제로 트러스트를 통한 바이든 행정부의 사이버 보안 행정 명령 운영

지난 주, 바이든 행정부는 확고한 입장을 취했습니다 연방 차원에서, 그리고 실제로 모든 조직에 필요한 사이버 보안 개선에 대해 말이죠.여러 가지 권고 사항 중에서도 이 필요성에 대한 강력한 인식이 있었습니다. 제로 트러스트 전략.

제로 트러스트는 내부 또는 외부의 모든 소스에 대한 자동 액세스를 방지하여 암묵적 신뢰를 없애고 여러 소스의 실시간 정보를 기반으로 한 사전 승인 및 지속적인 검증 없이는 내부 네트워크 트래픽을 신뢰할 수 없다고 가정하는 조정된 사이버 보안 접근 방식, 보안 프레임워크 및 아키텍처입니다.제로 트러스트는 네트워크, 장치, 사용자 또는 워크로드 전반에서 과도한 신뢰를 유지한다는 개념을 없애고 최소 권한을 기반으로 하는 세분화된 액세스 제어를 가능하게 합니다. 이를 통해 공격자의 네트워크 내에서의 범위와 이동을 제한하여 공격 표면을 크게 줄일 수 있습니다.

Andrew Rubin과 저는 이와 동일한 원칙을 염두에 두고 Illumio를 시작했습니다. 모든 규모의 조직이 이러한 사고방식을 보다 쉽게 받아들일 수 있도록 하여 보안을 개선할 수 있도록 하기 위해서였습니다.

이 원칙 중 몇 가지를 EO에 인용하여 설명하겠습니다.

보안 침해 추정

의 개념에 대해 논의해 보겠습니다. 위반을 가정하다.“더 제로 트러스트 아키텍처 보안 모델 위반이 불가피하거나 이미 발생했을 가능성이 있다고 가정합니다.”이는 공격자가 이미 경계 내에 있을 가능성이 높다고 가정하여 다소 불편한 입장을 취하는 것이므로 조직은 이러한 침입이 대규모의 치명적인 사건으로 이어지지 않도록 보안 제어를 구축해야 합니다.무엇보다도 조직은 사고방식의 변화를 수용하고 모든 곳에서 최소 권한 모델을 적용할 수 있는 보안 제어를 채택해야 합니다.

허용 목록

EO는 또한 “기본적으로 제로 트러스트 아키텍처는 사용자에게 전체 액세스를 허용하지만 작업을 수행하는 데 필요한 최소한의 권한만 허용합니다.” 라고 말합니다.“이 데이터 중심 보안 모델을 사용하면 모든 액세스 결정에 최소 권한 액세스라는 개념을 적용할 수 있습니다.”고객이 최소 권한 모델을 구축하고 유지하도록 돕는 것이 Illumio에서 하는 일과 제품 구축 및 설계 방식의 핵심입니다.그리고 이는 쉬운 일이 아닙니다.제로 트러스트 모델을 선전하면서 거부 목록을 만들어 잠재적인 나쁜 일이 발생하지 않도록 하는 사람들이 많이 있습니다.이것은 제로 트러스트가 아닙니다.

제로 트러스트를 수용한다는 것은 최소한의 가치를 구축하는 것을 의미합니다. 허용 목록.이는 사람들이 업무를 수행하기 위해 어떤 기능을 이용해야 하는지를 이해하고 추가 액세스 권한을 제공하지 않는 것을 의미합니다.“제로 트러스트 보안 모델은 특정 요소, 노드 또는 서비스에 대한 암묵적인 신뢰를 제거합니다.”이를 위해서는 모든 수준에서 네트워크와 환경에 대한 모든 암묵적 신뢰를 이끌어내야 합니다.“제로 트러스트 보안 모델은 특정 요소, 노드 또는 서비스에 대한 암묵적인 신뢰를 제거합니다.”즉, 환경을 총체적으로 바라봐야 합니다.

통합 가시성

EO에 명시된 바와 같이, “제로 트러스트 아키텍처는 동적인 위협 환경 내에서 실시간으로 데이터를 보호하는 데 집중하기 위해 인프라의 모든 측면에 걸쳐 포괄적인 보안 모니터링, 세분화된 위험 기반 액세스 제어 및 조정된 방식으로 시스템 보안 자동화를 포함합니다.”조직은 이기종 온프레미스 및 멀티클라우드 환경에서 엔드포인트, 사용자 및 워크로드 전반의 커뮤니케이션을 더 큰 맥락에서 파악하고 이해하려면 통합된 가시성이 필요합니다.

제로 트러스트 여정

사람들은 종종 제로 트러스트 네트워크 액세스 (ZTNA) 솔루션으로 시작하여 최종 사용자와 애플리케이션 및 시스템 간에 몇 가지 원칙을 적용한 다음 ZTNA 게이트웨이 뒤에 암시적 (0이 아닌) 신뢰 모델을 남깁니다.이것이 제로 트러스트 전략의 일부이긴 하지만, ZTNA만으로는 충분하지 않습니다.최근 태양풍 공격은 워크로드 간에 침해가 발생했음을 증명합니다.

제로 트러스트 세그멘테이션

퍼즐의 또 다른 핵심 요소는 제로 트러스트 세그멘테이션입니다. 이를 통해 데이터 센터와 클라우드의 모든 주요 애플리케이션에 대해 워크로드 간에 최소 권한 정책을 구축할 수 있습니다.최근 SolarWinds에 대한 공급망 공격과 같은 공격이 점점 더 많아지고 있습니다. CodeCov 이는 사용자 액세스를 악용하지 않고 워크로드 간의 암시적 신뢰를 악용합니다.제로 트러스트 세그멘테이션은 전체적인 제로 트러스트 체계를 달성하기 위한 토대입니다.

제로 트러스트 접근법 수립

필요한 것은 제로 트러스트가 데이터 센터, 클라우드, 엣지 등 환경의 모든 곳에서 작동할 수 있도록 하는 포괄적인 접근 방식입니다.

기존 IT/네트워킹/보안 도구 전반의 보안 사일로를 제거하여 위험을 줄이고 비용을 절감하며 제로 트러스트 배포 시간을 절약할 수 있는 제로 트러스트 아키텍처를 구현하는 것이 중요합니다.

제로 트러스트 여정을 지원하려면 포괄적인 제로 트러스트 전략, 아키텍처 및 구현 계획을 개발하고 실행해야 합니다.

백악관의 행정 명령 요구 사항을 더 빠르게 충족할 방법을 찾고 계십니까?방법 알아보기 이리 또는 우리와 함께 하세요 작업장 여기서는 연방 기관을 위한 제로 트러스트 아키텍처를 설계하는 방법을 배울 수 있습니다.