[알아봅시다] 권한접근관리(PAM)

보안사고 원인 쉽게 파악
패스워드 노출 걱정도 '뚝'

최근 금융권에서 대형 보안 사고가 연이어 발생하면서 많은 우려를 안겼습니다. 특히 협력업체 직원 한 명의 노트북에서 내려진 명령 하나로 총 서버의 50% 이상이 일부 또는 전부 손상됐으며 재해 복구 서버까지 피해를 입어 정상화에도 많은 시간이 소모된 농협 전산장애 사건은 국내뿐 아니라 외국에서도 사례를 찾아보기 어려운 초유의 사태입니다. 이번 사고로 인터넷 뱅킹과 폰뱅킹, ATM 서비스 등이 전면 중단되면서 신뢰도가 급격히 하락하는 등 막대한 손실을 보게 됐습니다.

보안 전문가들은 누가, 어떤 목적으로 이런 사건을 일으킨 것인지를 떠나 기업 내 권한 관리만 제대로 됐어도 사전에 막을 수 있었던 사건이었다고 지적하고 있습니다. 이번처럼 관리자의 계정으로 누군가가 시스템에 침입해 시스템 파괴를 꾀하거나 바이러스를 심는다면 운영환경에 심각한 작동 중지, 애플리케이션 문제 등 크리티컬 한 상황을 맞을 수 있습니다.

특히 주목해야 할 점은 장애가 발생한 후에도 원인을 찾는데 많은 시간을 낭비하게 되고, 이를 복구하는 데는 더 많은 시간이 걸린다는 점입니다.

많은 기업이 시스템에 대한 권한을 필요 이상의 많은 사람에게 위임하고, 계정과 권한을 함께 공유하기도 합니다. 또 외부 협력업체 직원에게 시스템 관리를 맡기고 프로젝트를 함께 진행하고 나서 관리자 계정을 함께 사용하거나 따로 종료하지 않는 경우도 있습니다.

특히 최근에는 서버 수가 늘어나는 등 관리 인프라가 증가하는데 인원은 충분치 않아 상대적으로 많은 권한이 소수에 집중되기도 합니다. 이것은 관리 편의를 위한 것일 수도 있고 내부 보안이나 권한관리 정책이 제대로 갖춰 있지 않아서일 수도 있습니다.

최근 시장조사기업 해리스 인터랙티브가 기업의 계정 관리 현황에 대한 조사 결과에 따르면, IT 전문가의 반 이상이 현재 자신의 회사 인프라 내 보안위협에 대해 우려하고 있으며, IT 전문가 열 명 중 한 명은 이직한 뒤에도 이전 회사 시스템에 로그인할 수 있는 권한을 갖고 있는 것으로 나타났습니다. 또 사용자 계정 관리에 대한 기업 정책 및 기술의 방식이나 정책의 부재가 직원들의 업무 수행을 어렵게 하고 IT 보안의 내부적인 위협을 가져오고 있는 것으로 나타났습니다.

기업에 따라 다르겠지만 개발자는 비정기적으로 매일 또는 월별로 운영 시스템에 접근하게 됩니다. 이는 다른 인력, 이를테면 데이터베이스 관리자, 기술지원 담당자, 시스템 관리자도 마찬가지입니다. 시스템의 유지보수와 패치 작업은 언제나 주의를 요하며, 운영시스템의 접근에는 △해당 사용자가 운영시스템에 접근할 수 있는 권한이 있는가 △해당 사용자가 운영시스템을 변경할 수 있는 권한이 있는가 △해당 사용자가 인증된 변경 작업만 진행했는가 △변경 작업은 정확하게 이뤄졌는가와 같은 이슈가 존재할 수 있습니다.

이 같은 이슈를 해결하고 계정, 패스워드 등 내부 권한 관리를 단순화, 자동화해 기업 내부 정책에 맞춘 통합적인 관리를 제공할 수 있는 기술로 권한접근관리(PAM, Privilege Access Management)가 있습니다.

PAM은 개발자들이 각 개인별로 관리되는 계정을 사용해 반드시 필요한 경우에만 운영시스템에 접근할 수 있도록 하고, 그러한 접근을 철저히 감사하고 통제하는 기술입니다. 누가 운영시스템에 접근했고, 권한을 획득했는지, 그리고 접근을 통해 무슨 작업이 진행됐는지 명확하게 파악할 수 있도록 도와줘 접근이 승인된 사용자가 할 수 있는 작업에 대한 세밀한 관리와 통제를 가능하게 합니다.

PAM 기술은 보안과 감사를 강화하는 한편, 직무분리를 비롯한 접근절차를 자동화하기 때문에 관리시간을 절약할 수 있다는 장점도 갖고 있습니다. 무엇보다 중요한 것은 기존에 주요 자원에 대한 접근이 완료되려면 수 시간이 소요됐던 반면, PAM 기반에서는 몇 분내 해결이 가능하기 때문에 높은 투자대비효과(ROI)를 제공한다는 점입니다.

또 차별화된 패스워드 관리기능을 통해 크리티컬 자원 접근 요청을 단계별로 처리하는 것이 가능해져 관리자가 더 이상 개발자에게 임시 ID를 발급하고, 패스워드 및 접근에 대해 지원하는 일에 시간을 소모하지 않아도 됩니다. 또 요청됐던 계좌의 패스워드를 자동으로 회수할 수 있으며, 인증된 연결에 대한 자동 로그인을 지원하기 때문에 패스워드가 사용자에게 노출되는 일도 발생하지 않습니다.

현재 시장에는 퀘스트소프트웨어의 `TPAM' 등 몇몇 PAM 전문 제품이 공급되고 있습니다.

강동식기자 dskang@ 

[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]