특수 권한이 있는 액세스 관리(PAM)는 시스템 및 데이터 사용을 제어하여 위협으로부터 각종 리소스를 보호하는 데 사용됩니다. 특수 권한이 있는 액세스 관리는 사용자, 프로세스, 기술을 결합하여 특수 권한이 있는 사용자(IT 및 보안 관리자, 인사(HR) 전문가, 임원진 등)가 제한된 리소스에 액세스할 때 수행하는 행동을 파악할 수 있게 해줍니다. 또한 상위 특수 권한을 보유한 사용자가 필요한 리소스에 접근하도록 보장하면서도 액세스 권한 오용을 방지하고 무단 액세스를 차단합니다.
아울러 IT 팀은 특수 권한이 있는 액세스 관리를 통해 최소 권한의 원칙을 적용하여 상위 특수 권한을 적정한 수준으로 조정할 수 있습니다. 이를 통해 조직은 민감한 리소스에 접근할 수 있는 사용자, 계정, 애플리케이션, 시스템, 기기(예: IoT), 연산 프로세스의 권한을 주어진 업무를 수행하는 데 필요한 최소한의 수준으로 제한할 수 있습니다.
특수 권한의 개념과 부여 방식
기업 IT 환경에서 특수 권한이란 연산 시스템이나 네트워크 내의 아이덴티티, 계정, 프로세스에 부여되는 평균적 액세스 권한을 넘어서는 권한을 말합니다. 특수 권한이 있는 액세스 관리(PAM)는 승인된 사용자에게 상위 액세스 권한 및 아래와 같이 각종 제한된 작업을 수행할 자격을 부여하는 데 쓰입니다.
- 민감한 데이터 또는 리소스에 액세스
- 네트워크나 시스템 설정
- 장치 드라이버 로드
- 포트 개방 또는 폐쇄
- 특정 보안 제약 무효화 또는 우회
- 계정 및 클라우드 인스턴스 프로비저닝 및 설정
- 시스템 종료 및 재시작
일부 상황에서는 다양한 사용자 계정과 프로세스의 특수 권한이 애플리케이션, 클라우드 관리 플랫폼, 데이터베이스, 파일 시스템, 하이퍼바이저, 운영체제에 임베드됩니다. 또한 특수 권한이 필요한 사용자의 역할(시스템 및 네트워크 관리자 또는 재무팀 팀원 등)에 맞게 특수 권한을 부여할 수도 있습니다. 마지막으로 부서(IT, 재무, 인사)나 각종 기준(경력, 시간대, 지리적 위치 등)에 따라 특수 권한을 부여할 수도 있습니다.
업무상 핵심 운영 작업을 수행할 수 있도록 권한 있는 사용자에게 특수 권한을 부여하는 것은 중요하지만, 특수 권한이 있는 액세스 자체에는 본질적인 위험이 따릅니다.
특수 권한이 있는 액세스 관리를 활용하면 내부자 또는 특수 권한이 있는 액세스 자격 증명을 탈취하는 공격자가 권한을 오남용할 가능성을 최소화할 수 있습니다.
특수 권한이 있는 계정의 정의
관리자 계정이라고도 불리는 특수 권한이 있는 계정은 서버, 방화벽, 클라우스 서비스 및 저장소, 기타 관리자 계정에 대한 액세스를 부여하는 로그인 자격 증명(즉, 사용자 이름과 비밀번호)를 말합니다. 특수 권한이 있는 액세스 관리(PAM)는 이러한 계정을 관리하여 액세스를 요청하는 사용자에게 필요한 특수 권한을 부여합니다.
대부분의 경우 특수 권한이 있는 계정이란 IT팀과 리소스가 조직의 시스템, 인프라, 소프트웨어를 관리하고 운영하기 위해 사용하는 계정을 가리키지만, 이는 그외의 사용자에게 데이터나 시스템에 접근할 권한을 부여하는 데도 사용됩니다. 특수 권한이 있는 액세스 관리를 사용하면 특수 권한이 있는 액세스를 다음과 같이 다양한 주체에게 제공할 수 있습니다.
- 애플리케이션 소유자
- 데이터베이스 관리자
- 헬프 데스크 근무자
- IT 관리자
- 운영체제
- 보안팀
- 서비스 계정
- 외부 도급업체
특수 권한이 있는 액세스 관리는 상위 액세스 권한을 보유한 사용자가 수행할 수 있는 작업을 제한하는 데 사용됩니다. 예를 들어 IT 부문에서는 다음과 같은 관리자 작업을 제한할 수 있습니다.
- 민감한 데이터와 시스템에 액세스(의료 기록, 신용카드 세부 정보, 사회 보장 번호, 정부 파일 등)
- 데이터 백업
- 사용자 계정 생성 및 수정
- 소프트웨어 설치
- 보안 설정 및 패치 업데이트
특수 권한이 있는 액세스 관리는 온프레미스와 클라우드에서 다음과 같은 인프라, 서비스, 시스템 계정을 관리하는 데도 쓰입니다.
- 클라우드 환경
- 데이터베이스
- 엔드포인트
- 운영체제
- SaaS 애플리케이션
- 서버
- 서비스 계정
슈퍼 사용자 계정은 특별한 유형의 특수 권한이 있는 계정이며 이 또한 특수 권한이 있는 액세스 관리를 통해 제어할 수 있습니다. 슈퍼 사용자 계정을 Unix/Linux에서는 ‘루트’, Windows 시스템에서는 ‘관리자’라고 부릅니다.
전문 IT 인력은 이러한 슈퍼 사용자 계정을 사용하여 명령을 실행하고 시스템을 변경할 수 있습니다. 특수 권한이 있는 액세스 관리는 방대한 특수 권한을 지닌 슈퍼 사용자 계정을 감독하면서 그 활동을 모니터링하고 기록합니다. 이러한 계정이 보유한 권한은 다음과 같습니다.
- 네트워크 전반에서 시스템 변경 사항을 적용(예: 파일이나 소프트웨어 생성/설치, 파일 및 설정 수정, 사용자 및 데이터 삭제)
- 다른 사용자에 대한 권한 부여 및 회수
- 파일, 디렉터리, 리소스에 대한 무제한 액세스 권한(읽기, 쓰기, 실행 등 모든 작업 가능)
특수 권한이 있는 액세스 관리를 활용하면 인적 오류(예: 실수로 중요 파일을 삭제하거나 강력한 명령을 잘못 입력)와 악의적 내부자 행동을 예방하거나 그 영향을 완화할 수 있습니다.
특수 권한이 있는 계정의 유형
다음은 특수 권한이 있는 액세스 관리(PAM)를 사용해 제어할 수 있는 조직 내 특수 권한이 있는 계정의 몇 가지 예시입니다.
애플리케이션 관리자 계정
애플리케이션 관리자 계정은 개별 애플리케이션과 그 안에 저장된 데이터에 대하여 모든 관리자 권한을 갖습니다. 이를 사용하면 애플리케이션이 필요한 리소스에 접근하여 데이터베이스와 네트워크를 업데이트할 뿐만 아니라 자동화된 업데이트를 수행하게 할 수 있습니다. 또한 애플리케이션 관리자 계정으로는 설정을 변경할 수 있습니다.
도메인 관리자 계정
도메인 관리자 계정은 시스템에서 최고 수준의 액세스 권한을 가집니다. 이 계정은 제어 시스템 설정, 관리자 계정, 그룹 소속 정보 뿐만 아니라 모든 워크스테이션과 서버에 액세스할 수 있습니다.
도메인 서비스 계정
도메인 서비스 계정은 강력하면서도 매우 복잡합니다. 통신을 위해 여러 시스템과 애플리케이션을 연결하고 리소스에 대한 엑세스(데이터베이스 액세스, API 호출, 보고서 실행)를 제공하는 데 쓰이는 계정이므로, 도메인 서비스 계정의 인증 정보가 변경되면 연결이 끊어지거나 혼란이 발생할 수 있습니다. 그래서 해당 자격 증명은 거의 바뀌지 않거나 영구적으로 유지되기 때문에 유출에 취약합니다.
비상 계정
비상 계정은 특수 액세스 권한을 지니며, 중대한 사고가 발생한 뒤 시스템과 서비스를 복구할 때 특수 권한이 없는 사용자가 상위 액세스 권한을 확보해야 할 때 사용됩니다.
로컬 관리자 계정
로컬 관리자 계정은 특정 서버나 워크스테이션에 대한 관리자 권한을 지닙니다. 이러한 특수 권한이 있는 액세스 계정은 주로 IT 부서의 유지 관리 작업용으로 생성됩니다.
로컬 관리자 계정은 강력하며, 로컬 사용자 생성, 사용자 권한 및 액세스 제어 권한 부여, 권한 조정을 통한 로컬 리소스 제어 등 다양한 작업을 수행할 수 있습니다.
서비스 계정
서비스 계정은 애플리케이션과 운영체제 간의 안전한 상호작용을 촉진하는 데 사용됩니다. 서비스 계정의 보안상 문제는 운영체제에서 애플리케이션이나 프로그램을 실행하는 데 쓰일 수 있다는 점이지만, 일반적으로는 시스템 계정(비밀번호가 없는 고급 특수 권한을 보유한 계정)이나 특정 사용자 계정(수동으로 또는 소프트웨어 설치 시 생성)과 관련하여 사용됩니다. 서비스 계정은 일반적으로 시스템에 로그인할 수 없도록 설정되지만, 비밀번호가 변경되지 않고 계정이 만료되지 않는 경우가 많습니다.
슈퍼 사용자 계정
슈퍼 사용자 계정은 관리자에게 할당됩니다. 이 계정의 사용자는 본인의 직무 수행에 필요한 파일, 디렉터리, 리소스에 무제한으로 액세스할 수 있습니다. 특수 권한이 있는 액세스 관리(PAM)는 해당 사용자의 활동(소프트웨어 설치, 구성 및 설정 변경, 사용자와 데이터 추가 및 제거)을 감독합니다.
특수 권한이 있는 계정의 기타 유형
이 외에도 조직에는 특수 권한이 있는 계정이 침해되거나 악용될 위험을 줄이기 위해 우선적으로 보호해야 할 계정이 더 있습니다. 기타 특수 권한이 있는 계정의 유형은 다음과 같습니다.
- 보안 솔루션 액세스에 사용되는 계정
- 방화벽 계정
- 하드웨어 계정(BIOS, vPro 등)
- 네트워크 장비
- 루트 계정
- Wi-Fi 계정
특수 권한이 있는 비밀번호의 정의
특수 권한이 있는 비밀번호는 특수 권한이 있는 계정을 말하며 소수의 사용자에게 다음을 수행할 수 있는 권한을 부여합니다.
- 핵심 시스템, 계정, 애플리케이션에 액세스(고객 관계 관리 플랫폼, 운영체제, 디렉터리 서비스, 소셜 미디어 계정, IoT 기기 등)
- 제한된 기능 수행(계정 생성 및 계정에 액세스 특수 권한 할당)
- 민감한 정보(고객 정보, 재무 데이터, 지적 재산권 등) 열람, 편집, 다운로드
특수 권한이 있는 액세스 관리를 활용하면 탈취 시 치명적인 내부 확산(횡적 이동)에 악용될 수 있는 위험한 특수 권한이 있는 비밀번호를 보호할 수 있습니다.
특히 사용자, 애플리케이션, 서비스 계정에 연결된 특수 권한이 있는 비밀번호가 가장 큰 위험에 노출됩니다. 특수 권한이 있는 액세스 관리는 모니터링 및 경고 기능을 통해 사용자 계정 뿐만 아니라 이러한 특수 권한이 있는 비밀번호가 공격 경로로 악용되지 않게 합니다.
특수 권한이 있는 액세스 관리(PAM)의 중요성
특수 권한이 있는 액세스 관리(PAM)는 특수 권한이 있는 액세스 계정과 관련된 위험을 줄이는 데 핵심적인 역할을 합니다. 특수 권한이 있는 액세스 관리는 다음과 같은 방식을 통해 특수 권한이 있는 계정이 악의적 활동에 사용되는 것을 막고 조직에 도움을 줍니다.
특수 권한이 있는 액세스 관리(PAM)가 중요한 5가지 핵심 이유
- 보안 팀이 특수 권한 악용에 따른 악의적 활동을 식별할 수 있게 됩니다.
- 직무 수행에 필요한 수준의 액세스만을 직원에게 부여할 수 있습니다.
- 특수 권한을 활용한 악의적 행위를 식별할 수 있습니다.
- 안전한 액세스 관리를 통해 시스템 간의 상호 통신과 액세스가 가능해 집니다.
- 비정상적인 특수 권한이 있는 액세스 활동을 실시간으로 포착할 수 있습니다.
- 특수 권한이 있는 액세스 관리는 다음과 같은 이유에서도 중요합니다.
공격 표면 축소
특수 권한이 있는 액세스 관리(PAM)는 사람, 시스템, 애플리케이션의 특수 권한을 제한하여 악용이 발생할 가능성을 줄여 내외부의 위협을 차단합니다.
가시성 향상
보안팀은 특수 권한이 있는 액세스 관리(PAM)를 통해 모든 애플리케이션, 기기, 네트워크, 서버에 대한 사용자의 액세스와 세션 지속 시간을 실시간으로 확인하고 승인되지 않은 영역에 접근하려는 시도를 신속하게 파악할 수 있습니다. 또한 특수 권한이 있는 액세스 관리를 통해 사용자가 일반적인 행동 패턴을 벗어날 때 경고가 발생하도록 설정하고, 침해되었을 가능성이 있는 자격 증명을 탐지할 수 있습니다.
생산성 향상
특수 권한이 있는 액세스 관리(PAM)로 비밀번호 생성 및 보관과 같은 수작업을 자동화할 수 있습니다. 특수 권한이 있는 액세스 관리는 인적 오류를 줄여 문제 해결에 소요되는 시간을 단축하며, 사용자가 여러 위치와 기기에서 로그인할 때 액세스 문제가 발생하지 않게 합니다.
통합 액세스
특수 권한이 있는 액세스 관리(PAM)는 애플리케이션, 데이터베이스, 기기, 서버, 워크스테이션 등 엔터프라이즈 시스템에 대한 액세스를 관리할 수 있는 단일 대시보드를 제공합니다. 이 대시보드를 활용하면 다양한 소스의 액세스 데이터를 집계한 보고서를 생성할 수 있습니다.
사이버 공격의 영향 최소화
데이터 유출이나 멀웨어 침투가 발생하더라도 특수 권한이 있는 액세스 관리(PAM)를 통해 문제 확산을 억제하여 그 영향을 최소화할 수 있습니다.
퇴사자의 공격 방어
특수 권한이 있는 액세스 관리(PAM)는 퇴사자의 액세스를 자동으로 간편하게 제거하므로, 퇴사자의 시스템에 대한 액세스 권한이 유지될 때 발생하는 보안 공백을 제거할 수 있습니다.
사이버 보험 요건 충족
다수의 사이버 보험 정책은 랜섬웨어 공격의 규모와 비용을 고려하여 특수 권한이 있는 액세스 관리(PAM)를 의무적으로 사용하도록 요구합니다. 이는 특수 권한이 있는 액세스 관리가 위험을 경감하고 사이버 위협을 무력화하는 데 효과적이라는 점이 입증되었기 때문입니다.
보안에서 가장 취약한 지점인 인적 문제 완화
대부분의 전문가는 특히 액세스 관련 보안에서는 사람이 가장 취약한 지점이라고 생각합니다. 하지만 특수 권한이 있는 액세스 관리(PAM)를 활용하면 특수 권한 사용자가 액세스 권한을 오남용하는 것을 방지할 수 있습니다.
특수 권한이 있는 액세스 관리는 직무 수행에 필요한 최소한의 액세스만을 특수 권한 사용자에게 부여하여 잠재적 위험을 완화할 뿐만 아니라, 악의적 행위를 식별한 뒤 그와 연결된 특수 권한 남용 사례를 추적할 수 있게 해줍니다.
컴플라이언스 프로그램 지원
특수 권한이 있는 액세스 관리(PAM)를 활용하면 컴플라이언스를 달성하고 검증할 수 있습니다. 이를테면 연방 정보보안 관리법(FISMA), 1996년 미국 건강보험 정보 이전 및 그 책임에 관한 법률(HIPAA), 지불 카드 산업 데이터 보안 표준(PCI DSS), 사베인스 옥슬리법(SOX)을 비롯한 수많은 규제에서 요구하는 최소 권한의 원칙을 구현하고 집행할 수 있습니다.
또한 특수 권한이 있는 액세스 관리는 주요 IT 인프라 및 민감 정보와 관련된 모든 활동을 기록하고 로깅하여 컴플라이언스 감사에 필요한 데이터를 제공합니다.
특수 권한이 있는 계정 및 비밀번호를 노리는 공격 경로
특수 권한이 있는 액세스 관리(PAM)는 특수 권한이 있는 계정과 비밀번호를 악용하는 위협을 효과적으로 무력화할 수 있는 도구입니다. 이러한 위협 벡터의 가장 일반적인 공격 방법은 네트워크에서 횡적 이동을 통해 휴면 계정이나 고아 계정을 찾아서 상위 특수 권한을 확보하는 것입니다.
다음과 같은 주체들이 이러한 공격 경로를 통해 특수 권한이 있는 계정과 비밀번호에 접근할 수 있습니다(악의 없이 단순한 실수로 상위 특수 권한이 있는 계정에 접근하는 경우 포함).
- 실수를 한 내부자(사용자 오류)
- 해커
- 악의적 내부자
- 파트너사
특수 권한이 있는 액세스 관리를 활용하면 특수 권한이 있는 액세스를 할당할 때 발생할 수 있는 다음과 같은 취약점을 효과적으로 방어할 수 있습니다.
- 애플리케이션, 시스템, 네트워크 기기, IoT 기기에 사용되는 하드코딩 및 임베드된 자격 증명
- 특수 권한이 있는 계정에 대한 인식 부족
- 특수 권한 과다 프로비저닝
- 미흡한 비밀번호 관리 관행
- 원격 액세스
- 공유된 관리자 계정
- 외부 벤더 액세스
특수 권한이 있는 액세스 관리(PAM)의 모범 사례
가장 널리 거론되는 특수 권한이 있는 액세스 관리(PAM)의 모범 사례들을 아래에 간단히 정리했습니다.
- 영구적인 특수 권한이 있는 액세스 부여 금지
- 모든 특수 권한이 있는 계정 및 자격 증명의 현황 파악
- 특수 권한 사용자의 기준선을 설정하고 이를 이탈하는 활동을 모니터링
- 특수 권한이 있는 계정의 사용자, 사용 목적, 사용 방식을 기록
- 모든 온프레미스, 클라우드, 하이브리드 환경에서 모든 최종 사용자, 엔드포인트, 계정, 애플리케이션, 서비스, 시스템에 대해 최소 권한의 원칙을 적용하고 기본/상시적으로 주어지는 특수 권한을 모두 제거
- 특수 권한 관리 종합 정책을 수립하고 집행
- 다음과 같이 강력한 비밀번호 보안 프로토콜을 구현할 것
- 모든 특수 권한 활동을 모니터링하고 감사
- JIT(Just-In-Time) 액세스 제공
- 특수 권한 분리 및 업무 분리 유지
- 기본 관리자 권한 제거
- 시스템과 네트워크 세분화
- 특수 권한이 있는 액세스 관리 자동화 활용
- 활동 기반 액세스 제어 사용
- 동적인 컨텍스트 기반 액세스 사용
- 특수 권한이 있는 액세스 관리를 사용해 관련 보안 정책을 구현하고 유지
- 모든 자격 증명(애플리케이션 비밀번호, 특수 권한이 있는 계정 비밀번호, SSH 키 등)을 중앙 집중식으로 보호하고 관리
- 강력한 비밀번호를 의무적으로 사용하도록 요구
- 특수 권한이 있는 비밀번호를 주기적으로 업데이트
- 타인과 비밀번호 공유 금지
특수 권한이 있는 액세스 관리(PAM)를 통한 보안 강화
특수 권한이 있는 액세스를 사용하는 건 본질적으로 위험합니다. 하지만 특수 권한이 있는 액세스 관리(PAM)를 활용하면 보안을 저해하거나 공격 표면을 늘리지 않으면서 사용자에게 상위 액세스 권한을 부여할 수 있습니다. 이는 보안을 강화하며, 보안팀의 생산성을 높이고 운영을 간소화하는 데 도움이 됩니다.
