롭 에인스코프 (00:00:00,080 – 00:00:12,400)
맨디언트의 실무 책임자인 크리스 링클레이터는 인프라 및 사이버 보안 분야에서 오랜 경력을 쌓았으며, 현재는 구글에 인수된 선도적인 사이버 보안 회사인 맨디언트에서 사고 대응 및 보안 혁신 업무를 이끌고 있습니다.
크리스 링클레이터 (00:00:12,400 – 00:00:19,120)
조직을 지원하는 데 있어 복구 측면은 실제로 꽤 흥미롭습니다. 단순히 기존 기술을 복구하는 것 이상의 의미가 있습니다.
롭 에인스코프 (00:00:19,200 – 00:00:24,320)
이번 에피소드에서는 신원 확인에 실패했을 때 어떤 일이 벌어지는지, 그리고 대부분의 데이터 유출이 실제로 어떻게 시작되는지에 대해 자세히 살펴보겠습니다.
크리스 링클레이터 (00:00:24,520 – 00:00:29,960)
올해는 사상 처음으로 음성 피싱(vishing)이 기존 이메일 기반 피싱을 넘어섰습니다.
로이 에이커먼 (00:00:30,040 – 00:00:39,920)
공격자들은 더 이상 우리가 생각하는 방식으로 침입하지 않습니다. 크리스는 신원 정보가 어떻게 가장 손쉬운 침입 경로가 되었는지, 그리고 이를 완벽하게 보호하기가 왜 가장 어려운지에 대해 이야기합니다.
크리스 링클레이터 (00:00:40,160 – 00:00:51,120)
초기 침입 경로는 여러 가지가 있는데, 그중 일부는 공격자가 단순히 로그인하는 것과 유사합니다. 공격자는 어떤 식으로든 자격 증명을 확보하여 로그인하는 것입니다.
로이 에이커먼 (00:00:51,760 – 00:00:55,520)
우리는 모두 '정체성이 새로운 경계선이다'라는 진부한 말을 들어봤습니다.
롭 에인스코프 (00:00:55,760 – 00:00:57,440)
공격자는 침입하는 것이 아니라 로그인하는 것이다.
로이 에이커먼 (00:00:57,720 – 00:01:03,360)
네, 하지만 신원 보안에서 실제로 무슨 일이 일어나고 있는 걸까요? 그리고 그 이유는 무엇일까요? 바로 그 부분에서 상황이 모호해집니다.
롭 에인스코프 (00:01:03,920 – 00:01:14,480)
그래서 저희가 이 프로그램을 만들었습니다. 바로 '아이덴티티 디코디드'입니다. 저희는 아이덴티티 보안 분야에서 무엇이 효과적인지, 무엇이 문제인지, 그리고 어떻게 앞서 나갈 수 있는지에 대해 솔직한 이야기를 나눌 것입니다. 저는 롭입니다.
로이 에이커먼 (00:01:14,960 – 00:01:16,640)
저는 로이입니다. 바로 시작하죠.
롭 에인스코프 (00:01:16,920 – 00:01:17,440)
해보자
로이 에이커먼 (00:01:23,760 – 00:01:24,560)
환영합니다, 크리스.
크리스 링클레이터 (00:01:24,800 – 00:01:26,240)
안녕하세요. 초대해 주셔서 감사합니다.
로이 에이커먼 (00:01:26,640 – 00:01:41,920)
시간 내주셔서 감사합니다. 요즘처럼 세상 돌아가는 일, AI 시대의 사고 대응 등 여러 가지로 바쁘신 와중에도 인터뷰에 응해주셔서 진심으로 감사드립니다. 간략하게 경력에 대해 말씀해주시면 좋겠고, 혹시 신원 확인과 관련된 경험이 있다면 더욱 감사하겠습니다.
크리스 링클레이터 (00:01:42,280 – 00:01:54,240)
우선 초대해 주셔서 감사합니다. 솔직히 좀 부럽네요. 여러분들이 계신 스튜디오는 굉장히 아늑해 보이는데 저는 제 사무실에 있거든요. 다음에는 직접 만나서 이야기 나눠봐요.
로이 에이커먼 (00:01:54,240 – 00:01:55,280)
당신의 사무실에서.
크리스 링클레이터 (00:01:55,280 – 00:02:21,200)
제 소개를 간단히 하자면, 저는 Mandiant에서 근무하며 사고 대응 복구 및 보안 아키텍처 관련 업무를 총괄하고 있습니다. 사고가 발생하면 여러 팀이 참여하는데, 예를 들어 포렌식 팀은 상황을 파악하려고 하고, 법무팀, 위기 커뮤니케이션 팀도 있지만, 저희 팀은 사고를 수습하는 역할을 담당합니다.
롭 에인스코프 (00:02:21,440 – 00:02:21,560)
와우.
크리스 링클레이터 (00:02:22,160 – 00:02:38,720)
그리고 나서, 조직들이 실행할 수 있는 실질적인 조치들을 마련해서, 앞으로 같은 일이 다시 발생할 가능성을 줄이는 거죠. 그래서 아시다시피, 요즘은 정말 바쁘게 지내고 있습니다. 아주 즐거운 경험이었어요.
롭 에인스코프 (00:02:39,040 – 00:02:50,160)
정말 대단하네요. 어떻게 그 일을 시작하게 되셨어요? 끊임없이 여러 고객들과의 사건들을 처리하느라 정신없이 바쁘실 텐데, 정말 스트레스가 많을 것 같아요. 크리스, 어떻게 그 일을 시작하게 되신 거예요?
크리스 링클레이터 (00:02:50,640 – 00:02:55,760)
네. 제 생각엔 사고 대응은 스트레스가 가미된 프로젝트 관리 같은 거라고 봐요. 그렇죠?
로이 에이커먼 (00:02:57,360 – 00:02:59,280)
그건 사실이에요. 아무도 그걸 인정하지 않죠.
크리스 링클레이터 (00:02:59,280 – 00:03:17,040)
마감일이 촉박합니다. 이는 사고 대응뿐만 아니라 사이버 보안 관련 모든 업무에 해당될 수 있습니다. 하지만 제 경력은 IT 운영 및 엔지니어링 분야입니다. 오랜 IT 경력을 쌓다 보니 어쩌다 보니 맨디언트에서 이 역할을 맡게 되었고, 정말 즐겁게 일하고 있습니다.
로이 에이커먼 (00:03:17,360 – 00:03:43,120)
그리고 본격적인 논의를 시작하기 전에, 보안 통제가 무너지고 조직이 해킹 공격을 당했을 때 단순히 조직을 구하는 역할만 하는 것이 아니라는 점이 흥미로웠습니다. 조직이 복구하고 시스템을 재구축하여 재발 방지를 할 수 있도록 돕는 역할도 하시죠? 즉, 신뢰, 시스템, 프로세스를 재건하는 데 도움을 주시는 거잖아요?
크리스 링클레이터 (00:03:43,280 – 00:04:53,560)
네, 그래서 조직의 복구를 돕는다는 측면은 실제로 꽤 흥미롭습니다. 사람들은 복구라고 하면 워크스테이션이나 서버를 재구축해야 한다고 생각하는데, 물론 그것도 중요한 부분이죠. 하지만 단순히 기술을 복구하는 것 이상의 의미가 있습니다. 기업이 다시 시작할 수 있도록 돕는 과정이 있고, 가장 어려운 부분은 마지막 단계인데, 바로 이 끔찍한 사건을 겪은 조직이 다른 조직들에게 다시 거래해도 안전하다는 신뢰를 심어주는 것입니다. 조직에 사고가 발생하면 가장 먼저 모든 비즈니스 파트너가 스스로를 보호하기 위해 연결을 끊습니다. 이는 지극히 자연스러운 현상입니다. 하지만 문제는 언제 다시 연결해야 안전하게 거래할 수 있는지에 대한 명확한 기준이 없다는 것입니다. 각 조직마다 안전하다고 판단하는 기준이 다르기 때문입니다. 저희는 바로 이 부분에서도 조직을 지원합니다. 언뜻 보기엔 가장 쉬운 일처럼 들릴 수 있지만, "그냥 다시 연결해 주세요"라고 말하는 것과 같습니다. 하지만 실제로는 "이 조직과 거래하는 것이 안전한가?" "어떤 보증을 제공할 수 있을까?"와 같은 많은 고민이 필요합니다. 다행히도, 이제 그들과 다시 거래하는 것은 안전합니다.
로이 에이커먼 (00:04:54,000 – 00:05:26,080)
시장에 흔히 알려진 몇 가지 고정관념이 사실일 수도 있습니다. 저도 잘 모르겠네요. 여러분의 의견을 듣고 싶습니다. 사실인지 아닌지 알려주세요. Mandiant에서도 여러분이 보고 계신 모든 정보를 바탕으로 위험 보고서를 작성한 것으로 알고 있습니다. 수천 개의 조직에서 수천 건의 사건이 발생했죠. 첫 번째는 해커들이 로그인을 통해 침입하는 경우는 드물다는 것입니다. 아마 이 이야기는 수없이 들어보셨을 겁니다. 두 번째는 사건의 80%가 계정 탈취 또는 탈취된 계정을 통해 발생했다는 것입니다.
크리스 링클레이터 (00:05:26,480 – 00:06:29,040)
네, 첫 번째 단계가 확실히 중요하다는 점에는 전적으로 동의합니다. Mandiant는 매년 M-Trends라는 보고서를 발표하는데, 이는 전년도의 트렌드와 변화하는 부분, 그리고 변하지 않는 부분들을 분석한 것입니다. 이 보고서에서 주목할 만한 점 중 하나는 공격자가 단순히 로그인하는 것과 같은 초기 침입 경로가 여러 가지라는 것입니다. 재사용된 자격 증명, 도난당한 자격 증명, 피싱으로 얻은 자격 증명 등이 그 예입니다. 특히 올해는 처음으로 음성 피싱(vishing)이 기존의 이메일 기반 피싱을 넘어섰습니다. 이러한 모든 유형을 통틀어 공격자가 어떤 방식으로든 자격 증명을 확보하여 로그인하는 것으로 볼 수 있습니다. 물론 익스플로잇 공격이 여전히 가장 흔한 침입 방식이지만, 단순히 로그인하는 방식이 해마다 점점 더 중요해지고 있다고 생각합니다.
로이 에이커먼 (00:06:29,560 – 00:07:05,680)
첫 번째 관문이 뚫렸죠? 우리는 비밀번호가 사람들을, 혹은 악당들을 막아줄 거라고 믿었습니다. 바로 여기서 사고가 시작되지만, 네트워크에서 많은 횡적 이동과 혼란이 발생한 후에야 여러분이 투입되는 건 아니죠? 누군가 침입한 직후에 여러분이 투입되는 건 아닐 거라고 생각합니다. 그렇다면 일반적으로 여러분과 여러분의 팀이 투입되는 시간대를, 대략적으로 설명해 주시겠습니까? 시간대는 상당히 다양하겠지만, 킬 체인 또는 침해사고 대응(IR) 체인의 단계별로 설명해 주시면 감사하겠습니다.
크리스 링클레이터 (00:07:05,760 – 00:07:44,800)
가능한 한 빨리 개입하는 것이 좋지만, 안타깝게도 대부분의 경우 그렇게 빨리 개입하게 되는 경우는 드뭅니다. 저희가 투입될 때는 이미 공격자가 목표를 달성한 후인 경우가 많습니다. 데이터 유출이든, 피해를 입히는 것이든, 아니면 단순히 배후에서 관찰하는 첩보 활동이든 말이죠. 그래서 저희가 현장에 도착하는 시점은 대부분 저희가 원했던 시점보다 늦은 경우가 많습니다. 공격의 마지막 단계, 즉 킬 체인의 후반부에 저희가 투입되는 것입니다.
롭 에인스코프 (00:07:45,120 – 00:08:15,280)
제 생각엔 이걸 정확히 정의하기 어렵다고 하시겠지만, 아시다시피 이런 문제에 원치 않게 늦게 투입되는 경우가 많다고 하셨잖아요. 기업들이 아직 네트워크나 시스템에서 무슨 일이 벌어지고 있는지 탐지하고 분석하는 데 어려움을 겪고 있어서 그런 건가요? 아니면 문제를 감지는 하지만 대응이 너무 느려서 결국 여러분의 도움이 필요한 상황이 되는 건가요? 공격자가 이미 상당한 피해를 입힌 후에야 여러분이 투입되는 이유는 뭘까요?
크리스 링클레이터 (00:08:16,400 – 00:09:02,640)
제 생각에는 많은 조직들이 심각한 문제가 발생하기 전까지는 해킹당했다는 사실조차 인지하지 못하는 것 같습니다. 파괴적인 공격이 대표적인 예인데, 누구나 그런 공격이 효과가 있다는 것을 알고 있기 때문이죠. 아주 직관적인 공격입니다. 하지만 최근에는 파괴적인 공격보다는 데이터 유출에 기반한 공격이 점점 더 많아지고 있습니다. 심지어 일부 조직들은 공격자들이 유출된 데이터를 DLS(다운로드 셰이밍) 사이트에 게시하기 전까지는 네트워크 내부에서 데이터가 유출되었다는 사실조차 모르는 경우가 많습니다. 그제서야 '우리 데이터가 실제로 유출됐는지 확인해야겠다'라고 생각하게 되죠. 유출되었다는 사실을 확인하고 나면, '어떻게 이런 일이 일어났을까?'를 파악하기 시작합니다. 바로 그 시점에 저희가 투입되는 것입니다.
롭 에인스코프 (00:09:02,920 – 00:09:47,520)
그리고 저는 그게 정말 무섭다고 생각해요. 특히 신원 관리 관점에서요. 신원 관리 담당자들과 이야기를 나눠보면, 그들은 대개 가장 중요한 부분, 즉 최고 수준의 권한, 도메인 관리자, 백업 관리자, 하이퍼바이저 관리자 같은 사람들에게만 집중하거든요. 물론 그들은 매우 중요하죠. 중요하지 않다는 건 아니에요. 하지만 말씀하신 것처럼, 공격자가 비교적 사소한 수준의 접근 권한만으로도 데이터 세트에 접근해서 목표를 달성하고 금전적 이득을 얻을 수 있다는 점이 정말 무섭습니다. 신원 관리 관점에서 볼 때, 이는 매우 위험한 상황이에요. 앞서 특권 접근에 대해 이야기했잖아요. 특권이란 무엇일까요? 일단 회사에 침입하면, 그런 공격을 실행하는 데에는 많은 권한이 필요하지 않다는 거죠. 바로 그 점이 매우 불안하게 느껴집니다.
로이 에이커먼 (00:09:47,840 – 00:10:16,640)
맞아요, 하지만 저는 다른 관점에서 접근해 보고 싶어요. 예를 들어, 이런 공격에 대응하는 전술 회의실이나 전술 회의에서 IAM(계정 관리 및 모니터링)의 역할은 무엇일까요? 보안팀의 지시만 따르는 걸까요, 아니면 피해를 최소화하거나 더 빠르게 줄이기 위해 IAM이 기여할 수 있는 다른 부분이 있을까요? 여러분 각자는 어떻게 생각하시는지, 또는 실제로 어떻게 대응하시는지 궁금합니다.
크리스 링클레이터 (00:10:17,680 – 00:10:54,880)
네, 그러니까 제가 스스로에게 던지기 시작한 질문은, 시스템 파괴 공격은 줄어들고 있는데도 협박은 같은 속도로 계속되는 것을 보면서, 무엇이 그 원인일까 하는 것이었습니다. 그리고 제가 계속해서 떠올리는 한 가지는 데이터를 훔치는 데 진입 장벽이 매우 낮다는 점입니다. 예를 들어, 인사부의 채용 담당자 계정을 가지고 있다면 상당한 양의 인사 데이터에 접근할 수 있을 겁니다. 이는 전통적인 IT 계정의 의미에서 특권 계정이라고 할 수는 없죠.
롭 에인스코프 (00:10:55,120 – 00:11:29,680)
네, 맞습니다. 그리고 그런 공격 중 일부는 거의 비기술적인 방식이라고 생각합니다. 예를 들어, 여러 애플리케이션에 연결된 클라우드 IDP(인덱스 공급자)에 대한 자격 증명을 얻거나 추측해서 이것저것 클릭하다 보면 결국 뭔가에 접근하게 되고, 말씀하신 것처럼 CSV 파일로 내보낼 수 있는 흥미로운 정보를 얻게 될 겁니다. 여기까지 오는 동안 특별히 기술적인 작업은 하지 않았죠. 공격 진입 장벽은 컴퓨터와 인터넷 연결뿐이니까요. 정말 무서운 일입니다.
로이 에이커먼 (00:11:29,840 – 00:11:39,760)
그래서 공격자들이 정체성을 중요시하는 이유가 바로 그거죠? 폭발이나 다른 어떤 행동도 하지 않고도 상상조차 할 수 없는 힘을 얻을 수 있다는 생각 때문이에요.
롭 에인스코프 (00:11:40,000 – 00:12:39,280)
사고 대응에 대해 항상 흥미로웠던 점은, 우리가 취했던 조치들이 거의 ID 보안과는 무관했다는 것입니다. 과거에는 호스트 격리, 네트워크 구성 변경, 접근 차단 등 비즈니스에 큰 영향을 미치는 조치들을 주로 ID 보안과는 전혀 무관한 방식으로 진행했습니다. 심지어 ID 보안 도구를 사용할 때조차도, 마치 망치로 내리치는 것처럼 무차별적인 접근 방식을 취했습니다. 인터넷 연결이 완전히 차단된 상태에서 말이죠. '농업적'이라는 표현을 쓰고 싶었지만, 좀 부적절한 것 같습니다. 물론 도구가 있긴 하지만, ID 보안을 주요 수단으로 삼는다면 어떻게 하면 좀 더 정밀하고 정확한 복구를 할 수 있을지 고민해 봐야 합니다. 비즈니스에 불필요한 영향을 주지 않으면서도 사태를 수습해야 한다는 절충점이 있기 때문입니다. 이러한 긴장감 속에서 문제를 해결해야 하는 것이 흥미로운 과제입니다.
크리스 링클레이터 (00:12:39,680 – 00:13:45,280)
이건 정말 긴장감을 유발하는 문제인데, 특히 특정 계정이 어떤 비즈니스 기능을 담당하는지 명확하게 정의하지 않은 조직에서는 더욱 그렇습니다. 보통 사람 계정은 한 개인에게 할당된 고유한 계정이기 때문에 문제가 되지 않습니다. 계정 변경 시 어떤 사용자에게 영향을 미칠지 명확하게 알 수 있죠. 하지만 서비스 계정이나 비인간 계정의 경우에는 계정을 비활성화하거나 권한을 제한하면 특정 비즈니스 기능이 중단될 수 있다는 엄청난 우려가 존재합니다. 어떤 기업에서는 이런 상황이 문제가 되지 않을 수도 있지만, 산업 제어 시스템이나 제조, 의료 분야처럼 중요한 곳에서는 계정 비활성화로 인해 생명을 구할 수 있는 중요한 서비스가 중단될 가능성이 있습니다. 이런 상황에서는 조직 내 계정에 대한 정보가 많을수록 더욱 정확하고 효과적으로 대응할 수 있습니다.
롭 에인스코프 (00:13:45,600 – 00:13:46,120)
나는 동의한다.
로이 에이커먼 (00:13:46,120 – 00:14:43,360)
네, 그래서 저희는 일종의 구분을 만들고 있는데, 제 의견에 동의하지 않으셔도 괜찮습니다만, 두 가지는 '격리'와 '공격자가 더 이상 확산되거나 공격 범위를 넓히지 못하도록 차단'하는 것입니다. 첫 번째는 침해당하거나 손상된 ID를 제한하는 것으로, 정상적인 시스템이나 사용자는 계속해서 해당 시스템이나 사용자를 이용할 수 있도록 합니다. 예를 들어 생명과 직결되는 중요한 임무가 수행되는 경우, 정상적인 시스템은 계속 작동할 수 있도록 하면서도 공격자의 접근은 차단하거나 최소한 제한하는 것입니다. 즉, 확산을 막고 격리하는 것이죠. 두 번째는 공격자가 다음 단계로 나아가더라도 완전히 성공하지 못하도록 하는 것입니다. 어쩌면 너무 단순화한 것일 수도 있지만, IAM 기반 임무에 초점을 맞춰 간략하게 설명해 보았습니다.
롭 에인스코프 (00:14:44,160 – 00:15:35,360)
방금 말씀하신 내용 중 정말 흥미로운 점은, 계정을 어떻게 처리해야 할지, 사업에 어떤 영향을 미칠지, 그리고 과연 허용 가능한 수준인지에 대한 고민과 그 과정에서 발생하는 긴장감입니다. 이러한 긴장감 때문에 사전에 통제를 강화하지 못하는 것이죠. 서비스 계정이 어떤 기능을 하는지 몰라서 건드리지 못하는 겁니다. 사업을 보호하려다 오히려 문제를 일으킬까 봐 두려워하는 거죠. 말씀하신 것처럼, 그 안에 내재된 긴장감이 정말 흥미롭습니다. 그런데 궁금한 점은, 기업 운영을 유지하면서도 보다 정밀하게 계정을 관리할 수 있는 도구나 수단이 있는지, 현재 대부분의 기업에는 없는 어떤 것이 있었으면 좋겠다고 생각하시는지입니다.
크리스 링클레이터 (00:15:35,440 – 00:16:27,040)
제 바람 목록은 항상 굉장히 방대합니다. 그리고 말씀드렸듯이, 보안에 안 좋은 일이 생기는 건 항상 금요일, 그러니까 휴가 중이거나 휴가를 떠나는 날에 일어나는 것 같아요. 또 하나 변치 않는 진리는, 조직이 자산, 특히 신원 정보를 제대로 파악하고 있는 기본적인 시스템을 갖추고 있을수록 사고 발생 시 훨씬 더 잘 대처한다는 겁니다. 이건 절대 변하지 않을 사실이죠. 그래서 제가 항상 바라는 건, 도움이 필요할 때 도움을 요청하는 조직이 모든 자산의 종류, 보유 자산의 수, 각 신원 정보가 연결된 시스템, 특정 서비스 계정이 꺼지면 어떤 애플리케이션이 다운되는지 등을 아주 잘 파악하고 있다는 겁니다. 우리는 우리가 가진 자산이 얼마나 되는지조차 제대로 알지 못하는 경우가 많아요.
롭 에인스코프 (00:16:27,280 – 00:17:32,320)
네, 전적으로 동감합니다. 그렇죠? 이는 선제적으로든 사후적으로든 근본적인 문제인데, 제가 이야기 나눠본 많은 기업들이 여전히 어려움을 겪고 있는 부분입니다. 통제 관점에서 볼 때, 그리고 수평적 이동이나 신원 확인을 통한 이동 가능성을 생각해 보면, 대부분 권한에 의해 제한되는 경우가 많습니다. 즉, 권한이 얼마나 광범위하고 포괄적인지, 그리고 그 권한이 환경 내에서 수평적 또는 수직적 이동을 어떻게 제한하거나 촉진할 것인지가 관건입니다. 권한 관리는 매우 복잡한 문제이기 때문에 이 부분은 해결하기가 쉽지 않습니다. 저는 네트워크를 어떻게 활용하여 이동과 이동 가능성을 제한할 수 있을지 생각해 봅니다. 네트워크가 이동의 수단이라는 개념이 신원 확인에도 적용된다고 생각합니다. 즉, 특정 신원은 이러한 방식으로만 이동하거나 사용될 수 있도록 제한하는 장치를 어떻게 마련할 수 있을까요? 이는 신원 확인을 통해 문제를 효과적으로 해결하는 데 매우 중요한 요소입니다.
로이 에이커먼 (00:17:33,280 – 00:18:02,400)
제 생각에는 주어진 상황에서 활용할 수 있는 지렛대 같은 것에 대해 말씀하시는 것 같네요. 시스템이 해킹당했는데, 공격자들이 접근할 수 있는 여러 가지 취약점이나 잘못된 설정 등이 있었을 가능성이 높습니다. 대응 담당자로서, 각 사용자의 계정에 대한 완전한 제어권을 확보하고, 마치 중간자처럼 특정 작업을 허용할지 여부를 결정해야 합니다. 시스템이 어떻게 구축되었든 상관없이 말이죠.
크리스 링클레이터 (00:18:03,600 – 00:18:39,240)
네, 그러니까 저희가 항상 사용하는 용어인데, 신원 분리가 없는 네트워크 분할은 근본적으로 무의미하죠. 두 데이터 센터 간에 특정 프로토콜을 차단하는 것보다 신원을 기반으로 경계를 넘나들 수 있도록 하는 것이 훨씬 중요합니다. 현실적으로는 두 데이터 센터 모두에서 어디에서나 로그인할 수 있어야 합니다. 따라서 신원 분리를 하지 않으면 네트워크 분할 작업이 완전히 헛수고는 아니지만, 두 개념을 함께 적용했을 때만큼 효과적이지는 않습니다.
로이 에이커먼 (00:18:39,680 – 00:18:50,800)
저는 여러 조직에서 공통적으로 나타나는 현상이나 최소한 공통적인 추세에 관심이 있습니다. 공격자들이 악용할 수 있는, 조직 전체 또는 상당수가 공통적으로 부족한 신원 정보는 무엇일까요?
크리스 링클레이터 (00:18:51,200 – 00:19:55,680)
아시다시피, 가장 중요한 것은 아닐지 몰라도 최근 들어 점점 더 중요해지고 있는 추세는 바로 그룹 관리 기능입니다. 조직들은 항상 구성원들을 위한 그룹을 만들어 관리합니다. 특정 그룹의 구성원들은 특정 작업을 수행할 수 있도록 권한을 부여하는 식이죠. 하지만 간과하기 쉬운 부분이 있는데, 바로 그룹 구성원 권한을 누가 행사할 수 있는지에 대한 문제입니다. 아주 간단해 보이지만, 실제로 자주 발생하는 문제입니다. 예를 들어, 일반 헬프데스크 관리자처럼 권한이 낮은 계정이 도메인 관리자 계정을 그룹에 추가할 수 있는 권한을 갖는 경우가 있습니다. 그룹 설정 자체는 완벽하고 권한 위임도 제대로 되어 있지만, 그룹 구성원 권한을 누가 행사할 수 있는지에 대한 권한을 명확히 정하지 않았기 때문에 문제가 발생하는 것입니다. 이러한 문제는 기존의 IDP(ID 공급자) 그룹뿐만 아니라 권한 관리 시스템에서도 흔히 발생합니다.
롭 에인스코프 (00:19:55,840 – 00:20:51,600)
전적으로 동감합니다. 저도 제 경험상 이런 일이 정말 어려웠습니다. 우선 액티브 디렉터리에 있는 모든 위임 권한을 검토하고, 클라우드 환경으로 넘어가서 다른 사람을 대신해 비밀번호를 재설정할 권한이 있는 사람이 몇 명이나 되는지 살펴봤습니다. 당시에는 예상보다 훨씬 많은 권한이 위임되어 있었고, 다양한 계정에 걸쳐 있었습니다. 헬프데스크 계정이 다른 권한 있는 계정의 비밀번호를 재설정할 수 있다면, 기본적으로 다른 권한 있는 계정도 재설정할 수 있다고 가정해야 하니까요. 누가 계정에 권한 있는 그룹을 추가할 수 있는 권한을 가지고 있는지, 그리고 그에 대한 제한 사항은 무엇인지도 확인해야 합니다. 매우 세부적인 부분까지 신경 써야 하지만, 그만큼 중요한 문제입니다. 하지만 많은 기업들이 이 문제를 논의하거나 고려하지 않는 것 같습니다. 너무 복잡하고 어려운 문제라고 생각하기 때문이죠. 하지만 리스크 관리 측면에서 정말 중요한 부분입니다.
로이 에이커먼 (00:20:51,600 – 00:21:08,400)
최선의 방법은 무엇일까요? 보안 측면에서 보면, 제가 보기엔 어떤 기업이 기록을 깬 것 같아요. 4세대 기업이었는데, 포춘 20대 기업이라고 해볼까요? 직원 수가 수십만 명에 그룹 수도 그만큼 많은 기업이었죠. 엄청나지 않나요? 그러니까...
롭 에인스코프 (00:21:08,400 – 00:21:56,320)
흔히 있는 일인데 오히려 어려운 점이 문제죠. 그런데 사람들은 "아, 구조가 바뀌면서 갑자기 우리가 몰랐던 권한들이 생겼네요. 다행히 발견했어요."라고 말하며 놀라워합니다. 그러면 저는 "이건 우리가 통제해야 할 가장 중요한 부분이 아니잖아요?"라고 생각하게 되죠. 너무 복잡하고, 25년, 30년 동안 사업을 운영하면서 쌓여온 것들이라 건드리면 안 되잖아요. 혹시라도 문제가 생길까 봐 두려워서 건드리지 못하는 거죠. 그럼 대체 뭘 써야 할까요? 만약 그게 효과적이지 않고, 사용자 이름과 비밀번호로 인증하는 특권 계정에 고정된 권한이 항상 설정되어 있다면 어떨까요? 제 생각에는 그런 방식은 권한 관리가 허술한 데다가 악용하기 쉬운 계정까지 더해지니 최악의 조합 같아요. 너무 위험해 보이잖아요.
크리스 링클레이터 (00:21:56,880 – 00:21:57,440)
전혀.
롭 에인스코프 (00:21:57,440 – 00:22:00,000)
그렇다면 실제로 악용되는 부분이 바로 그 점일까요? 공격자들이 노리는 부분이 바로 그 점일까요?
크리스 링클레이터 (00:22:00,920 – 00:22:32,080)
늘 그렇죠, 그렇죠? 그리고 그 원인 중 상당 부분은 규정 준수에 지나치게 집중하는 조직 문화에서 비롯됩니다. 규정상 애플리케이션에 역할 기반 접근 제어가 필요할 수 있는데, 역할 기반 접근 제어를 구현하는 가장 쉬운 방법은 역할을 그룹으로 나누는 것이죠. 하지만 다시 말하지만, 규정 준수 점검 과정에서 "아, 우리가 항상 감사를 수행하고 아무도 잘못된 역할에 배정되지 않도록 보장하는 프로세스를 갖춰야 한다"라고 규정하는 경우는 없습니다. 그냥 역할 기반 접근 제어를 의무적으로 도입해야 한다는 거죠.
로이 에이커먼 (00:22:32,720 – 00:22:36,400)
네, 그래서 그쪽에는 복잡한 네트워크가 있습니다.
롭 에인스코프 (00:22:36,720 – 00:22:52,720)
정체성과 관련된 문제, 그리고 이러한 일들이 발생한 후 고객에게 해주는 조언들에 대해 생각해 보셨나요? 어떤 것들이 있을까요? 고객이 반드시 명심해야 할 가장 중요한 세 가지는 무엇일까요? 그리고 고객에게 어떤 메시지를 남기시나요?
크리스 링클레이터 (00:22:53,600 – 00:22:58,720)
그래서 우리가 선호하는 용어는 '정체성 현대화'입니다.
롭 에인스코프 (00:22:59,080 – 00:22:59,200)
알았어.
크리스 링클레이터 (00:22:59,880 – 00:23:10,160)
많은 조직들이 기존의 기본적인 ID 구조를 그대로 유지하고 있습니다. 농담 삼아 말하자면, ID 제공업체 중 상당수가 맥주를 살 수 있을 만큼 오래된 업체들이죠.
로이 에이커먼 (00:23:11,920 – 00:23:12,920)
그리고 이것은 사실입니다.
크리스 링클레이터 (00:23:14,080 – 00:24:03,440)
그래서 우리는 그 부분을 다시 검토해야 합니다. 단순히 ID 공급자(IDP)만 살펴볼 것이 아니라, ID 세분화 방식을 재검토해야 합니다. 기존의 레거시 ID 공급자에서 벗어나 클라우드 기반 ID 또는 하이브리드 기반 ID와 같이 좀 더 현대적인 솔루션으로 전환하여 비즈니스를 발전시킬 수 있는 유연성을 확보해야 합니다. 이 모든 것을 현대화라는 개념으로 묶어서 생각해야 합니다. ID 및 액세스 관리는 어떤 조직에서도 사라지지 않을 것이지만, 20~25년 동안 사용해 온 방식이 더 이상 효과적이지 않다면, 우리 환경 내에서 문제가 발생하는 것을 방지하기 위해 어떤 방식으로 전환해야 할지 고민해야 합니다.
롭 에인스코프 (00:24:03,520 – 00:24:50,800)
네, 그리고 제가 중요하게 생각하는 것 중 하나는 일관성입니다. 즉, 신원 관리 측면에서 공정한 경쟁 환경을 구축하는 것이죠. 제가 경험한 바로는, 조직들이 온프레미스보다 클라우드 환경에서 훨씬 더 강한 경우가 있고, 클라우드 환경에서도 특정 공급업체에 강점을 보이는 경우가 있습니다. 제 생각에는 공격자들이 바로 이런 불일치를 노리고 있습니다. 가장 취약하고 보안이 허술한 부분을 찾는 것이죠. 따라서 현대화를 통해 일관성을 확보하고 구축하는 것, 특히 신원 관리의 일관성을 어떻게 구축할 것인가에 대해 많이 이야기합니다. 이러한 유형의 공격에 대한 방어에 있어 가장 중요한 요소라고 생각하기 때문입니다.
크리스 링클레이터 (00:24:51,120 – 00:25:12,200)
네, 100% 동의합니다. 그리고 일관성 측면에서 무엇이 문제인지 파악하는 가장 쉬운 방법은 레드팀을 고용하는 것이라고 생각합니다. 레드팀은 현장에 투입되어 취약점을 신속하게 보여줄 것입니다. 사이버 보험 청구보다 비용도 훨씬 적게 듭니다. 따라서 저희는 모든 조직에 레드팀을 적극 권장합니다.
로이 에이커먼 (00:25:12,200 – 00:25:38,400)
우리가 배운 교훈들을 분석하기 전에 잠시 화제를 바꿔보겠습니다. 인공지능의 발전에 대해 이야기할 때, 모두가 인공지능 모델이 언제든 활용 가능하다고 말하는데, 공격자든 방어자든, 팀이 대응해야 했던 공격의 일환으로 인공지능 모델을 상대해 본 경험이 있으신가요? 즉, 모델 기반 공격이나 모델에 기반한 행동에 맞서 싸워본 경험이 있으신가요?
크리스 링클레이터 (00:25:38,760 – 00:26:05,960)
아직 그 단계에 이르지는 못했지만, 곧 그렇게 될 거라고 생각합니다. 인공지능이 공격자와 방어자의 구도에 대한 논의에 도입되면서 가장 중요한 점은, 기본기를 탄탄히 갖추는 것이 얼마나 중요한지 모두가 깨닫게 된다는 것입니다. 그렇지 않으면 반응할 시간이 없기 때문입니다. 결국 인공지능은 우리가 과거에 느렸던 부분을 빠르게 처리하도록 강요하고 있는 셈입니다.
롭 에인스코프 (00:26:06,000 – 00:26:42,640)
전적으로 동의합니다. 지난 25년, 30년 동안 우리가 자랑스럽게 생각하지 않았던 모든 것들이 드러날 겁니다. 우리가 레거시라고 부르는 것들을 잊어서는 안 됩니다. 사업에 사용되고 있고 사업에 도움이 된다면 레거시가 아니죠. 우리에겐 레거시일지 몰라도, 마음에 들지 않을 수도 있습니다. 사업에 중요한 역할을 하는 것이죠. 바로 그 부분을 현대화라는 관점에서 메워야 한다고 생각합니다. 쉬운 일은 아니지만, 어떻게 하면 이런 것들을 강화할 수 있을까요? Active Directory그렇죠? "아, 클라우드로 옮길 건데, 그러려면 5년은 걸릴 거야. 그리고 그 중간에 위험을 감수해야겠지."라고 말하는 대신에요.
로이 에이커먼 (00:26:42,640 – 00:27:27,360)
제 생각에 군대에서 제 지휘관이 항상 하던 말이 생각납니다. 어떤 사람들에게는 준비가 안 됐고 시간도 없다고 하겠죠? 때로는 우리의 준비 태세를 가속화하기 위해 기존 방식을 재창조하고 틀을 벗어난 행동을 해야 할 때가 있는 것 같습니다. 때로는 구조를 개편하고 일관성을 유지할 수 없을 때도 있습니다. 때로는 어떤 일이 벌어지기 전에 신속하게 행동해야 할 때가 있습니다. 그렇게 하면 최소한 대응 프로토콜이 훨씬 더 강력해질 것이고, 만디언트들이 우리의 생명을 구하거나 우리의 상황을 파악하기 위해 찾아올 것입니다. 적어도 우리는 제대로 대응할 수 있을 겁니다. 이제 빠르게 질문을 쏟아낼 시간인 것 같습니다. 크리스는 이런 상황에 익숙하겠죠? 그는 중요한 질문에 대한 답을 찾아야 합니다.
롭 에인스코프 (00:27:27,880 – 00:27:34,880)
그는 즉흥적으로, 발끝으로 서서 시작했죠. 자, 그럼 시작해 볼까요? 정체성에 대한 잘못된 통념 하나는 무엇일까요?
크리스 링클레이터 (00:27:36,200 – 00:28:15,880)
그건 어려운 질문이네요. 모든 조직에 적용할 수 있는 만능 비밀번호 정책이 있다는 건 잘못된 생각입니다. 저희는 "비밀번호 정책은 어떻게 해야 할까요?"라는 질문을 끊임없이 받습니다. 좋은 질문이죠. 하지만 모든 조직에 똑같이 적용되는 답은 없습니다. 많은 사람들이 이 질문에 대한 아주 간단한 답을 원하지만, 그 답이 간단하다는 건 잘못된 생각입니다. 현실은 모든 조직이 각자의 특수한 요구 사항을 살펴보고, 위협 모델과 조직으로서 달성하고자 하는 목표를 바탕으로 어떤 정책과 정체성을 설정해야 하는지 스스로 결정해야 한다는 것입니다.
롭 에인스코프 (00:28:16,240 – 00:28:22,000)
저도 전적으로 동의합니다. 그럼 두 번째 질문인데요, 지도자들이 흔히 저지르는 실수는 무엇일까요?
크리스 링클레이터 (00:28:22,480 – 00:28:34,080)
제가 보기에 한 가지 분명한 점은 여러 조직들이 지난 5년간 개인의 신원 확보에 주력해왔다는 것입니다.
롭 에인스코프 (00:28:34,160 – 00:28:34,440)
권리.
크리스 링클레이터 (00:28:35,080 – 00:29:08,280)
그리고 실제로 우리는 이 분야에서 꽤 잘하게 되었습니다. 다단계 인증(MFA)을 도입했죠. 처음 MFA를 시도했을 때는 완벽하지 않았습니다. 푸시 기반 MFA였고, 두 가지 문제가 있었죠. 하지만 다시 시도해 본 결과, 이제는 정말 잘 작동합니다. 그래서 인간 신원 확인은 아직 완벽한 상태는 아니지만, 이전보다 훨씬 나아졌습니다. 하지만 인간 신원 확인에 너무 많은 관심이 쏠린 나머지, 비인간 신원 확인에 대한 관심이 소홀해진 것 같습니다. 조직 내에서는 인간 신원 확인과 비인간 신원 확인 모두 동일한 수준의 정보로 다뤄져야 한다고 생각합니다.
롭 에인스코프 (00:29:09,040 – 00:29:26,720)
네, 동의합니다. 여러 회사들이 둘 중 하나에만 집중하거나, 반대로 한쪽에 지나치게 집중하는 경우를 봤습니다. 균형을 잘 맞추는 게 정말 중요하다고 생각해요. 다양한 방법이 사용되겠지만, 둘 다 중요하고 잠재적인 투자 수단이니까요. 그럼 다음 질문은, 냉혹한 현실 한 가지는 무엇일까요?
크리스 링클레이터 (00:29:27,320 – 00:30:06,480)
지금 가장 받아들이기 힘든 진실은 공격자와 방어자, 그리고 인공지능(AI)의 미래가 어떻게 될지 전혀 예측할 수 없다는 것입니다. 앞으로 어떤 양상으로 전개될지 전혀 알 수 없습니다. 힘든 시기도 있겠지만, 큰 승리도 있을 것이고, 공방전도 반복될 것입니다. 하지만 가장 어려운 점은 앞으로 2~5년 후 인공지능 산업이 어떤 방향으로 나아갈지 아무도 모른다는 것입니다. 2~5년 후 AI의 미래를 정확히 예측할 수 있는 사람이 있다면, 아마도 매우 자신 있게 말할 수 있겠지만, 저는 그 대답에 큰 확신을 갖지 못할 것입니다.
롭 에인스코프 (00:30:06,880 – 00:30:11,760)
네, 제 생각엔 그것에서 유일하게 확실한 건 불확실성인 것 같아요. 그래서 당신 말이 전적으로 맞아요.
로이 에이커먼 (00:30:11,840 – 00:30:13,840)
우리는 지금 이 순간을 즐겨야 하지 않을까요?
롭 에인스코프 (00:30:15,320 – 00:30:20,120)
좋을 때 마음껏 즐기세요. 그리고 마지막으로, 로이, 마지막으로 한마디 해주시겠어요?
로이 에이커먼 (00:30:20,120 – 00:30:25,440)
제가 가장 좋아하는 질문은 "과대광고되었다고 생각하는 트렌드 하나만 말해 보세요"입니다.
크리스 링클레이터 (00:30:25,760 – 00:31:04,360)
과대광고되는 것들이 많고, 우리 업계는 그런 것들을 과대광고하는 데 능숙합니다. 그래서 지금이 공격하기 좋은 환경이라고 생각합니다. 하지만 많은 조직들이 최근 들어 언급하기 시작했지만, 그들의 위협 모델에는 부합하지 않는 것이 하나 있습니다. 바로 양자 후 암호화입니다. 업계 전체적으로 언젠가는 양자 후 암호화 시대에 도달할 것이라고 생각합니다. 많은 조직들이 양자 후 암호화 문제 해결에 시간을 쏟고 있는데, 그보다 훨씬 쉽게 얻을 수 있는 성과, 즉 보안 정책 개선에 시간을 투자하는 것이 훨씬 나을 것입니다.
로이 에이커먼 (00:31:05,000 – 00:31:05,600)
흥미 롭 군.
롭 에인스코프 (00:31:05,920 – 00:31:06,080)
네.
로이 에이커먼 (00:31:06,080 – 00:31:29,440)
정말 멋지네요. 물론 문제이긴 하지만, 훨씬 더 시급한 문제들이 많죠. 크리스, 오늘 저희와 함께해 주셔서 정말 감사합니다. 대화가 너무 즐거웠고, 많은 것을 배울 수 있었습니다. IAM과 안보라는 두 가지 측면에서 우리는 손을 맞잡고 태양 아래서 행진하며 다음 전쟁에 대비해야 합니다. 네, 그럼 이만 마치겠습니다. 감사합니다.
크리스 링클레이터 (00:31:30,640 – 00:31:31,840)
음, 초대해 주셔서 감사합니다.
롭 에인스코프 (00:31:32,520 – 00:31:34,880)
이것으로 이번 Identity Decoded 에피소드를 마치겠습니다.
로이 에이커먼 (00:31:35,120 – 00:31:41,280)
이 대화를 통해 신원 보안에 대한 생각이 바뀌었다면, 같은 어려움을 겪고 있는 사람과 공유해 보세요.
롭 에인스코프 (00:31:41,520 – 00:31:44,880)
그리고 다음 에피소드를 놓치지 않도록 방송을 구독하는 것도 잊지 마세요.