기존 IAM과 ITDR 비교: 정적 규칙이 더 이상 통하지 않는 이유

By Mirko Peters · 2026-08-13

블로그에 다시 오신 것을 환영합니다. 저희 팟캐스트를 꾸준히 들어 주셨다면, 저희가 복잡한 보안 프레임워크를 자세히 풀어 설명하고 관리자들이 클라우드 및 온프레미스 환경을 제대로 이해하도록 돕는 데 많은 시간을 쓴다는 것을 아실 겁니다. 오늘은 최신 보안 운영 센터(SOC)의 운영 방식을 바꾸고 있는 주제를 더 깊이 다루려 합니다. 바로 기존 보안 경계에서 벗어나 고급 ID 보호로 옮겨 가는 흐름입니다. 특히 기존 ID 및 액세스 관리(IAM)가 왜 자격 증명 기반의 정교한 공격으로부터 조직을 보호하기에 더 이상 충분하지 않은지, 그리고 ID 위협 탐지 및 대응(ITDR)이 지속적인 보안 모니터링의 표준으로 떠오른 이유가 무엇인지 이야기해 보겠습니다.

Automatically translated with AI from the original post. Read the English original

블로그에 다시 오신 것을 환영합니다. 저희 팟캐스트를 꾸준히 들어 주셨다면, 저희가 복잡한 보안 프레임워크를 자세히 풀어 설명하고 관리자들이 클라우드 및 온프레미스 환경을 제대로 이해하도록 돕는 데 많은 시간을 쓴다는 것을 아실 겁니다. 오늘은 최신 보안 운영 센터(SOC)의 운영 방식을 바꾸고 있는 주제를 더 깊이 다루려 합니다. 바로 기존 보안 경계에서 벗어나 고급 ID 보호로 옮겨 가는 흐름입니다. 특히 기존 ID 및 액세스 관리(IAM)가 왜 자격 증명 기반의 정교한 공격으로부터 조직을 보호하기에 더 이상 충분하지 않은지, 그리고 ID 위협 탐지 및 대응(ITDR)이 지속적인 보안 모니터링의 표준으로 떠오른 이유가 무엇인지 이야기해 보겠습니다.

원격 근무, 하이브리드 클라우드 아키텍처, 자동화된 스크립트가 일상 업무를 좌우하는 지금, 기존의 경계는 사실상 사라졌습니다. 공격자들은 더 이상 방화벽을 뚫으려 하지 않습니다. 대신 훔친 자격 증명으로 그냥 로그인합니다. 정적 규칙이 왜 한계에 부딪혔는지, 그리고 최신 도구가 그 간극을 어떻게 메우고 있는지 제대로 이해하시려면 동반 팟캐스트 에피소드 Microsoft Defender for Identity - Simply Explained를 들어 보시기 바랍니다. 이 에피소드에서는 기업 ID를 안전하게 지키는 실질적인 작동 원리를 바로 다룹니다.

기존 IAM과 ITDR 이해하기

최신 보안 방식이 왜 이토록 빠르게 발전하고 있는지 이해하려면, 먼저 과거의 도구를 살펴볼 필요가 있습니다. 기존 ID 및 액세스 관리 도구는 주로 수명 주기 관리와 프로비저닝을 위해 만들어졌습니다. 이 도구들의 핵심 역할은 간단한 질문에 답하는 것이었습니다. 이 사용자는 누구인가? 어떤 그룹에 속해 있는가? 특정 파일 공유 폴더나 애플리케이션에 접근할 권한이 있는가? 사용자가 인증에 성공해 토큰이나 배지를 받고 나면, 기존 IAM 시스템은 대체로 뒤로 물러나 모든 것이 정상이라고 가정했습니다.

이제 ID 위협 탐지 및 대응, 흔히 ITDR이라고 부르는 영역이 등장합니다. ITDR은 인증 이후에 존재하는 막대한 가시성 격차를 해소하기 위해 설계되었습니다. 기존 IAM이 접근 제어, 프로비저닝, 정적 정책에 초점을 맞추는 반면, ITDR은 지속적인 모니터링, 비정상적인 사용자 행동 탐지, 그리고 실시간으로 진행 중인 ID 기반 침해에 대한 대응에 초점을 맞춥니다. 올바른 비밀번호를 입력했다고 해서 그 사람이 해당 계정의 정당한 소유자라는 뜻은 아니라는 점을 전제로 합니다.

최신 보안에서 정적 규칙의 한계

기존 보안 모델의 가장 큰 결함 중 하나는 정적 규칙에 과도하게 의존한다는 점입니다. 수십 년 동안 보안 팀은 하드코딩된 정책, 단순한 임계값 트리거, 미리 정의된 악성 주체 목록에 의존해 왔습니다. 로그인 시도가 정상 업무 시간에 회사 IP 주소에서 이루어지는 등 특정 정적 조건을 충족하면, 그 이후에 무슨 일이 일어나든 자동으로 안전한 것으로 간주되었습니다.

안타깝게도 최신 사이버 범죄자들은 이런 정적 장벽을 손쉽게 우회하는 법을 익혔습니다. 공격자들은 정상적인 관리자 자격 증명을 사용하고, LotL(Living-off-the-Land) 바이너리를 실행하며, 정상적인 업무 트래픽을 교묘하게 모방해 기존 규칙 기반 경보에 전혀 걸리지 않습니다. 보안 체계가 전적으로 정적 규칙에 기대고 있다면, 이는 결국 공격자가 알려지고 예측 가능한 시나리오대로 움직이기를 기다리는 것과 다르지 않습니다. 공격자가 조금이라도 벗어나거나 피싱으로 확보한 정상 자격 증명을 활용하면, 기존 IAM 시스템은 환경 내부에서 전개되는 악의적 활동을 전혀 알아채지 못합니다.

행동 분석이 판도를 바꾸는 방식

정적 규칙을 우회하는 공격에 대응하려면 보안 설계자들은 기업 트래픽을 모니터링하는 방식 자체를 근본적으로 다시 생각해야 했습니다. 바로 이 지점에서 행동 분석이 등장합니다. 행동 분석은 어떤 행위가 경직된 사전 정의 규칙을 위반하는지 묻는 대신, 훨씬 강력한 질문을 던집니다. 이것이 이 특정 사용자에게 정상적인 행동인가?

행동 분석 엔진은 시간에 따른 정상 활동을 기준선으로 학습합니다. 사용자의 일반적인 로그인 시간, 선호하는 워크스테이션, 평소 파일 접근 속도, 표준 그룹 멤버십 변화 패턴, 심지어 타이핑 리듬이나 탐색 습관까지 파악합니다. 계정이 침해되더라도 공격자가 피해자의 일상적인 행동을 세밀한 부분까지 완벽하게 모방하는 경우는 드뭅니다. 이러한 행동 패턴을 지속적으로 평가하면 보안 솔루션은 비정상적인 측면 이동(lateral movement), 디렉터리 복제 요청의 갑작스러운 증가, 예상치 못한 권한 상승 같은 미묘한 이상 징후를 포착할 수 있습니다. 위협 행위자가 최종 목표를 달성하기 훨씬 전에 말입니다.

실시간 모니터링과 Active Directory 신호

사이버 보안에서는 가시성이 전부입니다. 디렉터리 서비스 전반에서 무슨 일이 일어나고 있는지 볼 수 없다면 이를 방어할 수도 없습니다. 최신 ITDR 플랫폼은 온-프레미스 Active Directory와 클라우드 기반 ID 공급자를 포함해 ID 인프라의 핵심 신호에 직접 연결되어 뛰어난 성능을 발휘합니다.

실시간 모니터링은 인증 및 권한 부여 과정에서 위험 요소를 동적으로 평가합니다. 다음 날 아침 보고서를 생성하는 대신, 견고한 ITDR 도구는 요청이 발생하는 바로 그 순간에 IP 평판, 디바이스 규정 준수 상태, 비정상적인 사용자 에이전트, 불가능한 이동(impossible travel) 시나리오 같은 컨텍스트 변수를 분석합니다. 세션 도중 위협이 탐지되면 시스템은 즉시 다단계 인증(MFA) 요구를 적용하거나, 세션 토큰을 취소하거나, 심각한 피해가 발생하기 전에 액세스를 일시적으로 제한할 수 있습니다.

AI 기반 위험 점수 산정으로 위협 우선순위 지정

경고 피로(alert fatigue)는 최신 보안 운영 센터(SOC)에서 가장 큰 조용한 위협 요인 중 하나입니다. 모니터링 도구가 매일 수천 건의 저품질 경고를 쏟아내면 분석가는 결국 피로를 느끼게 되고, 그 결과 경고를 놓치거나 사고 대응이 지연됩니다.

최신 ITDR 시스템은 AI 기반 위험 점수 산정으로 이 문제를 해결합니다. 모든 개별 경고를 독립적인 긴급 상황으로 취급하는 대신, AI는 사소한 행동 변화와 약간의 디바이스 컨텍스트 변경처럼 여러 저수준 신호를 상관 분석하여 해당 엔터티에 대한 통합 위험 점수를 산출합니다. 사고는 심각도 지표를 기준으로 투명하게 우선순위가 매겨지므로, SOC 분석가는 어떤 경고에 즉각적인 수동 조치가 필요한지, 어떤 경고를 자동화된 워크플로로 안전하게 처리할 수 있는지 바로 알 수 있습니다.

자동 응답으로 운영 간소화

사이버 보안에서는 속도가 전부입니다. 공격자는 몇 분 안에 ID를 침해하고, 자격 증명을 덤프한 뒤 네트워크 전반으로 측면 이동할 수 있습니다. 사람이 경고를 직접 검토하고, 침해 여부를 확인하고, 조치를 취할 때까지 기다리는 것은 대개 너무 느립니다.

그래서 자동 응답 기능이 매우 중요해졌습니다. 최신 ID 보안 플랫폼은 고심각도 위협이 확인되는 즉시 사전 구축된 플레이북과 자동화된 워크플로를 통해 바로 교정 조치를 취할 수 있습니다. 서비스 주체나 사용자 계정에서 무차별 대입 공격이나 자격 증명 도난의 명백한 징후가 보이면, 시스템은 사람의 개입 없이도 초기 봉쇄 단계에서 계정을 자동으로 비활성화하고, 영향을 받은 엔드포인트를 격리하며, 사고 대응 팀에 알릴 수 있습니다. 이를 통해 체류 시간(dwell time)이 크게 줄고 공격의 영향 범위(blast radius)도 제한됩니다.

하이브리드 및 멀티 클라우드 환경 보호

이제 순수하게 클라우드만, 또는 온-프레미스만 운영하는 조직은 매우 드뭅니다. 대부분의 최신 기업은 온-프레미스 Active Directory 도메인이 Microsoft Entra ID 같은 클라우드 디렉터리와 원활하게 동기화되는 복잡한 하이브리드 환경을 관리합니다.

이러한 하이브리드 환경은 고유한 보안 과제를 낳습니다. 공격자는 권한을 상승시키기 위해 온-프레미스와 클라우드 인프라의 경계를 자주 악용하기 때문입니다. 최신 ID 위협 탐지 도구는 바로 이 간극을 메우도록 설계되어 있습니다. 로컬 도메인 컨트롤러와 클라우드 ID 서비스의 신호를 모두 수집함으로써, 이러한 솔루션은 전체 디지털 환경에 걸친 의심스러운 활동을 한눈에 추적하는 통합 뷰를 제공합니다. 공격자가 오래된 온-프레미스 파일 서버에서 시작해 클라우드 기반 생산성 앱으로 이동하더라도, ID 보호 체계는 완벽한 가시성을 유지합니다.

결론: 선제적 보안 모델로의 전환

정적인 ID 관리에서 동적인 위협 탐지 및 대응으로의 전환은 일시적인 유행이 아니라 현대 위협 환경에서 살아남기 위한 필수 조건입니다. 사이버 범죄자들은 점점 정교해지고 있으며, 경계 방어를 우회하기 위해 정상적인 자격 증명을 점점 더 많이 악용하고 있습니다. 이런 상황에서 레거시 IAM과 경직된 규칙 세트에만 의존하는 전략은 더 이상 현실적인 선택이 아닙니다. 지속적인 행동 모니터링, AI 기반 위험 점수 산정, 실시간 모니터링, 자동화된 대응을 도입하면 조직은 사후 대응 방식에서 진정한 사전 예방형 보안 모델로 전환할 수 있습니다.

이러한 개념이 엔터프라이즈 환경에서 어떻게 구현되는지 더 자세히 알고 싶다면 전체 팟캐스트 에피소드 Microsoft Defender for Identity - Simply Explained를 꼭 들어 보시기 바랍니다. 이러한 도구를 이해하고 올바르게 구현하면, 앞으로 어떤 ID 기반 위협이 등장하더라도 조직이 탄력적으로 대응할 수 있습니다.