기술 요약: 비인간 정체성(Non-Human Identities)의 권한 위험 진화

1. 문제 정의

현재 클라우드 ID 및 액세스 관리(IAM) 거버넌스는 시점 기반(스냅샷) 감사에 의존하고 있다. 이러한 감사는 권한 등가성을 특정 순간에 동일한 역할을 보유하고 있는지 여부에 따른 정적 관계로 취급한다. 이러한 접근 방식은 서비스 주체(Service Principal)와 같이 권한 상태를 순환하는 비인간 정체성(NHI)의 시간적 역동성을 포착하지 못한다.

본 논문은 중요한 격차를 식별한다. 현재 저권한 역할(예: Reader)을 보유한 NHI는 관찰된 운영 전환을 통해 도달 가능한 고권한 상태(예: Owner)를 포함하는 "권한 엔벨로프(Permission Envelope)"를 가질 수 있다. 만약 이러한 전환이 일방향 "래칫(Ratchet, 역전 방지 장치)" 구조(에스컬레이션은 쉽지만, 디에스컬레이션은 어렵거나 더 높은 권한을 거쳐야 하는 구조)를 형성한다면, 스냅샷 위험 점수는 실제 위험을 심각하게 과소평가하게 된다. 기존 도구들(예: AWS Zelkova, Microsoft Entra)은 정책 의미론을 검증하거나 변경 사항을 추적하지만, 권한 프로파일의 시간적 도달 가능성이나 진화하는 권한 프로파일의 구조적 등가성을 모델링하지는 못한다.

2. 방법론적 프레임십

본 논문은 그래프 이론을 활용하여 권한 등가성을 구조적 요소와 시간적 요소로 분해하는 3계층 프레임워크를 제안한다.

2.1 파이브레이션(Fibration)을 통한 구조적 등가성

임의의 스냅샷 $t$에서, IAM 권한 그래프는 그래프 파이브레이션(Boldi and Vigna)을 사용하여 압축된다.

• 파이버(Fibers): NHI들은 동일한 권한 프로파일(역할 할당 쌍의 집합)을 기준으로 "파이버"로 그룹화된다.
• 불변량(Invariant): 가중 권한 위험(Weighted Authorization Risk, WAR)은 파이버 불변량이다. 동일한 파이버 내의 모든 NHI는 해당 스냅샷에서 동일한 위험 점수를 공유한다.
• 한계: 구조적 등가성은 정적이며, 권한 프로파일의 미래 수렴 또는 발산을 예측할 수 없다.

2.2 리니지 파티션(Lineage Partition)

진화를 추적하기 위해, 본 논문은 파이버 전환을 안정적인 컴파트먼트로 조직하는 리니지 파티션을 도입한다.

• 전환: 파이버는 변이(Mutation), 병합(Merge), 분할(Split), 생성(Creation), 휴면(Dormancy) 과정을 거친다.
• 비대칭성: 파티션은 병합(블록 수 감소)을 추적하지만, 분할(하나의 파이버가 자식으로 분할되는 경우)은 흡수한다(부모의 리니지 블록을 상속함).
• 평형(Equilibrium): 리니지 파티션은 블록 간의 병합이 더 이상 일어나지 않는 안정된 상태로 수렴하며, 이는 시간적 분석을 위한 지속적인 근거를 제공한다.

2.3 권한 회로(Privilege Circuits)를 통한 시간적 등가성

안정된 리니지 내에서 파이버의 진화는 파이버 전환 그래프로 모델링된다.

• 권한 회로: 전환 그래프에서의 **강결합 컴포넌트(Strongly Connected Components, SCCs)**로 정의된다. 두 파이버 상태는 SCC 내에서 서로 도달 가능하다면 시간적으로 동등하다.
• 권한 엔벨로프(Permission Envelope): 회로 내의 모든 권한 상태의 합집합이다. 회로 내 NHI의 위험은 해당 엔벨로프 내의 최대 권한 수준이다.
• 세 가지 유형 분류:
  1. 모놀리스(Monolith, M): 단일 파이버 상태; 정적임.
  2. 오실레이터(Oscillator, O): 모든 전환이 가역적임(양방향 에지); 유계된 순환(Bounded cycling).
  3. 래칫(Ratchet, R): 적어도 하나의 비가역적 에지(단방향 에스컬레이션)를 포함함; 디에스컬레이션을 위해서는 일시적인 재에스컬레이션이 필요할 수 있음. 이것이 가장 중요한 거버넌스 위험이다.

2.4 위상적 지문(Topological Fingerprinting, Primorial Invariant)

윈도우 및 NHI 간의 회로 구조를 비교하기 위해, 본 논문은 **프리모리얼 불변량(Primorial Invariant)**을 정의한다.

• 인코딩: 기본 사이클을 열거한다(Johnson 알고리즘). 각 에지는 방향성(양방향 vs 단방향)과 권한 구배(상승, 하락, 평탄)에 따라 서로 소인 소수 군(Disjoint prime families)에 매핑된 유리수 인자를 할당받는다.
• R-벡터: 이러한 불변량들의 정렬된 리스트는 위상적 지문 역할을 수행하며, 그래프 동형 검사 없이도 회로 구조의 정확한 매칭을 가능하게 한다.

2.5 윈도우 기반 시간적 방법론

프레임워크는 다중 스케일 분석과 **안정성 스윕(Stability Sweeps)**을 채택한다:

• 다중 스케일: 구조적 래칫과 스케일 의존적 아티팩트를 구분하기 위해 여러 윈도우 크기($h$)에 걸쳐 NHI를 분석한다.
• 안정성 스윕: NHI가 임계치 이상의 윈도우 크기에서 래칫 패턴이 재발하면 "R-안정(R-stable)"한 것으로 간주한다.
• 백테스팅(Backtesting): 예측 모델이 초기 관측($h_{obs} = K \cdot b$)을 통해 장기적인 R-안정성을 정확히 예측할 수 있는지 테스트한다.

3. 주요 기여

1. 파이브레이션/시간적 분해: 권한 등가성을 공간적(파이브레이션) 요소와 시간적(SCC 기반) 요소로 공식적으로 분리하였다.
2. 권한 회로 분류: 전환 그래프의 에지 대칭성을 기반으로 한 거버넌스 관련 분류 체계(Monolith, Oscillator, Ratchet)를 제시하였다.
3. 프리모리얼 불변량: 효율적인 교차 윈도우 및 교차 NHI 비교를 가능하게 하는 계산 가능하고 해독 가능한 위상적 지문을 개발하였다.
4. 리니지 컴파트리먼트화: 파이버 역동성을 안정적인 컴파트먼트로 조직하는 방법을 제시하였다.
5. 예측 방법론: 기술적 분석을 지속적인 에스컬레이션 패턴을 탐지하는 예측 도구로 변환하는 윈도우 기반 다중 스케일 접근법을 제시하였다.

4. 실증 결과

프레임워크는 약 100개의 스냅샷(약 1년) 동안 약 31,000개의 NHI가 존재하는 대규모 Azure 테넌트에서 평가되었다.

• 가정 검증:
  • 베이스라인 독립성: 비베이스라인 NHI의 99.2%가 베이스라인 파이버로 수렴하였으며, 이는 리니지 구조가 베이스라인 선택에 견고함을 입증한다.
  • 모놀리스 우세: 리니지 블록의 88.7%가 모놀리스였으며, 이는 시간적 역동성이 소수의 복잡한 리니지에 국한됨을 확인시켜 준다.
  • 평형: 리니지 카운트는 8개 스냅샷(~2주) 이내에 안정화되었다.
• 회로 탐지:
  • 리니지 LA (다양성): 132개의 NHI가 18개의 21개 윈도 사이즈에서 반복되는 R-안정 권한 회로를 보였다.
  • 리니지 LB (동질성): 5개의 NHI가 동일한 R-벡터를 공유하였으며, 이는 공통된 운영 원인(예: 공유 템플릿)을 나타낸다.
  • 리니지 LC (음성 대조군): 7개의 다른 리니지를 흡수했음에도 불구하고 권한 회로가 0개였으며, 이는 구조적 통합이 반드시 시간적 에스컬레이션을 의미하지 않음을 증명한다.
• 백테스팅 (예측력):
  • 정밀도(Precision): 베이스 크기 6과 7에서, 초기 관측 예측자는 정밀도 = 1.000(오탐 제로)을 달성했다.
  • 재현율(Recall): 관측 깊이가 깊어짐에 따라 개선되었다 (베이스 5에서 0.706, 베이스 7에서 0.812).
  • 아티팩트 탐지: 베이스 5에서의 오탐은 단일 파이버에 국한되었으며, 더 거친 스케일에서는 사라졌다. 이는 노이즈를 필터링하는 방법론의 능력을 보여준다.

5. 의의 및 주장

본 논문은 클라우드 IAM 거버넌스가 본질적으로 **시공간적(Spatio-temporal)**이라고 주장한다. 주요 의의는 시점 기반 분석에서는 보이지 않는 **지속적인 에스컬레이션 패턴(래칫)**을 드러내는 데 있다.

• 위험 교정: "권한 엔벨로프"는 비모놀리스 회로 내 NHI에 대한 올바른 위험 귀속을 제공하여, 스냅샷 감사에서의 체계적인 위험 과소평가를 바로잡는다.
• 운영 가능성: 적은 수의 스냅샷(예: 주간 단위 21개 스냅샷)을 관찰함으로써 래칫 유형의 회로를 조기에 탐지하는 것은 가능하다.
• 거버넌스 시사점:
  • 알림 억제: 모놀리스 및 오실레이터 회로에서의 전환은 유계되고 가역적인 역동성을 나타내므로 모니터링에서 제외할 수 있다.
  • 디에스컬레이션 전략: 래칫 회로 내의 NHI를 지속적으로 디에스컬레이션하려면 현재 상태뿐만 아니라 회로 전체를 디에스컬레이션해야 한다.
  • 흡수자(Absorber)에 집중: 거버넌스는 권한 통합이 활발히 일어나고 있는 "지배적 흡수자(Dominant Absorber)" 리니지를 우선시해야 한다.

저자들은 본 프레임워크가 높은 정밀도로 잘 정의된 그래프 속성을 탐지하지만, 이러한 "구조적 래칫"과 실제 보안 사고(예: 착취) 사이의 직접적인 상관관계는 향후 운영 검증이 필요한 추정치임을 명시하였다. 이 연구는 클라우드 거버넌스를 정적 컴플라이언스 체크에서 동적이고 예측 가능한 규율로 재정의한다.