게이트키퍼에서 감시자로: 사전 인증과 사후 인증 보안 연결하기

By Mirko Peters · 2026-08-11

팟캐스트와 함께 제공되는 기술 심층 분석에 다시 오신 것을 환영합니다! 사용자가 로그인에 성공한 직후 ID 보안 전략에 사각지대가 있다고 느껴 본 적이 있다면, 여러분만 그런 것이 아닙니다…

Automatically translated with AI from the original post. Read the English original

Titelbild: From Gatekeeper to Watcher: Bridging Pre-Auth and Post-Auth Security

팟캐스트와 함께 제공되는 기술 심층 분석에 다시 오신 것을 환영합니다! 사용자가 로그인에 성공한 직후 ID 보안 전략에 사각지대가 있다고 느껴 본 적이 있다면, 여러분만 그런 것이 아닙니다. 수년 동안 조직은 나쁜 사용자를 막기 위해 사전 인증 통제에 크게 의존해 왔고, 출입문을 보안의 최후 보루처럼 여겨 왔습니다. 하지만 공격자가 유효한 토큰이나 탈취한 자격 증명으로 그 문을 통과하면 어떻게 될까요? 바로 이 문제가 최근 에피소드인 Conditional Access with Defender for Identity Signals의 핵심 주제였습니다. 이번 글에서는 그 개념을 더 자세히 다루고, 사전 인증 게이트키퍼와 사후 인증 감시자를 결합해 실제로 회복력 있는 ID 아키텍처를 구축하는 방법을 살펴보겠습니다.

핵심 아이디어 (TL;DR)

최신 ID 보호를 제대로 이해하려면, 각 도구를 실시간으로 함께 작동하는 전문 역할로 보아야 합니다.

Conditional Access(CA)는 여러분의 경비원입니다. 누가 접근하려 하는지, 어디에서 접속하는지, 그리고 디바이스 상태를 기준으로 사전 인증 결정을 내리는 데 매우 뛰어납니다.
Defender for Identity(DfI)는 여러분의 CCTV 시스템이자 현장 보안 요원과 같습니다. 사후 인증 동작, 측면 이동(lateral movement), 내부 이상 징후를 모니터링하는 데 뛰어납니다.
사후 인증 위험이 사전 인증 마찰을 자동으로 그리고 동적으로 높일 때, 즉 세션 진행 중에 바로 그 순간에 진정한 회복력이 생깁니다.

멘탈 모델

이 구성 요소들이 여러분의 환경 안에서 어떻게 상호작용하는지 멘탈 모델을 더 구체적으로 정리해 보겠습니다.

게이트키퍼(CA): 누가 로그인하는지, 어디에 있는지, 디바이스 상태, 로그인 시점의 위험도를 평가하고, 즉시 세션 통제를 적용합니다.
감시자(DfI + M365 Defender): 측면 이동, 비정상적인 리소스 접근 패턴, Kerberoasting, NTLM 악용, 예상치 못한 권한 상승을 탐지합니다.
피드백 루프: 감시자가 의심스러운 동작을 식별하면 사용자 위험 또는 세션 위험 점수가 올라갑니다. 이로 인해 게이트키퍼는 MFA를 강화하거나, 접근을 완전히 차단하거나, 활성 세션을 제한하는 방식으로 통제를 즉시 강화합니다.

통합 청사진 (무엇을, 어떤 순서로 활성화할지)

이 시스템들이 서로 통신하도록 하려면 체계적인 단계별 배포가 필요합니다. 다음 청사진을 따르시기 바랍니다.

위험 인식 CA(기준선)
- Entra ID Protection: 사용자 위험과 로그인 위험 평가를 켭니다.
- CA 정책을 만듭니다.
  - 사용자 위험 = 높음일 때 차단합니다(헬프데스크 워크플로가 지원한다면 비밀번호 변경을 요구하는 방법도 있습니다).
  - 로그인 위험 ≥ 중간일 때 MFA를 요구합니다.
  - 중간에서 높음 수준의 민감도를 가진 앱에는 규정 준수 디바이스를 요구하고, 관리되지 않는 엔드포인트는 디바이스 필터를 사용해 제한된 세션 통제로 바로 보냅니다.
감시자가 게이트키퍼와 통신하도록 설정
- DfI가 경고를 Microsoft 365 Defender와 Sentinel(SIEM/SOAR에 사용하는 경우)로 지속적으로 전송하도록 합니다.
- 심각도가 높은 DfI 경고에 대해 사용자에 대한 "침해 확인" 작업을 자동화합니다. 그러면 Entra ID Protection에서 사용자 위험 = 높음으로 설정되고, CA 정책이 즉시 반응합니다.
- 자동화 경로: M365 Defender 인시던트 → Logic App 또는 Power Automate → Graph Security/Identity Protection API(/riskDetections, /riskyUsers:confirmCompromised) → 선택 사항인 강제 로그아웃.
- 정책 변경이 실제로 활성 토큰을 종료하도록 지원되는 모든 앱(Exchange, SharePoint, Graph)에서 Continuous Access Evaluation(CAE)을 켭니다.
격리를 위한 세션 통제
- 관리되지 않거나 위험한 세션에는 CA에서 바로 Defender for Cloud Apps(세션 프록시)를 배포합니다.
  - CA → Conditional Access App Control 사용(먼저 모니터링한 뒤, 다운로드, 복사/붙여넣기, 인쇄, 동기화와 같은 데이터 유출을 차단합니다).
- 이를 MDE 디바이스 위험 → Intune 규정 준수 → CA "규정 준수 디바이스 필요"와 함께 모든 민감한 애플리케이션에 적용하세요.
특권 ID 보호 장치
- PIM에서 Just-in-Time 액세스를 강제해야 합니다. 권한 상승을 허용하기 전에 MFA + 규정 준수 디바이스 + 위험한 사용자 상태 없음을 요구하세요.
- 사용자 위험 수준이 낮음 이상이면 특권 역할 차단(낮은 위험이라도 예외 없이) 조건부 액세스 정책을 구성해, 관리 역할을 맡기 전에 즉시 분류하도록 강제하세요.

"이것이면 그것": DfI 신호를 CA 조치에 매핑하기

Defender for Identity의 특정 탐지 신호를 자동화된 조건부 액세스 및 대응 조치에 매핑하면 수동적 관찰과 능동적 방어 사이의 간극을 메울 수 있습니다.

DfI / M365 Defender 신호	탐지 예시	자동 대응
의심스러운 측면 이동(SMB/NTLM 이상 징후, 비정상적인 Kerberos TGS 스프레이)	관리자가 아닌 계정이 정상 패턴에서 벗어나 여러 서비스 티켓을 요청함	사용자 침해 확인 → CA에서 액세스 차단(사용자 위험 = 높음) → 새로 고침 토큰 무효화
비정상적인 리소스 액세스(갑작스러운 SharePoint 사이트 크롤링, 대량 파일 액세스)	사용자 기준선과 비교해 방문한 고유 사이트 수와 파일 다운로드가 급증함	CA 추가 인증(step-up MFA) 적용 및 24~72시간 동안 App Control로 라우팅(다운로드 및 인쇄 금지)
자격 증명 탈취 기법(Pass-the-Hash 또는 Pass-the-Ticket)	엔드포인트 활동에서 DfI 보안 ID 경고 발생	액세스 차단 및 암호 재설정 요구, MDE를 통해 디바이스 격리, 레거시 인증 프로토콜 비활성화
특권 역할 오용	비정상적인 업무 외 시간대에 새로운 관리 포털 액세스 발생	PIM 할당을 자동 만료하고, 전체 보안 조사가 끝날 때까지 CA에서 다시 로그인을 차단

먼저 감사/모니터링 모드로 1~2주 동안 실행한 뒤, 신뢰도가 높아지면 경고 클래스별로 대응을 적용 모드로 전환하세요.

샘플 정책(실용적이고 최소한의 구성)

이러한 전략을 실제 환경에 적용하려면 다음 네 가지 기본 정책을 구성하세요.

사용자 위험 = 높음일 때 차단
- 할당 대상: 모든 사용자(비상 액세스 계정 제외), 모든 클라우드 앱
- 조건: 사용자 위험 = 높음
- 권한 부여: 액세스 차단
로그인 위험에 따른 추가 인증
- 할당 대상: 모든 사용자, 중요도가 높은 앱(관리 포털, Exchange, SharePoint, Entra 관리 센터)
- 조건: 로그인 위험 ≥ 중간
- 권한 부여: MFA 필요 + 규정 준수 디바이스(또는 관리되는 디바이스) 필요
관리되지 않는 세션 제한
- 할당 대상: 모든 사용자, SharePoint/OneDrive/Teams
- 디바이스 상태: 하이브리드 조인/규정 준수는 예외 처리, 관리되지 않음은 적용
- 세션: Conditional Access App Control 사용(다운로드 차단)
권한 상승 보호
- 할당 대상: 디렉터리 역할 = 특권 관리 역할
- 조건: 사용자 위험 ≥ 낮음 또는 로그인 위험 ≥ 중간
- 권한 부여: MFA 필요 + 규정 준수 디바이스 필요, 위험 수준이 높음 이상이면 차단

자동화 플레이북(바로 연결 가능)

자동화는 격리 평균 시간(MTTC)을 줄이는 핵심 비결입니다. 오늘 바로 구축할 수 있는 플레이북 두 가지를 소개합니다.

플레이북 A: DfI 고심각도 경고 → ID 격리

트리거: IdentityThreatHigh 태그가 지정된 M365 Defender 인시던트
작업:
1. Graph API – 사용자 침해 확인(사용자 위험을 높음으로 설정)
2. Entra ID – 새로 고침 토큰 즉시 취소
3. Intune/MDE – 디바이스 격리(연결된 기본 디바이스가 하나인 경우)
4. ServiceNow/JSM – 타임라인과 수집된 아티팩트를 포함한 인시던트 티켓 생성
5. Teams 적응형 카드로 SOC와 사용자 담당자에게 알리고, 오탐에 대비해 원클릭 롤백 버튼 제공

플레이북 B: 비정상적인 SharePoint 액세스 급증

트리거: Defender 경고 "비정상적인 파일 다운로드"
작업:
1. AAD 확장 특성을 통해 사용자에 UnderInvestigation 태그 지정
2. 다운로드와 인쇄를 차단하는 App Control로 연결되도록 사용자를 조건부 액세스 정책으로 전환합니다.
3. 영향을 받은 SharePoint 사이트에 eDiscovery 보존 적용(선택 사항, 규정 준수 요구 사항에 따라 다름)
4. SOC가 수동으로 연장하지 않는 한 72시간 후 격리 자동 해제

헌팅 & 유용한 쿼리

사전 헌팅을 하면 공격자가 악용하기 전에 취약점을 찾아낼 수 있습니다. M365 Defender Advanced Hunting에서 다음 쿼리를 사용하세요.

30일 기준선과 비교해 사용자의 SharePoint 사이트 액세스가 급증한 경우:


let lookback=30d;
let recent=1h;
let baseline = CloudAppEvents
    | where Timestamp between (ago(lookback) .. ago(recent))
    | where Application == "SharePoint" and ActionType == "FileAccessed"
    | summarize uniqSites=dcount(SiteUrl) by AccountUpn;
CloudAppEvents
| where Timestamp >= ago(recent)
| where Application == "SharePoint" and ActionType in ("FileDownloaded","FileAccessed")
| summarize curSites=dcount(SiteUrl), dls=sumif(1, ActionType=="FileDownloaded") by AccountUpn
| join kind=leftouter baseline on AccountUpn
| where curSites > 3 * coalesce(uniqSites,1) or dls > 500

이후 DfI 경고와 밀접하게 연결된 로그인 위험 급증:


let riskySignIns = IdentityLogonEvents
| where RiskLevelDuringSignIn in ("medium","high")
| project AccountUpn, Timestamp, RiskLevelDuringSignIn;
let dfiAlerts = IdentityDirectoryEvents
| where EventType startswith "DefenderForIdentity"
| project AccountUpn, DfiTime=Timestamp, AlertType=EventType;
riskySignIns
| join kind=inner dfiAlerts on AccountUpn
| where DfiTime between (Timestamp .. Timestamp + 4h)

효과를 입증하는 지표

경영진에게 보고할 때는 실질적인 위험 감소를 보여 주는 지표가 필요합니다. 다음 핵심 성과 지표(KPI)를 추적하십시오.

신원 인시던트의 MTTC(Mean Time To Contain, 평균 封쇄 시간)(경고 생성부터 CA 시행까지의 시간) ↓
공격자 체류 시간(최초 의심 행위부터 완전한 修復까지의 시간) ↓
차단된 위험 세션(정책이 작동한 이벤트) ↑ 동시에 오탐률 ↓
위험 사용자 백로그 경과 기간(24시간이 넘은 미해결 사례) ↓
토큰 취소 지연 시간(초 단위로 측정) ↓
위험으로 인한 권한 상승 실패(피해가 발생하기 전에 조기에 차단된 건) ↑ 이후 시간이 지나면서 정상 수준으로 안정화
ID, 디바이스, 앱 전반의 보안 점수 ↑ 이때 헬프데스크 티켓이 전혀 급증하지 않아야 합니다

30/60/90 롤아웃 전략

모든 것을 하룻밤에 바꾸려고 하지 마십시오. 다음 단계별 일정을 활용하십시오.

0~30일 (기반 구축)

Entra 사용자 및 로그인 위험 설정을 사용하도록 설정하고, CA 기준 정책을 감사 모드로 배포한 뒤 시행 모드로 전환하십시오.
Defender for Identity를 M365 Defender에 온보딩하고, 경고와 핵심 엔터티 매핑을 검증하십시오.
지원되는 앱에 대해 Continuous Access Evaluation(CAE)을 켜고, MDE 디바이스 위험과 Intune 규정 준수 통합을 구성하십시오.

31~60일 (피드백 및 封쇄)

Logic Apps에서 플레이북 A와 B를 구축하고, 드라이 런 상태에서 철저히 테스트하십시오.
관리되지 않는 세션에 대해 2~3개의 협업 비즈니스 팀을 대상으로 App Control을 파일럿으로 적용하십시오.
PIM 권한 상승 가드레일 정책을 구현하십시오.

61~90일 (시행 및 측정)

신뢰도가 높은 경고에 대해 자동화된 플레이북을 완전한 시행 모드로 전환하십시오.
위에 나열된 지표를 추적하는 신원 보안 통합 문서(Sentinel 또는 Power BI)를 구축하십시오.
분기별 퍼플 팀 훈련을 실시하여 실제 공격 시나리오에서 MTTC, 토큰 취소 속도, CA 정책 전환을 검증하십시오.

흔한 함정과 더 안전한 기본값

구현 과정에서 다음과 같은 흔한 실수를 주의하십시오.

함정: CA의 로그인 위험에만 의존하는 것 → 해결: 사용자 위험과 인증 후 DfI 경고에도 대응하십시오.
함정: CAE를 구성하지 않아 오래된 토큰이 침해된 세션을 계속 살려 두는 것 → 해결: CAE를 켜고 토큰 취소를 자동화된 플레이북에 직접 포함하십시오.
함정: 전사적으로 파일 다운로드를 광범위하게 차단하여 사용자 반발을 일으키는 것 → 해결: App Control은 세션이 관리되지 않거나 위험한 경우에만 선택적으로 적용하십시오.
함정: 공격적인 자동 침해 워크플로로 인해 경고 폭주와 오탐이 발생하는 것 → 해결: 자동화를 다중 신호 검증(예: DfI 높음 경고 + 비정상적인 다운로드 양 + 업무 시간 외 접근) 뒤에 배치하십시오.
함정: 자동 위험 정책으로 인해 비상 액세스(break-glass) 계정이 실수로 잠기는 것 → 해결: 두 개의 철저히 모니터링되는 비상 액세스 계정을 제외하고, 자격 증명을 분기별로 교체하십시오.

복사/붙여넣기용 자료

이러한 변경 사항을 조직 전체에 전달하기 위해 다음의 즉시 사용 가능한 문구를 활용하십시오.

경영진용 CAB 한 줄 요약:

로그인 이후의 사용자 행동을 액세스 제어 결정에 성공적으로 연결했습니다. 계정이 비정상적으로 행동하면 세션 내에서 보안 확인 단계를 추가하거나 액세스를 차단합니다. 이를 통해 일상적인 업무 속도를 늦추지 않으면서 공격자 체류 시간을 획기적으로 줄입니다.

관리자용 변경 노트:

새로운 조건부 액세스 정책은 이상 위험이 감지되면 추가 MFA 인증을 요청하거나 액세스를 차단할 수 있습니다. 이제 원격 측정 데이터를 기반으로 활성 인증 토큰을 세션 중에도 취소할 수 있습니다. 비상 액세스 계정은 계속해서 명시적으로 제외됩니다. 영향 분석은 Identity Resilience 통합 문서를 모니터링하십시오.

소유자 친화적인 Teams 알림 카드(자동):

“회원님의 계정에서 비정상적인 파일 활동이 감지되었습니다. 관리되지 않는 디바이스에서의 다운로드 비활성화와 같은 임시 보호 조치를 적용했습니다. 본인이 수행한 작업이라면 확인을 클릭하십시오. 본인이 아니라면 즉시 신고를 클릭하십시오.”