비밀번호 모범 사례를 위한 궁극의 가이드: 디지털 신원을 보호하세요

비밀번호는 사이버 위협에 대한 최전선 방어 수단으로 남아 있지만, 약하거나 재사용된 자격 증명은 조직이 브루트포스, 사전 대입(dictionary), 피싱 공격에 노출되게 합니다. 강력한 비밀번호 정책은 비밀번호 관리자와 다중 요소 인증을 함께 적용할 때 민감한 데이터를 보호하고 컴플라이언스 요구 사항을 충족하는 데 필수적입니다. Netwrix Password Secure는 정책을 적용하고 약한 자격 증명을 탐지하며 전사 전반의 비밀번호 보안을 보장합니다.

점점 더 심각해지는 사이버 공격과 데이터 유출 이후, 어디에나 있는 조언인 “비밀번호를 공유하지 마세요” 만으로는 더 이상 충분하지 않습니다. 비밀번호는 우리가 가장 중요한 디지털 자산에 접근하기 위한 기본 열쇠이므로, 비밀번호 보안 모범 사례를 따르는 것이 그 어느 때보다 중요합니다. 이메일, 네트워크 또는 개별 사용자 계정을 보호하든, 비밀번호 모범 사례를 따르면 민감한 정보를 사이버 위협으로부터 지키는 데 도움이 됩니다.

이 가이드를 읽고 모든 조직에서 반드시 적용해야 하는 비밀번호 모범 사례를 살펴보세요. 또한 더 나은 보안 전략을 준수하면서 취약한 정보를 보호하는 방법도 알아보세요.

강력한 비밀번호의 비밀

강력한 비밀번호는 계정과 네트워크를 보호하기 위한 첫 번째 방어선입니다. 새 비밀번호를 생각할 때 다음과 같은 표준 비밀번호 생성 모범 사례를 적용하세요:

• 복잡성: 비밀번호에 대문자와 소문자, 숫자, 특수 문자가 함께 포함되도록 하세요. 소문자, 기호 등과 같은 구성 규칙은 더 이상 NIST에서 권장하지 않습니다 — 따라서 필요에 따라 재량껏 적용하세요.
• 길이: 일반적으로 더 긴 비밀번호가 더 강력하며, 대체로 길이가 복잡성보다 중요합니다. 최소 6~8자 이상을 목표로 하세요.
• 예측 불가능성: 흔한 문구나 패턴을 사용하지 마세요. 생일이나 이름처럼 쉽게 추측할 수 있는 정보를 사용하지 마세요. 대신, 해커가 추측하기 어렵게 만드는 고유한 문자열을 생성하세요.

이러한 요소를 결합하면 비밀번호를 추측하기가 훨씬 어려워집니다. 예를 들어 비밀번호가 길이가 8자이고 대문자, 소문자, 숫자, 특수 문자를 포함한다면 가능한 조합의 총 개수는 (26 + 26 + 10 + 30)^8이 됩니다. 이처럼 상상을 초월하는 경우의 수 때문에 공격자가 비밀번호를 맞히기는 극도로 어렵습니다.

물론 NIST의 업데이트된 비밀번호 가이드를 고려할 때, 효과적인 비밀번호 보안을 위한 최선의 방법은 비밀번호 관리자(password manager)를 사용하는 것입니다. 이 솔루션은 비밀번호를 생성하고 저장하는 데 도움을 줄 뿐만 아니라, 흔하고 쉽게 추측할 수 있는 비밀번호(비밀번호 덤프에 포함된 항목)를 자동으로 거부합니다. 비밀번호 관리자는 아래의 공격 유형에 대해 보안을 크게 강화합니다.

비밀번호 추측 공격

공격자들이 비밀번호를 추측하는 데 사용하는 기술을 이해하는 것은 비밀번호 보안을 위해 필수입니다. 다음은 알아두어야 할 주요 공격 유형입니다:

무차별 대입 공격(Brute-Force Attack)

무차별 대입 공격에서는 공격자가 올바른 비밀번호를 찾을 때까지 가능한 모든 문자 조합을 체계적으로 시도합니다. 이 방법은 시간이 많이 걸리지만 비밀번호가 약한 경우에는 효과적일 수 있습니다.

강력한 비밀번호는 가능한 조합의 수를 늘려 공격자가 시도해야 하는 횟수를 증가시키기 때문에 무차별 대입 공격을 막는 데 도움이 됩니다. 그 결과, 합리적인 시간 내에 비밀번호를 추측할 가능성이 낮아집니다.

사전 공격(Dictionary Attack)

사전 공격(Dictionary attack)은 공격자가 흔한 단어, 구문, 그리고 널리 사용되는 비밀번호 목록을 사용해 무단 접근을 시도하는 형태의 무차별 대입(브루트 포스) 공격입니다.

사전 공격을 막기 위해서는 고유한 비밀번호가 필수입니다. 공격자는 흔한 단어와 구문에 의존하기 때문입니다. 사전에 있는 단어이거나 알려진 패턴이 아닌 비밀번호를 사용하면 추측당할 가능성이 크게 줄어듭니다. 예를 들어 문자열 “Xc78dW34aa12!”는 사전이나 널리 사용되는 비밀번호 목록에 없으므로, “password” 같은 일반적인 값보다 훨씬 더 안전합니다.

문자 변형을 이용한 사전 공격

일부 사전 공격에서는 공격자가 표준 단어를 사용하면서도, ‘a’를 ‘@’로 바꾸거나 ‘e’를 ‘3’으로 바꾸는 등 흔한 문자 대체를 함께 시도하기도 합니다. 예를 들어 “password”라는 단어로 로그온을 시도하는 것 외에도, 변형된 “p@ssw0rd”를 시도할 수도 있습니다.

이러한 공격을 막으려면 복잡하고 예측하기 어려운 비밀번호를 선택해야 합니다. 고유한 조합을 사용하고 쉽게 추측 가능한 패턴을 피함으로써 공격자가 비밀번호를 맞히기 어렵게 만들 수 있습니다.

암호 관리자가 보안을 강화하는 방법

암호 관리자는 비밀번호를 안전하게 저장하고 정리하는 데 필수적입니다. 이러한 도구는 다음과 같은 주요 이점을 제공합니다:

• 보안: 암호 관리자는 비밀번호를 저장하고 사용자를 대신해 입력해 주므로, 사용자가 모든 비밀번호를 기억할 필요가 없습니다. 사용자가 기억해야 하는 것은 암호 관리 도구의 마스터 비밀번호뿐입니다. 따라서 사용자는 비밀번호를 잊어버릴까 걱정하거나, 비밀번호를 직접 적어두는 것과 같은 안전하지 않은 방법 또는 여러 사이트나 애플리케이션에 동일한 비밀번호를 재사용하는 방법으로 전환할 필요 없이, 모범 사례에서 권장하는 길고 복잡한 비밀번호를 사용할 수 있습니다.
• 비밀번호 생성: 암호 관리자는 사용자 계정용으로 강력하고 고유한 비밀번호를 생성할 수 있어, 개인이 직접 비밀번호를 생각해 내야 할 필요가 없습니다.
• 암호화: 암호 관리자는 암호 금고(볼트)를 암호화하여 데이터의 안전을 보장하며, 설령 데이터가 침해되더라도 보호할 수 있습니다.
• 편의성: 비밀번호 관리자는 사용자가 여러 기기에서 비밀번호에 쉽게 액세스할 수 있게 해줍니다.

비밀번호 관리자를 선택할 때에는 사용 중인 플랫폼에 대한 지원 여부, 가격, 사용 편의성, 그리고 벤더의 보안 침해 이력 등 조직의 구체적인 요구사항을 고려하는 것이 중요합니다. 조사를 진행하고 리뷰를 읽어 조직의 요구사항에 가장 잘 부합하는 제품을 파악하세요. 주목할 만한 옵션으로는 Netwrix Password Secure, LastPass, Dashlane, 1Password, Bitwarden 등이 있습니다.

멀티팩터 인증(MFA)이 보안에 추가적인 보호 계층을 더하는 방법

멀티팩터 인증은 접근을 허용하기 전에 두 가지 이상의 인증 수단(형식)을 요구함으로써 보안을 강화합니다. 구체적으로는 아래 인증 요소 중 최소 두 가지를 제공해야 합니다:

• 아는 것: 가장 대표적인 예는 비밀번호입니다.
• 가지고 있는 것: 보통 스마트폰이나 보안 토큰 같은 물리적 장치입니다.
• 자신의 고유한 것: 지문이나 얼굴 인식과 같은 생체 데이터입니다.

MFA는 도난당한 비밀번호를 무용지물로 만들므로, 가능한 곳에 어디든지 적용하세요.

비밀번호 만료 관리

비밀번호 만료 정책은 강력한 비밀번호 보안을 유지하는 데 중요한 역할을 합니다. 강력한 비밀번호를 생성하는 비밀번호 관리자를 사용하면 비밀번호 만료에도 영향을 미칩니다. 아직 비밀번호 관리자를 사용하지 않는다면, 조직 내의 모든 비밀번호를 점검하기 위한 전략을 마련하세요. 데이터 유출이 증가하는 가운데, 무차별 대입 공격에 사용되는 비밀번호 목록(이미 알려진 rockyou.txt 및 그 변형)은 지속적으로 늘고 있습니다. haveibeenpawned.com 은 특정 비밀번호가 노출되었는지 확인할 수 있는 서비스를 제공합니다. 비밀번호 만료와 관련된 비밀번호 보안 모범 사례에 대해 사용자가 알아야 할 내용은 다음과 같습니다:

• 정책 지침을 따르세요: 조직의 비밀번호 만료 정책을 준수하세요. 여기에는 요청을 받으면 비밀번호를 변경하고, 정책의 요구 사항을 충족하는 새롭고 강력한 비밀번호를 선택하는 것이 포함됩니다.
• 알림을 설정하세요: 조직에서 알림을 통해 비밀번호 만료를 강제하지 않는다면, 만료일이 되면 비밀번호를 변경하도록 개인 알림을 설정하세요. 안내 메시지가 있는지 이메일 또는 시스템 알림을 정기적으로 확인하세요.
• 명백한 패턴은 피하세요: 비밀번호를 변경할 때 이전 비밀번호의 변형이나, “Password1”, “Password2”처럼 예측 가능한 패턴은 사용하지 마세요.
• 의심스러운 활동을 신고하세요: 의심스러운 계정 활동이나 승인되지 않은 비밀번호 변경 요청을 발견하면, 즉시 조직의 IT 지원 서비스 또는 헬프데스크에 신고하세요.
• 비밀번호 재설정 이메일에 주의하세요: 좋은 비밀번호 보안을 위한 모범 사례는 사기를 인지하는 것입니다. 예상하지 못한 이메일로 비밀번호 재설정을 요청받았다면, 해당 이메일의 진위 여부를 확인하세요. 피싱 이메일은 로그인 자격 증명을 훔치기 위해 합법적인 조직인 것처럼 가장하는 경우가 많습니다.

비밀번호 보안과 규정 준수

준수 기준은 데이터 보호, 개인정보 보호 유지, 무단 액세스 방지를 위해 비밀번호 보안과 비밀번호 관리 모범 사례를 요구합니다. 비밀번호 보안을 요구하는 몇 가지 법률은 다음과 같습니다.

• HIPAA (Health Insurance Portability and Accountability Act): HIPAA는 의료기관이 전자 보호 보건정보(ePHI)를 보호하기 위해 안전장치를 구현할 것을 의무화하며, 여기에는 안전한 비밀번호 관행이 포함됩니다.
• PCI DSS (Payment Card Industry Data Security Standard): PCI DSS는 웹사이트에서 결제 카드 데이터를 처리하는 조직이 카드 소유자 데이터를 보호하기 위해 비밀번호 보안을 포함한 강력한 접근 통제를 구현할 것을 요구합니다.
• GDPR (General Data Protection Regulation): GDPR는 EU 거주자의 데이터를 저장하거나 처리하는 조직에 개인 데이터를 보호하기 위한 적절한 보안 조치를 구현할 것을 요구합니다. 비밀번호 보안은 GDPR 하에서 데이터 보호의 핵심 요소입니다.
• FERPA (Family Educational Rights and Privacy Act): FERPA는 학생 교육 기록의 개인정보 보호를 규율합니다. 이 법은 해당 기록에 대한 접근을 안전하게 보호하기 위한 요구사항을 포함하며, 여기에는 비밀번호 보안이 포함됩니다.

이러한 준수 기준의 적용을 받는 조직은 강력한 비밀번호 정책과 비밀번호 보안 모범 사례를 구현해야 합니다. 이를 이행하지 않으면 막대한 과태료와 기타 제재가 부과될 수 있습니다.

또한 조직이 강력한 비밀번호 정책을 수립하는 데 도움이 되는 자발적 프레임워크도 있습니다. 가장 잘 알려진 두 가지는 다음과 같습니다.

• NIST Cybersecurity Framework: 미국 국립표준기술연구소(National Institute of Standards and Technology, NIST)는 사이버보안을 강화하기 위해 비밀번호 모범 사례를 포함한 가이드라인과 권고사항을 제공합니다.
• ISO 27001: ISO 27001은 정보보안 관리시스템(ISMS)에 대한 국제 표준입니다. 이 표준은 보다 광범위한 보안 프레임워크의 일부로서 비밀번호 관리와 관련된 요구사항을 포함합니다.

비밀번호 모범 사례를 실제로 적용하기

이제 예시를 통해 이러한 비밀번호 보안 모범 사례를 실제로 적용해 보겠습니다:

가령 이름이 John Doe이고 생일이 1985년 12월 10일이라고 가정해 보겠습니다. 추측하기 쉬운 비밀번호인 “JohnDoe121085” 대신, 다음과 같은 좋은 비밀번호 사용 습관을 따르세요:

• 예: “M3an85DJ121!”처럼 길고 고유하며(그리고 추측할 수 없는) 비밀번호를 만드세요.
• 신뢰할 수 있는 비밀번호 관리자에 저장하세요.
• 가능한 경우에는 다단계 인증을 사용하세요.

비밀번호 모범 사례 10가지

보안을 강화하려면 다음 비밀번호 모범 사례를 따르세요:

• 힌트나 지식 기반 인증을 제거하세요: NIST는 “어느 도시에서 태어났나요?” 같은 질문을 포함한 지식 기반 인증(KBA)을 사용하지 말고, 대신 두 가지 요소 인증(2단계 인증)처럼 더 안전한 방식으로 사용하라고 권고합니다.
• 비밀번호 암호화: 비밀번호는 저장될 때와 네트워크를 통해 전송될 때 모두 암호화를 적용해 보호하세요. 이렇게 하면 탈취에 성공한 공격자에게 비밀번호가 쓸모없게 됩니다.
• 평문 및 되돌릴 수 있는 형태는 피하세요: 사용자와 애플리케이션은 어떤 경우에도 비밀번호를 평문으로 저장하거나, 평문으로 쉽게 변환될 수 있는 형태로 저장해서는 안 됩니다. 비밀번호 관리 절차가 평문을 사용하지 않도록 하세요(예: XLS 파일에 저장).
• 계정마다 고유한 비밀번호를 사용하세요: 서로 다른 계정에 동일한 비밀번호, 또는 동일 비밀번호의 변형을 사용하지 마세요. 각 계정마다 고유한 비밀번호를 생각해 보세요.
• 비밀번호 관리 도구를 사용하세요: 보안 요구 사항을 충족하는 새 비밀번호를 선택하고, 예정된 비밀번호 만료를 알리는 알림을 보내며, 사용자 친화적인 인터페이스를 통해 비밀번호를 업데이트하는 데 도움이 될 수 있습니다.
• 강력한 비밀번호 정책을 적용하세요: 최소 길이 및 복잡성 요구 사항을 포함하고, 이전에 사용한 비밀번호의 재사용을 막기 위한 비밀번호 이력 규칙까지 포함하는 강력한 비밀번호 정책을 구현하고 강제 적용하세요.
• 필요할 때 비밀번호를 업데이트하세요: 정기적으로 확인하고, 그 결과가 필요하다고 나타나면 무단 액세스 위험을 최소화하기 위해 비밀번호를 업데이트해야 합니다. 특히 데이터 침해 이후에는 더욱 그렇습니다.
• 의심스러운 활동을 모니터링: 여러 번의 실패한 로그인 시도 등 의심스러운 활동이 있는지 계정을 지속적으로 모니터링하고, 위협을 완화하기 위해 계정 잠금 및 알림을 구현하세요.
• 사용자 교육: 비밀번호 모범 사례, 피싱 위협, 그리고 각 계정마다 강력하고 고유한 비밀번호를 유지하는 것의 중요성을 학습할 수 있도록 정기적인 보안 인식 교육을 실시하거나 참여하세요.
• 비밀번호 만료 정책을 적용: 보안을 강화하기 위해 정해진 상황에서 비밀번호 변경이 필요하도록 비밀번호 만료 정책을 시행하세요.

Netwrix가 어떻게 도울 수 있는지

비밀번호 모범 사례를 준수하는 것은 민감한 정보를 보호하고 무단 액세스를 방지하는 데 매우 중요합니다.

Netwrix Password Secure 는 암호 정책을 모니터링하고 의심스러운 활동을 탐지·대응하며 업계 규정 준수를 보장하기 위한 고급 기능을 제공합니다. 실시간 알림, 포괄적인 보고서, 사용자 친화적인 인터페이스와 같은 기능을 통해 조직은 암호 관련 위험을 사전에 파악하고 대응하며, 강력한 암호 정책을 적용하고, IT 환경 전반에서 강력한 보안을 유지할 수 있습니다.

결론

사이버 위협이 끊임없이 진화하는 세상에서 비밀번호 관리 모범 사례를 준수하는 것은 디지털 자산을 안전하게 보호하는 데 필수적입니다. 무엇보다도 각 시스템 또는 애플리케이션마다 강력하고 고유한 비밀번호를 생성하세요. 그리고 비밀번호 관리자를 사용하면 이 중요한 모범 사례를 훨씬 더 쉽게 준수할 수 있다는 점을 기억하십시오. 또한 비밀번호를 훔쳐가는 공격자가 나타나는 것을 막기 위해 가능하다면 언제든지 다중 요소 인증을 구현하세요. 가이드라인을 따르면 더 안전한 온라인 환경을 누리고 소중한 디지털 자산을 보호할 수 있습니다.