문서

경계 보안부터 제로트러스트 보안까지, 고도화 여정

김영재/조성현 토스 · 토스 기술 블로그

AI 핵심 요약

기존 시스템 인수 당시 토스페이먼츠는 암호화 트래픽을 분석하지 못하고 단일 방어선에 의존해, IDC와 AWS를 아우르는 다층 보안 체계를 구축해야 했다. SSL/TLS 복호화와 IPS·WAF, Wazuh·GuardDuty 기반 서버 탐지, Falco와 GuardDuty의 컨테이너 런타임 감시를 도입해 경계부터 실행 환경까지 위협을 살피도록 했다. 업무망에는 사용자와 단말 상태를 지속 검증하는 클라우드 기반 ZTNA와 EDR을 적용하고, 사용자 속성에 따라 접근 권한을 동적으로 조정했다. 4년간의 구축 과정에서 보안은 단일 기술이 아니라 여러 방어 계층과 운영 프로세스, 가맹점과의 협력이 함께 작동해야 한다는 점을 확인했다.

HTTPS 트래픽을 검사하려면 SSL/TLS 복호화 지점을 보안 아키텍처에 포함해야 한다.
경계 방어만으로는 측면 이동이나 런타임 공격을 막기 어려우므로 서버와 컨테이너 계층에도 탐지 체계를 둔다.
Wazuh, GuardDuty, Falco처럼 환경에 맞는 도구를 활용해 로그와 실행 행위를 중앙에서 감시하고 알림·대응으로 연결한다.
가맹점 차단은 공격 안내와 해결 가이드, 조치 확인을 포함한 협력 프로세스로 운영할 수 있다.
제로트러스트에서는 IP나 최초 인증에 의존하지 않고 사용자·단말 상태를 지속 검증해 최소 권한을 적용한다.

소개

열악한 보안 환경에서 출발하여 업계 최고 수준의 보안 체계를 구축하기까지, 토스페이먼츠가 걸어온 보안 여정을 공유합니다.

비슷한 학습 자료

컨퍼런스 SLASH

토스ㅣSLASH 23 - 모든 순간을 안전하게, 토스의 서비스 보안 자동화 여정

컨퍼런스 SLASH

애자일한 문화와 우수한 보안, 두 마리 토끼를 모두 잡을 수 있는 방법은 뭘까요? 더 안전하고 지속 가능한 보안을 위한 토스의 ‘서비스 보안 자동화’ 여정을 소개합니다. 표상영 / 토스 Security Researcher 발표 자료 👉🏻 https://bit.ly/3qyp7Qx 토스 개발자 컨퍼런스 SLASH에 대한 자세한 정보는 👉🏻 https://bit.ly/43kW3tO 컨퍼런스 및 세션에 대한 문의는 👉🏻 slash@toss.im 토스에 합류하고 싶다면 👉🏻 https://toss.im/career/jobs #보안자동화 #보안솔루션 #securityresearcher #토스 #개발자컨퍼런스 #SLASH *본 발표자료의 저작권은 연사에 있으며, 저작권자의 사전 서면 동의 없이 자료의 일부 또는 전부를 이용하거나 배포할 수 없습니다. *또한 해당 자료를 복제하여 SLASH 행사 홈페이지를 제외한 온라인상에 게재하는 행위는 연사가 동의한 저작권 및 배...

데브옵스 · 인프라 보안

컨퍼런스 SLASH

토스ㅣSLASH 23 - 보안의 Next Level을 향해 토스의 Security Review

컨퍼런스 SLASH

더 완벽한 보안에 도전하는 토스의 여정은 어떨까요? 매일 더 안전해지는 서비스를 만드는 토스의 ‘Security Review’를 소개합니다. 지한별 / 토스 Security Researcher 발표 자료 👉🏻 https://bit.ly/45VBE0p 토스 개발자 컨퍼런스 SLASH에 대한 자세한 정보는 👉🏻 https://bit.ly/43kW3tO 컨퍼런스 및 세션에 대한 문의는 👉🏻 slash@toss.im 토스에 합류하고 싶다면 👉🏻 https://toss.im/career/jobs #취약점점검 #리스크측정 #securityresearcher #토스 #개발자컨퍼런스 #SLASH *본 발표자료의 저작권은 연사에 있으며, 저작권자의 사전 서면 동의 없이 자료의 일부 또는 전부를 이용하거나 배포할 수 없습니다. *또한 해당 자료를 복제하여 SLASH 행사 홈페이지를 제외한 온라인상에 게재하는 행위는 연사가 동의한 저작권 및 배포전송권에 위배됩니다. *토...

보안