Microsoft Entra ID의 로그인 위험과 사용자 위험: 무엇이 다른가?

By Mirko Peters · 2026-10-26

Microsoft Entra ID Protection에서 로그인 위험과 사용자 위험의 핵심 차이점을 알아보고, 조건부 액세스를 올바르게 구성하는 방법을 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra ID Protection의 로그인 위험과 사용자 위험은 서로 다른 보안 지표입니다. 로그인 위험은 개별 인증 시도가 의심스러운지를 평가하는 반면, 사용자 위험은 여러 세션에 걸쳐 계정의 핵심 자격 증명이 유출되었는지를 판단합니다.

핵심 요약

• 로그인 위험은 특정 인증 시도가 정당한 계정 소유자가 아닌 곳에서 발생했을 가능성을 평가합니다.
• 사용자 위험은 계정의 자격 증명이 영구적으로 유출되었거나 데이터 침해에 노출되었는지를 평가합니다.
• 관리되지 않은 단일 로그인 위험은 시간이 지나면서 점차 누적되어 높음 위험 사용자 상태로 표시될 수 있습니다.
• 로그인 위험은 보통 다단계 인증 요구를 통해 즉시 해결되는 반면, 사용자 위험은 대개 안전한 비밀번호 변경을 필요로 합니다.
• 위험 기반 정책, 상세 보고 기록, 자동 해결을 모두 활용하려면 Microsoft Entra ID P2가 필요합니다.

핵심 차이점 이해하기

관리자가 Microsoft Entra ID Protection을 처음 배포할 때 가장 흔한 혼란 중 하나는 로그인 위험과 사용자 위험을 혼동하는 것입니다. 두 지표 모두 Microsoft의 방대한 신호 인텔리전스 네트워크에 의존합니다. 소비자 계정, 기업 테넌트, 심지어 Xbox 서비스에 걸쳐 매일 수조 건의 신호를 분석하지만, 두 지표는 근본적으로 서로 다른 질문에 답합니다.

보안 시스템은 단순한 비정상 로그인과 실제로 탈취된 계정을 같은 방식으로 처리할 수 없습니다. 관리자가 낯선 위치나 예상치 못한 네트워크에서의 로그인마다 계정을 전면 잠그면 생산성이 멈춰 버립니다. 반대로 실제로 침해된 계정에 단순한 일시적 MFA 요구만 적용하면, 챌린지가 만료된 뒤 지속적인 위협 행위자가 다시 로그인할 수 있게 됩니다. 이 두 지표가 각각 어떻게 작동하고 서로 어떻게 상호작용하는지 이해하는 것은 균형 잡힌 클라우드 보안 태세를 설계하는 데 필수적입니다.

로그인 위험이란 무엇인가?

로그인 위험은 오직 한 시점, 즉 사용자가 Microsoft Teams, SharePoint, Outlook 같은 리소스에 액세스를 시도하는 바로 그 순간에만 초점을 맞춥니다. 전적으로 개별 로그인 시도의 특정 상황에 관한 것이며 그 외의 요소는 고려하지 않습니다. 시스템은 이 특정 요청의 속성이 해당 사용자의 일반적인 동작 패턴과 일치하는지를 묻습니다.

Microsoft Entra ID Protection은 실시간 로그인 검사 중 여러 변수를 평가합니다. 여기에는 지리적 위치를 숨기는 데 자주 사용되는 익명 IP 주소에서 시작된 연결, 비현실적인 시간 내에 지리적으로 멀리 떨어진 지역에서 로그인이 발생하는 불가능한 이동(impossible travel) 시나리오, 또는 공격자가 수천 개의 기업 계정에 동시에 하나의 흔한 비밀번호를 시도하는 패스워드 스프레이 공격의 징후가 포함됩니다. 익숙하지 않은 로그인 속성도 동적으로 점수가 매겨지며, 요청이 과거 기준선과 비교해 이례적일수록 위험 점수가 높아집니다.

무엇보다 로그인 위험 점수는 해당 로그인 시도 한 번에만 적용됩니다. 사용자가 그 특정 로그인 과정에서 단계별 다단계 인증(MFA) 요청을 성공적으로 통과하면, 해당 로그인과 관련된 위험은 즉시 해소되며, 사용자는 계정 상태에 지속적인 제약 없이 업무를 계속할 수 있습니다.

사용자 위험이란 무엇인가?

반면 사용자 위험은 단일 로그인과 관련된 것이 아닙니다. 계정 자체의 상태와 무결성에 관한 문제입니다. 사용자 위험은 계정의 자격 증명이 권한 없는 사람의 손에 넘어갔는지를 묻습니다. 즉, 공격자가 사실상 계정의 영구적인 열쇠를 가지고 있어, 원하는 때에 언제든 다시 침입해 데이터를 탈취할 수 있는 상태를 의미합니다.

사용자 위험의 주된 원인은 자격 증명이 알려진 데이터 유출 사고에 노출되는 것입니다. 사용자 이름과 암호가 다크 웹에 유출되거나 정보 탈취 악성코드로 수집되면, Microsoft의 위협 인텔리전스가 해당 자격 증명을 즉시 표시합니다. 그 밖의 지표로는 검증된 위협 행위자의 인프라가 사용자 프로필과 직접 상호작용하는 경우나, 지속적인 무단 접근을 시사하는 비정상적인 활동 패턴이 있습니다.

계정에 사용자 위험이 표시되면, 사용자가 로그아웃한 후에도 위협은 그대로 남습니다. 공격자가 정상적인 세션 범위 밖에서 암호를 획득했을 수 있으므로, 사용자에게 MFA를 요청하는 것만으로는 높은 사용자 위험 점수를 완전히 해결하기 어려운 경우가 대부분입니다. 근본적인 취약점을 해결해야 합니다.

위험 수준은 어떻게 계산되는가

로그인 위험과 사용자 위험 모두 낮음, 중간, 높음의 세 가지 명확한 신뢰도 수준으로 정리됩니다. 이 수준들은 절대적인 이분법적 판단이 아니라, 위협 확률에 대한 기계 학습 기반 추정치를 나타냅니다.

높은 위험은 Microsoft의 자동화된 시스템이 침해에 대한 강력하고 검증된 증거를 확보했음을 의미합니다. 예를 들어 다크 웹 데이터베이스와 일치하는 명시적인 유출 자격 증명이나, 검증된 악성 IP 시그니처가 이에 해당합니다. 중간 위험은 의심스러운 활동의 중간 수준 징후를 나타내며, 절대적 신뢰도는 더 낮습니다. 낮은 위험은 표준 패턴에서 벗어난 비정상적인 행동을 가리키지만, 확실한 악성 지표는 없는 상태입니다.

관리자가 알아야 할 중요한 세부 사항은 이러한 기록이 시간이 지나면서 어떻게 정리되는지입니다. 낮은 위험 항목은 대시보드를 깔끔하고 관리하기 쉽게 유지하기 위해 약 6개월이 지나면 자동으로 만료됩니다. 그러나 중간 및 높은 위험 항목은 스스로 만료되지 않습니다. 자동화된 정책이나 관리자가 명시적으로 조사, 해결 또는 해제할 때까지 관리 센터에 남아 있습니다.

연쇄 효과: 두 위험이 서로 연결되는 방식

로그인 위험과 사용자 위험은 서로 다른 대상을 평가하지만, 보고와 적용 측면에서는 긴밀하게 연결되어 있습니다. 해결되지 않았거나 확인되지 않은 개별 로그인 위험은 시간이 지나면서 누적되고 심화되어, 결국 전체 사용자 위험 점수에 더해질 수 있습니다.

즉, 가장 최근의 로그인 시도가 완전히 정상으로 보이더라도 Entra ID 대시보드에서 위험 사용자로 표시될 수 있습니다. 시스템은 장기적인 침해 가능성을 높이는 의심스러운 행동의 누적 이력을 인식하기 때문입니다. IT 관리자는 두 보고서를 서로 독립된 영역으로 취급하지 말고 함께 검토해야 합니다.

조건부 액세스를 통한 자동 해결

보안 팀이 수동 경고에 파묻히지 않도록, Microsoft Entra 조건부 액세스가 위험 점수와 자동화된 적용 사이의 간극을 메워 줍니다. 조직은 낮음, 중간, 높음 위험 임계값을 넘을 때 작동하는 특정 정책을 구성할 수 있습니다.

로그인 위험의 경우, 정책으로 MFA 요구, 새 로그인 세션 강제 실행, 액세스 완전 차단 등의 조치를 적용할 수 있습니다. 사용자가 MFA 요청을 성공적으로 충족하면, 위험은 즉시 해결됩니다.

사용자 위험의 경우, 정책은 일반적으로 보안 암호 변경 또는 자동 위험 해결을 요구합니다. 위험 해결의 핵심은 상황에 맞게 적응하는 방식입니다. 사용자가 기존 암호로 로그인하면, 시스템은 보안 암호 변경을 요구하고 기존의 모든 세션을 즉시 무효화합니다. 암호 없는 방식으로 로그인하면, 활성 세션을 차단하고 새로운 인증 절차를 요청합니다. 이러한 자동화된 대응은 헬프 데스크 문의량을 크게 줄이는 동시에 공격자의 침투를 즉시 차단합니다.

결론

로그인 위험과 사용자 위험의 차이를 정확히 이해하면, 클라우드 설계자는 일상적인 사용자에게 불필요한 불편을 주지 않으면서 기업 데이터를 보호하는 세밀한 보안 정책을 만들 수 있습니다. 흔한 해결 작업은 자동화에 맡기고, IT 팀은 실제 위협을 조사하는 데 집중할 수 있습니다. 최신 클라우드 환경에서 이러한 보호 계층이 어떻게 작동하는지 더 자세히 알고 싶다면, 팟캐스트 전체 에피소드를 들어보십시오. 구성 모범 사례, 라이선스 요구 사항, 실제 관리 전략을 자세히 다룹니다.

자주 묻는 질문

로그인 위험이 감지되면 어떻게 되나요?

로그인 위험이 감지되면 Microsoft Entra 조건부 액세스는 시도를 자동으로 차단하거나, 액세스를 허용하거나, 다단계 인증(MFA)으로 사용자에게 본인 확인을 요구할 수 있습니다.

낮은 위험 이벤트는 Entra ID Protection 보고서에 얼마나 남아 있나요?

낮은 위험 탐지 항목은 약 6개월 후 자동으로 만료되어 보고서에서 사라집니다. 반면 중간 및 높은 위험 항목은 관리자가 해제하거나 사용자가 직접 해결할 때까지 남아 있습니다.

게스트 계정도 자동 사용자 위험 해결 기능을 사용할 수 있나요?

아니요, 전체 자동 위험 해결 흐름은 게스트 및 외부 사용자에게 작동하지 않습니다. Microsoft Entra ID는 내부 구성원과 같은 방식으로 외부 계정의 세션을 취소하지 않기 때문입니다.

관리 보고서에서 'Confirm safe'와 'Dismiss'의 차이는 무엇인가요?

'Confirm safe'는 해당 경고가 정상적인 동작으로 인한 오탐이었다는 의미로 시스템에 알립니다. 'Dismiss'는 경고가 기술적으로는 참 양성(실제 탐지)이었지만, 예정된 보안 테스트처럼 이 특정 상황에서는 무해했다는 의미입니다.