과학기술정보통신부와 한국인터넷진흥원(KISA)은 국내 기업망 환경에 적용할 수 있는 제로트러스트 기본모델 2종을 발표했다.

제로트러스트란 정보 시스템 등에 대한 접속 요구가 있을 때 네트워크가 이미 침해된 것으로 간주하고 '절대 믿지 말고 계속 검증하라'(Never Trust, Alwasys Verify)는 식으로 접근하는 새로운 보안 개념이다.

이번에 마련한 기본모델은 '클라우드형'과 '구축형'(On-Premise) 등 2가지로, 지난 7월 발표한 '제로트러스트 가이드라인1.0'에서 제시한 보안모델을 실제 기업망 환경에 적용한 첫 사례다.

11일 과기정통부는 향후 수입 대체 효과는 물론 글로벌 시장 진출의 초석 역할도 기대된다고 전했다.

먼저 클라우드 업무환경을 위한 제로트러스트 기본모델은 서비스, 서버, 애플리케이션, 데이터 등을 각각 논리적으로 분리해 보호한다고 과기정통부는 설명했다.

PEP(정책시행지점)가 탑재된 제로트러스트 전용 라우터를 세계 최초로 개발해 적용함으로써 보안 수준을 크게 향상시켰다.

이를 통해 라우터 또는 단말에 대한 접근 제어로 멀웨어(시스템 침투를 위해 설계된 소프트웨어) 감염을 차단하고, 라우터와 단말을 인터넷과 논리적으로 차단해 분산서비스거부(DDoS·디도스) 공격도 차단할 수 있다.

구축형 업무환경을 위한 제로트러스트 기본모델은 접속 요구자의 보안 수준을 점수화해 접속 단계부터 보안을 강화하고, 접속 중에라도 점수에 변경이 생기면 접속 차단 또는 접속 가능한 리소스를 제한하는 동적 인증 체계를 구축했다.

코로나19 사태 이후 원격·재택 근무 확산과 함께 '크리덴셜 스터핑'(사전에 여러 방법으로 확보한 아이디와 비밀번호로 로그인을 시도하는 방식) 공격이 급증했으나, 이 모델을 적용하면 사용자 통합관리 등 강화된 인증체계를 통해 크리덴셜 스터핑을 통한 접속이 불가능하다.

과기정통부는 또 실증사업의 보안 효과성 검증을 위한 침투 시나리오 및 보안성 점검 체크리스트를 개발했다고 밝혔다.