SSO 보안 사고, 감사 로그로 30분 안에 타임라인 만드는 법
계정 탈취나 비정상 접근이 의심될 때 IdP 감사 로그를 중심으로 사실을 정리하고, 차단·조사·보고까지 연결하는 실무 절차를 소개합니다.
보안 사고가 의심되면 가장 먼저 필요한 것은 범인을 추측하는 일이 아니라 무슨 일이 언제 일어났는지 확인하는 일입니다. 그러나 로그인 기록은 앱마다 흩어져 있고, 계정 변경은 메신저 승인으로만 남아 있다면 초기 30분이 자료 수집에 소모됩니다. IdP 감사 로그는 여러 출입문의 기록을 한 관제실에 모으는 것처럼 조사 기준점을 만들어 줍니다.
최근 보안 분야에서 아이덴티티 복원력, 지속적 접근 검토, 최소 권한이 강조되는 이유도 같습니다. 공격을 완전히 막겠다는 약속보다, 이상 징후가 생겼을 때 영향 범위를 빠르게 확인하고 접근을 회수할 수 있는 운영 능력이 중요합니다.
먼저 보존할 네 가지 기록
조사를 시작하기 전에 의심 계정을 성급히 삭제하지 마세요. 다음 기록을 같은 기준 시각으로 확보해야 사건의 선후 관계를 설명할 수 있습니다.
• 로그인 성공·실패 시각과 대상 계정 • MFA 등록·변경 및 인증 결과 • 그룹·앱 접근 권한의 부여와 회수 • SCIM을 통한 계정 생성·수정·비활성화
로그를 UTC로 저장하고 담당자 화면에서 현지 시각으로 변환하면 여러 지역의 기록을 비교하기 쉽습니다. 감사 준비에 필요한 기본 항목은 ISMS-P 계정관리 증적 가이드에서도 확인할 수 있습니다.
30분 타임라인을 만드는 순서
0~10분: 계정과 세션의 범위를 좁힙니다
최초 경보 시각을 중심으로 해당 사용자의 로그인 실패, 성공, MFA 변경, 새 권한 부여를 확인합니다. 평소와 다른 성공 로그가 보이면 관련 세션을 종료하고 계정을 임시 정지하되, 원본 로그는 그대로 보존합니다. SSO 장애나 관리자 잠금에 대비한 별도 접근 절차는 비상 계정 운영 가이드를 참고하세요.
10~20분: 앱과 권한의 이동 경로를 연결합니다
OIDC·SAML 앱의 접근 기록과 그룹 변경을 시간순으로 맞춥니다. SCIM 비활성화가 실제로 처리됐는지, SSO를 지원하지 않는 앱의 계정이 별도로 남았는지도 확인해야 합니다. 비SSO 앱은 SWA 기반 자동 로그인 관리 범위까지 포함해야 사각지대를 줄일 수 있습니다.
20~30분: 사실과 추정을 분리해 기록합니다
“계정이 탈취됐다”는 결론보다 “09:12 MFA 변경, 09:18 관리자 그룹 추가, 09:24 앱 접근”처럼 검증된 사실을 먼저 씁니다. 확인되지 않은 원인, 현재 차단 상태, 추가 조사 항목을 분리하고 당시 로그를 CSV나 PDF로 내보내 보존합니다. 이 문서는 내부 보고와 고객 안내, 사후 재발 방지 검토의 공통 기준이 됩니다.
평소에 준비해야 사고 때 빨라집니다
분기마다 샘플 계정으로 로그인 실패, 권한 변경, SCIM 비활성화가 기록되는지 점검하세요. 담당자와 에스컬레이션 경로, 로그 보존 기간, 타임존 기준도 미리 정해야 합니다. 감사 로그는 사고가 난 뒤 만드는 자료가 아니라 매일 쌓이는 운영 자산입니다.
AxiPass로 인증과 조사 기준을 한곳에
AxiPass는 SaaS 기업용 멀티 테넌트 IdP로 OIDC, SAML, SCIM, MFA, SWA와 감사 로그를 통합합니다. 고객사별 테넌트를 분리하면서 로그인과 계정·권한 변경 기록을 한 흐름에서 확인하고, 필요한 기간의 기록을 CSV/PDF로 내보낼 수 있습니다.