다섯 살도 알 수 있게 · 보안
제로 트러스트가 뭐예요?
제로 트러스트(Zero Trust)를 문마다 다시 물어보는 성 이야기로 풀어봤어요.
옛날 성은 성문만 지켰어요.한 번 들어오면 어디든 갈 수 있었어요.
안에 있다고 다 믿으면 안 돼요.훔친 모자만 있으면 성문은 통과해요. 발자국도 안 남기고요.
제로 트러스트는 문마다 물어보는 성이에요.성문을 지났어도, 방마다 다시 물어요.
누구세요?얼굴, 모자, 암호까지
이 방에 볼일 있어요?필요한 방만
지금 괜찮아요?신발에 진흙은 안 묻었나
열쇠는 방 하나, 잠깐만이에요.부엌 열쇠로 금고는 못 열어요. 시간이 지나면 열쇠가 사라져요.
매번 묻는 건 귀찮아요.그래서 얼굴 확인은 기계가 1초에 해요. '아무도 안 믿는다'가 아니라 '확인하고 믿는다'예요.
한 줄로
제로 트러스트 = 성문을 지났어도 문마다 다시 묻는 성. 열쇠는 방 하나, 잠깐만.
성벽 안쪽이라고 자동으로 믿지 않아요. 존 킨더백(John Kindervag)이 2010년에 이름 붙였고, 미국 NIST가 SP 800-207(2020)로 정리했어요.
어른들은 이렇게 불러요
- 경계 방어
Perimeter security - 성문만 지키기. 옛날 방식. '성과 해자(castle-and-moat)'라고도 불러요.
- 신원 확인
Identity / MFA - 누구세요? 얼굴 하나로는 부족해서 모자와 암호도 같이 봐요. 그게 다중 인증(MFA).
- 최소 권한
Least privilege - 방 하나 열쇠. 볼일 있는 방만, 필요한 동안만.
- 기기 상태
Device posture - 신발에 진흙? 그 사람이 들고 온 컴퓨터가 지금 괜찮은지도 봐요.
- 마이크로 세그멘테이션
Micro-segmentation - 문마다 파수꾼. 복도를 잘게 나눠서 한 방이 뚫려도 옆방은 못 가요. → 복도 이야기
- 지속 검증
Continuous verification - 들어간 뒤에도 봐요. 한 번 통과가 끝이 아니에요. 경비견이 계속 봐요.
- NIST SP 800-207
NIST SP 800-207 - 규칙책. 미국 표준기관이 2020년에 낸 제로 트러스트 안내서.
다음 이야기
열쇠 대신 입장권 →