4.2초 만의 취소: 봉쇄의 해부
우리는 에이전트가 접근할 수 있는 모든 시스템에 걸쳐 이상 감지부터 전면 취소까지의 경로를 측정했습니다. 그 시간이 어디로 가는지, 그리고 왜 중요한지 소개합니다.
봉쇄는 지연 시간 문제입니다
취소의 가치는 초 단위로 측정됩니다. 공격자의 가치도 초 단위로 측정되기 때문입니다. 에이전트가 침해되었다고 판단하는 순간과 그 접근이 모든 곳에서 사라지는 순간 사이에도 에이전트는 여전히 행동할 수 있습니다. 그 창구가 게임 전체입니다.
우리는 전체 경로 — 탐지, 결정, 전파, 확인 — 를 계측하여 에이전트가 자격 증명을 가진 모든 다운스트림 시스템에서 전면 취소까지 중앙값 4.2초로 단축했습니다.
그 초는 어디로 가는가
탐지는 4.2초에 포함되지 않습니다. 그것은 여러분의 모니터링 몫이며 상황에 따라 다릅니다. 우리의 시계는 취소 조치에서 시작됩니다. 대부분의 시간은 전파에 쓰입니다: 모든 발급자와 게이트웨이에게 이 신원을 거부하라고 알리고, 그렇게 되었는지 확인하는 것입니다.
단기 자격 증명이 여기서 큰 도움이 됩니다. 토큰이 이미 몇 분 안에 만료되므로, 취소는 남은 TTL을 앞지르고 재발급을 막기만 하면 됩니다. 잊힌 시스템 전반에서 추적해야 할 1년짜리 키는 없습니다.
먼저 취소하고, 조사는 그다음에
설계 원칙은 봉쇄가 마지막 수단이 아니라 첫 번째 조치가 될 만큼 저렴해야 한다는 것입니다. 에이전트 취소가 신중하고 여러 팀이 관여하는 작업이라면 사람들은 주저하게 되고, 그 주저함이 바로 공격자가 노리는 것입니다.
한 번의 조치로 에이전트의 신원, 자격 증명, 범위가 동시에 무효화되고, 전체 과정이 감사 로그에 기록됩니다. 지금 봉쇄하고 나중에 재구성합니다. 시계가 돌아가는 순간에 논쟁하는 대신 기록으로 남깁니다.
- #revocation
- #incident response
- #containment
More field notes
80대 1의 문제: 머신 신원이 이제 경계선입니다
팀 내 인간 한 명당 그를 대신해 행동하는 머신 신원이 대략 여든 개 존재합니다. 그 중 소유자가 있는 것은 거의 없습니다. 그 비율이 바로 보안 문제 전체입니다.
Daniel Osei · 보안 엔지니어
읽는 시간 6분