권한 있는 액세스: 전략
Microsoft는 이 권한 있는 액세스 전략을 채택하여 권한 있는 액세스에 대한 높은 영향 및 가능성이 높은 공격으로 인한 조직의 위험을 신속하게 줄이도록 권장합니다.
권한 있는 액세스는 모든 조직에서 최우선 보안 우선 순위여야 합니다. 이러한 사용자의 손상은 조직에 상당한 부정적인 영향을 미칠 가능성이 높습니다. 권한 있는 사용자는 조직의 중요 비즈니스용 자산에 액세스할 수 있으며 공격자가 계정을 손상할 때 거의 항상 큰 영향을 미칩니다.
이 전략은 명시적 유효성 검사, 최소 권한 및 위반 가정의 제로 트러스트 원칙을 기반으로 합니다. Microsoft는 이 전략에 따라 보호를 신속하게 배포하는 데 도움이 되는 구현 지침을 제공했습니다.
Important
권한 있는 액세스 위험을 마법처럼 완화할 수 있는 "특효약"과 같은 단일 기술 솔루션은 없습니다. 여러 기술을 혼합하여 여러 공격자의 진입점으로부터 보호할 수 있는 전체적인 솔루션으로 통합해야 합니다. 조직은 작업의 각 부분에 적합한 도구를 가져와야 합니다.
권한 있는 액세스가 중요한 이유
권한 있는 액세스의 보안은 다른 모든 보안 보증의 기초이기 때문에 매우 중요합니다. 권한 있는 계정을 제어하는 공격자는 다른 모든 보안 보증을 훼손할 수 있습니다. 위험 관점에서 볼 때 권한 있는 액세스의 손실은 산업 전반에 걸쳐 놀라운 속도로 증가할 가능성이 높은 영향력이 큰 이벤트입니다.
이러한 공격 기술은 처음에 대상 데이터 도난 공격에 사용되어 익숙한 브랜드(및 보고되지 않은 많은 인시던트)에서 많은 높은 프로필 위반을 초래했습니다. 최근에는 랜섬웨어 공격자가 이러한 기술을 채택하여 업계 전반의 비즈니스 운영을 의도적으로 방해하는 수익성이 높은 인간 운영 랜섬웨어 공격의 폭발적인 성장을 촉진했습니다.
Important
사람이 운영하는 랜섬웨어 는 단일 워크스테이션 또는 디바이스를 대상으로 하는 상용 단일 컴퓨터 랜섬웨어 공격과 다릅니다.
이 그래픽에서는 권한 있는 액세스를 사용하여 이 강탈 기반 공격이 미치는 영향과 가능성이 증가하는 방법을 설명합니다.
- 높은 비즈니스 영향
- 권한 있는 액세스에 대한 잠재적인 비즈니스 영향 및 손실의 손상을 과장하기는 어렵습니다. 권한 있는 액세스 권한이 있는 공격자는 모든 엔터프라이즈 자산 및 리소스를 효과적으로 완전히 제어하여 기밀 데이터를 공개하거나, 모든 비즈니스 프로세스를 중지하거나, 비즈니스 프로세스와 컴퓨터를 파괴하여 재산을 손상시키거나, 사람을 해치거나, 더 악화시킬 수 있습니다.
대규모 비즈니스 영향은 다음과 같은 모든 업계에서 볼 수 있습니다.
- 대상 데이터 도난 - 공격자는 권한 있는 액세스를 사용하여 중요한 지적 재산에 액세스하고 해당 재산을 사용하거나 경쟁사 또는 외국 정부에 판매/양도합니다.
- HumOR(인간 운영 랜섬웨어) - 공격자는 권한 있는 액세스를 사용하여 엔터프라이즈의 모든 데이터 및 시스템을 훔치거나 암호화하며 종종 모든 비즈니스 작업을 중지합니다. 그런 다음 데이터를 공개하지 않도록 돈을 요구하거나 잠금을 해제할 키를 제공하여 대상 조직을 갈취합니다.
- 권한 있는 액세스에 대한 잠재적인 비즈니스 영향 및 손실의 손상을 과장하기는 어렵습니다. 권한 있는 액세스 권한이 있는 공격자는 모든 엔터프라이즈 자산 및 리소스를 효과적으로 완전히 제어하여 기밀 데이터를 공개하거나, 모든 비즈니스 프로세스를 중지하거나, 비즈니스 프로세스와 컴퓨터를 파괴하여 재산을 손상시키거나, 사람을 해치거나, 더 악화시킬 수 있습니다.
대규모 비즈니스 영향은 다음과 같은 모든 업계에서 볼 수 있습니다.
- 발생 가능성 높음
- 해시 기법을 통과하는 것으로 시작하는 최신 자격 증명 도난 공격이 발생한 후에 권한 있는 액세스 공격이 크게 확산되었습니다. 이러한 기술은 주로 Mimikatz 도구 키트를 기반으로 하는 공격 도구인 "Pass-the-Hash 도구 키트"의 2008년 출시를 기점으로 범죄자들에게 처음 알려졌으며 이후 신뢰할 수 있는 공격 기술 도구 모음으로 성장했습니다. 이러한 기술 무기화 및 자동화를 통해 공격(및 그 이후의 영향)은 공격 및 공격자의 수익 창출/인센티브 모델에 대한 대상 조직의 취약성에 의해서만 제한되는 빠른 속도로 증가할 수 있습니다.
- 휴머니언드 랜섬웨어(HumOR)가 등장하기 전에는 이러한 공격이 널리 퍼졌지만 다음과 같은 이유로 인해 종종 보이지 않거나 오해를 받았습니다.
- 공격자 수익 창출 제한 - 대상 조직에서 중요한 지적 재산을 통해 수익을 창출하는 방법을 알고 있는 그룹과 개인만이 이러한 공격으로부터 수익을 얻을 수 있습니다.
- 자동 영향 - 조직은 탐지 도구가 없었기 때문에 이러한 공격을 놓친 경우가 많으며, 그 결과 비즈니스 영향을 보고 예측하는 데 어려움을 겪었습니다(예: 경쟁업체가 도난당한 지적 재산을 사용하는 방법과 가격과 시장에 어떤 영향을 미쳤는지, 때로는 몇 년 후). 또한 공격을 목격한 조직은 자신들의 평판을 보호하기 위해 공격에 대해 침묵을 유지했습니다.
- 이러한 공격에 대한 자동 영향 및 공격자 수익 창출 제한은 모두 다음과 같은 이유로 볼륨, 영향 및 인식이 증가하는 인간 운영 랜섬웨어의 출현과 함께 붕괴되고 있습니다.
- 크고 파괴적인 - 강탈 요구의 지불에 비즈니스 프로세스에.
- 보편적으로 적용 가능 - 모든 산업의 모든 조직은 중단 없이 운영을 계속하도록 재정적으로 동기를 부여합니다.
- 휴머니언드 랜섬웨어(HumOR)가 등장하기 전에는 이러한 공격이 널리 퍼졌지만 다음과 같은 이유로 인해 종종 보이지 않거나 오해를 받았습니다.
- 해시 기법을 통과하는 것으로 시작하는 최신 자격 증명 도난 공격이 발생한 후에 권한 있는 액세스 공격이 크게 확산되었습니다. 이러한 기술은 주로 Mimikatz 도구 키트를 기반으로 하는 공격 도구인 "Pass-the-Hash 도구 키트"의 2008년 출시를 기점으로 범죄자들에게 처음 알려졌으며 이후 신뢰할 수 있는 공격 기술 도구 모음으로 성장했습니다. 이러한 기술 무기화 및 자동화를 통해 공격(및 그 이후의 영향)은 공격 및 공격자의 수익 창출/인센티브 모델에 대한 대상 조직의 취약성에 의해서만 제한되는 빠른 속도로 증가할 수 있습니다.
이러한 이유로 권한 있는 액세스는 모든 조직에서 최상위 보안 우선순위여야 합니다.
권한 있는 액세스 전략 빌드
권한 있는 액세스 전략은 빠른 승리와 증분 진행 상황으로 구성되어야 하는 여정입니다. 권한 있는 액세스 전략의 각 단계는 사용 가능한 약점을 통해 환경에 침투하려는 물과 같은 권한 있는 액세스로부터 지속적이고 유연한 공격자를 "봉쇄"하는 데 더 집중해야 합니다.
이 지침은 이미 진행 중인 위치에 관계없이 모든 엔터프라이즈 조직을 위해 설계되었습니다.
전체적인 실용적인 전략
권한 있는 액세스로 인한 위험을 줄이려면 여러 기술에 걸친 위험 완화의 신중하고 광범위하며 우선순위가 지정된 조합이 필요합니다.
이 전략을 빌드하려면 공격자가 악용할 수 있는 수많은 옵션이 있으므로 일부는 물과 같이 처음에는 중요하지 않게 보일 수 있고, 공격자는 유연하게 사용할 수 있으며, 일반적으로 목적을 달성하기 위해 최소한의 저항 경로를 택한다는 것을 인지하고 있어야 합니다.
공격자가 실제 사례에서 우선 순위를 지정하는 경로는 다음의 조합입니다.
- 설정된 기술(종종 공격 도구로 자동화됨)
- 악용하기 쉬운 새로운 기술
이와 같이 관련 기술이 다양하므로 이 전략에는 여러 기술을 결합하고 제로 트러스트 원칙을 따르는 완전한 전략이 필요합니다.
Important
이러한 공격을 방어하기 위해 여러 기술을 포함하는 전략을 채택해야 합니다. 단순히 PRvileged ID 관리/PIM/PAM(권한 있는 액세스 관리) 솔루션을 구현하는 것만으로는 충분하지 않습니다. 자세한 내용은 권한 있는 액세스 중개자를 참조하세요.
- 공격자는 목표 지향적이고 기술에 구애받지 않으며 작동하는 모든 유형의 공격을 사용합니다.
- 방어하는 액세스 제어 백본은 엔터프라이즈 환경의 대부분 또는 모든 시스템에 통합됩니다.
간단히 네트워크 컨트롤 또는 단일 권한 있는 액세스 솔루션으로 이러한 위협을 검색하거나 방지할 수 있다고 기대한다면 다른 많은 유형의 공격에 취약해집니다.
전략적 가정 - 클라우드는 보안의 원천입니다.
이 전략은 다음과 같은 여러 가지 이유로 온-프레미스 격리 기술이 아닌 보안 및 관리 기능의 기본 원본으로 클라우드 서비스를 사용합니다.
- 클라우드는 더 나은 기능을 제공합니다. 오늘날 사용할 수 있는 가장 강력한 보안 및 관리 기능은 정교한 도구, 네이티브 통합 및 Microsoft가 보안 도구에 사용하는 하루 8조 개 이상의 보안 신호와 같은 방대한 양의 보안 인텔리전스를 포함한 클라우드 서비스에서 제공됩니다.
- 더 쉽고 더 빠른 클라우드 - 클라우드 서비스를 도입할 경우, 구현 및 확장을 위한 인프라가 거의 필요하지 않으므로 팀은 기술 통합보다는 보안 업무에 집중할 수 있습니다.
- 유지 관리가 적게 요구되는 클라우드 - 또한 클라우드는 수천 개의 고객 조직을 위해 단일 목적에 전념하는 팀이 있는 공급 업체 조직에서 지속적으로 관리, 유지 관리 및 보호하므로 팀에서 엄격하게 기능을 유지하는 데 드는 시간과 노력이 줄어듭니다.
- 클라우드는 계속 개선되고 있습니다. 클라우드 서비스의 기능과 기능은 조직이 지속적으로 투자할 필요 없이 지속적으로 업데이트되고 있습니다.
권장 전략 빌드
Microsoft의 권장 전략은 권한 있는 액세스를 위한 '폐쇄 루프' 시스템을 점진적으로 빌드하여 신뢰할 수 있는 '깨끗한' 디바이스, 계정 및 중개자 시스템만 비즈니스에 중요한 시스템에 대한 권한 있는 액세스에 사용할 수 있도록 하는 것입니다.
보트와 같은 실제 생활에서 복잡한 것을 방수하는 것과 마찬가지로 의도적인 결과로 이 전략을 설계하고, 표준을 신중하게 설정하고 따르고, 누출을 수정할 수 있도록 지속적으로 결과를 모니터링하고 감사해야 합니다. 당신은 보트 모양으로 함께 보드를 못을 박고 마술 방수 보트를 기대하지 않을 것입니다. 먼저 선체와 엔진 및 스티어링 메커니즘과 같은 중요한 부품과 같은 중요한 품목을 구축하고 방수하는 데 집중한 다음(사람들이 들어갈 수 있는 방법을 떠나는 동안), 나중에 라디오, 좌석 등과 같은 방수 안락 항목을 방수하는 데 집중합니다. 또한 기본 가장 완벽한 시스템조차도 나중에 누출을 발생시킬 수 있으므로 예방 기본 테넌트를 따라가고, 누출을 모니터링하고, 가라앉지 않도록 수정해야 합니다.
권한 있는 액세스 보안의 두 가지 간단한 목표
- 권한 있는 작업을 수행하는 기능을 몇 개의 승인된 경로로 엄격하게 제한
- 제한된 경로를 보호하고 면밀하게 모니터링
시스템에 액세스하는 두 가지 유형의 경로, 사용자 액세스(기능 사용) 및 권한 있는 액세스(기능을 관리하거나 중요한 기능에 액세스하기 위해)가 있습니다.
- 사용자 액세스 - 다이어그램 맨 아래에 있는 밝은 파란색 경로는 전자 메일, 공동 작업, 웹 검색 및 LOB(기간 업무) 애플리케이션 또는 웹 사이트 사용과 같은 일반적인 생산성 작업을 수행하는 표준 사용자 계정을 보여 줍니다. 이 경로에는 디바이스 또는 워크스테이션에 로그온하는 계정이 포함되며 경우에 따라 원격 액세스 솔루션과 같은 중개자를 통과하고 엔터프라이즈 시스템과 상호 작용합니다.
- 권한 있는 액세스 - 다이어그램 위쪽의 진한 파란색 경로는 IT 관리자 또는 기타 중요한 계정과 같은 권한 있는 계정이 비즈니스에 중요한 시스템 및 데이터에 액세스하거나 엔터프라이즈 시스템에서 관리 작업을 수행하는 권한 있는 액세스를 나타냅니다. 기술적 구성 요소는 본질적으로 유사할 수 있지만, 권한 있는 액세스를 통해 악의적 사용자가 입을 수 있는 피해는 훨씬 더 큽니다.
전체 액세스 관리 시스템에는 ID 시스템 및 권한 있는 권한 상승 경로도 포함됩니다.
- ID 시스템 - 계정 및 관리 그룹, 동기화 및 페더레이션 기능 및 표준 및 권한 있는 사용자를 위한 기타 ID 지원 기능을 호스트하는 ID 디렉터리를 제공합니다.
- 권한 상승 경로 - 표준 사용자가 Privileged Access Management/Privileged Identity Management 시스템에서 JIT(Just-In-Time) 프로세스를 통해 중요한 시스템에 관리 권한 요청을 승인하는 관리자 또는 피어와 같은 권한 있는 워크플로와 상호 작용하는 수단을 제공합니다.
이러한 구성 요소는 악의적 사용자가 엔터프라이즈에 대한 높은 액세스 권한을 얻기 위해 대상으로 할 수 있는 권한 있는 액세스 공격 표면을 집합적으로 구성합니다.
참고 항목
고객 관리 운영 체제에서 호스트되는 온-프레미스 및 IaaS(Infrastructure as a Service) 시스템의 경우 관리 및 보안 에이전트, 서비스 계정 및 잠재적 구성 문제로 공격 표면이 크게 증가합니다.
지속 가능하고 관리 가능한 권한 있는 액세스 전략을 만들려면 모든 권한 없는 벡터를 닫아 액세스하는 유일한 방법을 나타내는 보안 시스템에 물리적으로 연결된 제어 콘솔에 해당하는 가상 콘솔을 만들어야 합니다.
이 전략에는 다음의 조합이 필요합니다.
- 제로 트러스트 빠른 현대화 계획(RAMP)을 포함하여 이 지침 전체에서 설명된 액세스 제어
- 이러한 시스템에 좋은 보안 위생 사례를 적용하여 직접적인 자산 공격으로부터 보호하기 위한 자산 보호입니다. 리소스에 대한 자산 보호(액세스 제어 구성 요소 제외)는 이 지침의 범위를 벗어나지만 일반적으로 보안 업데이트/패치의 신속한 적용, 제조업체/업계 보안 기준을 사용하여 운영 체제 구성, 미사용 데이터 보호 및 전송 중인 데이터 보호, 개발/DevOps 프로세스에 보안 모범 사례 통합 등이 포함됩니다.
여정의 전략적 이니셔티브
이 전략을 구현하려면 각각 명확한 결과와 성공 기준이 있는 네 가지 보완 이니셔티브가 필요합니다.
- 엔드투엔드 세션 보안 - 권한 있는 세션, 사용자 세션 및 권한 상승 경로에 대한 명시적 제로 트러스트 유효성 검사를 설정합니다.
- 성공 조건: 각 세션은 액세스를 허용하기 전에 각 사용자 계정 및 디바이스가 충분한 수준에서 신뢰할 수 있는지 확인합니다.
- 디렉터리, ID 관리, 관리 계정, 동의 부여 등을 포함한 ID 시스템 보호 및 모니터링
- 성공 조건: 이러한 각 시스템은 호스팅되는 계정의 잠재적 비즈니스 영향에 적합한 수준으로 보호됩니다.
- 로컬 계정 암호, 서비스 계정 암호 또는 기타 비밀을 사용하여 횡적 순회로부터 보호하기 위해 횡적 순회 완화
- 성공 조건: 단일 디바이스를 손상시키더라도 환경에 있는 많은 디바이스 또는 다른 모든 디바이스를 즉시 컨트롤할 수는 없습니다.
- 환경에서 악의적인 액세스 및 시간을 제한하는 신속한 위협 대응
- 성공 조건: 인시던트 대응 프로세스는 악의적 사용자가 권한 있는 액세스가 손실되는 환경에서 다단계 공격을 안정적으로 수행하지 못하게 합니다. (권한 있는 액세스와 관련된 인시던트의 MTTR(평균 수정 시간)을 거의 0으로 줄이고 모든 인시던트의 MTTR을 단 몇 분으로 줄여서 악의적 사용자가 권한 있는 액세스를 대상으로 삼을 시간이 없도록 측정)