모든 기업은 짐을 지고 다닙니다. 정체성 측면에서, 그 짐은 종종 운영의 핵심에 자리 잡고 있습니다. Active Directory, 서비스 계정, 오래되고 안전하지 않음 인증 프로토콜(NTLM이 걱정되시나요?)과 비즈니스 연속성에 필수적인 온프레미스 애플리케이션. 이러한 시스템은 수십 년 동안 존재해 왔으며 IT 생태계에 깊이 뿌리내리고 있습니다. 클라우드 전환 이니셔티브가 진행되더라도 이러한 시스템은 당분간 사라지지 않을 것입니다.
손상된 자격 증명, 측면 이동, 랜섬웨어 공격은 AD 또는 관리되지 않는 서비스 계정에서 시작되는 경우가 많습니다. 이는 이러한 계정이 가장 저항이 적은 경로이기 때문입니다. 실제로 최근 연구에 따르면 조직의 94.3%가 서비스 계정을 완전히 파악하지 못하고, 활동을 이해하는 것은 더더욱 어렵습니다. 공격자는 이러한 시스템이 최신 위협에 대비하여 설계되지 않았다는 사실을 알고 있습니다. IAM 보안팀 역시 이러한 시스템이 현대적 제어에 적합하지 않다는 사실을 알고 있습니다.
저도 그런 경험이 있습니다. 잔여 ID 위험의 무게에 짓눌려 꼼짝 못 하게 되는 경우가 많습니다. 이 문제를 해결할 수 있는 유일한 방법이 결국 만족스럽지 못한 두 가지 선택지뿐이기 때문입니다. 기존 IAM 툴에 온보딩하여 관리하거나 기존 IAM 툴에서 마이그레이션하는 것입니다. 두 방법 모두 구현 속도가 느리고 비용이 많이 들며, 작업이 완료될 때까지 위험은 그대로 유지됩니다.
저는 대형 소매업체의 IAM 책임자로 재직하면서 나는 세 번째 방법이 있다는 것을 발견했습니다대부분의 기업이 궁금해하는 핵심 질문은 "기존 자산에도 불구하고 어떻게 충분한 보안을 유지할 수 있을까?"입니다. 오늘날의 위협적인 특성으로 인해 모든 계정은 위험하며 보호가 필요합니다. 따라서 우리는 기존 자산을 그대로 두거나 시스템별로 변화가 일어날 때까지 기다릴 수 없습니다.
기존 옵션 1: 신원 위험 관리
대부분의 조직이 고려하는 첫 번째 옵션은 일반적으로 보상 제어를 계층화하여 신원 위험을 "관리"하는 것입니다. PAM (PAM). 이론상으로는 이를 통해 고위험 계좌에 대한 감독을 더욱 엄격하게 할 수 있습니다.
실제로 PAM 온보딩 프로젝트에 참여한 대부분의 사람들이 알다시피, 이 접근 방식은 많은 장애물로 가득 차 있습니다.
- 온보딩은 느리고 어려우며, 계정별로 진척이 이루어집니다.
- "사물 파손에 대한 두려움"이 승리합니다. ID의 용도를 모르면 위험이 발생하는데, 특히 더 이상 적극적으로 개발되지 않는 시스템의 경우 더욱 그렇습니다.
- 취약한 구조입니다. 인프라 이전과 시스템 변경으로 인해 힘들게 얻은 통제가 쓸모없게 됩니다.
- 무결성을 유지하려면 제어를 우회하지 못하도록 제어 주변을 변경해야 합니다(예: PAM 관리 자격 증명 체크아웃).
그리고 가장 중요한 점은, 프로젝트가 완료될 때까지 위험이 변하지 않는다는 것입니다.
많은 기업의 경우, 이는 팀이 실제 위험 수준에 거의 영향을 미치지 않는 복잡하고 기술적인 점진적인 작업에 몰두하는 동안 수년간 관리되지 않은 노출이 지속된다는 것을 의미합니다. 이로 인해 대단히 임원들과의 어려운 대화: "언제 작업이 완료되나요?" "잔여 위험은 무엇인가요?"
위험을 선택적으로 관리함으로써 특권 계정 전체 신원 환경을 안전하게 보호할 수 있다는 사고방식은 확장 가능한 전략이라기보다는 희망에 불과합니다. 이러한 접근 방식은 결국 피할 수 없는 결과를 더 이상 무시할 수 없을 때까지 미룰 뿐입니다.
도메인 컨트롤러, PKI, 하이퍼바이저 왕국의 열쇠인 '계층 0'은 필요한 보호는 여기서 끝나지 않습니다. 비즈니스 운영 시스템 역시 비즈니스 중단, 다운타임, 그리고 고객 평판 훼손을 방지하기 위해 마찬가지로 철저하게 보호되어야 합니다.
기존 옵션 2: 위험으로부터 벗어나기
많은 기업이 고려하는 두 번째 옵션은 "마이그레이션" 또는 현대화입니다. 이는 일반적으로 정적 자격 증명을 동적 자격 증명으로 교체하거나, 비밀번호 없는 환경을 도입하거나, 내장된 기능을 갖춘 클라우드 환경으로 워크로드를 이전하는 것을 의미합니다. 신원 보호. 이것들은 모두 원칙적으로 좋은 일이지만, 다음과 같은 과제도 있습니다.
- 시스템 변경이 필요하며, 이로 인해 취약한 기존 앱이 손상될 위험이 있습니다.
- 마이그레이션은 느리고 단편적이며 앱별로 진행됩니다.
- 시간과 자원 측면에서 비용이 급격히 증가합니다.
그리고 다시 한번, 작업이 완료될 때까지 위험은 변하지 않을 것이며, 작업이 완료되려면 수년이 걸릴 수도 있습니다.
오해는 마세요. 현대화는 장기적인 IT 전략에 필수적입니다. 제대로, 그리고 완벽하게 수행된다면, 계정 침해/신원 보안 전쟁에서 마침내 승리할 수 있는 기회를 얻게 될 것입니다.
하지만 그것은 현실적인 해결책이 아닙니다. 즉각적인 위험 감소, 레거시 시스템과 앱을 공격자에게 취약하게 만들 위험이 있습니다. 결국 중요한 프로세스가 중단될 가능성이 매우 높기 때문입니다. 지금 계정 손상, 침해 또는 위험보다 더 놀라운 일입니다. 측면 운동 미래의 어느 시점에서.
제 관점에서 보면, 현대화는 오늘날의 자신감을 바탕으로 이루어져야 합니다. 이는 미래를 대비하는 동시에 신원 위험을 억제하는 것을 의미합니다. 공격자들이 신원에 집중하는 것을 고려하면 이것이 유일하게 책임감 있는 전략입니다.
Blog
NOTLogon: 권한이 낮은 컴퓨터가 도메인에 DoS 공격을 가하는 방법
Silverfort 발견하다 Active Directory NOTLogon(CVE-2025-47978)으로 알려진 서비스 거부(DoS) 취약점
세 번째 방법: 신원 위험 관리
관리 및 마이그레이션만으로는 충분하지 않다면 어떻게 해야 합니까? 왼쪽? 정답은 신원 위험을 완벽하게 관리하는 것입니다.
나는 이전에 이것에 대해 이야기했습니다 자신과 팀에게 시간과 공간을 제공하여 정체성 환경을 현대화하는 것의 중요성 모든 단계에서 위험을 통제하는 동시에.
이러한 접근 방식은 취약한 통제나 수년간의 마이그레이션에 의존하지 않고 신원 노출에 대한 소유권을 갖는 것을 의미합니다. 즉, 현대적인 신원 보안 기존 시스템을 포함하여 예외 없이 모든 환경 부분에 적용되므로 수년 후가 아닌 지금 위험을 줄일 수 있습니다. 제 경험상, 이를 위한 최선의 방법은 보안 기준을 높이고 가장 취약한 부분을 강화하는 광범위한 보안 체계를 구축하는 것입니다. 제가 말하는 바는 다음과 같습니다. 마스터링 귀하의 신원 위험.
신원 위험에 대처하기 위한 핵심 요구 사항:
- 모든 정체성과 시스템, 그들의 행동, 그리고 그들이 접촉하거나 영향을 미치는 프로세스에 대한 광범위한 이해를 구축합니다.
- 온보딩 없음: 보호는 수동 계정 등록에 달려 있어서는 안 됩니다.
- 시스템 변경 없음: 기존 시스템은 그대로 유지되며 간섭할 필요가 없습니다.
- 자신감 있는 컨트롤, en확실한 보호는 가동 시간을 희생하거나, 사물이 망가질 수 있다는 두려움을 안고 이루어지는 것이 아닙니다.
이것은 실제로 어떻게 보입니까?
신원 위험을 관리한다는 것은 인증에 대한 우리의 사고방식을 바꾸는 것을 의미합니다. 신원 위험을 업타임을 최우선으로 여기는 비즈니스 지원 요소로 여기는 대신, 보안을 최우선으로 고려해야 합니다.
보안 우선 모델에서는 인증이 최전선의 통제 지점이 되어 기본적으로 위험 기반 정책을 시행하고 위협이 확산되기 전에 차단합니다. 다음과 같은 기본 규칙이 전체 환경에 적용된다고 상상해 보세요.
- MFA가 필요합니다 민감한 인프라에 대한 모든 접근을 허용합니다. 모든 관리자가 로그인합니다. Active Directory. 모든 개발자가 프로덕션 서버에 연결합니다. 모든 서비스 계정 중요한 배치 프로세스를 실행합니다. 강력한 인증을 보편적으로 적용하면 공격자가 도용되거나 무차별 대입 공격을 통해 획득한 자격 증명을 가지고 쉽게 침투할 수 없습니다. MFA 인증 프로세스에 직접 통합되어 있으므로, 이를 기본적으로 지원하지 않던 기존 시스템도 이 보호 기능의 이점을 누릴 수 있습니다.
- 접근 거버넌스 성숙도에 관계없이 폭발 반경을 제한합니다. 모든 비인간 계정은 정기적으로 반복적으로 수행하는 작업에만 제한되며, 일반적이지 않은 작업은 차단됩니다. 관리자는 할당된 변경 기록 및 인시던트의 리소스에 접근할 수 있지만, 권한에 관계없이 다른 모든 리소스에는 접근할 수 없습니다. 이는 사실입니다. 최소 특권이제 어떤 일이 어디서 발생할 수 있는지 정의하는 보호 장치를 제어할 수 있으므로 계정이 손상될 경우 폭발 반경이 제한됩니다.
- 신뢰할 수 없는 출처에서 시작된 연결을 거부합니다.
예상치 못한 위치, 회사 통제 범위를 벗어난 워크스테이션, 또는 의심스러운 IP에서 발생한 로그인 시도는 일반적인 접근 요청과 동일하게 취급되어서는 안 됩니다. 인라인 시행을 통해 이러한 활동에 대해 실시간으로 이의를 제기하거나, 제한하거나, 완전히 차단할 수 있습니다. 이렇게 하면 공격 범위가 크게 줄어듭니다. 자격 증명이 도난당하더라도 사용자가 정의한 범위 밖에서는 사용할 수 없습니다.
- 레거시 또는 안전하지 않은 프로토콜의 사용을 차단합니다. NTLM 및 기타 오래된 프로토콜 중요한 레거시 시스템을 계속 작동시키기 때문에 이러한 취약점이 지속됩니다. 하지만 공격자는 이러한 취약점을 이용하여 해시 전달 및 릴레이 공격을 실행하는데, 이는 종종 해당 공격이 필요하지 않은 시스템에도 적용됩니다. 인증 시점에 최신 제어 기능을 적용하면 이제 필요한 경우에만 해당 공격을 차단할 수 있습니다. 더 이상 이분법적인 선택이 아닙니다.
이러한 제어 기능을 IAM 인프라에 직접 구현하고, 인라인 방식으로 시스템을 중단 없이 변경함으로써, 환경 자체가 신원 위험을 억제하도록 설계되었습니다. 이것이 바로 실제 신원 보안의 핵심입니다.
이런 방식으로 신원 위험을 통제하면 시스템을 원하는 속도로 현대화할 수 있습니다. 즉, 임시 자격 증명을 시험하거나, 영구 권한을 없애거나, 액세스 모델을 재고하는 등의 작업을 할 수 있으며, 시스템을 노출시키지 않고 위험 감소에 따른 시간적 압박도 없습니다.
레거시 과제가 오래 지속될수록 현재 방어와 향후 진행 상황을 더욱 약화시킵니다. 하지만 인증 구조에 보안을 구축하고 혁신 프로젝트가 완료될 때까지 몇 년을 기다릴 필요 없이 오늘 당장 신원 위험을 통제하면 성공을 향한 발걸음을 내딛게 됩니다. 지금 실천하세요. 그러면 미래의 변화는 더 빠르고, 더 강하고, 더 안전해질 것입니다. 결국, 오늘의 황금 기준이 내일의 유산이 될 것입니다.
이 접근 방식을 구현하기 위한 실행 가능한 단계에 대해 자세히 알아보려면 ID 보안 플레이북을 다운로드하세요.
무료 리소스
ID 보안 플레이북
이 가이드는 조직의 확장되는 디지털 환경에서 모든 신원을 보호하는 데 필수적인 자료입니다. 지속 가능하고 효과적인 신원 보안 전략을 구축하기 위한 실질적인 통찰력과 5단계 실행 계획을 제공합니다.