원격제어 도구를 도입한 조직이 가장 먼저 묻는 질문은 “어떻게 연결하느냐”지만, 정작 사고가 터졌을 때 조직의 운명을 가르는 질문은 “누가, 언제, 어떤 세션에서, 무엇을 했는가”다. 원격제어 세션은 관리자 권한으로 원격 화면을 보고 파일을 옮기고 명령을 실행할 수 있는, 조직 내에서 가장 강력한 접근 경로 중 하나다. 이 글에서는 세션 로그와 감사(Audit) 체계를 어떻게 설계하고 운영해야 하는지 실무 관점에서 정리한다.
왜 원격제어 세션 로그가 보안의 핵심인가
RDP(3389포트)나 VNC(5900포트) 같은 전통적인 프로토콜은 기본적으로 상세한 세션 로그를 남기지 않는다. 윈도우 이벤트 뷰어의 이벤트 ID 4624(로그온 성공), 4625(로그온 실패), 4778/4779(세션 연결/해제) 정도가 남을 뿐, 세션 중 실제로 어떤 파일을 열람했고 어떤 명령을 실행했는지는 별도 기록이 없다. 반면 원격제어 SaaS는 애플리케이션 레벨에서 세션 단위 로그를 남길 수 있어, 사고 발생 시 원인 추적(root cause analysis)과 책임 소재 확인이 훨씬 빨라진다. 감사 로그가 없다면 내부자 오남용이나 계정 탈취 후 횡적 이동(lateral movement)이 발생해도 이를 입증할 방법이 없다는 것이 핵심 리스크다.
무엇을 기록해야 하는가: 필수 로그 항목
감사 로그는 “접속 여부”만이 아니라 세션의 전체 생애주기를 커버해야 한다. 최소한 아래 항목은 필수로 수집해야 한다.
- 세션 ID, 시작/종료 타임스탬프(UTC 기준 권장), 세션 지속시간
- 접속 계정(사용자 ID), 인증 방식(패스워드+OTP, FIDO2 등)
- 소스 IP와 지리적 위치, 목적지 호스트명/자산 태그
- 파일 전송 이벤트(업로드/다운로드 파일명, 크기, 해시값)
- 클립보드 공유 사용 여부와 내용 크기
- 권한 상승(UAC/관리자 권한 요청) 발생 시점
- 세션 강제 종료 사유(타임아웃, 관리자 강제 종료 등)
여기에 더해 세션 화면 녹화(Screen Recording)를 활성화하면 사후 재생을 통해 텍스트 로그만으로는 파악하기 어려운 맥락(어떤 화면을 보면서 어떤 판단을 내렸는지)까지 확인할 수 있다.
세션 녹화 vs 텍스트 로그: 언제 무엇을 쓸 것인가
| 구분 | 텍스트/메타데이터 로그 | 세션 화면 녹화 |
|---|---|---|
| 저장 용량 | 매우 작음 (세션당 수 KB) | 큼 (해상도·시간에 비례, 세션당 수십~수백 MB) |
| 검색/알림 자동화 | SIEM 연동, 실시간 알림 용이 | 재생 기반, 자동 검색 어려움 |
| 법적 증거력 | 타임스탬프·해시로 무결성 입증 | 시각적 증거로 강력, 그러나 저장/편집 이력 관리 필요 |
| 권장 적용 대상 | 전체 세션 기본 적용 | 특권 계정, 외부 협력사 접속, 고위험 자산 |
실무적으로는 모든 세션에 대해 메타데이터 로그를 기본 적용하고, 도메인 관리자·DB 서버·결제 시스템 등 고위험 자산에 접근하는 세션에 한해 화면 녹화를 추가하는 계층적 접근이 비용 대비 효과가 가장 좋다.
로그 무결성과 보관 정책: 위변조를 막는 법
감사 로그 자체가 공격자에 의해 삭제되거나 조작되면 감사 체계는 무의미해진다. 다음 원칙을 반드시 적용해야 한다.
- WORM(Write Once Read Many) 저장소 또는 불변(immutable) 스토리지에 로그를 별도 보관하여 사후 수정이 불가능하게 한다.
- 해시 체이닝(예: SHA-256 기반 로그 블록 체인 연결)으로 중간 레코드 삭제·변조 시 체인이 깨지는 것을 즉시 탐지한다.
- 로그 저장소에 대한 접근은 RBAC(역할 기반 접근 제어)로 분리하고, 로그를 남기는 시스템 관리자와 로그를 열람·감사하는 담당자를 직무 분리(Segregation of Duties)한다.
- 보존 기간은 최소 90일 이상을 권장하며, 금융·의료 등 규제 산업은 1년~7년 보관이 요구되는 경우가 많으므로 관련 법령을 사전 확인한다.
컴플라이언스 관점: 감사 로그가 요구되는 이유
세션 감사 체계는 단순히 “있으면 좋은” 기능이 아니라 다수의 보안 인증·규제 프레임워크에서 명시적으로 요구하는 통제 항목이다. ISO/IEC 27001 부속서 A.8.15(로깅)와 A.8.16(모니터링 활동)은 시스템 접근 이벤트의 기록과 검토를 요구하고, SOC 2의 CC7.2 통제는 이상 징후 탐지를 위한 모니터링 체계를 요구한다. 국내에서는 개인정보보호법 및 정보통신망법상 개인정보처리시스템에 대한 접속기록을 최소 1년(5만명 이상 개인정보 처리 시 2년) 보관하도록 규정하고 있다. 원격제어를 통해 개인정보처리시스템에 접근하는 경우, 이 접속기록 보관 의무가 원격제어 세션 로그에도 그대로 적용된다는 점을 놓치기 쉽다.
실전 체크리스트: 도입 전 반드시 확인할 8가지
| 우선순위 | 점검 항목 | 확인 포인트 |
|---|---|---|
| 1 (필수) | 세션 메타데이터 로깅 | 계정, 시간, IP, 대상 자산이 기본 수집되는가 |
| 1 (필수) | 로그 무결성 보호 | WORM/해시체이닝 등 위변조 방지 기능 존재 여부 |
| 2 (권장) | SIEM/syslog 연동 | CEF, Syslog(RFC 5424) 형식 실시간 전송 지원 여부 |
| 2 (권장) | 고위험 세션 녹화 | 특권 계정·외부 협력사 접속 시 자동 녹화 트리거 설정 가능 여부 |
| 2 (권장) | 실시간 알림 | 비정상 시간대 접속, 다중 실패 인증 시 즉시 알림 여부 |
| 3 (선택) | 보존 기간 설정 | 업종별 법정 보관기간에 맞춘 커스터마이징 가능 여부 |
| 3 (선택) | 감사 리포트 자동화 | 정기 감사용 리포트 자동 생성 기능 |
| 3 (선택) | 권한 분리 관리 | 로그 관리자와 시스템 관리자 계정 분리 가능 여부 |
마무리: 로그는 만드는 것보다 “쓰는 것”이 중요하다
많은 조직이 로그를 수집하는 데까지는 성공하지만, 정작 정기적으로 검토하고 이상 징후를 탐지하는 프로세스를 갖추지 못해 사고 발생 후에야 로그를 뒤늦게 들여다본다. 월 1회 이상 비정상 접속 패턴(업무 외 시간대 접속, 반복적 인증 실패, 대용량 파일 다운로드 등)을 리뷰하는 정기 감사 프로세스를 운영하고, 담당자를 명확히 지정하는 것이 감사 체계를 실질적으로 작동시키는 핵심이다. 세션 로그는 사고가 났을 때를 위한 보험이 아니라, 평상시 이상 징후를 조기에 발견하는 탐지 도구로 활용될 때 진짜 가치를 발휘한다.