전기전자/정보통신

Nikkei Network_2023.2 (p20-33)

알아야 할 ‘ID’ 기초
서비스 이용 여부 결정하는 보안의 기본

Part 1. 프롤로그
ID가 보안의 기초가 된다

‘ID(Identity)’는 모든 서비스나 애플리케이션을 이용할 때 사용한다. ID에 따라 서비스 이용 여부를 결정하는 등 보안의 기본이 되기도 한다. 여기에서는 ID를 둘러싼 최신 상황을 살펴본다.

ID를 둘러싼 상황에는 크게 3가지 흐름이 있다. ‘IDaaS(Identity as a Service)의 확대’ ‘제로 트러스트 네트워크’ ‘ID의 일원화’이다.

-- 높아지는 IDaaS의 존재감 --
IDaaS의 확대는 기업 시스템이 클라우드 서비스로 이행하는 것과 밀접하게 관련되어 있다. 이전에는 회계 시스템이나 인사 시스템과 같은 업무 시스템, 파일 서버나 메일 서버와 같은 비즈니스 툴은 사내 네트워크에 있었다. 그래서 ID도 사내 시스템으로 관리하면 충분했다.

하지만 현재는 클라우드 서비스 이용이 활발해지고 있다. 그렇게 되면 ID 관리를 사내 시스템만으로는 커버할 수 없다.

때문에 ID 관리를 클라우드 서비스로 실현하는 IDaaS가 확대되고 있는 것이다. IDaaS는 사내 시스템의 ID 관리 시스템과 연계시켜 이용하는 경우가 많다.

-- 제로 트러스트의 전제 조건 --
제로 트러스트 네트워크에 대한 관심이 최근 몇 년간 높아지고 있다. 이유는 랜섬웨어 공격 등 기업 내부에 침입해 사내 네트워크를 공격하는 일이 증가하고 있기 때문이다. 랜섬웨어 공격이란 랜섬웨어에 감염된 컴퓨터의 내부 데이터를 암호화하고, 원래대로 되돌리기 위해 몸값을 지불하도록 하는 공격 방법이다. 일반적인 멀웨어와 마찬가지로 메일이나 웹을 사용해 감염을 확산시킨다.

랜섬웨어 등의 공격에서는 ‘사내 네트워크는 안전하다’고 생각해 외부와의 접속점에서만 방어를 강화하는 ‘경계 방어’로는 대처할 수 없다. 이러한 공격에 대처하는 방법으로 접속처의 네트워크를 불문하고 항상 액세스를 정밀 조사해, 적절히 인증/인가한다. 이러한 보안에 대한 생각을 ‘제로 트러스트 네트워크’라고 부른다.

제로 트러스트 네트워크 구현의 관건은 적절한 ‘액세스 제어’이다. 액세스 제어란 액세스할 자격이 있는 사람에게만 접근권을 주는 것을 말한다. 이를 통해 기업 경쟁력의 원천이 되는 연구개발 데이터나 민감한 개인정보와 같은 다양한 데이터와, 이를 다루기 위한 애플리케이션을 보호한다. 사이버 보안에서 중요시되는 포인트다.

-- ID를 기반으로 액세스 제어 --
ID는 액세스 제어를 실현할 때의 핵심 요소다. 액세스하는 이용자를 대신하는 ID가 접근권을 가지고 있는지, 적절한 환경에서 액세스하고 있는지 등을 체크해 데이터나 애플리케이션에 대한 액세스를 적절히 인가한다.

즉 ID가 올바르게 관리되고 있지 않으면 적절한 액세스 제어는 불가능하다. 제로 트러스트를 실현하기 위해서는 ID 정비가 전제조건이 된다.

실제로 ID가 어느 장면에서 사용되는지 보자. 이용자가 PC에 로그인할 때 ID로 인증한다. 사내 시스템이나 SaaS(Software as a Service)에 있는 데이터에 액세스할 때 IDaaS나 IAP(Identity-Aware Proxy)를 경유해 ID를 체크하고 이용자의 액세스를 인가한다.

CASB(Cloud Access Security Broker)는 ID에 따라 SaaS의 이용을 체크한다. SIEM(Security Information and Event Management)은 로그를 분석하여 ID를 기반으로 이용자의 행동을 파악한다.

-- ID의 일원화는 관리자에게 이점 --
세 번째 흐름이 ID의 일원화다. 지금까지 서비스마다 작성해야 했던 ID를 IDaaS의 ID로 일원화하는 움직임이 있다.

지금까지는 서비스마다 개별적으로 ID를 만들어야 했다. 예를 들면 회계 서비스 ID, 메일 서비스 ID, IDaaS의 ID와 같이 이용자는 여러 개의 ID와 패스워드를 관리해야 했다. 이 상태에서는 여러 개의 ID를 기억해야 하는 이용자의 부담이 크다. 또한 동일한 패스워드를 사용하고 있는 경우에는 유출시의 리스크도 커진다.

하지만 IDaaS에 등록한 ID로 일원화하면 이용자의 기억에 대한 부담은 줄어든다. 방어할 곳을 IDaaS의 한 곳으로 좁히고, 인증 강도를 높여 보안을 쉽게 확보할 수 있도록 한다.

아울러 분산되어 있던 ID를 일원화함으로써 이용자의 움직임을 쫓기 쉬워진다. 예를 들면, 보안 사고가 발생했을 때 포렌식(네트워크나 컴퓨터에서 수사에 필요한 증거를 수집하는 것)이 쉬워진다. 행동을 쫓으면 사고의 원인 규명이나 내부 감사에 필요한 정보를 모으기 쉽다.

아이덴티티 관리 플랫폼 기업 Okta Japan의 이시바시(石橋) 엔지니어는 “(ID를 일원화하면) 누가, 언제, 어떤 단말에서, 어느 자원에 액세스했는지를 가시화할 수 있다. 감사에서 필요한 ID 확인 작업도 용이해 관리자 입장에서는 이점이 있다”라고 지적한다.

Part 2. 인증과 인가
본인을 확인해 액세스 권한을 부여

우선 ID 관리를 이해하는 데 필요한 기본적인 용어를 확인해 두자. 여기에서는 데이터 보호에 필수인 ‘인증’ ‘인가’, ID의 성질을 이해하는 데 필요한 ‘Entity’ ‘Identity’ ‘Credential’, 실제 네트워크에서 ID 관리를 담당하는 시스템인 ‘IDP’ ‘IDaaS’를 해설한다. 모두 ID 관리에서 자주 쓰이는 용어들이다.

Part 3. 다요소 인증
탈 패스워드용 생체 인증을 병용

사이버 공격의 고도화로 인해 패스워드 인증만으로는 안전을 확보하기가 어려워지기 시작했다. 그래서 이용되는 것이 다요소 인증이다.

Part 4. 프로비저닝
서비스 간에 ID 정보 변경을 전달

ID를 효율적으로 관리하기 위해서는 '프로비저닝(Provisioning)' 방법을 고려할 필요가 있다. 프로비저닝이란 공급, 지급, 배치라는 뜻이다. ID 관리에서는 ID를 만들거나 변경했을 때 필요한 서비스에 정보를 전달하는 것을 가리킨다.

Part 5. 액세스 제어
다른 서비스에 액세스 권한을 인가

올바른 이용자가 적절한 자원에 접근할 수 있도록 하기 위해서는 액세스 제어가 필요하다. 우선 AD의 액세스 제어 흐름을 확인하자. AD는 자원에 대한 접근권을 보안 그룹 단위로 설정한다.

Part 6. 싱글사인온
한 번의 인증으로 여러 서비스를 이용

다양한 서비스마다 각각 인증하는 것은 번거롭다. SaaS 이용이 증대됨에 따라 싱글 사인온(Single Sign-On)을 사용하는 니즈가 높아지고 있다. 서비스를 일원적으로 인증하게 되면 편리성 뿐만 아니라 안전성도 향상된다.

-- 끝 --

Copyright © 2020 [Nikkei Network] / Nikkei Business Publications, Inc. All rights reserved.