PAM 공급업체에 꼭 물어봐야 할 한 가지 질문

약 5분이면 해볼 수 있는 테스트가 있습니다. 디렉터리에서 어제 세션에 사용된 권한 계정 하나를 열어 보세요. 그 계정은 아직 남아 있나요? 어제와 같은 권한 그룹 멤버십을 그대로 갖고 있나요? 두 질문 모두 답은 '예'일 것이라고 장담합니다.

이것은 PAM 도구를 탓하는 말이 아닙니다. 기존의 자격 증명 교체 방식은 원래 그렇게 하도록 만들어졌고, 더 중요하게는 그 이상을 하도록 설계된 적이 없다는 뜻입니다.

저는 이 업계에서 교체가 기본 해법이 된 이유를 이해합니다. 이사회에 설명하기 쉽고, 감사하기 쉽우며, 오랛동안 컴플라이언스 요구 사항과 잘 맞아떨어졌습니다. 하지만 NIST조차 이미 이 관점에서 벗어났습니다. NIST SP 800-63B는 이제 임의적인 주기적 비밀번호 변경을 명시적으로 권장하지 않으며, 침해 징후가 있을 때만 교체하도록 안내합니다. '사용 후 모든 권한 자격 증명을 교체한다'는 말은 책임감 있게 들리지만 전체 그림은 아닙니다. 세션이 끝나고 비밀번호가 교체되어도 계정과 상시 접근 권한은 그대로 남아 있습니다.

공격자가 그 계정을 발견하면 어떻게 될까요? 비밀번호는 문제의 가장 작은 부분입니다. 제가 수년간 본 대부분의 계정에서 공격자는 비밀번호조차 필요하지 않습니다. 계정이 교체된 적 없는 인증서나 토큰으로 여전히 인증되고, 예전부터 가진 모든 권한 그룹 멤버십도 그대로 갖고 있기 때문입니다. 비밀번호와 전혀 무관하게 권한 계정에 접근하는 경로는 얼마든지 있습니다.

이런 내용은 감사에 드러나지 않습니다. 세션이 끝나고 비밀번호가 교체되어도 그 뒤의 계정은 같은 그룹 멤버십과 상시 접근 권한을 가진 채 그 자리에 그대로 있습니다. Netwrix의 2026 데이터 및 ID 보안 보고서에 따르면 조직의 76%는 더 이상 필요하지 않은 상시 접근 권한을 즉시 회수하지 못하고, 64%는 지금 이 순간에도 핵심 데이터에 대해 어느 정도 과다 프로비저닝된 접근 권한을 갖고 있습니다. 교체가 이 수치의 원인은 아니지만, 이를 해결해 주지도 못했습니다.

그 계정이 안전하다고 할 수 있는 것은 어제의 비밀번호를 아무도 재사용할 수 없다는 아주 좋은 의미에서뿐입니다. 어제의 비밀번호에는 관심이 없는 공격자에게 실제로 중요한 모든 측면에서는 전혀 안전하지 않습니다. 공격자에게 필요한 것은 계정이 여전히 존재하고 여전히 권한을 가지고 있다는 사실뿐입니다.

Zero Standing Privilege가 간극을 메우는 이유

Zero Standing Privilege는 교체 방식이 남겨 두는 간극을 없애며, 사람들이 생각하는 것보다 훨씬 단순합니다. 세션이 끝나면 계정은 모든 그룹 멤버십을 잃거나 아예 사라집니다. Netwrix의 임시(ephemeral) 계정은 두 번째 방식을 택합니다. 특정 작업을 위해 즉석에서 생성되고, 작업이 끝나는 즉시 삭제됩니다. Active Directory에는 말 그대로 아무것도 남지 않으므로 찾아낼 것도 없습니다.

이 방식은 관리자의 실제 업무 방식을 방해하지 않습니다. 제가 이 방식을 높이 평가하는 이유이기도 하고, 기존 볼팅 방식에서 벗어난 뒤 신루하기까지 시간이 걸렸던 부분이기도 합니다. 세션 중에는 전체 접근 권한을 사용할 수 있고, 로그오프하면 아무것도 남지 않습니다.

비인간 ID 문제는 이를 더욱 시급하게 만듭니다. 서비스 계정과 자동화 에이전트는 정기적으로 검토되는 경우가 거의 없습니다. 이들은 자동화된 스캐너나 공격자가 찾아올 때까지 권한을 가진 채 잊힌 상태로 그냥 방치되어 있습니다.

교체 vs. Zero Standing Privilege: 서로 다른 두 가지 철학

PAM 공급업체에 이 질문을 던져 보세요. 또는 현재 환경을 충분히 알고 있는지 스스로 물어보세요. 세션이 끝난 뒤에도 계정이 그룹 멤버십을 그대로 유지한 채 존재합니까?

답이 '예'라면 비밀번호 교체는 갖추고 있지만 Zero Standing Privilege는 갖추지 못한 것입니다. 이 둘은 같은 아이디어의 두 버전이 아닙니다. '안전하다'는 것이 무엇인지에 대한 서로 다른 두 가지 철학입니다.

교체는 자격 증명을 재사용할 수 없게 하려면 어떻게 해야 하는지를 묻습니다. Zero Standing Privilege는 아무도 사용하지 않는데 계정이 왜 존재해야 하는지를 묻습니다. 요컸대 교체는 상시 접근 권한을 관리해야 할 위험으로 다루고, Zero Standing Privilege는 제거해야 할 기본값으로 다룹니다.

대부분의 PAM 프로그램은 이 두 번째 질문을 던지지 않습니다. 교체만으로도 감사 보고서에 넣을 내용이 생기기 때문입니다. 하지만 감사 보고서와 텀 빈 공격 표면은 같지 않습니다. 감사 보고서는 무언가를 했다는 것을 증명합니다. 텀 빈 공격 표면은 찾아낼 것이 아무것도 남지 않았음을 증명합니다.