기업의 정보시스템에는 일반 사용자보다 훨씬 강력한 권한을 가진 관리자 계정이 존재한다. 이러한 계정은 서버 설정을 변경하거나 데이터베이스에 접근하고, 사용자 권한을 수정하거나 보안 설정을 변경하는 등 중요한 작업을 수행한다.
문제는 관리자 계정이 공격자에게 탈취되거나 내부에서 부적절하게 사용될 경우 피해 범위가 일반 사용자 계정보다 훨씬 커질 수 있다는 점이다. 관리자 권한을 이용하면 중요한 데이터를 조회하거나 시스템 설정을 변경할 수 있으며, 경우에 따라 보안 기능을 비활성화하거나 다른 계정에 권한을 부여하는 것도 가능하다.
이러한 위험을 줄이기 위한 보안 체계가 PAM(Privileged Access Management, 특권 접근 관리)이다.
PAM은 단순히 관리자 계정의 비밀번호를 관리하는 솔루션이 아니다. 중요한 시스템에 대한 관리자 접근을 제한하고, 권한이 필요한 시점에만 사용하도록 하며, 실제 작업 내역을 추적할 수 있도록 지원하는 보안 관리 체계이다.
이번 글에서는 PAM의 개념과 주요 기능, 관리자 계정 통제가 필요한 이유, 기업 환경에서의 적용 방식과 운영 시 고려사항을 살펴본다.
1. PAM의 개념과 관리자 계정의 특징
PAM은 서버, 데이터베이스, 네트워크 장비, 클라우드 환경 등에서 높은 권한을 가진 계정과 접근 행위를 관리하고 통제하는 기술 및 운영 체계를 의미한다.
일반 사용자 계정은 업무에 필요한 제한된 기능을 사용하지만, 관리자 계정은 시스템 운영에 직접적인 영향을 줄 수 있는 작업을 수행한다. 대표적인 관리자 계정은 다음과 같다.
- 서버 관리자 계정: Linux의 root, Windows의 Administrator 등
- 데이터베이스 관리자 계정: DB 설정 변경, 계정 생성, 권한 관리 등을 수행하는 계정
- 네트워크 관리자 계정: 방화벽, 라우터, 스위치 등의 설정을 변경하는 계정
- 클라우드 관리자 계정: 클라우드 자원, 사용자 역할, 접근 정책 등을 관리하는 계정
- 보안 관리자 계정: 보안 정책과 접근통제 설정 등을 변경하는 계정
서비스 계정과 자동화 계정도 높은 권한을 보유할 수 있으므로 관리 대상에 포함해야 한다. 다만 사람이 사용하는 관리자 계정과 달리 자동화 계정에는 비밀번호 및 비밀정보 관리, 작업에 필요한 최소 권한 부여, 사용 현황 모니터링 등 별도의 통제 방식이 필요하다.
PAM의 핵심은 관리자 계정의 존재 자체를 금지하는 것이 아니라, 누가 어떤 권한으로 어느 시스템에 접근하고 무엇을 수행할 수 있는지 관리하는 것이다.
2. 관리자 계정 통제가 필요한 이유
2.1 관리자 계정 탈취 시 피해 범위 확대
일반 사용자 계정이 탈취되면 해당 사용자가 접근할 수 있는 정보와 기능을 중심으로 피해가 발생한다. 반면 관리자 계정은 여러 시스템에 접근할 수 있거나 중요한 설정을 변경할 수 있어 침해사고의 영향 범위가 확대될 가능성이 있다.
예를 들어 공격자가 서버 관리자 계정을 탈취한 경우 추가 계정을 생성하거나 서버 설정을 변경할 수 있다. 데이터베이스 관리 권한을 획득하면 중요 정보에 접근하거나 데이터 무결성을 훼손할 위험도 발생한다.
미국 CISA는 실제 보안 점검 사례를 통해 일반 계정과 관리자 계정의 분리, 최소 권한 적용, 관리자 접근 모니터링 및 PAM 도입 검토를 권고하고 있다.
2.2 관리자 계정 공동 사용에 따른 책임 추적의 어려움
기업에서는 운영 편의성을 이유로 여러 담당자가 하나의 관리자 계정을 사용하는 경우가 있다. 예를 들어 여러 서버 담당자가 동일한 root 계정을 사용한다면 시스템에는 root 계정의 작업 기록이 남을 수 있지만, 실제로 누가 해당 작업을 수행했는지 식별하기 어려울 수 있다.
관리자 계정의 공동 사용은 다음과 같은 문제를 발생시킨다.
- 작업자별 행위 추적의 어려움
- 계정 사용에 대한 책임 소재 불명확
- 비밀번호 유출 시 영향받는 사용자 식별의 어려움
- 퇴직자나 업무 변경자의 접근권한 회수 문제
PAM을 활용하면 관리자 계정 자체를 공유해야 하는 환경에서도 개인별 인증과 접근 승인, 세션 기록 등을 통해 실제 작업자를 식별하도록 구성할 수 있다.
다만 공동 계정을 PAM에 등록했다는 사실만으로 책임 추적이 보장되는 것은 아니다. 개인별 인증과 공유 계정 사용 기록 사이의 연결이 유지되어야 한다.
2.3 과도하게 부여된 관리자 권한
실제 업무에서는 특정 시스템의 제한된 기능만 관리하면 되는데 전체 관리자 권한이 부여되는 사례가 발생할 수 있다. 이처럼 업무 범위를 초과하는 권한은 계정 탈취나 내부 오남용 시 피해를 확대하는 요인이 된다.
이를 방지하기 위한 기본 원칙은 최소 권한(Least Privilege)이다. 최소 권한은 사용자나 시스템에 업무 수행에 필요한 권한만 부여하는 원칙이다. NIST SP 800-53의 AC-6 통제 역시 최소 권한을 중요한 접근통제 원칙으로 제시하고 있다.
PAM은 최소 권한 원칙을 관리자 접근 환경에 적용할 수 있도록 지원한다.
3. PAM의 주요 기능과 작동 구조
PAM은 제품과 구축 방식에 따라 기능이 다르지만 일반적으로 관리자 계정 관리, 접근 승인, 인증 강화, 세션 통제, 작업 감사 등의 기능을 조합해 구성한다.
3.1 관리자 계정 및 인증정보 관리
관리자 계정의 비밀번호나 인증정보를 중앙에서 안전하게 관리하는 기능이다. 비밀번호 보관소(Vault)를 통해 인증정보를 보호하고, 필요한 경우 비밀번호 변경을 자동화하거나 사용자에게 비밀번호를 직접 노출하지 않는 접속 방식을 제공할 수 있다.
다만 비밀번호를 중앙에 저장하는 것만으로 관리자 접근이 통제되는 것은 아니다. 인증정보 저장소 자체도 높은 수준의 보안 보호가 필요한 핵심 자산이다.
3.2 접근 승인 및 권한 관리
관리자가 중요 시스템에 접근하기 전에 사전 승인이나 정책 검증을 수행하는 기능이다. 사용자의 담당 업무, 접근 대상, 요청 목적, 접근 가능 시간 등을 기준으로 권한을 부여할 수 있다.
예를 들어 데이터베이스 운영자가 장애 조치를 위해 관리자 권한을 요청하면 승인 절차를 거쳐 지정된 시스템에 일정 시간 접근하도록 구성할 수 있다.
3.3 세션 모니터링 및 작업 기록
관리자가 시스템에 접속한 이후의 작업을 기록하고 모니터링하는 기능이다. 제품 및 연동 방식에 따라 접속 시작과 종료 시각, 접속 대상, 명령 실행 이력, 세션 화면 기록 등을 수집할 수 있다.
이러한 기록은 이상 행위 탐지와 침해사고 조사, 내부 감사에 활용될 수 있다. 다만 모든 접속 경로에서 동일한 수준의 명령 기록과 화면 녹화가 가능한 것은 아니다. SSH, RDP, 데이터베이스 관리 도구, 클라우드 API 등 실제 접근 방식별 지원 범위를 확인해야 한다.
3.4 일시적 권한 부여(JIT)
JIT(Just-In-Time)는 관리자 권한이 필요한 시점에 제한적으로 권한을 활성화하고, 정해진 기간이 종료되면 해당 권한을 회수하는 방식이다. 상시 관리자 권한을 유지하는 대신 실제 작업 시점에만 권한을 사용하도록 하여 불필요한 특권 노출 시간을 줄일 수 있다.
Microsoft Entra의 PIM(Privileged Identity Management)은 클라우드 환경에서 이러한 일시적 역할 활성화와 승인, 다중요소 인증, 접근 검토 등을 제공하는 사례이다.
다만 PIM은 특정 플랫폼의 특권 역할 관리 기능을 의미하며, 다양한 시스템의 인증정보와 접속 세션을 통합 관리하는 범용 PAM의 모든 기능을 제공한다는 뜻은 아니다.
4. PAM을 통한 관리자 접근통제 흐름
PAM이 적용된 환경에서는 관리자 접근이 다음과 같은 절차로 처리될 수 있다.
① 사용자 인증
관리자가 PAM 또는 연동된 인증 시스템에 로그인한다. 이 과정에서 개인별 계정을 사용하고 필요한 경우 다중요소 인증(MFA)을 수행한다.
② 접근권한 확인
관리자가 요청한 시스템에 접근할 수 있는 권한이 있는지 확인한다. 담당 업무, 권한 범위, 승인 여부, 접근 가능 시간 등을 검증한다.
③ 접근 승인 및 세션 연결
접근 요청이 승인되면 PAM을 경유하여 대상 시스템에 접속하거나, 정책에 따라 필요한 관리자 권한을 활성화한다.
④ 관리자 작업 모니터링
관리자 작업이 진행되는 동안 접근 기록과 세션 정보를 수집한다. 적용된 정책과 제품 기능에 따라 특정 명령을 제한하거나 이상 행위를 감지할 수도 있다.
⑤ 접속 종료 및 권한 회수
작업이 종료되면 세션을 종료하고 일시적으로 활성화한 권한을 회수한다. 필요에 따라 사용된 인증정보를 변경하거나 후속 점검을 수행한다.
이러한 흐름은 하나의 구현 예시다. 실제 환경에서는 대상 시스템과 인증 방식에 따라 일부 단계가 자동화되거나 다른 순서로 처리될 수 있다.
중요한 것은 관리자 접근이 단순한 로그인으로 끝나지 않고 인증, 인가, 작업 수행, 기록, 권한 회수까지 이어지는 관리 절차로 운영되어야 한다는 점이다.
5. PAM과 기존 접근통제의 차이
PAM과 IAM, MFA, 일반적인 시스템 접근통제는 서로 다른 목적을 가지지만 상호 보완적으로 동작한다.
| 구분 | 주요 목적 | 관리 대상 |
|---|---|---|
| IAM | 사용자 식별 및 접근권한 관리 | 일반 사용자와 관리자 등 다양한 계정 |
| MFA | 인증 과정의 신뢰성 강화 | 로그인을 시도하는 사용자 |
| 접근통제 | 허용된 자원과 작업 범위 제한 | 시스템·네트워크·애플리케이션 접근 |
| PAM | 높은 권한의 접근과 사용 행위에 대한 강화된 관리 | 특권 계정, 관리자 권한, 특권 세션 |
예를 들어 MFA를 적용하면 관리자 계정을 탈취한 공격자가 로그인하는 것을 어렵게 만들 수 있다. 그러나 정상적인 인증을 완료한 관리자가 어떤 시스템에 접근하고 어떤 작업을 수행하는지까지 MFA만으로 통제할 수는 없다.
반대로 PAM을 도입하더라도 인증 과정이 취약하거나 실제 시스템에 우회 접속할 수 있다면 전체 보안 수준은 제한적일 수 있다.
따라서 PAM은 기존 계정 관리와 인증·접근통제를 대체하는 기술이 아니라, 특권 접근에 필요한 통제를 강화하는 수단으로 이해해야 한다.
6. 기업 환경에서 PAM 도입 시 고려사항
6.1 관리 대상 계정의 식별
PAM 도입에서 먼저 수행해야 할 작업은 특권 계정의 현황을 파악하는 것이다. 서버 root 계정뿐 아니라 데이터베이스 관리자, 네트워크 장비 관리자, 클라우드 관리자, 보안 솔루션 관리자, 외부 유지보수 계정 등을 확인해야 한다.
서비스 계정과 자동화 계정도 중요한 관리 대상이다. 계정 목록을 작성할 때는 계정명뿐 아니라 소유 부서, 사용 목적, 접근 대상, 권한 수준, 사용 주체, 사용 빈도 등을 함께 관리하는 것이 바람직하다.
6.2 관리자 권한의 최소화
모든 관리자에게 동일한 최고 권한을 제공할 필요는 없다. 업무별로 필요한 권한을 구분하고 가능한 경우 역할 기반 접근통제(RBAC)를 적용해야 한다.
예를 들어 로그 조회 담당자에게 서버 전체 설정 변경 권한까지 부여하는 것은 적절하지 않을 수 있다. 권한은 최초 부여 시뿐 아니라 조직 개편, 담당 업무 변경, 퇴직 등 사용자 상태가 변경될 때도 재검토해야 한다.
6.3 우회 접근 경로의 통제
PAM을 구축하더라도 관리자가 대상 시스템에 직접 접속할 수 있다면 통제 효과가 약화될 수 있다.
예를 들어 PAM을 통한 SSH 접속은 기록되지만 동일한 서버에 다른 경로로 직접 SSH 접속할 수 있다면 관리자 작업을 일관되게 추적하기 어렵다.
따라서 네트워크 접근 정책, 방화벽, 점프 서버, 시스템 인증 설정 등을 함께 검토해야 한다.
호주 사이버보안센터(ACSC) 역시 관리자 계정 분리, 강화된 관리용 단말, 점프 서버, 네트워크 분리, 관리자 활동 모니터링 등을 보안 관리 요소로 제시한다.
6.4 장애 상황과 비상 접근
PAM 시스템에 장애가 발생하면 정상적인 관리자 작업까지 영향을 받을 수 있다. 따라서 비상 상황에서 사용할 수 있는 별도의 접근 절차를 마련해야 한다.
비상 관리자 계정(Break-glass Account)은 엄격한 보관, 사용 승인 또는 사후 검증, 접근 알림, 사용 후 인증정보 변경 등의 통제가 필요하다.
비상 접근은 업무 연속성을 위한 예외 수단이지 PAM 통제를 상시 우회하는 경로가 되어서는 안 된다.
7. 실무자 관점에서 중요한 PAM 운영 기준
PAM 도입의 성과를 단순히 솔루션 구축 여부로 판단하는 것은 적절하지 않다. 관리자 계정을 솔루션에 등록했더라도 실제 접속과 작업이 우회 경로에서 이루어진다면 관리자 접근에 대한 통제는 충분하지 않을 수 있다.
실무에서는 다음 항목을 중점적으로 확인할 필요가 있다.
- 관리 대상 범위: 중요 시스템과 특권 계정이 빠짐없이 식별되어 있는가?
- 권한 적정성: 관리자에게 실제 업무에 필요한 권한만 부여하고 있는가?
- 개인별 식별: 공유 관리자 계정을 사용하더라도 실제 작업자를 확인할 수 있는가?
- 우회 경로 통제: PAM을 거치지 않는 직접 접속 경로가 존재하는가?
- 작업 기록: 관리자 접근과 주요 작업의 기록이 수집·보호되고 있는가?
- 사후 검토: 비정상 접속, 과도한 권한 사용, 장기 미사용 계정을 주기적으로 점검하는가?
- 비상 접근: PAM 장애 시에도 업무 연속성을 유지하면서 예외 사용을 추적할 수 있는가?
특히 PAM에서 생성한 로그를 수집하는 것과 로그를 실제로 점검하는 것은 구분해야 한다. 로그가 저장되어 있더라도 이상 행위에 대한 탐지 기준이나 검토 절차가 없다면 사고를 신속하게 발견하기 어려울 수 있다.
또한 세션 녹화에는 개인정보와 민감한 업무 정보가 포함될 수 있으므로 접근권한, 보관 기간, 암호화, 열람 이력 등 기록 자체에 대한 보호 조치도 검토해야 한다.
결국 PAM 운영에서 중요한 것은 제품의 기능 수보다 관리자 계정에 대한 통제 범위를 명확히 하고 이를 지속적으로 검증하는 것이다.
8. 결론
PAM은 기업의 중요 시스템에 접근할 수 있는 관리자 계정과 특권 사용 행위를 체계적으로 관리하기 위한 보안 체계다.
관리자 계정은 정상적인 시스템 운영에 반드시 필요하지만, 높은 권한을 가진 만큼 계정 탈취와 권한 오남용에 따른 위험도 크다.
따라서 관리자 계정을 일반 사용자 계정과 구분하고, 최소 권한을 적용하며, 필요한 시점에 접근을 허용하고, 작업 내역을 추적할 수 있도록 관리해야 한다.
PAM 솔루션은 이러한 통제를 지원하는 유용한 수단이지만 도입만으로 관리자 계정 보안이 완성되는 것은 아니다.
특권 계정 식별, 권한 검토, 우회 접근 차단, 인증정보 보호, 감사 기록 관리 등의 운영 절차가 함께 마련되어야 한다.
PAM의 핵심 가치는 관리자 계정의 비밀번호를 보관하는 데 있는 것이 아니라, 높은 권한이 누구에게, 언제, 어떤 목적으로 사용되는지 통제하고 검증할 수 있게 만드는 데 있다.
참고자료
-
NIST — SP 800-53 Rev. 5:
Security and Privacy Controls for Information Systems and Organizations
최소 권한(AC-6), 특권 계정 관리 등 보안 통제의 기반이 되는 공식 자료.
-
CISA — Red Team Shares Key Findings to Improve
Monitoring and Hardening of Networks
관리자 계정 분리, 최소 권한, PAM 및 JIT 접근통제의 필요성을 설명하는 보안 권고.
-
Australian Cyber Security Centre — Secure Administration
특권 계정 관리, 관리자용 단말, 점프 서버, 관리자 작업 모니터링 등 보안 운영 지침.
-
Microsoft Learn — What is Microsoft Entra
Privileged Identity Management?
일시적 관리자 권한 활성화, 승인 절차, MFA, 역할 검토 기능을 설명하는 공식 기술 문서.