권한 있는 액세스: 인터페이스

권한 있는 액세스 보안의 중요한 구성 요소는 액세스를 제공하기 전에 디바이스, 계정 및 매개자가 보안 요구 사항을 충족하는지 확인하는 제로 트러스트 정책의 적용입니다.

이 정책을 통해 인바운드 세션을 시작하는 사용자 및 디바이스를 확인하고 신뢰할 수 있으며 인터페이스를 통해 리소스에 액세스할 수 있습니다. 정책 적용은 특정 애플리케이션 인터페이스(예: Azure Portal, Salesforce, Office 365, AWS, Workday 등)에 할당된 정책을 평가하는 Azure AD 조건부 액세스 정책 엔진에 의해 수행됩니다.

Protecting resources by protecting interfaces

이 지침에서는 서로 다른 민감도 수준을 가진 자산에 사용할 수 있는 인터페이스 보안을 위한 세 가지 보안 수준을 정의합니다. 이러한 수준은 권한 있는 액세스 보안 및 RAMP(신속한 현대화 계획)에서 구성되며 계정 및 디바이스의 보안 수준에 해당합니다.

인터페이스에 대한 인바운드 세션의 보안 요구 사항은 실제 디바이스 또는 원격 데스크톱/점프 서버 매개자에서 직접 연결되어 있든 관계없이 계정 및 원본 디바이스에 적용됩니다. 매개자는 개인 디바이스에서 세션을 허용하여 엔터프라이즈 보안 수준을 제공할 수 있습니다(일부 시나리오의 경우). 하지만 특수화된 또는 권한 있는 매개자는 역할의 보안 중요 특성 때문에 하위 수준으로부터의 연결을 허용하면 안 됩니다.

참고

이러한 기술은 애플리케이션 인터페이스에 대한 강력한 엔드투엔드 액세스 제어를 제공하지만, 리소스 자체는 애플리케이션 코드/기능, 기본 운영 체제 또는 펌웨어에서 패치가 적용되지 않은 취약성 또는 구성 오류, 미사용 데이터 또는 전송 중 데이터, 공급망 또는 기타 수단에 대한 대역 외 공격으로부터도 보호되어야 합니다.

완전한 보호를 위해 자산 자체에 대한 위험을 평가하고 검색해야 합니다. Microsoft는 클라우드용 Microsoft Defender, MicrosoftSecure Score위협 모델링 지침을 비롯한 도구 및 지침을 제공합니다.

인터페이스 예

인터페이스는 일반적으로 다음과 같이 다양한 형식으로 제공됩니다.

  • 클라우드 서비스/애플리케이션 웹 사이트(예: Azure Portal, AWS, Office 365)
  • 온-프레미스 애플리케이션을 관리하는 데스크톱 콘솔(MMC(Microsoft Management Console) 또는 사용자 지정 애플리케이션)
  • SSH(Secure Shell) 또는 PowerShell과 같은 스크립팅/콘솔 인터페이스

이 중 일부는 Azure AD 조건부 액세스 정책 엔진을 통해 제로 트러스트 적용을 직접 지원하지만, 일부는 Azure AD 앱 프록시 또는 원격 데스크톱/점프 서버와 같은 매개자를 통해 게시해야 합니다.

인터페이스 보안

인터페이스 보안의 궁극적인 목표는 인터페이스에 대한 각 인바운드 세션이 알려져 있고 신뢰할 수 있으며 허용되는지 확인하는 것입니다.

  • 알려짐 – 사용자가 강력한 인증을 사용하여 인증되고 디바이스가 인증됨(원격 데스크톱을 사용하는 개인 디바이스 또는 엔터프라이즈 액세스용 VDI 솔루션에 대한 예외 포함)
  • 신뢰할 수 있음 – 제로 트러스트 정책 엔진을 사용하여 계정디바이스에 대한 보안 상태가 명시적으로 유효성이 검사되고 적용됩니다.
  • 허용됨 - 리소스에 대한 액세스가 컨트롤의 조합을 사용하여 최소 권한 원칙을 따르며 다음 경우에만 액세스할 수 있어야 합니다.
    • 올바른 사용자가
    • 적절한 시간에(영구 액세스가 아닌 Just-In-Time 액세스)
    • 적절한 승인 워크플로를 사용하여(필요에 따라)
    • 허용 가능한 위험/신뢰 수준에서

인터페이스 보안 컨트롤

인터페이스 보안을 설정하려면 다음을 비롯한 보안 컨트롤을 조합해야 합니다.

  • 제로 트러스트 정책 적용 - 인바운드 세션이 다음의 요구 사항을 충족하도록 조건부 액세스를 사용합니다.
    • 디바이스를 최소한으로 보장하기 위한 디바이스 신뢰:
    • 다음을 포함한 신호에 따라 사용자 트러스트가 충분히 높습니다.
      • 초기 로그온 시 다단계 인증 사용(또는 신뢰를 높이기 위해 나중에 추가됨)
      • 이 세션이 기록 동작 패턴과 일치하는지 여부
      • 계정 또는 현재 세션이 위협 인텔리전스에 따라 경고를 트리거하는지 여부
      • Azure AD Identity Protection 위험
  • 엔터프라이즈 디렉터리 그룹/권한 및 애플리케이션별 역할, 그룹 및 권한을 결합하는 RBAC(역할 기반 액세스 제어) 모델
  • 계정에 적격한 권한을 허용하기 전에 권한에 대한 특정 요구 사항(피어 승인, 감사 내역, 권한 있는 만료 등)을 적용하는 Just-In-Time 액세스 워크플로가 적용됩니다.

인터페이스 보안 수준

이 지침에서는 세 가지 보안 수준을 정의합니다. 이러한 수준에 대한 자세한 내용은 사용자 및 프로필 간소화를 참조하세요. 구현 지침은 신속한 현대화 계획을 참조하세요.

Controlling resources access to specific interface security levels

엔터프라이즈 인터페이스

엔터프라이즈 인터페이스 보안은 모든 엔터프라이즈 사용자 및 생산성 시나리오에 적합합니다. 엔터프라이즈는 또한 특수 및 권한 있는 액세스 수준 보증에 도달할 수 있도록 증분 방식으로 빌드할 수 있는 더 높은 민감도 워크로드의 시작점 역할을 합니다.

  • 제로 트러스트 정책 적용 - 조건부 액세스를 사용하는 인바운드 세션에서 사용자 및 디바이스가 엔터프라이즈 이상 수준에서 보호되도록 합니다.
    • 이를 지원하기 위해 전용 WVD(Windows Virtual Desktop) 또는 유사한 원격 데스크톱/점프 서버 솔루션과 같은 엔터프라이즈 매개자를 사용하는 경우 BYOD(Bring Your Own Device) 시나리오, 개인 디바이스 및 파트너 관리 디바이스를 연결하도록 허용할 수 있습니다.
  • RBAC(역할 기반 액세스 제어) - 모델은 애플리케이션이 특수 또는 권한 있는 보안 수준의 역할에 의해서만 관리되는지 확인해야 합니다.

특수 인터페이스

특수 인터페이스에 대한 보안 제어에는 다음이 포함되어야 합니다.

  • 제로 트러스트 정책 적용 - 인바운드 세션에서 조건부 액세스를 사용하여 사용자 및 디바이스를 특수 수준 또는 권한 있는 수준에서 보호되도록 합니다.
  • RBAC(역할 기반 액세스 제어) - 모델은 애플리케이션이 특수 또는 권한 있는 보안 수준의 역할에 의해서만 관리되는지 확인해야 합니다.
  • Just-In-Time 액세스 워크플로(선택 사항) - 필요한 시간 동안 권한이 부여된 사용자만 권한을 사용하도록 하여 최소 권한을 적용합니다.

권한 있는 인터페이스

특수 인터페이스에 대한 보안 제어에는 다음이 포함되어야 합니다.

  • 제로 트러스트 정책 적용 - 조건부 액세스를 사용하여 인바운드 세션에서 사용자 및 디바이스가 권한 있는 수준에서 보호되도록 합니다.
  • RBAC(역할 기반 액세스 제어) - 모델은 권한 있는 보안 수준의 역할에 의해서만 애플리케이션이 관리되는지 확인해야 합니다.
  • Just-In-Time 액세스 워크플로(필수) - 필요한 시간 동안 권한이 부여된 사용자만 권한을 사용하도록 하여 최소 권한을 적용합니다.

다음 단계