0Pricing
Cyber Security Academy · 강의

제로 트러스트 원칙과 BeyondCorp 모델

항상 신뢰하지 않고 항상 검증하는 원칙, BeyondCorp로의 전환, Google의 Zero Trust 구현 방식을 이해합니다.

제로 트러스트 원칙과 BeyondCorp 모델은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

제로 트러스트란 무엇인가요?

제로 트러스트는 "항상 검증하고, 절대 신뢰하지 않는다"는 원칙에 기반한 보안 프레임워크입니다. 네트워크 내부의 모든 것을 신뢰하는 경계 기반 보안과 달리, 제로 트러스트는 위치와 관계없이 모든 사용자, 장치 및 애플리케이션을 지속적으로 검증해야 합니다.

경계의 종말

기존 경계 보안은 내부를 신뢰할 수 있다고 가정했습니다. 이 모델은 다음과 같은 이유로 무너졌습니다:

  • 클라우드 서비스는 경계 외부에 있습니다
  • 원격 근무로 직원이 어디에서나 일합니다
  • 신뢰된 네트워크 내부에서는 측면 이동이 매우 쉽습니다
  • 침해 사고의 70% 이상에는 내부자 위협이나 탈취된 자격 증명이 관련됩니다

BeyondCorp: Google의 제로 트러스트 모델

Google은 2014년에 BeyondCorp를 발표하여 VPN을 제거하고 네트워크 위치가 아니라 장치 및 사용자 검증을 기준으로 액세스를 결정하는 방식을 설명했습니다. 모든 Google 직원은 어떤 네트워크에서든 근무할 수 있습니다 — 액세스 여부는 IP 주소가 아니라 ID와 장치 상태에 따라 결정됩니다.

제로 트러스트의 핵심 원칙

다섯 가지 핵심 원칙:

  1. 명시적으로 검증 — 모든 사용자와 장치를 인증합니다
  2. 최소 권한 사용 — 필요한 최소한의 액세스 권한만 부여합니다
  3. 침해를 가정 — 네트워크가 이미 침해된 것처럼 설계합니다
  4. 모든 트래픽 검사 — 동서 트래픽을 암묵적으로 신뢰하지 않습니다
  5. 지속적으로 검증 — 세션 전반에 걸쳐 재검증합니다

새로운 경계로서의 ID

제로 트러스트에서는 네트워크 위치를 대신해 ID가 기본 액세스 제어 요소가 됩니다. 강력한 ID 제어가 매우 중요해집니다:

  • 피싱 방지 MFA(FIDO2)
  • 중앙 집중식 ID 제공자(IdP)
  • 위험 신호 기반 조건부 액세스 정책
  • 권한 있는 ID 관리(PIM)

장치 신뢰

제로 트러스트에서는 액세스 권한을 부여하기 전에 장치 상태를 검증해야 합니다:

  • 장치가 MDM에 등록되어 있나요?
  • OS가 보안 패치로 최신 상태인가요?
  • 디스크 암호화가 활성화되어 있나요?
  • EDR 에이전트가 실행 중인가요?
  • 장치가 탈옥 또는 루팅되어 있나요?

모든 액세스 요청에서 장치 규정 준수 상태를 확인합니다.

NIST SP 800-207

NIST SP 800-207은 미국 정부의 제로 트러스트 아키텍처 표준입니다. ZTA의 7가지 원칙을 정의하고 구현 시나리오를 설명합니다. 모든 연방 기관은 행정 명령 14028(2021)에 따라 ZTA를 구현해야 합니다.

제로 트러스트와 VPN 비교

기존 VPN은 광범위한 네트워크 액세스 권한을 부여합니다. 제로 트러스트 네트워크 액세스(ZTNA)는 ID 및 장치 상태를 기준으로 애플리케이션별 액세스 권한을 부여합니다:

  • VPN: 네트워크 신뢰 → 내부의 모든 항목에 액세스
  • ZTNA: ID와 장치 검증 → 특정 애플리케이션에만 액세스

제로 트러스트 구현 단계

단계적 ZTA 구현:

  1. 사용자, 장치, 애플리케이션 및 데이터 목록화
  2. 강력한 ID 체계 구축(MFA, IdP)
  3. 장치 규정 준수 검사 구현(MDM)
  4. 애플리케이션 세분화(ZTNA 프록시)
  5. 모니터링 및 지속적 검증

클라우드와 제로 트러스트

클라우드 환경은 자연스럽게 제로 트러스트와 부합합니다:

  • 보호할 온프레미스 경계가 없음 — 모든 것이 "외부"에 있습니다
  • IAM 정책이 방화벽 역할을 합니다
  • 서비스 메시(Istio, Consul)가 서비스 간 ID 기반 mTLS를 적용합니다
  • CSPM이 정책 위반을 지속적으로 모니터링합니다

제로 트러스트 공급업체

주요 제로 트러스트 플랫폼:

  • Google BeyondCorp Enterprise
  • Zscaler Private Access
  • Cloudflare Access
  • Okta + Okta Device Trust
  • Microsoft Azure AD Conditional Access

빠른 확인: 제로 트러스트

네트워크 위치가 아니라 ID와 장치 상태를 기준으로 액세스 결정을 내려야 한다는 제로 트러스트의 핵심 원칙은 무엇인가요?

강의 요약

제로 트러스트: "항상 검증하고, 절대 신뢰하지 않는다." 모든 액세스 요청에 대해 경계 보안을 ID와 장치 검증으로 대체합니다. Google의 BeyondCorp는 대규모 환경에서도 실현 가능함을 입증했습니다. NIST SP 800-207은 표준을 제공합니다. 구현 방법: 강력한 IdP, MFA, MDM 장치 규정 준수, 애플리케이션별 ZTNA 액세스. 클라우드 환경은 제로 트러스트 원칙에 자연스럽게 부합합니다.

자주 묻는 질문

“제로 트러스트 원칙과 BeyondCorp 모델” 강의는 무료인가요?

네 — “제로 트러스트 원칙과 BeyondCorp 모델” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“제로 트러스트 원칙과 BeyondCorp 모델”에서 뭘 배우나요?

항상 신뢰하지 않고 항상 검증하는 원칙, BeyondCorp로의 전환, Google의 Zero Trust 구현 방식을 이해합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“제로 트러스트 원칙과 BeyondCorp 모델” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

  1. 제로 트러스트 원칙과 BeyondCorp 모델
  2. 신원 및 기기 검증
  3. 마이크로세그멘테이션과 네트워크 정책
  4. 지속적인 검증 및 모니터링
← Cyber Security Academy(으)로 돌아가기