Speaker A
양님 스타일
삼성SDS와 안될과학이 함께하는 제로 트러스트 보안 개념과 구현 원칙에 대한 심층 강의입니다.
Key Takeaways
- 제로 트러스트는 모든 접속과 기기에 대해 끊임없이 검증하는 보안 모델이다.
- 기존 VPN 방식은 내부망 연장에 불과해 보안 취약점이 존재한다.
- 다중 인증과 권한 최소화는 제로 트러스트 구현의 필수 요소이다.
- 권한 관리는 세분화하고 기간을 명확히 하여 불필요한 권한 남용을 방지해야 한다.
- 보안을 위해 비효율을 감수하는 자세가 필요하며, 제로 트러스트는 미래 보안의 핵심 개념이다.
What the video covers
- 제로 트러스트의 핵심 원칙 중 첫 번째는 'Verify explicitly'로, 묵시적 신뢰를 배제하고 철저한 검증을 강조한다.
- 기존 VPN 방식은 내부망 연장 개념으로, 외부 접속 시에도 내부망처럼 인식하게 하지만 이는 보안 취약점이 될 수 있다.
- 2FA 및 다중 인증(Multi-factor authentication)의 중요성을 설명하며, 단일 인증 수단의 한계를 지적한다.
- 권한 최소화(Implement least privilege) 원칙을 통해 불필요한 권한 부여를 줄이고, 권한 관리를 세분화해야 한다.
- 권한 부여 시 역할과 기간을 명확히 하여 프로젝트 종료 후 권한 회수 등 관리가 필요함을 강조한다.
- 비효율적이지만 보안을 위해 권한 관리의 번거로움을 감수해야 한다는 점을 설명한다.
- 자원을 작은 단위로 분할하여 권한을 분산하는 것이 보안에 유리하다는 비유를 통해 이해를 돕는다.
- 제로 트러스트는 과거보다 더 넓고 엄격한 신뢰 개념을 포함하며, 미래에는 더욱 확대될 것으로 기대된다.
- VPN을 군부대와 중대장 비유로 쉽게 설명하며, 기존 보안 방식의 한계를 재미있게 전달한다.
- 교육 방송 형식으로 진행되며, 시청자에게 감사 인사를 전하며 마무리한다.
Full Transcript — Download SRT & Markdown
Speaker B
양님 약간 다 넘기는 스타일. 이거 열어주세요.
Speaker A
그것만 열어드리면 될까요?
Speaker C
그걸로 괜찮겠어?
Speaker A
더 필요한 건 없고?
Speaker B
이것까지 열어드리겠습니다.
Speaker A
양님 차에서 뭐 좀 꺼내면 안 돼요? 타고 가세요.
Speaker B
인사할 시간도 많습니다.
Speaker A
여러분의 시간을 낭비해 드릴.
Speaker B
느리지만 쿨한 과학 삼성 SDS와 안될 과학이 함께하는.
Speaker C
제로 트러스트 편입니다.
Speaker C
반갑습니다 교수님들.
Speaker B
반갑습니다.
Speaker A
반갑습니다.
Speaker C
그럼 실제 구체적으로 넘어가면 제로 트러스트가 그래서 구체적으로 우리가 어떤 식으로 구현 가능한 건지 설명을 좀 드릴게요.
Speaker B
아 너무 궁금해요.
Speaker C
그래서 핵심 원칙인데 일단 네 가지를 꼽아봤습니다.
Speaker C
그래서 첫 번째는 Verify explicitly라는 거는 옛날에는 예를 들어 이 사람이 접속을 했는데 내부망에서 접속했으니까 이 사람은 내부인이라 안전해 라고 갔었거나 혹은 외부에서 접속하더라도 이 사람이 뭐 예를 들어 저희가 로그인 같은 거 할 때 보면 이런 거 많이 나오잖아요.
Speaker C
어 이 디바이스를 앞으로 신뢰하겠습니까?
Speaker A
신뢰하는 기기.
Speaker B
자주 봤죠 자주 봤죠.
Speaker C
그거 하면 어떻게 돼요? 한동안은 로그인 하는 거 훨씬 더 간소화 처리 되잖아요. 그것도 일종의 해당 단말기가 안전하다는 묵시적 신뢰라고 볼 수 있는 거거든요. 이 단말기는 안전하다.
Speaker C
그리고 어쨌든 아까 내부에서 접속하는 것도 아 내부에서 접속했으니까 이거 이 사람 안전하다 묵시적 신뢰예요. 그런 묵시적 신뢰를 다 박살 내야 되는 거죠.
Speaker C
그래서 한마디로 말해서 검증을 훨씬 더 철저하게 해야 한다.
Speaker C
우리가 회사에 이제 직원이 회사 메일 접속, 회사 ERP에 접속하기 위해서 집에서 환경을 하면은 여러 가지가 필요하겠죠. 옛날에는 그걸 VPN이라는 걸 연결해 가지고 VPN으로 연결하면은 아주 쉽게 내부에 있는 자원을 활용할 수 있게 해줬었어요.
Speaker C
그러니까 VPN이라는 게 뭔지 혹시 아시나요?
Speaker B
한번 설명해 주시죠.
Speaker C
가상의 내부망이라고 볼 수 있는 건데 그러니까 내부망이라는 거는 그 안에서만 이제 서로 연결이 되는 거고 외부망이라는 거는 거기에서 사실 우리가 네이버라든지 뭐 다른 어떤 그 웹사이트에 유튜브라든지 이런 데 접속하기 위해서는 인터넷이 연결이 돼 있어야 되는 거예요. 그런데 이제 회사에서는 사내망은 이제 인터넷에 연결이 안 되잖아요. 그렇기 때문에 사내 네트워크에 물리적으로 원래 연결돼 있어야지 이게 내부망에 접속해 있는 건데 이거랑 물리적으로 완전 바깥에 있는데도 사실상 이 안에 있는 것처럼 인식을 해 하게 만들어 주는 것이 VPN이라고 볼 수 있어요.
Speaker A
이런 거죠. 이렇게 군부대가 있어. 그러면 우리가 군부대 안에 있어야 돼요. 군인이 군부대 밖으로 나가면 탈영입니다. 탈영. 그런데 그때 중대장이 딱 나오는 거야. 그리고 여기도 앞으로 군부대라고 치자.
Speaker C
빵 터짐.
Speaker A
분명 밖인데도 오늘부터 군부대.
Speaker C
VPN이 너무 좋아하는데요.
Speaker A
어 그냥 군부대야. 그래서 이제는 여기도 군부대라고 치자. 중대장의 역할을 하는 것이 VPN.
Speaker A
어떻습니까?
Speaker C
너무 훌륭한데요?
Speaker B
아, 그래요?
Speaker C
의야.
Speaker B
저는 비웃는 건 줄 알았는데.
Speaker C
기기 막혔다.
Speaker A
아니 아니 아니.
Speaker C
오늘도 한 건 했다 비유 민수.
Speaker A
어 그러니까 중대장이 VPN이거든요. 이제부터 여기도 군부대다. 그러면 그때부터 내부에 있는 모든 걸 다 똑같이 쓸 수 있는 거야. 중대장이 오케이 했거든.
Speaker A
이게 VPN입니다.
Speaker C
와, 진짜 너무 정확합니다.
Speaker A
정확하죠?
Speaker C
너무 훌륭한데요?
Speaker A
아, 그래요?
Speaker C
어.
Speaker B
그리고 이 상황이 탐탁지 않은 약.
Speaker B
이런 거 제가 많이 배워야 될 거 같아요.
Speaker C
아.
Speaker B
이거는 뭐.
Speaker C
네.
Speaker B
그렇게 띄워주면 안 돼요.
Speaker A
띄워주지 말고.
Speaker B
계속 검증해야 돼요.
Speaker A
계속 검증해야 돼요.
Speaker C
옛날에는 그런 식으로 이제 중대장이 오케이 하면 됐는데.
Speaker A
그렇죠 옛날에.
Speaker C
근데 이제는 그 방식이 안 된다는 거예요.
Speaker A
문제가 돼요.
Speaker C
중대장이 오케이 한 상황들이 요즘 시대에는 문제가 됨.
Speaker A
문제가 돼요.
Speaker A
왜냐면 중대장이 오케이 했는데 안 좋은 일이 벌어지잖아.
Speaker B
그렇죠 그렇죠.
Speaker A
그럼 누가 책임질 거야?
Speaker C
예전에는 중대장이 책임졌어.
Speaker A
근데 이제는 중대장도 책임 못 져.
Speaker A
왜냐?
Speaker A
중대장도 정년 해야 될 거 아니야.
Speaker C
정년 챙기는 퀘도님 역시.
Speaker C
그래서 아무튼 사실상 VPN은 내부망의 연장이었던 것. 물리적인 연장이었던 거 이렇게 연장해줬던 거예요 사실은.
Speaker A
아 그렇죠.
Speaker C
그거 이제 못 하고 이제 내부 외부가 아니라 다른 방식으로 이제 안전하게 지켜야 되는 거예요.
Speaker C
그래서 뭐 2FA라든지.
Speaker C
2FA 많이 들어보셨죠?
Speaker C
Two-factor authentication이라고 해 가지고 혹은 이제 Multi-factor authentication이라고 하잖아요.
Speaker C
우리가 옛날에는 뭐 그냥 어딘가에 가입하고 로그인하려고 하면은 아이디 패스워드만 넣으면 됐었는데 요즘에는 너무 인증하는 게 많잖아요. 예를 들어 이메일 인증하라고 혹은 이제 전화번호 인증하라고 혹은 이제 OTP 같은 거 쓰기도 하잖아요.
Speaker A
OTP.
Speaker A
아 이거 늘려 그러면 이미 지나가.
Speaker C
인증하는데 되게 다양한 수단을 쓴다는 거거든요.
Speaker A
그렇죠.
Speaker C
그래서 우리는 사실 어떻게 보면 생체 인증도 굉장히 안전하다라고 이제 얘기를 하지만 생체 인증조차도 이제 하나만 만약에 쓴다라고 하면 그것도 뚫릴 수 있는 거예요.
Speaker A
그렇죠.
Speaker C
영화 같은 데 보면 많이 나오잖아요. 뭐 지문도 이렇게 위조하기도 하고.
Speaker A
막 실리콘으로 이렇게 하고 막.
Speaker C
그러니까 Multi-Factor라는 게 그래서 중요한 거예요. 한 가지가 아니라 뭐 아이디 패스워드도 그 아이디 패스워드는 어떻게 보면 내가 머릿속에 가지고 있는 지식을 바탕으로 하는 거고.
Speaker C
물리적으로 내가 뭘 소유하고 있다라는 걸로 증명하기도 하고 혹은 내 그 생체 정보를 가지고 인증하기도 하고.
Speaker C
내부에 있냐 외부에 있냐로 인증하기도 하고.
Speaker C
사실 그 다양한 것들을 다 잘 활용해 가지고 끊임없이 Verify 해야 한다.
Speaker C
이게 첫 번째 원칙.
Speaker C
가장 중요한 원칙이다.
Speaker C
그렇게 저는 생각을 합니다.
Speaker C
Implement least privilege 구현이라는 거는 구현이라는 거잖아요.
Speaker C
그러니까 구현에 대한 내용인데 결국은.
Speaker C
우리가 어떻게 안전하게 설계를 해 가지고 실제로 그 시스템을 구축을 할 건데.
Speaker C
그 시스템 구축할 때 되게 중요한 것 중 하나가 권한이에요.
Speaker C
권한이라는 게 뭐 저런 거 윈도우라든지 OS 같은 거 보면은 권한 설정을 하잖아요.
Speaker C
그래서 이 파일을 볼 권한을 준다거나.
Speaker A
아 수정할 권한을 읽기 쓰기 뭐 이런 거.
Speaker C
근데 사실 그 리눅스 같은 거 많이 써보셨나요?
Speaker B
전 안 써봤어요.
Speaker A
저 써봤어요.
Speaker C
거기서 이제 그 파일에 대한 권한 설정할 때 아까 그 chmod 써보신 적 있으시죠?
Speaker C
그게 결국은 어떤 파일이라든지 뭐 디렉토리에 대한 Access 혹은 어떤 수정 권한을 주는 건데.
Speaker C
그래서 777 하면 사실 모든 권한을 다 준다는 거거든요.
Speaker A
아.
Speaker C
저런 짓을 하면 안 된다는 겁니다.
Speaker B
저런 짓을.
Speaker C
허용 허용 허용.
Speaker A
근데 보통은 그렇게 많이 하죠.
Speaker C
편해.
Speaker A
편하니까.
Speaker B
어 편해 너무 편해.
Speaker B
지금 여러 생각이 드는데 저 유튜브 채널에 권한을 가진 사람들이 많아요.
Speaker A
많죠 많죠.
Speaker B
저 안될 과학 권한 가진 사람이 되게 많거든요.
Speaker C
되게 위험한 거네요.
Speaker B
위험하다.
Speaker C
몇 명인지?
Speaker A
모름.
Speaker C
안될 과학 이대로?
Speaker B
뭐 꽤 많아요.
Speaker B
저 정확히도 몰라요 심지어.
Speaker C
아 그러니까 이게 사실 그렇잖아요.
Speaker C
말씀하신 것처럼 너무 귀찮잖아요.
Speaker C
너무 귀찮음.
Speaker C
그래서 예를 들어서 회사 안에서 제가 다른 부서한테 저 이거 들어가서 봐야 돼요. 권한 주세요라고 하면은 열어드릴게요 또 열어주고.
Speaker C
하다가 또 옆에 거 다른 것도 필요한 거예요.
Speaker C
또 주세요.
Speaker C
또 열어주고.
Speaker C
또 주세요 열어주고 그걸 계속 반복하다 보면 귀찮잖아요.
Speaker C
이럴 거면 그냥 다 주세요.
Speaker A
양님 스타일.
Speaker B
이거 열어주세요. 그것만 열어드리면 될까요?
Speaker A
그걸로 괜찮겠어?
Speaker C
더 필요한 건 없고?
Speaker A
1+1 보안 시스템.
Speaker B
이것까지 열어드리겠습니다.
Speaker A
양님 차에서 뭐 좀 꺼내면 안 돼요? 타고 가세요.
Speaker B
모두에게 열려있다.
Speaker A
얹어주기.
Speaker C
결국 귀찮아서 그런 거거든요.
Speaker A
그러니까.
Speaker C
귀찮다라는 거는 너무 약간 개인적으로 표현하는 거고.
Speaker C
사실은 비효율적인 것.
Speaker C
이 비효율을 우리는 감당을 해야 된다라는 거죠.
Speaker A
부지런해야겠네요.
Speaker C
이 비효율을 감당해야 한다는 것.
Speaker A
보안을 생각했을 때.
Speaker A
보안이 가장 최우선인 가치라면은.
Speaker A
이러한 비효율은 우리가 어느 정도 짊어지고 가야 된다.
Speaker C
네.
Speaker C
그리고 사실 그리고 저렇게 권한을 최소한으로 주려면은.
Speaker C
그 우리가 가지고 있는 자원들을 되게 잘게 쪼개야 함.
Speaker C
직원들의 역할도 잘 쪼개야겠네요.
Speaker C
그러니까 예를 들어 우리가 가지고 있는 서류들이 뭐 종류가 엄청나게 많은데.
Speaker C
카테고리가 나눠져 가지고 어떤 사람은 이것만 보면 되고 어떤 사람은 이것만 보면 되고 그렇게 나눠져 있을 거 아니에요.
Speaker C
근데 그걸 하나의 큰 금고에다 다 넣어 놓으면은.
Speaker C
모든 걸 다 같이 볼 수 있는 이 권한을 주면은 다.
Speaker A
어 되게 좋은 비유야.
Speaker C
그렇기 때문에 우리가 이제 큰 금고 한 개 놓는 것보다 작은 금고 열 개 놓는 게 훨씬 더 권한 분산하기 좋은 거죠.
Speaker C
그리고 뭐 예를 들어.
Speaker C
회사에서 뭐 인사 정보 가지고 있는 곳 재무 정보 혹은 뭐 어떤 그 외에 어떤 기밀 정보가 있을 때.
Speaker C
그거를 각자의 어떤 그 금고에 넣어 놓고.
Speaker C
각자 필요한 금고에만 접근 권한을 주는 것.
Speaker C
당신의 업무랑 관련 있는 금고에 대해서만 액세스를 주는 거죠.
Speaker C
결국은 이렇게 자원에 대한 어떤 액세스 권한을 이렇게 잘게 쪼개놔야 한다는 것.
Speaker C
사실은 또 보면 여기에 접속할 수 있도록 권한을 줬어요.
Speaker C
근데 그 권한이 필요했던 이유가 영원하지 않은 경우도 있잖아요.
Speaker A
그렇죠.
Speaker C
그러니까 예를 들어 내가 이러이러한 프로젝트 하는데 이 리소스에 대한 액세스가 필요합니다.
Speaker C
해서 줬는데 프로젝트가 끝났어요.
Speaker C
그러면 그 권한 회수해야 되거든요.
Speaker A
회수해야 되죠.
Speaker C
그렇기 때문에 그 권한에 대해서 최소한으로 우리가 권한을 부여한다는 거는.
Speaker C
이렇게 그 영역 얼마큼 넓은 영역을 우리가 주느냐도 중요하지만 어느 기간 동안 주느냐도 상당히 중요합니다.
Speaker A
언제까지 주느냐.
Speaker C
나중에 가면은 우리가 신뢰라고 하는 거에 대해서 더 엄격하게 보지 않을까요?
Speaker C
그러니까 점점 더 엄격해지는 길이 있을 거라고 저는 생각을 합니다.
Speaker A
저는 개념이잖아요 어떤.
Speaker A
기준이 되고 개념이 되다 보니까 우리가 과거에 어우 착해.
Speaker A
착하다는 단어는 굉장히 좁은 영역이었어요.
Speaker A
근데 지금은 착하다는 단어가 너무 많은 의미를 담고 있어.
Speaker A
와 우리 양님이 이 출자에서 굉장히 지갑이 착해.
Speaker A
막 이런 표현을 쓰지 않습니까?
Speaker A
그러니까 이 착해라는 개념이 과거보다 훨씬 많은 개념을 포괄해요.
Speaker A
제가 볼 때는 이제 미래에는 제로 트러스트라는 개념이 훨씬 더 많은 내용을 포함하지 않을까.
Speaker A
좀 이런 기대를 해보면서.
Speaker A
오늘 교육 방송 마치도록 하겠습니다.
Speaker A
인사할 시간도 많습니다.
Speaker A
여러분의 시간을 낭비해 드릴.
Speaker B
느리지만 쿨한 과학 삼성 SDS와 안될 과학이 함께하는.
Speaker C
제로 트러스트 편이었습니다.
Speaker C
시청해주셔서 감사합니다.
Speaker B
감사합니다.
Speaker A
감사합니다.
Speaker C
감사합니다.
Topics:제로 트러스트삼성SDS안될과학VPN다중 인증2FA권한 최소화보안네트워크 보안정보보안
![[삼성SDS X 안될과학] 제로 트러스트란 무엇인가?? – 1부 — Transcript](https://i.ytimg.com/vi/fNAeQdm5BM8/maxresdefault.jpg)
