사이버 공격과 방어의 실무
NIST SP 800-207의 제로 트러스트 아키텍처에서는 접근을 허가할지 판단하는 '정책 결정 지점(PDP)'과 판단을 실행하는 '정책 시행 지점(PEP)'을 나누어 생각한다. 직원이 업무 애플리케이션에 접근할 때 두 가지의 역할에 대한 설명으로 올바른 것은?
- APEP가 사용자 인증이나 단말 상태를 바탕으로 접근을 허가할지 판단하고, PDP는 사용자의 PC 안에서 동작하여 애플리케이션과의 통신을 암호화한다
- BPDP가 인증 결과나 단말 상태를 정책에 비추어 판단하고, 사용자와 애플리케이션 사이의 PEP가 그 판단에 따라 연결을 통과시키거나 끊는다
- CPDP와 PEP는 같은 장비의 다른 이름이며, 한 번 연결을 허가한 후에는 세션이 끝날 때까지 허가 판단을 재검토하지 않는 것이 원칙이다
정답과 해설 보기
정답: B. PDP가 인증 결과나 단말 상태를 정책에 비추어 판단하고, 사용자와 애플리케이션 사이의 PEP가 그 판단에 따라 연결을 통과시키거나 끊는다
SP 800-207에서는 정책 엔진과 정책 관리자로 이루어진 PDP가 사용자 인증 결과, 단말 상태, 접근 대상의 중요도, 위협 정보 등을 정책에 비추어 접근을 허가할지 판단합니다. PEP는 사용자와 리소스 사이의 통로에 놓이며, PDP의 판단에 따라 연결을 활성화하거나, 감시하거나, 끊습니다. 판단과 시행을 나누면 정책을 한 곳에서 관리하면서 많은 애플리케이션의 입구에서 똑같이 적용할 수 있습니다. 또한 단말 상태 등이 바뀌면 연결 도중에도 판단을 재검토하여 접근을 멈출 수 있게 합니다.