본문 바로가기
← 메인으로
💻
제로트러스트 실습 · 어떤 기기인지 묻지 않는 접속
Target:
사내 자원 접근 게이트웨이
성숙도:
기존 → 향상
기기·엔드포인트 / 정책 준수 모니터링
💡 쉽게 말하면
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
비관리 개인 PC에서 접속
🔒 Secured Channel
제로트러스트는 사용자만이 아니라
기기도 검증 대상
으로 봅니다. 아이디·비밀번호가 맞아도 그 기기가 조직이 아는 기기인지, 보안 설정이 살아 있는지 확인하지 않으면 감염된 개인 PC가 그대로 사내 자원에 붙습니다.
⚡ 비관리 단말 접속
자산 미등록 · 백신 미동작 · 디스크 미암호화
OFF
📡 거래/인증 요청 (가로채어 변조 가능)
접속 요청 { "user": "jung.ops", "device_id": "AST-11902", // 자산 등록됨 "posture": { "edr": "running", "disk_encrypted": true, "patch_age_days": 3 } }
요청 전송
🖥️ 금융 시스템 처리 로그
[SYSTEM]
Core Banking Channel ready.
[INFO]
거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 암묵적 신뢰가 악용되었습니다
기기·엔드포인트 / 정책 준수 모니터링 — 접근 판단에 기기 상태가 반영되지 않음
자산 인벤토리에 없는 단말의 접속이 허용됨
성숙도 1단계(기존): 기기 검증 없이 사용자 인증만 수행
🛡️ 대응 코드/설정 실습
접근 결정은
사용자 신원 × 기기 상태
로 내려야 합니다. 기기가 등록돼 있고 보안 설정이 살아 있는지 접속 시점에 확인하고, 기준 미달이면 차단하거나 제한된 범위만 허용하세요.
// [취약] 사용자만 보고 자원을 열어준다 public Access authorize(User u, Resource r) { if (!auth.isValid(u)) deny(); return Access.full(r); // 어떤 기기인지 묻지 않음 }
코드 검증
힌트(정답) 보기
📚 제로트러스트 성숙도 해설 / 적용 가이드
1. 무엇을 보는 항목인가
접근을 허용할 때
기기의 현재 상태를 실제로 확인하는지
를 본다. 등록 여부만 보고 상태를 보지 않으면 감염된 등록 단말을 막지 못한다.
2. 성숙도 단계별 모습
기존
— 기기 검증 없음, 사용자 인증만으로 접근 허용
초기
— 자산 등록 여부만 확인(상태는 확인하지 않음)
향상
— 접속 시점 보안 상태를 검사해 허용·제한·차단을 나눔
최적화
— 상태 변화가 세션 중에도 반영돼 접근 범위가 즉시 조정됨
3. 무엇을 증적으로 남길 수 있나
기기 상태 검사 항목 정의와 자원별 기준선
기준 미달로 차단·제한된 접속 통계
자산 인벤토리와 실제 접속 단말의 차이 분석