최근 기업 홈페이지와 온라인 서비스에서 계정 정보를 악용한 침해 사고가 이어지고 있습니다.
최근 개인정보보호위원회가 발표한 개인정보 유출 사고에서도 사전에 확보한 아이디와 비밀번호를 이용한 크리덴셜 스터핑(Credential Stuffing 공격이 확인됐습니다. 해당 공격에서는 로그인 시도 횟수와 로그인 실패율이 급격하게 증가하는 이상징후가 발생했지만 이를 적시에 탐지 및 판단하지 못하면서 개인 정보 유출이 이어졌습니다.
크리덴셜 스터핑이란?
크리덴셜 스터핑(Credential Stuffing)은 다른 경로에서 유출된 아이디와 비밀번호를 확보한 뒤, 여러 웹사이트나 서비스에 반복적으로 대입해 로그인을 시도하는 공격 방식입니다. 계정 정보가 다른 서비스에서도 정상적인 로그인 정보처럼 사용될 수 있습니다.
크리덴셜 스터핑의 특징은 인증 기능 자체를 우회하지 않고 정상적인 로그인 절차를 악용할 수 있다는 점입니다.
즉, 시스템 입장에서는 정상적인 아이디와 비밀번호를 사용한 로그인처럼 보일 수 있기 때문에 단순한 로그인 성공•실패 여부만으로는 공격을 판단하기 어렵습니다.
크리덴셜 스터핑 공격은 어떻게 개인정보 유출로 이어질까?
공격자는 확보한 다수의 계정 정보를 이용해 반복적으로 로그인을 시도합니다. 이 과정에서 다음과 같은 패턴이 나타날 수 있습니다.
- 짧은 시간 동안 로그인 시도가 급증하는 경우
- 동일 IP에서 여러 계정으로 로그인하는 경우
- 특정 계정에 대한 로그인 실패가 반복되는 경우
- 평소와 다른 패턴으로 로그인에 성공하는 경우
- 로그인 성공 이후 개인정보 조회 등 비정상적인 행위가 이어지는 경우
실제 개인정보보호위원회 조사에서도 동일 IP를 통합 대규모 로그인 시도와 로그인 실패 급증이 확인됐습니다.
이처럼 개별 이벤트만 보면 정상적인 사용자 활동과 구하기 어려울 수 있기 때문에, 여러 이벤트가 어떤 흐름으로 연결되는지를 함께 분석하는 것이 중요합니다.
기업이 확인해야 할 로그인 이상징후
크리덴셜 스터핑에 대응하기 위해서는 로그인 관련 로그를 단순히 저장하는 것에서 그치지 않고 여러 이벤트를 연결해 이상 패턴을 확인하는 체계가 필요합니다.
① 대량 로그인 시도
짧은 시간 동안 비정상적으로 많은 로그인 요청이 발생하고 있는지 확인합니다.
② 로그인 실패 급증
특정 시간대나 IP에서 로그인 실패가 급격하게 증가하는지 확인합니다.
③ 동일 IP의 다수 계정 접근
하나의 IP에서 여러 계정에 반복적으로 접근하는 패턴이 있는지 확인합니다.
④ 비정상적인 로그인 성공
평소와 다른 환경이나 패턴에서 로그인 성공이 발생했는지 살펴봅니다.
⑤ 로그인 이후의 행위
로그인 성공 후 개인정보 조회·수정 등 민감한 기능에 접근하는 행위가 이어지는지 확인합니다.
왜 로그 기반 이상징후 탐지가 필요할까?
크리덴셜 스터핑과 같은 공격을 탐지하기 위해서는 로그인 기록 하나만 확인하는 것으로 충분하지 않습니다.
웹 서버, 애플리케이션, 인증 시스템, 데이터베이스, 네트워크 장비 등 여러 시스템에서 발생하는 로그와 이벤트를 함께 분석해야 공격의 흐름을 파악할 수 있습니다.
다수의 로그인 실패 + 특정 계정 로그인 성공 + 개인정보 조회 증가 + 평소와 다른 접속 환경 |
이러한 이벤트가 함께 발생한다면 각각을 개별적으로 확인하는 것보다 하나의 공격 흐름으로 연결해 분석하는 것이 효과적입니다.
또한 1차 로그인 로그뿐만 아니라 MFA 인증 로그까지 연계해 분석하면, 단순한 로그인 이상 징후와 실제 계정 정보가 노출된 위협을 구분하는 데 도움이 될 수 있습니다. 이를 통해 불필요한 관제 오탐을 줄이고, 보안 운영자가 실제 위협 분석에 집중할 수 있는 환경을 마련할 수 있습니다. 따라서 기업은 주요 시스템에서 발생하는 보안 로그를 통합적으로 수집하고, 정상적인 활동과 다른 패턴을 탐지할 수 있는 보안 운영 환경을 갖추는 것이 중요합니다.
BizInsider SIEM으로 보안 이벤트를 통합 분석
인스피언의 BizInsider SIEM은 기업 환경에서 발생하는 다양한 로그와 이벤트를 통합해 분석하고, 보안 운영자가 위협 상황을 파악할 수 있도록 지원합니다. 특히 단순히 ‘AI 이상 징후 탐지’로만 설명하기보다 실제 기능을 활용하면 다음과 같이 구체적으로 살펴볼 수 있습니다.
자연어 기반 로그 검색
복잡한 검색 문법을 직접 작성하지 않아도 자연어로 필요한 로그와 보안 이벤트를 검색할 수 있습니다.
AI 기반 탐지정책 생성
분석 목적과 보안 요구사항에 맞춰 탐지정책 생성을 지원해 보안 운영자가 탐지 조건을 구성하는 업무를 효율화할 수 있습니다.
실시간 상관분석
여러 시스템에서 발생하는 이벤트를 연관해 분석함으로써 개별 로그만으로 파악하기 어려운 보안 상황을 종합적으로 확인할 수 있습니다.
공격경로 시각화 및 Entity 기반 분석
계정, IP, 서버 등 주요 엔티티의 관계를 연결해 공격자가 어떤 경로로 시스템에 접근했는지 시각적으로 확인할 수 있습니다.
이러한 기능을 활용하면 크리덴셜 스터핑과 같이 다수의 로그인 이벤트가 연속적으로 발생하는 상황에서도 관련 로그를 빠르게 검색하고, 이벤트 간 관계와 공격 흐름을 분석하는 데 도움을 받을 수 있습니다.
크리덴셜 스터핑에 대응, 로그에서 이상 징후를 확인해야 합니다.
크리덴셜 스터핑은 이미 유출된 계정 정보를 이용하기 때문에 기업 내부 시스템에 새로운 취약점이 발생하지 않더라도 공격이 이루어질 수 있습니다. 따라서 로그인 시도와 실패, 성공 이후의 사용자 행위까지 전체 흐름을 로그로 확인하고 이상징후를 빠르게 분석할 수 있는 환경을 갖추는 것이 중요합니다.
BizInsider SIEM은 자연어 기반 로그 검색, AI 기반 탐지 정책 생성, 실시간 상관분석, 공격 경로 시각화 등의 기능을 통해 기업의 로그 분석과 위협 탐지를 지원합니다. 크리덴셜 스터핑과 같은 계정 정보 악용 공격에 대비하기 위해서는 공격을 차단하는 것뿐만 아니라 공격 과정에서 나타나는 이상 징후를 얼마나 빠르게 발견하고 분석할 수 있는지 함께 점검해야 합니다.
|
자세히 보기 →
최근 기업 홈페이지와 온라인 서비스에서 계정 정보를 악용한 침해 사고가 이어지고 있습니다.
최근 개인정보보호위원회가 발표한 개인정보 유출 사고에서도 사전에 확보한 아이디와 비밀번호를 이용한 크리덴셜 스터핑(Credential Stuffing 공격이 확인됐습니다. 해당 공격에서는 로그인 시도 횟수와 로그인 실패율이 급격하게 증가하는 이상징후가 발생했지만 이를 적시에 탐지 및 판단하지 못하면서 개인 정보 유출이 이어졌습니다.
크리덴셜 스터핑이란?
크리덴셜 스터핑(Credential Stuffing)은 다른 경로에서 유출된 아이디와 비밀번호를 확보한 뒤, 여러 웹사이트나 서비스에 반복적으로 대입해 로그인을 시도하는 공격 방식입니다. 계정 정보가 다른 서비스에서도 정상적인 로그인 정보처럼 사용될 수 있습니다.
크리덴셜 스터핑의 특징은 인증 기능 자체를 우회하지 않고 정상적인 로그인 절차를 악용할 수 있다는 점입니다.
즉, 시스템 입장에서는 정상적인 아이디와 비밀번호를 사용한 로그인처럼 보일 수 있기 때문에 단순한 로그인 성공•실패 여부만으로는 공격을 판단하기 어렵습니다.
크리덴셜 스터핑 공격은 어떻게 개인정보 유출로 이어질까?
공격자는 확보한 다수의 계정 정보를 이용해 반복적으로 로그인을 시도합니다. 이 과정에서 다음과 같은 패턴이 나타날 수 있습니다.
실제 개인정보보호위원회 조사에서도 동일 IP를 통합 대규모 로그인 시도와 로그인 실패 급증이 확인됐습니다.
이처럼 개별 이벤트만 보면 정상적인 사용자 활동과 구하기 어려울 수 있기 때문에, 여러 이벤트가 어떤 흐름으로 연결되는지를 함께 분석하는 것이 중요합니다.
기업이 확인해야 할 로그인 이상징후
크리덴셜 스터핑에 대응하기 위해서는 로그인 관련 로그를 단순히 저장하는 것에서 그치지 않고 여러 이벤트를 연결해 이상 패턴을 확인하는 체계가 필요합니다.
① 대량 로그인 시도
짧은 시간 동안 비정상적으로 많은 로그인 요청이 발생하고 있는지 확인합니다.
② 로그인 실패 급증
특정 시간대나 IP에서 로그인 실패가 급격하게 증가하는지 확인합니다.
③ 동일 IP의 다수 계정 접근
하나의 IP에서 여러 계정에 반복적으로 접근하는 패턴이 있는지 확인합니다.
④ 비정상적인 로그인 성공
평소와 다른 환경이나 패턴에서 로그인 성공이 발생했는지 살펴봅니다.
⑤ 로그인 이후의 행위
로그인 성공 후 개인정보 조회·수정 등 민감한 기능에 접근하는 행위가 이어지는지 확인합니다.
왜 로그 기반 이상징후 탐지가 필요할까?
크리덴셜 스터핑과 같은 공격을 탐지하기 위해서는 로그인 기록 하나만 확인하는 것으로 충분하지 않습니다.
웹 서버, 애플리케이션, 인증 시스템, 데이터베이스, 네트워크 장비 등 여러 시스템에서 발생하는 로그와 이벤트를 함께 분석해야 공격의 흐름을 파악할 수 있습니다.
이러한 이벤트가 함께 발생한다면 각각을 개별적으로 확인하는 것보다 하나의 공격 흐름으로 연결해 분석하는 것이 효과적입니다.
또한 1차 로그인 로그뿐만 아니라 MFA 인증 로그까지 연계해 분석하면, 단순한 로그인 이상 징후와 실제 계정 정보가 노출된 위협을 구분하는 데 도움이 될 수 있습니다. 이를 통해 불필요한 관제 오탐을 줄이고, 보안 운영자가 실제 위협 분석에 집중할 수 있는 환경을 마련할 수 있습니다. 따라서 기업은 주요 시스템에서 발생하는 보안 로그를 통합적으로 수집하고, 정상적인 활동과 다른 패턴을 탐지할 수 있는 보안 운영 환경을 갖추는 것이 중요합니다.
BizInsider SIEM으로 보안 이벤트를 통합 분석
인스피언의 BizInsider SIEM은 기업 환경에서 발생하는 다양한 로그와 이벤트를 통합해 분석하고, 보안 운영자가 위협 상황을 파악할 수 있도록 지원합니다. 특히 단순히 ‘AI 이상 징후 탐지’로만 설명하기보다 실제 기능을 활용하면 다음과 같이 구체적으로 살펴볼 수 있습니다.
자연어 기반 로그 검색
복잡한 검색 문법을 직접 작성하지 않아도 자연어로 필요한 로그와 보안 이벤트를 검색할 수 있습니다.
AI 기반 탐지정책 생성
분석 목적과 보안 요구사항에 맞춰 탐지정책 생성을 지원해 보안 운영자가 탐지 조건을 구성하는 업무를 효율화할 수 있습니다.
실시간 상관분석
여러 시스템에서 발생하는 이벤트를 연관해 분석함으로써 개별 로그만으로 파악하기 어려운 보안 상황을 종합적으로 확인할 수 있습니다.
공격경로 시각화 및 Entity 기반 분석
계정, IP, 서버 등 주요 엔티티의 관계를 연결해 공격자가 어떤 경로로 시스템에 접근했는지 시각적으로 확인할 수 있습니다.
이러한 기능을 활용하면 크리덴셜 스터핑과 같이 다수의 로그인 이벤트가 연속적으로 발생하는 상황에서도 관련 로그를 빠르게 검색하고, 이벤트 간 관계와 공격 흐름을 분석하는 데 도움을 받을 수 있습니다.
크리덴셜 스터핑에 대응, 로그에서 이상 징후를 확인해야 합니다.
크리덴셜 스터핑은 이미 유출된 계정 정보를 이용하기 때문에 기업 내부 시스템에 새로운 취약점이 발생하지 않더라도 공격이 이루어질 수 있습니다. 따라서 로그인 시도와 실패, 성공 이후의 사용자 행위까지 전체 흐름을 로그로 확인하고 이상징후를 빠르게 분석할 수 있는 환경을 갖추는 것이 중요합니다.
BizInsider SIEM은 자연어 기반 로그 검색, AI 기반 탐지 정책 생성, 실시간 상관분석, 공격 경로 시각화 등의 기능을 통해 기업의 로그 분석과 위협 탐지를 지원합니다. 크리덴셜 스터핑과 같은 계정 정보 악용 공격에 대비하기 위해서는 공격을 차단하는 것뿐만 아니라 공격 과정에서 나타나는 이상 징후를 얼마나 빠르게 발견하고 분석할 수 있는지 함께 점검해야 합니다.
자세히 보기 →