Zero Trust 시대에서 NAC의 역할?
라면에 김치, 삼겹살과 소주, 치킨에 맥주…
각각 먹는 방법은 다양하고 따로 먹어도 맛있는 음식들이지만, 어떤 것들은 함께 먹었을 때 더 잘 어울리고 맛을 더높여준다는 사실을 부인할 수 없을 것입니다.
이처럼 IT 보안에 있어서 네트워크 접근 제어와 제로 트러스트 보안은 각각으로도 훌륭하지만 함께 사용하면 더 좋습니다.
네트워크 접근제어 vs 제로 트러스트 보안
네트워크 접근 제어와 제로 트러스트 보안은 동일하지는 않지만 서로 연관되어 있습니다.
제로 트러스트 보안은 기본적으로 어떠한 장치나 사용자도 신뢰하지 않는 IT 프레임워크입니다. 대신, 각각은 자신의 업무를 수행하거나 기능을 수행하는데 필요한 리소스에만 접근하기 위해 자신을 스스로 입증해야 합니다.
이를 “최소 권한 접근(least privilege access)”이라고 하는 패러다임, 원칙으로 우리는 얘기하고 있습니다.
스스로 입증을 통해 얻어낸 이 신뢰성(trustworthiness)은 지속적으로 모니터링되며, 각각의 장치나 사용자가 비정상적이거나 의심스러운 행동을 보일 때 접근을 제한하거나 접근 권한이 취소될 수도 있습니다.
이렇게 동적으로 평가되고 제한된 역할 기반의 보안은 공격의 확산을 최소화하고 심지어 예방하는데 도움이 됩니다.
네트워크 접근 제어(NAC, Network Access Control) 솔루션은 지속적으로 모니터링되는 최소 권한 접근 모델을 구현하는 기술을 제공합니다. NAC 솔루션은 아래와 같은 여러 차원에 걸친 기능으로 구성됩니다.
- 네트워크에 누가, 무엇을 접근하려고 하는지에 대한 가시성
- 알려진 프로필에 대한 사용자 및 장치 인증
- 비즈니스 및 기능적 의도를 네트워크 접속 정책 및 조건으로 변환하기 위한 규칙 작성
- 사용자 및 장치에 적절한 정책을 적용하기 휘한 권한 부여
- 접근을 허용, 거부, 수정 또는 취소하는 정책 적용
- 사용자 또는 장치의 동작 변화 모니터링
- 사용자, 장치, 네트워크 활동에 대한 정확한 알림과 기록 보고를 제공하기 위한 로깅 및 리포팅
제로 트러스트 보안 환경에서의 NAC 용도
NAC 솔루션은 제로 트러스트 환경 내에서 여러 보안 문제를 해결하는데 유용할 수 있습니다.
다음 몇 가지 예를 살펴볼까요?
- 게스트 액세스: 스포츠 경기장, 놀이공원, 리테일샵, 기타 캠퍼스 및 지점 방문자는 해당 공간에 머무는 동안 안정적인 Wi-Fi 연결을 기대하지만, IT팀은 신뢰할 수 없는 사용자가 네트워크 취약성을 악용하거나 특정 제한된 리소스에 접근하지 못하도록 해야합니다.
NAC 솔루션은 방문객 등록 및 그에 맞는 적절한 수준의 액세스를 위한 간단한 워크플로를 제공할 수 있습니다. - 개인정보 보호 및 규정 준수: 기업이나 조직은 때때로 HIPAA(의료 보험 이동성 및 책임에 관한 법률) 및 GDPR(일반 데이터 보호 규정)과 같이 민감한 데이터에 대한 접근을 제한하는 데이터 개인정보 보호 의무를 준수해야 합니다.
NAC 솔루션은 조직 내에서 권한이 부여된 사용자만 환자의 건강 기록, 결제 카드 데이터, 개인식별정보 등과 같은 민감 정보에 접근할 수 있도록 보장할 수 있습니다. - 사물인터넷(IoT): HVAC 컨트롤러, 감시카메라, 인퓨전 펌프, 자동 유도 차량 등 점점 더 많은 IoT 장치가 기업 네트워크에 연결되고 있습니다. 이러한 장치들은 사이버 공격에 사용될 수 있기 때문에 네트워크 리소스에 대한 노출을 제한하는 것이 매우 중요합니다.
NAC 솔루션은 네트워크에서 IoT 장치에 대한 가시성을 제공하고, 장치의 동작을 모니터링하며, 외부 공격에 따른 침해당했을 때 장치를 격리시킬 수 있습니다.
보다 자세히 알아보기
아래 리소스를 통해 NAC 솔루션에 대해 자세히 알아보고 Aruba가 제로 트러스트 보안 전략을 지원하는 방법을 확인할 수 있습니다:
