[데이터넷] 디지털 환경을 노리는 끊임없는 위협에 맞서기 위해 정교한 방어 도구와 전략이 필요하다. 그 중 하나인 PAM은 권한 있는 접속(Privileged Access)에 대한 계정 관리와 액세스 통제, 감사 추적 기능을 제공하는 솔루션으로, 진화하는 사이버 공격에 효과적으로 대응하기 위한 제로 트러스트 핵심 전략으로 꼽힌다. 디지털 트랜스포메이션에서 PAM의 중요성과 핵심·필수 기술을 알아본다. |원성진 시큐어키 본부장|

클라우드·원격근무 확산으로 보안경계가 모호해지고 있다. 어디서나 일하는(WFA) 환경이 자리잡았으며, 국내외 다양한 파트너와 프리랜서 등 외부 인력과 다양하게 협업하게 돼 전통적인 네트워크 기반 보안 기술은 한계에 봉착하게 됐다. 그래서 새로운 보안 경계로 제로 트러스트의 핵심인 ‘아이덴티티’가 부상하고 있으며, 특히 권한을 가진 계정을 통제하는 PAM이 필요하게 됐다.

PAM은 ▲특권 계정에 대한 자격 증명 요구 ▲늘어난 규제 요구사항 ▲빨라지는 클라우드 환경으로의 전환 ▲사이버 공격의 증가 ▲원격 기술 활용의 확대로 수요가 늘고 있다.

가트너는 2023년 전 세계 PAM 시장 수익이 지난해 대비 13.6% 늘어난 21억2000만 달러에 이를 것이며, 앞으로 몇 년 동안 PAM 솔루션에 관한 관심이 높아질 것으로 예상했다. 특히 디지털 트랜스포메이션을 가속화하고 있는 아시아 지역 PAM 도입이 빨라지고 있다는 점이 주목된다.

랜섬웨어, 중요정보 유출 등 사이버 보안 사고가 늘어나면서 사이버 보안 보험 가입률이 크게 증가하고 있는데, 보험 가입 시 PAM 도구 사용을 중요하게 생각하고 있다는 사실도 중요한 의미를 갖는다. 보험사는 고객이 신뢰할 수 있는 PAM을 사용하지 않으면 보험료를 인상하거나 보험 가입을 거부하기도 한다.

WFA 시 원격 접속을 위해 VPN을 사용할 때 권한 계정 접속 보안이 매우 중요하다. 지하시장에서 VPN 계정이 대량으로 판매되고 있으며, VPN은 세션이 연결되면 접근한 시스템의 모든 애플리케이션에 접근이 가능하다.

따라서 접속 전 사용자를 인증하며, 인증된 사용자의 접근 권한을 제한하고, 거버넌스와 가시성을 보장하는 통제 기술이 필수로 요구된다. 버라이즌의 ‘2023 데이터 유출 조사 보고서(DBIR)’에서도 도난당한 자격 증명과 권한 남용을 침해의 주요 원인으로 강조하면서 PAM의 중요성을 역설했다.

권한 계정 악용 공격 지속 증가

권한을 가진 계정으로 인한 사이버 보안 사고는 지속적으로 발생한다.

대표적인 랜섬웨어 감염 사례를 소개하면, 공격자는 업무 편의를 위해 파일 서버로 사용되는 PC에 브루트포스 공격으로 계정인증을 통과했다. 그리고 MSSQL 원격코드 취약점을 통해 PC의 실행권한을 획득한 후 랜섬웨어 공격을 진행했다.

권한계정은 브루트포스 혹은 크리덴셜 스터핑 등을 이용해 수집할 수 있으며, 지하시장에서도 판매된다. IBM에 따르면 계정정보를 수집하는 멀웨어는 10달러에서 75달러에 구입할 수 있고, 이를 서비스 방식으로도 이용 가능하며 서비스 비용은 월 평균 약 250달러이다.

취약점을 이용한 침입도 가능하다. 한국인터넷진흥원(KISA)이 보안 취약점 신고 포상제를 통해 수집한 취약점의 경우, 2020년부터 2023년까지 부적절한 권한 검증이 100건으로, SQL 인젝션(196건)에 이어 두번째로 많았다. 이 취약점을 이용해 공격자는 계정이 가진 권한 혹은 그 이상의 침해 행위를 벌일 수 있다.

서비스 보안 탄력성 높이는 PAM

다양한 도구와 방법론을 포괄하는 PAM 솔루션은 중요 자산에 대한 권한 있는 액세스를 관리, 모니터링·보호하는데 중추적인 역할을 한다. PAM을 도입하면 조직의 사이버 보안에 탄력성이 확보 될 뿐만 아니라 비즈니스 운영을 최적화하고 끊임없이 진화하는 보안 요구사항 및 규정 준수를 강화할 수 있다.

PAM의 기능을 효과적으로 활용하려면 조직은 특정 지침을 준수하고 권한 있는 액세스와 관련된 위험을 크게 완화할 수 있는 모범 사례를 채택해야 한다.

참고할 수 있는 PAM 모범사례는 다음과 같다.

맞춤형 액세스 권한: 개별 역할에 맞춰 특정 권한을 할당해 액세스를 세부적으로 제어할 수 있다. PAM 솔루션을 이용한 정기적인 감사는 권한 남용에 대응해 잠재적인 공격 경로를 줄이는 데 도움이 된다.

통합 액세스 제어 정책: 서버 및 데이터베이스, 네트워크 장비, 보안 장비 등의 리소스에 대한 액세스 조건을 자세히 제어하는 단일하고 포괄적인 정책 설정 도구가 필요하다. 이를 통해 모든 사용자를 동일 수준에서 투명하게 운영해 효율성이 보장된다.

강화된 권한 있는 인증: 권한있는 계정은 PAM의 중요한 관리 대상이다. 다중인증(MFA)을 이용해 접속, 권한 상승에 대한 인증을 강화한다. 특히 생체 인증을 통해 사용자 인증을 강화해야 한다.

비정상적인 액세스에 대한 경고: 자원에 대한 액세스 요청의 양은 상상을 초월할 정도로 많고 다양하다. 이를 고려할 때 보안 팀은 잠재적으로 의심스러운 권한 있는 액세스 시도에 대해 자동화된 사용자 액세스 알림을 보내는 도구를 사용해야 한다. 이를 위해서는 PAM과 SIEM 등의 통합 작업이 필수다.

자동화된 비밀번호 관리: 자동화된 비밀번호 관리 기능을 사용해 무차별 대입 공격, 취약한 비밀번호 또는 반복적인 비밀번호와 같은 위협에 대응한다. 자동화된 비밀번호 관리 솔루션은 비밀번호의 다양성을 유도하고 취약한 비밀번호 생성을 방지하며 자격 증명 유출 위험을 크게 줄인다.

정기적인 액세스 및 권한 감사: PAM을 이용한 권한 있는 계정에 대한 정기적인 감사는 사용자의 위법한 행위, 불필요한 권한 부여 또는 취약한 시스템 계정 식별에 매우 중요하다. 해외 사례를 살펴보면 외부 감사 인력이 PAM 솔루션을 이용해 서버 접속 기록, 작업 이력 등을 주기적으로 감사하고 결과를 보고하는 정책을 의무화하고 있는 곳도 있다. 이러한 관행은 보안을 강화할 뿐만 아니라 IT 규제 표준을 준수하도록 보장한다.

자동화된 관리와 사용자 경험 개선 중요

PAM 솔루션 통합 또는 검토할 때 조직은 선택한 솔루션이 보안과 운영 요구 사항, 규정 준수 의무에 부합하는지 확인하기 위해 다양한 중요 요소를 꼼꼼하게 평가해야 한다.

강력한 보안과 최적의 기능을 제공하는 PAM 솔루션을 선택하려면 다음 사항을 고려해야 한다.

권한 있는 계정의 포괄적인 라이프 사이클 관리: 권한 있는 계정의 생성 및 할당부터 폐기까지 전체 라이프 사이클을 감독하는 기능을 제공하는 것이 중요하다. 발견된 계정을 적절하게 권한 별로 분리, 사용 트렌드를 추적 관리하며 해당 계정을 정기적으로 감사하고 접속 시마다 인증하는 것이 필요하다.

최소 권한과 제로 트러스트 기반 관리: 이 두 원칙은 모두 필요한 리소스에 대한 액세스를 줄이고 필수 인증을 시행해 민감한 데이터를 보호하고 다양한 소스 및 보안 경계에서 발생하는 사이버 보안 위협을 최소화하는 데 아주 중요하다.

효율적인 계정 검색과 지속적인 모니터링: 보안과 규정 준수를 유지하려면 권한 있는 계정을 체계적으로 검색하고 변경에 대한 지속적인 모니터링 기능이 필요하다. 이를 위해 PAM 솔루션은 자동화된 계정 검색 기능을 지원해야 한다.

안전한 권한 있는 자격 증명 관리: 액세스를 위한 비밀번호 생성, 저장, 순환을 포함해 권한있는 자격 증명을 효율적으로 관리, 보호해야 하며 이 자격증명에 대한 액세스가 안전하도록 보장해야 한다. 일방향 암호화와 패스워드 미 보관 기능 등이 자격 증명 유출을 막을 수 있는 가장 효율적인 방법이다.

향상된 권한 있는 접속 세션 관리 및 원격 액세스 관리: VPN 등에서 제공하지 못하는 중앙집중적 세션 관리, 실시간 모니터링, 보안 기능이 포함된 원격 액세스 기능을 통해 모든 원격 접속을 통합 관리하고 사용자 활동 정보 이력을 남겨야 한다.

사람이 아닌 솔루션으로 비밀번호 관리: 서버, 애플리케이션, 서비스 등에 대한 비밀번호 관리를 자동화하고 이를 이용한 액세스를 관리하고, 특히 클라우드를 위한 시크릿 매니지먼트(Secret Management)를 자동으로 처리함으로써 관리자 개입에 의한 하드코딩 비밀번호 기반의 서비스 운영의 리스크를 제거하고 효율성을 확보하는 것이 좋다.

다양한 운영 체제에 대한 권한 승격 및 위임: 유닉스, 리눅스, 네트워크 디바이스 등에서 권한 승격이 필요한 명령어를 실행하면 이를 통제하고 제로 트러스트 기반으로 추가 인증을 요구할 수 있는 정책을 구현해 보안과 규정 준수 표준을 준수하는 것이 중요하다.

구축·배포 용이성, 타 보안 시스템과의 통합: 배포, 관리, 유지 관리가 쉬워야 하며, IGA, SSO, MFA, SIEM 시스템과 같은 다른 시스템과 원활하게 통합돼야 한다. 클라우드 환경을 위해서는 전용 클라이언트 환경이 아닌 웹 접속 방식의 클라이언트를 제공해 위치 제약 및 접속 환경의 제약 사항의 한계를 넘어서야 한다.

국내 PAM 솔루션은 전용 클라이언트를 설치하는 방식에서 해외 솔루션처럼 웹 기반 접속 환경을 지원하는 방식으로 발전해야 한다. 현재 해외 대부분의 솔루션이 게이트웨이나 프록시 기반이 아니라 점퍼 호스트 기반과 웹 기반 클라이언트 기반을 사용하고 있다는 것은 주목할 만한 참고 사항이다.

가용성과 복구성: 가용성 확보를 위해 이중화와 다중화가 필요하다. 최악의 경우라도 비밀번호를 복구할 수 있어야 하며 이를 위해 USB 3차 백업 기능과 복구 기능을 제공해야 한다. 하지만 특정 외산 솔루션의 경우에서도 알 수 있듯이 PAM 서버 하나가 처리할 수 있는 동시 세션이 적으면 가용성을 위해 많은 다중 서버를 사용해야 한다. 이 경우 마이크로소프트 윈도우 서버와 컴포넌트 라이선스가 솔루션 가격에 부담을 주는 사례도 있다. 따라서 PAM 서버가 처리할 수 있는 동시 세션이 중요한 요소 중 하나라고 할 수 있다.

JIT PAM 방법론: 보안 정책에서 사용자의 접속 권한을 동적으로 추가·제거하고, 일회용 비밀번호를 서버 접속 및 권한 상승에 사용하며, 필요에 따라 권한 있는 계정을 생성·삭제하는 등 워크플로우 기반의 액세스 방법을 구현하면 규정 준수에 도움이 된다.

이를 통해 최소 권한과 제로 스탠딩 권한(ZSP)을 달성할 수 있다. ZSP는 인간이든 기계든 계정에 지속해서 유지되는 특권 액세스 권한이 없는 IT 환경을 의미한다. ZSP 환경을 구현하기 위해서는 모든 특권이 제거돼야 한다. JIT PAM 모델이 원하는 최종 상태이며 진정한 최소 권한을 달성하는 데 반드시 갖추어야 할 요소다.

사용자가 원하는 시점에 권한을 신청하고, 부여받은 권한은 특정 시점에서 자동 권한 제거가 중요하다. 이를 구현하기 위해서는 권한 신청 및 승인을 위한 워크플로우 기능이 필요하다.

최적의 보안 상태 지원하는 PAM

시큐어키 PAM은 최고 권한 계정의 패스워드를 주기적이고 일괄적으로 변경, 관리하는 통합 패스워드 관리 솔루션 ‘APPM 포 패스워드’와 패스워드 노출 없는 간편한 생체인증 솔루션 ‘APPM 포 간편로그인’, 서버·패스워드 관리 기반의 시스템 접근통제 솔루션 ‘아이라스(iRASS)’를 통합한 것이다. 앞서 설명한 PAM 필수 기능을 결합해 최적의 보안 상태를 유지할 수 있도록 지원한다.

계정에 대한 라이프 사이클 관리, 계정 정보 수집, 강력한 패스워드 관리, 접속에 대한 다양하고 복잡한 통제 정책 지원, 감사 로깅 기능을 포함하며, 그 이상의 다양한 사이버 보안 환경에서 차별화되는 기능과 이점을 제공한다.

시큐어키 PAM의 주요 기능은 다음과 같다.

향상된 사용자 경험: 사용자 친화적인 인터페이스와 원활한 상호 작용의 중요성을 이해해 사용자가 쉽고 효율적으로 솔루션을 사용할 수 있도록 웹 기반 클라이언트 및 윈도우 기반 클라이언트를 모두 제공한다. 이는 온프레미스와 클라우드 환경을 위한 편의성, 보안성을 제공하며 사용자들에게 학습 시간을 줄여 신속한 적응을 가능하게 하고 사용자가 보안 프로토콜을 준수하도록 지원한다.

ZSP(Zero Standing Privileges): 최소한의 권한으로 사용자의 액세스와 권한 관리를 지원할 수 있도록 설계돼 무분별한 권한 남용으로부터 리소스를 보호하는 최소권한 정책을 유지할 수 있게 한다. 액세스와 권한 사용이 필요한 경우, 시간과 공간에 상관없이 권한 신청 및 승인을 부여하고 자동으로 회수하는 워크플로우를 제공한다.

엔드 투 엔드 암호화: 엔드 투 엔드 암호화로 전송된 모든 데이터의 기밀을 유지하고 위조를 방지한다. 저장 데이터와 전송 중인 데이터를 암호화해 무단 데이터 가로채기와 노출 위험을 제거한다. 저장된 비밀번호는 일방향 암호화를 지원하고 직원 정보 및 감사 데이터는 모두 암호화돼 저장된다.

다중 클라우드 환경 지원: 다중 클라우드의 액세스와 리소스를 관리하기 위해 여러 개의 PAM을 운영할 필요 없이, 시큐어키 PAM 하나로 다중 클라우드 환경에 대한 액세스 관리와 비밀번호 관리를 수행할 수 있다. 또한 시큐어키 사이드카(SecureKi SideCar) 기능을 이용해 클라우드 서비스의 핵심 관리 요소인 하드코딩된 패스워드에 대한 안전한 관리 방안을 마련할 수 있다.

다양한 감사 기능과 보고서: 모든 권한 있는 액세스와 활동을 상세하게 기록하는 포괄적인 감사 기능을 제공한다. 또한 기록 중인 감사 데이터를 실시간으로 모니터링할 수 있다. 규제 준수 여부를 확인할 수 있는 다양한 보고서를 제공하며 이를 통해 액세스 정책을 개선하고 비정상적인 행위를 식별할 수 있다. 또한 외부 감사 인력이 감사 이력을 리뷰하고 위반 여부를 확인할 수 있는 외부 인력 리뷰어 기능으로 PAM 솔루션 운영에 대한 대외 신뢰성을 높일 수 있다.

뛰어난 확장력: 기존 솔루션의 한계인 단순 서버 접근 제어를 넘어 데이터베이스와 네트워크 장비, 보안 장비에 이르기까지 전 IT 분야에 대해 패스워드 관리, 액세스 관리, 패스워드 없는 자동 로그인, 접속 이력 기록, 행위에 대한 감사 추적 기능을 제공한다. 기본 인증 도구로 생체 인증을 사용하고 이를 기반으로 모든 IT 자원에 대한 보안 관리를 제로트러스트 기반으로 통합 관리할 수 있다.

원활한 통합: 기존 시스템 및 보안 도구와 조화롭게 통합돼 운영 중단을 피하면서 전반적인 보안 프레임워크를 강화하도록 설계됐다. 이러한 호환성은 다양한 조직 환경에 맞는 다양한 솔루션을 제공하겠다는 시큐어키와 고객과의 약속을 강조한다.

신속한 배포: 신속한 배포로 조직이 즉시 방어를 강화할 수 있도록 보장한다. HTML5 기반의 웹 접속 클라이언트를 이용해 클라우드 환경, 재택 사용자들이 별도의 전용 클라이언트 설치 없이도 안전하게 리소스에 접속할 수 있다.

PC 권한 관리: PAM의 주요 관리 대상은 서버를 넘어서 PC에 대한 권한 관리 기능으로까지 발전했다. 시큐어키 PC 권한 관리는 PC에 대한 보안 자료 수집, 로컬 관리 계정 패스워드 관리, 애플리케이션 설치나 실행 등과 같은 권한 상승이 필요한 다양한 작업에 대한 권한 상승, USB 통제 등의 기능을 함께 제공한다.

전문 기술 파트너, 제로 트러스트 PAM 필수

사이버 위협이 정교해지면서 PAM은 보안 필수 기능으로 떠오르고 있다. PAM 솔루션은 조직을 보호할 뿐만 아니라 비즈니스 성공과 운영, 규정 준수 및 보안 적용에 대한 탄력성을 보장한다. 시큐어키 PAM은 권한 있는 액세스를 보호하고 오늘날 디지털 시대에 만연한 다면적인 사이버 위협으로부터 중요한 자격 증명을 보호하며, 디지털 환경을 보호한다.

시큐어키의 시작부터 함께한 오래된 파트너인 굿모닝아이텍은 많은 고객의 신뢰를 받는 전문 IT기업이다. PAM 솔루션 도입을 고민하고 있다면 시큐어키의 우수한 PAM 솔루션과 굿모닝아이텍의 높은 기술력으로 사이버 보안 태세를 한층 더 강화하길 바란다.