기술 요약: TAC: 하이브리드 IAM 권한 상승 탐지

문제 정의

IAM(Identity and Access Management) 설정 오류는 클라우드 환경에서 권한 상승(Privilege Escalation, PE) 공격의 주요 경로이며, 이는 데이터 유출과 막대한 경제적 손실로 이어집니다. 기존의 탐지 도구들은 두 가지 결정적인 한계에 직면해 있습니다:

1. 제한된 PE 커버리지: 기존 탐지기(예: Pacu, PMapper, Cloudsplaining)는 PE 유형의 극히 일부만을 다룹니다. 이들은 종 종 알려진 공격 패턴의 고정된 카탈로그에 의존하거나 특정 엔티티 관계(예: 사용자-역할 체인)만을 모델링하여, 광범위한 공격 표면을 탐지하지 못하고 남겨둡니다.
2. 전체 설정 접근 권한 요구: 모든 기존 탐지기는 조직의 전체 IAM 설정을 요구하는 "화이트박스(whitebox)" 도구로 작동합니다. 이는 보안 서비스 제공업체에게 장벽이 됩니다. 금융, 의료, 정부와 같은 민감한 분야의 고객들은 개인정보 보호 문제와 민감한 조직 세부 정보를 노출할 위험 때문에 전체 설정을 공개하기를 꺼리기 때문입니다.

방법론

저자들은 AWS IAM을 위한 화이트박스 및 그레이박스(greybox) 분석을 모두 지원하는 최초의 하이브리드 프레임워크인 TAC를 제안합니다. 핵심 혁신은 권한 획득을 **권한 흐름(permission flows)**으로 체계적으로 추상화한 것입니다.

1. 체계적 연구 및 추상화

저자들은 14,000개 이상의 AWS 지원 작업을 체계적으로 검토하여 5가지의 뚜렷한 PE 카테고리를 식별했습니다:

• 권한 요청 (Permission Request): 추가 권한을 직접 요청함 (예: iam:AttachUserPolicy).
• 권한 위임 (Permission Delegation): 다른 엔티티에 권한을 부여하기 위해 해당 엔티티를 대리인으로 사용함 (예: cloudformation:UpdateStack).
• 권한 상속 (Permission Inheritance): 그룹 멤버십이나 역할 수용(role assumption)을 통해 권한을 획득함.
• 코드 실행 (Code Execution): 다른 보안 컨텍스트 하에서 코드를 실행함 (예: lambda:UpdateFunctionCode).
• 자격 증명 탈취 (Credential Takeover): 다른 엔티티처럼 행동하기 위해 자격 증명을 생성하거나 재설정함 (예: iam:CreateAccessKey).

이 연구를 바탕으로 저자들은 소스-싱크(source-sink) 엔티티 유형 쌍과 권한 전파를 가능하게 하는 작업들을 매핑하는 219개의 권한 흐름 템플릿을 수동으로 추출했습니다.

2. TAC-WB (화이트박스 탐지기)

TAC-WB는 IAM 구성을 **권한 흐름 그래프(Permission Flow Graph, PFG)**로 모델링함으로써 포괄적인 커버리지를 달성합니다.

• 그래프 구축: 노드는 엔티티와 권한을 나타내며, 엣지는 권한 흐름(활성화 또는 비활성화됨)을 나타냅니다.
• 의미론적 표현: 시스템은 도메인 특화된 **고정점 분석(fixed-point analysis)**을 적용하여, 안정적인 상태에 도달할 때까지 활성화된 흐름을 따라 권한을 반복적으로 전파합니다.
• 탐지: 신뢰할 수 없는 엔티티가 구체적인 전파 시퀀스를 통해 대상 권한에 도달할 수 있는 경우에만 PE가 보고됩니다. 이는 **구성적 정밀성(precision by construction)**을 보장하여, 보고된 모든 PE가 유효한 상승 경로와 일치하도록 보장합니다.

3. TAC-GB (그레이박스 탐지기)

TAC-GB는 고객이 엔티티를 선택적으로 공개하고 권한 할당에 대한 쿼리에 응답하는 부분적 구성 환경에서 작동함으로써 프라이버시 장벽을 해결합니다.

• 부분적 PFG: 그래프는 가시성 상태(?는 알 수 없음, +는 확인됨, *는 흐름을 알 수 없음, ⊕는 흐름이 확인됨)를 포함하도록 확장됩니다.
• 대화형 쿼리 메커니즘: 시스템은 현재의 부분적 상태를 기반으로 동적으로 쿼리(예: "엔티티 $e$에 권한 $p$가 할당되어 있는가?")를 선택합니다.
• 강화 학습(RL) 최적화: 고객의 상호작용을 최소화하기 위해, TAC-GB는 그래프 신경망(GNN) 쿼리 모델을 갖춘 RL 에이전트를 채택합니다. 에이전트는 가장 정보가 많은 쿼리를 선택하여 최소한의 단계로 터미널 상태(PE 탐지)에 도달하는 법을 학습합니다.
• 오프라인 사전 학습: "콜드 스타트(cold start)" 문제를 해결하고 부정적 전이(negative transfer)를 방지하기 위해, GNN 모델은 신뢰할 수 없는 엔티티 유형별로 구분된 다양한 PE 작업 세트에서 오프라인으로 사전 학습됩니다.

4. TAC-Bench (벤치마크 데이터셋)

학습 및 평가를 지원하기 위해 저자들은 최초의 포괄적인 IAM PE 벤치마크인 TAC-Bench를 구축했습니다.

• 규모: 2,500개의 태스크를 포함하며, 평균적으로 137개의 엔티티와 1,282개의 권한을 보유하여 실제 기업의 복잡성과 유사하게 설계되었습니다.
• 생성: 3단계 LLM 파이프라인(컨텍스트 생성, 문서화된 기법에 기반한 PE 생성, 그리고 사고 사슬(Chain-of-Thought) 검증)을 통해 합성되었으며, 유효한 상승 경로를 보장하기 위해 수동으로 검증되었습니다.

주요 기여

1. 체계적 연구: 5가지 PE 카테고리의 식별 및 기존 도구들이 공격 표면의 상당 부분을 체계적으로 놓치고 있다는 사실을 밝혀냄.
2. TAC-WB: 219개의 권한 흐름 템플릿과 고정점 분석을 통해 5가지 PE 카테고리에 대해 100% 커버리지를 달성하는 화이트박스 탐지기.
3. TAC-GB: 부분적 구성을 통해 정밀도를 유지하면서 대화형, RL 가이드 쿼리를 통해 PE 탐지를 가능하게 하는 최초의 그레이박스 PE 탐지기.
4. TAC-Bench: 실제 미설정 상황을 모사하도록 설계된 대규모의 다양한 벤치마크(2,500개 태스크)로, 적절한 공개 데이터셋의 부재 문제를 해결함.

실험 결과

합성(TAC-Bench), 공개(IAM Vulnerable), 실세계(Startup) 벤치마크에서 실험이 수행되었습니다.

• 화이트박스 효과성: TAC-WB는 모든 테스트 세트에서 **0%의 미탐율(False Negative Rate, FNR)**을 달성하였으며, 기존 도구들(Pacu, Cloudsplaining, PMapper)이 놓친 모든 PE를 탐지했습니다. 여기에는 기존 도구들이 완전히 실패한(100% FNR) 실제 기업의 권한 상승 사례도 포함됩니다.
• 화이트박스 효율성: TAC-WB는 더 넓은 커버리지를 가짐에도 불구하고, 가장 성능이 좋은 베이스라인(PMapper)과 대등하거나 더 빠른 실용적인 실행 시간(종종 1초 미만)을 유지했습니다.
• 그레이박스 효과성: TAC-GB는 모든 그레이박스 변형(무작위 선택, 진화 알고리즘, 사전 학습 없음)보다 우수한 성능을 보였습니다. 완만한 쿼리 예산(예: 100개 쿼리) 하에서, TAC-GB는 합성 데이터에 대해 27%의 FNR을 달려, 전체 접근 권한이 필요한 화이트박스 베이스라인과 대등한 성능을 보였습니다. 실제 작업에서 TAC-GB는 PE를 성공적으로 식별한 유일한 탐지기였습니다.
• 그레이박스 효율성: TAC-GB는 PE를 탐지하는 데 평균적으로 단 19개의 쿼리만을 필요로 하여, 절제 연구(ablation) 변형 모델들에 비해 높은 쿼리 효율성과 안정성을 입증했습니다.

의의 및 주장

본 논문은 TAC가 IAM 보안 분석의 근본적인 변화를 의미한다고 주장합니다:

• 포괄적 커버리지: 단순한 패턴 매칭에서 체계적인 권한 흐름 추상화로 전환함으로써, TAC-WB는 기존 도구들이 가진 커버리지 격차를 제거합니다.
• 프라이버시 보존 보안: TAC-GB는 전체 구성 공개 없이도 고정밀 PE 탐지가 가능하다는 것을 보여주며, 보안 감사를 "전부 아니면 전무(all-or-nothing)" 식의 공개 모델에서 단계적이고 프라이버시를 보존하는 참여 모델로 변화시킵니다.
• 뉴로-심볼릭 아키텍처: 본 프레임워크는 형식적 분석(정밀도 보장을 위한 고정점 로직)과 데이터 기반 최적화(효율성을 위한 RL/GNN)를 성공적으로 결합하여, 정확성 보장과 적응성이 모두 필요한 소프트웨어 공학 도구를 위한 재사용 가능한 설계 패턴을 제시합니다.
• 확장성: 현재는 AWS IAM을 대상으로 하지만, 저자들은 새로운 권한 흐름 템플릿을 추출함으로써 아키텍처가 플랫폼에 구애받지 않으며 다른 클라우드 제공업체(예: Azure, Google Cloud) 및 도메인으로 확장될 수 있다고 주장합니다.