상시 연결 VPN: 경로, 권한, 세션을 따로 보기

터널을 하루 종일 열어 두는 것은 설계 선택이며 합리적인 판과 부주의한 판이 있다. 종일 중앙 애플리케이션이 필요하고 야간 백업 작업도 있는 지사에는 이유가 있다. 호텔 객실에서 사흘 동안 연결된 채 남은 노트북은 사고다.

둘 다 같은 초록 아이콘을 보여 주고, 터널이 얼마나 열려 있는지 물으면 똑같이 답한다. 그 숫자가 흥미로운 것은 아니다. 중요한 것은 연결이 무엇을 계속 이용 가능하게 두는지, 누구에게, 무엇이 실제로 끝내는지다.

따로 도는 세 개의 시계

첫 번째 상태는 경로다. 터널과 그 정책은 서비스 집합을 도달 가능하게 만들고, 트래픽이 없는 링크는 다음 요청을 위해 준비된 채로 있을 수 있다. 얼마나 오래 준비되어 있는지는 구현의 결정이지 보편적인 타이머가 아니다.

두 번째 상태는 권한이다. 받아들여진 신원이나 기기는 그 경로를 쓸 권한을 받을 수 있다. 그 권한은 역할이 바뀌거나 기기가 사라지거나 침해가 의심될 때 바뀌어야 하며, 패킷이 흐르는지와 무관하다.

세 번째 상태는 애플리케이션 자체의 세션이다. 데이터베이스 클라이언트, 원격 데스크톱, 웹 애플리케이션은 따로 인증하고 자기 상태를 유지한다. 터널을 닫는다고 그것들 중 어느 하나가 반드시 끝나지는 않는다.

이 셋을 하나의 질문으로 다루는 검토는 유휴 타이머 논쟁으로 끝난다. 셋은 각각 스스로 건강할 수도 고장 날 수도 있고, 하나에서 나온 발견은 나머지에 대해 거의 말해 주지 않는다. 세 줄짜리 점검표가 하나의 타임아웃 값에 대한 논쟁보다 낫다. 상태마다 답을 따로 적어라.

터널은 경로이지 휘장이 아니다

수립된 터널은 두 끝점 사이에 보호된 경로가 있다는 증거다. 어느 한 끝점 뒤의 모든 프로세스가 반대편의 모든 서비스에 도달해야 한다는 증거는 아니다.

NIST의 제로 트러스트 지침은 같은 점을 반대 방향에서 말한다. 네트워크 위치를 암묵적 신뢰로 다루어서는 안 된다. 지사 링크는 전송의 사실이고, 한 호스트가 한 애플리케이션을 쓰는 권한은 자기 주인이 있는 별도의 결정이다.

침해된 상대는 여전히 허용된 서비스를 통해 해로운 행동을 시도할 수 있다. 필터링과 모니터링은 특정 위험을 줄이지만 끝점 침해의 결과를 지우지는 않는다. 경로를 위해 설계하고 서비스를 위해 권한을 부여하라.

영구 지사 링크를 정당화하기

상시 연결의 방어 가능한 판은 목적을 정확히 지목한다. 어떤 출발지, 어떤 목적지, 어느 방향, 그리고 각 항목의 주인이 누구인지. 지사의 모든 호스트에 모든 중앙 서브넷을 허용하는 지사 방화벽은 이름 붙인 목적을 위해 링크를 유지한 것이 아니다. 나중에 누군가 떠올릴 모든 것을 위해 유지한 것이다.

상대가 요구되는 신뢰 수준에 도달할 수 없다면 경계를 좁히거나 배치를 바꿔라. 이따금 수동으로 연결을 끊는 데 기대는 것은 프로세스 통제이며, 프로세스 통제는 사고가 그것을 불편하게 만드는 바로 그때 가장 신뢰할 수 없다.

정당화를 구성과 함께 보관하라. 목적이 적힌 영구 예외는 검토하고 철회할 수 있다. 목적이 없는 예외는 기본적으로 영구가 된다.

키 교체는 폐기가 아니다

일정에 따라 키를 교체하는 것은 보호 수명 주기를 유지한다. 자료를 새로 바꾸고 기밀성을 지킨다. 그러나 끝점의 권리를 빼앗지는 않는다.

끝점이 여전히 유효한 자격 증명과 그것을 받아들이는 접근 정책을 가지고 있다면, 다음 협상은 같은 허용 경로를 복원한다. 그래서 매시간 키를 돌리는 것이 분실 기기에 대한 답이 아니다. 신원이 아직 신뢰되는 한 분실된 기기도 함께 돈다. 일정보다 권리를 먼저 확인하라. 교체는 위생이고 폐기는 접근 결정이다.

폐기는 고유한 지연을 가진 다른 메커니즘이다. 폐기된 인증서, 비활성화된 계정, 변경된 그룹, 제거된 네트워크 규칙. 각각 다른 지점에서 효력을 발휘하고, 이미 수립된 세션에는 다르게 작동한다.

이미 돌고 있는 것을 끝내기

접근이 제거될 때 구현이 수립된 세션에 무엇을 하는지 물어라. 종료할 수도, 만료를 기다릴 수도, 그 사이의 문서화된 동작을 적용할 수도 있다. 내일의 허용 변경이 오늘의 애플리케이션 연결을 닫는다고 가정하지 마라.

대화형 접근에서는 세션 한도와 비활동 규칙을 네트워크 팀만이 아니라 신원과 VPN 소유자의 손에 두어라. 지사 서비스에는 유지보수, 장애, 보안 사고가 접근을 끄는 절차를 정하라.

그다음 세 가지 결과를 시험하라. 허용된 작업은 여전히 되고, 무관한 서비스는 거부되며, 제거 절차는 문서화된 결과를 낸다. 상시 연결 설계는 목적, 권한, 종료 능력이 모두 적히고 연습될 때 받아들일 수 있다. 그렇지 않다면 이유보다 오래 살아남은 편의일 뿐이다.