이 책은 제로 트러스트 여정을 돕기 위한 개념, 도입 사례, 아키텍처, 적용 모델을 구체적으로 제시하고 설명한 지침서이다. 제로 트러스트 도입 시의 보안과 운영 시의 이점을 확인할 수 있고, 제로 트러스트 구성 요소, 아키텍처에 대한 많은 궁금증을 해결할 수 있다. 또한 제로 트러스트 적용 위치, 시기, 방법에 대한 정보 뿐만 아니라 제로 트러스트 전환이 기존 엔터프라이즈와 보안 아키텍처에 어떤 영향을 미치는지도 상세히 다룬다.

[목 차]

1장. 소개

2장. 제로 트러스트란?
__제로 트러스트 역사와 발전 과정
____포레스터의 제로 트러스트 익스텐디드(ZTX) 모델
____가트너의 제로 트러스트 접근 방식
__제로 트러스트에 대한 우리의 관점
____핵심 원칙
____확장된 제로 트러스트 원칙
____작업 정의
__제로 트러스트 플랫폼 요구 사항
__요약

3장. 제로 트러스트 아키텍처
__대표적인 엔터프라이즈 아키텍처
____IAM
____네트워크 인프라 방화벽 로드 밸런서 (방화벽, DNS, 로드 밸런서)
____점프 박스
____특권 접속 관리
____네트워크 접근 제어
____침입 탐지/침입 방지
____가상 사설망
____차세대 방화벽
____SIEM
____웹 서버, 웹 애플리케이션 방화벽
____서비스형 인프라(IaaS)
____서비스형 소프트웨어(SaaS), 클라우드 애플리케이션 보안 브로커(CASB)
__제로 트러스트 아키텍처
____NIST 제로 트러스트 모델
____제로 트러스트 아키텍처 개념
__제로 트러스트 구축 모델
____리소스 기반 구축 모델
____엔클레이브 기반 구축 모델
____클라우드 라우팅 구축 모델
____마이크로세그먼테이션 구축 모델
__요약

4장. 제로 트러스트 대표 사례
__구글 BeyondCorp
__PagerDuty 제로 트러스트 네트워크
__소프트웨어 정의 경계와 제로 트러스트
____양방향 TLS 통신
____단일 패킷 인증(SPA)
__SDP 사례 연구
__기업과 제로 트러스트
__요약

5장. IAM
__IAM 검토
____ID 저장소(디렉터리)
____ID 수명주기
____접속 관리
____인가
__제로 트러스트와 IAM
____인증, 인가, 제로 트러스트 통합
____레거시 시스템 인증 강화
____IAM 개선 촉매제 제로 트러스트
__요약

6장. 네트워크 인프라
__네트워크 방화벽
__도메인 네임 시스템
____공개 DNS 서버
____내부 DNS 서버
____보안을 위한 DNS 모니터링
__WAN
__로드 밸런서, 애플리케이션 전송 컨트롤러, API 게이트웨이
__웹 애플리케이션 방화벽
__요약

7장. 네트워크 접근 제어
__네트워크 접근 제어 소개
__제로 트러스트와 네트워크 접근 제어
____관리되지 않는 게스트 네트워크 접속
____관리형 게스트 네트워크 접속
____관리형 게스트 네트워크 대 비관리형 게스트 네트워크: 토론
____직원 BYOD 기기
____장치 상태 검사
____장치 검색과 접근 제어
__요약

8장. 침입 탐지 및 침입 방지 시스템
__IDPS 유형
____호스트 기반 시스템
____네트워크 기반 시스템
__네트워크 트래픽 분석과 암호화
__제로 트러스트와 IDPS
__요약

9장. 가상 사설망
__엔터프라이즈 VPN과 보안
__제로 트러스트와 VPN
__요약

10장. 차세대 방화벽
__방화벽 역사와 진화
__제로 트러스트와 차세대 방화벽(NGFWS)
____네트워크 트래픽 암호화: 영향도
____네트워크 아키텍처
__요약

11장. 보안 운영
__SIEM
__보안 오케스트레이션, 자동화, 대응
__보안 운영센터에서 제로 트러스트
____풍부한 로그 데이터
____오케스트레이션과 자동화 트리거 이벤트 (트리거, 이벤트)
__요약

12장. PAM
__비밀번호 볼트
__보안 암호 관리
__특권 세션 관리
__제로 트러스트와 PAM
__요약

13장. 데이터 보호
__데이터 유형과 데이터 분류
__데이터 수명주기
____데이터 생성
____데이터 사용
____데이터 파기
__데이터 보안
__제로 트러스트와 데이터
__요약

14장. 서비스형 인프라와 플랫폼
__정의
__제로 트러스트와 클라우드 서비스
__서비스 메시
__요약

15장. 서비스형 소프트웨어
__SaaS와 클라우드 보안
____네이티브 SaaS 컨트롤
____보안 웹 게이트웨이
____클라우드 접속 보안 브로커
__제로 트러스트와 SaaS
____제로 트러스트와 에지 서비스
__요약

16장. IoT 장치와 사물
__IoT 장치 네트워킹 및 보안 문제
__제로 트러스트와 IoT 장치
__요약

17장. 제로 트러스트 정책 모델
__정책 구성 요소
____서브젝트 기준
____액션
____타깃
____컨디션
____서브젝트 기준 대 컨디션
____정책 사례
__정책 적용
____속성
____정책 시나리오
____정책 평가와 정책 적용 흐름
__요약

18장. 제로 트러스트 시나리오
__VPN 교체/VPN 대체
____고려 사항
____권장 사항
__서드파티 접속
____고려 사항
____권장 사항
__클라우드 마이그레이션
____마이그레이션 범주
____고려 사항
____권장 사항
__서비스 대 서비스 접속
____고려 사항
____권장 사항
__데브옵스
____데브옵스 단계
____고려 사항
____권장 사항
__인수합병
____고려 사항
____권장 사항
____매각
__완전한 제로 트러스트 네트워크/네트워크 전환
____고려 사항
____권장 사항
__요약

19장. 제로 트러스트의 성공
__제로 트러스트: 전략적 접근 방식(하향식)
____거버넌스 위원회
____아키텍처 검토 위원회
____변경 관리 위원회
____가치 동인
__제로 트러스트: 전술적 접근 방식(상향식)
__제로 트러스트 적용 사례
____시나리오 1: 전술적 제로 트러스트 프로젝트
____시나리오 2: 전략적 제로 트러스트 이니셔티브
__일반적인 프로젝트 장애물
____ID 관리 미숙
____정치적 저항
____규제 또는 컴플라이언스 제약 조건
____리소스 검색과 가시성
____분석 마비
__요약

20장. 마무리

21장. 후기
__계획, 계획, 더 많은 계획
__제로 트러스트는 (불행히도) 정치적이다
__목표는 크게, 시작은 작게
__예산 확보
__디지털 전환은 친구와 같다
__업계 표준과 사양

[본 문]

◈ 옮긴이의 말 ◈

제로 트러스트는 급격한 비대면 환경 증가, 디지털 전환에 따른 클라우드 도입 등으로 느슨해진 내부와 외부의 경계 보안을 강화하기 위한 대안이다. 또한 2021년 5월, 미국 바이든 대통령의 행정 명령은 제로 트러스트라는 이슈를 전세계적 보안 이슈로 끌어 올렸으며, 국내 도입 움직임도 본격화되고 있다. 하지만 대부분 기업에서 제로 트러스트에 대한 불확실성은 여전히 남아 있다.
이 책은 저자의 풍부한 경험을 기반으로 제로 트러스트 개념, 사례, 아키텍처, 모델을 구체적으로 설명하고 있다. 이에 독자는 제로 트러스트가 정확히 무엇을 의미하는지, 어떤 순서로 계획하고 실행해야 하는지 등을 쉽게 이해할 수 있어 제로 트러스트에 대한 불확실성을 해소할 수 있을 것이다.
저자는 제로 트러스트가 최종 목적지가 아닌 꾸준히 나아가야 할 여정임을 강조하고 있다. 이 책이 완전한 보안을 꿈꾸는 모든 분의 여정에 도움이 되길 바란다.

◈ 이 책에서 다루는 내용 ◈

◆ 제로 트러스트 보안 원칙과 이를 채택하는 것이 중요한 이유 이해
◆ 제로 트러스트 보안과 운영 이점 확인
◆ 제로 트러스트 보안 아키텍처 적용 위치, 시기, 방법에 대한 올바른 의사 결정
◆ 제로 트러스트로의 전환이 엔터프라이즈, 보안 아키텍처에 미치는 영향
◆ 기업에 보안 이점을 빠르게 제공할 수 있는 프로젝트를 식별하고 제로 트러스트를 향한 여정을 계획할 준비

제이슨 가비스(Jason Garbis)
제로 트러스트 보안 접속 솔루션 시장의 선두 업체인 앱게이트(Appgate)의 제품 부문 수석 부사장이다. 앱게이트에서 회사의 보안 제품 전략과 제품 관리를 담당하고 있다. 또한 보안 기업, 기술 기업에서 30년 이상의 제품 관리, 엔지니어링, 컨설팅 업무 경력이 있다. 클라우드 보안 협회의 ‘SDP 제로 트러스트’ 워킹그룹의 공동 의장이며 연구, 출판 이니셔티브를 이끌고 있다. CISSP 자격증을 보유하고 있고 코넬 대학교에서 컴퓨터공학 학사 학위를 취득했으며 노스이스턴 대학교(Northeastern University)에서 MBA 학위를 받았다.

제리 채프먼(Jerry W. Chapman)
옵티브 시큐리티(Optiv Security)의 아이덴티티 관리 엔지니어링 회원이다. 25년 이상의 업계 경력이 있고 보안, 비즈니스 목표에 부합하는 방식으로 엔터프라이즈 IAM 전략의 설계, 구현에 있어 수많은 고객을 성공적으로 이끌어왔다. 엔터프라이즈 아키텍처, 솔루션 엔지니어링, 소프트웨어 아키텍처 분야와 개발 분야에서 두루 업무를 수행했다. IAM 산업 전문가로 옵티브 사이버 보안 실무 영역에 걸쳐 지도, 지원, 사고 리더십을 제공하면서 기업 보안 아키텍처에서 ID, 데이터를 핵심 구성 요소로 포지셔닝하는 데 중점을 두고 있다. 옵티브 제로 트러스트 전략의 대표 대변인이고 콘퍼런스, 기타 산업 행사에서도 자주 연설을 한다. 최초 기술 설계자로 활동했던 IDSA(Identity Defined Security Alliance)의 기술 워킹그룹에서 활동하고 있다. 포레스터 제로 트러스트 전략 담당으로, 디브라이 대학교(DeVry University)에서 컴퓨터 정보 시스템 학사 학위를 취득했고, 현재 서던뉴햄프셔 대학교(Southern New Hampshire University)에서 응용수학 학위를 취득 중이다.

옮긴이 서도현
삼성 SDS, 삼성화재에서 18년 이상 근무하며 개발, TA, IT 보안을 담당했고, 현재 글로벌 기업에서 정보 보호를 담당하고 있다. 성균관대학교 학사, 석사를 졸업했고 정보관리 기술사, 정보시스템 수석 감리원, 애저 SA Expert, 애저/AWS Security, VCP-DCV, ENCE/FTK, CISSP, CISA, CEH, CPPG, ITIL, SCWCD/BCD, 정보보안 기사, 디지털 포렌식 등 20여 개의 자격을 보유 중이며, 에이콘출판사에서 출간한 『모던 데이터 보호』(2022)를 번역했다.