권한 있는 액세스: 전략

권한 있는 액세스에 대한 높은 영향과 높은 가능성의 공격으로부터 조직의 위험을 신속하게 낮추기 위해 이 권한 있는 액세스 전략을 채택하는 것이 좋습니다.

권한 있는 액세스는 모든 조직에서 최우선 보안 우선 순위여야 합니다. 이러한 사용자의 손상은 조직에 상당한 부정적인 영향을 미칠 가능성이 높습니다. 권한 있는 사용자는 조직의 중요 비즈니스용 자산에 액세스할 수 있으므로 공격자가 계정을 손상할 때 거의 항상 큰 영향을 미칩니다.

이 전략은 명시적 유효성 검사, 최소 권한 및 위반 가정의 제로 트러스트 원칙을 기반으로 합니다. Microsoft는 이 전략에 따라 보호를 신속하게 배포하는 데 도움이 되는 구현 지침을 제공했습니다.

중요

권한 있는 액세스 위험을 마술처럼 완화하는 단일 "실버 글머리 기호" 기술 솔루션은 없습니다. 여러 기술을 여러 공격자 진입점으로부터 보호하는 전체적인 솔루션으로 혼합해야 합니다. 조직은 작업의 각 부분에 적합한 도구를 가져와야 합니다.

권한 있는 액세스가 중요한 이유는 무엇인가요?

권한 있는 액세스의 보안은 다른 모든 보안 보증의 기초이기 때문에 매우 중요합니다. 권한 있는 계정을 제어하는 공격자는 다른 모든 보안 보증을 훼손할 수 있습니다. 위험 관점에서 볼 때 권한 있는 액세스의 손실은 산업 전반에 걸쳐 놀라운 속도로 증가할 가능성이 높은 영향력이 큰 이벤트입니다.

이러한 공격 기술은 처음에 대상 데이터 도난 공격에 사용되어 익숙한 브랜드(및 보고되지 않은 많은 인시던트)에서 많은 높은 프로필 위반을 초래했습니다. 최근 이러한 기술은 랜섬웨어 공격자에 의해 채택되어 업계 전반의 비즈니스 운영을 의도적으로 방해하는 수익성이 높은 인간 운영 랜섬웨어 공격의 폭발적인 성장을 촉진합니다.

중요

사람이 운영하는 랜섬웨어 는 단일 워크스테이션 또는 디바이스를 대상으로 하는 상용 단일 컴퓨터 랜섬웨어 공격과 다릅니다.

이 그래픽에서는 권한 있는 액세스를 사용하여 이 강탈 기반 공격이 어떻게 영향을 주고 가능성을 증가시키는지 설명합니다.

PLACEHOLDER

  • 높은 비즈니스 영향
    • 권한 있는 액세스에 대한 잠재적인 비즈니스 영향 및 손실의 손상을 과장하기는 어렵습니다. 권한 있는 액세스 권한이 있는 공격자는 모든 엔터프라이즈 자산 및 리소스를 효과적으로 완전히 제어하여 기밀 데이터를 공개하거나, 모든 비즈니스 프로세스를 중지하거나, 비즈니스 프로세스와 컴퓨터를 파괴하여 재산을 손상시키거나, 사람을 해치거나, 악화시킬 수 있습니다. 모든 업계에서 다음과 같은 대규모 비즈니스 영향을 볼 수 있습니다.
      • 대상 데이터 도난 - 공격자는 권한 있는 액세스를 사용하여 자신의 용도로 중요한 지적 재산권에 액세스하고 도용하거나 경쟁업체 또는 외국 정부에 판매/이전합니다.
      • 휴머 운영 랜섬웨어(HumOR) - 공격자는 권한 있는 액세스를 사용하여 엔터프라이즈의 모든 데이터 및 시스템을 훔치거나 암호화하며 종종 모든 비즈니스 작업을 중지합니다. 그런 다음 데이터를 공개하지 않도록 돈을 요구하거나 잠금을 해제할 키를 제공하여 대상 조직을 갈취합니다.
  • 발생 가능성이 높습니다.
    • 해시 기술을 전달하는 것으로 시작하는 최신 자격 증명 도난 공격의 출현 이후 권한 있는 액세스 공격의 보급이 증가했습니다. 이러한 기술은 공격 도구 "Pass-the-Hash Toolkit"의 2008년 릴리스부터 범죄자들에게 인기가 높아졌으며 신뢰할 수 있는 공격 기술 모음(주로 Mimikatz 도구 키트 기반)으로 성장했습니다. 이러한 기술 무기화 및 자동화를 통해 공격(및 후속 영향)은 공격 및 공격자의 수익 창출/인센티브 모델에 대한 대상 조직의 취약성에 의해서만 제한되는 빠른 속도로 증가할 수 있습니다.
      • 사람이 운영하는 랜섬웨어(HumOR)가 등장하기 전에는 이러한 공격이 널리 퍼졌지만 다음과 같은 이유로 인해 종종 보이지 않거나 오해를 받았습니다.
        • 공격자 수익 창출 제한 - 대상 조직에서 중요한 지적 재산권을 수익화하는 방법을 알고 있는 그룹 및 개인만 이러한 공격으로 이익을 얻을 수 있습니다.
        • 자동 영향 - 조직은 탐지 도구가 없었기 때문에 종종 이러한 공격을 놓쳤고, 그 결과 비즈니스 영향을 보고 예측하는 데 어려움을 겪었습니다(예: 경쟁업체가 도난당한 지적 재산을 사용하는 방법과 가격과 시장에 어떤 영향을 미쳤는지, 때로는 몇 년 후). 또한 공격을 본 조직은 종종 평판을 보호하기 위해 침묵했습니다.
      • 이러한 공격에 대한 자동 영향 및 공격자 수익 창출 제한은 모두 다음과 같은 이유로 볼륨, 영향 및 인식이 증가하는 인간 운영 랜섬웨어의 출현과 함께 붕괴되고 있습니다.
        • 시끄럽고 파괴적인 - 강탈 요구의 지불에 비즈니스 프로세스에.
        • 보편적으로 적용 가능 - 모든 산업의 모든 조직은 중단 없이 운영을 계속하도록 재정적으로 동기를 부여합니다.

이러한 이유로 권한 있는 액세스는 모든 조직에서 보안 우선 순위가 되어야 합니다.

권한 있는 액세스 전략 빌드

권한 있는 액세스 전략은 빠른 승리와 증분 진행으로 구성되어야 하는 여정입니다. 권한 있는 액세스 전략의 각 단계는 사용 가능한 약점을 통해 환경에 스며들려는 물과 같은 권한 있는 액세스에서 지속적이고 유연한 공격자를 "봉인"하는 데 더 가까워야 합니다.

이 지침은 이미 진행 중인 위치에 관계없이 모든 엔터프라이즈 조직을 위해 설계되었습니다.

전체적인 실용 전략

권한 있는 액세스로 인한 위험을 줄이려면 여러 기술에 걸친 위험 완화의 신중하고 전체적이며 우선 순위가 지정된 조합이 필요합니다.

이 전략을 구축하려면 공격자가 악용할 수 있는 다양한 옵션(처음에는 중요하지 않은 것처럼 보일 수 있음)이 있기 때문에 공격자가 물과 같다는 것을 인식해야 하며, 공격자는 사용하는 것이 유연하며 일반적으로 목표를 달성하는 데 최소한의 저항의 길을 택합니다.

Attackers are like water and can appear insignificant at first but, flood over time

공격자가 실제 사례에서 우선 순위를 지정하는 경로는 다음의 조합입니다.

  • 설정된 기술(종종 공격 도구로 자동화됨)
  • 악용하기 쉬운 새로운 기술

관련된 기술의 다양성 때문에 이 전략에는 여러 기술을 결합하고 제로 트러스트 원칙을 따르는 완전한 전략이 필요합니다.

중요

이러한 공격을 방어하는 여러 기술을 포함하는 전략을 채택해야 합니다. 단순히 PRvileged ID 관리/PIM/PAM(권한 있는 액세스 관리) 솔루션을 구현하는 것만으로는 충분하지 않습니다. 자세한 내용은 권한 있는 액세스 중개자입니다.

  • 공격자는 모든 유형의 공격을 사용하여 목표 지향적이고 기술에 구애받지 않습니다.
  • 방어하는 액세스 제어 백본은 엔터프라이즈 환경의 대부분 또는 모든 시스템에 통합됩니다.

네트워크 제어 또는 단일 권한 있는 액세스 솔루션만으로 이러한 위협을 감지하거나 방지할 수 있다고 예상하면 다른 많은 유형의 공격에 취약해질 수 있습니다.

전략적 가정 - 클라우드는 보안의 원천입니다.

이 전략은 다음과 같은 여러 가지 이유로 온-프레미스 격리 기술이 아닌 보안 및 관리 기능의 기본 소스로 클라우드 서비스를 사용합니다.

  • 클라우드는 더 나은 기능을 제공합니다 . 현재 사용할 수 있는 가장 강력한 보안 및 관리 기능은 정교한 도구, 네이티브 통합 및 Microsoft가 보안 도구에 사용하는 8조 조 보안 신호와 같은 방대한 양의 보안 인텔리전스를 포함한 클라우드 서비스에서 제공됩니다.
  • 클라우드는 더 쉽고 빠릅니다 . 클라우드 서비스를 채택하려면 구현 및 확장을 위한 인프라가 거의 또는 전혀 필요하지 않으며, 팀이 기술 통합보다는 보안 업무에 집중할 수 있습니다.
  • 클라우드에는 유지 관리가 덜 필요합니다 . 또한 수천 개의 고객 조직을 위해 단일 목적에 전념하는 팀이 있는 공급업체 조직에서 클라우드를 관리, 유지 관리 및 일관되게 보호하므로 팀이 역량을 엄격하게 유지하기 위한 시간과 노력을 줄일 수 있습니다.
  • 클라우드는 계속 개선되고 있습니다. 클라우드 서비스의 기능과 기능은 조직이 지속적으로 투자할 필요 없이 지속적으로 업데이트되고 있습니다.

Microsoft의 권장 전략은 신뢰할 수 있는 '클린 ' 디바이스, 계정 및 중간 시스템만 비즈니스에 중요한 시스템에 대한 권한 있는 액세스에 사용할 수 있도록 권한 있는 액세스를 위한 '폐쇄 루프' 시스템을 증분 방식으로 구축하는 것입니다.

보트와 같은 실제 생활에서 복잡한 것을 방수하는 것과 마찬가지로 의도적인 결과로 이 전략을 설계하고, 표준을 신중하게 설정하고 따르고, 누출을 수정할 수 있도록 지속적으로 결과를 모니터링하고 감사해야 합니다. 당신은 보트 모양으로 함께 보드를 못을 박고 마술처럼 방수 보트를 기대하지 않을 것입니다. 먼저 선체와 엔진 및 스티어링 메커니즘과 같은 중요한 부품(사람들이 들어갈 수 있는 길을 떠나는 동안)과 같은 중요한 품목을 구축하고 방수한 다음, 나중에 라디오, 좌석 등과 같은 편안한 항목을 방수하는 데 집중합니다. 또한 가장 완벽한 시스템조차도 나중에 누출을 발생시킬 수 있으므로 시간이 지남에 따라 유지 관리하므로 예방 유지 관리를 유지하고 누출을 모니터링하고 가라앉지 않도록 수정해야 합니다.

권한 있는 액세스 보안에는 두 가지 간단한 목표가 있습니다.

  1. 권한 있는 작업을 수행하는 기능을 몇 가지 권한 있는 경로로 엄격하게 제한
  2. 이러한 경로 보호 및 면밀히 모니터링

시스템에 액세스하는 경로에는 사용자 액세스(기능 사용) 및 권한 있는 액세스(기능을 관리하거나 중요한 기능에 액세스하기 위한)의 두 가지 유형이 있습니다.

Two pathways to systems user and privileged access

  • 사용자 액세스 - 다이어그램 아래쪽의 밝은 파란색 경로는 전자 메일, 공동 작업, 웹 검색 및 LOB(기간 업무) 애플리케이션 또는 웹 사이트 사용과 같은 일반적인 생산성 작업을 수행하는 표준 사용자 계정을 보여 줍니다. 이 경로에는 디바이스 또는 워크스테이션에 로그온하는 계정, 경우에 따라 원격 액세스 솔루션과 같은 중간자를 통과하고 엔터프라이즈 시스템과 상호 작용하는 계정이 포함됩니다.
  • Privileged Access - 다이어그램 맨 위에 있는 어두운 파란색 경로는 IT 관리자 또는 기타 중요한 계정과 같은 권한 있는 계정이 중요 비즈니스용 시스템 및 데이터에 액세스하거나 엔터프라이즈 시스템에서 관리 작업을 수행하는 권한 있는 액세스를 보여 줍니다. 기술 구성 요소는 본질적으로 유사할 수 있지만 악의적 사용자가 권한 있는 액세스로 입힐 수 있는 피해는 훨씬 더 높습니다.

전체 액세스 관리 시스템에는 ID 시스템 및 권한 있는 권한 상승 경로도 포함됩니다.

Two pathways plus identity systems and elevation paths

  • ID 시스템 - 계정 및 관리 그룹, 동기화 및 페더레이션 기능 및 표준 및 권한 있는 사용자를 위한 기타 ID 지원 기능을 호스트하는 ID 디렉터리를 제공합니다.
  • 권한 있는 권한 상승 경로 - 권한 있는 액세스 관리/권한 있는 ID 관리 시스템의 JIT(Just-In-Time) 프로세스를 통해 중요한 시스템에 대한 관리 권한 요청을 승인하는 관리자 또는 동료와 같은 표준 사용자가 권한 있는 워크플로와 상호 작용할 수 있는 수단을 제공합니다.

이러한 구성 요소는 악의적 사용자가 엔터프라이즈에 대한 높은 액세스 권한을 얻기 위해 대상으로 할 수 있는 권한 있는 액세스 공격 표면을 집합적으로 구성합니다.

Attack surface unprotected

참고

고객 관리 운영 체제에서 호스트되는 온-프레미스 및 IaaS(Infrastructure as a Service) 시스템의 경우 관리 및 보안 에이전트, 서비스 계정 및 잠재적 구성 문제로 공격 표면이 크게 증가합니다.

지속 가능하고 관리 가능한 권한 있는 액세스 전략을 만들려면 모든 권한 없는 벡터를 닫아 액세스하는 유일한 방법을 나타내는 보안 시스템에 물리적으로 연결된 제어 콘솔에 해당하는 가상 벡터를 만들어야 합니다.

이 전략을 사용하려면 다음을 조합해야 합니다.

  • 제로 트러스트 빠른 현대화 계획(RAMP)을 포함하여 이 지침 전체에서 설명된 액세스 제어
  • 이러한 시스템에 좋은 보안 위생 사례를 적용하여 직접적인 자산 공격으로부터 보호하기 위한 자산 보호. 리소스에 대한 자산 보호(액세스 제어 구성 요소 제외)는 이 지침의 범위를 벗어나지만 일반적으로 보안 업데이트/패치의 신속한 적용, 제조업체/업계 보안 기준을 사용하여 운영 체제 구성, 미사용 및 전송 중인 데이터 보호, 개발/DevOps 프로세스에 보안 모범 사례 통합 등이 포함됩니다.

Reduce the attack surface

여정의 전략적 이니셔티브

이 전략을 구현하려면 각각 명확한 결과와 성공 기준이 있는 4가지 보완 이니셔티브가 필요합니다.

  1. 엔드 투 엔드 세션 보안 - 권한 있는 세션, 사용자 세션 및 권한 있는 권한 상승 경로에 대한 명시적 제로 트러스트 유효성 검사를 설정합니다.
    1. 성공 조건: 각 세션은 액세스를 허용하기 전에 각 사용자 계정 및 디바이스가 충분한 수준에서 신뢰할 수 있는지 확인합니다.
  2. 디렉터리, ID 관리, 관리자 계정, 동의 부여 등을 포함한 모니터 ID 시스템 보호 &
    1. 성공 조건: 이러한 각 시스템은 호스팅되는 계정의 잠재적인 비즈니스 영향에 적합한 수준으로 보호됩니다.
  3. 로컬 계정 암호, 서비스 계정 암호 또는 기타 비밀을 사용하여 횡적 순회로부터 보호하기 위해 횡적 순회 완화
    1. 성공 조건: 단일 디바이스를 손상시키면 환경의 여러 디바이스 또는 모든 다른 디바이스를 즉시 제어할 수 없습니다.
  4. 환경에서 악의적인 액세스 및 시간을 제한하는 신속한 위협 대응
    1. 성공 조건: 인시던트 응답 프로세스는 악의적 사용자가 권한 있는 액세스의 손실을 초래하는 환경에서 다단계 공격을 안정적으로 수행하지 못하게 합니다. (권한 있는 액세스가 0에 가까운 인시던트의 평균 수정 시간(MTTR)을 줄이고 악의적 사용자가 권한 있는 액세스를 대상으로 지정할 시간이 없도록 모든 인시던트의 MTTR을 몇 분으로 줄임으로써 측정됨)

다음 단계