센터의 경우 별도의 제어 소프트웨어 스택을 호스팅하는 vSphere 클러스터를 구축하여 워크로드 환경을 관리합니다. 엔드포인트는 AD(Active Directory) 인증을 위한 내부 커넥터가 있는 퍼블릭 클라우드에서 실행되는 Workspace ONE의 SaaS 인스턴스를 사용하여 관리됩니다.

다음 다이어그램은 전체 종단 간 제로 트러스트 워크플로의 개요를 제공합니다. 이 다이어그램의 각 섹션에 대해 더 자세히 논의하고 각 구성 요소가 워크플로우에 어떻게 결합되는지 설명합니다.

사용자 액세스 보호

다음 다이어그램에서는 일반적인 Workspace ONE 환경을 보여 줍니다. 엔드포인트 제로 트러스트를 사용하여 엔드포인트가 앱에 보안되는 방식을 나타냅니다. 사용자와 엔드포인트가 규정 준수 여부를 검사하는 동안 이 예제의 내부 데이터 센터는 여전히 기존의 네트워크 접근 방식인 울타리를 치고 있습니다. 이 설정은 엔드포인트에서 대상 서버 앱으로의 제로 트러스트 연결을 제공하지만 데이터 센터의 백엔드 서버 간에 제로 트러스트 원칙을 적용하지 않습니다. 조건부 액세스 및 규정 준수 정책을 사용하는 보안은 워크로드 체인에서 가장 취약한 연결 중 하나를 해결하지만 데이터 센터 내에는 여전히 취약한 보안 격차가 있습니다.

안전한 워크로드 액세스

데이터 센터에서는 NSX를 적용하여 보안 태그를 사용하여 마이크로 세그먼트 네트워크 토폴로지를 생성합니다. 이러한 보안 태그는 특정 가상 시스템과 연결하는 단순한 레이블입니다. 여러 보안 태그가 워크로드를 식별할 수 있습니다. Security Group의 일치 기준은 보안 태그일 수 있으며 태그가 지정된 워크로드는 Security Group에 자동으로 배치될 수 있습니다. 악성 프로그램이나 취약성 검색 결과 또는 침입 방지 시스템의 경고와 같은 다양한 기준에 따라 VM의 보안 태그를 동적으로 추가하거나 제거할 수 있습니다. 보안 태그는 VMware Carbon Black Workload Protection을 통해 추가 및 제거할 수도 있습니다(보안 태그에 대한 자세한 내용은 https://docs.vmware.com/en/VMware-NSX-Data-Center-for-vSphere/6.4/com.vmware.nsx.admin.doc/GUID-0D5905B1-44EA-489D-8DF5-9208AB5E3754.html)

NSX 보안 태그를 사용하여 동일한 네트워크 세그먼트에서조차 네트워크 계층에서 호스트 간의 트래픽을 필터링합니다. 이것은 IP, MAC 필터 포트 또는 기타 IP 주소에 따라 액세스를 결정하는 일반적인 네트워크 ACL이 아닙니다. 대신, 서버 A에서 서버 B로의 트래픽에 대한 계층 7 정책 기반 규칙을 만들어 전송되는 패킷 기준에 따라 조건부 액세스를 허용하거나 거부했습니다. NSX는 이 트래픽을 동적으로 보고 고유한 특성(일종의 지문)을 식별합니다. 트래픽이 사용하는 포트에 관계없이 해당 지문에 따라 트래픽에 적용되는 방화벽 규칙이 결정됩니다.

NSX의 컨텍스트 인식 방화벽을 사용하면 특정 특성, 운영 체제 및 애플리케이션 식별자를 기반으로 규칙을 만들 수 있습니다. 또한 VMware Horizon 또는 VDI(가상 데스크톱 인프라) 연결을 위한 동등한 데스크톱 VDI 솔루션과 함께 구축된 사용자의 AD 그룹을 기반으로 한 ID 기반 방화벽 필터링 트래픽에도 적용됩니다.

NSX Advanced Load Balancer(이전의 Avi 네트워크)를 배포하고 Avi Distributed Load Balancer 서비스 엔진을 사용하여 트래픽을 iWAF(Intelligent Web Application Firewall) 정책을 통해 강제 적용함으로써 다른 보안 계층을 추가할 수 있습니다. iWAF 정책은 웹 애플리케이션 보안 기능을 제공하며, 유럽 연합의 일반 데이터 보호 규정, 미국 연방 의료 보험 이동성 및 책임법 및 지불 카드 산업 데이터 보안 표준과 같은 정부 법률 및 표준을 준수하도록 지원합니다.

이 설정을 포지티브 보안 모델이라고 하는데, 이는 특정적으로 포지티브 신뢰 척도가 할당되기 전까지는 어떤 엔티티도 신뢰되지 않기 때문입니다. 또한 iWAF는 지능형 방화벽이기 때문에 더 많은 트래픽을 필터링할수록 보안에 있어 더 똑똑해집니다. 일반적인 보안 정책은 정적인 반면, iWAF 정책은 방화벽이 학습하는 대로 진화합니다. iWAF는 지속적으로 학습하고 교육하기 때문에 분산된 서비스 거부 공격 및 Open Web Application Security Project에서 파악한 10대 보안 위험을 비롯한 기타 위협으로부터 실시간으로 애플리케이션을 보호할 수 있습니다. 정책 설정에 따라 긍정 보안 모델을 사용하면 잘못된 긍정도 최소화할 수 있습니다.

UAG(Unified Access Gateway), NSX-T 마이크로 세분화 및 Avi 고급 로드 밸런서 iWAF 정책을 결합하여 워크로드의 연결 라이프사이클 전체에 걸쳐 엔드포인트에서 애플리케이션, 데이터에 이르기까지 모든 연결 접점을 여러 번 확인합니다.

제로 트러스트 호스팅

제로 트러스트 원칙의 기본 전제 조건을 다시 살펴보겠습니다. 최종 사용자와 애플리케이션 워크로드 간의 데이터 흐름 또는 애플리케이션을 구성하는 워크로드 요소 간의 단일 요소는 항상 기본적으로 신뢰되지 않습니다. 보안 환경을 구축할 때 하드웨어, 하이퍼바이저 계층 및 데이터스토어의 보안은 애플리케이션 스택의 보안만큼이나 중요하다는 점을 명심하십시오.

호스트 서버에서 TPM을 사용하면 하드웨어에 연결된 신뢰 보장이 제공됩니다. VMware의 베어 메탈 하이퍼바이저 ESXi를 호스팅하는 서버의 TPM 2.0 칩이 호스트의 ID를 증명합니다. Unified Extensible Firmware Interface 보안 부팅을 사용하면 운영 체제 부팅 중에 서명된 소프트웨어만 로드됩니다.

증명은 지정된 시간에 호스트 소프트웨어의 상태를 인증하고 평가하는 프로세스입니다. 원격 증명 프로세스의 고급 단계는 다음과 같습니다.

원격 TPM의 신뢰성을 설정하고 여기에 Attestation Key(AK)를 만듭니다. ESXi 호스트를 vCenter Server에 추가, 재부팅 또는 다시 연결하면 vCenter Server가 호스트에 AK를 요청합니다. AK 생성 프로세스의 일부에는 신뢰할 수 있는 공급업체가 TPM 하드웨어를 생산했는지 확인하기 위한 TPM 하드웨어 자체의 검증이 포함됩니다.
호스트에서 Attestation Report를 검색합니다. vCenter Server는 호스트가 TPM에서 서명한 Platform Configuration Registers의 견적(quote)과 기타 서명된 호스트 이진 메타데이터를 포함하는 Attestation Report를 보내도록 요청합니다. 정보가 신뢰할 수 있는 구성과 일치하는지 확인하여 vCenter Server는 이전에 신뢰할 수 없었던 호스트에서 플랫폼을 식별합니다.
호스트의 신뢰성을 확인합니다. vCenter Server는 서명된 견적의 신뢰성을 확인하고, 소프트웨어 버전을 추론하고, 해당 소프트웨어 버전의 신뢰성을 결정합니다. vCenter Server에서 서명된 견적이 잘못되었다고 판단하면 원격 증명이 실패하고 호스트를 신뢰할 수 없습니다.

신뢰할 수 있는 플랫폼 모듈로 ESXi 호스트 보안에 대한 자세한 내용은 https://docs.vmware.com/en/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-10F7022C-DBE1-47A2-BD86-3840C6955057.html을 참조하십시오.

VM 또는 컨테이너 호스팅에 사용되는 모든 데이터스토어는 암호화를 사용하여 제로 트러스트 환경의 무결성을 보장해야 합니다. 엔터프라이즈급 스토리지 가상화 소프트웨어 vSAN을 사용하면 미사용 데이터와 전송 중인 데이터 암호화를 모두 데이터스토어에 구현하여 모든 가상 시스템과 데이터를 보호할 수 있습니다.

제로 트러스트 워크로드 인프라의 증명을 관리하기 위해 제어 영역에 트러스트 기관 클러스터를 추가하면 전체 환경의 증명과 워크로드의 증명이 구분됩니다. vSphere Trust Authority 클러스터는 중앙 집중식 보안 관리 플랫폼 역할을 합니다.

신뢰할 수 있는 기관 클러스터는 원격으로 신뢰할 수 있는 클러스터의 ESXi 호스트를 증명하여 신뢰할 수 있는 키 제공자를 사용하여 가상 시스템 및 가상 디스크를 암호화하기 위해 신뢰할 수 있는 클러스터의 증명된 ESXi 호스트에만 암호화 키를 해제합니다.

제로 트러스트 콘트롤 플레인

워크로드와 엔드포인트 환경은 제로 트러스트 원칙을 따르지만 이를 모두 관리하는 제어 영역은 동일한 설계 원칙을 따를 수 없습니다. 문제는 제로 트러스트의 컨트롤 플레인이 존재하기 전에 어떻게 제로 트러스트(Zero Trust)가 존재할 수 있는가 하는 것입니다. 그리고, 우리가 먼저 콘트롤 플레인을 세우고 제로 트러스트 정책을 밀어붙인다면, 콘트롤 플레인에 문제가 생기면 어떻게 될까요? 우리 건축물에 갇힐 수도 있습니다. 중세시대 성의 비유로 돌아가자면, 성은 도랑 다리를 올려놓을 것입니다. 해자의 반대편에 있는 우리와 말이죠.

이것이 바로 우리가 이 아키텍처에 매우 안전한 울타리 안에 컨트롤 플레인 설계를 구축하는 이유입니다. 거기서부터 제로 트러스트 워크로드 환경을 실행합니다. 제어 영역은 나머지 워크로드 및 기업 네트워크와 구분되며, 매우 제한된 팀에 매우 엄격한 액세스 정책을 적용합니다. 이 인프라를 관리하기 위해 다른 AD 하위 도메인을 사용하면 워크로드 Zero Trust 환경과의 연결 또는 신뢰 없이 사용자 자격 증명이 분리됩니다. 사용자 자격 증명은 사용자 ID와 암호에만 의존하지 않고 다중 요소 인증을 활용해야 하며, 관리 기관은 일반 사용자 풀에 대한 자격 증명을 발급하고 관리하는 데 사용되는 것과 분리되어 있어야 합니다.

제어 영역을 더욱 격리하는 또 다른 접근 방식(이 아키텍처에서는 다루지 않음)은 외부 VMware 클라우드 환경을 사용하여 제어 영역을 제로 트러스트 환경으로 관리하는 것입니다. 이 경우 외부 클라우드 제어 영역은 제로 트러스트 제어 영역을 관리하며, 제로 트러스트 환경은 워크로드 제로 트러스트 환경을 관리합니다. 이 계획은 작업 부하 환경을 오가는 보안 체인을 해제하기 전에 불량 작업자가 중첩된 계층을 추가로 손상시키도록 합니다. 그러나 관리의 복잡성과 인프라 비용의 증가로 인해 이 계획은 많은 환경에서 금지될 수 있습니다.

남북 네트워킹

외부 클라이언트가 VIP(가상 IP 주소)로 요청을 전송하면 외부 라우터에서 NSX tier-0 라우터로 라우팅되고, 이 라우터는 UAG 장치의 NSX 세그먼트에 적합한 tier-1로 요청을 전달합니다. 끝점의 요청이 VIP로 계속하려면 먼저 UAG를 통과해야 합니다. UAG 어플라이언스는 별도의 세그먼트(UAG에 대한 입력용 세그먼트 하나와 AvisSE에서 UAG에서 VIP로 나가는 세그먼트 하나)에 연결됩니다. UAG 어플라이언스를 통한 조건부 액세스는 Workspace ONE 액세스 클라우드 컨트롤러의 규칙 및 조건부 검사에 따라 부여됩니다. UAG는 데이터 센터 애플리케이션에 대한 액세스를 허용하고 트래픽을 Avi VIP로 전달하기 전에 클라이언트가 적절한 장치 상태 또는 규정 준수로 사용자 인증을 충족하는지 확인합니다. 그런 다음 트래픽은 NSX 방화벽으로 전달되기 전에 Avi 로드 밸런서의 iWAF 정책과 비교하여 규정 준수 여부를 검사하며, 이 정책은 방화벽 정책의 Security Group에 연결된 보안 태그를 기반으로 패킷이 규정을 준수하는지 확인합니다.

동서 네트워킹

동쪽에서 서쪽으로의 트래픽은 유사한 방식으로 처리됩니다. 이 트래픽은 데이터 센터의 서버 내부이기 때문에 액세스가 Workspace ONE에 연결되지 않으므로 UAG가 사용되지 않습니다. 모든 트래픽이 Avi VIP로 전달됩니다. Avi는 트래픽(준수를 위한 iWAF 정책)을 처리한 후 준수 및 검증을 위해 트래픽을 NSX 방화벽으로 전달합니다. 트래픽의 보안 태그 “지문”은 네트워크 응용 프로그램을 준수해야 합니다.

A Closer Look

각 세그먼트를 자세히 살펴보면 데이터가 환경을 통해 어떻게 흐르는지 확인할 수 있으며 워크플로우의 다음 연결로 이동하기 전에 확인할 수 있습니다. 다음 섹션에서는 엔드포인트가 애플리케이션에 연결할 수 있는 기본 워크플로우를 살펴봅니다. 이는 환경을 통해 엔드포인트 연결뿐만 아니라 내부 데이터 센터 연결에 대해서도 제로 트러스트 증명을 구현하는 방법을 보여줍니다.

워크플로우

클라이언트에서 애플리케이션

엔드포인트 장치의 사용자가 애플리케이션에 대한 연결을 시작할 때 먼저 Workspace ONE에 정의된 조건부 액세스 및 규정 준수 정책을 충족해야 합니다. 이 단계에서는 엔드포인트가 호환되는 OS, 적절한 패치, 바이러스 백신 및 애플리케이션 버전을 가지고 있는지 확인하고 콘텐츠에 액세스할 수 있는 권한이 부여되기 전에 정의된 다른 정책을 충족합니다.

애플리케이션 및 데이터에 가까운 끝점 위치 및 사용자 권한도 Workspace One Access에서 정의되어 UAG 정책을 제어하여 네트워크에 진입합니다.

연결이 UAG를 통과하면 모든 데이터 센터 연결이 Avi의 서비스 엔진에서 VIP로 종료될 때 패킷이 다시 검사됩니다. iWAF는 들어오는 트래픽을 응용 프로그램 서버로 전달하기 전에 트래픽의 동작이 준수되는지 확인합니다.

아래 그래픽은 요청이 정책 및 준수 규칙을 통과할 때 패킷 검사 지점(빨간색으로 강조 표시됨)을 보여줍니다.

애플리케이션에서 데이터

데이터 센터에서 많은 프런트 엔드 호스팅 웹 애플리케이션은 데이터베이스, 파일 또는 기타 컨텐츠에 대한 백엔드 서버 연결을 통해 요청에 대한 정보를 제공합니다. 제로 트러스트 원칙에 따르면 이러한 유형의 연결은 외부 연결만큼이나 위협적이라고 간주합니다.

제로 트러스트 정책을 충족하기 위해 내부 서버 대 서버 연결을 확인하는 방법은 여러 가지가 있습니다.

한 가지 방법은 SDN VMware NSX 네트워크의 서버에 보안 태그를 적용하는 것입니다. 보안 태그를 사용하여 서버 및 연결 유형을 기반으로 규칙을 정의할 수 있습니다. 이러한 규칙은 정책 기반 규칙이므로 IP 주소 또는 가상 서버의 세그먼트를 변경해도 규칙 시행은 변경되지 않습니다. 다른 사용자가 서버의 IP 주소를 변경하거나 연결을 다른 세그먼트로 이동하더라도 시행 정책이 따릅니다. 이는 특정 IP, VLAN 또는 MAC 주소가 정책을 정의하며 시스템에서 이러한 주소를 변경하면 정책 시행이 중단될 수 있는 기존 ACL과 매우 다릅니다.

SDN 내에서 시행을 적용하는 또 다른 방법은 Avi를 활용하는 것입니다. NSX와 통합함으로써 Avi Service Engine을 사용하여 iWAF 학습 정책을 사용하여 트래픽을 검사하여 데이터 센터 내부의 잠재적 위협을 지속적으로 완화할 수 있습니다. Avi 로드 밸런서의 VIP를 통해 트래픽을 강제로 통과시킴으로써 패킷이 서버로 전달되기 전에 패킷을 검사합니다. 패킷의 동작이 정상에서 벗어나거나 의심스러운 경우 Avi는 연결을 허용하지 않습니다. 지속적인 동작 분석을 통해 탐지되지 않은 상태로 남아 있을 수 있는 애플리케이션 로직 결함의 악용으로부터 데이터 센터를 보호합니다.

배운 내용: 과거 및 미래 고려 사항

네트워크와 장치를 보호하기 위한 과거의 방법은 현대 하이브리드 클라우드 세계의 새로운 환경에 적응해야 합니다. 그러나 대부분의 조직은 리스크를 인지하거나 새로운 기술로 업그레이드하거나 마이그레이션하는 데 드는 실제 비용 때문에 레거시 애플리케이션을 원하는 것보다 훨씬 더 오래 사용할 수 있습니다. IT 팀은 새로운 작업 방식에 적응하면서 이러한 기존 애플리케이션을 계속 지원해야 합니다. 그렇기 때문에 앞으로는 조직이 제로 트러스트 원칙에 대한 하이브리드 접근 방식을 추구하게 될 것입니다.

이 아키텍처를 통해 오늘날의 VMware 제품 그룹에서 일련의 기능을 활용하여 기업이 제로 트러스트 원칙을 실현할 수 있도록 지원합니다. NAT은 계속해서 추가 기능을 추가하고 이 아키텍처를 확장할 것입니다.

전략은 일부 VMware 제품 기능을 제품 원래 설명서의 범위를 벗어나는 방식으로 적용하는 것입니다. 제품의 오남용이 아니라, 쉽게 구할 수 있는 기존 VMware 솔루션을 사용하여 제로 트러스트 원칙을 얼마나 많은 최종 목표를 달성할 수 있는지 실제로 입증해 줄 수 있다고 생각합니다.

VMware는 엔드 투 엔드 제로 트러스트 아키텍처를 더욱 단순화하고 제공하기 위해 제로 트러스트(Zero Trust)를 염두에 두고 처음부터 설계하면서 솔루션을 지속적으로 발전시키고 있습니다.

개선해야 할 영역

아키텍처가 발전함에 따라 향후 작업을 위해 다음 영역을 살펴봅니다.

중앙 집중식 제어 영역: 제로 트러스트 아키텍처를 위해 모든 구성 요소를 서로 연결할 수 있는 단일 플랫폼을 보유하는 것이 관리 및 구축을 간소화하는 데 중요합니다. 한 가지 예로, 공통 정책을 배포하고 인프라의 각 구성 요소에서 자동으로 업데이트할 수 있습니다.
중앙 집중식 감사: 인프라의 각 구성 요소에 대한 집계된 감사 로그를 통해 잠재적인 보안 위협 활동에 대한 전체 보고를 수행할 수 있습니다.
보다 긴밀한 제품 통합이 가능합니다. Avi와 NSX는 독립적으로 작동하는 것과 동일한 방식으로 함께 작동할 수 있습니다. NSX 라우터에 분산된 AVI는 동서 연결을 위해 트래픽을 분할하는 것이 좋습니다.
Workspace ONE 확장: Workspace ONE과의 애플리케이션 및 네트워크 컴플라이언스를 위한 데이터 센터 통합을 추가하면 이러한 정책이 마이크로 세분화 보안 수준에서 SDN으로 확장되고 데이터 센터가 엔드포인트에 맞게 조정됩니다.

결론

오늘날의 기업은 운영 워크로드의 상당 부분이 데이터 센터에서 클라우드로 이전한 것처럼 분산 및 원격 인력 모델로 전환했습니다. 따라서 IT는 더 이상 모든 자산, 네트워크, 데이터 및 물리적 위치를 완벽하게 제어할 수 없습니다.

기업은 더 이상 네트워크 및 관리 자산을 보호하기 위해 성과 해자 방식에 의존할 수 없습니다.

한때 많은 다운타임이 발생했지만 치료와 패치가 가능했던 컴퓨터 바이러스로부터 이제는 회사 자산을 인질로 잡거나 심지어 비즈니스를 완전히 망칠 수 있는 랜섬웨어로 발전했습니다. 사이버 위협 행위자들은 그들의 기술을 가능하게 하는 새로운 도구와 기술을 계속 개발하고 있습니다. 그들은 국가 수준까지 정교함과 자금을 계속 얻고 있습니다.

IT 조직은 진화하는 기술 환경에서 비즈니스 자산과 평판을 보호하기 위해 제로 트러스트 모델을 채택해야 합니다. VMware는 제로 트러스트(Zero Trust)를 비즈니스의 새로운 IT 워크플로우에서 표준 모델로 만들기 위한 솔루션을 제공하기 위해 노력하고 있습니다.

추가 자료

출처 : https://core.vmware.com/zero-trust-evolution

The Zero Trust Evolution

개요