비밀번호 스프레이링: 공격의 97%는 해킹하지 않고 그냥 로그인합니다

비밀번호 스프레이: 세계에서 가장 지루하지만(그리고 효과적인) 공격

비밀번호 스프레이링은 거의… 무해하게 들릴 수 있습니다.

그렇지 않습니다.

1. 많은 계정에 흔한 비밀번호를 그대로 사용해 보세요.
2. 계정 잠금 임계값을 넘지 마세요.
3. 성공적인 로그인 1번이 나올 때까지 기다리세요.

그게 전부입니다. 제로데이도 없고, 할리우드 해킹 몽타주도 없고, 미션 임파서블 음악도 없습니다.

그저 인내가 필요합니다.

그리고 실제로 효과가 있습니다. 정말 많이요.

“공격의 97%가 이런 방식으로 시작된다” 같은 숫자를 듣고 있다면 “97% of attacks start this way” , 그건 반올림 오차가 아닙니다. 절대 무시할 수 없는 사실이죠.

좀 더 구체적으로 말하면, Microsoft는 지금 두 가지 중요한 점을 강조하고 있습니다.

Microsoft Digital Defense Report에서

저 작은 상자가 모든 걸 말해줍니다.

맞습니다.

전술이 진화해도 공격자들은 여전히 약하고 지나치게 재사용되는 비밀번호로 승리하고 있습니다.

잠시 시간을 내서 Microsoft의 가이드 및 보고서 를 전체 맥락에서 읽어보세요. 다 읽으면 여기로 다시 돌아오세요.

고급 위협에 대해 하루 종일 이야기할 수는 있지만… 공격자들은 정문으로 계속 들어오고 있습니다.

네. 그래야 합니다.

FIDO2. Windows Hello. 생체 인증. 전부 다요.

그게 목적지입니다.

하지만 잠깐만 솔직해져 봅시다…

여러분의 조직은 아직 그 단계에 있지 않습니다.

레거시 앱이 있고, VPN 의존성이 있으며, 서비스 계정이 있습니다. 그리고 여전히 “Summer2024!”를 입력하는 사용자도 있죠.

그럼 이제 어떻게 해야 할까요?

“passwordless transformation”이 완료될 때까지 현실을 그저 외면하는 것이 맞는 일일까요?

그건 전략이 아닙니다. 혹시 전략이라고 해도, 최선의 경우에도 위험한 전략일 뿐입니다. 솔직히 말하면, 문제가 발생하지 않기만 바라고 또 바라는 겁니다..

그리고 앞서 말씀드렸듯이:

희망은 전략이 아닙니다. 정책이 전략입니다.

아무도 말하고 싶어 하지 않는 그 간극

Microsoft가 당신이 도달하길 바라는 곳(패스워드 없는 유토피아)과, 실제로 당신이 있는 곳(어디에나 비밀번호)이 사이에 크고 불편한 격차가 있습니다.

그 빈틈이요?

공격자들이 바로 그곳에 살고 있습니다.

그리고 Microsoft의 자체 데이터가 기본적으로 말해주는 건:

“이봐… 공격이 여기서부터 들어오고 있어.”

그래서 진짜 질문은:

오늘 이에 대해 무엇을 하고 계신가요?

소개: “왜 나는 이것을 이미 갖고 있지 않았을까?” 소프트웨어

이렇게 생각해 보세요:

사용자가 비밀번호를 설정하려고 합니다.

백그라운드에서는 시스템이 알려진 유출(손상) 비밀번호의 방대한 데이터베이스와 대조해 확인합니다.

약한 비밀번호이거나 재사용했거나 이미 유출된 비밀번호라면?

즉시 차단됩니다.

논쟁 없음. 예외 없음. “나중에 고치면 되죠”도 없음.

바로 Netwrix Password Policy Enforcer 이 하는 일입니다.

Active Directory 및 Hybrid 비밀번호 변경 이벤트에 직접 연결되어, 해당 비밀번호를 사전에 Have I Been Pwned와 대조 확인한 뒤 손상되었고/또는 약한 비밀번호를 차단합니다 문제가 되기 전에 .

이미 사용 중인 환경과 함께 작동합니다—Active Directory 및/또는 Entra ID 하이브리드 환경—따라서 교체(리프 앤드 리플레이스)는 필요하지 않습니다.

이것은 신원을 다시 만드는 것이 아닙니다.

기존의 아이덴티티 시스템을… 실제로 실행(강제) 가능하게 만듭니다.

또는 제가 즐겨 말하듯이:

우리는 바퀴를 다시 발명하지 않습니다. 바퀴를 더 완벽하게 만듭니다.

그 어느 때보다 중요한 이유

마이크로소프트의 요점을 다시 살펴봅시다:

공격자는 지속성을 확보합니다. 조용히 앉아 있습니다. 기다립니다.

비밀번호 스프레이 는 종종 첫 번째 도미노 입니다.

한 번 침입만 성공하면—권한이 낮은 계정이라도—굳이 요란할 필요가 없습니다.

그들에게는 시간이 필요합니다.

그리고 그다음은 측면 이동, 권한 상승, 그리고 Living-off-the-land 기법입니다.

게임 오버… 더 천천히일 뿐이죠.

전환: 탐지에서 예방으로

불편한 진실은 이것입니다:

EDR은 사후에 탐지합니다. SIEM은 사후에 알림을 보냅니다. 사고 대응 역시 사후에 시작됩니다.

비밀번호 스프레이 방지?

그건 사전에 하는 일입니다.

공격자를 쫓는 것과 문 앞에서 막는 것의 차이입니다.

더 나은 방법은… 그들이 작동하는 문을 찾지 못하게 하는 겁니다.

격차를 메우세요. 완벽해질 때까지 기다리지 마세요.

이미 어디로 가고 싶은지 알고 계시잖아요.

패스워드리스. 피싱 저항. 현대적인 아이덴티티.

그동안은요?

비밀번호가 있네요. 그 문제를 해결하세요.

손상(유출)된 비밀번호를 차단하세요. 강력한 정책을 적용하세요. 공격자들이 쉽게 노리는 ‘손쉬운 과녁’을 없애세요.

최악의 헤드라인은:

“첨단 국가(정부)급 공격자에 의해 회사가 침해됨”

더 정확히는:

“회사가 침해를 당했습니다… 약한 비밀번호 때문이었고, 그들은 예방할 수 있었던 일입니다.”

마지막 생각

마이크로소프트가 방금 앵커 문서를 제공해 드렸습니다.

데이터는 거기에 있습니다. 패턴은 명백합니다.

공격의 97%가 동일한 정문(한 가지 경로)으로 들어오고 있습니다.

자, 간단히 말해 이거예요.

무비밀번호 인증을 해야 한다는 건 알죠. 하지만 지금은 그렇지 않아요.

지금 비밀번호가 있고, 아마도 … 한동안은 그럴 거예요. 그러니 그냥 현실을 인정하고 처리해봅시다.

Netwrix Password Policy Enforcer 를 사용해 비밀번호 스프레이 공격을 차단하세요.

현재 가진 것과 앞으로 가고 싶은 곳 사이의 간격을 메우세요.

그리고 신문에 나지 마세요. 뭔가 할 수 있었는데… 하지 않았기 때문입니다.

신원 공격의 97%는 비밀번호 스프레이 공격이었습니다.