화려한 제로데이보다 무서운 것: 잘못된 Microsoft 365 설정
최근 사이버 공격의 흐름을 보면, 정교한 제로데이(Zero-day) 취약점보다 평범한 설정 실수가 더 큰 피해를 낳는 경우가 많습니다. Microsoft에 따르면 다단계 인증(MFA, Multi-Factor Authentication)을 적용한 계정은 침해될 확률이 99.9% 이상 낮아지며, 레거시 인증(Legacy Authentication) 프로토콜은 크리덴셜 스터핑(Credential Stuffing) 공격의 97% 이상에 악용됩니다.
그런데도 수많은 Microsoft 365 테넌트가 여전히 MFA 미적용, 레거시 인증 허용, 과도한 관리자 권한 부여 등의 상태로 운영되고 있습니다. Acronis는 이 같은 보안 형상(Posture) 허점이 단순한 권고 사항 위반이 아니라, 공격자에게 열린 실질적인 침투 경로라고 강조합니다.
MSP 기술자가 놓치기 쉬운 대표적인 보안 형상 허점
Microsoft 365는 이메일, 파일, ID, 협업 데이터, 업무 워크플로우 전반을 아우르는 핵심 플랫폼입니다. 엔드포인트 보안이나 이메일 보안 솔루션을 도입했더라도, 테넌트 자체의 설정이 허술하다면 여전히 위험에 노출됩니다. 현장에서 자주 발견되는 보안 형상 문제는 다음과 같습니다.
- MFA가 일부 계정에만 적용되어 있어 단 하나의 비보호 계정이 전체 테넌트를 위협
- 레거시 인증 프로토콜 미차단으로 강화된 인증 정책 우회 허용
- 글로벌 관리자(Global Administrator) 등 권한 과다 부여로 피해 확산 범위 확대
- OAuth 앱에 과도한 권한이 부여되거나 사용자 동의 설정이 느슨하게 관리
- 외부 공유, 사서함 전달, 감사 로그 설정 미검토
실제 공격 시나리오로 살펴보면 위험성이 더욱 분명해집니다. 첫 번째는 불법 동의 권한 부여(Illicit Consent Grant) 공격입니다. 공격자가 사용자를 속여 악성 Microsoft Entra ID 앱에 동의하게 만들면, 해당 앱은 테넌트 내 계정 없이도 이메일·파일·연락처에 지속적으로 접근할 수 있습니다. 비밀번호 초기화나 MFA만으로는 막을 수 없는 클라우드 네이티브 공격 경로입니다.
두 번째는 Entra ID 권한 상승(Elevation of Privilege) 취약점입니다. ID 및 접근 제어 계층의 인가 결함은 단일 사서함이나 파일에 그치지 않고 관리자 권한과 테넌트 전체 보안에 영향을 줄 수 있습니다.
Acronis Microsoft 365 보안 형상 관리로 공격 경로 차단하기
수동 점검(Manual Check)은 특정 시점의 위험만 포착합니다. 새로운 사용자 추가, 역할 변경, 앱 권한 요청, 공유 설정 조정 등 테넌트 환경은 끊임없이 변화하며, 이 과정에서 보안 형상 이탈(Configuration Drift)이 조용히 누적됩니다. MSP가 수십, 수백 개의 고객 테넌트를 관리해야 하는 현실에서 수동 점검은 더 이상 확장 가능한 방법이 아닙니다.
Acronis Microsoft 365 보안 형상 관리(Security Posture Management)는 이 문제를 자동화로 해결합니다. 베이스라인 템플릿(Baseline Template)을 기반으로 모든 고객 테넌트를 지속적으로 모니터링하고, 설정 이탈을 감지하면 자동 복원(Auto-Remediation)을 수행합니다. 주요 기능을 정리하면 다음과 같습니다.
- MFA 적용 현황을 지속 검증하고 정책 비활성화 시 자동 복원
- 레거시 인증 차단 정책 준수 여부 상시 확인 및 예외 사항 탐지
- 관리자 포털 보호를 위한 MFA 적용 상태 검증
- 사용자 동의 설정 및 OAuth 앱 권한 과다 부여 여부 탐지·교정
- 관리자 동의 워크플로우(Admin Consent Workflow) 활성화 상태 점검
- 전체 테넌트에 걸친 설정 일관성 유지 및 형상 이탈 자동 복구
Acronis는 취약점 패치 자체는 Microsoft의 역할이지만, 공격자가 취약점 악용 이후 권한을 상승시키거나 데이터를 유출하지 못하도록 막는 것은 보안 형상 관리의 역할임을 명확히 합니다. 이는 Acronis Cyber Protect Cloud가 MSP에게 제공하는 다계층 보안 전략의 핵심 축이기도 합니다.
전문가 인사이트
국내 MSP 환경에서도 Microsoft 365 도입 기업이 빠르게 늘고 있지만, 테넌트 보안 설정에 대한 체계적 관리는 아직 부족한 곳이 많습니다. 특히 중소기업 고객을 다수 관리하는 MSP의 경우, 고객별 설정을 일일이 수동으로 점검하는 것은 현실적으로 불가능에 가깝습니다.
실무적으로는 다음 세 가지를 우선 점검하시기 바랍니다.
- 고객 테넌트 전체에서 MFA 미적용 계정(특히 관리자 계정)을 즉시 파악하고 적용을 강제화하십시오.
- 레거시 인증 프로토콜(IMAP, POP3, SMTP Auth 등) 차단 정책이 실제로 작동 중인지 확인하십시오.
- OAuth 앱 동의 설정을 검토하여 사용자가 임의로 외부 앱에 권한을 부여하지 못하도록 제한하십시오.
Acronis Cyber Protect Cloud의 Microsoft 365 보안 형상 관리 기능은 이 모든 점검을 자동화하고, 설정 이탈 시 즉시 복원합니다. 국내 IT 규정 준수(컴플라이언스) 요구사항이 강화되는 추세에서, 고객에게 보안 형상 관리 리포트를 정기적으로 제공하는 것은 MSP의 서비스 차별화 포인트가 될 수 있습니다. 무료 체험을 통해 현재 고객 테넌트의 보안 형상 현황을 먼저 진단해 보실 것을 권장합니다.
Acronis 솔루션 도입에 대해 궁금하신 점이 있으시면 KDSys에 문의해 주세요.