에런 터너:[00 : 00 : 00]
우선 90년대 중반 빌 게이츠의 사고방식을 이해해야 합니다. 그는 노벨이 엔터프라이즈 디렉터리 사업으로 막대한 수익을 올리도록 목표를 설정했습니다. 그래서 마이크로소프트는 "노벨의 몫을 빼앗아야겠다"고 생각했습니다. 액티브 디렉터리 기능 사양의 초기 버전은 노벨을 제거하는 것이었습니다. 그것이 바로 마이크로소프트의 사명 선언문이었습니다.
Active Directory는 처음에는 윈도우 판매량과 오피스 판매량을 늘리는 방법으로 여겨졌습니다. 단순히 배포 메커니즘일 뿐, 보안 경계로는 생각하지 않았던 거죠. 방화벽에 250억 달러가 투자되었다고 가정해 봅시다. 그렇다면 ID 관리에는 얼마나 투자되었을까요? 아마 2% 정도일 겁니다. 이러한 투자 부족으로 인해 우리는 막대한 ID 부채 문제에 직면하게 되었습니다.
그래서 그들은 "25년 동안 엉망이 된 그룹 정책 개체를 어떻게 고칠까?"라는 질문에 답하기 위해 기존 시스템에 초점을 맞춘 투자를 해야 할 것입니다. 바로 그 결정을 내려야 합니다.
로이 아커만:
신원 확인은 단순히 운영상의 문제가 아니라 보안상의 문제이며, 대부분의 팀은 이를 실시간으로 파악하고 있습니다.
롭 아인스코프:
이 팟캐스트에서는 신원 보안의 의미를 역추적하여, 내부에서 신원 보안을 구축하고, 수정하고, 재고하는 사람들에 대한 솔직한 대화를 나눕니다.
로이 아커만:
저는 로이 아커만입니다.
롭 아인스코프:
저는 롭 아인스코프입니다.
로이 아커만:
들어가자.
롭 아인스코프:
해보자
다시 오신 걸 환영합니다. 안녕하세요, 로이. 잘 지내세요?
로이 아커만:
난 괜찮아. 만나서 반가워, 롭.
롭 아인스코프:
저도 만나서 반가워요. 어, 정말 기대되네요. 이번 에피소드에는 애런 터너 씨가 함께하시거든요. 애런 씨는 업계에서 30년 경력을 쌓으셨고, 자신의 회사를 설립하셨지만, 무엇보다 중요한 건 마이크로소프트에서 근무하셨다는 점입니다. Active Directory 그 중요한 시기에 그런 현상이 나타나기 시작했었죠, 그렇죠?
그는 베이스캠프에 있었어요. 그와 이야기를 나눌 수 있어서 정말 신났습니다.
로이 아커만:
예를 들어 디자이너나 건축가처럼요.
롭 아인스코프:
비난받아야 할 사람은 바로 그 사람이야. 어, 하지만
에런 터너:
자, 여기서 아주 조심해야 해요. 저는 사회에서 가장 낮은 계층에 속했거든요.
로이 아커만:
그래서 그는 말했다.
롭 아인스코프:
그건 그렇고, 당신이 거기 있었잖아요… 당신이 최초 충돌을 경험했잖아요. 당신이 거기 있었어요.
로이 아커만:
네.
에런 터너:
오,
롭 아인스코프:
나도 거기 있었고, 너도 거기 있었잖아.
에런 터너:
저도 거기 있었는데, 음, 엄밀히 말하면 지원 엔지니어였거든요. 그래서 모든 버그랑 온갖 골칫거리들을 다 처리해야 했죠. 그러니까, 저는 최악의 상황들을 다 봤습니다.
롭 아인스코프:
와. 네. 여전히 특권적인 위치에 계시네요. 그래서 그 부분에 대해 좀 이야기해 보려고 합니다. 시간이 흐르면서 정체성이 어떻게 변화해 왔는지에 대해서도 이야기해 볼 거예요. Active Directory'의 역할, 그리고 그것이 오늘날 공격자와 수비자에게 어떤 의미를 갖는지 말이죠.
그래서 오늘 정말 흥미로운 시간이 될 것 같습니다. 음, 시작하기 전에 아론, 당신의 경력과 약력을 간략하게 소개해 주시겠어요?
에런 터너:
제가 이 여정을 시작하게 된 계기는 영화 '워게임'을 봤기 때문입니다. 그러니까, 1984년에 '워게임'이 개봉했는데, 저는 "정말 대단해 보인다"라고 생각했죠.
"내가 그걸 할 수 있을까?"라는 생각이 들었고, 그게 계기가 되어 컴퓨터로 가끔 문제를 일으키기도 했죠. 그러다 결국 컴퓨터로 나쁜 짓을 해서 돈을 버는 방법을 알아냈어요. 저는 90년대 초중반에 활동했던 초창기 침투 테스터였는데, 결국 '아, 내가 지금처럼 자잘한 보안 테스트 일로 버는 돈보다 더 나은 돈을 벌 수 있는 직업을 구할 수 있겠구나'라고 생각하게 됐죠.
마이크로소프트에서 스페인어와 영어를 구사하고 인터넷에 대한 지식이 풍부하며 노벨(Novell) 경험이 있는 사람을 채용한다는 공고를 냈습니다. 특히 중남미 지역 시장 진출을 목표로 하고 있었는데, 저는 스페인어를 할 줄 알고 멕시코에서 잠시 살기도 했습니다. 영화 '워게임' 이후로 인터넷 관련 일을 많이 해왔기 때문에 인터넷에 대해서도 어느 정도 알고 있었죠. 그러다 마이크로소프트에서 정말 좋은 기회를 얻게 되었고, 그곳에서 인터넷과 기업 컴퓨팅의 토대를 마련하는 여정을 함께하게 되었습니다.
그리고 거기서 8년을 보냈습니다. 정말 놀라운 시간이었고, 많은 것을 배웠습니다.
로이 아커만:
우리 정보 담당자들이 우리에게 두 가지를 알려줬는데, 제가 당신과 확인해야 할 것 같습니다. 첫 번째는, 빌 게이츠가 당신에게 취임 1년 만에, 상당한 가치를 지닌 어떤 프로젝트든 마음대로 진행할 수 있는 전권을 주었다는 것입니다.
두 번째 질문은 금별에 관한 건데요, 먼저 이 질문부터 시작해 주시고, 그 다음에는 정체성에 대한 이야기로 넘어가 주시면 좋겠습니다. 정체성에 대해 간략하게 설명해 주시겠어요?
에런 터너:
그러니까, 1998년이나 99년쯤에 베네수엘라 주지사가 마이크로소프트에 와서 "베네수엘라의 모든 시민을 위한 전국적인 신원 확인 플랫폼을 구축하고 싶습니다."라고 말했습니다.
로이 아커만:
와우.
에런 터너:
그들은 베네수엘라에 가서 NT4를 이용해 기업용 ID 플랫폼을 구축하려고 했지만, 결과는 좋지 않았습니다. 꽤 유망해 보였죠. 그런데 계속해서 오류가 발생했습니다. 끊임없이, 정말 끊임없이 오류가 났습니다. 우리 팀원 중 누구도 베네수엘라에 갈 용기가 없었습니다. 베네수엘라는 지금은 평판이 훨씬 더 나빠졌지만, 당시에도 불안정한 나라였으니까요.
그래서 저는 중남미에 대해 어느 정도 알고 있었기 때문에 "좋아요, 제가 가겠습니다."라고 말하고 손을 들었습니다. 그리고 그 문제를 해결하는 데 도움을 주면서 NT 코드에 몇 가지 변경 사항을 적용하는 방법을 알아냈고, 그것이 나중에 윈도우 2000 코드가 되었습니다. 제가 그 변경 사항을 적용하고 용기를 내어 베네수엘라에 갔던 덕분에 1999년에 빌 게이츠가 수여하는 금성 훈장을 받았습니다. 당시 금성 훈장은 매우 드문 상이었습니다.
하지만 그런 지원을 받으면서 일종의 실험 정신을 발휘할 수 있었죠. "당신이 정말 훌륭한 일을 해냈으니, 마이크로소프트를 더욱 발전시키기 위해 무엇을 할 수 있는지 보여주세요."라고 말할 수 있는 자유가 주어진 겁니다. 제 스페인어 실력과 베네수엘라에 갈 용기가 결국 제가 놀라운 일들을 해내고 일할 수 있도록 발판을 마련해 준 거죠. Active DirectorySQL Server, Windows Mobile, Xbox Live.
저는 그곳에 있는 동안 정말 멋진 일들을 많이 할 수 있었어요.
로이 아커만:
모두 정체성 관점에서 본 것입니다.
에런 터너:
때로는 정체성을, 때로는 기존 질서를 파괴하는 것.
로이 아커만:
네.
에런 터너:
네, 그렇죠? 때로는 사람들이 위협 모델에 대해 생각해 보도록 돕기도 합니다. 아시다시피, 저희는 2002년이나 2003년쯤이 되어서야 제대로 된 사이버 보안팀을 갖추게 되었거든요.
음, 아시다시피, 저는 초창기에 있었는데, 그때는 윈도우 업데이트 같은 기업용 업데이트 시스템을 구축한 사람이 아무도 없었거든요. 당시에는 20억 대의 컴퓨터를 어떻게 업데이트해야 할지 생각해 본 사람도 없었고요. 노트북을 분실했을 때 하드 드라이브를 암호화하는 것에 대해서도 아무도 생각해 본 적이 없었죠.
아시다시피, 아무도 이런 것들에 대해 생각해 본 적이 없었어요. 그래서 우리는, 아무도 생각해 본 적 없는 것들에 대해 생각해야만 했죠.
롭 아인스코프:
그래서 오늘은 그 부분에 집중해 보겠습니다. Active Directory 그렇죠? 그러니까 대부분의 회사들에게 있어서, 우리는 클라우드와 지난 10년, 15년 동안 일어난 모든 변화에 대해 이야기하잖아요.
하지만 현실은, 아시다시피, 여전히 많은 회사들에게 있어 기업 정체성의 핵심이죠. 절대적으로 중요합니다. 그리고 말씀드렸듯이, 당신은 그 조직이 탄생하고 성장하고 오늘날의 모습이 되기까지의 과정을 직접 경험하셨으니 정말 흥미로운 위치에 계셨을 겁니다. 저는 특히 그 조직이 어떻게 시작되었는지, 그 과정이 어땠는지 정말 궁금합니다. Active Directory 왔어?
이 제품은 어떤 용도로 설계되었나요? 무엇을 달성하려고 했던 건가요? Active Directory 그때에?
에런 터너:
우선 90년대 중반 빌 게이츠의 사고방식을 이해해야 합니다. 빌 게이츠는 성공적인 회사를 만들겠다는 사명감에 사로잡혀 있었는데, 그 이유는 왕(Wang)이나 디지털(Digital)에 일어났던 일, 그리고 80년대와 90년대 컴퓨터 업계에서 발생했던 수많은 실패 사례들을 떠올리며 항상 불안해했기 때문입니다.
로이 아커만:
음
에런 터너:
그래서 그는 "우리는 나가서 정복해야 한다"는 생각에 사로잡혀 있었죠. 그래서 그는 노벨의 목표를 기업용 디렉토리 사업으로 큰돈을 버는 것으로 설정했습니다. 노벨은 기업용 디렉토리 구축 분야에서 선두를 달리는 매우 강력한 회사였죠. 어떻게 하면 사람들에게 좋은 컴퓨터 경험을 제공할 수 있을까요?
사용자 이름과 비밀번호는 어떻게 만들까요? 좋은 파일 구조는 어떻게 만들까요? 그래서 마이크로소프트는 "우리가 노벨의 돈을 훔쳐야겠다. 노벨의 점심값을 훔쳐야겠다"라고 생각했습니다. 그렇게 해서 첫 번째 버전이 탄생했습니다. Active Directory 주요 기능 사양은 노벨을 없애는 것이었습니다. 말 그대로, 그것이 우리의 사명 선언문이었죠.
음, 다른 건 별로 없었고, 그래서 나머지가 흥미로웠죠. 예를 들어, 저는 케르베로스(Kerberos)의 열렬한 팬이었어요. 당시 케르베로스는 꽤 새로운 기술이었죠. MIT에서 케르베로스 표준을 막 발표했을 때였어요. 저는 "케르베로스 대박이다. 앞으로 훨씬 나아질 거야."라고 생각했죠. 왜냐하면 그때까지도 NTLM을 쓰고 있었으니까요.
NTLM은 매우 취약한 프로토콜로, 리버스 엔지니어링이 쉽고 해시값이 깨지는 등의 문제가 있습니다. 우리는 여전히 윈도우 NT4 프로토콜인 NT LAN Manager를 다루고 있죠. 그래서 우리가 직면한 문제는, 만약 우리의 목표가 노벨을 없애는 것이라면, 어떻게 보안 시스템을 구축할 수 있을까 하는 것이었습니다.
그게 바로 긴장감의 원인이었죠. 음. 아시다시피, 보안에 열정적인 우리 같은 사람들은, Active Directory 처음에는 어떻게 하면 윈도우를 더 많이 팔고, 오피스를 더 많이 팔 수 있을까 하는 관점에서 바라봤습니다. 마치… 배포 메커니즘 같았죠. 보안 경계선이라고 생각한 건 아니었습니다.
로이 아커만:
정말 흥미롭네요. 네, 그곳에 있는 것 자체가 흥미롭고, 실제로 뭔가 다른, 어쩌면 더 나은 것을 재건하는 과정도 흥미로워요. 그렇게 되면 기존에 자라나기 시작했던 무언가를 대체하게 되겠죠.
그리고 아시다시피, 여러 가지 절충안을 고려해야 했을 것 같아요. 시장 출시 시간도 있었고, 다른 여러 가지 요소도 있었고, 컴퓨터 환경의 변화도 있었고요. 그럼, 예를 들어 98년이나 그보다 조금 후로 돌아가서, 건축가와 설계자들이 처음부터 어떤 절충안을 결정해야 했는지 말씀해 주시겠어요?
에런 터너:
음, 그러니까 제가 말씀드렸듯이 목표는 Active Directory 목표는 윈도우와 오피스를 더 많이 판매하는 거였죠? 배포 속도도 중요했고요. 어떻게 하면 수많은 시스템을 빠르게 배포할 수 있느냐가 관건이었어요. 그래서 시장 출시 속도를 높이려다 보니 다단계 인증(MFA) 같은 중요한 기능들을 간과하게 된 거죠. MFA는 애초에 핵심 설계 원칙이 아니었으니까요. Active Directory, 권리?
그건 마치 "아, 아마 파트너사들이 알아서 해결해 줄 거야"라는 생각이었죠. 그리고 RSA나 Gemalto 같은 회사들이 나서서 "네, 저희가 MFA 관련 작업을 하겠습니다"라고 말했어요. 예를 들어, 제가 맡았던 업무 중 하나는 모든 타사 MFA 토큰에 대한 회귀 테스트를 진행하는 것이었습니다.
그리고 당시에는 MFA 토큰을 작동시키는 유일한 방법은 GINA를 교체하는 것이었습니다. GINA shim을 만들어야 했죠. 아, 그거 참 복잡하네요… 이건 커널 수준의 작업입니다. 윈도우 도메인 컨트롤러, 때로는 엔드포인트에서 커널 수준의 작업이 필요하죠. 하루에 블루스크린을 300개 정도 보지 않았다면 제 일을 제대로 못 한 거였을 겁니다.
왜냐하면 그 GINA(일반 정보 및 장애 협약)들이 제대로 작성되지 않았기 때문입니다. 마이크로소프트는 그에 대한 부실한 지침을 제공했고, 그래서 누군가 와서 "MFA를 배포해 봅시다"라고 말하며 개념 증명을 시도했는데 블루스크린이 10개나 뜨자 "아니요, 괜찮습니다. MFA 없이도 괜찮습니다"라고 말했던 겁니다.
"저는 MFA를 사용하고 싶지 않아요." 음, 그래서 보안 관점에서 집중력이 부족한 예시가 하나 있죠. 오늘날 우리는 MFA를 핵심적인 기능으로, 필수적이고 기본적인 기능으로 인식하고 있을 겁니다. 네, 그게 바로 예시입니다. 또 다른 예로는, 음, 아시다시피, 우리는 숲과 같은 보안 경계를 가지고 있었죠.
예전에는 포리스트와 도메인이 있었고, 포리스트 간 트러스트를 구축할 수 있었고, 단방향 트러스트나 양방향 트러스트 같은 것도 설정할 수 있었죠. 그리고 그룹과 중첩 그룹, 그룹 정책 개체(GPO) 같은 것도 있었는데, 이 모든 것들이 함수 기반으로 설계되었습니다.
예를 들어, 보안 경계 관점이 아니라 윈도우 배포 관점에서 접근하는 것입니다.
롭 아인스코프:
네.
에런 터너:
그렇다면 크로스 포리스트 트러스트에서 원하는 수준의 세분성을 강제로 설정하려면 어떻게 해야 할까요? 아, 그리고 참고로, 마이크로소프트 라이선스 정책이 시행된 후 대부분의 사람들은 도메인 관리자용 도메인 계정과 Exchange 서버 사서함용 도메인 계정을 따로 만들 동기가 없었습니다.
그렇게 하면 계정들을 통합하게 되겠죠? 이제 컨트롤 플레인이 통합되었으므로, 이메일을 읽는 데 사용하는 계정과 도메인 관리에 사용하는 계정이 동일합니다.
로이 아커만:
음
에런 터너:
그렇죠? 그래서 그건 좋은 상황이 아니에요.
로이 아커만:
네. 음. 그러니까, 신뢰와 관련해서 추상화 수준이 상당히 높았던 것 같네요. 도메인 간, 포리스트 간 같은 것들이요.
우리가 검증하고 인증해야 할 단일하고 서로 다른 개체를 만들 때, 어떻게 신뢰를 구축할 수 있을까요? 아마 그 부분에 대해 많은 논의가 있었을 거라고 생각합니다.
에런 터너:
우선, 다른 회사들이 이전에 비슷한 시도를 한 적은 있습니다. 예를 들어 AT&T의 유닉스 관련 작업이나 정부 기관 등에서 비슷한 시도를 했지만, 마이크로소프트처럼 낮은 비용으로 구현하려고 한 적은 없었죠.
음, 그러니까 예를 들어, 벨 연구소에 박사 학위 소지자들이 근무하는 상황에서 정교한 기업 인증 시스템을 구축하는 건 완전히 다른 문제죠. AT&T 사람들은 뭘 해야 하는지 정확히 알고 있었어요. 하지만 지역 병원의 시스템 관리자를 도메인 관리자로 임명하는 건, 지역 병원의 시스템 관리자와 벨 연구소에서 일하는 박사 학위 소지자의 업무와는 전혀 다르잖아요.
그러니까, 그건 완전히 다른 두 가지 성격이에요. 완전히 다른 두 가지 모습이죠. 그래서 윈도우 서버, 익스체인지 서버, SQL 서버 같은 아주 강력한 시스템들을, 보안 아키텍처가 제대로 갖춰져 있지 않거나, 보안 운영팀이 제대로 되어 있지 않거나, 이런 역량이 부족한 중하위권 기업 환경에 도입하면, "그럼 모든 사람을 도메인 관리자로 만들면 되지 않을까?" 같은 정말 심각한 문제가 발생할 수 있어요.
그러면 더 쉬워집니다. 모두가 도메인 관리자가 되니까요.
로이 아커만:
네.
에런 터너:
그리고 우리는 도메인 관리자 전체가 도메인 관리자가 되는 경우를 봤습니다. 그게 훨씬 쉬웠기 때문이죠. 그냥, 그들의 업무를 훨씬 수월하게 만들어줬습니다. 왜 이 애플리케이션이 작동하지 않는지 같은 문제를 해결하려고 애쓸 필요가 없었죠. 네. 그리고, 우리가 초기에 최소 권한 원칙 같은 걸 구현하려고 했을 때 겪었던 어려움을 생각해 보면, 초기 어도비 애플리케이션들은 고도의 관리자 권한이 없으면 실행조차 되지 않았습니다.
음흠. 그냥, 그건 절대 안 될 거야.
롭 아인스코프:
달리는 거죠. 흔한 일이에요.
에런 터너:
그래서 결국 이런 과도한 권한 상황에 처하게 되는 거죠. 그러니까, 정말 자주 벤더 생태계가 당신에게 불리하게 작용하는 겁니다. 예를 들어, 최소 권한 원칙을 적용하고 싶다고 가정해 봅시다. 하지만 이 앱을 사용해야 하기 때문에 그렇게 할 수 없죠.
롭 아인스코프:
음-흠.
에런 터너:
아, 그래.
로이 아커만:
음, 그건 고려해야 할 사항이에요. 때때로 우리는 인프라 건설업자나, 뭐랄까, 기초적인 것들을 탓하곤 하죠. Active Directory그들은 다른 공급업체들과 마찬가지로 개발의 여러 다른 영역들을 만족시켜야 했습니다.
그리고, 제 생각에는 이런 트레이드오프가 오늘날 많은 공격자들에게 있어서 아주 기본적인 요소인 것 같아요, 그렇죠? 네. 우리가 이야기하는 건 단순히 이것뿐만이 아니에요. Active Directory 도구로서가 아니라, 오늘날 우리가 정체성에 대해 생각하는 방식을 정립한 일련의 개념으로서 말입니다. 제가 너무 성급하게 접근하는 건 아닌지 걱정되지만, 어쨌든 저는 호기심이 많습니다.
자, 그럼 잠시 현재로 돌아와 볼까요? 나중에 다시 돌아갈 수도 있겠지만요. 보시다시피 신원 확인은 오늘날 매우 뜨거운 주제입니다. 이 문제를 해결하기 위해 막대한 자본이 투입되었죠. 인공지능, 국민건강보험, 그리고 그 외 여러 신조어들과 함께 진화하고 있습니다.
음, 공격자들과 수비자들이 그런 상황에서 어떤 전략을 구사한다고 보시나요? 공격자들이 오늘날에도 악용하고 있는 핵심 원칙들은 무엇이라고 생각하시나요? 그리고 그런 원칙들을 둘러싼 전략들은 어떤 것들이 있을까요?
에런 터너:
자, 그럼 먼저 신원 확인의 경제학을 살펴보죠. 1999년부터 현재까지 방화벽에 지출된 총액을 기준으로 보겠습니다.
그래서 저는 이 발표를 준비하면서 전에 간단한 조사를 좀 해봤습니다. 지난 25년 동안 방화벽에 약 250억 달러가 투자되었다고 가정해 봅시다. 그렇다면 신원 확인에는 얼마나 투자되었을까요?
롭 아인스코프:
네.
에런 터너:
아마 2% 정도일 거예요. 아니, 전혀 아니죠? 정말 극히 일부일 거예요. 그 이유 중 하나는 마이크로소프트의 전략 때문이었는데, Active Directory 시장에.
아, 윈도우 서버 라이선스를 구입하시면, 참고로 이 ID 관리 기능도 무료로 제공됩니다. 무료로요. 음… 포함되어 있습니다. 음. 그래서 결과적으로 CIO가 "ID 관리 전략이 어떻게 되십니까?"라는 질문을 받으면 "음, 그건…"이라고 대답하게 되는 거죠. Active Directory." 잘, Active Directory 정체성 전략이 아닙니다. Active Directory 인증 시스템일 수도 있습니다.
이건 ID 관리 플랫폼이 아니죠. 네. 권한 관리 플랫폼도 아니고요. 연합 플랫폼도 아니죠, 그렇죠?
롭 아인스코프:
음
에런 터너:
그래서, 그런 투자 부족의 결과로, 우리는 방화벽과 비교했을 때 엄청난 신원 정보 부채 상황에 처하게 된 거죠. 방화벽은 25년 동안 예산 항목으로 책정되어 왔지만, 신원 정보는 이제 겨우 예산 항목으로 책정된 수준입니다.
그래서 정체성과 관련된 경제학적 문제가 사람들을 곤경에 빠뜨리고 있습니다. 이러한 경제학적 현실을 전제로 한다면, 우리는 먼저 "디지털 전환을 통해 기존의 정체성 시스템을 혁신하고 이 문제를 해결하기 위해 무엇을 해야 할까?"라고 자문해야 합니다. 예를 들어, 클라우드 기반 정체성 시스템으로 전환하여 기존 정체성 문제를 해결할 것인지, 아니면 기존 정체성 시스템을 개선하여 지속 가능한 시스템으로 만들어야 할지 고민해야 합니다.
로이 아커만:
음
에런 터너:
그래서 결국 그런 결정을 내려야 하는데, 안타깝게도 대부분의 기업은 혁신만으로는 이 문제를 해결할 수 없기 때문에 기존 시스템에 초점을 맞춘 투자를 해야 할 겁니다. "25년 동안 엉망으로 구축된 그룹 정책 개체와 부실한 SCIM 인프라, 그리고 그동안 해왔던 모든 것들을 어떻게 고쳐야 할까?"라고 자문해 봐야 하는 거죠.
저는 아주 경험이 풍부한 분께 제가 가장 좋아하는 질문 중 하나를 받았습니다. Active Directory 도메인 관리자는 "GPO가 아직 얼마나 많이 남아 있는지, 예를 들어 AD e-에 정리하지 않은 GPO가 얼마나 많이 있는지 몇 번이나 확인해 보셨나요?"라고 묻습니다.
로이 아커만:
음
에런 터너:
그리고 AD를 20년 정도 사용해 온 조직이라면 보통 사용되지 않는 GPO가 수백 개쯤 있을 겁니다.
롭 아인스코프:
네
에런 터너:
그냥 저기에 있었는데… 누군가 설치한 거였죠. 아무도 그걸 치울 책임이 없었고, 그게…
롭 아인스코프:
잠재적 부채 말이죠. 그리고 정말 흥미로운 점은, 제가 지금 기업들과 이야기를 나눠보면, 기업들이 부채를 보강할지 아니면 현대화할지 사이에서 갈팡질팡하는 모습을 보인다는 겁니다.
네. 시중에 나와 있는 도구들을 사용해도 둘 다 그다지 빠르거나 쉽지 않고, 결국에는 "좋아, 5년 후에는 클라우드 우선, 임시 저장소 같은 멋진 것들을 도입해서 세상을 더 좋게 만들 거야"라고 생각하며 중간에 멈춰버리는 경우가 많죠. 하지만 실제로, 앞으로 5년 동안 핵심 시스템들이 여전히 기존 방식으로 운영될 때는 어떻게 해야 할까요? Active Directory?
우리가 거기서 뭘 하고 있는 거지? 그건 의도적인 행동이잖아.
로이 아커만:
그래서, 그러니까, 그것은 복잡성 때문에, 마치, 어, 부채를 떠안게 된 것과 같은, 건축적인 부채가 발생했고, 그것이 취약성으로 이어졌습니다.
롭 아인스코프:
넵.
로이 아커만:
그리고, 다시 말하지만, 이러한 모든 부정적인 측면들처럼, GPO와 '고장 나지 않았으면 고치지 마라'는 접근 방식 등이 우리를 오늘날 가장 공격받기 쉬운 표면 중 하나로 만들었습니다.
우리가 지금 이야기하고 있는 기술은 28년에, 아니, 죄송합니다, 1998년에 설계되었고, 여전히 스스로 문제를 해결할 시간이 충분히 있었습니다.
에런 터너:
예를 들어보죠. 일반적인 서비스형 랜섬웨어(RaaS) 공격의 킬 체인을 살펴보면... 음... 네, 서비스형 랜섬웨어란, 혹시 잘 모르시는 분들을 위해 설명드리자면, 러시아의 한 집단이 서비스형 랜섬웨어 플랫폼을 구축하고, 여러분은 프랜차이즈 업체로서 그들에게서 도구를 구매할 수 있는 방식입니다.
그러니까 RBA(Residual Base Assessment)는 기본적으로 정보 탈취 도구와 측면 이동 도구를 판매합니다. 일종의 패키지처럼 말이죠. 이런 도구들을 모두 얻을 수 있습니다. 그런데 이 모든 도구들은 LSASS 취약점에 의존합니다. 따라서 스택 전체를 생각해 보면, Active Directory왜냐하면 패치가 적용되지 않은 Windows 서버에서 LSASS에 접근할 수 있다면, 해당 서버가 도메인 컨트롤러인지 여부는 중요하지 않기 때문입니다.
롭 아인스코프:
음
에런 터너:
1998년에 설계된 LSASS는 시스템이 부팅된 이후로 해당 서버에서 사용되었던 모든 자격 증명을 캐시하도록 설계되었습니다. 그런데 가용성에만 집중하다 보니 LSASS 프로세스가 계속 실행되게 된 겁니다. 저희는 LSASS를 영구적으로 실행되도록 설계한 것이 아닙니다. 일주일에 한 번 정도 부팅해서 실행하도록 설계한 것이죠.
마치 "아니, 그냥 새로 고칠게"라고 하는 것처럼요. 그래서 이제 무슨 일이 벌어지냐면, 공격자가 랜섬웨어 그룹에 속해 패치가 적용되지 않은 Windows 서버에 접근할 수 있고, LSASS 프로세스가 몇 달, 몇 년, 또는 서버가 가동된 기간 동안 계속 실행되어 왔다면, 그 서버에서 사용되었던 모든 자격 증명이 그대로 남아있게 되는 겁니다.
와. 그들은 그렇게 할 수 있고, 실제로 모든 권한을 얻습니다. 그리고 그 덕분에 "흠." 하고 생각할 여유가 생기죠. 그런 다음 서비스형 랜섬웨어(RaaS) 업체들은 LSASS 프로세스를 실행하고, 그들의 도구는 자동으로 그 정보를 분석해서 "좋아, 여기에 도메인 관리자 권한이 있나? 좋아, 도메인 관리자 권한이 있군." 하고 확인하는 겁니다.
좋아요, GPO를 사용해서 암호화 도구를 배포할게요. 네, 네… 그리고 관리 도구도 배포하고, 데이터도 추출하고, 필요한 모든 작업을 할 거예요. 이게 바로 서비스형 랜섬웨어(RaaS)에서 일어나는 일입니다. 특별한 기술이 필요 없어요. 서비스형 랜섬웨어 그룹과의 프랜차이즈 계약을 통해 필요한 도구를 모두 갖추고 있으니까요.
로이 아커만:
음
에런 터너:
그래서, 그게 바로 1998년에 설계된 LSASS의 예시인데, 당시에는 이 프로세스가 영구적으로 실행될 거라고는 전혀 생각하지 못했습니다. 하지만 이제는 영구적으로 실행되기 때문에, 모든 자격 증명이 도난당할 위험에 노출되어 있는 겁니다.
롭 아인스코프:
음
로이 아커만:
그리고 그것은 여전히 거기에 있습니다. 그리고 저는 그것이 클라우드로 옮겨간 것도 우리가 여전히 연결성을 구축하려고 노력하고 있기 때문이라고 생각합니다.
그래서 저희는 AD 자격 증명을 클라우드와 동기화하고 있는데, 아시다시피 이런 공격들에 대해서는 다들 알고 계시잖아요?
롭 아인스코프:
권리.
로이 아커만:
음, 그리고 다른 것들도 있죠. 그래서 해결되지 않고 계속 질질 끌려다니는 거예요. 네. 아니면 말씀하신 것처럼, 많은 업체들이 와서 그 위에 보호 계층을 구축할 수 있는 여지를 만들어주는 거죠.
롭 아인스코프:
네. 제 생각엔 정말 흥미로운 현상인 것 같아요. 보안 관점에서 보면, 우리는 오히려 그 성공의 희생양이 된 셈이니까요. Active Directory그렇죠? 사람들은 당연히 윈도우 컴퓨터를 전부 연결해 놓잖아요. SQL 서버도 연결하고, 리눅스도 AD에 연결해 볼까요?
이렇게 시스템적 위험을 구축해 온 상황에서 클라우드가 등장하여 "자, 이제 자격 증명을 동기화해 보자. 더 쉽게 만들어 보자."라고 말했습니다. 결국 클라우드는 성공의 역설에 빠져, 기업들이 시스템적 위험에 훨씬 더 취약해지게 된 것입니다.
에런 터너:
많은 조직들이 무엇을 이해하지 못하는가 Active Directory 실제로 제공하고 있습니다.
그들은 그냥 "아, 잘 작동하네"라고 말하죠. 저는 그게 NTLM인지, NTLMv2인지, LDAP인지, Kerberos인지, 실제로 어떤 프로토콜이 사용되는지 잘 모르겠어요.
롭 아인스코프:
음
에런 터너:
그래서 제 생각에는 어떤 조직이든 첫 번째 단계는 성공 기록 기능을 활성화하는 것입니다. 물론 이 기능은 비용과 자원이 많이 드는 작업입니다. 모든 조직이 성공 기록 기능을 활성화한 것은 아닙니다.
대부분의 조직은 인증 실패 시 로그를 기록하죠. 따라서 첫 번째 단계는 일정 기간 동안 성공 로그를 활성화하고 모든 성공 로그를 저장할 수 있는 충분한 저장 용량을 확보하는 것입니다.
롭 아인스코프:
넵.
에런 터너:
자, 이제 성공 사례 기록이 생겼습니다. 저는 저렴한 데이터와 분석 도구를 활용하는 걸 좋아합니다.
제가 가장 좋아하는 커뮤니티 에디션이 있는 프로그램은 Gravwell입니다. GRAV는 Victor의 약자이고, WELL은 Gravwell의 약자입니다. Gravwell 커뮤니티 에디션을 사용하면 도메인 컨트롤러에서 원시 XML 로그를 가져와서 시각적인 방향 그래프를 만들 수 있습니다. 예를 들어, 오늘 LDAP를 사용하는 모든 사용자를 보고 싶거나, LLM을 사용하는 모든 사용자를 보고 싶을 때 유용합니다.
저는 케르베로스 인증 등으로 핑을 보내는 모든 서버를 보고 싶어요. 이제 이런 서버들을 시각적으로 분류할 수 있게 됐죠. 인간은 시각화를 필요로 하잖아요. 전략을 세울 때도 시각화가 중요하고요. 이제 시각화를 통해 "맙소사, 내가 1,500명이나 되는 사용자들이 평문 LDAP에 의존하고 있다는 걸 미처 몰랐네."라고 깨달을 수 있게 됐습니다.
그건 안 좋은 거야." 예를 들어, 그리고, 그래서, 하지만 성공 로깅을 켜지 않으면 알 수 없겠죠. 이게 첫 번째 단계입니다. 두 번째 단계는 이제 어떤 것들이 있는지 알았으니, 그걸 사용하는 것들을 어떻게 없앨 수 있을까 하는 겁니다. 제가 좋아하는 유도 기술 중 하나는, 자, 여기 LDAP을 사용하는 서버가 다섯 대 있다고 가정해 봅시다.
그들이 하는 일이 뭐죠? 아, 세금 신고 시스템인데, 액세스 데이터베이스를 사용하는군요. 알겠습니다. 그럼 그 데이터를 파워 플랫폼에 옮겨서 클라우드 네이티브로 만들고 서버를 없애버리면, 이제 LDAP에 대해 더 이상 걱정할 필요가 없겠네요. 문제의 근원을 제거하면서도 비즈니스 요구 사항은 충족할 수 있습니다. 파워 플랫폼에서 액세스 데이터베이스를 실행할 수 있으니까요.
더 이상 해당 서버가 필요하지 않습니다. 그렇다면 이러한 의존성을 없애기 위해 어떻게 현대화할 수 있을까요? 그리고 마지막으로, 이러한 방향으로 나아간 후에는 클라우드 권한 관리와 온프레미스 권한 관리를 분리하는 세분화된 ID 전략을 어떻게 구축할 수 있을까요?
저는 지식 노동자와 특권 사용자를 구분할 겁니다. 저는 이렇게 합리적인 방식으로 신원을 세분화할 거예요. 실제로 2020년에 NSA는 제가 생각하기에 가장 중요한 기밀 해제 문서 중 하나를 공개했는데, 그 문서에서 그들은 어떻게 러시아인들을 미국 재무부에서 빼냈는지 밝혔습니다.
이 문서는 NSA가 러시아와 6개월 동안 벌인 싸움을 낱낱이 파헤친 내용입니다. NSA가 이렇게 겸손하게 밝힌 것은 칭찬할 만합니다. "이 문제를 해결하는 데 6개월이 걸렸습니다."라고 말할 수 있는 사람은 많지 않을 테니까요. NSA는 그렇게 했고, 그 문서에서 그들은 "핵심 문제는 재무부에 다섯 개의 신원 확인용 비행기가 있었다는 것입니다."라고 말합니다.
그들은 온프레미스 AD, Entra(당시에는 Azure AD라고 불렸죠), Okta, 그리고 Duo와 동기화하는 AD FS를 가지고 있었습니다. 네, 그러니까 다섯 가지의 서로 다른 ID 계층을 사용했던 거죠. 그리고 흥미로운 점은 많은 사람들이 "Okta를 사용하고 있으니 이미 클라우드로 마이그레이션한 셈이에요."라고 말한다는 겁니다.
Okta 프로젝트가 제대로 작동하지 않는 경우를 본 적이 없습니다. Active Directory네. 솔직히 Okta의 핵심 기능이 단독으로 작동하는 걸 본 적이 없어요.
롭 아인스코프:
제 말은, 여기가 바로 신경 센터라는 거죠. 근본적인 안전망에 달려 있는 거잖아요. Active Directory 중심에서.
에런 터너:
네. NSA 사례 연구에서 재무부에 무슨 일이 일어났는지 이야기할 때, 러시아는 NSA가 접근할까 봐 숨었던 겁니다. 예를 들어, NSA가 접근하면 어떻게 되는지 생각해 보세요. Active Directory 러시아군은 정보 유출 징후를 포착하고 추격에 나선 후, 옥타에 잠시 머물면서 현지에서 자급자족하며 생활했습니다.
그러다가 옥타에서 친해지면 잠시 듀오로 갔고, 듀오에서 친해지면 엔트라로 갔고, 엔트라에서 친해지면 AD FS로 갔어요. 그러니까 기본적으로 그들은 마치 바퀴벌레처럼 빛이 닿지 않는 곳으로 계속 이동하면서 살았던 거죠.
그래서 제가 사람들에게 강력히 권장하는 것은, 신원 확인 시스템을 최대한 단순하게 만드는 것입니다. 네, 맞습니다. 사용을 없애세요… 사실, NSA 백서 3페이지에 “Exchange Online을 사용하고 있다면 Entra Protect와 관련된 어떤 것도 사용하는 것은 미친 짓입니다.”라고 명확하게 나와 있습니다.
클라우드 ID 사용에 있어서는 신중해야 합니다.
로이 아커만:
음, 제 생각엔 그 이야기가 일리가 있는 것 같아요. 하지만 세분화는 정말, 정말, 정말 어렵습니다. 자산을 알아야 하고, 자체 개발 애플리케이션, 즉 접근 권한의 본질을 알아야 하죠. 그래서, 제 생각엔 재무부조차도 서로 동기화해야 하는 IDP(인터넷 데이터 플랫폼)가 다섯 개 정도 있었던 것 같아요. 그리고 각각의 IDP는 아마 다른 업체에서 운영했을 거고요.
세분화하는 것이 복잡하기 때문에, 음... 그러니까, 우리가 접근하려는 자산이나 자원 중 일부가 그렇죠. 음, 아마 당신도 예전에 근무했던 대형 소매업체에서 IM 리더로서 비슷한 경험을 하셨을 것 같은데요. 수십, 아니 수십만, 아니 수천 개의 사람 ID는 물론이고 비인간 ID까지 고려해야 하잖아요?
네,
롭 아인스코프:
네, 맞습니다. 회사 직원 수가 40만 명 정도 되는 것 같아요. 네. 음, 시기마다 다르긴 하지만 50만 명에서 40만 명 사이일 수도 있어요. 정말 엄청난 규모죠.
로이 아커만:
세분화, 네, 세분화는 부정적인 단어인가요, 아니면 실제로 가능한 건가요?
롭 아인스코프:
가능하다고 생각해요. 중요한 건 두 가지가 있다고 봅니다. 하나는 신원 확인의 역할에 대한 인식 변화예요. 신원 확인은 단순히 계정을 보호하거나 다단계 인증을 추가하는 용도가 아니라는 거죠.
당신은 사업에 중요한 것을 보호하기 위해 이 자리에 계신 겁니다. 말씀하신 대로 중요한 것이 무엇인지, 인증 흐름은 어떻게 되는지, 접근 권한은 어떻게 부여되는지 이해하고 그에 맞는 규칙을 설계하는 것도 중요하지만, 무엇보다 이를 효과적으로 지원하는 기술을 갖추는 것이 매우 중요합니다.
그 정도 규모로 일을 처리하는 건 쉽지 않습니다. 특히 파편화되고 복잡한 상황에서는 더욱 어렵죠. 하지만 가장 먼저 해야 할 일은 그런 관점에서 생각하고 전체적인 그림을 그려서 상황을 파악하는 것입니다. 그런 다음 거기서부터 차근차근 단계를 밟아 나가야 합니다. 모든 것을 모든 곳에서 한꺼번에 보호하는 건 불가능하지만, 비즈니스에 정말 중요한 것들을 보호하기 위해 의미 있는 진전을 이룰 수는 있습니다.
에런 터너:
그래서 너는 필요해.
로이 아커만:
볼
롭 아인스코프:
숲 전체
에런 터너:
전에
롭 아인스코프:
당신은 실제로… 정확히 그렇게 하고 있어요.
로이 아커만:
그렇지.
롭 아인스코프:
Audiencegain과
로이 아커만:
그럼 너
에런 터너:
올바른 조작을 하세요.
로이 아커만:
우리 팔로워들은 카르텔이 유동적인 운영을 위해 기술을 사용하는 방식과, 반대로 법 집행 기관 측에서 신원이 어떻게 조작되고, 노출되고, 이중화될 수 있는지로부터 어떤 교훈을 얻을 수 있을까요?
네, 아주 흥미로운 에피소드가 만들어지고 있는 것 같네요. 흥미롭습니다.
롭 아인스코프:
이것으로 이번 Identity Decoded 에피소드를 마치겠습니다.
에런 터너:
이 대화를 통해 신원 보안에 대한 생각이 바뀌었다면, 관련 분야에서 일하는 사람과 공유해 주세요.
로이 아커만:
동일한 어려움을 겪으면서.
롭 아인스코프:
그리고 방송을 놓치지 않도록 채널을 구독하는 것도 잊지 마세요.
다음.
