Defense in Depth

이글은 아래 마이크로소프트에서 제공한 정보를 공부하며 번역한 내용입니다. 원본글은 아래 링크에서 확인 가능합니다.

https://docs.microsoft.com/en-us/learn/modules/secure-network-connectivity-azure/2-what-is-defense-in-depth

---

  보안 관점에서 너의 모든 문제를 해결할 수 있는 쉬운 해결책은 없다. 네가 그 환경에서 보안을 소흘히 하는 기업에서 일한다고 상상해보자. 그 회사는 이 영역에서 몇가지 중요한 집중을 할 필요성을 깨달았을 것이다. 그 회사는 직관적인 접근이 필요하다는 것을 알았지만 무엇을 그것에 맞출수 있는지 확신할 수 없다.

여기, 우리는 깊이있는 방어의 핵심 개념을 명확히 할 것이고 핵심 보안 기술에 대해 정의할 것이고, 깊이있는 방어 전략을 지원하기 위해 접근할 것이다. 우리는 어떻게 이러한 개념을 적용할 지를 또한 논의를 할 것이다.

제로 신뢰 모델

분석가 단체인 Forrester Research 는 제로 신뢰 모델을 소개했는데, 이는 네가 절대로 신뢰를 가정해서는 안되고 그러나 대신 계속해서 신뢰를 입증해야 한다고 설명한다. 사용자들, 기기들 그리고 데이터 모두가 기업의 방화벽 안에 위치할 때, 그들은 신뢰된다고 가정되어 진다. 이는 의심되는 해커가 끝점 장비를 획득한 후에 쉽게 문자그대로 이동을 위해 허락된 신뢰를 가정한다.

이 모델은 보안 연구자들, 엔지니어들, 그리고 아키텍처들에게 보안이 적용된, 그리고 그들의 리소스들을 보호하기 위한 계층적 전략의 사용에 대한 접근법에 대해 다시 생각하도록 강제해 왔다.

깊이 있는 방어: 보안에 대한 계층적 접근

깊이 있는 방어는 정보에 비허가된 접근을 획득하기 위한 공격자의 진보를 느리게 하기 위한 여러개의 매카니즘이 적용된 전략이다. 각 계층을 만약 한 계층이 유출된다면 연계된 계층이 이미 더 많은 노출을 방지하기 위해 만들어진 보호를 제공한다.

마이크로 소프트는 물리적 데이터 센터와 연결된 애저 서비스상에서 보안에 대해 계층화된 접근을 적용했다. 깊이있는 방어의 목적은 정보를 보호하기 하고 그것에 대한 접근권한이 없는 개인들로 인한 도난을 방지하지 위함이다. 보안 자세를 정의하는 것을 돕는 공통의 원리들은 CIA 조합으로 알려진 Confidentiality, Integrity and Availability 이다.

• Confidentiality: 최소 특권 원칙은 예외적으로 접근이 허가된 오직 개인들에게만 정보에 대한 접근을 제한한다. 이 정보는 사용자 비밀번호, 원격 접근 증명서들 그리고 이메일 내용들을 포함한다.
• Integrity: 이 목표는 사용중 또는 전송중에 정보들에 대한 권한이 없는 변경을 방지하기 위함이다. 데이터 전송에 사용되는 공통의 접근은 보낸자가 일방 해시 알고리즘을 사용해 유일한 데이터의 핑커프린드를 생성하는 것이다. 해시는 데이터와 함께 수신자에게 보내진다. 수진자는 데이터의 해시를 다시 계산하고 전송중 데이터가 손실되거나 수정되지 않았다는 것을 확인하기 위해 그것을 원본과 비교한다.
• Availability: 권한이 있는 사용자들에게 서비스가 가용한지를 확실히 한다. DoS 공격은 사용자의 가용성의 손실을 야기하는 일반적인 원인이다. 자연 재해 또한 실패의 하나의 지점을 방지하기 위한 시스템 설계를 유도하고 지리적으로 분리된 위치에 어플의 여러 인스턴스를 분배한다.

보안 계층들

너는 중앙에 보안화된 데이터를 가지고 동심화된 원들 세트로 계층화된 방어를 시각화할수 있다. 각 원은 데이터 주변의 보안 계층을 더한다. 이 접근은 보호의 어느 한 계층에 대한 의존성을 제거한다. 그것은 또한 공격을 늦추는 역할을 하고 자동적으로 또는 수동적으로 동작하는 알림 원격 측정법을 제공한다.

각 계층을 보자.

Each layer can implement one or more of the CIA concerns:

각 계층은 하나 이상의 CIA 고려사항을 구현한수 있다.

Untitled

Data

거의 모든 경우에, 공격자들은 데이터 이후다:

• 데이터베이스에 저장된
• 버츄얼머신 내의 저장소에 저장된
• 마이크로소프트 365와 같이 서비스 어플리케이션(SaaS)과 같은 소프트웨어에 저장된
• 클라우드 저장소에 저장된

데이터에 접근을 저장하고 컨트롤하는 사람들은 그것이 적정하게 보안화된 것을 확신하기 위한 책임감이 있다. 종종, 주기적은 요구사항은 데이터의 CIA를 확신하기 위해 놓여져야만 하는 처리들을 컨트롤과 좌우한다.

Applications

• 어플리케이션들은 문제점에 대한 자유와 보안을 확신해야 한다.
• 안전한 저장 미디엄에 민감한 어플 비밀들을 저장해라
• 모든 앱 개발을 위해 안전한 디자인 요구사항을 만들어라

어플 개발 라이프 사이클로 보안은 접합하는 것은 코드에서 소개되는 약점의 수를 감소시키는 도울 것이다. 모든 개발팀에게 기본적으로 그들의 어플을 안전하게 만들도록 장려해라. 협상이 되지 않는 안전한 요구사항을 만들어라.

컴퓨트(컴퓨터로 계산하다)

• 버츄얼 머신에 접근을 안전하게 해라
• 끝점 보호를 구현하고 시스템을 패치되고 현재를 유지해라

의심스런 프로그램, 패치안된 시스템 그리고 부적절하게 안전화된 시스템은 너의 환경을 공격에 노출한다. 이 계층에 핵심(포커스)는 너의 컴퓨터 리소스를 안전하다는 것은 확신하는 상황이고 너는 보안 이슈들을 최소화하기 위해 적정한 조절을 하도록 한다.

Networking

• 파편화를 통한 리소스들과 접근 조절사이의 통신을 제한해라
• 기본값을 부정해라
• 인바운드 인터넷 접근을 규제하고 적절한 곳에 아웃바운드를 제한해라
• Implement secure connectivity to on-premises networks.

이 계층에서, 핵심은 모든 너의 리소스 사이의 네트워크 연결을 제한하는데 있다. 너의 리소스들을 파편화하고 오직 필요한 것과의 통신으로 규제하는데 네트워크 단계 조절을 사용해라. 이 통신을 제한함으로써, 너는 너의 네트워크를 통하는 필수적인 이동의 위험을 줄인다.

경계

• 그들이 사용자에서 서비스 거부를 야기할 수 있기 전에 큰 규모의 공격을 필터하기 위한 DDoS 보호를 사용해라.
• 너의 네트워크를 향해 의심되는 공격을 인지하거나 경고하기 위한 경계 방화벽을 사용해라

네트워크 경계에서, 그것은 너의 리소스를 향한 네트워크 기반의 공격으로 부터 보호하는 것에 관한 것이다. 이 공경을 인지하고, 그들의 영향을 제고하고, 그들을 경고하는 것은 너의 네트워크을 안전하게 유지하는데 중요하다.

신원 그리고 접근

• 시설에 대한 접근을 조절해라
• 하나의 로그온 그리고 멀티요소 승인을 사용해라
• 이벤트들과 변경들을 감시해라

신원 및 접근 계층을 신원이 안전한지 접근 허가가 오직 필요한 것에만 있는지 그리고 변경들이 로그되는지를 확인하는 모든 것이다.

물리적 보안

With physical security, the intent is to provide physical safeguards against access to assets. This ensures that other layers can't be bypassed, and that loss or theft is handled appropriately.

물리적 빌딩 보안과 데이터센터안 하드웨어를 컴퓨팅할 수 있는 접근을 조절하는 것은 방어의 첫번째 선이다. 물리적 보안에서, 목적은 자산 접근에 대한 물리적 경비원을 제공하는 것이다. 이것은 다른 계층으로 우회할수 없도록 한다, 이는 손실이나 도둑이 적절하게 규제된다.

공유된 책임들

컴퓨팅 환경은 손님의 의해 조절되는 데이터센터로 부터 클라우드 데이터센터들까지 움직임에 따라, 보안에 대한 책임감 역시 움직인다(shift). 보안은 지금 둘 클라우스 공급자들과 손님들이 공유하는 관심이다.

지속적인 개선

위협 범위(landscape)는 실시간으로 진화하고 있고 대량의 규모에선, 그래서 보안 아키텍처는 결코 완성되지 않는다. 마이크로소프트와 그의 손님들은 이러한 위협에 지능적으로, 빨리, 그리고 규모있게 반응하는 능력이 필요하다.

애저 보안 센터는 손님에게 단일화된 보안 관리와 온프로미스나 애저에 있는 보안 이벤트를 이해하고 반응하기 위한 고도화된 위협 보호를 제공한다. 역으로, 애저 사용자는 그들의 보안 아키텍처를 지속적으로 재평가하고 진화할 책임이 있다.

(온프로미스): 필요한 시스템을 구축하기 위해 값 비싼 하드웨어와 어플리케이션을 구매하여 기업 상황에 맞게 커스터마이징 하는 것을 의미. 즉 전통적인 소프트웨어 사용방식으로 특정 공간에서 IT 인프라를 사용하는 방식

(오프프로미스): 인터넷 네트워크에 연결된 서버팜이나 클라우드의 원격 실행환경에서 사용되는 소프트웨어를 의미

대부분의 사용자는 지금 인터넷으로 부터 어플리케이션들과 데이터에 접근하고, 그리고 많은 회사들은 지금 사용자에게 그들 자신의 장비들을 집에서 (BYOD) 사용하도록 허가한다. 트렌젝션의 대부분 요소—사용자들, 네트워크 그리고 장치들—은 더이상 완벽하게 회사의 관리 아래 있지 않다. 제로 트러스트 모델은 증명가능한 사용자에게 의지하고 장치 신뢰는 회사 리소스들에 대한 접근 허가를 요구한다. 더이상 회사의 영역 안의 위치에 기초한 가정된 신뢰가 없다.