지속적인 검증 및 모니터링

제로 트러스트는 인증으로 끝나지 않습니다. 액세스 결정은 실시간 위험 신호를 기반으로 세션 전체에서 지속적으로 재평가해야 합니다. 오전 9시에 신뢰할 수 있던 세션도 기기가 침해되면 오전 9시 5분에는 신뢰할 수 없게 될 수 있습니다.

지속적인 검증에 사용되는 신호:

• 디바이스 준수 상태 변경(EDR 경고, 업데이트 실패)
• 사용자 행동 이상 징후(비정상적인 액세스 시간, 액세스량)
• 위치 변경(불가능한 이동)
• 네트워크 위협 인텔리전스(C2 통신 감지)
• 애플리케이션 액세스 이상 징후

적응형 인증은 위험도에 따라 인증 요구 사항을 동적으로 조정합니다. 위험도가 낮은 액세스(알려진 디바이스, 평상시 시간대) → 추가적인 인증 부담 없음. 위험도가 높은 신호 → 재인증 또는 MFA 단계 상승을 요구합니다. 컨텍스트 인식 IdPs(Okta, Azure AD)가 이를 구현합니다.

위험 신호가 발생하면 세션을 즉시 취소할 수 있어야 합니다. 구현:

• 짧은 토큰 수명(15분) + 새로 고침 토큰
• 토큰 취소 목록
• IdP에서 SSO 세션 무효화
• OIDC 백채널 로그아웃을 통한 강제 재인증

SIEM은 모든 소스(IdP, 엔드포인트, 네트워크, 애플리케이션)의 로그를 집계하고 이벤트를 상호 연관 분석하여 공격을 탐지합니다. 제로 트러스트 SIEM은 다음을 모니터링합니다:

• 인증 이벤트 및 이상 징후
• 권한 상승
• 비정상적인 데이터 액세스 또는 유출
• 정책 위반

UEBA는 사용자와 엔터티의 행동 기준선을 구축한 후 편차를 탐지합니다:

• 사용자 X는 항상 NYC에서 액세스합니다 — 모스크바에서 액세스하면 경고
• 서비스 계정은 외부 연결을 전혀 하지 않습니다 — 외부 연결이 발생하면 경고
• 데이터 다운로드량 이상 — 정상 다운로드의 100배를 다운로드하면 경고

위협 헌팅은 자동화 도구가 탐지하지 못한 위협을 선제적으로 검색하는 활동입니다. 위협 헌팅 담당자는 위협 인텔리전스와 ATT&CK TTP를 기반으로 가설을 세운 다음 로그에서 증거를 검색합니다. 경고를 기다리는 것이 아니라 환경에 숨어 있는 공격자를 적극적으로 찾는 것입니다.

제로 트러스트 모니터링을 위한 종합 관측성 스택:

• 로그: Elasticsearch + Kibana(ELK), Splunk
• 메트릭: Prometheus + Grafana
• 트레이스: Jaeger, Zipkin(분산 추적)
• 네트워크: Zeek, Suricata, VPC Flow Logs

제로 트러스트는 지속적인 규정 준수까지 확장됩니다:

• CSPM 도구는 클라우드 구성을 주기적으로가 아니라 지속적으로 검사합니다
• 코드로 관리하는 정책(OPA/Rego)은 규정 준수를 자동으로 적용합니다
• 구성 편차 감지는 구성이 기준선에서 벗어나면 경고합니다

지속적인 모니터링은 자동화된 대응(SOAR)으로 이어집니다:

• IdP에서 침해된 디바이스를 격리 → 모든 액세스를 즉시 차단
• 방화벽과 CDN에서 악성 IP를 동시에 차단
• 보안 사고 티켓을 생성하고, 당번 담당자에게 알리며, 시스템을 격리

속도가 중요합니다 — 자동화된 대응은 수동 대응의 몇 분과 달리 몇 초 만에 작동합니다.

제로 트러스트 진행 상황 측정:

• 피싱 방지 MFA를 사용하는 사용자 비율
• MDM 등록 및 준수 상태인 디바이스 비율
• VPN 대비 ZTNA를 통해 액세스하는 애플리케이션 비율
• 비정상 액세스 탐지 평균 시간
• 상호 TLS가 적용된 동서 트래픽 비율

불가능한 이동이나 비정상적인 데이터 다운로드와 같은 이상 징후를 탐지하기 위해 사용자와 엔터티의 행동 기준선을 구축하는 시스템은 무엇입니까?

제로 트러스트에는 초기 인증을 넘어선 지속적인 검증이 필요합니다. 실시간 위험 신호(디바이스 상태, 행동 이상 징후, 위협 인텔리전스)는 적응형 인증 또는 세션 취소를 유발합니다. SIEM과 UEBA는 공격을 탐지하고, 위협 헌팅은 자동화가 놓치는 위협을 찾아냅니다. SOAR는 몇 초 만에 대응을 자동화합니다. MFA 적용 범위, MDM 등록률, 동서 트래픽의 mTLS 적용 비율을 통해 제로 트러스트 성숙도를 추적합니다.