[SC-900] Microsoft Security Fundamentals 자격증 핵심 개념 총정리

Geondong Kim·2026년 1월 2일

보안

목록 보기

5/5

[SC-900] Microsoft Security, Compliance, and Identity Fundamentals 자격증 핵심 정리

이 포스팅은 Microsoft의 보안 기초 자격증인 SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) 시험을 준비하는 분들을 위해 필수적인 핵심 개념을 상세하게 정리한 내용입니다. Microsoft의 보안 철학인 제로 트러스트부터 ID 관리, 클라우드 보안 태세 관리, 그리고 규정 준수까지 시험에 자주 출제되는 내용을 깊이 있게 다룹니다.

1. 보안의 기본 원칙 (CIA Triad)

정보 보안의 가장 기초가 되는 3대 핵심 요소로, 모든 보안 전략은 이 세 가지를 보장하는 것을 목표로 합니다.

기밀성 (Confidentiality): 승인된 사람만 정보에 접근할 수 있도록 제한하는 것입니다. (예: 암호화, 접근 제어)
무결성 (Integrity): 정보가 비인가된 방식에 의해 변조되거나 삭제되지 않음을 보장하는 것입니다. (예: 디지털 서명, 해시 함수)
가용성 (Availability): 인가된 사용자가 필요할 때 언제든지 정보나 시스템을 사용할 수 있어야 하는 것입니다. (예: DDoS 방어, 이중화 구성)

2. 제로 트러스트 모델 (Zero Trust Model)

제로 트러스트(Zero Trust) 모델은 "아무도 믿지 말고, 항상 검증하라(Trust no one, verify everything)"는 핵심 원칙을 기반으로 하는 현대적인 보안 전략입니다.

1) 제로 트러스트의 3대 핵심 원칙

명시적 확인 (Verify explicitly): 사용자 ID, 위치, 장치 상태 등 사용 가능한 모든 데이터 포인트를 기반으로 항상 인증하고 권한을 부여합니다.
최소 권한 액세스 부여 (Use least privileged access): 사용자가 업무를 수행하는 데 꼭 필요한 만큼의 권한만 부여하여 피해 범위를 제한합니다. (JIT/JEA 활용)
위반 가정 (Assume breach): 공격자가 이미 네트워크 내부에 있다고 가정하고 설계를 진행합니다. 네트워크 세분화 및 암호화를 통해 피해 범위를 최소화합니다.

2) 제로 트러스트의 6가지 기본 요소

ID (Identities)
디바이스 (Devices)
애플리케이션 (Applications)
데이터 (Data)
인프라 (Infrastructure)
네트워크 (Network)

3. 공유 책임 모델 (Shared Responsibility Model)

클라우드 서비스 제공자(Microsoft)와 고객이 보안 책임을 나누는 프레임워크입니다.

1) 서비스 모델별 책임의 변화

온프레미스: 하드웨어부터 데이터까지 모든 요소를 100% 고객이 책임집니다.
IaaS: 공급자는 물리적 인프라를 책임지며, 고객은 OS, 미들웨어, 데이터 등을 책임집니다.
PaaS: 공급자가 OS까지 관리하며, 고객은 애플리케이션과 데이터 보안에 집중합니다.
SaaS: 공급자가 대부분을 관리하며, 고객은 데이터와 액세스 관리만 책임집니다.

2) 고객이 항상 보유하는 책임 (시험 빈출)

어떤 모델을 선택하더라도 다음 3가지는 언제나 고객의 책임입니다.

정보 및 데이터 (Information and data)
장치 (Devices)
계정 및 ID (Accounts and identities)

4. 심층 방어 전략 및 네트워크 보안

심층 방어(Defense in Depth)는 단일 보안 경계에 의존하지 않고, 여러 계층의 보안을 겹겹이 배치하여 자산을 보호하는 전략입니다.

1) 주요 Azure 네트워크 보안 서비스

심층 방어의 네트워크 계층을 담당하는 핵심 서비스들입니다.

Azure Firewall: 클라우드 네이티브 방화벽으로, VNet 트래픽을 중앙에서 필터링하고 악성 IP/도메인을 차단합니다.
네트워크 보안 그룹 (NSG): 서브넷이나 가상 머신(VM) 수준에서 IP 주소 및 포트를 기반으로 트래픽을 허용하거나 거부하는 가상 방화벽입니다.
Azure Bastion: 공용 IP 주소를 노출하지 않고 브라우저(Azure Portal)를 통해 가상 머신에 안전하게 RDP/SSH로 연결할 수 있도록 지원하는 서비스입니다.
DDoS Protection: 대규모 분산 서비스 거부 공격으로부터 애플리케이션을 보호합니다.

5. Microsoft Entra ID (구 Azure AD)

Microsoft의 클라우드 기반 ID 및 액세스 관리(IAM) 서비스로, 제로 트러스트의 핵심인 ID를 관리합니다.

1) 핵심 보안 기능

SSO (Single Sign-On): 한 번의 로그인으로 여러 앱과 리소스에 접근하여 사용자 편의성과 보안성을 높입니다.
MFA (다단계 인증): 암호 외에 모바일 앱, 지문 등 추가 인증 수단을 요구하여 계정 탈취를 방지합니다.
조건부 액세스 (Conditional Access): 신호(위치, 장치 상태 등)를 분석하여 액세스 허용/차단 여부를 결정하는 정책 엔진입니다. (If-Then 구조)
SSPR (셀프 서비스 암호 재설정): 사용자가 관리자 도움 없이 직접 암호를 재설정할 수 있습니다.

2) 외부 ID 관리

B2B 협업: 외부 파트너를 게스트로 초대하여 협업.
B2C 액세스 관리: 고객용 애플리케이션의 ID 관리.

6. ID 보안 영역 (Identity Security)

신원(Identity)은 새로운 보안의 1차 방어선입니다.

1) 인증과 권한 부여

인증 (AuthN): "당신은 누구인가?" (로그인)
권한 부여 (AuthZ): "무엇을 할 수 있는가?" (접근 권한)

2) 위협 보호 (Identity Protection)

수조 개의 신호를 분석하여 유출된 자격 증명 사용이나 비정상적인 로그인 위치 등을 실시간으로 감지하고, 암호 변경 강제나 차단 등의 대응을 자동화합니다.

7. 클라우드 권한 관리

1) 주요 개념

최소 권한 원칙: 업무 수행에 딱 필요한 만큼의 권한만 부여합니다.
RBAC (역할 기반 액세스 제어): 사용자에게 직접 권한을 주는 대신 '역할(Role)'을 할당하여 관리합니다.
PIM (Privileged Identity Management): 관리자 권한을 상시 부여하지 않고, 필요할 때만 승인을 거쳐 일시적으로 부여(JIT, Just-In-Time)하는 서비스입니다.

8. 클라우드 보안 태세 관리 (CSPM)

CSPM은 클라우드 환경의 잘못된 설정(Misconfiguration)이나 규정 위반을 찾아내고 해결하는 도구입니다.

1) Microsoft Defender for Cloud

보안 점수 (Secure Score): 현재 보안 상태를 점수화하여 보여주고, 점수를 높이기 위한 구체적인 권장 사항을 제공합니다.
자동 교정: 발견된 취약점 중 일부를 자동으로 수정합니다.
CWPP (클라우드 워크로드 보호 플랫폼): 서버, 컨테이너, 데이터베이스 등 워크로드에 대한 위협을 탐지하고 보호합니다.

9. 위협 인텔리전스 및 SIEM (Microsoft Sentinel)

단순한 데이터 수집을 넘어, 공격을 예측하고 대응할 수 있는 분석된 정보를 제공합니다.

1) Microsoft Sentinel

Microsoft의 클라우드 네이티브 SIEM(보안 정보 및 이벤트 관리) 및 SOAR(보안 오케스트레이션, 자동화 및 대응) 솔루션입니다.

데이터 수집: 조직 전체(사용자, 장치, 앱, 인프라)의 보안 데이터를 대규모로 수집합니다.
위협 탐지: Microsoft의 위협 인텔리전스를 활용해 알려지지 않은 위협과 이상 징후를 탐지합니다.
조사 및 대응: AI를 활용해 근본 원인을 파악하고, 플레이북(Playbook)을 통해 사고 대응을 자동화합니다.

10. 규정 준수 및 정보 보호 (Microsoft Purview)

Microsoft Purview는 데이터 거버넌스, 위험 및 규정 준수 솔루션을 통합한 포트폴리오입니다.

1) 정보 보호 (Information Protection)

민감도 레이블 (Sensitivity Labels): 데이터의 중요도(예: 일반, 기밀, 대외비)에 따라 레이블을 지정합니다. 레이블에 따라 암호화나 워터마크 등의 보호 조치를 자동으로 적용할 수 있습니다.
데이터 손실 방지 (DLP): 신용카드 번호나 주민등록번호 같은 민감한 정보가 조직 외부로 유출되거나 부적절하게 공유되는 것을 감지하고 차단합니다.

2) 규정 준수 관리

규정 준수 관리자 (Compliance Manager): 조직의 규정 준수 상태를 점수화하여 보여주고, GDPR이나 ISO 27001 같은 국제 표준을 충족하기 위한 단계별 가이드를 제공합니다.
서비스 신뢰 포털 (Service Trust Portal): Microsoft가 클라우드 서비스를 어떻게 보호하는지에 대한 감사 보고서, 백서, 규정 준수 문서를 제공하는 공개 사이트입니다.
내부자 위험 관리: 조직 내부 사용자의 위험한 활동(데이터 유출 시도 등)을 식별하고 대응합니다.

Geondong Kim

이전 포스트