계정 탈취를 조기에 찾는 IdP 위협 신호 7가지
SSO와 MFA 운영 중 놓치기 쉬운 로그인·세션·관리자 변경 신호를 식별하고, IdP 감사 로그로 대응 우선순위를 정하는 방법을 설명합니다.
SSO를 도입했다고 계정 탈취가 사라지는 것은 아닙니다. 공격자는 비밀번호뿐 아니라 세션 토큰, MFA 복구 절차, 관리자 설정 변경을 노립니다. 최근 IAM 분야에서 아이덴티티 위협 탐지 및 대응(ITDR)이 주목받는 이유도 인증 성공 여부만으로는 정상 사용자와 공격자를 구분하기 어렵기 때문입니다.
전용 탐지 제품을 바로 도입하기 전에도 IdP 감사 로그를 중심으로 관찰 항목과 대응 기준을 정하면 탐지 공백을 줄일 수 있습니다. 핵심은 이벤트 하나를 단정적으로 공격으로 보지 않고, 여러 신호의 조합과 업무 맥락을 확인하는 것입니다.
우선 확인할 7가지 위협 신호
- 짧은 시간에 여러 국가나 네트워크에서 로그인이 성공합니다.
- 반복된 로그인 실패 직후 익숙하지 않은 환경에서 성공합니다.
- MFA 재설정 직후 고권한 앱이나 관리자 화면에 접근합니다.
- 평소와 다른 브라우저에서 새 세션이 다수 생성됩니다.
- 퇴사 예정자나 휴면 계정의 활동이 다시 시작됩니다.
- 관리자 역할, 그룹, 앱 할당이 업무 시간 밖에 변경됩니다.
- SAML 인증서, OIDC 리디렉션 URI 같은 신뢰 설정이 예고 없이 바뀝니다.
각 항목에는 정상 사유가 있을 수 있습니다. 출장, VPN, 기기 교체, 계획된 배포가 대표적인 예입니다. 따라서 사용자, 테넌트, 대상 앱, IP, 기기, 변경 전후 값, 승인 기록을 함께 남겨야 오탐을 줄일 수 있습니다. 세션 탈취의 특성과 방어 원칙은 세션 토큰 탈취 대응 가이드에서 더 자세히 확인할 수 있습니다.
신호별 대응 수준을 미리 정하세요
즉시 차단할 조건
관리자 권한 상승과 새 기기 로그인이 연속해서 발생하거나, 퇴사자 계정에서 민감한 앱 접근이 확인되면 세션 폐기, 계정 잠금, 자격 증명 재설정을 우선합니다. 단, 담당자의 임의 판단에만 맡기지 말고 차단 기준과 복구 승인자를 런북에 명시해야 합니다.
추가 확인할 조건
낯선 IP처럼 단일 신호만 발생한 경우에는 사용자 확인과 최근 변경 이력을 먼저 조사합니다. 모든 이상 징후를 즉시 차단하면 업무 중단과 경보 피로가 커집니다. 사고 조사에 필요한 로그 항목과 보존 기간은 SSO 감사 로그 보존 정책을 참고하세요.
멀티 테넌트에서는 고객사 맥락을 분리하세요
같은 IP나 앱이라도 고객사별 정상 패턴은 다릅니다. 경보와 조사 권한을 테넌트 단위로 분리하고, 한 고객사의 관리자가 다른 고객사의 사용자·로그를 볼 수 없게 해야 합니다. 공통 운영자가 조사할 때도 조회 목적과 작업 이력을 남기는 것이 안전합니다.
AxiPass는 기업 고객별 테넌트에서 OIDC/SAML SSO, SCIM, MFA, SWA와 감사 로그를 통합 관리할 수 있도록 돕습니다. 먼저 위협 신호와 대응 기준을 문서화하고, 중앙화된 인증 기록을 실제 조사와 복구에 사용할 수 있는 운영 체계로 바꾸세요.