전 세계를 혼돈에 빠뜨린 마이크로소프트(MS, Microsoft)와 크라우드 스트라이크가 유발시킨 IT 대란이 우리에게 시사하는 바가 크다.
사이버 보안은 현대 기업의 IT 환경에서 복잡하고 중요한 문제이다. 공격자들은 기업 방어를 뚫기 위한 새로운 방법을 계속해서 찾고 있으며, 기업은 이에 대응하기 위해 다계층 방어 전략을 채택해야 한다.
중앙화 되어 있는 Gateway(+Proxy) 방식은 기술적으로 "단일 지점 공격"에 의한 시스템 전체가 장악되거나, 파괴될 수 있는데, 이번 IT대란 사태는 인증 시스템도 예외가 아님을 보여줬다.
중앙 집중식에서 벗어나 탈중앙화하는 PC, 서버, 네트워크, 애플리케이션, 데이타베이스 등 각각의 레이어별 인증 시스템은 "단일 지점 공격"에서 시스템을 보호할 수 있다.
탈중앙화하는 다계층 보안 레벨의 인증 시스템(Muilt-layer security level authentication system)이 필요하다는 주장이 힘을 받으며, 다양한 사이버 공격에 대비하여 통합해 보호하는 방법이 아니라 각각의 컴포넌트 하나하나를 보다 안전하게 정보자산을 보호할 수 있다.
사이버 보안은 디지털 시대에 필수적인 요소로, 데이터 보호와 개인 정보 보호를 위해 계속해서 발전해야 하는 분야다.
IT 환경에 새로이 도래한 클라우드 컴퓨팅은 데이터 저장, 처리 및 관리를 물리적 서버 대신 인터넷을 통해 제공하는 서비스다. 이로 인해 기업과 개인은 고성능 컴퓨팅 자원을 효율적으로 사용할 수 있지만, 보안 위협도 함께 증가하고 있다.
클라우드 환경에서는 데이터 암호화, 접근 제어, 정기적인 보안 감사, 다중 인증(MFA, Multi-Factor Authentication), 모니터링 및 로그 관리 등이 중요하다. AWS, Google Cloud, Microsoft Azure 등과 같은 주요 클라우드 서비스 제공자들은 다양한 보안 솔루션을 통해 클라우드 환경의 보안을 강화하고 있다.
기업이 클라우드에 있는 다양한 운영체제(OS), 애플리케이션 및 서비스에 대한 직원의 접속 방법을 모색하면서, 무엇보다도 중요한 다중 인증(MFA)은 사용자의 신분 유출을 방지하고 보안 체계를 강화하기 위해 설정 및 최적화할 수 있는 중요한 툴이 되었다.
다중인증 솔루션은 클라우드 서비스에 접속 시 보안 강화를 위하여 사용자 이름(로그인-ID)와 비밀번호 이외에 별도의 추가 인증(2차 인증) 요소를 요구하는, 사용자 이름 및 비밀번호에만 의존하는 기존 인증 방식보다 크게 개선된 방식이다.
클라우드의 보안 강화를 위한 다중인증은 사용자 이름 및 비밀번호와 함께 사용자가 클라우드의 다양한 운영체제(OS)와 애플리케이션 그리고 다양한 서비스에 접속하려는 경우 2단계 또는 3단계 ID 증명 정보 등 추가 인증를 요구한다. 이러한 추가 인증 요소는 PIN, 스마트 카드 또는 키 포브와 같은 토큰 기반 인증자, 일회용 암호, 푸시 알림 또는 모바일 앱에 전달되는 SMS 코드와 같이 직원이 알고 있는 정보일 수 있다. 또는 지문이나 얼굴 인식과 같은 생체 인식 인증이 추가 인증 요소가 될 수도 있다.
클라우드에 대한 다중인증 기술을 구축하면 무단 접속의 리스크를 크게 줄일 수 있다. 다중인증 솔루션을 사용하는 기업은 그렇지 않은 기업보다 사이버 해킹의 가능성이 현저히 낮다. 하지만 표준 클라우드의 다중인증 솔루션은 피싱, 크리덴셜 스터핑, 소셜 엔지니어링, 이메일 또는 SMS를 이용한 확인 코드 가로채기와 같은 기술로 우회할 수 있어서 문자기반의 인증 솔루션을 사용하지 않는게 좋다.
BaroPAM 솔루션은 제로 트러스트 보안 모델로 정보자산의 보안 강화를 위하여 2차 인증(추가 인증)이 필요한 다양한 운영체제와 애플리케이션에 누구나 손쉽게 곧바로 적용할 수 있는 플러그인 가능한 인증 모듈(PAM, Pluggable Authentication Module) 방식을 기반으로 하는 보안에 최적화된 다계층 보안 레벨의 인증을 지원하는 솔루션이다.
BaroPAM 솔루션은 별도의 인증서버가 필요 없는 모듈인증 방식으로 보안성이 강하고, 단순하고, 관리도 필요 없고, 장애도 없고, 누구나 손쉽게 곧바로 적용하여 사용할 수 있고, 솔루션을 도입할 때 별도의 서버나 DB 같은 추가 도입이 필요 없는 저비용 고효율의 솔루션이다.
"아무 것도 하지 않으면 중간은 간다"는 건 오래된 말이고, 클라우드 시대에는 통하지 않는 말이다. 새로운 시대에는 새로운 보호 장치가 어울린다. 시스템과 인프라는 자꾸만 새 것으로 바뀌는데 왜 예전 것들을 부여잡고 있는지 각자가 스스로를 검토해야 할 때다.
결론은 "다계층 인증을 도입했다"는 것이 아니라 기술 및 보안성 등 "어떤 다계층 인증을 도입했느냐"가 관건이다.
"아무 것도 신뢰하지 않는다" = "아무도 믿지 마라" = "계속 검증하라"
앞으로 정보 보안의 흐름은 보안은 강화하고 사용자의 불편함을 최소화하는 방향으로, 기억할 필요가 없는 비밀번호! BaroPAM이 함께 하겠습니다.
