권한 있는 액세스 관리(PAM)란 무엇인가요?

컴퓨터 시스템에서 '권한'은 표준 사용자보다 높은 액세스 권한을 의미합니다. 일반 사용자 계정에는 데이터베이스의 항목을 볼 수 있는 권한이 있을 수 있는 반면, 권한 있는 관리자는 항목을 구성, 추가, 변경 및 삭제할 수 있습니다.

기계, 앱, 워크로드 등 사람이 아닌 사용자도 높은 수준의 권한을 보유할 수 있습니다. 예를 들어 자동화된 백업 프로세스는 기밀 파일 및 시스템 설정에 액세스할 수 있습니다.

권한 있는 계정은 해커에게 가치가 높은 대상으로, 해커는 액세스 권한을 남용하여 탐지를 피하면서 데이터를 훔치고 중요한 시스템을 손상시킬 수 있습니다. 실제로 IBM X-Force Threat Intelligence Index에 따르면 유효한 계정을 탈취하는 것은 오늘날 가장 일반적인 사이버 공격 벡터라고 합니다.

그리고 위험은 조직 내에서도 발생할 수 있습니다. IBM 기업가치연구소(IBV) 연구에 따르면, 선의의 직원들이 보안 요구 사항을 충족하는지 여부를 알지 못한 채 타사 인공 지능(AI) 제품에 조직의 비공개 데이터를 공유할 수 있다고 합니다 연구에 따르면, 41%의 직원이 IT 또는 보안 팀의 승인 없이 기술을 획득, 수정 또는 생성하여 보안에 심각한 취약점을 만들었다고 보고되었습니다.

PAM 툴 및 관행은 조직이 ID 기반 공격으로부터 권한 있는 계정을 보호하는 데 도움이 됩니다. 특히 PAM 전략은 권한 있는 사용자와 계정의 수를 줄이고 권한 있는 자격 증명을 보호하며 최소 권한 원칙을 적용하여 조직의 보안 태세를 강화합니다.

ID 및 액세스 관리(IAM)는 모든 사용자와 리소스에 대한 조직의 모든 ID 보안 노력을 포괄하는 광범위한 분야입니다. PAM은 권한이 있는 계정과 사용자의 보안에 초점을 맞춘 IAM의 하위 집합입니다.

IAM과 PAM은 상당 부분 겹치는 부분이 있습니다. 두 가지 모두 디지털 ID 프로비저닝, 액세스 제어 정책 구현, 인증 및 권한 부여 시스템 배포를 포함합니다.

그러나 권한 있는 계정은 표준 계정보다 더 강력한 보호가 필요하기 때문에 PAM은 표준 IAM 조치보다 더 강력합니다. PAM 프로그램은 자격 증명 저장소 및 세션 기록과 같은 고급 보안 조치를 사용하여 사용자가 상승된 권한을 얻는 방법과 이를 사용하여 수행하는 작업을 엄격하게 제어합니다.

권한이 없는 계정에 이러한 강력한 조치를 적용하는 것은 비실용적이고 비효율적입니다. 이러한 조치는 정상적인 사용자 액세스를 방해하고 사람들이 일상 업무를 수행하는 데 어려움을 겪게 합니다. 이러한 보안 요구 사항의 차이로 인해 PAM과 IAM은 별도의 관련 분야로 나뉘게 되었습니다.

권한이 있는 계정은 보안 위험이 높습니다. 상승된 권한은 남용될 수 있으며, 많은 조직이 온프레미스 및 클라우드 시스템에서 권한 있는 활동을 추적하는 데 어려움을 겪고 있습니다. PAM을 사용하면 조직에서 권한 있는 계정을 더 잘 제어하여 해커를 차단하는 동시에 사용자에게 필요한 권한을 연결할 수 있습니다.

해커가 사용자 계정을 탈취하고 유효한 권한을 남용하는 ID 기반 공격이 증가하고 있습니다. IBM의 X-Force 보고서에 따르면 이 공격이 보안 유출의 30%를 차지합니다. 이러한 공격은 주로 직접 또는 수평 이동을 통해 권한 있는 계정을 대상으로 합니다.

악의적인 행위자(내부자 위협 또는 외부 공격자)가 권한 있는 계정을 악용하면 심각한 피해를 입힐 수 있습니다. 이들은 상승된 권한을 사용하여 맬웨어를 퍼뜨리고 제한 없이 중요한 리소스에 액세스할 수 있으며, 보안 솔루션을 속여 유효한 계정을 가진 합법적인 사용자로 위장할 수도 있습니다.

IBM 데이터 유출 비용(CODB) 보고서에 따르면 해커가 훔친 자격 증명을 사용하는 유출 사고는 평균 467만 달러로 가장 많은 비용이 발생합니다. 유효한 권한을 남용하는 내부자 위협은 더 큰 피해를 초래할 수 있으며, 이러한 침해로 인한 피해액은 평균 492만 달러에 달합니다.

또한 디지털 혁신과 인공 지능의 성장으로 인해 평균 네트워크에서 권한이 있는 사용자 수가 증가했습니다. 모든 새로운 클라우드 서비스, AI 애플리케이션, 워크스테이션 및 사물인터넷(IoT) 디바이스는 새로운 권한 있는 계정을 제공합니다. 이러한 계정에는 인간 사용자가 해당 자산을 관리하는 데 필요한 관리자 계정과 해당 자산이 네트워크 인프라와 상호 작용하는 데 사용하는 계정이 모두 포함됩니다.

문제를 더욱 복잡하게 만드는 것은 사람들이 권한 있는 계정을 공유하는 경우가 많다는 것입니다. 예를 들어, 많은 IT 팀에서는 각 시스템 관리자에게 고유 계정을 할당하는 대신 시스템당 하나의 관리자 계정을 설정하고 필요한 사용자들과 자격 증명을 공유합니다.

그 결과, 악의적인 공격자가 권한 있는 계정을 집중적으로 공격하는 동안에도 조직은 해당 계정을 추적하는 데 어려움을 겪습니다.

PAM 기술 및 전략을 통해 조직은 합법적인 사용자 워크플로를 방해하지 않으면서 권한 있는 계정 및 활동에 대한 가시성과 제어를 높일 수 있습니다. 인터넷 보안 센터는 핵심 PAM 활동을 '중요' 보안 제어 항목에 나열합니다.¹

자격 증명 보관소 및 적시 권한 상승과 같은 툴은 해커와 권한이 없는 내부자를 차단하면서 필요한 사용자가 안전하게 액세스할 수 있도록 지원합니다. 권한 있는 세션 모니터링 툴을 사용하면 조직은 모든 사용자가 네트워크에서 자신의 권한으로 수행하는 모든 작업을 추적하여 IT 및 보안 팀이 의심스러운 활동을 탐지할 수 있습니다.

권한 있는 액세스 관리는 프로세스와 기술 도구를 결합하여 권한을 할당, 액세스 및 사용하는 방법을 제어합니다. 많은 PAM 전략은 다음과 같은 세 가지 핵심 요소에 중점을 둡니다.

• 권한 있는 계정 관리: 권한이 상승된 계정을 생성, 프로비저닝 및 안전하게 폐기합니다.

• 권한 관리: 사용자가 권한을 얻는 방법과 시기, 사용자가 권한으로 수행할 수 있는 작업을 관리합니다.

• 권한 있는 세션 관리: 권한 있는 활동을 모니터링하여 의심스러운 행동을 감지하고 규정 준수를 보장합니다.

권한 있는 계정 관리는 생성부터 폐기까지 상승된 권한을 가진 계정의 전체 라이프사이클을 감독합니다.

권한 있는 계정은 시스템에서 평균보다 높은 액세스 권한을 가진 모든 계정입니다. 권한 있는 계정의 사용자는 시스템 설정 변경, 새 소프트웨어 설치, 다른 사용자 추가 또는 제거와 같은 작업을 수행할 수 있습니다.

최신 IT 환경에서 권한 있는 계정은 다양한 형태를 취합니다. 인간 사용자와 비인간 사용자(예: IoT 디바이스 및 자동화된 워크플로) 모두 권한 있는 계정을 가질 수 있습니다. 예를 들면 다음과 같습니다.

• 로컬 관리 계정을 통해 사용자는 단일 노트북, 서버 또는 기타 개별 엔드포인트를 제어할 수 있습니다.

• 도메인 관리 계정을 통해 사용자는 Microsoft Active Directory 도메인의 모든 사용자와 워크스테이션을 비롯하여 전체 도메인을 제어할 수 있습니다.

• 권한 있는 비즈니스 사용자 계정은 재무 담당자가 회사 자금에 액세스하는 데 사용하는 계정과 같이 IT 이외의 목적을 위해 사용자에게 높은 수준의 액세스 권한을 부여합니다.

• 슈퍼유저 계정은 특정 시스템에서 제한 없는 권한을 부여합니다. Unix 및 Linux 시스템에서는 슈퍼유저 계정을 '루트' 계정이라고 합니다. Microsoft Windows에서는 '관리자' 계정이라고 합니다.

• 서비스 계정을 사용하면 앱과 자동화된 워크플로가 운영 체제와 상호 작용할 수 있습니다.

• 애플리케이션 계정을 사용하면 앱이 서로 상호 작용하고, 애플리케이션 프로그래밍 인터페이스(API)를 호출하고, 기타 중요한 기능을 수행할 수 있습니다.

권한 있는 계정 관리는 다음을 포함하여 해당 권한 있는 계정의 전체 라이프사이클을 관리합니다.

• 검색: 네트워크에 존재하는 모든 권한 있는 계정을 인벤토리화합니다.

• 프로비저닝: 권한이 있는 새 계정을 만들고 최소 권한 원칙에 따라 권한을 할당하는 작업입니다.

• 액세스: 권한 있는 계정에 누가 어떻게 액세스할 수 있는지 관리합니다.

• 폐기: 더 이상 필요하지 않은 권한 있는 계정을 안전하게 폐기합니다.

권한 있는 계정 관리의 주요 목표는 시스템에서 권한 있는 계정의 수를 줄이고 해당 계정에 대한 액세스를 제한하는 것입니다. 자격 증명 관리는 이러한 목표를 달성하기 위한 핵심 도구입니다.

많은 PAM 시스템은 개별 사용자에게 권한 있는 계정을 할당하는 대신 이러한 계정을 중앙 집중화하여 비밀번호 저장소에 자격 증명을 저장합니다. 저장소에는 비밀번호, 토큰, 보안 셸(SSH) 키 및 기타 자격 증명이 암호화된 형태로 안전하게 보관됩니다.

사람이든 사람이 아니든 사용자가 권한 있는 활동을 수행해야 하는 경우 저장소에서 해당 계정의 자격 증명을 확인해야 합니다.

예를 들어 IT 팀원이 회사 노트북을 변경해야 한다고 가정해 보겠습니다. 이렇게 하려면 이 노트북의 로컬 관리자 계정을 사용해야 합니다. 계정의 자격 증명은 비밀번호 저장소에 저장되므로 IT 팀원은 먼저 계정 비밀번호를 요청합니다.

팀원은 먼저 다중 인증(MFA)과 같은 강력한 인증 챌린지를 통과하여 자신의 신원을 증명해야 합니다. 그런 다음, 저장소는 역할 기반 액세스 제어(RBAC) 또는 이와 유사한 정책을 사용하여 이 사용자가 이 계정의 자격 증명에 액세스할 수 있는지 여부를 결정합니다.

이 IT 팀원은 이 로컬 관리자 계정을 사용할 수 있으므로 자격 증명 저장소에서 액세스 권한을 부여합니다. 이제 IT 팀원은 로컬 관리자 계정을 사용하여 회사 노트북에 필요한 변경 작업을 수행할 수 있습니다.

보안을 강화하기 위해 많은 자격 증명 저장소는 사용자와 자격 증명을 직접 공유하지 않습니다. 대신 싱글사인온(SSO) 및 세션 브로커링을 사용하여 사용자가 비밀번호를 확인하지 않아도 보안 연결을 시작합니다.

사용자의 계정 액세스는 일반적으로 설정된 시간이 지나거나 작업이 완료된 후에 만료됩니다. 많은 자격 증명 저장소는 일정에 따라 또는 사용할 때마다 자격 증명을 자동으로 교체할 수 있으므로 악의적인 행위자가 해당 자격 증명을 훔치고 오용하기가 더 어렵습니다.

PAM은 사용자가 항상 동일한 수준의 정적 권한을 갖는 영구 권한 모델을 사용자가 특정 작업을 수행해야 할 때 상승된 권한을 받는 적시 액세스 모델로 대체합니다. 권한 관리는 조직이 이러한 동적 최소 권한 액세스 모델을 구현하는 방법입니다.

자격 증명 저장소는 사용자가 제한된 시간과 제한된 목적으로만 권한 있는 계정에 액세스할 수 있기 때문에 조직이 영구 권한을 제거하는 한 가지 방법입니다. 그러나 저장소가 사용자 권한을 제어하는 유일한 방법은 아닙니다.

일부 PAM 시스템에서는 적시(JIT) 권한 상승이라는 모델을 사용합니다. 별도의 권한 있는 계정에 로그인하는 대신 사용자는 권한 있는 활동을 수행해야 할 때 일시적으로 권한을 높일 수 있습니다.

JIT 권한 상승 모델에서 모든 사용자는 표준 권한이 있는 표준 계정을 갖습니다. 사용자는 IT 팀원이 회사 노트북에서 중요한 설정을 변경하는 등 높은 수준의 권한이 필요한 작업을 수행해야 하는 경우 PAM 툴에 요청을 제출합니다. 요청에는 사용자가 수행해야 하는 작업과 그 이유를 설명하는 일종의 근거가 포함될 수 있습니다.

PAM 툴은 사전 정의된 규칙 세트에 따라 요청을 평가합니다. 이 사용자에게 이 시스템에서 이 작업을 수행할 수 있는 권한이 있는 경우 PAM 툴은 해당 권한을 상승시킵니다. 이러한 상승된 권한은 짧은 시간 동안만 유효하며 사용자는 필요한 특정 작업만 수행할 수 있습니다.

대부분의 조직에서는 권한 관리를 위해 권한 상승과 자격 증명 저장소를 모두 사용합니다. 일부 시스템에서는 일부 디바이스에 기본으로 제공되는 기본 관리 계정과 같은 전용 권한 계정이 필요하지만, 그렇지 않은 시스템도 있습니다.

권한 있는 세션 관리(PSM)는 권한 있는 활동을 감독하는 PAM의 한 측면입니다. 사용자가 권한 있는 계정을 확인하거나 앱의 권한이 상승되면 PSM 툴은 해당 권한으로 수행하는 작업을 추적합니다.

PSM 도구는 이벤트와 키 입력을 기록하여 권한 있는 세션 활동을 기록할 수 있습니다. 일부 PSM 툴은 권한 있는 세션을 비디오로 녹화하기도 합니다. PSM 레코드는 조직이 의심스러운 활동을 감지하고, 권한 있는 활동을 개별 사용자에게 귀속시키고, 규정 준수를 위해 감사 추적을 구축하는 데 도움이 됩니다.

권한 있는 ID 관리(PIM)와 권한 있는 사용자 관리(PUM)는 권한 있는 액세스 관리의 중복되는 하위 필드입니다. PIM 프로세스는 시스템의 개별 ID에 대한 권한을 할당하고 유지 관리하는 데 중점을 둡니다. PUM 프로세스는 권한 있는 사용자 계정의 유지 관리에 중점을 둡니다.

그러나 PIM, PUM 및 PAM의 다른 측면 간의 구분은 보편적으로 합의된 것은 아닙니다. 일부 실무자들은 이 용어들을 같은 의미로 사용하기도 합니다. 궁극적으로 중요한 것은 모든 것이 PAM 범주에 속한다는 것입니다. 조직마다 PAM 작업을 다르게 개념화할 수 있지만 모든 PAM 전략은 권한 있는 액세스의 오용을 방지한다는 목표를 공유합니다.

권한 상승 및 정기적인 비밀번호 교체와 같은 핵심 PAM 작업을 수동으로 수행하는 것은 비효율적이며 불가능한 경우가 많습니다. 대부분의 조직은 PAM 솔루션을 사용하여 프로세스의 대부분을 간소화하고 자동화합니다.

PAM 도구는 소프트웨어 또는 하드웨어 어플라이언스로 온프레미스에 설치할 수 있습니다. 이는 클라우드 기반 서비스형 소프트웨어(SaaS) 앱으로 제공되는 경우가 점점 더 많아지고 있습니다.

분석 기관인 Gartner는 PAM 도구를 다음과 같은 네 가지 클래스로 분류합니다.

• 권한 있는 계정 및 세션 관리(PASM) 툴은 계정 수명 주기 관리, 비밀번호 관리, 자격 증명 보관 및 실시간 권한 있는 세션 모니터링을 처리합니다.

• 권한 상승 및 위임 관리(PEDM) 툴은 권한 액세스 요청을 자동으로 평가, 승인 및 거부하여 적시 권한 상승을 가능하게 합니다. 

• 비밀 관리 툴은 앱, 워크로드, 서버와 같이 사람이 아닌 사용자의 자격 증명을 보호하고 권한을 관리하는 데 중점을 둡니다.

• 클라우드 인프라 권한 관리(CIEM) 툴은 사용자와 활동이 더 분산되어 있고 온프레미스 환경과는 다른 제어가 필요한 클라우드 환경에서의 ID 및 액세스 관리를 위해 설계되었습니다.

일부 PAM 툴은 한 가지 활동 클래스를 다루는 포인트 솔루션이지만, 많은 조직은 PASM, PEDM, 비밀 관리 및 CIEM의 기능을 결합한 포괄적인 플랫폼을 채택하고 있습니다. 이러한 툴은 권한 있는 세션 로그를 보안 정보 및 이벤트 관리(SIEM) 솔루션으로 전송하는 등 다른 보안 도구와의 통합을 지원할 수도 있습니다.

일부 종합 PAM 플랫폼에는 다음과 같은 추가 기능이 있습니다.

• 이전에 알려지지 않은 권한 있는 계정을 자동으로 검색하는 기능

• 권한 있는 액세스를 요청하는 사용자에게 MFA를 적용하는 기능

• 권한 있는 활동 및 사용자를 위한 보안 원격 액세스

• 타사 계약업체 및 파트너를 위한 공급업체 권한 액세스 관리(VPAM) 기능

분석가들은 PAM 툴이 다른 보안 제어와 마찬가지로 AI와 머신 러닝(ML)을 점점 더 많이 통합할 것으로 예상합니다. 실제로 일부 PAM 툴은 이미 위험 기반 인증 시스템에서 AI와 ML을 사용하고 있습니다.

위험 기반 인증은 사용자 행동을 지속적으로 평가하여 해당 행동의 위험 수준을 계산하고 해당 위험에 따라 인증 요구 사항을 동적으로 변경합니다. 예를 들어, 하나의 노트북을 구성하기 위해 권한을 요청하는 사용자는 이중 인증을 통과해야 할 수 있습니다. 도메인의 모든 워크스테이션에 대한 설정을 변경하려는 사용자는 본인 확인을 위해 더 많은 증빙 자료를 제공해야 할 수도 있습니다.

OMDIA²의 연구에 따르면 PAM 툴은 생성형 AI를 사용하여 액세스 요청을 분석하고, 권한 상승을 자동화하고, 액세스 정책을 생성 및 개선하고, 권한 있는 세션 레코드에서 의심스러운 활동을 감지할 수 있습니다.

PAM 툴 및 전술은 조직 전체에서 권한 있는 활동을 제어하지만 특정 ID 및 액세스 보안 문제를 해결하는 데도 도움이 될 수 있습니다.

• ID 공격 표면 축소
• ID 확산 관리
• 규정 준수
• DevOps 비밀 관리