특권 사용자 모니터링: 신뢰 없는 가시성

상시 활성화된 상시 권한 액세스는 대부분 환경에서 표준이며, 설문조사에 따르면 67%의 조직이 적어도 일부 역할에 이를 부여합니다. Netwrix 2026 Data and Identity Security Report. 이러한 권한은 이를 정당화하는 작업 사이에도 활성 상태로 유지되며, 이는 권한 사용자 모니터링이 해결하려는 격차입니다.

Domain Admins 멤버십이 있는 관리자는 해당 Active Directory 제어 경계 내에서 완전한 권한을 가지며, 자격 증명 뒤의 사람이 인프라 책임자이든 피싱 공격자이든 상관없습니다.

성공적인 승인 결정은 권한만을 증명합니다. 선의의 의도와 운영의 적법성은 별도의 증거가 필요합니다. 모니터링은 그 증거를 제공하며 비즈니스가 의존하는 관리를 지연시키지 않고 접근 거버넌스를 강화합니다.

특권 사용자 모니터링이란 무엇인가요?

Privileged user 모니터링은 보안 관련 기능을 수행하도록 신뢰받은 계정이 수행하는 활동을 지속적으로 수집하고 분석하여, 권한 상승 사용 시마다 검토 가능한 기록을 남기는 것입니다. NIST는 privileged user를 일반 사용자가 수행할 수 없는 보안 관련 기능을 수행할 권한과 신뢰를 가진 사람으로 정의합니다.

해당 정의에는 자격 증명 뒤에 사람이 있어야 한다는 조건이 없으므로, 서비스 계정, managed identities 및 권한이 상승된 automation principals도 동일한 범위에 포함됩니다.

범위는 대부분의 팀이 시작하는 온프레미스 디렉터리를 넘어 확장됩니다. Active Directory, 클라우드 아이덴티티 제공자, SaaS 관리자 콘솔 또는 데이터베이스 어디에서든 아이덴티티가 관리 권한을 가지고 있다면 해당 아이덴티티는 모니터링 대상에 포함됩니다.

특권 사용자 계정이 추적하기 가장 어려운 이유

권한 부여 시스템은 주체가 작업을 수행할 수 있는지 여부를 판단하며, 권한이 부여된 계정의 경우 제어 경계 내에서는 보통 '예'입니다. 네 가지 메커니즘이 그 '예'가 실제보다 더 숨기게 만듭니다.

유효한 자격 증명은 관리와 공격을 동일하게 보이게 합니다

디렉터리가 권한을 부여하면 로그온 이벤트, 그룹 멤버십 확인 및 리소스 액세스가 모두 성공합니다. 자격 증명이 유효하기 때문이며, 그 뒤에 있는 사람이 관리자든 피싱 공격자든 상관없습니다.

MITRE 기법 T1078.002는 초기 접근, 지속성, 권한 상승 및 방어 회피를 위한 유효한 도메인 계정 자격 증명의 남용을 정확히 다룹니다. Netwrix 2026 Data and Identity Security Report 설문조사에서 73.78%의 조직이 자신의 Active Directory가 권한 상승을 가능하게 하는 잘못된 구성 없이 안전하다고 완전히 확신하지 못한다고 답했습니다. 각각은 동일한 신뢰된 위치로 가는 또 다른 경로입니다.

정식 그룹 쿼리는 중첩된 멤버를 놓칩니다

Active Directory의 memberOf 속성은 중첩된 그룹 멤버십을 생략합니다, 따라서 Domain Admins 또는 다른 권한 그룹을 직접 조회하면 중첩을 통해 접근하는 모든 사용자를 놓칩니다. 해당 직접 멤버십에 한정된 액세스 검토는 처음부터 잘못된 대상을 인증합니다.

ACL은 모든 privileged group 외부에 섀도우 관리자를 생성합니다

액세스 제어 목록은 shadow admins에게 민감한 권한을 부여합니다. 이 계정들은 모든 privileged directory 그룹 외부에 완전히 위치합니다. 가장 심각한 경우는 그룹 멤버십을 수정할 수 있는 권한이 있는 계정으로, 스스로를 해당 그룹에 추가할 수 있습니다. 이 동작은 설계된 것이며, 누구도 비활성화할 수 있는 설정이 아닙니다.

GPO 및 로컬 관리자 권한은 포착할 멤버십 이벤트를 남기지 않습니다

GenericWrite 또는 WriteDacl과 같은 Group Policy Object(GPO) 편집 권한 및 local administrator rights가 컴퓨터의 로컬 Security Accounts Manager(SAM)에 저장되어 있으면 그룹 멤버십 없이 동일한 실질적인 권한을 부여합니다.

서비스 및 예약된 작업 로그온은 또한 계정 비밀번호를 Local Security Authority(LSA)의 디스크에 재사용 가능한 비밀로 저장하여 해당 호스트가 침해되면 자격 증명 침해로 이어집니다. 이들 중 어느 것도 권한 보고서가 의존하는 4728, 4732 또는 4756 멤버십 변경 이벤트를 생성하지 않습니다.

특권 사용자 모니터링이 다루어야 할 내용

모니터링은 위험을 이동시키는 변화를 포착함으로써 비용을 정당화합니다. 이상적인 경고 이벤트는 무단 활동 가능성이 높고 오탐률이 낮으며 audit records 은 때때로 성공적인 공격이 남긴 유일한 증거입니다(CIS Control 8). 모든 것을 수집하려는 유혹이 있지만, 이는 아무도 읽지 않는 대기열만 만듭니다.

소유자가 아닌 사용자의 민감한 데이터에 대한 액세스는 MITRE T1114 및 T1213과 같은 수집 기술에 해당하며, Microsoft 365에서는 MailItemsAccessed 감사 작업을 통해 나타납니다. 변조 방지는 엔드포인트 에이전트 비활성화 시도를 감지합니다.

휴면 상태에는 정의된 임계값이 필요하며, CISA의 휴면 계정 대응책은 해당 수치를 각 조직에 맡깁니다(예시에서는 비밀번호 사용 기간 180일을 표시). 공급업체 계정도 퇴사 직원과 동일한 관리가 필요합니다.

CISA의 Cross-Sector Cybersecurity Performance Goals 2.0는 2025년 12월에 발표되었으며, 관리형 서비스 공급자 위험에 대한 목표와 누군가가 퇴사하는 날 모든 계정과 접근 경로를 비활성화해야 하는 요구사항을 결합합니다.

Privileged user monitoring 대 privileged session management 대 user activity monitoring

세 가지 제어가 모두 관리자 행동과 관련되어 혼동되지만, 각각은 다른 단위에 적용되며 다른 질문에 답합니다.

권한 세션 관리는 연결 자체를 중개하여 최종 사용자로부터 자격 증명을 분리하므로 가장 깊은 산출물은 세션 녹화 및 키 입력 로그입니다. 이 로그는 비밀번호와 개인 데이터를 포함하여 입력된 모든 내용을 캡처하므로 보존 기간과 접근 제어를 엄격히 유지해야 하며, 조사관은 녹화와 함께 분석된 명령 로그도 필요합니다. 단일 작업에 대한 비디오 편집은 확장성이 없기 때문입니다.

사용자 활동 모니터링은 내부 위협을 탐지하기 위해 전체 인력에 걸쳐 동일한 콘텐츠 캡처를 확장하며, 이는 NIST의 UAM 정의에 따릅니다. UK ICO의 근로자 모니터링 지침은 화면 및 키 입력 캡처 수준을 데이터 보호 영향 평가가 필요한 충분히 광범위한 처리로 간주합니다.

Privileged user monitoring은 기본적으로 콘텐츠 캡처를 건너뛰고 권한 중심으로 유지되며, 관리자 집단을 목록화하고 각 ID가 사용한 상승된 권한을 감사합니다. 이러한 좁은 초점 덕분에 샘플링된 세션 집합 대신 모든 privileged account에서 지속적으로 실행하는 것이 실용적이며, 대부분의 프로그램은 세 가지 중 적어도 두 가지를 실행합니다.

권한 있는 사용자 모니터링 프로그램 구축 방법

먼저 발견이 이루어지고, 그 다음 축소, 기준 설정 및 탐지, 마지막으로 증거 보호가 진행됩니다. 각 단계는 다음 단계가 다뤄야 할 범위를 좁히므로, 탐지 도구부터 시작하면 나중에 인벤토리를 다시 구축해야 합니다.

1. 전체 특권 사용자 파악

그룹 구성원 자격뿐만 아니라 관리 권한을 부여하는 모든 계정과 권한을 매핑하세요:

• 도메인 및 로컬 관리자, 중첩된 구성원이 포함되도록 전이 그룹 멤버십을 통해 해결됨.
• 디렉터리 객체에 대한 ACL 부여 권한 및 GPO 편집 권한.
• 각 endpoint의 로컬 관리자 그룹입니다.
• 서비스 계정 유형, group Managed Service Accounts (gMSAs), standalone Managed Service Accounts (sMSAs), 컴퓨터 계정 및 서비스를 실행하는 사용자 계정을 포함합니다.
• Break-glass emergency accounts and vendor and contractor access.
• Cloud and SaaS privileged roles, from Entra ID Global Administrator and Privileged Role Administrator to the equivalent tenant-admin roles in other identity providers and business applications.

Give every entry a named owner and a stated purpose, or the inventory becomes a list nobody acts on.

2. Reduce it before monitoring it

Remove every standing account monitoring doesn't need to cover before building the next stage. Most environments carry more elevated rights than the work requires, and the same Netwrix survey found 68% of organizations don't enforce strict least privilege.

Move accounts to just-in-time elevation at minimum, temporary permissions that lapse on expiry, or further to zero standing privilege, where no account holds elevated rights between approved sessions and ephemeral accounts exist only for the duration of the work.

3. Baseline normal administration by role

Feed authentication attempts, access requests, privilege changes, and directory modifications into an identity threat detection and response platform, and let it build a profile for each identity and its peer group instead of judging one connection at a time.

Behavioral analytics and signal correlation catch what single-event rules miss, the same principle behind Microsoft Defender for Identity's own detections. Expect weaker signal for the first few weeks on a new administrator or freshly provisioned service account, since baseline quality improves as activity accumulates.

4. Track entitlement drift between reviews

Compare current entitlements against the last certified state between review cycles, not just during them. Periodic certifications only capture a moment, so a grant added the week after reviewers close a campaign can go unchecked until the next one. Flag any grant that appeared since the last certification, so the annual review confirms what monitoring already caught instead of being the only check that ever runs.

5. Alert on change, correlate on pattern

Alert immediately on the small set of events that are almost never legitimate on their own. Correlate everything else. Most attack activity only becomes visible across a sequence of weaker signals, such as an unusual logon followed by a privilege change followed by access to a system the account has never touched. Build single-event rules and behavioral correlation into the same design, rather than choosing one.

6. Protect the evidence from the administrators it describes

Assume the administrators being monitored can edit the record until the architecture proves otherwise. Domain Admins membership includes membership in the local Administrators group on every domain-joined computer by default, which grants the right to read the Security log and the ability to clear it outright.

NIST SP 800-53 AU-9(4) covers exactly this recursion, since individuals with privileged access who are also audit subjects can affect audit information reliability by inhibiting logging or modifying records.

A determined domain administrator can still bypass ACL restrictions on log access by using SeTakeOwnershipPrivilege to take object ownership and rewrite the object's discretionary access control list (DACL). Build architectural separation instead; that control survives the move. AU-9(2) requires separate audit storage so a compromise of the monitored system doesn't compromise its record.

• Forward security events in near real time to a collector under separate administration. Windows Event Forwarding supports this, but it sends no notification and leaves no gap indicator when a disconnected client's log overwrites events.
• Send the 4728, 4732, and 4756 group-membership-addition events and 5136 changes on AdminSDHolder to that same collector, so nobody can edit a re-grant out of the record between reviews.
• Restrict audit log management to a defined subset of privileged users separate from the administrators the audit covers, per AU-9(4), and grant reviewers read-only access, per AU-9(6).
• Alert on tampering itself. Event 4719 records an audit policy change, and Windows logs it regardless of the audit policy setting; rate it as high criticality. Correlate it with a preceding 4688 process-creation event showing wevtutil or auditpol, which requires command-line logging.

Compliance requirements for privileged user monitoring

Auditors ask organizations to prove who held which rights, when they held them, and what they did with them. Frameworks express that demand as recertification intervals and logging obligations, and the intervals are the easy half. What sinks programs is reconstruction, because a review that nobody can rebuild six months later fails the audit, whether or not it ran on schedule.

아래 참조는 2026년 9월 기준 유효한 버전을 사용하며, PCI DSS v4.0.1, NIST SP 800-53 Rev 5, HIPAA Security Rule 45 CFR Part 164 Subpart C 및 ISO/IEC 27001:2022를 포함합니다.

두 가지 유럽 규정이 함께 적용됩니다: Network and Information Systems Directive 2 (NIS2) 시행 규정과 Digital Operational Resilience Act (DORA) 위임 규정입니다.

HHS는 2025년 1월에 Security Rule 개정안을 제안했지만, 이는 여전히 제안 단계이며 규제 일정은 2027년 7월을 목표로 하고 있습니다 최종 조치를 위해. 제안된 대로 감사 통제 기준은 164.312(b)에서 164.312(d)(1)로 이동하며, ePHI를 보유한 시스템뿐만 아니라 모든 관련 시스템에 적용됩니다. HHS가 규칙을 최종 확정할 때까지는 164.312(b)가 적용되는 인용문입니다.

감사 준비는 누군가가 몇 달 전의 특권 작업을 재구성해 달라고 조직에 요청할 때 한계를 드러내며, 답변은 증거가 얼마나 오래 보관되는지에 달려 있습니다.

Microsoft Entra ID는 Free 등급에서 7일, P1 및 P2에서 30일 동안 감사 및 로그인 로그를 기본 보존 기간에 보관합니다.

PCI DSS 요구사항 10.5.1은 12개월간의 감사 로그 기록을요구하며, 최근 3개월은 즉시 분석할 수 있어야 합니다. 기본 보존만으로는 부족하므로, 전달된 복사본을 보유한 수집기가 일반적으로 기록 시스템이 됩니다.

일반적인 문제와 극복 방법

아래의 장애물은 문화적이고 운영적인 것이므로 도구를 교체하는 것으로는 거의 해결되지 않습니다.

• 관리자는 모니터링을 제도적 불신으로 받아들이며 일부는 이를 비활성화하려고 합니다: 관리되는 도메인 외부에서 로그를 시스템 관리자들이 접근할 수 없는 곳으로 전달하여 감독을 유지하고, 제어가 적용되기 전에 어떤 위협이 자격 증명을 노리는지 설명하세요. 시간 제한이 있는 개별 할당 권한은 관리자를 용의자로 취급하지 않고 감사 추적을 보존합니다.
• 정당한 privileged 활동은 의미 있는 경고를 묻어버리는 대량을 생성합니다: 이벤트별 경고 대신 기준선에서 벗어난 점수를 산정하세요. 탐지 엔지니어링을 전술, 기술, 및 절차(TTPs)에 맞추세요 그래서 알려진 업데이트 스크립트를 실행하는 관리자는 호출되지 않고 억제됩니다.
• 공유, 브레이크-글래스, 공급업체 계정은 개별 귀속을 어렵게 하며, 비상 계정은 설계상 명명된 소유자가 없습니다: Use dedicated administrator accounts (CIS Control 5) 및 서비스 계정을 최소 분기별로 검토하세요. 모든 서비스 계정에 명명된 소유자를 지정하고 모든 브레이크-글래스 사용 시 severity 0 경고를 설정하세요.

Netwrix가 특권 사용자 모니터링을 지원하는 방법

Netwrix는 이러한 책임을 네 단계에 걸쳐 네 개의 제품으로 분산합니다. Netwrix Access Analyzer는 탐색을, Netwrix Privilege Secure는 축소를 담당합니다.

Netwrix Auditor 및 Netwrix Threat Manager 는 증거 문제의 두 부분을 다룹니다: 변경된 내용의 기록과 아이덴티티의 확립된 패턴에서 벗어난 행동 감지입니다.

그룹 구성원 자격을 넘어선 효과적인 권한을 발견하세요

Netwrix Access Analyzer는 Active Directory 도메인, OU, 그룹, 사용자 및 컴퓨터에 대한 실제 권한을 자동으로 결정합니다. 그 실제 액세스 보고서는 중첩된 그룹 구성원 및 ACL 부여 권한을 해결하여 계정이 실제로 보유한 액세스를 보여주고, 동시에 오래된 수탁자 계정을 표시합니다. 해당 인벤토리는 축소에 기여하는데, 축소 없는 인벤토리는 감시 목록만 넓힙니다.

상시 권한 액세스를 작업 범위 액세스로 대체하세요

Netwrix Privilege Secure는 상시 관리자 권한을 작업 범위 액세스로 대체하는 Privileged Access Management 제품입니다. Activity Token을(를) 발급하며, 이는 하나의 작업에만 존재하는 고유한 시간 제한 계정입니다. Netwrix Privilege Secure는 작업 완료 시 해당 계정을 제거하여 사용 사이에 지속적인 권한 상승 자격 증명이 남지 않도록 합니다.

Eastern Carver County Schools는 9,300명의 학생과 2,000명 이상의 직원을 지원하는 네트워크 스위치 관리, VMware 및 보안 카메라 시스템에서 상시 권한 계정을 제거하고 작업 종료 시 만료되는 임시 액세스로 대체했습니다. 팀은 며칠 만에 배포를 완료했습니다.

권한 및 구성 변경 사항을 이전 값과 이후 값으로 기록

재인증과 감사자의 과거 조회는 모두 이전 환경이 어땠는지에 대한 기록에 의존합니다.

Netwrix Auditor는 IT 감사 및 규정 준수 보고 제품으로, Active Directory, Group Policy, Entra ID, Exchange, 파일 서버 및 SQL Server를 모니터링하며, 누가 언제 어디서 무엇을 변경했는지 변경 전후 값을 변경 세부 정보에 기록합니다.

특정 시점 보고서는 일일 스냅샷에서 선택한 시점의 구성을 재구성합니다. 과거 날짜에 대해 보고하려면 먼저 해당 과거 스냅샷을 가져와야 합니다.

권한이 있는 계정 및 서비스 계정의 이상 행동 감지

기준 설정은 팀이 가장 자주 미루는 단계이며, Netwrix Threat Manager가 이를 자동화합니다. Identity Threat Detection 제품은 권한이 있는 계정 및 서비스 계정의 행동이 정해진 패턴에서 벗어나는 것을 표시합니다.

비정상 행동 감지는 계정이 최소 30일 동안 활성 상태일 때 시작되며, 최대 120일간의 활동을 기반으로 해당 계정의 기준선을 구축하고 모든 사용자를 15분마다 재평가합니다. 구성된 임계값을 초과하는 편차는 조사용 위협 기록을 생성합니다.

대부분 팀에게 유용한 질문은 현재 프로그램이 실제로 완료한 단계가 어느 것인지입니다. Netwrix Access Analyzer, Netwrix Privilege Secure, Netwrix Auditor, Netwrix Threat Manager는 각각 다른 단계를 다룹니다.

CISA의 계정 대응책 다루기

CISA의 퇴거 전략 도구는 ID별로 침해 후 대응책을 분류합니다. 그 중 다섯 가지는 특권 및 오래된 계정을 대상으로 하며, 각각 Netwrix 제품이 지원합니다:

• 불필요하고 오래된 계정 제거 (CM0112): Netwrix Access Analyzer가 비활성 및 사용하지 않는 사용자 계정을 표시하고 자동으로 정리합니다.
• 사용자, 서비스 및 관리자 계정 권한 모니터링(CM0043): Netwrix Access Analyzer는 중첩 그룹과 ACL 부여 권한을 해석하여 각 계정의 실제 권한을 보여줍니다.
• 계정 생성 및 권한 변경 모니터링(CM0044): Netwrix Auditor는 누가, 무엇을, 언제, 어디서 새로운 계정 및 보안 그룹 멤버십 변경을 기록합니다.
• Active Directory에서 Group Policy 개체 감사 (CM0085): Netwrix Auditor는 변경 전후 값을 포함하여 Group Policy 변경 사항을 기록합니다.
• 의심스러운 로그인 시도 조사 (CM0063): Netwrix Threat Manager가 각 ID의 기준선과 비교하여 이상 인증을 표시합니다.

관리자 신뢰를 검토할 수 있는 기록으로 전환하세요

권한 부여 시스템은 관리자든 피싱 공격자든 유효한 자격 증명에는 계속 '예'라고 응답합니다. 모니터링만이 두 사람을 구분하며, 프로그램으로만 작동합니다.

그 프로그램은 발견된 인구, 축소된 공격 표면, 행동 기준선, 검토 사이에 발견된 권한 변동, 아무도 읽지 않는 대기열 대신 상관된 경고, 그리고 감시하는 관리자가 조용히 편집할 수 없다는 증거를 의미합니다.

감사자, 이사회, 사이버 보험사는 이제 모니터링 도구가 있다는 정책 진술이 아니라 정확히 그 기록을 요구합니다. 두 가지 사이의 격차는 현재 프로그램이 아직 완료하지 않은 단계부터 차례로 해소됩니다.

데모 요청하여 Netwrix가 특권 계정에 대해 발견, 축소, 증거 및 탐지를 어떻게 처리하는지 확인하세요.