원격 액세스 보안이란?
2021년 5월, Colonial Pipeline 랜섬웨어 공격은 다중 인증이 적용되지 않은 단일 VPN 계정이 침해된 것으로 추적되었습니다. 이 한 가지 취약점으로 인해 파이프라인 운영이 며칠간 중단되었고, 약 440만 달러의 몸값이 지급된 것으로 보고되었습니다. 미국 법무부는 이후 해당 몸값과 연관된 약 63.7 비트코인(당시 약 230만 달러 상당)을 압수했습니다.
원격 액세스 보안은 외부 사용자, 디바이스와 내부 엔터프라이즈 리소스 간의 모든 연결에 구축하는 다계층 보호 프레임워크입니다. 이는 직원, 계약자, 제3자가 네트워크 경계 외부에서 기업 시스템에 어떻게 연결하는지에 대한 정책, 기술, 통제를 포함합니다. 여기에는 분산된 인력이 매일 사용하는 모든 VPN 터널, SSH 세션, RDP 연결, 클라우드 애플리케이션 로그인이 포함됩니다.
2025 Verizon DBIR에 따르면, 전체 확인된 침해의 22%에 도난된 자격 증명이 관여했습니다. SANS Institute는 보안 사고를 경험한 조직 중 50%가 외부 연결 또는 원격 액세스 경로에서 사고가 시작되었다고 밝혔습니다. 이 수치는 원격 액세스 경로가 여전히 엔터프라이즈 침해의 주요 진입점임을 보여줍니다.
NIST SP 800-46은 원격 액세스 보안을 "엔터프라이즈 재택근무, 원격 액세스, BYOD(Bring Your Own Device)" 환경을 포괄하는 것으로 정의합니다. NIST는 이러한 기술의 모든 구성요소, BYOD 클라이언트 디바이스를 포함하여, 위협 모델을 통해 식별된 예상 위협에 대해 보호되어야 한다고 명시합니다.
이러한 요구사항을 실제로 적용하려면, 원격 액세스가 전체 사이버 보안 모델 내에서 어디에 위치하는지 이해해야 합니다.
원격 액세스 보안의 중요성
원격 액세스 보안은 신원 관리, 네트워크 보안, 엔드포인트 보호의 교차점에 위치합니다. NIST 사이버보안 프레임워크는 이를 "Protect (PR)" 기능 내 "Identity Management, Authentication, and Access Control (PR.AA)"의 기본 통제 도메인으로 분류합니다. 모든 VPN 엔드포인트, 점프 서버, 원격 데스크톱 게이트웨이는 공격자가 적극적으로 노리는 진입점입니다.
이 가이드 전반에서 참조되는 기본 용어에 대한 복습이 필요하다면 SentinelOne의 Cybersecurity 101 라이브러리를 참고하십시오. 이러한 기본을 바탕으로, 원격 액세스 경로를 노리는 구체적인 공격 패턴을 이해하면 우선적으로 강화해야 할 부분을 파악할 수 있습니다.
일반적인 원격 액세스 보안 위험
공격자는 원격 액세스 인프라를 2차 진입점이 아닌 주요 진입점으로 간주합니다. 구체적인 위협 패턴을 이해하면 가장 중요한 부분부터 강화할 수 있습니다.
- VPN 및 경계 장비 취약점 악용: VPN 게이트웨이와 방화벽은 네트워크 경계에 위치해 국가 지원 그룹과 랜섬웨어 운영자 모두에게 고가치 표적이 됩니다. CISA의 2023년 자주 악용된 취약점 권고에 따르면, 해당 연도에 가장 자주 악용된 CVE의 대다수가 제로데이로 처음 악용되었으며, Citrix, Fortinet, Ivanti 제품이 두드러졌습니다. 2024년에도 이 패턴은 계속되었습니다. CISA는 위협 행위자가 Ivanti Connect Secure의 여러 취약점을 연쇄적으로 이용해 인증을 우회하고, 웹 셸을 설치하며, 자격 증명을 수집한 후, RDP, SSH, nmap 등 장비 자체의 네이티브 도구로 횡적 이동을 한 사건에 대해 공동 권고를 발표했습니다.
- 자격 증명 탈취 및 무차별 대입 공격: 도난된 자격 증명은 공격자가 원격 액세스를 얻는 가장 일반적인 방법입니다. 서두에서 언급했듯, 전체 침해의 거의 4분의 1이 도난된 자격 증명과 관련이 있으며, RDP, VPN 포털, SSH 엔드포인트를 대상으로 한 무차별 대입 및 자격 증명 대입 공격이 지속적으로 발생합니다. 85% 이상의 조직이 한 달 중 최소 25% 동안 인터넷을 통한 RDP 접근이 가능해, 공격자에게 지속적인 패스워드 스프레이 공격 표적을 제공합니다.
- 세션 하이재킹 및 인증 후 악용: 인증만으로 위험이 사라지지 않습니다. 공격자가 유효한 세션 토큰이나 쿠키를 획득하면 MFA를 완전히 우회할 수 있습니다. Citrix NetScaler의 CVE-2023-4966("CitrixBleed")은 세션 토큰 유출을 허용해, 공격자가 자격 증명 입력 없이 인증된 접근을 할 수 있게 했습니다. 내부 진입 후에는 RDP, SMB, 관리 도구를 통한 횡적 이동이 표준 전술입니다. Sophos 사고 대응 데이터에 따르면, 공격자는 조사된 사고의 69%에서 RDP를 하이재킹해 횡적 이동에 사용했으며, 이는 해당 단계에서 가장 많이 악용된 프로토콜입니다.
- 제3자 및 공급업체 접근 권한 남용: 계약자, 관리 서비스 제공업체, 공급망 벤더가 보유한 원격 액세스 자격 증명은 별도의 위협 범주를 형성합니다. 제3자 연결은 2024년 전체 보고된 침해의 35.5%를 차지했으며, 전년 대비 6.5% 증가했습니다. 벤더 계정은 권한이 과도하게 부여되고, 세션 모니터링이 없으며, 프로젝트 종료 후에도 장기간 활성화되어 있는 경우가 많아 위험이 가중됩니다. 2023년 Caesars Entertainment 침해 사례는 이 패턴을 보여줍니다. 공격자는 외주 IT 지원 벤더를 대상으로 사회공학을 사용해 초기 접근을 얻었고, 약 1,500만 달러의 비용이 발생했습니다.
- 원격 액세스 도구 공급망 공격: 공격자는 도구 자체도 표적으로 삼습니다. 2024년 ScreenConnect 취약점(CVE-2024-1708 및 CVE-2024-1709) 악용 사례는 원격 관리 플랫폼이 얼마나 빠르게 공격 벡터로 전환되는지 보여줍니다. Black Basta, Bl00dy 등 랜섬웨어 그룹은 며칠 만에 해당 취약점을 악용해, 도구의 내장 기능을 사용해 연결된 엔드포인트 전체에 악성코드를 확산시켰습니다. 원격 액세스 플랫폼이 침해되면, 관리 중인 모든 디바이스가 공격 범위에 들어갑니다.
각 위협 패턴은 특정 강화 조치와 연결됩니다. 아래 모범 사례는 프로토콜별로 이를 다룹니다.
원격 액세스 보안 모범 사례
대부분의 원격 액세스 프로그램은 기술 계층이 아니라 운영의 경계에서 실패합니다. VPN 로그는 종종 연결 및 해제 이벤트만 기록해 리소스 수준의 맥락이 부족해집니다. VPN과 MFA만으로 충분하다고 간주하는 것은 흔한 실수입니다. 분할, 디바이스 준수, 세션 모니터링이 없으면 로그인 후 횡적 이동이 여전히 열려 있습니다. 아래의 프로토콜 중심 원격 액세스 모범 사례는 전체 아키텍처를 한 번에 재설계하지 않고도 적용할 수 있습니다.
VPN 강화
NSA/CISA의 VPN 강화 가이드를 따르십시오:
- CNSA Suite 요구사항에 따라 IKEv2/IPsec 및 AES-GCM-256 암호화 적용
- 레거시 암호화 스위트 및 사용 중단된 Diffie-Hellman 그룹 제거
- 모든 원격 액세스 시도에 대해 중앙 집중식 AAA 계층을 통한 MFA 적용
- 연결 이벤트 및 계정 변경 사항을 명확한 알림과 함께 모니터링
여기서 패치 속도는 스택 내 그 어떤 영역보다 중요합니다. CISA 권고에 따르면, 원격 액세스 취약점 악용은 공개 후 9~13일 내에 발생할 수 있으므로, 월간 패치 주기는 인터넷에 노출된 VPN 게이트웨이에 넓은 공격 창을 남깁니다. 경계 장비는 단일 자릿수 일 내 긴급 패치 대상으로 간주하십시오.
VPN 보안이 여전히 최우선 과제인 이유에 대한 더 넓은 맥락은 SentinelOne의 VPN 보안 설명서에서 위협-통제 매핑을 통해 확인할 수 있습니다. VPN 게이트웨이를 강화한 후에는 서버 및 인프라 접근에 가장 일반적으로 사용되는 프로토콜에 주목해야 합니다.
SSH 강화
키 확산 및 자격 증명 재사용 위험을 줄이는 SSH 보안 통제를 적용하십시오:
- SSH 프로토콜 버전 2만 허용하고 최신 암호화(AES-256-GCM, ChaCha20-Poly1305) 적용
- 키 기반 인증을 요구하고 비밀번호 로그인을 완전히 비활성화
- 키 수명주기(발급, 교체, 폐기)를 인증 기관 또는 시크릿 매니저를 통해 중앙 관리
- 세션 메타데이터를 기록하고 비정상 명령 패턴 조사
- 최대 인증 시도 횟수 및 연결 시간 제한을 설정해 무차별 대입 시도를 지연
SSH 키 관리를 중앙화하는 것이 대부분의 팀에 가장 큰 효과를 주는 조치입니다. 장기간 운영되는 서버에 남아 있는 고아 키는 감사를 통해 반복적으로 지적되는 일반적인 사각지대입니다.
RDP 강화
CISA의 RDP 차단 가이드는 경계에서 포트 3389 차단을 명확히 권고합니다. 이후 추가 통제를 계층화하십시오:
- RDP가 내부 시스템에 도달하기 전에 VPN 또는 중계 접근을 요구
- 게이트웨이에 NLA 및 강력한 TLS 구성 적용
- 중계 또는 게이트웨이 접근 단계에서 MFA 적용
- 유휴 세션 타임아웃 설정 및 데이터 민감도에 따라 클립보드/드라이브 리디렉션 제한
관리되지 않는 디바이스가 상태 점검 없이 연결을 허용하면, 검사·패치·통제가 불가능한 기기에서 자격 증명 탈취 위험을 감수하는 것입니다. BYOD 환경을 지원한다면, 해당 세션을 디바이스 상태를 검증하는 중계 경로로 우회하십시오. 프로토콜별 강력한 통제가 적용되어도, 로그인 후 네트워크 수준 접근은 여전히 횡적 이동 위험을 남기므로, 제로 트러스트 아키텍처가 이 격차를 해소합니다.
제로 트러스트 구현
로그인 후 횡적 이동을 줄이기 위해, CISA의 제로 트러스트 성숙도 모델을 활용해 단계적으로 제로 트러스트를 적용하십시오:
- 네트워크 수준 VPN 접근을 앱 수준 접근으로 대체(고가치 자산부터 시작)
- 신원, 디바이스 상태, 행위 기반의 세션별 접근 결정 적용
- 마이크로 세분화로 원격 세션의 영향 범위 제한
- 제로 트러스트를 기존 스택과 통합하는 점진적 업그레이드로 간주
SentinelOne의 제로 트러스트 보안 가이드는 제로 트러스트 원격 액세스 원칙을 적용 가능한 접근 정책으로 전환하는 방법을 안내합니다. 내부 접근 경로가 분할된 후에도, 남은 노출 지점은 자체 직원보다 감독이 적은 외부 파트너와 연결된 부분에 남아 있습니다.
제3자 및 벤더 접근 통제
계약자, MSP, 공급망 벤더는 직원과 다른 통제가 필요합니다. 이들의 계정은 프로젝트에 필요한 범위보다 넓은 권한을 가지며, 세션 모니터링이 없고, 작업 종료 후에도 장기간 활성화되는 경우가 많습니다. 다음과 같은 집중 조치로 이 범주를 강화하십시오:
- 유지보수 창 또는 프로젝트 종료 시 자동 만료되는 Just-in-Time 접근 적용
- 벤더 세션을 필요한 애플리케이션 또는 시스템으로만 제한, 전체 네트워크 세그먼트는 허용하지 않음
- 특권 작업을 포함한 벤더 세션 기록 및 감사
- 연간 감사 시점이 아닌, 정의된 주기로 비활성 벤더 계정 검토 및 비활성화
벤더 접근 통제는 팀이 가장 마지막에 구현하고, 공격자가 가장 먼저 악용하는 영역이므로, 내부 프로토콜과 동일한 엄격함으로 관리하면 빠르게 효과를 볼 수 있습니다.
피싱 저항 MFA 적용
MFA는 기본 요건이지만, SMS 및 푸시 기반 방식은 그렇지 않습니다. 공격자는 실시간 피싱 프록시와 푸시 피로 캠페인으로 둘 다 우회할 수 있습니다. 반복적인 승인 요청으로 사용자가 결국 승인 버튼을 누르게 만듭니다. NSA와 CISA는 명확히 권고합니다. 엔터프라이즈 원격 액세스에는 PKI 및 FIDO2 표준 기반의 피싱 저항 방식만 사용하고, 편의성 기반 대안은 사용하지 마십시오.
- 특권 계정 및 원격 관리자 세션에 FIDO2 하드웨어 보안키 또는 인증서 기반 인증 요구
- 피싱 저항 옵션이 가능한 원격 액세스 경로에서 SMS 및 음성 기반 MFA 비활성화
- 구성 격차를 해소하기 위해 개별 애플리케이션 설정이 아닌 중앙 AAA 계층을 통한 MFA 적용
- 새 디바이스 등록 후 빠른 승인 등 이상 행동에 대한 MFA 승인 패턴 모니터링 및 알림
피싱 저항 MFA는 인증 계층에서 대부분의 자격 증명 기반 원격 액세스 공격을 차단합니다. MFA가 강화된 후에는, 공격자가 악용하는 다음 격차는 디바이스 상태입니다.
접근 전 디바이스 상태 검증
관리되지 않고 패치되지 않은 디바이스의 인증된 사용자는 안전한 연결이 아닙니다. 엔드포인트 상태 검증은 세션이 열리기 전에 연결 디바이스의 보안 상태를 확인해, 최소 보안 기준을 충족하지 못하는 기기의 접근을 차단합니다.
- 접근 허용 전 패치 상태, OS 버전, 활성 엔드포인트 보호 여부 확인
- 관리되지 않는 디바이스는 전체 네트워크 접근 대신 교정 경로로 우회 또는 차단
- 원격 액세스가 허용된 모든 디바이스에 디스크 암호화 요구
- 세션 시작 시 디바이스 상태 재평가 및 장기 연결에서 구성 변화 감지
관리되지 않는 디바이스는 검사, 패치, 통제가 불가능해 사각지대가 됩니다. 게이트에서 디바이스 상태를 검증한 후에는, 세션 중 발생하는 활동에 대한 지속적 가시성이 남은 격차입니다.
세션 지속적 모니터링
로그인 시 1회 인증만으로 이후 활동을 보호할 수 없습니다. 공격자가 유효한 자격 증명을 탈취하거나 세션을 하이재킹하면 정상 사용자와 다른 행동을 보입니다. 지속적 세션 모니터링은 이러한 이상 징후를 횡적 이동이 중요 자산에 도달하기 전에 식별합니다.
- 정상 패턴(출발지 위치, 일반 접근 시간, 접근 리소스, 서버 세션의 명령량) 기준선 설정
- 불가능한 이동, 비정상 시간대 관리자 접근, 급격한 리소스 접근 증가 등 즉각 조사 필요 이벤트 감지
- VPN, 엔드포인트, 신원 텔레메트리 결합해 원격 세션과 모든 후속 행동을 연계 분석
- 자격 증명 덤핑 도구로 전환되는 세션 차단 등 신뢰도 높은 이상 징후에 자동 대응 설정
원격 세션 기반 탐지 범위 구축에 대한 추가 맥락은 SentinelOne의 위협 헌팅 가이드를 참고하십시오.
원격 관리자 계정에 특권 접근 관리 적용
특권 계정에 연결된 원격 세션은 환경 내에서 가장 가치가 높은 표적입니다. 네트워크 제한 없는 관리자 세션이 침해되면, 초기 접근에서 도메인 컨트롤러까지 몇 분 만에 이동할 수 있습니다. 특권 접근 관리(PAM)는 관리 자격 증명의 사용 방법, 시점, 위치를 통제해 이 시간을 제한합니다.
- 세션마다 특권 자격 증명을 자동 교체해 세션 간 재사용 방지
- 모든 특권 원격 세션 기록 및 포렌식 조사를 위한 로그 보관
- 일반 엔드포인트와 분리된 전용 특권 접근 워크스테이션(PAW)에서만 관리자 세션 허용
- Just-in-Time 프로비저닝으로 관리자 접근을 특정 시스템 및 시간대로 제한
이러한 통제가 없는 특권 계정은 초기 원격 액세스에서 전체 도메인 침해로 이어지는 가장 빠른 경로입니다. PAM을 적용하면 단일 관리자 자격 증명 탈취로 전체 환경이 장악되는 격차를 해소할 수 있습니다.
SentinelOne이 원격 액세스 보안을 강화하는 방법
분산된 인력의 원격 액세스를 보호하려면, 분리된 도구로는 제공할 수 없는 가시성, 속도, 상관관계가 필요합니다. Singularity™ Platform은 엔드포인트, 신원, 클라우드 텔레메트리를 단일 콘솔로 통합해, 여러 시스템을 오가며 의심스러운 VPN 로그인과 이후 엔드포인트 활동을 조사할 필요가 없습니다.
과도한 알림에 시달리는 팀에게는 정량화된 효율성이 중요합니다. MITRE ATT&CK 평가에서 SentinelOne은 전체 벤더 중 중앙값 대비 88% 적은 노이즈를 기록해, 트리아지 업무를 줄이고 분석가가 실제 원격 액세스 침해에 집중할 수 있게 합니다. Storyline 텔레메트리는 프로세스 및 연결 체인을 자동으로 재구성해, 공격자가 원격 세션을 이용해 전환할 때 더 빠른 근본 원인 분석을 제공합니다.
2시 새벽에 자격 증명 침해로 횡적 이동이 시작되면, 5개 대시보드에서 수동 상관분석이 아닌 자율 대응이 필요합니다.
SentinelOne 행동 기반 AI는 RDP 세션 이후 비정상 프로세스 실행, VPN 접근 후 자격 증명 덤핑 등 로그인 이후의 의심스러운 활동을 탐지합니다. Singularity™ Identity는 이 보호를 신원 인프라까지 확장해, Active Directory 및 Entra ID에 대한 진행 중인 공격을 실시간으로 탐지·방어합니다. Singularity™ Identity는 또한 약한, 노출된, 침해된 자격 증명을 지속적으로 스캔하고, 자동화된 대응으로 이를 교정합니다. 이는 온프레미스(Active Directory)와 클라우드 환경(Entra ID, Okta, Ping, SecureAuth, Duo 등) 모두에서 적용됩니다.
조사 속도 측면에서, Purple AI는 자연어를 환경 전체에 범위가 지정된 헌트로 전환합니다. 초기 도입자는 Purple AI가 위협 헌팅 및 조사를 최대 80% 빠르게 만든다고 보고합니다. 이는 "지난 48시간 동안 관리되지 않는 디바이스에서 발생한 모든 RDP 세션을 보여줘"와 같은 질문에 신속히 답해야 할 때 중요합니다.
SentinelOne 데모 요청을 통해 Singularity Platform이 귀하의 환경에서 원격 액세스 가시성과 대응을 어떻게 강화하는지 확인하십시오.
핵심 요약
원격 액세스는 신원, 엔드포인트 상태, 네트워크 통제가 교차하는 지점이며, 공격자는 VPN 장비 제로데이, 노출된 RDP에 대한 자격 증명 대입, 인증 후 세션 하이재킹, 원격 관리 도구 공급망 공격 등 모든 경계를 노립니다. 이러한 위험은 VPN, SSH, RDP 통제 강화, 피싱 저항 MFA 적용, 디바이스 상태 검증, 최소 권한 및 분할 접근 적용 등 원격 액세스 모범 사례를 따르면 줄일 수 있습니다.
프로그램이 여전히 "VPN+MFA"에 의존한다면, 로그인 후 공격자가 전환할 수 있다고 가정해야 하며, 자격 증명 탈취가 도메인 전체에 미치는 실제 영향에 대한 실질적 지도가 필요하다면 SentinelOne의 랜섬웨어 가이드에서 원격 액세스 기반 침해 시 나타나는 인접 전술을 확인할 수 있습니다.
자주 묻는 질문
아니요. VPN은 연결 시점에 사용자를 인증하고 전송 중인 트래픽을 암호화하지만, 로그인 이후 최소 권한 원칙을 적용하지 않습니다. 일단 연결되면 사용자는 종종 광범위한 네트워크 접근 권한을 부여받게 되며, 이는 자격 증명이 탈취되거나 세션이 하이재킹될 경우 수평 이동이 용이해집니다.
이러한 격차를 해소하려면 세션이 접근할 수 있는 범위를 제한하는 세분화, 연결하는 장치의 상태를 확인하는 장치 상태 점검, 그리고 로그인 이후의 악용을 중요한 자산에 도달하기 전에 탐지할 수 있는 지속적인 모니터링이 필요합니다.
가장 빈번하게 발생하는 위험은 자격 증명 탈취와 세션 오용입니다. 탈취된 자격 증명은 공격자에게 경계선 제어를 우회하여 인증된 VPN 또는 RDP 접근 권한을 제공합니다. CitrixBleed (CVE-2023-4966)에서 입증된 세션 하이재킹은 유효한 세션 토큰을 사용하여 MFA를 완전히 우회할 수 있게 합니다.
서드파티 접근 권한 오용, 패치되지 않은 원격 접근 장비, 원격 관리 도구에 대한 공급망 공격이 이러한 위험을 완성합니다. 각 공격 패턴에는 직접적인 강화 제어가 존재하지만, 여러 취약점이 동시에 존재할 경우 위험이 빠르게 누적됩니다.
MFA는 연결하는 사람이 단순히 비밀번호를 아는 사람이 아니라 실제로 주장하는 본인임을 확인합니다. 원격 액세스의 경우, 이는 자격 증명 대입 공격 및 무차별 대입 공격이 성공하는 것을 막는 주요 통제 수단입니다.
그러나 MFA의 존재만큼이나 MFA의 품질도 중요합니다. SMS 및 푸시 기반 방식은 실시간 피싱 프록시와 푸시 피로 공격에 취약합니다. FIDO2 또는 PKI 인증서 기반의 피싱 저항 방식은 이러한 취약점을 제거하며, NSA와 CISA가 기업 원격 액세스를 위해 권장하는 표준입니다.
비관리 개인 기기, 계약업체 소유 노트북, BYOD 엔드포인트는 패치 상태, 설치된 소프트웨어, 구성 기준선을 확인할 수 없기 때문에 가장 큰 위험을 초래합니다. 공격자는 조직이 이러한 기기에도 관리되는 기업 자산과 동일한 네트워크 접근 권한을 부여하는 경우가 많다는 점을 노리고 이 기기들을 표적으로 삼습니다.
비관리 기기는 세션을 열기 전에 상태를 점검하는 중개 접근 경로를 통해 라우팅하고, 상태 점검을 통과한 이후에도 접근할 수 있는 리소스를 제한해야 합니다.
노출과 악용 가능성이 겹치는 부분부터 시작하세요. RDP가 인터넷에 노출되어 있다면 즉시 포트 3389를 차단하고 중개 경로를 통해서만 접근하도록 강제하세요. 다음으로, VPN 장비의 미패치 CVE, 취약한 인증, 레거시 암호화 사용 여부를 점검하세요.
그 후 SSH는 대규모로 키를 인벤토리화하고 발급 및 교체를 중앙화하여 관리하세요. 인터넷 노출, 권한 수준, 과거 인시던트 이력을 기준으로 우선순위를 정하세요.
경계선 원격 액세스 시스템은 긴급 패치 대상으로 간주해야 합니다. 공격자는 이를 빠르게 무기화하기 때문입니다. CISA는 공개 후 9~13일 내에 악용이 발생한 사례를 문서화한 바 있으며, 월 단위 패치 주기는 큰 위험을 남깁니다.
인터넷에 노출된 VPN 게이트웨이, RDP 브로커, SSH 배스천의 경우, 검증 및 롤백 계획을 포함해 한 자릿수 일수 내에 패치 완료를 목표로 하세요. 빠른 패치가 어렵다면 보완 통제로 노출을 줄이세요.
로그인 성공 여부뿐만 아니라 행위 및 세션 컨텍스트에 집중하세요. 소스 지리 정보, 디바이스 유형, 시간대, 일반적으로 접근하는 리소스 등 정상 패턴을 기준선으로 삼으세요.
이후 불가능한 이동, 원격 로그인 후 비정상적인 관리자 도구 실행, 고가치 파일 공유에 대한 갑작스러운 접근 등 이상 징후를 탐지하세요. VPN, 엔드포인트, 아이덴티티 텔레메트리를 결합해 원격 세션과 로그인 이후 활동을 연관 지을 수 있습니다.
