Netwrix Innovation Week: 아이덴티티 보안 혁신

완화된 조건부 액세스 정책이나 수정된 사용자 속성 같은 몇 가지 작은 구성 변경만으로도 침해된 Entra ID 관리자 계정이 장기적인 접근 수단으로 바뀔 수 있습니다. 이런 변경은 MFA를 그대로 유지하고 아무것도 고장 난 것처럼 보이지 않아 놓치기 쉽습니다. 저희 제품 팀은 이러한 변경과 그 주변의 위험한 설정 및 서비스 계정을 포착하는 데 집중하여 Netwrix Threat Manager 및 Netwrix PingCastle의 최신 업데이트를 마련했습니다.

PingCastle 시니어 프로덕트 매니저인 Joe Dibley와 최근 나눈 대화에서 공격자가 Entra ID를 악용하는 방식, 팀이 서비스 계정에 대한 가시성을 확보하는 방법, 그리고 두 제품이 어떻게 대응하고 있는지를 깊이 있게 다루었습니다.

Innovation Week의 모든 대담에서 Netwrix 리더와 업계 전문가들이 들려주는 데이터 및 아이덴티티 보안 이야기를 들어 보세요.

Netwrix Threat Manager의 새로운 Entra ID 탐지

Threat Manager에 추가하는 탐지에는 토큰 수명 연장, 감사 축소, 백도어를 만들 수 있는 사용자 지정 역할 등 Entra ID를 관리하는 규칙의 변경이 포함됩니다. 이러한 변경은 방대한 로그 속의 소수 이벤트에 불과하므로 실질적으로 감시할 수 있습니다. 앞으로 몇 분기에 걸쳐 총 30개 이상을 추가할 예정이며, 통제 변조, 권한 상승 및 지속성, 자격 증명 공격, 애플리케이션 및 워크로드 ID 변경의 네 가지 영역을 다룹니다.

이 중 비교적 드문 기법인 동적 그룹 인젝션은 이런 변경을 얼마나 놓치기 쉽는지를 보여줍니다. 동적 그룹은 계정 속성에 따라 구성원을 자동으로 추가하므로, 계정에 대한 편집 권한을 가진 공격자는 예를 들어 부서를 재무로 설정해 재무 그룹에 합류하고 그에 따르는 모든 권한을 상속받을 수 있습니다. 그룹 자체는 변경되지 않으므로 승인 단계가 전혀 실행되지 않습니다. Threat Manager는 이미 속성 변경을 감지하고 있으며, 해당 변경이 민감한 그룹이나 역할의 동적 그룹 규칙과 일치하는 경우를 인식하도록 개선할 계획입니다.

Threat Manager의 서비스 계정 대시보드

저희가 다루는 환경에서 서비스 계정은 대개 과도한 권한을 가지며, 사람 사용자가 아니라는 이유로 MFA 적용 대상에서 제외되어 있습니다. 만료되지 않는 비밀번호로 실행되는 경우가 많고, 프로그래밍 방식으로 인증하기 때문에 로그인이 사람의 로그인보다 주목을 덜 받습니다.

Threat Manager의 새로운 서비스 계정 대시보드는 조직 내 모든 서비스 계정을 한 화면에서 보여주며, 최근 활동, 위협, 취약한 암호화 유형으로 바로 이동할 수 있습니다. 서비스 계정은 기본적으로 식별되며, 놓친 계정은 명명 규칙이나 조직 단위(OU)로 직접 추가할 수 있습니다.

현재 대시보드는 온프레미스 계정을 다루지만, 서비스 계정은 Entra ID에도 똑같이 존재합니다. 최신 릴리스는 이미 Entra ID의 에이전트 ID를 식별하며, 서비스 주체, 에이전트 ID 및 기타 비인간 ID를 하나의 화면에서 볼 수 있도록 대시보드를 Entra ID로 확장할 계획입니다.

PingCastle 4.0, Entra ID 위험 평가 추가

새 평가는 102개 위험을 다루며, Active Directory 평가와 동등한 수준을 목표로 합니다. 확장된 권한을 가진 디렉터리 동기화 계정 같은 하이브리드 구성은 물론, 사용자 동의 설정, MFA 방법, SharePoint 공유 링크, Azure Key Vault 구성까지 포함합니다.

각 위험에는 고유한 정의 파일이 있어 위협 연구팀이 JSON으로 프로토타입을 만들 수 있고, 고객은 버전 간 위험의 변화를 확인하거나 직접 편집하고 자체 위험을 배포할 수 있습니다.

두 제품의 기반이 되는 위협 연구

두 제품은 같은 원천에서 출발합니다. 위협 연구팀은 실제 공격과 Entra ID를 겷냥한 기법을 연구하며, Joe와 저는 각자 연구팀과 정기적으로 협업하여 향후 버전에 포함할 항목의 우선순위를 정합니다.

저희 보안 연구 뉴스레터인 Threat Lab Quarterly로 이 연구를 계속 따라가실 수 있습니다. 각 호에서는 팀이 추적 중인 내용과 그것이 방어자에게 어떤 의미가 될 수 있는지를 다룹니다. 첫 번째 호가 지금 공개되었습니다.

Netwrix의 Innovation Week

Netwrix Innovation Week는 10월 19일부터 23일까지 진행되며, 기술 전문가와 방어자가 한자리에 모여 아이덴티티 및 데이터 보안을 깊이 있게 다룹니다. 이번 주에는 영상 인터뷰, 데모, 라이브스트림, 전문가 패널, AI 기반 캡처 더 플래그 챌린지가 마련되어 있습니다.