# 위험 기반 인증

## 개요

**위험 기반 인증**(Risk-Based Authentication, RBA)은 사용자의 로그인 시도나 시스템 접근 요청에 대해 보안 위험 수준을 실시간으로 평가하고, 그에 따라 인증 강도를 동적으로 조절하는 지능형 인증 기술입니다. 전통적인 고정된 인증 방식(예: ID/비밀번호 또는 2단계 인증)과 달리, 위험 기반 인증은 사용자 행동, 접속 환경, 장치 정보, 위치, 시간 등 다양한 요소를 분석하여 이상 징후를 탐지하고, 위험이 높다고 판단될 경우 추가적인 인증 절차를 요구합니다.

이 방식은 사용자 편의성과 보안 간의 균형을 추구하며, 특히 대규모 온라인 서비스, 금융 플랫폼, 클라우드 기반 시스템에서 널리 채택되고 있습니다.

---

## 작동 원리

위험 기반 인증은 다음과 같은 단계로 작동합니다:

1. **데이터 수집**: 사용자의 로그인 시도 시, 시스템은 다양한 정보를 수집합니다.
   - IP 주소 및 위치 정보
   - 접속 장치의 유형 및 운영체제
   - 브라우저 정보 및 쿠키 상태
   - 로그인 시도 시간 및 빈도
   - 과거 로그인 패턴 및 행동 이력

2. **위험 점수 산정**: 수집된 데이터를 기반으로 알고리즘이 실시간으로 **위험 점수**(Risk Score)를 계산합니다. 예를 들어, 익숙하지 않은 국가에서의 로그인, 비정상적인 시간대 접근, 알려지지 않은 장치 사용 등은 높은 위험 점수를 유발합니다.

3. **정책 기반 응답**: 사전 정의된 보안 정책에 따라 위험 점수에 따라 다양한 대응이 이루어집니다.
   - **낮은 위험**: 기존 인증 방식(예: 비밀번호)으로 통과
   - **중간 위험**: 2단계 인증(2FA) 또는 OTP 요청
   - **높은 위험**: 로그인 차단, 계정 잠금, 관리자 알림

---

## 주요 구성 요소

### 1. 사용자 프로파일링
사용자의 정상적인 행동 패턴을 학습하여 기준선을 설정합니다. 예를 들어, 특정 사용자는 매일 오전 9시에 서울에서 모바일 기기로 로그인하는 패턴을 보일 수 있습니다. 이러한 정보는 정상 행동 기준으로 활용됩니다.

### 2. 맥락 기반 분석 (Contextual Analysis)
접속 환경의 맥락을 분석합니다. 예를 들어:
- **지리적 이동 속도**: 뉴욕에서 1시간 후 도쿄에서 로그인 시도 → 물리적으로 불가능하므로 고위험
- **IP 평판**: 악성 활동 기록이 있는 IP 주소는 자동으로 위험으로 분류

### 3. 머신러닝 및 AI 모델
고급 위험 기반 인증 시스템은 머신러닝 알고리즘을 활용하여 이상 징후를 보다 정교하게 탐지합니다. 지속적인 학습을 통해 새로운 공격 패턴에도 적응할 수 있습니다.

### 4. 정책 엔진
조직의 보안 정책에 따라 위험 점수에 따른 대응 방식을 정의합니다. 예를 들어, 금융기관은 보다 엄격한 기준을 설정할 수 있습니다.

---

## 장점

- **사용자 편의성 향상**: 정상적인 사용자에게는 추가 인증 없이 빠른 접근을 허용
- **보안 강화**: 자동화된 공격, 자격 증명 도용, 봇 활동 등에 효과적으로 대응
- **유연한 대응**: 상황에 따라 인증 수준을 조절하여 보안과 편의성의 균형 유지
- **실시간 탐지 및 대응**: 이상 징후를 즉시 식별하고 조치 가능

---

## 한계 및 고려 사항

- **거짓 긍정**(False Positive): 정상 사용자가 고위험으로 오인되어 접근이 차단될 수 있음
- **데이터 프라이버시**: 사용자 행동 데이터 수집이 개인정보 침해 논란을 일으킬 수 있음
- **초기 설정 복잡성**: 정확한 기준선 설정과 정책 정의에 시간과 전문 지식 필요
- **고도화된 공격 대응 한계**: 고급 지능형 지속 공격(APT)이나 내부자 위협에는 제한적일 수 있음

---

## 활용 사례

- **금융 서비스**: 은행 앱에서 해외에서의 로그인 시 생체 인증 또는 OTP 추가 요청
- **클라우드 서비스**: Google, Microsoft Azure 등은 RBA를 기반으로 계정 보호 기능 제공
- **전자상거래**: 비정상적인 구매 패턴과 결합하여 사기 방지 시스템과 연동

---

## 관련 기술 및 표준

- **FIDO2 / WebAuthn**: 패스워드 없는 인증과 결합 시 보안성 향상
- **SIEM**(보안 정보 및 이벤트 관리): 로그 데이터를 통합 분석하여 RBA 시스템에 제공
- **NIST SP 800-63B**: 디지털 인증 가이드라인에서 위험 기반 접근을 권장

---

## 참고 자료

- National Institute of Standards and Technology (NIST). (2020). *Digital Identity Guidelines: Authentication and Lifecycle Management (SP 800-63B)*.
- OWASP. *Authentication Cheat Sheet*. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html
- Microsoft Azure AD Conditional Access: https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/

> 위험 기반 인증은 보안의 미래를 이끄는 핵심 기술 중 하나로, 지속적인 기술 발전과 함께 더욱 정교하고 지능화된 방향으로 진화하고 있습니다.