제로 트러스트 구현

Google Cloud Well-Architected Framework의 보안 부문에서 이 원칙을 따르면 클라우드 워크로드 전반에서 포괄적인 보안을 보장할 수 있습니다. 제로 트러스트 원칙은 다음 관행을 강조합니다.

• 암시적 신뢰 제거
• 액세스 제어에 최소 권한 원칙 적용
• 모든 액세스 요청의 명시적 유효성 검사 시행
• 침해 발생 가정 사고방식을 채택하여 지속적인 검증 및 보안 상태 모니터링 지원

원칙 개요

제로 트러스트 모델은 보안 초점을 경계 기반 보안에서 사용자나 기기가 본질적으로 신뢰할 수 있는 것으로 간주되지 않는 접근 방식으로 전환합니다. 대신 출처와 관계없이 모든 액세스 요청을 확인해야 합니다. 이 접근 방식은 모든 사용자와 기기를 인증하고 승인하며, 컨텍스트 (위치 및 기기 자세)를 검증하고, 필요한 리소스에만 최소 권한 액세스를 부여합니다.

제로 트러스트 모델을 구현하면 잠재적인 침해의 영향을 최소화하고 무단 액세스로부터 민감한 데이터와 애플리케이션을 보호하여 조직의 보안 태세를 강화할 수 있습니다. 제로 트러스트 모델은 클라우드에서 데이터와 리소스의 기밀성, 무결성, 가용성을 보장하는 데 도움이 됩니다.

권장사항

클라우드 워크로드에 제로 트러스트 모델을 구현하려면 다음 섹션의 권장사항을 고려하세요.

• 네트워크 보호
• 모든 액세스 시도를 명시적으로 확인
• 네트워크 모니터링 및 유지관리

네트워크 보호

이 권장사항은 인프라 보안이라는 중점사항과 관련이 있습니다.

기존의 경계 기반 보안에서 제로 트러스트 모델로 전환하려면 여러 단계를 거쳐야 합니다. 조직에서 이미 특정 제로 트러스트 컨트롤을 보안 태세에 통합했을 수 있습니다. 하지만 제로 트러스트 모델은 단일 제품이나 솔루션이 아닙니다. 대신 여러 보안 계층과 권장사항을 전체적으로 통합합니다. 이 섹션에서는 네트워크 보안을 위해 제로 트러스트를 구현하는 권장사항과 기법을 설명합니다.

• 액세스 제어: Chrome Enterprise Premium 및 IAP (Identity-Aware Proxy)와 같은 솔루션을 사용하여 사용자 ID 및 컨텍스트를 기반으로 액세스 제어를 적용합니다. 이렇게 하면 보안이 네트워크 경계에서 개별 사용자 및 기기로 이동합니다. 이 접근 방식을 사용하면 세분화된 액세스 제어가 가능하고 공격 대상이 줄어듭니다.
• 네트워크 보안: 온프레미스, Google Cloud, 멀티 클라우드 환경 간의 네트워크 연결을 보호합니다.
  • Cloud Interconnect 및 IPsec VPN의 비공개 연결 방법을 사용합니다.
  • Google Cloud 서비스 및 API에 대한 액세스를 보호하려면 Private Service Connect를 사용하세요.
  • GKE Enterprise에 배포된 워크로드의 아웃바운드 액세스를 보호하려면 Cloud Service Mesh 이그레스 게이트웨이를 사용하세요.
• 네트워크 설계: 기존 프로젝트에서 기본 네트워크를 삭제하고 새 프로젝트에서 기본 네트워크 생성을 중지하여 잠재적인 보안 위험을 방지합니다.
  • 충돌을 방지하려면 네트워크와 IP 주소 할당을 신중하게 계획하세요.
  • 효과적인 액세스 제어를 적용하려면 프로젝트당 가상 프라이빗 클라우드 (VPC) 네트워크 수를 제한하세요.
• 세분화: 워크로드를 격리하되 중앙 집중식 네트워크 관리를 유지합니다.
  • 네트워크를 세그먼트화하려면 공유 VPC를 사용하세요.
  • 조직, 폴더, VPC 네트워크 수준에서 방화벽 정책 및 규칙을 정의합니다.
  • 데이터 유출을 방지하려면 VPC 서비스 제어를 사용하여 민감한 데이터와 서비스 주위에 안전한 경계를 설정하세요.
• 경계 보안: DDoS 공격 및 웹 애플리케이션 위협으로부터 보호합니다.
  • 위협으로부터 보호하려면 Google Cloud Armor를 사용하세요.
  • Google Cloud 에지에서 트래픽을 허용, 거부 또는 리디렉션하도록 보안 정책을 구성합니다.
• 자동화: 코드형 인프라 (IaC) 원칙을 적용하고 Terraform, Jenkins, Cloud Build와 같은 도구를 사용하여 인프라 프로비저닝을 자동화합니다. IaC는 일관된 보안 구성, 간소화된 배포, 문제가 발생할 경우 신속한 롤백을 보장하는 데 도움이 됩니다.
• 안전한 기반: 엔터프라이즈 기반 청사진을 사용하여 안전한 애플리케이션 환경을 구축합니다. 이 청사진은 보안 권장사항을 구현하고Google Cloud 리소스를 안전하게 구성하는 데 도움이 되는 규범적 안내와 자동화 스크립트를 제공합니다.

모든 액세스 시도를 명시적으로 확인

이 권장사항은 다음 중점사항과 관련이 있습니다.

• ID 및 액세스 관리
• 보안 운영 (SecOps)
• 로깅, 감사, 모니터링

클라우드 리소스에 액세스하려고 시도하는 사용자, 기기 또는 서비스에 강력한 인증 및 승인 메커니즘을 구현하세요. 위치나 네트워크 경계를 보안 제어로 사용하지 마세요. 이미 네트워크 내에 있는 사용자, 기기, 서비스라도 자동으로 신뢰하지 않습니다. 대신 리소스에 액세스하려는 모든 시도는 엄격하게 인증되고 승인되어야 합니다. 다단계 인증 (MFA)과 같은 강력한 본인 인증 조치를 구현해야 합니다. 또한 액세스 결정이 사용자 역할, 기기 자세, 위치와 같은 다양한 컨텍스트 요인을 고려하는 세부 정책을 기반으로 해야 합니다.

이 추천을 구현하려면 다음 방법, 도구, 기술을 사용하세요.

• 통합 ID 관리: 단일 ID 공급업체 (IdP)를 사용하여 조직 전체에서 일관된 ID 관리를 보장합니다.
  • Google Cloud 온프레미스 Active Directory를 비롯한 대부분의 IdP와의 제휴를 지원합니다. 제휴를 사용하면 기존 ID 관리 인프라를 확장하여 Google Cloud 사용자를 위한 싱글 사인온 (SSO)을 사용 설정할 수 있습니다.
  • 기존 IdP가 없는 경우 Cloud ID Premium 또는 Google Workspace를 사용하는 것이 좋습니다.
• 제한된 서비스 계정 권한: 서비스 계정을 신중하게 사용하고 최소 권한 원칙을 준수합니다.
  • 각 서비스 계정이 지정된 작업을 수행하는 데 필요한 권한만 부여합니다.
  • Google Kubernetes Engine (GKE)에서 실행되거나Google Cloud 외부에서 실행되는 애플리케이션이 리소스에 안전하게 액세스하도록 워크로드 아이덴티티 제휴를 사용합니다.
• 강력한 프로세스: 클라우드 보안 권장사항에 맞게 ID 프로세스를 업데이트합니다.
  • 규제 요구사항을 준수하려면 ID 거버넌스를 구현하여 액세스, 위험, 정책 위반을 추적하세요.
  • 액세스 제어 역할 및 권한을 부여하고 감사하기 위한 기존 프로세스를 검토하고 업데이트합니다.
• 강력한 인증: 사용자 인증을 위해 SSO를 구현하고 권한이 있는 계정을 위해 MFA를 구현합니다.
  • Google Cloud 는 보안 강화를 위해 Titan 보안 키를 비롯한 다양한 MFA 방법을 지원합니다.
  • 워크로드 인증에는 OAuth 2.0 또는 서명된 JSON 웹 토큰 (JWT)을 사용하세요.
• 최소 권한: 최소 권한 및 직무 분리 원칙을 적용하여 무단 액세스 및 데이터 유출 위험을 최소화합니다.
  • 사용자 액세스 권한을 과도하게 프로비저닝하지 마세요.
  • 민감한 작업에 대해 적시 권한 있는 액세스를 구현하는 것이 좋습니다.
• 로깅: 관리자 및 데이터 액세스 활동에 대한 감사 로깅을 사용 설정합니다.
  • 분석 및 위협 감지를 위해 Security Command Center Enterprise 또는 Google Security Operations를 사용하여 로그를 검사합니다.
  • 보안 요구사항과 스토리지 비용의 균형을 맞추도록 적절한 로그 보관 정책을 구성합니다.

네트워크 모니터링 및 유지관리

이 권장사항은 다음 중점사항과 관련이 있습니다.

• 로깅, 감사, 모니터링
• 애플리케이션 보안
• 보안 운영 (SecOps)
• 인프라 보안

보안 조치를 계획하고 구현할 때는 공격자가 이미 환경 내부에 있다고 가정합니다. 이 사전 예방적 접근 방식에서는 다음 여러 도구와 기술을 사용하여 네트워크에 대한 가시성을 제공합니다.

• 중앙 집중식 로깅 및 모니터링: 중앙 집중식 로깅 및 모니터링을 통해 모든 클라우드 리소스의 보안 로그를 수집하고 분석합니다.

  • 정상적인 네트워크 동작의 기준을 설정하고, 이상을 감지하고, 잠재적인 위협을 식별합니다.
  • 네트워크 트래픽 흐름을 지속적으로 분석하여 의심스러운 패턴과 잠재적인 공격을 식별합니다.

• 네트워크 성능 및 보안에 대한 통계: 네트워크 분석기와 같은 도구를 사용합니다. 비정상적인 프로토콜, 예상치 못한 연결 또는 데이터 전송의 급격한 증가를 통해 악성 활동을 나타낼 수 있는 트래픽을 모니터링합니다.

• 취약점 스캔 및 해결: 네트워크와 애플리케이션에서 취약점을 정기적으로 스캔합니다.

  • Compute Engine 인스턴스, 컨테이너, GKE 클러스터의 취약점을 자동으로 식별할 수 있는 Web Security Scanner를 사용합니다.
  • 취약점의 심각도와 시스템에 미치는 잠재적 영향을 기반으로 해결 우선순위를 지정합니다.

• 침입 감지: Cloud IDS 및 Cloud NGFW 침입 방지 서비스를 사용하여 네트워크 트래픽에서 악의적인 활동을 모니터링하고 의심스러운 이벤트를 자동으로 차단하거나 알림을 받습니다.

• 보안 분석: Google SecOps를 구현하여 다양한 소스의 보안 이벤트를 상호 연관시키고, 보안 알림의 실시간 분석을 제공하고, 사고 대응을 촉진하는 것이 좋습니다.

• 일관된 구성: 구성 관리 도구를 사용하여 네트워크 전반에서 일관된 보안 구성을 유지합니다.