기술 지원
문서
로그인
문의하기
취약하거나 잘못 구성된 다단계 인증(MFA) 방법
조아오 코레이아
2024년 2월 27일 - 기술 에반젤리스트
이 글은 최근에 발표된 NSA/CISA 합동 사이버 보안 자문 를 통해 이들 기관에서 실시한 레드/블루팀 훈련에서 확인된 주요 사이버 보안 문제에 대해 살펴봅니다. 이 글에서는 특정 이슈에 대해 보다 심층적으로 살펴보고, 해당 이슈가 적용되는 실제 시나리오와 이를 제한하거나 극복하기 위해 채택할 수 있는 완화 전략에 대해 알아봅니다. 이는 NSA/CISA 보고서에서 제공한 정보를 확장한 것입니다.
강력한 멀티팩터 인증(MFA) 방법의 구현은 사이버 보안의 중추적인 방어선입니다. 하지만 미국 국가안보국(NSA) 및 사이버 보안 및 인프라 보안국(CISA) 는 취약하거나 잘못 구성된 MFA 방법이 여전히 널리 퍼져 있는 취약점이라고 강조합니다. 이 문서에서는 MFA의 중요성, 일반적인 잘못된 구성 및 효율성을 보장하기 위한 모범 사례에 대해 살펴봅니다.
MFA가 중요한 이유
다단계 인증은 여러 인증 양식을 요구하여 보안을 크게 강화하며, 이는 정교한 사이버 위협의 시대에 필수적인 요소입니다. 비밀번호만 사용하는 인증은 "내가 도용당했나요?"와 같은 서비스에서 비밀번호를 포함한 대규모 데이터 유출이 드러나기도 했습니다.
MFA는 '알고 있는 것'(비밀번호)과 '가지고 있는 것'(휴대폰 또는 실제 토큰 등)을 결합하여 무단 액세스에 대한 방어를 강화하는 추가 계층을 도입합니다.
일반적인 함정 및 잘못된 구성
- 기본 방법에 대한 과도한 의존: SMS 또는 이메일 기반 인증은 가로채기에 취약합니다. 앱 기반 토큰이나 생체 인식과 같은 보다 안전한 대안을 모색하는 것이 좋습니다.
- 불완전한 커버리지: 모든 계정, 특히 관리 계정에 대해 MFA를 무시하면 보안에 큰 공백이 생깁니다.
- 유사 요인 취약점: 비밀번호와 로컬에 저장된 디지털 인증서와 같이 같은 위치에 저장된 두 가지 요소를 사용하는 것은 두 가지 요소가 동시에 손상될 수 있으므로 진정한 MFA라고 할 수 없습니다.
- 복제 가능한 요소: 복제에 취약한 RFID 또는 NFC 태그와 같은 요소는 보안이 취약합니다. 이러한 요소는 보다 안전한 요소와 함께 사용하는 것이 좋습니다.
- 부적절한 사용자 교육: 잠재적인 공격 벡터와 그 방어 방법에 대해 사용자를 교육하는 것은 MFA의 무결성을 유지하는 데 필수적입니다.
현실 세계의 시사점: Microsoft '미드나잇 블리자드' 사건
MFA의 중요성을 보여주는 대표적인 사례는 다음과 같습니다. 마이크로소프트에 대한 "미드나잇 블리자드" 공격. 자세한 내용은 Microsoft 보안 대응 센터 블로그 에 자세히 설명되어 있고 널리 보도된 이 사건은 이사회 구성원의 이메일 계정에 대한 무단 액세스와 관련된 것으로, MFA 부족으로 인해 발생했습니다.
이번 유출 사고는 민감한 정보와 시스템을 보호하기 위한 강력한 MFA의 필요성을 강조합니다. 또한 아무리 작은 틈새라도 성공적인 침해와 악용으로 이어질 수 있기 때문에 사이버 보안의 '갑옷에 구멍'이라는 문제도 드러납니다.
강력한 MFA 구현을 위한 모범 사례
- 다양한 인증 요소: 비밀번호, 보안 토큰, 생체 인증을 혼합하여 방어를 강화하세요.
- 포괄적인 커버리지: 인증이 필요한 모든 계정과 시스템에서 MFA를 의무적으로 사용해야 합니다. MFA 배포를 시작할 때는 특히 관리자 액세스에 중점을 두되, 여기서 멈추지 말고 적용 범위를 확장할 계획을 세우세요.
- 정기 감사 및 업데이트: 새로운 위협과 기술 발전에 대응하기 위해 MFA 구성을 지속적으로 모니터링하고 업데이트하세요. 독립적인 요소를 공격하는 새로운 방법이 정기적으로 등장하므로 안전하지 않은 요소에서 신속하게 전환할 수 있도록 준비하세요. 한 가지 요소를 다른 요소보다 더 중요하게 생각하지 마세요.
- 사용자 교육 및 인식 제고: MFA의 중요성과 안전한 사용법에 대한 정기적인 교육이 필수적입니다. 보안이 편의성보다 우선시되어야 한다는 점을 강조하고 보안이 반드시 필요한 이유를 설명해야 합니다.
- 예외 금지 정책: MFA가 없는 모든 계정이나 시스템은 공격자의 잠재적 진입 지점이 될 수 있습니다. 보편적인 MFA 구현을 보장합니다.
- 타사 통합: 소프트웨어 및 하드웨어 조달 프로세스에서 MFA 지원을 협상 불가능한 요구 사항으로 설정하세요.
MFA의 새로운 기술
앞으로 고급 생체인식 및 행동 분석과 같은 MFA의 새로운 기술은 보안 조치를 더욱 강화할 것입니다. 진화하는 사이버 위협에 적응하려면 이러한 발전을 따라잡는 것이 중요합니다.
최종 생각
강력하고 잘 구성된 MFA는 기술적 필수 요소이자 성숙한 사이버 보안 전략의 초석입니다. 조직은 MFA 방법이 포괄적이고 강력하며 특정 위협 환경과 운영 요구 사항에 맞게 조정되어 있는지 확인해야 합니다.
