특권 접근 관리(PAM)

권한 있는 액세스란 일반 사용자 권한을 넘어서는 상승된 권한을 의미합니다. 여기에는 root/administrator 계정, 도메인 관리자 자격 증명, 광범위한 권한을 가진 서비스 계정, 데이터베이스 슈퍼유저 계정 등이 포함됩니다. 권한 있는 계정은 공격자의 주요 표적입니다. 이러한 계정 하나가 침해되면 전체 시스템, 데이터베이스 또는 네트워크 인프라를 제어할 수 있기 때문입니다. 이러한 계정을 안전하게 관리하는 것이 Privileged Access Management의 목표입니다.

Forrester Research에 따르면 보안 침해 사고의 80%에는 권한 있는 자격 증명이 관련되어 있습니다. 공격자가 권한 있는 계정을 확보하면 보안 제어를 비활성화하고, 모든 데이터를 유출하고, 백도어 계정을 만들고, 전체 네트워크에 랜섬웨어를 배포할 수 있습니다. PAM 제어 기능이 없으면 조직에는 비밀번호를 전혀 변경하지 않는 공유 비밀번호를 사용하는 권한 있는 계정이 수백 개씩 존재하는 경우가 많습니다. 또한 권한 있는 작업에 대한 감사 추적이 없고, 사고 발생 시 액세스 권한을 신속하게 취소할 수단도 없습니다.

PAM의 핵심 기능은 자격 증명 보관입니다. 이는 권한 있는 계정의 비밀번호를 스프레드시트, 메모지 또는 직원의 기억에 저장하는 대신 암호화되고 액세스가 제어되는 보관소에 저장하는 기능입니다. 관리자는 필요할 때 보관소에서 자격 증명을 대여하며, 보관소는 대여할 때마다 기록을 남깁니다. 특히 보관소는 사용할 때마다 비밀번호를 자동으로 변경할 수 있으므로, 대여한 자격 증명은 반환되는 즉시 더 이상 유효하지 않게 됩니다. 이를 통해 공유되는 고정 비밀번호를 없앨 수 있습니다.

최소 권한 원칙은 모든 사용자, 프로세스 또는 시스템이 해당 기능을 수행하는 데 필요한 최소한의 액세스 권한만 가져야 한다는 원칙입니다. PAM은 포괄적인 관리자 권한 대신 세분화된 권한을 할당하여 이 원칙을 적용합니다. 개발자에게 하나의 서비스를 다시 시작하기 위해 전체 도메인 관리자 액세스 권한을 부여하는 대신, PAM은 특정 서버에서 해당 서비스만 다시 시작할 수 있는 충분한 권한만 부여합니다. 이렇게 하면 계정이 침해되었을 때 피해 범위를 제한할 수 있습니다.

Privileged Session Management는 모든 권한 있는 세션을 실시간으로 기록하고 모니터링합니다. PSM 솔루션은 PAM 플랫폼을 통해 연결을 중계하면서 키 입력, 실행된 명령, 모든 권한 있는 활동의 전체 화면 영상을 기록할 수 있습니다. 이를 통해 규정 준수, 포렌식 분석 및 내부자 위협 탐지를 위한 완전한 감사 추적을 만들 수 있습니다. 일부 PAM 솔루션은 정책 위반이 탐지되면 실시간으로 세션을 종료할 수도 있습니다.

서비스 계정은 사람이 아니라 애플리케이션, 스크립트 및 자동화된 프로세스가 사용하는 ID입니다. 서비스 계정은 권한이 매우 높은 경우가 많고, 비밀번호를 거의 변경하지 않으며, 애플리케이션 코드나 스크립트에 포함되어 있을 수 있고, 수년간 운영된 후에는 소유자가 불분명해질 수 있기 때문에 PAM에서 큰 과제가 됩니다. PAM 솔루션은 API를 통해 서비스 계정 비밀번호를 관리하고 코드 변경 없이 자동으로 변경합니다.

Just-Enough Administration (JEA)는 상승된 액세스 권한을 가진 사용자라도 수행할 수 있는 작업을 제한하는 PowerShell 기반 기술입니다. 시스템 관리자를 완전한 Local 관리자 계정으로 만드는 대신, JEA는 해당 역할에 필요한 특정 cmdlet과 매개 변수만 노출하는 제한된 실행 공간을 만듭니다. HelpDesk 운영자에게 비밀번호를 Reset하는 작업만 허용하고 다른 작업은 허용하지 않을 수 있으며, 이때 Domain Admin 권한이 필요하지 않습니다.

PAM 시장은 CyberArk(시장 선도 기업, 온프레미스 및 SaaS), BeyondTrust(강력한 엔드포인트 권한 관리), Delinea(이전 명칭 Thycotic 및 Centrify)와 같은 엔터프라이즈 솔루션이 주도하고 있습니다. 이러한 플랫폼은 자격 증명 보관, 세션 기록, 실시간 모니터링, SIEM 및 티켓 관리 시스템과의 통합 기능을 제공합니다. PAM 솔루션을 선택하려면 규모, 클라우드 지원, API 기능, 기존 ID 인프라와의 통합을 평가해야 합니다.

PAM에는 권한 있는 계정의 전체 수명 주기 관리가 포함됩니다. provisioning(적절한 권한과 타당한 업무상의 이유를 갖춘 계정 생성), 검토(계정이 여전히 필요한지 확인하는 정기적인 액세스 인증), deprovisioning(필요가 없어지거나 고용이 종료되면 즉시 제거)이 이에 해당합니다. 고아 권한 계정, 즉 현재 재직 중인 직원이 더 이상 소유하지 않는 계정은 공격자에게 고위험 표적이며 규정 준수 점검에서 흔히 발견되는 문제입니다.

PAM 솔루션은 SIEM 플랫폼과 통합되어 의심스러운 권한 있는 활동에 대한 실시간 경고를 제공합니다. 다음과 같은 행동이 경고를 발생시켜야 합니다. 권한 있는 계정이 업무 시간 외에 로그인하는 경우, 서비스 계정이 대화형으로 사용되는 경우, 관리자 계정이 대량으로 파일에 액세스하거나 파일을 삭제하는 경우, 관련 티켓 없이 권한 상승이 발생하는 경우, 권한 있는 로그인에 연속으로 실패하는 경우입니다. 행동 기준선을 사용하면 정상적인 관리자 활동과 비정상적인 행동을 구분할 수 있습니다.

PAM은 제로 트러스트 아키텍처의 기반 구성 요소입니다. 제로 트러스트 모델에서는 권한 있는 액세스 권한을 당연한 것으로 간주하거나 상시 부여하지 않습니다. 권한 있는 액세스 권한은 명시적으로 요청하고 승인해야 하며, 시간 제한을 적용하고 모니터링해야 합니다. 이는 최소 권한 액세스와 침해를 전제로 함이라는 제로 트러스트 원칙에 부합합니다. 즉, 권한을 승인받은 사용자도 잠재적인 위협으로 간주하며, 이상 징후를 탐지하기 위해 해당 사용자의 작업을 지속적으로 모니터링하고 기록합니다.

이 레슨에서 다룬 CompTIA Security+(SY0-701) 개념을 이해했는지 확인해 보세요.

이 레슨에서는 다음을 배웠습니다. PAM 보관소는 권한 있는 자격 증명을 저장하고 자동으로 변경하여 공유되는 고정 비밀번호를 없앱니다. 권한 있는 세션 관리는 감사 및 포렌식 분석을 위해 모든 관리자 활동을 기록합니다. 또한 최소 권한과 최소 권한 관리는 침해된 권한 있는 계정의 피해 범위를 줄입니다. 다음으로는 ID 거버넌스와 프로비저닝을 살펴보겠습니다.