원문 “Zero Trust Architecture, NIST Special Publication 800-207” [1]
번역 by Google Translate
제로 트러스트 아키텍처는 다음과 같은 제로 트러스트 기본 원칙을 준수하도록 설계 및 배포됩니다.
1. 모든 데이터 소스 및 컴퓨팅 서비스는 리소스로 간주됩니다. 네트워크는 여러 클래스의 장치로 구성될 수 있습니다. 네트워크에는 집계/저장소, SaaS(Software as a Service), 액추에이터에 명령을 보내는 시스템 및 기타 기능으로 데이터를 보내는 작은 설치 공간 장치가 있을 수 있습니다. 또한 기업은 기업 소유 리소스에 액세스할 수 있는 경우 개인 소유 장치를 리소스로 분류하기로 결정할 수 있습니다.
2. 네트워크 위치에 관계없이 모든 통신이 보호됩니다. 네트워크 위치만으로는 신뢰를 의미하지 않습니다. 기업 소유 네트워크 인프라(예: 레거시 네트워크 경계 내부)에 있는 자산의 액세스 요청은 기업 소유가 아닌 다른 네트워크의 액세스 요청 및 통신과 동일한 보안 요구 사항을 충족해야 합니다. 즉, 엔터프라이즈 네트워크 인프라에 있는 장치를 기반으로 신뢰가 자동으로 부여되어서는 안 됩니다. 모든 통신은 가능한 가장 안전한 방식으로 수행되어야 하며 기밀성과 무결성을 보호하고 소스 인증을 제공해야 합니다.
3. 개별 엔터프라이즈 리소스에 대한 액세스 권한은 세션별로 부여됩니다. 액세스 권한이 부여되기 전에 요청자에 대한 신뢰가 평가됩니다. 작업을 완료하는 데 필요한 최소한의 권한으로 액세스 권한도 부여해야 합니다. 이는 이 특정 트랜잭션에 대해 “최근에”를 의미할 수 있으며 세션을 시작하거나 리소스와 트랜잭션을 수행하기 전에 직접 발생하지 않을 수 있습니다. 그러나 한 리소스에 대한 인증 및 권한 부여는 다른 리소스에 대한 액세스 권한을 자동으로 부여하지 않습니다.
4. 리소스에 대한 액세스는 동적 정책(클라이언트 ID, 애플리케이션/서비스 및 요청 자산의 관찰 가능한 상태 포함)에 의해 결정되며 기타 행동 및 환경 속성을 포함할 수 있습니다. 조직은 보유하고 있는 리소스, 구성원(또는 페더레이션 커뮤니티에서 사용자를 인증하는 기능) 및 해당 구성원에게 필요한 리소스에 대한 액세스 권한을 정의하여 리소스를 보호합니다. 제로 트러스트의 경우 클라이언트 ID에는 사용자 계정(또는 서비스 ID) 및 기업에서 해당 계정에 할당한 관련 속성 또는 자동화된 작업을 인증하기 위한 아티팩트가 포함될 수 있습니다. 자산 상태 요청에는 설치된 소프트웨어 버전, 네트워크 위치, 요청 시간/날짜, 이전에 관찰된 동작 및 설치된 자격 증명과 같은 장치 특성이 포함될 수 있습니다. 행동 속성에는 자동화된 주제 분석, 장치 분석 및 관찰된 사용 패턴에서 측정된 편차가 포함되지만 이에 국한되지 않습니다. 정책은 조직이 주체, 데이터 자산 또는 애플리케이션에 할당하는 속성을 기반으로 하는 액세스 규칙 집합입니다. 환경 속성에는 요청자 네트워크 위치, 시간, 보고된 활성 공격 등과 같은 요소가 포함될 수 있습니다. 이러한 규칙 및 속성은 비즈니스 프로세스의 요구 사항과 허용 가능한 위험 수준을 기반으로 합니다. 리소스 액세스 및 작업 권한 정책은 리소스/데이터의 민감도에 따라 달라질 수 있습니다. 가시성과 접근성을 모두 제한하기 위해 최소 권한 원칙이 적용됩니다.
5. 기업은 모든 소유 및 관련 자산의 무결성과 보안 태세를 모니터링하고 측정합니다. 본질적으로 신뢰할 수 있는 자산은 없습니다. 기업은 리소스 요청을 평가할 때 자산의 보안 상태를 평가합니다. ZTA를 구현하는 기업은 CDM(Continuous Diagnostics and Mitigation) 또는 이와 유사한 시스템을 구축하여 장치 및 애플리케이션의 상태를 모니터링하고 필요에 따라 패치/수정을 적용해야 합니다. 전복된 것으로 밝혀지고 알려진 취약성이 있거나 기업에서 관리하지 않는 자산은 다음과 같은 것으로 간주되는 기업이 소유하거나 기업과 관련된 장치와 다르게 취급될 수 있습니다(기업 리소스에 대한 모든 연결 거부 포함). 가장 안전한 상태. 이는 일부 리소스에 액세스할 수 있지만 다른 리소스에는 액세스할 수 없는 관련 장치(예: 개인 소유 장치)에도 적용될 수 있습니다. 이것 역시 엔터프라이즈 리소스의 현재 상태에 대한 실행 가능한 데이터를 제공하기 위해 강력한 모니터링 및 보고 시스템이 필요합니다.
6. 모든 리소스 인증 및 권한 부여는 동적이며 액세스가 허용되기 전에 엄격하게 적용됩니다. 이는 액세스 권한 획득, 위협 검색 및 평가, 적응 및 진행 중인 통신에 대한 신뢰 재평가의 지속적인 주기입니다. ZTA를 구현하는 기업은 ICAM(Identity, Credential, Access Management) 및 자산 관리 시스템을 갖추고 있어야 합니다. 여기에는 일부 또는 모든 엔터프라이즈 리소스에 액세스하기 위한 다단계 인증(MFA) 사용이 포함됩니다. 재인증 및 재승인이 가능한 지속적인 모니터링은 보안, 가용성, 유용성, 비용 효율성.
7. 기업은 자산, 네트워크 인프라 및 통신의 현재 상태에 대해 가능한 한 많은 정보를 수집하고 이를 사용하여 보안 태세를 개선합니다. 기업은 자산 보안 상태, 네트워크 트래픽 및 액세스 요청에 대한 데이터를 수집하고, 해당 데이터를 처리하고, 얻은 통찰력을 사용하여 정책 생성 및 시행을 개선해야 합니다. 이 데이터는 주체의 액세스 요청에 대한 컨텍스트를 제공하는 데에도 사용할 수 있습니다(섹션 3.3.1 참조).
참고사이트
[1] NIST SP 800-207, https://csrc.nist.gov/publications/detail/sp/800-207/final
