오늘:
1,548
어제:
4,982
전체:
3,169,734

자유게시판

조회 수 2056 추천 수 0 댓글 0
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄 첨부
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄 첨부

"무엇보다도 인증키는 본인이 소유하고 있는 인증키 생성매체를 사용해서 본인이 직접 인증키를 생성하여 본인이 직접 입력해야 그나마 정보보안 사고를 예방할 수 있는 최선책"

 

안전한 사용자와 기기 인증 기술은 사용자 계정이 탈취돼 공격자가 정상 계정 정보를 이용해 접근을 시도하는 것도 막을 수 있다. 그런데 인증에 필요한 정보까지 모두 공격자가 입수한다면 아무리 강력한 인증도 소용없게 된다.

 

MFA 피로공격은, 공격자가 일부러 잘못된 MFA 정보를 입력해 사용자가 실수로, 혹은 귀찮아서 MFA 설정 초기화 확인 버튼을 누르게 한 후, 공격자 정보로 MFA를 등록하는 방식으로 강력 인증을 무력화한다.

 

MFA 설정이 되지 않은 휴면계정에 MFA를 무단으로 등록한 후 정상 권한계정 사용자로 위장하거나, 사용자 정보를 미리 입수한 공격자가 MFA 발급 조직에 직접 연락해 MFA를 재설정하기도한다. 글로벌 기업은 시차를 이용해 공격하기 쉽다. 피해자가 자고 있는 시간에 MFA를 재설정하거나 비행기를 이용해 이동중일 때, 이 외 연락이 어려울 때 MFA를 재설정한다.

 

‘갈수록 정교해지는 클라우드 인프라 공격’이다. 아마존(Amazon), 마이크로소프트(Microsoft), 구글(Google) 등에 대한 클라우드 인프라 공격이 증가하고 있다. 다중인증(MFA), 프록시 침투, API 실행을 활용한 더욱 정교한 공격이 지속되고 있지만, 가장 흔한 공격 기법은 유효한 계정을 악용하는 것이다. 이 같은 공격은 다른 공격 기법보다 2배 더 많이 탐지되고 있다. 특히, 원격근무 환경에서 사용자 계정의 비정상적인 접근은 심각한 수준으로 드러났다.

 

날로 지능화된 사이버 공격에 대응하기 위하여 정보자산의 보안강화를 위한 다중인증(MFA)의 인증키는 무엇보다도 본인이 소유하고 있는 인증키 생성매체를 사용해서 본인이 직접 인증키를 생성하여 본인이 직접 입력해야 그나마 보안 사고를 예방할 수 있다.

 

20231214_111444.png

 

현재 발생하고 있는 보안 사고는 SMS나 이메일 같은 문자기반 인증 또는 서비스 채널과 인증 채널이 분리되어 있는 다중인중(MFA) 중 2채널 방식의 인증이 사이버 범죄의 1순위이다.

 

다운로드 (1).png

 

요즘들어, 사이버 공격자들은 휴면 계정을 이용하면 공격자가 다중인증(MFA)을 마음대로 발급받을 수 있다. 맨디언트가 조사한 솔라윈즈 공급망 공격 그룹 APT29의 공격 방법 중 하나가, 휴면계정을 이용해 다중인증(MFA)을 자체 등록한 것이었다. 조직에서 처음 다중인증(MFA)을 시행할 때 첫 번째 다중인증(MFA) 장치를 등록할 수 있는데, 다중인증(MFA)을 등록하지 않은 사용자 이름과 암호를 알고 있으면 모든 위치와 장치에서 계정에 액세스 해 다중인증(MFA)을 등록할 수 있다.

 

또한, 우버를 해킹한 공격자는 의도적으로 로그인 실패를 반복한 후 기술부서를 사칭해 인증을 허락해 달라고 요청해 다중인증(MFA)의 우회기술을 이용하여 이중인증을 피했다. 유사한 방법으로 다중인증(MFA) 피로 공격도 있다. 공격자는 다중인증(MFA)을 실패하게 해 사용자 본인에게 계속 알람이 울리도록 한다. 피해자는 계속 울리는 알람에 귀찮아서, 혹은 실수로 접근을 허용해 다중인증(MFA) 우회 공격에 당할 수 있다.

 

날로 지능화된 사이버 공격에 대응하기 위한 최적의 보안 대책으로 기존의 지식기반 인증(ID/비밀번호)과 소유기반 인증(일회용 인증키)에 지문이나 안면 같은 사람의 고유한 특징인 생체인식을 통해 인증하는 속성기반 인증을 추가한 3단계 인증체계가 정보자산의 보안 강화에 최적화된 방안이다.

 

다운로드.png

 

결론은 "다중인증(MFA)을 도입했다"는 것이 아니라 기술 및 보안성 등 "어떤 다중인증(MFA)을 도입했느냐"가 관건.


List of Articles
번호 제목 추천 수 글쓴이 날짜 조회 수
22 사용자 식별.인증을 위한 탈중화 방식의 다계층 인증 시스템 필요성 file 0 BaroPAM 2024.09.22 85
21 ‘다계층 인증체계’ 적용을 통한 안전한 IT 환경 구축 file 0 BaroPAM 2024.09.17 95
20 "8자리 숫자 푸는데 단 37초" 충격…내 '비밀번호'도 뚫린다 file 0 BaroPAM 2024.08.27 300
19 다계층 보안레벨의 인증 솔루션으로 클라우드의 정보자산 보호 file 0 BaroPAM 2024.08.18 102
18 서버리스 인프라 취약점을 악용하는 사이버 공격 증가 file 0 BaroPAM 2024.08.11 110
17 사이버 보안(Cyber security) 중요성과 보안 정책 file 0 BaroPAM 2024.07.27 78
16 차세대 BaroPAM 솔루션이 가고자 하는 방향 file 0 BaroPAM 2024.07.07 134
15 위험에 빠진 ID 보안, 조직의 90%가 피해 경험, 2차 인증 구현이 최선의 방안 file 0 BaroPAM 2024.06.07 308
14 정보자산의 보안 강화를 위한 2차인증 도입의 필요성 및 도입 시 검토사항 file 0 BaroPAM 2024.05.15 348
13 VPN 겨냥한 비밀번호 분사 공격을 방어하기 위한 방안 file 0 BaroPAM 2024.04.28 456
12 오픈 소스로 셀프 호스팅이 가능한 온라인 채팅 서비스인 Mattermost의 보안을 강화하기 위한 방안 file 0 BaroPAM 2024.04.20 360
11 보안 강화를 위한 개방형OS인 하모니카OS에 다중인증 솔루션인 BaroPAM 연동 file 0 BaroPAM 2024.04.13 578
10 2차 인증: 기업의 ERP 시스템을 해커로부터 지키는 방법 file 0 BaroPAM 2024.04.07 304
9 새로운 정보보호 패러다임(제로 트러스트 보안)의 보안 강화를 위해서는 가장 중요한 기본 사항 file 0 BaroPAM 2024.03.23 262
8 [긴급] 자동 로그인 기능 악용한 로그인 정보 탈취 범죄 급증…주의 1 file 0 BaroPAM 2024.03.09 326
7 정보자산의 보안 강화를 위한 인증 솔루션의 보안 취약점 file 0 BaroPAM 2024.01.24 1359
6 OpenVPN를 이용한 두 마리 토끼(관리/운영비용 절감, 보안 강화) 잡는 방안 file 0 BaroPAM 2023.12.19 1842
» 강력한 MFA도 무력화하는 MFA 피로공격과 MFA 우회기술 방어 file 0 BaroPAM 2023.12.14 2056
4 비밀번호 없이 로그인하는 패스워드리스 인증으로 보안·편의성 강화 file 0 BaroPAM 2023.12.09 1773
3 주기적으로 비밀번호를 변경하는 것이 온라인 해킹 침해를 결코 막지 못한다. file 0 BaroPAM 2023.11.29 2388
Board Pagination Prev 1 2 Next
/ 2
CLOSE