Netwrix Innovation Week: AI 공격은 SIEM이 기록하는 속도보다 빠르게 움직입니다

AI는 탈취된 자격 증명이 권한 계정 침해로 이어지는 시간을 단축하며, 사람 검토자를 전제로 만든 탐지 루프는 그 속도에 대응할 수 없습니다. 팀은 자격 증명을 암호화된 볼트로 옮기고, 역할별로 접근을 제한하고, 권한 접근 전에 승인을 요구하고, 모든 자격 증명 작업을 기록하여 이러한 노출을 줄일 수 있습니다. 예방은 가장 쉬운 침투 경로를 차단하고, SIEM은 그 후 남은 위협에 집중할 수 있습니다.

Innovation Week의 모든 대화 살펴보기에서 Netwrix와 업계 전문가들이 데이터 및 ID 보안을 논의하는 내용을 들어 보세요.

대부분의 사고 대응 계획은 방어자에게 시간이 있다고 가정합니다. 경보가 울리면 분석가가 로그를 확인하고, 팀이 결정하고, 누군가 대응합니다. AI를 사용하는 공격자는 이 순서가 허용하는 것보다 빠르게 움직이므로, 계획에는 경보 이전에 이루어지는 단계가 필요합니다.

탐지에서 느린 부분은 의사 결정입니다

로깅은 탐지 루프에서 빠른 부분입니다. 검토와 결정에는 더 오래 걸리며, 팀은 공격자에게 아직 시간이 필요했던 시기에 그 루프를 구축했습니다. 정찰에는 며칠, 횡적 이동에는 몇 시간이 걸렸고, 덕분에 방어자는 대응할 여유가 있었습니다.

AI는 그 여유를 대부분 없애 버렸습니다. 자동화된 도구를 사용하면 공격자는 디렉터리를 매핑하고, 탈취한 자격 증명을 십여 개 시스템에 대입해 보고, 첫 번째 경보가 대기열에서 기다리는 동안 권한 계정에 도달할 수 있습니다. 자격 증명 스터핑은 과거에는 눈에 띄는 무차별 대입 공격이었지만, 이제 봇은 정상 사용자처럼 보이도록 속도와 지문을 실시간으로 조정합니다.

침해된 ID가 가장 흔한 진입점입니다

유효한 자격 증명 하나만 있으면 공격자는 암호화를 깨거나 제로데이를 찾을 필요가 없습니다. Netwrix의 2026 데이터 및 ID 보안 보고서에 따르면 민감 데이터 노출의 75%는 침해된 ID 또는 잘못 구성된 권한에서 시작됩니다.

최근 핵심 기반 시설 운영사에 대한 공격도 이 경로를 따랐습니다. 진입점은 사용되지 않고도 비활성화되지 않은 원격 액세스 VPN 계정이었으며, MFA가 없었고, 유출된 자격 증명 목록에 이미 등장한 비밀번호를 사용하고 있었습니다. 운영은 며칠간 중단되었습니다.

오래된 유출 사고에서 재사용된 비밀번호, 스프레드시트에 보관된 공유 로그인, 아무도 교체를 맡으려 하지 않아 10명이 알고 있는 권한 계정은 모두 같은 틈을 만듭니다. AI는 아무도 비밀번호를 손으로 입력하지 않아도 이러한 약점을 대규모로 찾아냅니다.

MFA는 위험을 줄여 주지만 없애지는 못합니다. 공격자는 사용자가 알림을 멈추려고 하나를 승인할 때까지 푸시 요청을 반복해서 보내며, 지친 사람이 적절한 순간에 거부해야만 작동하는 통제는 여유가 거의 없습니다.

예방은 시간의 이점을 빼앗습니다

탐지는 사후에 무언가 일어났음을 확인합니다. 예방은 누군가 승인할 때까지 민감한 단계를 보류하여 공격자가 의존하는 틈을 없앱니다. 팀에는 둘 다 필요합니다.

상시적이고 모니터링되지 않는 접근 권한이 그 이점의 원천입니다. 같은 보고서에 따르면 76%의 조직은 더 이상 필요하지 않은 상시 접근 권한을 즉시 회수하지 못합니다.

상시 자격 증명 접근을 줄이는 방법

브라우저, 공유 문서, 다이렉트 메시지에 보관된 비밀번호는 아무도 전체를 볼 수 없으므로 통제할 수 없습니다. 중앙의 암호화된 볼트는 팀에 단일한 출발점을 제공합니다.

역할 기반 접근은 각 사용자를 자신의 역할에 필요한 자격 증명으로 제한하므로, 탈취된 자격 증명은 소유자에게 허용된 작업만 할 수 있습니다.

도메인 관리자, 데이터베이스 소유자, 서비스 계정에는 사람의 판단이 필요합니다. 요청자가 접근을 요청하고, 두 번째 사람이 승인한 후에야 자격 증명을 사용할 수 있게 됩니다. 이후 정기적인 비밀번호 교체는 유출된 자격 증명의 유효 기간을 줄여 줍니다.

모든 자격 증명 작업을 기록하면 예방과 탐지가 연결됩니다. 새벽 2시에 거부된 권한 요청은 수천 건의 일상적인 로그인 속 한 줄이 아니라 의미 있는 이벤트로 나타나므로, 분석가는 더 적고 더 정확한 경보를 받게 됩니다.

AI 에이전트와 자동화에도 API 키, 서비스 계정, 실제 권한이 있는 토큰 같은 자격 증명이 필요합니다. 보고서에 따르면 41%의 조직이 이미 에이전틱 AI를 운영 환경에서 사용하고 있지만, 비인간 ID를 완전히 통제한다고 답한 조직은 19%에 불과합니다. 에이전트는 지치지 않고 지시에 의문을 제기하지 않으므로, 그 자격 증명은 최소한 사람 관리자와 같은 방식으로 다루어야 합니다. 즉 볼트에 보관하고, 범위를 제한하고, 권한 사용 전에 승인해야 합니다. SOC에 에이전틱 AI를 도입하려는 팀은 해당 키도 다른 모든 사용자의 키와 같은 통제된 장소에 보관해야 합니다.

이 접근 방식에 대한 일반적인 반론

승인 단계는 사람들의 속도를 늦춥니다. 대부분의 사용자는 권한 계정을 다루지 않으므로 달라지는 것이 없습니다. 추가 단계를 체감하는 소수는 가장 민감한 키를 보유한 사람들이며, 승인을 위한 짧은 대기는 침해 사고보다 비용이 적게 듭니다.

이미 PAM을 사용 중인 팀은 권한 계정을 처음부터 끝까지 포괄한다면 그대로 유지해야 합니다. 적용 범위가 부분적이라면 첫 번째 과제는 적용되지 않는 부분을 파악하는 것입니다. 어느 쪽이든 도구는 Active Directory, Entra ID 또는 조직이 사용하는 디렉터리와 연동되어야 하며, 그래야 접근 거버넌스가 디렉터리에 이미 있는 ID를 따라갑니다.

Netwrix Password Secure가 최소 권한 접근을 지원하는 방법

Netwrix Password Secure는 이 모든 단계를 지원합니다. 자격 증명은 중앙의 암호화된 볼트에 저장되고, 역할 기반 접근은 사용자를 필요한 범위로 제한합니다. 승인 워크플로가 권한 접근 앞에 놓이며, 전체 감사 추적을 통해 누가 언제 무엇에 접근했는지 확인할 수 있습니다. Active Directory 및 Entra ID 통합은 접근을 기존 ID에 연결합니다. 팀은 데스크톱, 웹, 모바일에서 작업할 수 있으며, 인프라와 규정 준수 요구에 맞게 온프레미스, 클라우드 또는 하이브리드로 배포할 수 있습니다.

AI 속도의 공격은 이벤트가 발생한 시점과 누군가 그것을 알아차리는 시점 사이의 시간에 성공합니다. 먼저 상시 자격 증명을 손이 닿지 않는 곳으로 옮기면, 남은 것은 SIEM이 잡아냅니다.

Password Secure 실제 사용해 보기