4월 19일 양재에서 진행한 차세대 기업보안 세미나를 다녀오고 여러 가지 알게 된 사실들을 정리해보고자 한다.
기존 on premise 환경에서 cloud 환경으로 많이 넘어가고 있다고 한다.
on premise : 물리 서버로 제공되는 환경.
private cloud : 단일 조직 전용 클라우드 컴퓨팅 환경
public cloud : 공개된 인터넷 환경에서 제공되는 컴퓨팅 환경
hybrid cloud : 위 두 개의 방식을 섞어 장단점을 살리고 줄여낸 환경
이전에 출근을 기본으로 하여 회사에서 업무를 진행했으나, 요즘은 원격근무가 많아지는 추세이니 보안 위협이 생겼다고 한다.
즉, 사설망으로 된 네트워크를 이용하여 외부 공격에 대해 조금 강했으나 요즘은 그게 아니기에 외부 공격에 위협이 있다는 이야기이다.
그중에 NAS, SMB이 특히 취약하다고 한다.
NAS: 네트워크 결합 스토리지로써 LAN으로 연결하는 외장 하드디스크이다.
SMB: 네트워크 파일 공유 프로토콜.
본격적인 설명에 앞서 Zero Trust Architecture에 대해 가볍게 짚고 넘어가 보자.
ZeroTrustArchitecture란 기업 환경에 각 요소의 워크플로나 접근 정책 등에 제로트러스트(컨셉)을 적용하기 위한 사이버 보안계획이라고 한다.
즉, 앞으로 설명할 것은 각 기업체의 솔루션은 어떤 보안계획을 가졌는지에 대해 이야기하는 거라고 보면 될 것 같다.
기업체별로 여러 가지 보안계획들을 수립했고 많이들 채택한 방법이 인증의 방식을 다양화시킨 것 같다.
어떤 발표자분의 이야기가 기억에 남는다.
유럽에서는 카드발급을 하게 되면 카드가 우체통으로 배송이 온다고 하는데 이때 배송 온 카드를 범죄자가 탈취하여 마음대로 쓸 때가 있다고 한다. 이런 사기가 발생하는 이유는 이러하다. PIN 번호 역시 우체통으로 배송이 온다고 하는데 이때 배송 온 카드를 범죄자가 탈취하여 마음대로 쓸 때가 있다고 한다. 이런 사기가 발생하는 이유는 이러하다. PIN 번호 역시 우체통으로 오기 때문에 중간에 탈취하면 방법이 없다.
이렇게 숨겨야 할 정보가 쉽게 노출되면 피해가 발생할 수 있다. 그런데 요즘 한국에도 숨겨야 할 정보가 한곳에 있는 경우가 있는데 핸드폰에 모든 보안 정보가 있다.
즉, 공격자는 핸드폰만 공략하면 되는 것이다.
이런 일들을 방지하기 위해서 개발되고 있는 솔루션 중 하나는 핸드폰으로 카드 결제할 시에 카드를 핸드폰에 tag 하여 인증하는 방식이다. 이렇게 되면 핸드폰을 공략해낸다 해도 금융 피해를 줄일 수 있다는 것이다.
이래서 요즘 인증방식이 여러 가지로 늘어나는구나 싶었다. 여러 기업의 제로 트러스트 아키텍처에 포함되어있던 내용들 중 하나가 인증방식에 다양화였다.
PLC로 구축되어있는 환경에 공장들도 위협에 노출되어있다고 한다. PLC로 만들어진 프로그램의 비밀번호는 1개에다가 접속했을 때 누가 접속했는지도 모른다고 한다
그냥 들어도 위험해 보인다.
이것에 대한 솔루션 역시 pin 번호를 실시간으로 발급하여 접근하는 식으로 해결했다고 한다.
조금 간략하게 내용들을 생각해보면 인증을 다양화하고 권한을 세부적으로 나누거나 환경을 격리하며 문제를 해결해 나아가고 있는 듯 하다.
어렵다... 그래도 좋은 세미나였따....
