계정·자격증명 보호 필요

‘왕국으로 가는 황금열쇠’, 계정·자격증명 보호해야 - 데이터넷

‘왕국으로 가는 황금열쇠’, 계정·자격증명 보호해야 - 데이터넷

 

• 계정과 자격증명 중요성
  • 계정(Identity), 자격증명(Credential) 은 시스템과 데이터에 접근하기 위한 핵심 요소
  • 버라이즌 조사에 따르면, 데이터 침해의 81%가 도난된 자격증명과 관련
  • 클라우드 환경에서는 이러한 자격증명이 공격자의 주요 타깃이 되며, 개인 식별 정보(PII) 및 고객 데이터에 대한 공격이 증가하고 있음
• 클라우드 환경에서의 위협
  • 물리적 보안 경계가 없는 클라우드 환경은 자격증명 탈취 후 공격자가 쉽게 시스템에 접근 가능
  • 트렌드마이크로는 2024년 상반기 45.9%의 위협이 취약한 클라우드 애플리케이션 액세스에서 발생했다고 보고
  • OAuth 및 마이크로소프트 엔트라 ID 취약점에서 발생한 사고가 전체의 72%를 차지
• 계정 보호의 어려움
  • 액티브 디렉토리(AD) 공격은 많은 계정정보를 한 번에 획득할 수 있어 취약
  • 커버로스팅(Kerberoasting), 디시싱크(DCSync) 공격은 계정의 비밀번호를 훔쳐 민감 정보를 복제하거나 도메인 유저 계정정보를 탈취
  • 분산ID 기술은 ID 탈취 및 오용을 방지할 수 있는 대안으로 주목되고 있으며, 모바일 신분증과 같은 서비스에 적용되고 있음
• 비인간ID의 중요성
  • 비인간 ID(NHI)는 API 키, 서비스 계정, OAuth 토큰 등 다양한 형태로 존재하며, 사람 ID보다 20배 많음
  • 클라우드 보안 연합(CSA)의 조사에 따르면 69% 조직이 NHI로 인한 위협을 매우 우려하고 있음
  • NHI는 24시간 연중무휴로 작동하며 민감한 데이터를 처리하기 때문에 보안 사고 발생 시 빠르게 대응이 필요
• 제로 트러스트와 ID 관리
  • 제로 트러스트(Zero Trust) 모델 기반의 ID 관리가 클라우드 환경에서 필수적
  • ICAM 솔루션 ‘실드ID’와 엔트라(Entra) 제품군은 제로 트러스트 원칙을 통해 사용자 계정과 권한을 보호
  • PAM(Privileged Access Management)은 권한이 과도한 계정에 대해 강화된 접근 관리를 제공
• 패스워드리스 인증 기술
  • 패스워드리스(Passkey) 기술은 생체인증, OTP, 푸시 인증 등을 사용하여 자격증명 보호
  • FIDO 얼라이언스에서 개발한 패스키는 사용자 기기 내 공개키/비밀키 쌍을 사용해 보안을 강화
  • OTAC(One-Time Authentication Code)는 IoT 기기 및 결제 인증 등 다양한 분야에서 사용 가능
• 결론
  • 계정과 자격증명 보호는 시스템 보안의 중요한 요소이며, 제로 트러스트 모델과 패스워드리스 인증이 점차 필수적인 보안 전략으로 자리잡을 것