현대 공격 사슬: AI 시대의 Google Workspace 보안 재고

핵심 요약

Google Workspace 환경에서 피싱 외에 도난당한 OAuth 토큰을 이용한 침투 경로가 증가하고 있으며, 이는 Gmail, Drive 등 핵심 서비스에 대한 무단 접근으로 이어질 수 있습니다. 공격자는 OAuth 토큰 탈취를 통해 정상적인 인증 절차를 우회하여 Initial Access(TA0001) 및 Credential Access(TA0006)를 확보하고, 이를 통해 사용자 계정 및 연결된 시스템에 대한 지속적인 접근 권한을 획득할 수 있습니다. 이는 기존의 피싱 방어만으로는 막기 어려운 새로운 공격 사슬을 형성합니다. IT 감사인은 Google Workspace를 사용하는 조직의 OAuth 토큰 관리 및 모니터링 체계가 이러한 공격에 대비하여 충분히 강화되어 있는지 점검하고, 전반적인 공격 사슬에 대한 방어 전략을 재고해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치Google Workspace 환경에서 OAuth 토큰의 발급 및 사용 현황을 주기적으로 모니터링하고, 비정상적인 권한 부여 또는 사용이 감지될 경우 즉시 해당 토큰을 무효화하는 자동화된 대응 체계를 구축해야 함을 권고함.
• ✔기술적 조치Google Workspace에 연결된 서드파티 애플리케이션의 OAuth 권한을 정기적으로 검토하고, 불필요하거나 과도한 권한을 가진 애플리케이션에 대해서는 접근 권한을 최소화하거나 제거할 것을 권고함.
• ✔기술적 조치모든 Google Workspace 사용자 계정에 대해 다단계 인증(MFA)을 의무화하고, OAuth 토큰 탈취 시 피해를 최소화하기 위해 세션 유효 기간을 적절히 설정하고 주기적인 재인증 정책을 적용해야 함을 권고함.
• ✔관리적 조치Google Workspace 사용자를 대상으로 OAuth 토큰의 위험성 및 안전한 애플리케이션 연동 방법에 대한 보안 교육을 강화하고, 의심스러운 OAuth 요청에 대한 보고 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치Google Workspace의 보안 설정 및 감사 로그를 활용하여 OAuth 토큰 관련 위협을 탐지하고 대응하기 위한 전반적인 보안 정책 및 절차를 재검토하고, 최신 위협 동향을 반영하여 지속적으로 고도화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문