취약한 비밀번호 정책이란? 위험과 해결 방법

취약한 비밀번호 정책이란?

취약한 비밀번호 정책은 충분한 자격 증명 강도를 강제하지 못하는 인증 구성으로, 시스템이 무차별 대입, 크리덴셜 스터핑, 비밀번호 스프레이 공격에 취약한 상태로 남게 합니다. MITRE에서 공식적으로 CWE-521로 분류하는 이 취약점은 애플리케이션 또는 시스템이 공격자가 현실적으로 추측, 크랙 또는 대규모로 테스트할 수 있는 비밀번호를 허용할 때 존재합니다.

취약한 비밀번호 정책에는 단 한 줄의 악성 코드도 필요하지 않습니다. 공격자에게 필요한 것은 유효한 자격 증명뿐입니다. 일단 이를 획득하면 공격자는 정상 사용자처럼 활동하며, 시그니처 기반 보안 도구에는 보이지 않고 수개월 동안 눈치채지 못하는 경우가 많습니다. Verizon의 2025 데이터 침해 조사 보고서 (DBIR)에 따르면 자격 증명 악용이 가장 널리 사용되는 초기 공격 벡터인 것으로 나타났습니다. IBM의 2025 데이터 침해 비용 보고서에 따르면 자격 증명 기반 침해는 식별하는 데 최대 186일이 걸리며, 이는 공격 범주 전반에서 가장 긴 식별 기간 중 하나입니다. 이는 공격자가 신뢰하는 누군가로 로그인하는 반년의 시간입니다.

피해는 개별 계정을 넘어 확장됩니다. 취약한 비밀번호 정책은 측면 이동, 권한 상승, 그리고 전체 환경 전반에 걸친 지속적 액세스를 가능하게 합니다. 이러한 결과 하나하나는 모두 누군가가 변경할 수 있는 정책 결정으로 거슬러 올라갑니다.

취약한 비밀번호 정책은 어떻게 작동하나요?

취약한 비밀번호 정책은 인증 프로세스의 여러 계층에서 악용 가능한 조건을 만듭니다. 이 취약점은 단일 실패가 아니라 공격자가 순차적으로 평가하고 악용하는 불충분한 통제의 연쇄입니다.

공격자의 의사결정 트리

공격자는 자격 증명 공격을 시작하기 전에 정책 정찰을 수행합니다. MITRE는 이를 정책 탐색이라고 문서화하며, 공격자는 식별을 피하면서 최적의 공격 기법을 선택하기 위해 계정 잠금 임계값, 최소 길이 요구 사항, 복잡성 규칙을 매핑합니다.

악용 체인은 일반적으로 다음과 같이 전개됩니다:

1. 정찰. 공격자는 외부에 노출된 인증 엔드포인트, 원격 데스크톱 프로토콜(RDP), 가상 사설망(VPN), Outlook Web Access (OWA), 단일 로그인(SSO) 포털을 식별하고 정책 특성을 탐색합니다.
2. 기법 선택. 관찰된 정책 약점을 기반으로 공격자는 가장 효율성이 높은 공격을 선택하며, 발견된 특정 격차에 맞춰 기법을 대응시킵니다.
3. 자격 증명 획득. 공격자는 선택한 기법을 통해 유효한 사용자 이름/비밀번호 조합을 획득합니다.
4. 침해 후 악용. MITRE는 이 단계를 유효한 계정으로 분류하며, 이때 공격자는 초기 액세스, 지속성, 권한 상승 전반에서 정상 사용자처럼 활동합니다.

보수적인 계정 잠금 정책만으로도 충분하지 않습니다. MITRE는 Quad7 캠페인을 강조하는데, 이 캠페인에서 공격자는 손상된 소규모 사무실/홈 오피스(SOHO) 라우터를 통해 24시간 동안 계정당 단 한 번의 시도로 비밀번호 스프레이를 수행했습니다. 계정별 속도 제한만으로는 그 아래를 미끄러지듯 통과하도록 설계된 공격을 막을 수 없습니다.

보안 프레임워크는 이러한 실패의 연쇄를 세 가지 서로 다른 방식으로 분류하며, 어떤 것을 인용하느냐에 따라 수정 작업의 우선순위가 결정됩니다.

OWASP 및 MITRE 분류

취약한 비밀번호 정책은 세 가지 주요 보안 프레임워크의 교차점에 있으며, 각 프레임워크는 이 약점을 서로 다른 관점에서 분류합니다. 이 매핑을 이해하면 보안 팀이 정책 감사 결과를 취약점 관리 및 위협 인텔리전스 워크플로와 연결하는 데 도움이 됩니다.

CWE 분류는 근본 원인을 포착하고, Open Worldwide Application Security Project (OWASP) 는 이를 관련 인증 실패와 함께 그룹화하며, MITRE ATT&CK 는 그 뒤따르는 공격자 행위를 매핑합니다. 이러한 계층적 관점은 또한 CWE-521이 단독으로 존재하는 취약점인 경우가 드물다는 점을 보여줍니다.

이 취약점은 CWE 계층 구조에서 "Base" 추상화 수준에 위치하므로, 근본 원인 분석 및 취약점 공개를 위한 선호 분류입니다. 상위 취약점은 CWE-287이며, 이를 통해 무단 액세스를 가능하게 하는 더 광범위한 인증 실패 계열에 속하게 됩니다.

OWASP A07 하위의 공동 매핑 취약점

CWE-521은 OWASP A07에서 단독으로 나타나지 않습니다. 이 범주는 동일한 환경에서 자주 공존하는 여러 관련 취약점을 함께 그룹화합니다:

• CWE-307: 속도 제한 또는 잠금 기능 누락으로 인해 무제한 무차별 대입 시도가 가능해짐
• CWE-640: 강력한 정책이 있더라도 이를 우회하는 취약한 비밀번호 복구 메커니즘
• CWE-262/263: 비밀번호 수명 주기 제어의 부재 또는 비효율성
• CWE-798: 어떤 정책 변경으로도 해결할 수 없는 하드코딩된 자격 증명

이 공동 매핑이 중요한 이유는, 예를 들어 더 긴 최소 길이를 강제하는 방식으로 CWE-521만 수정하더라도 인접한 취약점이 그대로 남아 있으면 더 광범위한 A07 노출은 해결되지 않기 때문입니다. 효과적인 완화에는 전체 취약점 군집을 해결하는 것이 필요합니다.

프레임워크는 이 취약점의 이름을 정의합니다. 환경은 보통 반복적으로 나타나는 8가지 격차를 통해 이를 만들어냅니다.

취약한 비밀번호 정책의 원인

취약한 비밀번호 정책은 드물게 단일 오구성에서 비롯됩니다. 대부분의 취약한 환경은 여러 제어 격차가 서로 누적되어, 단독으로는 경미한 취약점일 수 있는 요소를 신뢰할 수 있는 공격 경로로 바꾸는 형태를 보입니다.

1. 최소 길이 강제 없음

NIST의 최소 길이 지침 또는 CISA의 15자 운영 목표를 강제하지 않으면 CWE-521에 매핑되는 무차별 대입 공격 패턴이 직접적으로 가능해집니다. NIST의 적합성 기준은 기억된 비밀의 길이가 강도를 판단하는 가장 신뢰할 수 있는 지표라고 명시합니다.

2. 알려진 취약 비밀번호 또는 일반적인 비밀번호 허용

"Password1" 또는 "admin/admin"과 같은 비밀번호를 알려진 취약 비밀번호 목록과 대조하지 않고 허용하는 애플리케이션은 다른 정책 제어와 무관하게 취약합니다. OWASP의 인증 지침은 최소 기준선으로 최악의 상위 비밀번호들에 대해 테스트할 것을 권장합니다.

3. 속도 제한 또는 잠금 메커니즘 없음

스로틀링이 없으면 brute force attacks는 복잡성 요구 사항과 관계없이 성공합니다. 속도 제한과 비밀번호 강도는 서로 독립적인 제어이며, 이들의 실패는 누적됩니다.

4. 취약하거나 안전하지 않은 비밀번호 저장

평문, 암호화된(복호화 가능) 또는 약하게 해시된(MD5, 솔트 없는 SHA-1, NTLM) 저장은 온라인 전용 공격 표면을 오프라인 공격 표면으로 전환하여, 인증 스로틀링을 고려 대상에서 완전히 제거합니다.

5. 비효율적인 자격 증명 복구 메커니즘

지식 기반 보안 질문은 OWASP에 따르면 "안전하게 만들 수 없습니다". CWE-640, 취약한 비밀번호 복구 메커니즘은 강력한 비밀번호 정책도 취약한 복구 흐름에 의해 완전히 우회될 수 있음을 의미합니다.

6. MFA 부재 또는 비효율성

OWASP의 A07 classification은 다중 인증(MFA) 부재를 직접적인 취약점 조건으로 명시적으로 나열합니다. NIST SP 800-63B는 비밀번호만 사용하는 방식이 낮은 보증 수준의 맥락에서만 적절하다고 규정합니다.

7. 역효과를 내는 복잡성 및 필수 순환 규칙

OWASP는 필수 순환 및 문자 구성 복잡성이 사용자가 취약한 비밀번호를 재사용하게 하고 예측 가능한 패턴을 만들도록 유도한다고 지적합니다. NIST SP 800-63-3는 2017년에 이러한 관행을 공식적으로 폐기했습니다.

8. 조직 및 라이프사이클 관리 실패

자격 증명 위생 실패, 휴면 계정, 공유 자격 증명, 퇴사자 계정은 어떤 비밀번호 복잡성 규칙으로도 해결되지 않는 운영상 취약점을 나타냅니다. CIS Control 5에서는 이를 별개의 취약점으로 분류합니다.

8가지 격차는 각각만 보면 작습니다. 그러나 함께 보면 단일 취약 자격 증명이 헬프데스크 티켓이 아니라 비즈니스 위험이 되는 이유를 설명합니다.

취약한 비밀번호 정책의 영향과 위험

취약한 비밀번호 정책의 영향은 개별 계정 침해에서 전체 조직 침해, 규제 처벌, 평판 손상까지 확장됩니다.

재무적 영향

2024년 IBM report에 따르면 전 세계 평균 침해 비용은 488만 달러에 도달했습니다.

식별 지연

자격 증명 기반 침해는 가장 긴 식별 기간 중 하나를 가지며, 식별까지 최대 186 days가 걸린다고 IBM의 2025년 데이터는 보여줍니다. 이 기간 동안 유효한 자격 증명으로 활동하는 공격자는 정상 트래픽에 섞여 들어가며, SANS는 이 패턴을 "living off the land"라고 설명합니다. 이들이 수행하는 어떤 행위도 공격처럼 보이지 않습니다. 시그니처 기반 도구에는 성공한 로그인에 대한 시그니처가 없기 때문입니다.

규제 노출

이제 규제 프레임워크는 취약한 비밀번호 정책을 측정 가능한 규정 준수 실패로 간주합니다. PCI DSS FAQ는 2025년 3월부터 결제 카드 환경에 대해 의무적인 최소 비밀번호 길이를 설정했습니다. 영국의 Product Security and Telecommunications Infrastructure Act는 기본 비밀번호를 금지합니다 예를 들어 "admin"과 같은 IoT 장치 비밀번호를 금지하며, 미준수 시 재정적 벌금이 부과됩니다.

비관리형 디바이스로 인한 위험 가중

The Verizon 2025 DBIR에 따르면 기업이 한 번도 관리한 적 없는 디바이스에서 수집된 infostealer 로그에 기업 로그인 정보가 존재했습니다. 이러한 자격 증명은 귀하의 통제 밖에서 탈취되고 통제 내부에서 사용되므로, 경계 중심 모델은 대응할 수단이 없게 됩니다.

공격자는 이 중 어떤 것도 즉흥적으로 하지 않습니다. 이들은 문서화되어 있고 반복적으로 사용된 기술 집합에서 선택합니다.

공격자가 취약한 비밀번호 정책을 악용하는 방법

모든 자격 증명 공격 기법은 MITRE ATT&CK에 속하며, 상위 기법은 T1110, Brute Force입니다. 각 하위 기법은 서로 다른 정책 격차를 표적으로 삼으며, 공격자는 정찰 중 발견한 취약점에 가장 잘 맞는 접근 방식을 선택합니다.

비밀번호 추측 (T1110.001)

공격자는 대상 계정에 대해 체계적으로 비밀번호를 시도하며, SSO, 클라우드 애플리케이션, 페더레이션 인증 엔드포인트에 집중합니다. MITRE의 T1110.001 entry에는 APT28이 몇 시간 또는 며칠에 걸쳐 표적 계정당 반복 시도를 수행한 사례가 문서화되어 있습니다.

• 악용된 정책 취약점: 잠금 정책 없음, 짧은 최소 길이, 변경되지 않은 기본 자격 증명.

비밀번호 스프레이 (T1110.003)

하나의 비밀번호 또는 소규모 목록을 수천 개 계정에 걸쳐 테스트하면서 계정별 잠금 임계값 아래에 머뭅니다. MITRE의 T1110.003 entry에는 APT28, APT29, Midnight Blizzard를 포함해 여러 명명된 그룹이 이 기법을 사용하는 사례가 문서화되어 있습니다.

• 악용된 정책 취약점: 예측 가능한 비밀번호 패턴, Season+Year 및 CompanyName+Number, 계정 전반에 걸친 분산 실패 식별 부재, 외부 노출 서비스에 MFA 없음.

자격 증명 스터핑 (T1110.004)

서드파티 침해 덤프의 자격 증명을 기업 서비스에 대해 테스트하여 비밀번호 재사용을 악용합니다. OWASP의 credential stuffing overview에 따르면 공격자는 노출된 전화번호, 이메일 주소, 보안 질문 답변을 사용해 자격 증명 복구 메커니즘을 우회하기 위해 침해 데이터도 활용합니다.

• 악용된 정책 취약점: 서비스 간 비밀번호 재사용에 대한 강제 방지 없음, 로그인 시 침해된 자격 증명 확인 없음, MFA 부재.

비밀번호 크래킹 (T1110.002)

이는 2단계 공격입니다. 첫째, 공격자는 자격 증명 저장소, NTDS.dit 및 /etc/shadow에서 비밀번호 해시를 추출합니다. 둘째, Hashcat 및 John the Ripper와 같은 도구를 사용해 GPU 가속 인프라에서 피해자의 통제 범위를 완전히 벗어나 오프라인으로 해시를 크랙합니다. MITRE의 T1110.002 항목은 FIN6가 오프라인 크래킹을 위해 ntds.dit에서 비밀번호 해시를 추출한 사례와 Salt Typhoon이 네트워크 장치 구성 파일에서 약한 암호화 비밀번호를 크랙한 사례를 문서화합니다.

• 악용된 정책 취약점: 짧은 비밀번호는 크래킹 시간을 줄입니다. 레거시 해싱 알고리즘인 MD5, NTLM, 그리고 솔트가 없는 SHA-1은 사전 계산 공격을 가능하게 합니다.

Kerberoasting (T1558.003)

인증된 모든 도메인 사용자는 서비스 주체 이름이 있는 계정에 대해 Kerberos 서비스 티켓을 요청할 수 있습니다. 이러한 티켓은 서비스 계정의 비밀번호 해시로 암호화됩니다. 공격자는 티켓을 내보내 오프라인으로 크랙합니다. 상승된 권한은 필요하지 않으며, 티켓 수집 후 추가 네트워크 상호작용도 필요하지 않습니다.

• 악용된 정책 취약점: 약한 비밀번호를 사용하는 서비스 계정, 대량 SPN 쿼리에 대한 모니터링 부족, 그리고 사용자 수준 복잡성 요구 사항이 면제된 서비스 계정.

다섯 가지 기법, 하나의 전제 조건: 이들 모두는 더 강력한 정책이었다면 거부되었을 비밀번호를 필요로 합니다. 그것이 지렛점입니다. 이것이 어디에 적용되는지는 어떤 시스템이 노출되어 있는지에 따라 달라집니다.

약한 비밀번호 정책의 영향을 받는 대상은 누구입니까?

약한 비밀번호 정책은 비밀번호 기반 인증을 사용하는 모든 조직과 시스템에 영향을 미칩니다. 그러나 노출 정도는 산업, 시스템 유형 및 배포 모델에 따라 달라집니다.

가장 취약한 애플리케이션 유형

MITRE ATT&CK 문서는 공격자가 일상적으로 표적으로 삼는 특정 서비스와 프로토콜을 식별합니다:

위험이 가장 높은 산업

위 서비스들의 공통점은 공격자가 접근할 수 있는 네트워크에 인증을 직접 노출한다는 것입니다. 위험은 특정 산업에 더욱 집중됩니다.

• 중요 인프라 운영자는 CISA의 Cybersecurity Performance Goals (CPG) 2.0 및 운영 위협 인텔리전스 권고로 인해 규제 노출에 직면합니다. 
• 의료 및 금융 서비스는 고가치 데이터와 복잡한 레거시 환경이 결합되어 있습니다. 
• 정부 기관은 Federal Information Security Modernization Act (FISMA) 지속적 모니터링 요구 사항 및 NIST SP 800-63B-4 준수의 적용을 받습니다.
• IoT 및 운영 기술(OT) 환경은 구조적인 문제에 직면해 있습니다. 장치는 종종 관리자가 변경할 수 없는 하드코딩되었거나 기본 자격 증명과 함께 출하됩니다. CISA는 ICS advisory를 발표했는데, 이는 기본 비밀번호가 공개적으로 알려져 있었고 변경을 강제하는 메커니즘이 없는 SinoTrack GPS 장치에 대한 것이었습니다.
• 중소기업은 일반적으로 비밀번호 정책을 감사하고, MFA를 시행하거나, 자격 증명 공격을 모니터링할 전담 보안 팀이 부족하여 더 작은 공격 표면에도 불구하고 불균형적으로 취약합니다.

취약한 비밀번호 정책 악용의 실제 사례

이 중 어느 것도 이론적인 내용이 아닙니다. 다음 각 사건은 하나의 자격 증명에서 시작되었으며, 취약한 비밀번호 정책이 다양한 산업과 시스템 유형 전반에서 어떻게 운영 및 재정적 피해로 이어지는지를 보여줍니다.

SolarWinds 공급망 공격 (2020)

2018년 6월부터 2019년 11월까지 노출된 SolarWinds 업데이트 서버의 취약한 비밀번호는 공급망 침해를 가능하게 한 접근 권한을 부여했으며, 이는 미국 연방 부처 및 기관에 영향을 미쳤습니다.

Colonial Pipeline 랜섬웨어 공격 (2021)

미국 최대의 정제 석유 제품 파이프라인은 공격자가 레거시 VPN 계정의 단일 자격 증명을 침해한 후 가동이 중단되었습니다 MFA 없이. 회사는 440만 달러를 비트코인 몸값으로 지불했습니다.

동시에 수행된 DOI OIG audit에서는 미국 내무부가 자산에 MFA를 구현하지 않았고, 여러 계정 간 비밀번호 재사용을 허용했으며, 비활성 계정을 적시에 비활성화하지 않았다는 사실이 확인되어, Colonial Pipeline의 실패 패턴이 연방 기관 전반에 걸쳐 체계적이었음을 입증했습니다.

Target Corporation (2013)

이 침해로 수천만 건의 결제 카드 기록이 노출되었습니다. 침해 이후의 보안 평가에서는 KrebsOnSecurity가 보고한 바에 따르면 Target의 비밀번호 정책이 시행되지 않았고, 유효한 네트워크 자격 증명이 포함된 파일이 여러 서버에 저장되어 있었으며, 시스템 전반에서 취약하거나 기본 비밀번호가 사용되고 있음을 발견했습니다. 평가자는 이러한 취약한 비밀번호를 사용해 즉시 시스템 관리자 액세스 권한을 획득했습니다.

RockYou 데이터 침해 (2009)

A SQL injection 취약점으로 인해 비밀번호 해싱이 발명된 지 30년이 넘었음에도 비밀번호가 평문으로 노출되었습니다. 이 침해로 "rockyou.txt" 단어 목록이 생성되었으며, 이는 침투 테스트와 실제 공격에서 여전히 표준 크래킹 사전으로 남아 있습니다.

비밀번호 정책 취약점의 타임라인 및 역사

비밀번호 정책의 약점은 컴퓨팅 초기부터 악용되어 왔습니다. 다음 타임라인은 비밀번호 기반 인증의 발명부터 가장 최근의 규제 및 표준 변경에 이르기까지 주요 이정표를 추적합니다.

표준은 수년간 옳았습니다. 격차는 배포에 있습니다. 이를 해소하는 일은 약한 정책이 실제로 환경 내 어디에 존재하는지 파악하는 것에서 시작됩니다.

약한 비밀번호 정책을 탐지하는 방법

약한 비밀번호를 찾으려면 기존 자격 증명에 대한 사전 감사와 인증 활동에 대한 실시간 모니터링이 모두 필요합니다. 어느 한 가지 방법만으로는 충분하지 않습니다.

사전적 비밀번호 해시 감사

NTDS.dit 또는 /etc/shadow 에서 비밀번호 해시를 추출하고 크래킹 도구에 통과시켜 공격자보다 먼저 크래킹 가능한 비밀번호를 찾아냅니다. 이는 퍼플 팀 기법으로, 적대자가 사용하는 동일한 도구를 자체 자격 증명 저장소에 대해 정기적으로 실행하는 것입니다. 이는 SPN이 있는 서비스 계정에 특히 중요하며, 이러한 계정은 Kerberoasting 대상입니다. 

에서 RC4 암호화 사용을 모니터링합니다 Kerberos ticket 요청 및 대량 SPN 쿼리를 감사하는데, 둘 다 활성 Kerberoasting 정찰의 지표입니다. A CISA advisory 는 이 위험을 확인했습니다: 팀은 전역적으로 접근 가능한 백업에서 읽을 수 있는 /etc/shadow 를 발견한 후 일반적인 단어 목록을 사용해 권한 있는 서비스 계정의 약한 비밀번호를 크래킹했습니다.

SIEM 기반 인증 이상 징후 상관 분석

SIEM 플랫폼에서 상관 분석해야 할 주요 시그니처는 다음과 같습니다:

• Credential stuffing: 단일 IP에서 서로 다른 사용자 이름/비밀번호 쌍을 사용한 다수의 인증 실패.
• Spraying: 사용자 이름을 순환시키며 발생하는 인증 실패 급증.
• Insider threat: 환경 내에서 비밀번호 감사 도구 실행.

이러한 신호를 상관 분석하려면 중앙 집중식 로그 수집과 느리게 진행되는 캠페인을 드러낼 수 있을 만큼 충분한 보존 기간이 필요합니다. 계정별 임계값이 분산 공격을 포착하지 못할 때는 행동 기반 접근 방식이 그 격차를 메웁니다.

자격 증명 공격의 행동 분석

잠금 기반 제어는 분산 스프레이, 계정당 하루 한 번의 단일 시도, 또는 대규모 스터핑을 해결할 수 없습니다. 행동 분석은 임계값이 아니라 패턴을 기반으로 작동합니다. 

이는 비정상적인 장치 특성, 비인간적 상호작용 흐름, 이례적인 액세스 위치, 그리고 단일 계정에서의 동시 로그인을 표시합니다.

침해 코퍼스 스크리닝

CISA's FY2025 FISMA metrics 는 기관이 이전 침해에서 유출된 자격 증명과 사전 단어 및 사용자의 자체 사용자 이름을 포함한 알려진 약한 비밀번호를 사용해 계정이 손상될 수 있는지 지속적으로 검증하도록 요구합니다. 이는 침해 코퍼스 스크리닝을 시점 기반 점검이 아닌 의무적인 지속 통제로 규정합니다.

ID 위협 대응

SANS의 ID 공격 분석은 Identity Threat Detection and Response (ITDR)를 ID 시스템을 방어하고, 침해를 탐지하며, 효율적인 대응 조치를 가능하게 하는 도구와 모범 사례의 집합으로 정의합니다. 핵심 과제는 유효한 자격 증명을 사용하는 공격자가 정상적인 활동과 구분되지 않는다는 점입니다. ITDR은 모든 사용자, 모든 계정, 사람 및 서비스, 모든 액세스 권한, 모든 구성을 포괄하는 클라우드, 온프레미스 및 하이브리드 환경 전반에서 ID 가시성을 요구합니다.

취약점을 찾는 방법을 알게 되면, 다음 단계는 예방 통제를 마련하는 것입니다.

취약한 비밀번호 정책을 방지하는 방법

예방을 위해서는 8가지 근본 원인 각각을 해결하면서 현재 규제 표준에 맞게 비밀번호 정책을 정렬해야 합니다.

최소 비밀번호 길이를 15자로 강제

CISA의 2025년 권고는 15자 미만 정책을 T1110.001, .002, .003 및 .004 공격 가능화에 명시적으로 매핑합니다. 이는 모든 권위 있는 출처 중 운영 측면에서 가장 근거가 확실한 임계값입니다. PCI DSS FAQ는 결제 카드 환경에 대해 최소 비밀번호 길이를 요구합니다.

모든 액세스 지점에 피싱 저항성 MFA 배포

CISA의 2025년 지침은 단순한 MFA 구현이 아니라 피싱 저항성 MFA를 명시합니다. PCI DSS v4.0.1은 모든 카드 소지자 데이터 환경 액세스에 대해 MFA를 요구하며 FAQ 1595에 따라 FIDO2 패스키를 허용합니다. NIST SP 800-63B-4는 인증자 보증 수준 2(AAL2) 및 AAL3에서 MFA를 요구하며, AAL3는 추가로 검증자 사칭 및 검증자 침해 저항성을 요구합니다.

유출 코퍼스를 기준으로 비밀번호 검사

모든 신규 및 변경 비밀번호를 알려진 침해 값, 사전 단어, 그리고 사용자 자신의 사용자 이름과 대조해 확인하십시오. OWASP는 최소 기준으로 최악의 상위 비밀번호에 대한 테스트를 권장합니다. CISA FISMA 메트릭은 시점 점검이 아니라 지속적인 모니터링을 요구합니다. 의무적 순환 정책을 이 지속적 검사 접근 방식으로 대체하십시오.

안전하지 않은 저장을 제거하고 자격 증명 순환 수립

평문 비밀번호 저장을 금지하고 이에 대해 정기적으로 감사를 수행하십시오. bcrypt, scrypt, Argon2와 같은 강력한 솔트 해싱 알고리즘을 사용하십시오. SANS의 자격 증명 순환 분석은 조직이 주간 주기로 자격 증명을 순환할 수 있어야 한다고 식별합니다. 이를 수행할 수 없다는 것은 운영상 자격 증명 위생이 불충분함을 나타냅니다. 이러한 역량에는 전용 시크릿 관리 인프라가 필요합니다.

휴면 계정을 45일 이내에 비활성화

CIS Controls는 45일 동안 비활성 상태인 휴면 계정을 삭제하거나 비활성화할 것을 요구합니다. SANS는 비활성 계정을 즉시 비활성화하는 것을 핵심 ID 및 액세스 관리(IAM) 위생으로 식별합니다.

전용 관리자 계정으로 최소 권한 구현

관리자 권한을 전용 관리자 계정으로 제한하십시오. 일반 컴퓨팅 활동, 브라우징, 이메일 및 생산성 작업은 비권한 계정에서 수행하십시오. CISA CPG는 이를 규율하는 통제로 NIST SP 800-53 Rev 5 AC-5, Separation of Duties 및 AC-6, Least Privilege를 참조합니다.

엔터프라이즈 비밀번호 관리자 배포

CISA의 비밀번호 지침은 자산별 고유 자격 증명을 강제하기 위해 전사적 비밀번호 관리자의 배포를 권장합니다.

그것이 정책입니다. 도구는 그것이 1만 개의 계정 전반에서 유지되도록 만듭니다.

탐지 및 예방 도구

대규모로 취약한 비밀번호 정책을 해결하려면 사전 감사 도구, 인증 모니터링, 정책 시행 인프라의 조합이 필요합니다. 다음 범주는 주요 도구 환경을 포괄합니다.

비밀번호 감사 및 크래킹 도구(사전 대응)

• Hashcat: GPU 가속 비밀번호 감사 도구이자 사전 해시 크래킹을 위한 주요 도구입니다.
• John the Ripper: 무료 오픈소스 비밀번호 감사 도구로, 여러 자격 증명 형식을 지원합니다.

이러한 도구는 공격자가 사용하는 동일한 기법에 의해 사용자 환경의 어떤 자격 증명이 무너질 수 있는지 보여줍니다. 무엇이 크래킹 가능한지 알게 되면, 활성 악용 시도에 대한 가시성이 필요합니다.

네트워크 및 인증 모니터링

• SIEM 플랫폼: 엔드포인트, ID 저장소, 클라우드 서비스 전반의 인증 이벤트를 상관 분석하여 spraying, stuffing, brute force 패턴을 탐지합니다.
• ITDR 솔루션: 공격자가 이미 유효한 자격 증명을 보유하고 정상 활동에 섞여드는 경우를 위해 특별히 구축된 ID 보호입니다.

모니터링은 진행 중인 공격을 드러내지만 이를 방지하지는 않습니다. 시행 도구는 모니터링이 드러내는 정책 격차를 해소합니다.

정책 시행

• Active Directory 그룹 정책: Windows 환경 전반에서 최소 비밀번호 길이, 복잡성 및 이력 제어를 적용합니다.
• 권한 있는 액세스 관리(PAM): 권한 있는 자격 증명을 자동으로 볼트에 저장하고 순환하여 서비스 계정 및 관리자 비밀번호 위생 문제를 해결합니다.

이러한 범주는 감사, 모니터링 및 적용을 각각 독립적으로 다룹니다. SentinelOne은 이러한 기능을 단일 플랫폼 내에서 통합합니다.

SentinelOne이 지원하는 방법

SentinelOne의 Singularity™ Platform은(는) ID 저장소, 엔드포인트 및 대응 전반에서 자격 증명 공격 체인을 포괄합니다.

• ID 보호. Singularity Identity는 Active Directory 및 클라우드 ID 저장소 전반에서 자격 증명 오용과 비정상적인 인증 활동을 탐지합니다. 공격자가 무차별 대입 또는 credential stuffing을 통해 획득한 유효한 자격 증명을 사용할 때, Behavioral AI는 알려진 시그니처를 요구하지 않고도 이상 징후를 드러냅니다.
• 엔드포인트의 Behavioral AI. SentinelOne의 에이전트 기반 Behavioral AI는 디바이스 수준에서 프로세스 동작을 분석합니다. 이는 성공적인 자격 증명 공격 이후에 이어지는 측면 이동과 권한 상승을 탐지합니다.
• Storyline 기술. Storyline Active Response (STAR)™는 초기 자격 증명 악용부터 측면 이동 및 데이터 액세스까지 전체 공격 체인을 재구성하여 분석가에게 완전한 포렌식 컨텍스트를 제공합니다. 공격자가 유효한 자격 증명을 사용해 몇 주 동안 활동하는 경우, Storyline은 분리된 도구 전반의 이벤트를 분석가가 수동으로 상호 연관시키도록 두는 대신 활동을 통합된 내러티브로 연결합니다.
• Purple AI™ 조사용. Purple AI™는 전반에 걸친 자연어 쿼리를 지원하여 자격 증명 기반 인시던트 조사를 가속화합니다. Singularity Data Lake. IDC found에 따르면 Purple AI 고객은 위협 식별 속도가 63% 더 빠르고 평균 대응 시간(MTTR)이 55% 감소합니다. 분석가는 서비스 계정과 연결된 인증 이상 징후를 요청하고 여러 플랫폼을 쿼리하는 데 몇 시간을 소비하는 대신 몇 초 만에 상호 연관된 결과를 받을 수 있습니다.
• AI SIEM 및 Data Lake. SentinelOne의 데이터 레이크와 AI SIEM은 Open Cybersecurity Schema Framework (OCSF) 정규화를 통해 모든 소스에서 실시간 수집을 제공합니다. AI SIEM은 레거시 SIEM 솔루션보다 100배 빠르게 작동하므로 공격이 아직 진행 중인 동안 ID, 엔드포인트 및 클라우드 텔레메트리 전반에서 무차별 대입, spraying 및 credential-stuffing 신호를 상호 연관시킬 수 있습니다.
• 자율 대응. 자격 증명 기반 공격이 확인되면 SentinelOne의 자율 대응 엔진은 사람의 개입을 기다리지 않고 손상된 엔드포인트를 격리하고 측면 이동을 중지합니다. 2024 MITRE ATT&CK Evaluations에서 SentinelOne은 경쟁 솔루션보다 88% 적은 경고를 생성했습니다. 이는 자격 증명 인시던트가 전개되는 동안 조사해야 할 노이즈가 훨씬 적다는 의미입니다.

데모 요청을 통해 Singularity Platform이(가) 환경 전반에서 자격 증명 기반 공격을 어떻게 탐지하고 차단하는지 확인해 보세요.

조직 전반의 ID 위험 감소

Active Directory 및 Entra ID를 위한 종합적인 솔루션으로 실시간으로 공격을 탐지하고 대응하세요.

데모 신청하기

관련 취약점

취약한 비밀번호 정책은 더 광범위한 인증 및 자격 증명 관리 취약점 계열 내에 존재합니다. 관련 취약점 클래스를 이해하면 자체 환경에서 인접한 노출 지점을 파악할 수 있습니다.

• CWE-798: 하드코딩된 자격 증명 사용. 소프트웨어에는 소스 코드에 컴파일되어 관리자가 변경할 수 없는 자격 증명이 포함되어 있습니다. 어떤 운영 비밀번호 정책도 바이너리에 내장된 자격 증명을 해결할 수 없습니다. CWE-798는 소프트웨어 개발 수명 주기 수준에서 해결되어야 합니다.  CWE-259 page는 특히 하드코딩된 비밀번호를 다루며, 여기서는 컴파일된 Java 클래스가 디컴파일되어 자격 증명 문자열이 드러날 수 있습니다.
• CWE-287: 부적절한 인증. 인증 메커니즘 자체를 우회할 수 있는 경우를 다룹니다.  CWE-287 page에는 빈 비밀번호를 사용해 인증 우회가 가능한 LDAP 패키지의 CVE-2017-14623이 문서화되어 있습니다. 비밀번호 정책이 아무리 강력하더라도 메커니즘 자체가 완전히 우회되면 보호 효과는 전혀 없습니다.
• CWE-262: 비밀번호 만료 기간 미사용. 비밀번호 만료 적용 실패를 설명합니다. 특히 이 CWE는 이례적인 위치를 차지하는데, 그 대응 방안인 의무적 만료 기간 설정 자체가 이제 NIST SP 800-63-4에서 모범 사례로서 의문시되고 있기 때문입니다. 해당 CWE-262 페이지는 "Time to retire CWE-262 and CWE-263."라는 제목의 2021년 커뮤니티 토론을 인용합니다.
• CWE-263: 긴 만료 기간의 비밀번호 만료 정책. CWE-262와 반대되는 실패입니다. 정책은 존재하지만 너무 느슨하게 구성되어 자격 증명 수명에 의미 있는 제약을 제공하지 않습니다.
• CWE-307: 과도한 인증 시도에 대한 부적절한 제한. OWASP A07에서 CWE-521과 함께 매핑되며, 속도 제한 또는 잠금 메커니즘의 부재를 다룹니다.
• CWE-640: 취약한 비밀번호 복구 메커니즘. 지식 기반 보안 질문을 사용하는 취약한 복구 흐름으로 인해 강력한 비밀번호 정책이 완전히 우회됩니다.

실제 취약점 공개를 추적하면 이 약점이 제품 CVE에 얼마나 자주 나타나는지도 확인할 수 있습니다.

관련 CVE

다음 표는 취약한 비밀번호 정책, 기본 자격 증명 및 하드코딩된 자격 증명 취약점과 관련된 CVE를 문서화합니다. 

모든 항목은 SentinelOne 취약점 데이터베이스의 검증된 페이지로 연결되며 최신순에서 오래된순으로 정렬되어 있습니다. 해당되는 경우 CISA Known Exploited Vulnerabilities가 표시됩니다.

핵심 요약

취약한 비밀번호 정책은 공격자에게 합법적인 액세스를 제공하기 때문에 가장 일관되게 악용되는 인증 실패 중 하나로 남아 있습니다. 이를 차단하는 통제 수단은 이미 문서화되어 있고 이미 उपलब्ध합니다: 더 긴 최소 길이, 피싱 방지 MFA, 유출 자격 증명 코퍼스 검사, 솔트 해싱, 그리고 행위 기반 분석. 

그 목록의 모든 항목은 조직 내 누군가가 이번 분기에 결정할 수 있는 사항입니다. 이를 실행하면, 하나의 유효한 자격 증명이 전체 환경으로 이어지는 경로가 되는 일을 막을 수 있습니다.