오래 전 부터 보안사고는 외부 해킹보다 내부자에 의해 더 빈번하게 발생하고 있다. 특히 중요 시스템에서 높은 권한으로 업무를 할 수 있는 특권사용자는 중요정보에 마음대로 접근할 수 있기 때문에 심각한 내부정보 유출 사고를 일으킬 수 있다. 특권사용자는 기업/기관의 주요 임원 뿐만 아니라 업무 특성에 따라 아웃소싱 직원, 임시 계약직원도 가질 수 있다. 따라서 특권사용자를 위한 강력한 보안 정책이 마련돼야 한다. 특권 사용자 권한 관리 시스템의 특징과 활용 방법을 알아본다. <편집자>

외부 공격이나 내부 사용자의 불법적인 정보유출은 정보가 저장이 된 웹/DB 서버를 타깃으로 이뤄진다. 특히 웹/DB 서버의 특권계정 권한을 탈취해 정보를 획득하고, 유출 경로를 확보한 후 정보를 유출한다. 이러한 위험을 차단하기 위해 시스템에 특권계정으로 접근할 때 효과적으로 통제할 수 있어야 하며, 패스워드 보호 활동과 일회용 패스워드 사용이 필요하다. 그리고 계정 활동 세션에 대한 행위분석과 모니터링을 수행하고 문제가 발생했을 때 역추적할 수 있는 로그 증적 활동이 필수로 요구된다.

이와 같은 시스템 보안의 주요 요소는 온프레미스와 클라우드 환경 모두에서 이뤄져야 하며, 서비스형 소프트웨어(SaaS), 여러 환경이 통합된 하이브리드 환경에서도 일관된 보안 수준을 제공할 수 있어야 하고, 동일한 수준의 정책 관리가 수행돼야 한다.

보안 수준을 논할 때 ‘물동이 이론’을 가장 많이 이야기한다. 기업의 시스템 중 가장 낮은 수준의 보안이 적용된 시스템이 그 기업의 보안 수준이라는 것이다. 온프레미스 환경뿐만 아니라 해당 기업이 서비스하는 클라우드, SaaS 환경에서의 보안도 동일한 수준의 보안을 갖춰야 한다.

정보 침해나 데이터 유출 사고가 일어났을 때, 암흑의 세계에서 활동하는 해커들을 떠올리게 된다. 외부 공격으로 인한 피해는 변함없이 중요한 위협이지만, 정보유출 사고는 세계 어딘가에서 활동하는 해커가 아니라 가까운 곳, 내부자에 의해(Insider Attack) 진행되는 경우가 많다.

특권 사용자 관리에 따르는 과제 증가
대다수의 데이터 침해 사고는 특권 사용자 계정을 남용하기 때문에 벌어진다. 버라이즌의 2017년 데이터 침해 분석 보고서에 따르면 내부자로 인한 데이터 유출 사고가 77%에 달하는 것으로 나타났으며, 그 외 최근 연구 보고서들도 퇴사 또는 기존 직원으로 인한 데이터 도난 문제가 증가하고 있다고 지적한다.

<그림 1>에서 보듯 최근 엔터프라이즈 IT에서 일반화된 가상화와 클라우드 환경이 점점 더 동적으로 바뀌고 분산됨에 따라 위험은 급속도로 번지고 있다. 기업에는 임직원, 협력사 등의 시스템, 네트워크, DB, 애플리케이션 관리자와 같이 기업 데이터에 접근이 가능한 인력이 많고 결과적으로 내부자 위협도 증가하고 있다. 흔하게 사용되는 BYOD(Bring Your Own Device) 시스템 또한 부주의로 인한 내부자 데이터 유출에 주요 요인이 될 수 있다.

모바일의 진화와 함께 클라우드를 수용하는 조직에서는 특권 사용자의 엄격한 관리를 보장하는 것이 비즈니스의 필수사항이 됐다. 하지만 요즘 많이 일어나고 있는 국가 수준의 공격에서 특권 자격 증명이 필요하다는 사실은 강조되지 않고 있다.

미디어 역시 내부자, 특히 권한이 있는 내부자의 위협은 무시한 채 국가적이거나 범죄조직과 같은 외부 공격자에 집중하는 경향이 적지 않다. 하지만 서두에도 얘기한 바와 같이 궁극적으로 정보의 저장소는 시스템이고 시스템의 특권계정을 보호하는 것이 무엇보다 주요한 시스템보안의 주요활동이라 할 수 있다.

미국 중앙정보국(CIA) 요원이었던 에드워드 스노든이 국가 기밀정보를 폭로한 사례나, 호스팅 서비스 업체 코드 스페이스가 사업을 폐쇄하기에 이르렀던 사례를 보면, 가장 정교한 공격자도 자격 증명 권한 없이 공격하기는 어렵다는 사실을 알 수 있다. 언론에 대대적으로 보도되는 대형 사고 외에도 기업이 인지하지 못하는 많은 내부 위협, 잠재 위협은 늘 존재하고 있다는 사실을 잊어서는 안 된다. 지속적으로 특권계정과 주요계정의 행위분석 모니터링, 감사, 관리에 노력을 이어가야 한다.

이러한 노력의 일환으로 ▲권한 있는 사용자를 관리하는 특권 계정 접근 관리(PAM) ▲시스템에 존재하는 모든 자원(파일, TCP 포트, 프로세스, 프로그램, 변조방지, 스위치 사용자) 등에 대해 세부적으로 접근을 통제하는 특권 계정 권한관리(PIM)가 필요하다.

내부자는 대부분 비즈니스 프로세스 및 기술 환경에 대해 잘 알고 있으며, 내부자 계정이 도용 당할 경우 외부 공격자보다 치명적인 공격 결과를 초래하게 된다. 권한을 가진 악의적인 내부자 혹은 도용을 통해 권한을 얻은 자는 조직 내의 모든 이메일과 커뮤니케이션을 열람, 수정, 삭제할 수 있다. 직원의 급여기록도 열람·수정할 수 있으며, 기업의 지적 재산을 유출하거나 개인정보 등의 기밀 데이터 유출 같은 심각한 피해를 입힐 수 있다.

비즈니스 운영 최적화하면서 중요 시스템 접근 제어
PAM, PIM 솔루션을 운영할 때, 안전하고 최적화된 일상의 비즈니스 운영을 허용하면서 중요한 시스템과 비즈니스 정보에 대한 액세스를 제어할 수 있어야 한다.

권한 관리는 강력한 정책과 프로세스 프레임워크를 요구하며, 이러한 정책 요구사항을 지원할 수 있는 기술을 요구하는 복잡한 활동과 툴이 집합돼 있다. 권한관리를 위한 제품 선택을 할 때 중요한 점은, 제조사 전반의 라이프사이클 관리와 계정관리에 대한 조직의 자체 정책 및 프로세스에 대한 이해도이다. 또한 동적이며 세부적인 액세스 제어(누가, 언제 얼마 동안 액세스하는지) 제공 여부와 위협 분석과 거버넌스, 보고 기능에 중점을 두어야 한다. 특히 기존 솔루션과 전체 보안 아키텍처와의 통합은 물론 확장성도 중시해야 한다.

우수한 권한 관리 솔루션은 단순한 암호 생성과 개별 시스템에 대한 액세스 제어 이외에도 조직의 전반적인 계정 및 액세스 관리(IAM) 전략에 통합된 견고하고도 투명한 권한 관리 플랫폼을 제공한다.

동훈아이텍은 CA테크놀로지스의 PAM, PIM, IDS(Identity Suite), 정책·로그관리 스위트를 이용해 온프레미스와 클라우드 환경, 가상화 환경, SaaS 환경, 하이브리드 환경에서의 시스템 통합계정권한관리 플랫폼과 서비스를 다양한 고객 요구에 적절하게 대응하고 있다. 계정권한 관리를 위한 솔루션과 기능을 간단히 살펴보면 다음과 같다.

● 접근제어 솔루션: 특권계정 시스템 접근제어, 세션로깅, 위협분석 및 모니터링, 패스워드 변경관리 기능 제공
● 접근권한 통제솔루션: 시스템계정 기반 서버 리소스 상세 접근제어(파일, 프로세스, 프로그램, TCP 포트, 스위치 사용자, 기밀 문서 등) 및 공유계정에 대한 접근제어 수행
● IDS: 시스템·전산인프라 계정의 생성, 변경, 삭제에 대해 중앙에서의 프로비저닝 기능 제공, 고객사 레거시 운영시스템과의 통합 제공(ex. 결재시스템과 통합)
● 중앙정책관리 솔루션: 접근제어·계정권한관리 솔루션에 대한 중앙 정책관리 기능 제공, 고객사 보안 업무 프로세스 통합, 관련 커스터마이징 제공
● 중앙로그통합 솔루션: 접근제어 및 계정권한관리 솔루션에 대한 중앙 로그통합 및 보고서 제공

통합계정 권한관리 시장은 지난 몇 년간 새로운 기능이 추가되며 크게 발전했다. 초기에는 ‘암호 보관소’와 접근제어, 권한관리 기능이 주목 받았지만 권한 있는 사용자 행동에 대한 고급 분석 및 세션모니터링과 분석이 모두 통합돼 새로운 표준 제품군이 됐다. 또한 권한이 부여된 액세스 및 공유 계정 사용을 제한, 모니터링 및 분석의 근본적인 문제를 해결하기 위해 여러 제조사가 각자 다른 접근법을 사용하고 있다.

특권 사용자 수명 주기, 엄격하게 관리해야
특권 사용자 관리 프로세스는 신중한 계획과 엄격한 실행이 필요한 지속적이고 까다로운 업무다. 특권 사용자 관리를 위한 이 지속적인 수명 주기에는 검색-적용-거버넌스의 세 단계가 있다.

검색 단계에서는 현재 특권 관리자 계정의 위치를 파악하고 지나치게 중복되는 역할 또는 너무 많은 사용자가 할당된 역할과 같은 비효율적인 역할 정의를 모두 식별한다. 역할 분석은 역할 모델을 간소화하고 부적절한 권한을 제거하는데 도움이 된다.

적용 단계에서는 관리자의 활동을 모니터링하고 제어한다. 최소 권한 액세스 정책을 적용해야 한다. 즉 모든 사용자(특히 특권 사용자)는 업무에 꼭 필요한 활동만 수행할 수 있고 자신이 담당하는 시스템에서만 활동할 수 있어야 한다. 여기서 특권 사용자 활동을 제어하는 접근권한 통제 솔루션이 필수적인 이유는 다음과 같다.

첫째, 모든 사용자는 실수할 수 있다. 하지만 특권 사용자의 실수는 돌이킬 수 없는 큰 피해를 초래한다. 특권 액세스 관리가 모든 실수를 제거하지는 못하지만 실수의 영향과 손실을 제한할 수 있다.

둘째, 대부분의 침해는 공격 당한 특권 계정에서 시작된다. 이러한 계정이 시스템에서 수행할 수 있는 작업을 엄격히 제어하면 누군가 특권 사용자로 로그인하더라도 침해의 영향을 줄일 수 있다.

여기서 집중해야 할 사항은 공유암호와 최소 권한 액세스이다. 공유계정은 위험을 가중시킬 뿐 아니라 책임감도 감소시킨다. 암호가 공유될 경우 누가 무엇을 했는지를 알 수 없다. 관리자가 시스템에 액세스할 때마다 시스템에서 제공되는 일회용 암호가 훨씬 안전한 방식이다.

최소 권한의 액세스 또한 중요하다. 관리 실수나 외부 공격의 피해를 방지하려면, 특권 사용자는 역할에 필요한 작업만 수행할 수 있고 담당한 시스템에서만 작업할 수 있어야 한다. 이렇게 하려면 각 사용자에게 꼭 필요한 액세스에 대한 명확한 정책과 지속적으로 검증하기 위한 자동화된 액세스 인증이 있어야 한다.

마지막으로 거버넌스 단계에서는 관리자의 활동과 액세스 권한을 지속적으로 모니터링해 과도한 특권 또는 직무 분리 위반을 신속하게 감지하고 대처할 수 있어야 한다. 이를 위해 모든 관리자의 액세스 권한을 지속적으로 인증한다.

보안 침해 방지에 핵심인 통합권한관리 솔루션은 기업의 규모에 상관없이 필수적인 솔루션이 됐다. 온프레미스, 가상화 및 클라우드, SaaS 환경 모두에서 일관된 보안정책을 적용해 내부 위협으로부터 보호하고, 간편한 설치나 구성으로 비용 절감이 되며 확장성까지 갖춘 솔루션 도입을 통해 특권 사용자 액세스를 제어하고 패스워드 정책을 관리해 능동적인 보안정책을 시행해야 한다.

이와 같이 특권 사용자 활동을 상시 모니터링하고 기록 및 제어함으로써 효과적으로 보안 침해를 예방해 기업의 시스템 보안 수준을 지속적으로 높여나가야 할 것이다.