[기획/보안강국을 위한 쓴소리-보안관제 현황 진단②]

지금까지 보안관제시스템 등을 토대로 구축해 놓은 침해사고대응체계를 발전시켜, 각종 공격과 침해사고를 미연에 막을 수 있고 신속하게 조치해 피해를 최소화할 수 있는 방안은 찾기 위해, 현재 부족한 것이 무엇인지 진단해보고자 합니다.

전문가 분들에게 서면을 통해서나 직접 만나 의견을 구해봤습니다. 한국인터넷진흥원 인터넷침해대응센터, 삼성SDS, LG CNS, 싸이버원, 안철수연구소, 윈스테크넷, 이글루시큐리티, 인포섹의 전문가분들과 공공·기업의 보안관제센터 등에서 관제업무를 담당하시는 여러분들이 도움을 주셨습니다.

사용자 삽입 이미지

일단 보안관제의 목표는 중요자산을 보호하는 것입니다. 쉽게 말해 궁극적인 보안관제는 각종 침해사고를 막는데 목적이 있습니다. 그런데 지금의 보안관제체계에서 침해사고를 막을 수 있을까요? 

보안관제가 침해사고를 탐지하고 대응하는데 상당한 효과가 있다는 점은 인정되고 있지만, 공격 예방과 실시간 탐지 측면에서는 아직도 부족하다는 진단이 내려지고 있습니다.

더욱 큰 문제는 알려지지 않은 취약점을 이용한 공격, APT(Advanced Persistent Threat) 공격, 사회공학적 공격 등 지능화된 최신 공격에 한계를 노출하고 있다는 점입니다.

우리가 기억하는 최대규모 고객정보를 유출한 옥션이나 SK커뮤니케이션즈의 사고가 보안관제체계가 부재했기 때문은 아닙니다.

그래서 사고 이후 “보안관제서비스를 받고 있는데 왜 못 막았냐?”, “보안관제 업체의 책임 아니냐”며, 이를 둘러싼 많은 논란이 대두되기도 했습니다. 

전체적으로 보면 보안관제시스템을 제대로 운영해온 기간이 짧기도 하지만, 그동안에는 대형사고 경험 역시 부족한 탓이 있습니다.

또 보안관제를 제대로 하려면 기본적인 보안 투자가 기반이 돼야 하는데, 아직도 정부와 금융기관, 기업의 보안 투자는 부족합니다. 더욱이 지속적으로 새로운 공격수법이 빠르게 개발되고 있는데, 보안시스템을 보강하는 계획을 수립하고 투자를 벌이기 위한 의사결정은 느립니다.

보안관제는 방화벽, 침입탐지시스템(IDS), 침입방지시스템(IPS), 분산서비스거부(DDoS) 공격 대응시스템 등 보안 장비를 기반으로 합니다.

그동안 보안투자는 주로 외부에서 내부로의 차단에 집중한 보안시스템을 구성해 보안정책을 설정하는 분야에서 이뤄져 왔지만, 이 또한 일부일 뿐입니다.

이들 장비에서 나오는 이벤트와 로그를 취합하거나 이상징후를 파악한 뒤 침해 여부를 분석해야 하기 때문에 대부분 보안사고가 발생한 뒤의 시점이 됩니다. 때문에 사전탐지 보다는 보안사고를 확인하고 사후대응하는 것, 같은 유형의 2~3차 피해를 예방하는데 더 기능적이라고 할까요. 

더욱이 관제 대상과 범위는 주로 네트워크 분야로 한정돼 있고 외부로부터 들어오는 공격과 침입에 집중돼 있는 체계여서 내부PC단을 대상으로 하는 최신 공격기법이나 지능형지속위협(APT)과 같은 정교하고 지능적인 위협을 대응하는데 역부족이라고 평가됩니다.

최근의 해킹은 주로 상대적으로 취약한 내부 사용자의 PC를 악성코드 등을 통해 감염시켜 내부 시스템 접근한 후 중요정보를 탈취하는 식으로 이뤄집니다. 이로 인해 보안관제의 내·외부의 균형적인 운영에 대한 필요성과 특정한 부문이 아니라 전체 시스템을 유기적으로 연동하는 노력이 요구되고 있습니다.

즉, 인바운드 트래픽뿐만 아니라 내부에서의 정보 흐름, 아웃바운드 트래픽에 대한 통합된 보안관제의 필요성과 함께 관제의 대상도 단순 네트워크 장비, 서버에서 나아가 PC, 저장매체 활용 등 사용자단까지 확대돼야 한다는 것입니다.

일부 기관 등에서는 이미 PC 보안관제도 함께 수행하고 있다고 하는데요. 백신·PC보안 중앙관리시스템 등을 기반으로 한 PC단과 네트워크단의 포괄적인 탐지·분석이 이뤄져야 합니다.

개인정보유출 문제가 확산되면서 최근 잇달아 출시된 정보유출 방지시스템처럼 사용자들의 행위를 통합적으로 추적·감사하고 외부로의 불법적인 정보유출이나 이상행위를 통제·차단하는 시스템을 도입해 보안관제시스템과 연동하는 작업도 필요할 것입니다.

내부망에서 외부로 나가는 것을 차단할 수 있는 정책 수립도 검토해봐야 합니다.

이를 위해서는 먼저 내부에서 외부로 이루어지는 서비스 정의를 수행한 뒤 외부로 나가는 것에 대한 정책을 수립해야 합니다. 다만 추가적인 보안투자와 함께 사용자의 불편함이 대두될 수 있어 보안 수준 사이에서 정책을 어느 정도로 수립할 것인지 결단이 필요할 듯합니다.

보안관제시스템 자체의 기술적인 한계도 지적됩니다.

먼저 보안관제시스템이 다양한 이기종 보안장비 지원에 한계가 있을 경우의 문제입니다. 또 여러 장비에서 나온 이벤트를 동일한 기준으로 탐지·분석·대응할 수 있는 관리체계를 반영하지 못한다면 전적으로 보안관제서비스 수준 자체에 문제가 됩니다. 

공격 여부 등을 판단하는 기본 정보가 되는 탐지 이벤트에 대한 신뢰성 문제도 크게 지적됩니다. 

공격 탐지센서로 활용되는 각각의 보안 제품의 수준이 떨어지는 것과도 연관돼 있습니다. 오탐지(False Positive)된 이벤트가 많을 경우 실제 위협을 판별해내기는 당연히 어렵습니다.

때문에 최적화 작업이 아주 중요한 것으로 인식됩니다.

보안장비에서 발생하는 엄청난 이벤트를 바탕으로 위협에 대응하기가 매우 어렵기 때문에 현실적으로 커스터마이징 처리된 이벤트를 중심으로 분석이 이뤄지게 되기 때문입니다.

보안장비에서 발생하는 수많은 오탐 이벤트를 커스터마이징 작업을 통해 최적화된 탐지·분석·대응체계를 갖출 수 있다는 얘기입니다.

제로데이 공격에 대한 탐지가 어렵다는 점도 한계로 지적됩니다. 만일 솔루션마다 신규 공격에 대한 패턴 업데이트 주기가 길어지면 최신공격 대응이 어려울 수밖에 없습니다. 

솔루션 업체들의 업데이트, 능력에 대한 의존도가 높기 때문에 만일 솔루션 개발업체에서 신규 공격 패턴을 곧바로 제공하지 못할 경우 보안관제시스템에서도 탐지하는데 한계가 있을 수 있습니다.

따라서 기반이 되는 보안 솔루션의 수준이 아주 중요합니다.

패턴이 제대로 제공된다 하더라도 보안관제시스템의 최적화 작업을 계속해서 벌이지 않을 경우에도 문제는 발생합니다.

백신의 경우 설치만 하고 업데이트를 하지 않게 되면 새로운 바이러스를 막지 못하는 것처럼 보안관제시스템도 지속적인 커스터마이징이 필요하다는 게 전문가들의 지적입니다. 각사마다 IT환경과 사업환경 차이로 인해 같은 패턴을 적용하더라도 시스템상에서 충돌이나 오류가 발생해 오탐지로 이어지는 경우도 있기 때문입니다.

전문 보안관제서비스 업체 역시 침입탐지에 전문성을 갖고 지속적으로 신규 공격 탐지 패턴에 관해 연구하며 이같은 능력을 갖춰야 하는 노력도 요구됩니다.

그래야 예방과 실시간 탐지를 수행할 수 있는 신규 공격을 시스템에 반영할 수 있기 때문입니다.

사전예방 기능을 강화하기 위해 최근에는 보안관제의 범위에 취약점 진단과 모의해킹 업무도 포함되고 있는 추세입니다.

지속적인 신규 패턴 업데이트, 커스터마이징 및 최적화 작업, 사전진단 등을 강화하려면 보안관제서비스 업체나 관제업무 담당자를 대상으로 적절한 보안관제서비스 비용을 지불하고 그 업무의 중요성을 인정하는 것도 반드시 병행돼야 할 것입니다.

2011/10/12 11:23 2011/10/12 11:23

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단①]

사용자 삽입 이미지

사이버위협이 날이 갈수록 심각해지면서 보다 보안관제에 대한 중요성이 어느 때보다 높아지고 있습니다.

기업이나 기관 중요 정보자산을 악성코드, 해킹, 분산서비스거부(DDoS), 정보유출과 같은 악의적인 행위와 위협으로부터 보호하기 위해선 실시간 모니터링을 실시해 공격을 탐지, 분석하고 대응하는 체계를 갖추는 보안관제가 필수적으로 요구됩니다.

그 이유로 정부는 사이버공격이 발생하면 신속하게 탐지·대응하기 위한 각 부처와 시·도 등 각 영역별로 보안관제센터를 구축해 침해사고대응체계를 선도적으로 구축·운영해왔습니다.

보안관제는 방화벽, 침입탐지/방지시스템(IDS/IPS), 그리고 통합보안관리시스템(ESM), 위협관리시스템(TMS) 등 단위 보안시스템과 보안관리시스템에서 발생하는 이벤트, 네트워크 트래픽 정보를 통합 모니터링하고, 상관관계를 분석해 사고를 처리 대응하며, 정보를 공유하는 기능을 포괄적으로 수행합니다. 

2000년대 초반부터 일원화된 보안관리체계 운영과 침해사고 대응협력의 필요성이 대두되면서 금융, 통신 등 각 영역별로 정보공유·분석센터(ISAC)를 만들기 시작했었죠. 벌써 까마득한 이야기입니다. 하지만 원래 목적대로 운영되지 못하면서 크게 활성화되지 못했습니다. 그나마 금융ISAC 정도만 운영이 되고 있다고 할까요.

본격적인 보안관제체계가 마련된 것은 현재 한국인터넷진흥원에서 운영하고 있는 인터넷침해대응센터가 만들어지면서부터가 아닐까 싶습니다. 2003년 12월에 신설됐죠.

이후 2003년 1월 25일, 우리나라 인터넷이 몇 시간 동안 마비되는 사상초유의 사태가 발생합니다. ‘인터넷대란’이라고 불리고 있죠. 이때부터 본격적으로 사이버보안에 대한 국가차원의 종합적이고 체계적인 대응 필요성이 제기됐습니다. 그 이듬해 정부는 국가정보원에 국가사이버안전센터를 설립합니다.  

국가사이버안전센터 운영이 본격화되고, 행정안전부 정부통합전산센터가 출범하죠. 이 때부터 본격적으로 보안관제센터가 정부·공공 분야에서 확산됩니다.

전자정부 보안관제센터가 구축된 2005년부터 지난해까지 정부부처 등 20여개 영역, 16개 시·도 광역자치단체까지 보안관제센터와 사이버안전센터가 마련되면서 실시간 발생하는 사이버위협을 탐지·대응할 체계를 구축했습니다. 

이제는 국가사이버안전관리규정이 개정돼 정부·공공기관은 보안관제센터 구축과 운영이 의무화돼 있습니다.

정부가 이달 중 보안관제 전문업체를 지정하게 되면, 예산과 전문인력 부족 등의 이유로 구축해 놓은 정부·공공기관의 보안관제센터 운영업무를 자체적으로 담당하기 힘들 경우 민간 전문업체에게 위탁하게 됩니다.

그 사이에 은행 등 금융기관, 대기업들도 자회사를 통해 보안관제를 운영할 센터를 구축하면서, 민간분야에서도 보안관제체계 도입이 확대되고 있습니다.

이제는 보안관제 인프라를 제대로 구축해 놓는 것뿐만 아니라 어떻게 하면 제대로 운영해 효과를 볼 수 있을지 총체적인 고민이 시작된 것 같습니다. 과연 보안관제체계를 본래의 목적에 맞게 구축해 운영하고 있는가 하는 점입니다. 

그러면서 짧은 시간 동안 보안관제의 중요성이 강조되는 동시에 한계성 또한 부각되기 시작했습니다. 최근 2~3년 간 발생한 사이버침해사고로 인한 결과는 치명적으로 다가왔기 때문입니다.

분산서비스거부(DDoS) 공격으로 정부기관·은행 등 주요사이트가 다운되고 금융전산망이 마비됐으며, 인터넷사용 인구 대부분이라 할 수 있는 정도의 개인정보가 유출됐습니다.

지난 2009년 발생한 7.7 DDoS 공격, 올해 발생한 농협 전산망 장애, 네이트·싸이월드 해킹사고 이야기입니다.

앞으로 어떤 강력한 공격이 우리나라의 정보통신망이나 시스템을 대상으로 발생할지, 그 피해는 대체 어느 규모가 될지 예측하기 어려운 상황에서 불안감만 커지고 있습니다. 

앞으로 해결해야 할 도전과제는 무엇일까요. 보안관제센터를 중심으로 사이버침해사고 예방과 탐지, 대응조치를 포함해 사이버보안에 대한 전방위적이고 종합적인 역할을 수행할 수 있도록 지속적으로 발전시켜야 할 것입니다. 

사이버위협은 계속 지능화되고 강력해지고 있기 때문에 보안관제체계를 구축했다고 안심할 게 아니라 계속해서 업그레이드, 보강해야 하는 것이 우리가 처한 현실입니다.


2011/10/12 11:23 2011/10/12 11:23

‘APT(지능적지속위협, Advanced Persistent Threat)’라는 사이버공격이 요즘 이슈입니다.

APT 공격은 특정 기업이나 조직을 노린 표적공격의 대표 유형입니다. 원자력 발전소와 같은 중요한 산업기반시설이나 구글, 야후같은 유명 인터넷업체, EMC RSA같은 대표적인 보안업체들이 잇달아 이 공격에 속수무책으로 당하면서, 우려와 관심이 최근 무척 높아졌습니다.

1년 전 이란 부셰르 원자력발전소를 공격한 ‘스턱스넷’이 출현하면서 본격적으로 알려지기 시작했죠.

올해 초 구글이 침해사고 사실을 공개한 ‘오퍼레이션 오로라(Operation Aurora)’도 APT 공격으로 분류되고 있고, 지난 3월에 EMC RSA도 APT 공격을 당해 자사의 OTP(One Time Password) 기술이 유출된 것으로 보인다고 발표한 적이 있습니다. 

우리나라에서는 7월 말에 발생한 SK커뮤니케이션즈 3500만명의 개인정보유출 사고가 지능형 표적공격으로 분석되면서, APT 공격 가능성이 제기됐습니다.

APT 공격은 특정한 목표를 겨냥한다는 점에서 불특정 다수를 대상으로 한 기존 해킹과 구별됩니다. 표적으로 삼은 기업이나 기관 등 조직의 네트워크에 은밀하게 침투해 오랫동안 잠복하면서 기밀정보를 유출하는 식으로 공격목표를 달성하기 때문에 사전에 탐지하고 대응하기가 어렵다고 알려져 있습니다. 

공격 역시 일회성이 아니라 장기간에 걸쳐 이뤄지고, 여러 악성코드나 공격 루트를 이용합니다.

현재로서는 일단 APT 공격이 발생하면 이를 막을 뾰족한 대안이 없다고 인식되고도 있습니다. 

그래서인지 APT 공격 위협이 부상하니, 특정 기업이나 기관을 대상으로 침해사고가 발생했거나 기업의 고객정보 등 기밀정보가 유출되면 모조리 APT로 치부해버리는 경향이 나타나고도 있습니다.  

그 이유로 일부 보안전문가들은 모든 표적공격이 APT 공격이 아니고 모든 기업이 APT 공격 대상이 되는 것은 아닐 뿐만 아니라 대부분이 이 공격과 연관이 없는데, APT 보안위협이 과대 포장되고 있다고 지적하기도 합니다.

지만 현재 많은 기업이 표적공격을 문제 삼고 있는 만큼 최신 보안 위협에 효과적으로 대응하기 위해서는 APT를 면밀히 파악할 필요가 있습니다.

APT 공격이 무엇일까요? 아직까지 보안업계에서도 APT 공격 유형이나 방식을 A부터 Z까지 명확하고도 완전하게 정의하고 있지는 못하는 것 같습니다. 그래서 대응방안도 아직 명쾌하게 제시되진 못하는 것이겠죠.

현재 많은 보안전문가들, 보안업체들은 APT를 잡기 위해 다각도로 연구하고 있습니다. 

시만텍 역시 그렇습니다. ‘스턱스넷’ 공격이 발생했을 때 시만텍은 이 악성코드를 신속하게 발견하고 분석해 내면서 두드러진 모습을 보였었죠.  최신 위협을 분석하고 대응방안을 마련하는 것은 보안업체로서 당연한 역할입니다.

20일 시만텍코리아는 기자들을 초청해 최신 보안위협과 보안 대응방안을 설명하는 자리를 가졌는데요. 시만텍 아태 및 일본지역 임원이 이 자리에 참석해 APT 공격이 무엇인지 구체적으로 설명하고, ‘정보중심 보안 전략’을 주축으로 한 나름의 해결방안도 제시했습니다.
(관련기사 시만텍 “APT 표적공격, ‘정보중심 보안’ 전략으로 해결”

<APT 공격의 특징>

사용자 삽입 이미지

APT 공격은 특정 기업이나 조직 네트워크에 침투해, 활동 거점을 마련한 후 기밀정보를 수집해 지속적으로 빼돌리는 보다 은밀한 형태의 표적 공격으로 정의됩니다.

기관총을 쏴대는 무차별적 공격이 아니라 치밀한 사전 준비를 거친 스나이퍼형의 지능적·차별적·지속적 공격인 셈이라고 시만텍은 설명했습니다.

특정 기업이나 조직을 노리는 표적 공격은 보통 ‘드라이브바이다운로드(Drive-by download)’, SQL 인젝션, 악성코드, 스파이웨어, 피싱이나 스팸 등 다양한 공격 기술을 사용합니다.

APT 공격도 이 같은 기술들을 하지만 공격 성공률을 높이고 첨단 보안 탐지 기법을 회피하기 위해 제로데이 취약점 및 루트킷 기법과 같은 고도의 공격 기술을 복합적으로 이용하기 때문에 지능적이고 위협적입니다.

당한 기업들도 보안 사고가 터지기 전까지는 APT 공격에 당했다는 사실 조차 모르는 경우가 대부분이죠.

APT 공격은 일단 지능적(Advanced)입니다. 제로데이 취약점이나 루트킷 기법과 같은 고도의 지능적인 보안 위협을 동시다발적으로 이용해 표적으로 삼은 목표에 침투해 은밀히 정보를 빼돌리는 ‘킬 체인(Kill Chain)’를 생성합니다.

제로데이 취약점은 프로그램에 문제가 알려지고 난 후 보안패치가 나올 때까지의 시간차를 이용해서 공격하는 것입니다. 보안패치가 나오기 전까지는 각종 보안 위협에 무방비로 노출되는 셈이라 위험하죠.

루트킷 기법은 컴퓨터 운영체제가 구동되기 전에 윈도 컴퓨터의 마스터 부트 레코드(MBR)를 변경해 컴퓨터에 대한 통제권을 획득하는 기법으로, 보안 소프트웨어를 통한 탐지를 어렵게 하는 특징이 있습니다.

현재까지 알려진 최악의 APT 공격인 스턱스넷의 경우 4개의 제로데이 취약점과 루트킷 기법 등을 종합적으로 이용한 것으로 밝혀졌습니다.

APT 공격은 지속적(Persistent)인 특성을 보입니다. 

보안탐지를 피하기 위해 은밀히, 천천히 움직여야 하기 때문에 긴 시간 동안 행해집니다.

다수의 표적 공격이 순식간에 목표를 공격해 필요한 정보를 탈취해가는 이른바 ‘스매시&그랩(Smash and Grab)’형 공격이라면, APT는 표적으로 삼은 목표 시스템에 활동 거점을 마련한 후 은밀히 활동하면서 새로운 기술과 방식이 적용된 보안 공격을 지속적으로 가해 정보 유출·삭제 또는 시스템에 대한 물리적 피해와 같이 궁극적으로 원하는 목적을 이룹니다.

또한 공격 동기(Motivated) 부여확실한 공격 목표(Targeted)를 갖고 있습니다.

APT는 주로 국가간 첩보활동이나 기간시설 파괴 등의 특정 목적을 달성하기 위해 행해지며, 대부분 배후에 특정 국가가 후원하는 첩보조직이나 단체가 연루돼 있을 것으로 예상되고 있습니다. 

이는 APT가 단순히 정보 유출만을 노리는 것이 아니라 공격자가 지속적으로 표적을 원격 조종해 정보 유출을 포함, 시스템 운영을 방해하거나 물리적인 타격까지 노리고 있다는 것을 시사합니다.

지적재산이나 가치있는 고객정보를 가진 조직들이 표적공격의 대상이라면, APT는 주로 정부 기관이나 기간시설, 방위 산업체, 전세계적으로 경쟁력 있는 제품, 기술을 보유한 주요 기업들과 이들의 협력업체 및 파트너사들을 노립니다.

이같은 특징으로 보면 모든 기업들이 APT의 공격 대상이 아님은 분명해 보입니다. 시만텍 역시 APT 공격을 설명하기 시작하면서, “표적공격의 하나의 유형으로, 표적공격을 모두 APT로 볼 수 없다. 표적공격은 APT 보다 광범위하다”고 밝혔습니다. 

<APT 공격 방법>

일반적으로 APT 공격은 침투, 검색, 수집 및 유출의 4단계로 실행됩니다. 각 단계에서는 다양한 공격 기술이 사용됩니다.
사용자 삽입 이미지

1단계: 침투(Incursion)

일반적으로 표적 공격시 해커들은 훔친 인증정보, SQL 인젝션, 표적 공격용 악성코드 등을 사용해 목표로 삼은 기업이나 조직의 네트워크에 침투합니다. APT도 이러한 공격 방법들을 사용하지만 오랜 시간에 걸쳐 공격 대상 시스템에 활동 거처를 구축하는데 초점을 맞춥니다.

- 관찰(Reconnaissance): APT 공격자들은 표적으로 삼은 조직, 시스템, 프로세스, 파트너와 협력업체를 포함해 사람들을 파악하기 위해 수개월에 걸쳐 공격 목표를 철저히 연구하고 분석합니다. 이란 핵 시설을 공격했던 스턱스넷의 경우, 공격팀은 목표로 삼은 우라늄 농축시설에 사용되는 PLC(Prorammable Logic  Controllers)에 대한 전문 지식을 보유하고 있었지요.

- 사회공학기법(Social engineering) : 목표 시스템으로의 침투를 위해 공격자들은 내부 임직원이 실수나 부주의로 링크를 클릭하거나 첨부파일을 열게끔 사회공학적 기법을 접목하기도 합니다. 이메일, 소셜네트워크서비스, 웹사이트 게시판, P2P 등을 다양하게 악용하겠죠.

공격자가 특정 기업의 시스템 관리자를 노린다면 공격자는 사전에 이 관리자의 개인 블로그, 트위터, 페이스북 등을 검색해 생년월일, 가족 및 친구관계, 개인 및 회사 이메일 주소, 관심 분야, 진행중인 프로젝트 등의 정보를 수집한 후 이를 이용해 피싱 메일을 보내는 식입니다.

- 제로데이 취약점(Zero-day vulnerabilities) : 제로데이 취약점은 개발자들이 패치 등을 제공하기 전에 소프트웨어 개발자들 모르게 공격자들이 악용할 수 있는 보안상 허점으로 보안 업데이트가 발표되기 전까지는 무방비 상태와 같습니다.

그러나 제로데이 취약점을 발견 하기위해서는 상당한 시간과 노력이 걸리는 만큼 가장 정교한 공격 기관만이 이를 활용할 수 있습니다.

APT는 공격 목표에게 접근하기 위해 하나 이상의 제로데이 취약점을 이용합니다. 스턱스넷의 경우 동시에 4개의 제로데이 취약점을 이용했습니다. 

- 수동 공격(Manual operations) : 일반적으로 대규모 보안 공격은 효과를 극대화 하기 위해 자동화를 선택합니다.

‘스프레이&프레이(Spray and pray)’로 불리는 피싱 사기를 예를 들면, 자동 스팸 기술을 사용해 수천명의 사용자들 중 일정 비율이 링크나 첨부파일을 클릭하도록 했습니다. 반면에 APT는 자동화 대신 각각의 개별 시스템과 사람을 표적으로 삼아 고도의 정교한 공격을 감행합니다. 

2단계: 검색(Discovery)

일단 시스템 내부로 침입한 공격자는 해당 시스템에 대한 정보를 수집하고 기밀 데이터를 자동으로 검색합니다. 침투로 인해 보호되지 않은 중요한 데이터나 네트워크, 소프트웨어나 하드웨어, 또는 노출된 기밀 문서, 추가 리소스 등이 탐색될 수 있겠죠.

대부분의 표적공격은 기회를 노려 공격을 하지만 APT 공격은 보다 체계적이고 탐지를 회피하기 위해 엄청난 노력을 기울입니다. 검색단계에서는 해당 환경을 전반적으로 프로파일링하고 중요정보를 파악합니다. 

- 다중 벡터(Multiple vectors) : APT 공격시 일단 악성코드가 호스트 시스템에 구축되면 소프트웨어, 하드웨어 및 네트워크의 취약점을 탐색하기 위해 추가적인 공격 툴들이 다운로드 되기도 합니다.

- 은밀한 활동(Run silent, run deep) : APT의 목표는 표적의 내부에 잠복하면서 장시간 정보를 확보 하는 것이므로, 모든 검색 프로세스는 보안탐지를 회피하도록 설계됩니다.

- 연구 및 분석(Research and analysis) : 정보 검색은 네트워크 구성, 사용자 아이디 및 비밀번호 등을 포함해 확보된 시스템과 데이터에 대한 연구 및 분석을 수반합니다.

따라서 APT 공격을 탐지하면 가장 먼저 해당 공격이 얼마나 지속됐는가를 살펴봐야 합니다.

전형적인 표적공격으로 계좌번호가 유출됐다면 데이터가 유출된 날짜나 피해 정도를 아는 것이 크게 어렵지 않지만, APT 공격은 언제 공격을 받았는지 가늠하기가 거의 불가능하다고 분석됩니다.

침투 및 검색 활동이 매우 은밀히 진행되기 때문에 피해자는 로그 파일을 점검하거나 관련 시스템을 폐기해야 할 수도 있습니다.

3단계: 수집(Capture)

수집 단계에서 보호되지 않은 시스템에 저장된 데이터는 즉시 공격자에게 노출됩니다. 또한 조직 내의 데이터와 명령어를 수집하기 위해 표적 시스템이나 네트워크 액세스 포인트에 루트킷이 은밀하게 설치될 수 있습니다.

- 장시간 활동(Long-term occupancy) : APT는 오랜 기간 지속적으로 정보를 수집합니다. 2009년 3월 발견된 고스트넷(GhostNet)으로 알려진 대규모 사이버 스파이 사건은 103개 나라의 대사관, 외국 부처 및 기타 정부 기관을 포함해 인도, 런던 그리고 뉴욕의 달라이 라마의 티벳 망명 센터 컴퓨터 시스템에 침투했습니다.

인포메이션 워페어 모니터(Information Warfare Monitor) 보고서에 따르면, 고스트넷은 2007년 5월 22일에 데이터를 수집하기 시작해 2009년 3월 12까지 지속된 것으로 나타났습니다. 평균적으로 감염된 호스트가 활동한 시간은 145일이었고, 가장 긴 감염 시간은 660일이었답니다.

4단계: 제어(Control)

APT 공격의 마지막 단계로, 불법 침입자들은 표적 시스템의 제어권을 장악합니다. 이 단계를 통해 공격자들은 지적 재산권을 포함해 각종 기밀 데이터를 유출하며, 소프트웨어 및 하드웨어 시스템에 손상을 입힙니다.

- 유출(Exfiltration) : 기밀 데이터가 웹 메일 혹은 암호화된 패킷이나 압축파일 형태로 공격자에게 전송됩니다.

- 지속적인 분석(Ongoing analysis) : 도난된 신용카드 번호가 금전적 이득을 위해 재빨리 이용되는 반면에, APT에 의해 수집된 정보는 전략적 기회를 포착하기 위한 연구에 이용되곤 합니다.

이러한 데이터는 이 분야의 전문가들에게 하나의 지침서가 되어 영업 비밀을 캐내거나 경쟁사의 행동을 예측하여 대응 방안을 수립하는데 도움이 될 수 있죠.

- 중단(Disruption) : 공격자는 원격 시동이나 소프트웨어 및 하드웨어 시스템의 자동 종료를 야기할 수도 있습니다.

많은 물리적 장치가 내장형 마이크로 프로세서에 의해 제어되고 있는 만큼 시스템이 교란될 가능성이 커집니다. 명령·제어 서버는 은밀하게 표적 시스템을 제어하고 심지어 물리적 피해를 야기할 수도 있죠.

<APT 공격 대응 방안>

시만텍은 APT 공격을 막기 위해서 가장 중요한 것이 기존의 보안 인프라가 갖는 한계를 넘어서 정보 주변을 둘러싼 시스템이 아닌 정보 자체를 보호하는 ‘정보중심의 보안 전략’을 가져가야 한다고 강조했습니다.

시만텍에 따르면, 정보중심의 보안 전략은 보호해야 할 중요 정보가 어디에 저장돼 있고, 누가 접근 가능한지, 어떻게 보호되고 있는지를 파악해 ‘디지털 정보지도’를 작성하는 것입니다. 이를 위해 보호해야 할 정보가 무엇인지 정의(Define)하고, 검색(Discover)하고, 해당 정보의 사용을 통제(Control)하는 정보보호 프로세스를 마련해야 합니다. 

이와 함께 ▲평판(reputation) 기반 보안 기술 ▲데이터 유출방지(Data Loss Prevention) 솔루션 ▲보안 정보 및 이벤트 관리(SIEM) ▲정보저장소 보안강화 ▲애플리케이션 계층에서 위험한 파일 형식 차단 등 다각도의 정보보호 체계를 갖추는 것이 중요합니다.

다양한 악의적 공격과 활동을 효과적으로 차단하기 위해 기업 내부의 사용자가 인터넷을 사용할 때 웹에서 악성코드 검사를 수행하도록 강제하는 ‘사전 방역’도 필요합니다.

네트워크상의 모든 트래픽을 검사해 일반적인 봇트래픽 패턴을 탐지하고 활성 봇넷을 차단하는 한편, 감염된 PC를 즉각 격리하는 ‘사후 차단’의 역할도 중요합니다.

이를 통해 각종 사이버 공격의 네트워크 유입을 사전에 차단하고, 만일 유입되더라도 지속적인 탐지 및 모니터링을 통해 악성활동을 차단, 보안 위협을 최소화 할 수 있기 때문입니다.

진화하는 사이버 보안 위협에 대응해 평판 기반과 같은 새로운 보안 신기술 도입도 필수적입니다. 공격용 툴킷의 확산과 악성코드 변종의 범람으로 인해 전통적인 시그니처 기반의 보안 솔루션으로는 각종 보안 위협에 대응하기가 점점 더 어려워지고 있기 때문이죠..

평판 기반의 보안 접근법은 마치 사용자들의 평판을 기반으로 맛집 순위를 매기는 것과 비슷합니다. 극소수의 사람들이 가지고 있는 프로그램을 다운로드하고자 할 경우엔 이를 악성일 가능성이 높다고 보고, 이를 제지하고 최상의 선택을 권고합니다.

직원 교육도 강화해야 합니다. 아무리 좋은 시스템과 보안 솔루션을 구축한다 하더라도 결국 이를 운용하는 것은 사람이고, 확고한 보안 인식이 갖춰지지 않는다면 보안 사고는 언제라도 일어날 수 있습니다.

기업은 보안 가이드라인을 마련해 정기적으로 인터넷 안전, 보안 및 최신 위협에 관해 직원교육을 실시하는 한편, 교육을 통해 정기적인 비밀번호 변경 및 모바일 기기 보안의 중요성을 알려야 합니다.


2011/09/21 09:05 2011/09/21 09:05

사용자 삽입 이미지
네이트·싸이월드 회원 3500만명의 개인정보를 유출한 SK커뮤니케이션즈에 법안이 최근 위자료 지급명령을 내리면서, 피해자들의 집단소송 참여가 더욱 확대되고 있는 분위기입니다.

개인정보 유출 피해자들이 모인 대표적인 인터넷 커뮤니티인 ‘네이트해킹피해자카페(네해카)’는 회원이 계속 불어나고 있습니다. 18일 현재 7만8000여명을 넘겨, 조만간 8만명을 넘길 것으로 보입니다.

‘네이트·싸이월드 해킹 피해자 공식카페’ 회원 역시 5만명에 육박하고 있습니다.

법원의 100만원의 위자료 지급명령이 내려진 것에 확신을 얻은 탓인지 집단소송에 참여하고 싶다는 의사를 밝히는 회원들도 부쩍 늘고 있습니다.

더욱이 네해카 운영자는 최근(14일) 소송을 담당할 법무법인을 선정해 구체적인 소송진행 준비절차에 들어간다고 밝힌데 이어, 19일에는 집단소송에 대한 공식표명을 할 것이라고 밝혔습니다.

다음 주부터는 해킹으로 회원 개인정보를 대량 유출한 SK커뮤니케이션즈를 상대로 한 집단소송이 본격화될 것으로 예상되고 있습니다.

이번 사고의 개인정보 유출 피해자가 역대 최대규모인만큼, 옥션 개인정보 유출 피해 관련 집단소송 규모를 넘어선 사상 최대규모의 집단소송이 벌어질 가능성이 높아지고 있습니다. 

하지만 집단소송 참여에 신중해야 한다는 목소리도 있습니다. 대표적인 대규모 집단소송인 옥션 피해자 집단소송을 비롯해 여러차례 진행된 집단소송에서의 경험 때문입니다. 

지난 2008년 옥션 해킹 사고 이후 피해회원 14만여명이 옥션을 상대로 개인정보 유출에 따른 피해배상을 요구하는 집단소송을 제기했지만 1심에서 패소한 전례가 있었습니다.
(관련기사 법원, 개인정보유출 해킹 사고 ‘옥션 과실 없음’ 인정, “옥션 개인정보 유출 배상책임 없다” )

더욱이 옥션 해킹 사고 이후 일부 변호사가 그럴 듯한 명목과 무책임한 배상액을 내세워 피해자들을 부추기면서 돈벌이 수단으로 이용했다는 비판이 많이 제기됐었습니다.

1심 재판이 끝난 뒤엔 아무런 해명이나 의견수렴 절차를 거치지 않고 항소를 포기해버리고 사건을 방치하는 무책임한 행태까지 나타나 많은 피해자들이 또다시 상처를 입기도 했었죠. 그로 인해 변호사들이 많은 네티즌, 피해자들로부터 원성을 샀습니다.  

옥션 관련 소송 결과와 무책임한 변호사들의 행태로 인한 허탈감과 분노감 때문인지, 많은 사람들이 이같은 집단소송이 결국은 원고측과 피고측 변호사들만 배불리는 결과를 불러왔다는 지적이 많았습니다.
(관련글 공돈 100만원이 탐나시나요?

네해카 등도 이런 점을 감안해 법무법인 선정 등 소송 준비 과정을 신중하게 진행하는 듯 보입니다.

네해카 운영자는 18일 올린 공지에서 “피해자들이 법에 기대 위로 받지는 못할망정, 일부 부도덕한 변호사에게 상업적으로 이용당해 다시 한 번 상처받는, 비극적인 일이 없도록 막겠습니다. 집단 소송 잘못된 문화는 네해카가 반드시 바꾸겠습니다”고 밝혔습니다.

또 “네해카는 피해자들이 직접 개설해 운영하는 최초이자 역대 최대 규모의 피해자 카페이며 변호사들에게 이용 당하지 않도록 피해자들을 보호하는 순수 공익 피해자 커뮤니티”라며, “피해자들 입장에 서서 집단소송 과정에서 절대로 실망시켜드리지 않는 철저하고 공정한 소송 진행과 마무리를 약속드립니다”고 강조했습니다. 

변호사들도 이같은 집단소송에 참여하려면 신중해야 한다는 조언을 하고 있습니다. 

지난 16일 열린 ‘3500만명 개인정보 유출 사태의 원인 및 대책 마련을 위한 토론회’에 패널로 참가한 김학웅 법무법인 창조 변호사는 “최근의 집단소송은 현대형 소송의 특징 중 하나인 ‘소액 피해 다수 피해자’가 의뢰인과 변호사 사이에서 발생하는 것은 아닌지 (우려스럽다)”고 지적했습니다.

김 변호사는 “옥션 사고 직후 3만원의 소송비용을 내면 200만원을 받을 수 있다는 이야기가 공공연하게 떠돌았지만 결국 기각됐다. 대규모 원고인단을 모집해 집단소송하는 것은 무리가 있고, 사업자가 기술적 보호조치의무를 이행하면 손해배상 책임이 없어 소송 승패여부가 달라질 수 있기 때문”이라며 신중을 기해줄 것을 당부했습니다.  

그의 조언은 이것입니다. “불법 행위로 인한 손해배상은 안 날부터 3년, 있은 날로부터 10년이며, 상사 채무불이행으로 인한 손해배상 청구소송은 있은 날부터 5년간 유효하다. 그러므로 집단소송은 1심 판결을 지켜본 후에 참여해도 늦지 않다.”

소송에 참여하기 전에 그 결과에 확신을 갖고 싶다면 귀담아 듣는 것도 좋겠습니다.

2011/08/18 15:18 2011/08/18 15:18

3500만명의 고객정보가 유출된 SK커뮤니케이션즈(SK컴즈)의 네이트·싸이월드 해킹 사고를 계기로 우리나라 ‘주민등록번호’ 제도가 또다시 핫이슈로 부상하고 있습니다.

단일 보안사고로 개인정보 유출 규모가 사실상 인터넷을 사용하는 모든 국민의 개인정보가 유출된 것으로 간주할 수 있다는 점에서 이번 사고 직후 보다 획기적이고 근본적인 개인정보보호 대책이 필요하다는 공감대가 형성됐기 때문입니다.  

주민번호 제도 자체를 손질하건, 수집·활용 관행을 바꾸건 간에 주민번호는 개인정보보호 방안의 중심에 있는 것이 사실입니다.

주민등록번호제도는 1962년 제정·공포된 주민등록법에 따라 50년 가까이 운영돼 왔습니다. 행정업무를 쉽게 처리할 수 있게 하고 범죄 발생시 범인 검거에 결정적인 역할을 하는 등 긍정적인 면도 많지만 지나친 국가통제·감시 수단이라는 비판도 꾸준히 제기돼 왔습니다.

주민번호는 가장 확실한 개인 식별, 본인확인 수단이니 온·오프라인을 막론하고 광범위하게 활용돼 왔습니다. 그러다보니 이를 유출해 악용하는 사례가 많아졌습니다. 특히 오프라인에서의 관행이 그대로 인터넷에 적용되면서 문제는 더욱 심각해졌습니다.

지난 2008년 발생한 옥션 해킹 사고는 1870만명의 회원정보를 통째로 유출하는 첫 대형 개인정보 유출 사례가 됐고, 그 전후에도 계속해서 인터넷상에 개인정보가 노출되거나 해킹 등으로 유출돼 왔습니다.

이제 우리나라 인터넷 사용자 대다수는 영구불변하고 가장 확실한 신원확인 수단인 내 주민번호가 제대로 보호받지 못한 채 불법 유출돼 마케팅에, 범죄에 불법 활용되고 있고 인터넷상에 떠돌고 있다는 것을 알고 있습니다.  

해외 웹사이트에서는 한국인의 주민번호를 쉽게 찾아볼 수 있습니다. 그만큼 우리나라 국민이 스팸이나 피싱, 금융사기를 비롯한 다양한 범죄에 노출돼 있다는 것을 의미합니다. 

누구나 합의하고 있는 기본 원칙은 온·오프라인을 막론하고 사회적으로 광범위하게 사용하고 있고 명백하게 개인을 식별할 수 있는 주민번호의 수집·활용·보관을 최소화해야 한다는 점입니다. 

그 이유로 이번 사고 발생 이후 방송통신위원회와 행정안전부, 여당(한나라당)까지 나서 여기에 초점을 둔 개인정보보호 강화 대책을 잇달아 내놓고 있습니다. (당정, 주민등록번호 활용 최소화 합의, 방통위 “인터넷상 주민번호 수집 원칙적 금지”)

정부의 대책은 인터넷상의 개인정보 수집·활용을 최소화하도록 하고(추가방안 마련 중), 인터넷상의 식별번호 수단인 ‘아이핀(i-PIN)’ 사용을 확대하고 보호조치를 강화하는 게 골자입니다.

하지만 진보네트워크센터(진보넷) 등 시민단체는 주민번호 재발급과 행정목적 이외의 민간 주민번호 수집·사용 금지와 사실상의 인터넷실명제인 제한적 본인확인제 폐지를 해결책으로 제시하고 있습니다.

지난 2008년 옥션을 비롯해 하나로텔레콤 등에서 잇달아 개인정보 유출 사고가 이어졌을 때부터 시민단체는 줄곧 민간·인터넷상의 주민번호 수집 금지, 주민번호 변경·재발급을 포함한 주민번호제도 개선·폐지 등을 요구해 왔습니다. (관련기사 “개인정보유출, 주민등록번호 수집이 문제”)

당시 정부에 주민번호 변경을 신청했던 진보넷은 지난 2일부터 주민번호 변경을 요구하는 청원 운동을 다음 아고라(http://agora.media.daum.net/petition/view.html?id=110274)에서 시작했습니다. (관련기사 개인정보유출 피해자 10명, 주민번호 변경 청구)

개인정보가 유출된 피해자들인 청원 참가자들로부터 주민번호 변경 청구서를 받아 행정안전부에 제출할 계획입니다.

진보넷은 주민번호 변경 청원운동 대국민 제안서에 “공공기관에, 은행에, 인터넷사이트에 앞으로도 주민번호를 계속 써야 한다. 전국민의 주민번호가 이미 유출됐는데 평생 이 번호를 그대로 쓰라는 건 말도 안된다”고 강조했습니다.

이를 요구하는 성명서에서는 “주민번호는 해당 유출사이트 뿐 아니라 대한민국 모든 민간과 공공 사이트에도 접속할 수 있는 만능 인증키이며 원격 거래에도 사용되고 있기 때문에 주민번호 유출은 추가적인 중대 피해로 이어질 수밖에 없다. 그런데도 주민번호를 변경할 수 없기 때문에, 유출 피해자는 주민번호의 도용을 속수무책으로 당할 수밖에 없다”고 지적했습니다.

이번 사건으로 사실상 전국민의 주민번호가 유출된 상황에서 그로인한 피해를 최소화할 수 있는 유력한 방법이 주민번호 변경이라는 것입니다. 

아이핀이 대안이 될 수 없는 이유로는 “아이핀은 정부가 인터넷에 주민번호 대신 보급중인 13자리 가상 주민번호로 5개 민간 신용정보회사들이 발급하고 있다. 아이핀 역시 식별번호이고,  아이핀은 본인확인정보를 5개 민간 신용정보회사로 집중시킨다는 점에서 오히려 부당한 표적이 될 가능성을 높다”고 밝혔습니다. 

이에 대해 행정안전부는 주민번호 변경을 허용하지 않는다는 입장을 내놨습니다. 

주민번호를 변경하려면 막대한 사회적 비용을 초래할 수 있고 자동차 면허, 부동산 등기, 예금 등 광범위하게 사용해 왔기 때문에 오히려 불편을 겪을 우려가 있다는 이유에서입니다. 

대신에 개인정보보호를 위해 주민번호 대체수단이 필요하다는 인식을 갖고 주민등록번호와 증 발행번호로 이원화한다는 계획입니다.

주민등록번호를 대체하는 역할로, 개인정보를 식별하거나 유추할 수 없는 체계로 증 발행번호를 구성해 필요시 변경을 허용한다는 방안입니다.

이미 작년 9월 주민등록증 수록항목에 발행번호를 추가하는 주민등록법 개정안을 국회에 제출했습니다.

또 유예기간을 두고 향후 주민번호 사용을 원칙적으로 제한하는 방안도 검토 중이라고 밝혔습니다.

이에 대해 진보넷은 아이핀과 발행번호 발급을 통해 주민번호를 이원화한다는 방침이 근원적인 대책이 되지 않는다는 입장을 이렇게 말하고 반문하며 다시 확인했습니다.

“행안부가 주민증 발행번호 제도 도입을 명시했다는 법안은 바로 전자주민증 도입 법안”
“행안부는 주민증 발행 번호 제도를 도입하겠다면서 주민번호 병행 사용 방침을 밝히고 있다. 이게 대체 무슨 대책이란 말인가?”
“이번 개인정보 유출 사고를 전자주민증 도입의 계기로 삼으려 한다는 사실이 매우 유감스럽다”며, “정부망을 포함해 어떤 시스템도 완벽한 보안이란 존재하지 않으며 불필요한 개인정보의 전자적 유통을 최소화하는 것이 정답”

반면에 행안부는 전자주민증에 있는 보안성 높은 IC칩에 주민등록번호 등 민감한 개인정보를 내장하고 증 발행번호를 고유번호로 쓰면 주민등록번호의 역할을 대신할 수 있어 해결책이 된다는 것입니다. 따라서 주민등록번호 변경 등에 따른 큰 사회적 혼란을 없애고 주민번호 유출에 따른 오·남용 문제도 해결될 수 있다는 입장입니다.

시민단체와 정부는 이렇게 팽팽하게 맞서고 있습니다.  

이번 사고 이후 정부가 최근 내놓은 대책은 미흡하다고 여겨지는 것은 사실입니다.

또 시민단체가 제시한 주민번호 재발급이 너무 엄청나다는 생각이 들어서인지 다음 아고라 주민번호 재발급 청원운동 참여자 수도 그리 크게 늘고 있지는 않습니다.

과연 털려나간 개인정보 유출 피해를 막고 향후 이런 사태를 방지할 수 있는 근본 해결책이 되면서도 실현할 수 있는 방안을 찾을 수 있을까요?

2011/08/15 22:19 2011/08/15 22:19
스마트시대가 진전될수록 사이버범죄, 보안위협은 더욱 커질 것이란 전망이 우세합니다.

지금도 악성코드, 해킹, DDoS(분산서비스거부), APT(지능적지속가능위협) 등과 같은 각종 사이버공격이 거세지면서 전세계 각국 정부와 기업, 보안업계 등은 대책 마련에 고심하고 있습니다.

올 상반기만 해도 우리나라는 DDoS 공격, 해킹으로 인한 현대캐피탈 고객정보유출, 농협 전산망 장애 등 금융권에서의 잇단 대형 보안사고로 사회적 불안감이 커졌습니다.

더욱이 안드로이드를 주축으로 한 스마트폰 악성코드도 급증하고 있습니다.

악성코드, DDoS, 해킹같은 침해사고는 특정 국가만의 문제는 아닙니다. 

악성코드는 전세계 PC, 모바일 기기, 인터넷 사용자에게 삽시간에 전파되고 있고, DDoS 공격도 전세계 각지의 서버를 경유`악용하면서 공격근원을 찾아내기 어렵게 만듭니다.

몇 년 전 이슈화 됐던 ‘중국발 공격’처럼 해외에서 우리나라를 대상으로 한 공격도 많이 발생합니다.

사이버범죄자가 우리나라 사람이고 우리나라 기관·기업의 사이트를 대상으로 했더라도 해외에서 공격하거나 수사기관에 검거당하지 않도록 숨어버립니다. 

작년 하반기에 이슈화 됐던 ‘스턱스넷’도 이란뿐만 아니라 중국, 인도네시아 등 많은 국가에서 동시에 영향을 미쳤던 것으로 분석됐습니다.

요즘 국내 언론에도 오르내리며 유명해진 ‘어나너머스’나 ‘안티섹’, ‘룰즈섹’과 같은 해커집단들도 나라와 정부, 기업을 가리지 않고 전세계 무대로 활동하고 있지요.

국경이 없는 사이버범죄의 이런 특성 때문에 사이버위협과 범죄에 대응하기 위해선 ‘국제공조·협력’의 중요성은 점점 더 커지고 있습니다.

현재 유행하고 있거나 새로운 위협동향을 알고 대처하기 위해서뿐만 아니라 사이버공격자들을 소탕하기 위해선 세계 각국이 서로 협력하고, 각자 위치에서 모두가 노력해야 합니다.

사용자 삽입 이미지
그 점에서 최근 있었던 한 정보보호 행사에서 염흥열 순천향대 교수(한국정보보호학회장)가 국제공조 협력을 강화하기 위해 국제 사이버범죄조약에 가입하자는 제안을 한 것에 관심이 쏠렸습니다.

지난 5일 한국인터넷진흥원 주관으로 열린 ‘정보보호 심포지움(SIS) 2011’에서 축사를 맡은 염 교수는 ‘스마트 환경에서의 사이버 위협과 보안대책’인 이날 행사 주제에 맞춰 5가지 방안을 제안했는데요.

▲스마트 위협에 적합한 연구개발·기술표준 강화 ▲사이버보안 인력 양성 선순환 육성체계 운영 ▲침해사고 대응시 각 기관, 특히 법 집행기관과 연구기관 등의 만·관 협력체계 강화 악성코드 방지를 위한 법적기반 마련 ▲국제공조·협력 강화입니다.

염 교수는 ‘국제공조·협력 강화’를 이야기하면서 “특히 부다페스트 사이버범죄조약 가입을 적극 검토해야 한다”고 목소리를 냈습니다.

이 사이버범죄 조약, 일명 부다페스트 조약은 사이버범죄에 대응하기 위한 최초의 국제조약이랍니다.

지난 2011년 11월 23일 헝가리 부다페스트에서 열린 사이버범죄 국제회의에서 전세계 30개국이 조약에 서명해 ‘부다페스트조약’이라고 불리고 있답니다.

이 조약은 인터넷상의 모든 범죄행위에 대해 상세한 규정을 두고 이를 처벌하도록 했습니다. 

컴퓨터 시스템이나 데이터에 대한 불법 접속, 지적재산권 침해, 컴퓨터바이러스 개발 및 유포, 아동 포르노그래피 배포 등을 범죄행위로 규정하고 조약 참가국들이 국내법으로 이를 금지하도록 의무화했습니다.

이 조약에 서명한 국가들은 사이버범죄에 대응하기 위해 법규정을 표준화하고, 핫라인 설치 국제공조체제를 구축하고 있는데, 현재 유럽을 중심으로 캐나다, 일본, 미국, 멕시코, 이스라엘 등 40여개국이 가입돼 있는 것으로 알려져 있습니다. 

염 교수는 “사이버공격이 발생하면 증거자료 수집체계가 중요한데, 이 프레임워크도 공동 제공하고 있다”며, “사이버범죄 위협 대응을 위한 국제 공조와 협력을 강화하는 차원에서 정부 관계자들이 이 조약가입을 적극 검토했으면 한다”고 말했습니다.

그동안 정부가 내놨던 정보보호 중기 정책이나 종합계획에도 국제공조·협력 강화는 항상 포함돼 있었습니다. 사이버범죄 수사에 실질적인 국제공조가 절실한 경찰도 국제 심포지움 개최 등으로 각국의 수사기관 등과의 교류를 강화하는데 힘을 기울이고 있습니다.

KISA(인터넷진흥원)도 APCERT(아태침해사고대응센터협의체)에 참여해 중추적인 역할을 담당하는 등 민간 차원의 국제협력에 매진하고 있지요.

주요국가들이 참여해 만들고 강화해온 부다페스트 조약을 비롯해 어떠한 국제적인 협력체계라도 국경없는 사이버범죄 대응과 근절에 효과적이라면 시급하고도 구체적으로 검토해보는 것이 필요할 것 같습니다.

2011/07/11 11:03 2011/07/11 11:03

최근 현대캐피탈 해킹으로 인한 개인정보유출, 농협 전산시스템 마비 등 금융사에서 보안사고가 발생하면서 사회적으로 큰 파장을 불러일으키고 있습니다.

이같은 대형 보안사고들과 개인정보보호법 시행을 앞두고 정보보호에 대한 사회적 관심이 어느 때보다 높은데요.

보안업체인 소프트포럼(대표 김상철)이 보안관리자들을 위한 ‘안전한 DB보안을 위한 기업 보안 관리자가 고려해야 할 5가지 수칙’을 내놨습니다.

고객의 개인정보보호를 위해 DB보안을 어떻게 구현할 수 있을까 고민하고 있는 기업을 위해 이 안전수칙을 소개해보도록 하겠습니다.

1. 법에서 규정하는 사항은 반드시 확인하라.

오는 9월 30일에 시행될 개인정보보호법에서 어떤 부분이 변화 되는지, 새롭게 준수해야 하는 사항은 무엇이 있는지 반드시 확인해야 한다.

법규 이외에 업계의 특성에 따라 다양한 보안 가이드가 속속 나오고 있는 실정이며, 이 또한 사전에 확인한다면 언제라도 생길 수 있는 보안 허점을 충분히 예방할 수 있다.

먼저, 법 규정을 확인하고 그에 맞는 유효한 보안 방법을 찾는 것은 아무리 뛰어난 보안관리자라 해도 그리 쉬운 일이 아니다. 하지만 이럴 때 일수록 유명 보안기업의 컨설턴트를 적극 활용해 보자. 일부 보안기업에서는 무상 점검서비스도 제공하고 있다.

2. DB암호화 솔루션은 필수

개인정보보호를 위한 DB암호화 솔루션 적용은 이제 필수로 자리 잡는 분위기이다. DB보안을 위해 기존에 제시된 다양한 솔루션이나 시스템이 있지만, DB암호화는 DB의 정보가 유출이 되더라도 해당 데이터를 지킬 수 있는 방법이다.

하지만 좋은 DB암호화 제품을 고르는 것이 쉽지 않다.

이를 위해선 먼저 국가정보원이 검증한 국가암호지정 제품임을 확인하는 것이 필요하며, 공공기관에서 도입할 때에는 필수요건으로 자리잡았다. 등록 제품은 IT보안인증사무국(http://service2.nis.go.kr/)에서 확인할 수 있다.

일반기업의 경우에는 국정원이 인증한 암호 알고리즘을 사용하는 제품인지 여부를 확인 하는 것이 좋다.

3. DB보안 제품은 두마리 토끼를 잡아야 한다?

DB보안 제품 선택에 있어 보안성만큼이나 고려되는 것이 제품의 성능과 안정성이다.

많은 기업·기관들이 보안성 보다는 성능과 안전성에 대한 고민으로 DB보안 제품 도입을 망설이는 경우가 더 많다. 더욱이 대용량 시스템의 경우에는 성능을 만족시키는 제품을 찾는 것이 어렵다.

이 때 보안담당자로서는 안전한 선택을 할 수밖에 없다. 대용량 DB에 적용한 경험이 많은 제품(보안기업)을 선택하자. 대용량 DB에 적용한 경험이 많은 제품일수록 성능 저하의 문제 해소와 안정적인 운영에 대한 노하우를 확보하고 있을 확률이 높다.

4. 유지보수 계약은 필수! 형식적인 점검은 NO~

비용적인 측면을 고려해 유지보수 계약을 하지 않는 경우가 있는데, DB보안시스템은 어떠한 보안시스템 보다 관리가 중요하다. 시스템 변경과 새로운 기술적 위협에 대해서 지속적으로 안내를 받을 수 있는 곳이라면 더욱 좋을 듯 하다.

보안제품을 선택할 때는 사전에 유지보수에 대한 충분한 여력이 있는지 확인하는 것이 장기적인 시스템 안정성 측면에서 바람직한 선택이라고 할 수 있다.

5. 보안 트렌드를 지속적으로 모니터링 하라.

보안은 사고를 예방하는 것이 목적이다. 법에서 정하는 보안규정을 준수하는 것도 중요하지만 급박하게 변화하는 해킹 위협에 능동적으로 대처하기 위해서는 보안관리자가 자신만의 보안정보망을 갖추는 것이 필요하다.

해당 기업이 도입한 보안제품 공급사에 보안컨설턴트가 존재한다면 이들의 도움을 줄 수 있다. 또한 관련업체들 간의 보안담당자 커뮤니티가 많이 존재하니 활동을 통해 정보를 얻는 것도 큰 도움이 된다.

소프트포럼 SW사업본부 박원규 전무는 “기업 보안 관리자가 해킹 사고를 사전에 대비하기 위한 앞선 정보력과 지속적인 관심을 놓지 않도록 해야겠지만, 이러한 관리자의 역할에 협조할 수 있는 안정적이고 체계적인 보안 기업과 함께 고객정보보호를 위한 방어전략을 세우고, 이행해 나가는 것도 좋은 방법 중 하나가 될 것”이라고 조언했습니다.

2011/04/21 16:45 2011/04/21 16:45

최근 사이버보안위협이 엄청나게 늘어나는 요인이 지하경제에서 거래되는 공격용 툴킷 때문이라는 분석이 지배적이죠.

윈도, 오피스, 어도비 아크로뱃과 같은 여러 애플리케이션의 제로데이 취약점은 공격용 툴킷을 통해 사이버공격에 보편적으로 악용되고 있습니다.

이같은 공격용 툴킷은 ‘지능적지속가능위협’으로 (사실 딱 와닿지 않게) 번역되는 은밀한 공격인 APT(Advanced Persistent Threat) 유형의 표적공격을 만들어내는데 크게 기여하고 있다고도 합니다.

시만텍은 최근 발표한 ‘인터넷보안위협보고서(ISTR)’ 최신호(16호)에서 이같은 공격용 툴킷의 확산과 진화가 소셜네트워킹서비스(SNS)의 악성코드 전파 통로 부상, 모바일 보안위협 증가와 표적공격의 진화·확산 등과 더불어 2010년의 보안위협의 주요 특징으로 지목했습니다. (관련기사 “SNS·모바일이 사이버위협 온상”)

공격용 툴킷은 합법적인 소프트웨어처럼 공개적으로 처음 등장한 날짜와 진행상황을 파악하기 어려운데요.

시만텍은 갈수록 증가하고 있는 사이버 범죄에 대한 경각심을 일깨우기 위해 그동안 역추적해 확인한 주요 공격용 툴킷들의 종류와 특징들을 심도있게 분석한 보고서를 내놨습니다.

이 자료를 인용해 ‘공격용 툴킷의 변천사’를 소개합니다.

사용자 삽입 이미지

▲1990년대: 바이러스 키트

1990년대 초, 비주얼 베이직(Visual Basic)을 이용해 제작된 기본적인 기능의 초기 공격용 툴킷이 발견됐지만 기능은 제한적이었다. 웹 인터페이스, 통계 수집, C&C(명령·제어) 관리 기능 등 후기 공격용 툴킷에서 볼 수 있는 기능은 대부분 빠져있었고, 주로 개발 및 전파 목적의 바이러스들이 포함돼 있었다. 초기 바이러스 제작 킷 중에서 가장 발전된 툴킷은 1998년 처음 발견된 VMPCK이었다. VMPCK 이후 곧 CPCK 키트가 등장했는데, 두 킷 모두 ‘바이코딘(Vicodines)’란 악명 높은 프로그래머에 의해 개발됐다. CPCK는 탐지 회피를 위한 다형성 엔진을 포함하고 있었는데 당시로서는 매우 획기적인 시도였다.

▲2001년: VBSWG 웜 킷

스팸 메일 공격시 주로 사용되는 제목 때문에 안나 쿠르니코바(Anna Kournikova) 웜으로도 불리며, 2001년 아르헨티나에서 처음 발견됐다. 비주얼 베이직으로 개발된 VBSWG 웜은 단순하지만 효과적인 암호화 기술을 채택했으며, 이메일 및 IRC 클라이언트를 통한 전파를 위해 다양한 루틴을 내장하고 있었다. 정보 탈취를 우선으로 제작되는 최근의 공격용 툴킷과 달리 초기에는 파괴적 공격이 주요 목적이었다. 예를 들어, VBSWG 웜에는 ‘크래시 시스템’과 ‘크레시 시스템2’로 불리는 공격코드가 탑재돼 시스템이 다운될 때까지 메모리 기능을 계속 복사, 실행한다.

▲2006년: 웹어태커(WebAttacker)의 등장

2006년 초에 처음 모습을 드러낸 웹어태커는 첫번째 공격용 툴킷으로, 2003년에 발견된 7개의 취약점을 이용한 악성코드를 내장하고 있었다. 후기 공격용 툴킷과 마찬가지로 웹어태커는 클라이언트측 취약점을 이용했는데, 마이크로소프트 윈도OS 에 설치된 인터넷 익스플로러나 모질라 파이어폭스 사용자들을 주요 공격대상으로 삼았다.

처음 웹어태커 발견했을 당시 지하경제에서는 15달러에 거래되고 있었다. 이렇게 낮게 가격이 형성된 이유는 첫번째 상용 공격용 툴킷이었기 때문으로 분석된다. 웹어태커 판매자는 구매자에게 약정 서비스 형태로 툴킷을 제공했으며, 이후 수많은 툴킷들이 약정 모델을 차용했다. 또한 웹어태커는 업데이트가 가능하고 후속 버전에는 새로운 취약점을 이용할 수 있는 코드를 포함시켰다. 2006년 9월 웹어태커는 인터넷 익스플로러의 벡터언어 컴포넌트와 관련된 제로데이 취약점을 이용해 눈길을 끌었다. 대다수 툴킷들이 이미 잘 알려진 취약점을 이용한 반면, 악성코드에 제로데이 취약점을 적용한 보기 드문 경우였기 때문이다.

▲2006년: 앰팩(MPack)

웹어태커 다음으로 등장한 주목할만한 공격용 툴킷은 2006년 6월에 발견된 앰팩이다. 앰팩은 웹어태커를 토대로 하고 있지만 개선된 인터페이스를 통해 공격 데이터의 지리적 분류, 공격받은 호스트 위치, 국가별 성공률 등 확장된 통계 정보를 제공한다. 또한 IP 주소나 국가별 사용자, 동일한 IP 주소에서 반복적으로 방문하는 사용자를 차단하는 기능을 지원한다. 특히 중복 방문자를 차단하는 기능은 분석을 위해 툴킷 공격을 호스팅하는 웹사이트를 반복적으로 방문하는 안티바이러스 보안 연구소 및 보안업체들이 앰팩 툴킷을 탐지하기 어렵게 만들었다.

앰팩은 다양한 기법을 통해 보다 공격적으로 배포된 툴킷이다. 예를 들어, 앰팩의 호스트 사이트로 피해자의 경로를 재조정하기 위해 합법 웹사이트에 아이프레임(iframe)을 주입하거나 유사한 이름의 도메인을 등록시켜 인기 웹사이트의 주소를 실수로 잘못 입력한 피해자를 유인했다. 더욱이 스팸을 통해 악성 사이트로 연결된 링크를 유포하고, 맞춤형 악성코드 다운로더를 생성함으로써 피해자가 공격에 걸려들었을 때 배포할 악성코드의 유형과 위치를 직접 정할 수 있도록 했다. 앰팩의 첫 판매 가격은 1000 달러로, 이는 15달러에 판매됐던 웹어태커에 비해 매우 높은 가격이다. 그럼에도 앰팩이 성공을 거두고 오래도록 판매될 수 있었던 이유는 공격자들이 기꺼이 거금을 투자하더라도 투자한 만큼의 충분한 이익을 거두었기 때문인 것으로 분석된다.

▲2007년: 앰팩을 기반으로 한 아이스팩(IcePack)

2007년 7월 등장한 아이스팩은 앰팩과 유사하다. 특정 IP 주소나 국가별 사용자는 물론 중복 방문자를 차단하는 등 앰팩과 동일한 기능을 대거 포함하고 있었다. 아이스팩의 첫 판매 가격은 앰팩보다 낮은 400달러였으나 웹어태커보다는 훨씬 비쌌다. 2007년 11월 시만텍은 아이스팩 및 앰팩과 관련된 하나의 트렌드를 발견했는데, 바로 개발자들이 아이스팩 및 앰팩의 불법복제판으로 입은 손실을 만회하기 위해 할인된 가격이나 무료로 지하경제에서 제공하고 있는 것이었다.

할인 또는 무료 버전에는 공격 피해자를 또 다른 악성 사이트로 유인하는 백도어 코드가 포함돼 있었다. 즉, 무료 툴킷을 사용한 공격자들은 백도어 코드의 존재를 알지 못했고, 그 결과 백도어 버전 툴킷의 공격을 받은 피해자들은 백도어 버전 툴킷 공격으로 득을 보게 된 툴킷 개발자들에 의해 2차 피해를 입었다.

▲2007년: 봇의 제왕, 제우스(Zeus)

시만텍은 2007년 처음으로 제우스 툴킷을 발견했다. ‘Z봇(Zbot)’으로도 알려진 제우스는 온라인 금융 정보 등 민감한 데이터를 수집하기 위해 개발됐고, 지금도 매우 광범위하게 사용되고 있다. 제우스는 PHP 기반 C&C(명령제어) 서버 웹 애플리케이션과 함께 트로이목마 생성기를 포함하고 있지만 트로이목마 설치나 전파 수단은 포함하고 있지 않다. 대신 판덱스(혹은 컷웨일)와 같은 대형 봇넷이 스팸이나 드라이브바이다운로드(Drive-by-downloads: 사용자 모르게 다운로드되어 실행되는 악성 프로그램)를 통해 제우스 툴킷을 유포한다.

제우스는 수많은 사기 및 사이버범죄 사건에 연루됐다. 2010년 9월, 미국, 영국 및 우크라이나 출신의 다국적 범죄집단이 제우스 봇넷을 사용해 18개월간 온라인 금융 및 거래 계좌에서 7000만 달러 이상을 훔친 혐의로 검거된 것 외에도, 영국의 수많은 계좌에서 100만 달러 가량의 돈을 빼돌린 사건이나 수십 개의 미 은행 계좌에서 300만 달러의 돈이 불법 인출된 사건도 있었다. 제우스가 인기가 높은 이유는 피해자 컴퓨터에서 금전적 이득을 볼 수 있는 민감한 정보를 쉽게 빼돌릴 수 있는 기능이 포함돼 있기 때문이다.

▲2007-2008년: 네오스플로이트(NeoSploit), 애드팩(Ad’pack), 토네이도(Tornado)

2007년에는 제우스와 비견할만한 다양한 툴킷이 등장했다. 3월 네오스플로이트, 9월 애드팩, 10월 토네이도 등이 등장했고, 그 중 네오스플로이트의 영향력이 가장 컸다. 겉으로 보기에는 웹어태커의 업그레이드 버전으로 보이지만 향상된 통계 정보 수집과 표시 능력을 지녔다. 안티바이러스 프로그램의 탐지 및 분석을 피하기 위해 은폐 기능(obfuscation) 및 난독화(anti-decoding) 기능이 포함됐다. 발견 당시 네오스플로이트는 기능 및 버전에 따라 1500~3000 달러까지 다양한 가격대의 제품으로 제공되고 있었다.

발표되는 신규 버전마다 새로운 악성코드를 추가했던 네오스플로이트는 공격시 탐지우회기법이 포함된 자바스크립트를 이용하는 혁신 기술을 포함하기도 했다. 그동안 발견된 툴킷과 달리 네오스플로이트는 통계정보를 저장하기 위해 MySQL과 같은 대중적인 데이터베이스를 사용하는 대신 맞춤형 데이터베이스를 포함했다. 또한 공격자가 툴킷 버전 업그레이드 시 데이터베이스도 함께 업그레이드할 수 있도록 스크립트를 제공해 네오스플로이트를 간편하게 최신 버전으로 유지할 수 있도록 지원했다. PHP 인터프리터, 연관 데이터베이스 서버 등 공격용 툴킷에 반드시 필요한 부가 기능을 없애 네오스플로이트의 설치 및 유지보수 작업을 단순화시켰다.

2008년 중반 네오스플로이트의 러시아 출신 제작자들은 네오스플로이트의 개발 중단을 선언했다. 개발에 투자한 시간에 비해 수익성을 담보할 수 없다는 게 그 이유였다. 그럼에도 불구하고 네오스플로이트를 사용한 공격 활동은 이후 계속 감지되고 있다.

시만텍은 2008년 4월 처음 토네이도 툴킷을 발견했지만, 이미 6개월 정도 전부터 탐지를 피해 활동해 온 것으로 보인다. 토네이도는 개발자들의 신중하고 제한적인 유포 활동으로 탐지가 어렵다. 또한 단골 방문객들에게 사이트 소유자의 계좌가 정지되었다는 메시지를 띄우는 등 트래픽 유형에 따라 다른 행동을 취할 수 있는 기능을 갖추고 있었다. 이러한 전술은 다른 IP 주소로 방문자에 대한 공격을 실제 지속하면서도 툴킷 호스팅 사이트가 악의적이라는 의심을 누그러뜨릴 수 있다.

▲2008년: 파이어팩(FirePack)과 엘 피에스타(El Fiesta)

2008년에는 2월과 8월에 각각 소형 툴킷인 파이어팩(FirePack)과 엘 피에스타(El Fiesta)가 시만텍에 의해 발견됐다. 이전에 발견된 툴킷과 동일한 기능이 대거 포함돼 있었지만 가격이나 제공하는 악성코드는 달랐다.

▲2009년: 공격용 툴킷의 전성기

2009년에는 럭키스플로이트(LuckySploit), 리버티(Liberty), 예스 익스플로이트 시스템(YES Exploit System), 엘리노어(Eleonore), 프라거스(Fragus), 유니크 팩(Unique Pack), 마리포사(Mariposa), T-아이프래머(T-IFRAMER), 저스트익스플로이트(justexploit), 시베리아(Siberia), 크라임팩(CRiMEPACK) 등 주목할만한 많은 공격용 툴킷이 발견됐다. 그 중 엘리노어는 거의 매월 후속 버전이 나올 정도로 활발한 활동을 했고, 피닉스 역시 원래 2007년 발견됐지만 2009~2010년 사이 공격이 급증해, 10개 이상의 버전이 공개됐다.

프라거스 툴킷의 경우, 첫 번째 버전은 2009년 7월 발견됐다. 프라거스는 공격용 툴킷의 불법복제를 방지하기 위해 PHP 난독화 기술을 처음으로 사용했다. 또한 IP 주소를 바인딩하거나, 툴킷 라이선스 기간이 초과하면 특정 파일을 만료시키는 등 다양한 불법복제 방지 기법을 적용했다.

▲2009년 10월: 마리포사(Mariposa) 등장

마리포사(Mariposa) 역시 주목해야 할 또다른 공격용 툴킷이다. 시만텍의 분석에 따르면, 마리포사의 클라이언트 트로이목마는 주로 실리FDC(SillyFDC) 웜의 변종 형태로 나타났다. 실리FDC는 2009년 세 번째로 가장 많이 발견된 악성코드 샘플이다. 마리포사는 다형성, 은폐, 안티바이러스 회피, 상태 업데이트 및 인코딩 전송 등의 기능을 갖췄다. 다형성 및 은폐 기능을 통해 악성코드를 실행할 때마다 모습이 바뀌었고, 이로 인해 안티바이러스 프로그램이 악성코드 시그니처를 생성하기 어렵게 했다. 마리포사는 USB 디바이스, P2P 클라이언트, 네트워크 공유 및 MSN 메신저를 통해 전파할 목적으로 개발됐다. 마리포사가 공격에 자주 사용되는 가장 큰 이유는 안티바이러스 애플리케이션이 마리포사를 차단하기 어려운데다 다양한 전파 기법을 갖추고 있기 때문이다.

이밖에 마리포사가 MS 인터넷 익스플로러의 HTTP POST 요청 데이터를 가로챌 수 있다는 점을 주목할 필요가 있다. 사용자가 웹사이트에 로그인 할 때 인증정보를 탈취할 수 있으며, 요청 데이터가 암호화되어 있어도 상관없는데, 이는 탈취가 암호화가 적용되기 전 인터넷 익스플로러 내부에서 발생하기 때문이다.

시만텍 조사 결과, 마리포사는 기본형 450 달러를 시작으로 포함된 기능에 따라 고급형의 경우 1,400 달러 이상에 판매되고 있었다. 3, 6, 12개월 단위의 업데이트 지원 서비스 패키지를 구입할 수도 있으며, 12개월 패키지의 가격은 520달러에 달했다. 개발자들은 보안 소프트웨어 탐지 회피 기능을 지원하기 위해 이틀마다 업데이트를 제공하고 있었다. 한편 마리포사는 2009년 약 1,270만대의 컴퓨터를 감염시키고 기능을 마비시킨 마리포사 봇넷이 발견되면서 언론의 뜨거운 관심을 받았다. 마리포사 봇넷 코드를 제작한 용의자들은 2010년 스페인과 슬로베니아에서 검거됐다.

▲2010년: 제우스(Zeus) 2.0, 스파이아이(SpyEye), 스트라이크(Strike)

- 제우스 2.0

2010년 제우스의 신규 버전인 제우스 2.0이 출시됐다. 제우스 2.0 버전은 기본 패키지가 최고 8000달러에, 500~2,000 달러의 추가 모듈까지 제공한다. 특히 스파이아이(SpyEye)의 ‘킬 제우스(Kill Zeus)’ 기능을 방어할 수 있도록 해, 공격용 툴킷 개발자들간의 경쟁이 점점 뜨거워지고 있음을 짐작할 수 있다. 제우스 2.0 버전에는 업그레이드된 탐지 회피 및 삭제 거부 기능뿐만 아니라 MS 윈도우 7 지원 및 한 대의 컴퓨터에 다양한 버전의 제우스 툴킷을 설치할 수 있는 새로운 기능도 추가됐다.

제우스 2.0은 임의의 고유한 레지스트리 키 값 및 파일명을 탐지우회하는 기법과 환경설정파일의 RC4 암호화 기능도 제공한다. 향상된 탐지우회기법 및 무작위 배정법에 따라 다양한 제우스 버전을 단일 컴퓨터에 동시에 설치할 수 있다. 다시 말해, 여러 공격자들이 표면상 단일 호스트를 여러 번 감염시킬 수 있게 된 것이다. 제우스 2.0은 또한 봇 생성 애플리케이션을 단일 컴퓨터와 연계하는 하드웨어 기반의 잠금 메커니즘을 사용한 불법복제 방지 기능을 지원한다.

- 스파이아이

2010년 등장한 스파이아이는 광고를 통해 초기 제우스와 비견할만한 강력한 툴킷으로 포지셔닝했다. 특히 감염 컴퓨터에서 모든 제우스 버전을 삭제하는 ‘킬 제우스’ 기능을 내장하고 있다. 이후 제우스 신규 버전에는 킬 제우스 기능을 무력화시키는 방어기능이 포함돼 공격용 툴킷 간 경쟁이 보다 심화되고 있음을 확인할 수 있다.

스파이아이는 광고를 통해 스파이아이를 저렴한 제우스 대용품으로 소개하며, 최고 8,000 달러에 이르는 제우스에 비해 매우 낮은 500~1500 달러 수준의 가격을 제시하고 있다. 킬 제우스의 백업 기능으로, 스파이아이와 제우스가 동일한 컴퓨터에 설치돼 있고 스파이아이가 제우스 버전을 감지 또는 삭제하지 못할 경우, 스파이아이는 제우스 C&C 서버로 전송하는 데이터를 가로채거나 탈취할 수 있도록 프로그래밍돼 있다.

흥미롭게도 2010년 10월 스파이아이 개발자 하더만(Harderman)은 오리지널 제우스 개발자 슬래빅(Slavik)으로부터 소스코드를 공식 인수했다고 밝혔다. 슬래빅은 더 이상 제우스 개발, 판매, 지원에 관여하지 않는 것으로 보인다. 하더만은 기존 제우스 고객에게 지원 서비스를 제공하겠다고도 발표했으며, 향후 더욱 강력한 툴킷을 제공하기 위해 스파이아이와 제우스의 소스코드를 통합하는 작업을 진행하고 있다.

스파이아이는 키스트로크 로거를 사용해 네트워크 트래픽과 웹 브라우저의 정보를 가로채 사용자 정보를 확보할 수 있는 기능이 포함되어 있다고 광고하고 있다. 일례로, 웹 브라우저 입력란에 ‘사회보장번호를 입력하세요’ 등의 항목을 몰래 추가한 후 사용자가 정보를 입력하면 전송 데이터를 중간에 가로채 피싱 스타일의 공격을 진행하고, 피해자가 제공한 인증 정보를 이용할 수 있게 된다.

- 스트라이크

2010년 등장한 스트라이크 툴킷은 윈도 XP, 윈도 비스타, 윈도 7 등 신규 OS를 목표로 한다. 스트라이크의 봇 클라이언트에서 주목할 점은 일반 사용자로 가장해 신규 윈도 OS의 사용자접근관리(UAC) 보안 기능을 회피하기 위해 개발되었다는 점이다. 스트라이크가 UAC 기능을 회피하는 방식은 윈도우의 ‘임시 인터넷 파일’ 폴더에만 파일을 작성하는 데 있다. 이로써 스트라이크는 키스트로크 로거, 백도어 등과 같은 악성 애플리케이션을 사용자 몰래 설치할 수 있다.

스트라이크는 윈도를 비롯한 200개 애플리케이션의 시리얼 번호를 빼내기 위해 개발됐으며, 스트라이크 광고에 따르면 윈도 호스트 방화벽을 우회해 자유롭게 네트워크에 접근할 수 있고 TCP 접속을 통해 DDoS(분산서비스거부, 디도스) 공격을 감행할 수 있다고 한다.


2011/04/06 16:04 2011/04/06 16:04

이스트소프트가 개인용 백신(안티바이러스) 신제품 ‘알약 2.0 공개용’을 조만간 선보입니다. 지난 2007년 근 두 달간 베타테스트를 거쳐 12월 26일에 ‘알약 1.0’이 출시됐으니, 3년여 만인데요.

지난달 클로즈드베타테스터를 모집하고 지금 비공개 시범서비스를 진행하고 있습니다. 이달 말께는 오픈베타를 진행해 일반사용자에게 공개하고 4월 정식 출시할 것으로 예상됩니다.

개인용 ‘알약2.0’의 개발과 출시가 예상보다 많이 늦어져 계속 궁금하던 차에 이스트소프트가 베타테스터를 모집한다고 발표해 드디어 개인용 백신 신제품 개발이 완료됐다는 것을 알았습니다. (관련기사
이스트소프트, 개인용 ‘알약2.0’ 공개 임박…베타테스터 500명 모집)

얼마 전(9일)에는 베타테스터를 포함해 사용자, 블로거 등을 대상으로 ‘알약 2.0 간담회’를 갖는다고 해서 다녀왔지요.

베타테스트에는 참가하고 있지는 않지만, 이날 이스트소프트 알약 사업부문의 설명과 제 느낌을 더해 ‘알약 2.0’과 그 개발과정을 소개해볼까 합니다.

개인용 ‘알약 2.0’은 무엇보다 ‘경량화’에 가장 초점을 맞춘 것으로 보입니다.

사용자 삽입 이미지

사실 ‘백신은 무겁고 느리다’는 사용자 인식을 불식시키기 위해 ‘노턴’을 개발·공급하는 시만텍을 시작으로 많은 노력이 이뤄져 왔습니다. 국내에서는 이에 더해 안철수연구소가 개인용 ‘V3 라이트’를 들고 나오면서 이미 3년 전부터 ‘가볍고 빠른’ 백신은 대세가 됐습니다.

이들이 한창 경량화를 외칠 때, 이스트소프트는 이 보다는 악성코드 탐지 등과 같은 보안기능을 통한 품질 향상에 더 무게를 둬 왔는데요. 기업용 ‘알약 2.0’을 출시할 때까지도 사실상 이같은 자세를 견지하고 있었습니다.

당시 경량화 계획을 물어보면, 이스트소프트 관계자들은 경량화보다는 ‘보안수준’을 더 강조했었습니다.

2009년이죠. 그당시 이스트소프트는 알약 사용자 수 1600만을 기록하고 있었습니다. 그 시점에서 악성코드가 폭발적으로 증가하고 공격 기법도 다양하고 치밀해졌습니다. ‘알약’ 자체를 공격하는 악성코드도 나타났지요.

이스트소프트는 이에 대응해 완전히 새로운 엔진을 개발하기로 하고 새롭게 엔진구조를 설계하고 기반 기술, UI, 기능 모두 새롭게 개발해
알약 2.0기업용을 만들었습니다.

그간 국내에서 인정받는 타사 백신, 해외 백신들을 분석해 더 좋은 보안 수준을 제공하기 위한 연구 개발을 진행했다고 하고요. 자가 보호, 실시간 감시 등의 보안 수준을 높이고 다양한 내부 옵션을 추가했습니다.

그 과정에서 ‘트리플엔진’도 적용하게 됐죠. 자체 개발한 알약의 테라 엔진과 비트디펜더 엔진을 기본으로 사용하고, 소포스의 엔진까지 선택해 3개의 엔진을 사용할 수 있도록 한 것입니다.

엔진 재설계 이전에는 긴급대응프로세스도 만들고, 오탐 검증시스템을 구축하고, 보안업체에게는 아주 중요한 정보공유·협력을 위한 기관·ISP 등과의 관계도 맺었습니다.

보안수준을 크게 강화하면서 시스템 부하 문제는 자연스럽게 발생했습니다. 더욱이 경량화는 사용자들의 요구였지요. 백신의 트렌드가 됐습니다.

그 때문에 기업용 출시 이후 곧바로 출시하지 않고 일반 사용자 환경에서 사용할 공개용 알약 2.0은 경량화를 우선적으로 강구하기로 이스트소프트는 결정합니다.

김장중 사장은 이날 “알약 공개용을 왜 이제서야 내는지 궁금하실텐데, 기업용 2.0 버전을 출시할 당시 1700만 사용자에게 공급하기엔 부족하다고 여겼다”며, “원래보다 1년 넘게 추가 개발해 2.5버전 출시한 뒤 이를 보완해 해외로도 들고 나갈 제품으로 완성하게 된 것”이라고 말했습니다.

그래서 수행한 것이 스마트스캔 기술을 연구하고 메모리 점유율도 개선하는 작업입니다. 또 실시간 감시, 검사UI, 업데이트 등에 이르기까지 프로그램 전반에 걸친 경량화 작업이 그동안 이뤄졌습니다.

비트디펜더 SDK 개발자들이 한국을 방문해 비트디펜더 엔진도 역시 경량화됐다고 하는군요.

그래서 기업용 ‘알약 2.5’이 나오게 됩니다. 경량화를 반영해 기업용부터 먼저 출시하고, 이를 기반으로 개인사용자용 ‘알약 2.0 공개용’을 준비한 것이지요.


‘알약’으로 보안 사업을 처음 시작한 (동시에 급속도로 많은 사용자수를 확보했음에도, 이를 지속시키기 위해) 이스트소프트는 그간 수준 높은 악성코드 탐지·차단·대응 능력을 갖추고 보안성 중심의 높은 백신프로그램의 품질을 확보하기 위한 단계와 과정을 밟아왔다고 봅니다.

그럼 ‘알약 2.0’을 자세하게 살펴보겠습니다.

경량화부터 보지요.

메모리 점유율입니다. 알약 1.5에 비해 유저레벨과 커널 메모리 점유율이 모두 크게 떨어진 것을 볼 수 있네요.
사용자 삽입 이미지

<테스트 환경 : 펜티엄 듀얼코어 2.8G, 메모리 1G, 윈도7, 알약 실시간 감시 사용시 점유율>

사용자 삽입 이미지

<테스트 환경 : 펜티엄 듀얼코어 2.8G, 메모리 1G, 윈도7, 55,000개의 파일을 알약으로 정밀검사시 메모리 점유율>

사용자들이 빠른 사용감을 느낄 수도 있다고 합니다.
사용자 삽입 이미지

실시간 감시나 정밀 검사시 실제 검사가 필요한 파일을 분류하고 관리하는 ‘스마트스캔’ 기술을 강화해 CPU 점유율과 디스크 사용량도 감소할 것을 볼 수 있습니다.

사실 간담회에서는 안철수연구소로 보이는 타사(A사) 제품과의 테스트 결과를 보여줬는데요. (안철수연구소는 ‘V3 라이트’를 출시하면서 “세상에서 가장 가벼운 빠른 백신”이라며 경량화에 큰 자신감을 나타냈었지요.)

늦게 출시하는만큼 ‘가장 경량화된 백신’으로 세상에 선보이겠다는 이스트소프트의 의지와 실제 구현했다는 자신감을 동시에 느낄 수 있었습니다.

물론 오픈베타를 거쳐 정식으로 출시된 이후 사용자들이 평가하고 선택할게 될 것입니다.

이밖에도 ‘알약 2.0’은 64비트 윈도OS를 지원해, 64비트 환경에서 동작하는 악성코드를 차단할 수 있습니다. 이스트소프트는 “알약 2.0은 64비트 네이티브(Native) 프로그램'으로 진정한 64비트 OS를 지원한다”고 설명했습니다.

기업용 ‘알약 2.5’에 적용돼 있는대로 공개용 '알약 2.0'에도 트리플 엔진을 사용할 수 있습니다.

이스트소프트는 “소포스엔진까지 추가한 이유는 90% 이상의 방어가 아니라 99.999%의 방어 요구를 위한 것으로, 선택적으로 사용할 수 있다”며, “알약 테라 엔진과 비트디펜더 엔진, 소포스 엔진 3가지는 동시에 검사하는 방식이 아니라 직렬 형태로 구성돼 있어 부하를 최소화하면서 효과적으로 악성코드를 검출해낼 수 있다”고 밝혔습니다.

그동안 알약이 악성코드의 직접 타깃이 됐던 경험이 많이 있었기 때문에 ‘알약 2.0’에는 강력한 자가보호 기능도 탑재돼 있다고 합니다. 잘은 모르지만, 작업관리자에서의 종료 방어와 더불어 해킹툴인 APT(Advanced Process Temination)의 16가지를 다 막아낼 수 있답니다. 또 프로세스 해커(process hacker), 태스크킬러(Taskkiller), 코모도 킬스위치(comodo killswitch) 방어도 추가된답니다.
사용자 삽입 이미지

향후 사용자 편의성과 보안성을 높일 수 있는 몇 가지 기능이 더 추가될 예정이라네요. 한번 기대해보겠습니다.

국내 개인용 무료백신 보급이 본격화되는데 결정적인 역할을 했던 개인용 ‘알약’. ‘알약 2.0’을 기점으로 국내 사용자를 넘어 해외 사용자 PC에까지 널리 각광받을 수 있는 ‘상시복용약’이 될 수 있을지 관심있게 지켜볼 생각입니다.

2011/03/16 08:30 2011/03/16 08:30

사용자 삽입 이미지
지난 15일(현지시간), 미국 샌프란시스코에서 열린 ‘RSA 컨퍼런스 2011’에서 스콧 차니(Scott Charney) 마이크로소프트 TwC(Trustworthy Computing) 부사장이 사이버위협에 보다 능동적이고 사전예방적으로 대응하기 위한 방안으로 공공 보건(publec Health) 모델을 차용한 ‘집단 방어(Collective Defense)’ 방안을 제안했습니다.

이 발표를 들으면서 마이크로소프트(MS)가 인터넷에 적용하자고 강조한 이 진보된 ‘집단 방어’ 모델이 우리 정부가 지난 2009년 7월에 발생한 분산서비스거부(DDoS) 공격 이후 추진하고 있는 ‘사이버치료체계’를 비롯한
좀비PC방지 방식과 아주 유사하다는 인상을 받았습니다.

정부(방송통신위원회·한국인터넷진흥원)가 주축이 돼 추진한 사이버치료체계는 어쩌면 한국판 ‘집단 방어’ 모델이라고 할 수 있겠습니다.

현재 국회에서 ‘좀비PC 방지법’이라고 불리는 ‘악성프로그램 확산 방지 등에 관한 법률’ 제정까지 추진되고 있는 시점에서, MS가 강조하는 이 모델이 무엇인지 살펴보는 것이 중요할 것이라 생각합니다.

이번 발표를 듣기 전에는 몰랐는데, MS의 ‘집단 방어’ 모델은 작년 10월에 공식 발표된 것 같습니다.(읽어보진 못했지만 관련 포스팅이 MS 사이트에 있네요) ‘집단 방어’라는 이름을 사용하진 않았어도 작년 상반기에 개최한 ‘RSA 컨퍼런스 2010’ 기조연설에서 차니 부사장이 비슷한 개념을 언급했다고 하더군요.

MS는 무엇보다 보안과 프라이버시 요구를 모두 충족하는 문제, 인터넷 접속과 보안 사이에서 충돌되는 이슈, 쉽게 체계를 구축하기 위한 방안 등 나타날 수 있는 어려운 문제를 해결하기 위해 고심한 느낌을 받았습니다. 기조연설 후 차니 부사장이 이와 관련해 또 포스팅을 했군요. (아주 부지런하시네요.)

‘집단 방어’ 모델은 기업이나 개인이 사이버위협에 대응하기 위해 방화벽, 안티바이러스, 보안패치 자동업데이트를 사용하고 위험에 대한 교육도 실시하지만, 위협을 막는데 충분치 못하다는데 문제의식이 있습니다. 특히 개인사용자들을 보호하기 위한 접근입니다.

그나마 기업은 CIO나 CSO 조직 또는 개별전문가를 통해 위협을 관리할 수 있지만 IT나 보안을 잘 알지 못하는 개인들은 방치돼 있어, 제로데이 취약점을 악용하는 신종 공격, 분산서비스거부(DDoS)를 유발하는 봇넷에 감염되는 일이 생기죠.

따라서 인터넷에 연결돼 있는 개인의 기기의 안전성(health)를 확실히 함으로써 IT생태계(에코시스템)으로 연결된 환경을 보다 안전하게 하고 새로운 위협에 대한 사전대응체계를 구축하자는 것이 ‘집단 방어’ 모델의 기본 철학입니다.

스콧 차니 부사장의 기조연설을 자세히 살펴보겠습니다.
사용자 삽입 이미지

‘집단 방어’ 전술, 왜 필요한가

그는 “세계 여러 국가들이 사이버보안전략을 고심하고 있지만, 어떤 측면에서는 제대로 작동하지 않고 있다”고 운을 띄웠습니다.

그 이유로 “사람, 조직, 정부가 모두 서로 공유돼 있고 통합된 도메인을 사용하고 있어, 여기에서 공격이 이뤄지기 때문”이라고 분석했습니다.

공공 보건 모델을 적용한 ‘집단 방어’와 같은 새로운 접근이 필요한 배경입니다.

“인터넷은 물리적 환경에서처럼 군대와 국민을 구분할 수 없다. 악성 패이로드와 정상적인 패킷도 혼재돼 있다는 것이 큰 문제이다. 정부가 군에 사이버위협에 대응토록 한다고 해도 프라이버시 문제로 사람들은 원치 않을 것이다.”

“공격의 속도는 아주 빠르다. 우리의 대응 능력을 능가한다. 공격으로 인한 결과, 영향도 예견하기 어렵다. 더욱이 지금 우리가 딛고 서 있는 세상은, 환경은 계속 변화하고 있다. 인터넷 의존도는 이미 커졌고, 컴퓨터나 휴대폰, 인터넷에 연결된 기기가 확산되고 있고 앞으로 모든 기기에 인터넷 센서가 들어갈 것이다.”

위협의 발전, 그리고 환경 변화가 핵심입니다.

차니 부사장이 연설할 때 보여준 데모 영상도 이렇게 시작합니다. “As the Internet and cloud have grown to be part of the fabric of society, societal expectations for security, reliability and privacy are intrinsic.”

차니 부사장은 이런 환경 변화로 “데이터 중심적인 세상(Data-Centric world)이 되고 있다”고 표현했습니다. 여기에서 보안과 프라이버시가 모두 필요하고, 아이덴티티관리의 중요성이 나타난다고 설명했습니다.

‘집단 방어’ 모델의 진화

위협을 집단적으로 방어하기 위한 과정도 소개했습니다.

“1980~1990년대 사이버 위협이 처음 생겨나면서 기업들이 방화벽과 침입방지, 안티바이러스를 구축하고 늘리기 시작했다. 그리고 90년대에 들어 정부와 산업이 서로 협력해 정보를 공유하기 시작하면서 집단 방어를 위한 다양한 방법이 모색돼 왔다.”

이제 MS는 인터넷에 공공 보건 모델에 착안해 인터넷에 적용할 수 있는 ‘집단 방어’ 모델'을 만들어 낸 것입니다.

공공 보건 모델은 이것입니다.
사용자 삽입 이미지

“우리는 건강을 해치는 위험요인에 대한 교육을 받는다. 병을 예방하기 위해 손을 씻어야 하고 소매에 기침해야 한다는 것들이다. 또 백신도 맞는다. 병에 걸려 아프면 치료하고, 또 SARS, H1N1(신종 플루)처럼 병이 아주 빠르게 전파할 때면 대응할 수 있는 국제적인 체계를 만든다. 나라마다 국가건강기구를 두고 있고, 비행기에서 내리는 사람은 기온을 재 높게 나오는 사람, 즉 감염이 의심되는 사람은 격리돼 치료를 받게 하기도 한다. 나 한명이 아니라 다수(the good of many)를 위해서이다.”

이같은 공공 보건 활동을 IT를 활용해 대입해보니 참 비슷합니다. 이렇게 하면 지금까지 한계를 노출했던 사이버위협에 (사후)대응(reactive)하는 방식과는 다른 사전예방(Proactive)하는 방법이 된다는 것이죠.

차니 부사장은 이날 “작년에는 ISP가 공공 부문에서 CIO가 돼야 한다고 말했다. 개인의 기기를 검사해 깨끗한지 확인하고 그렇지 않은 경우 인터넷으로부터 격리해야 한다고 했다”라며, 작년 RSA 컨퍼런스 2010에서 발표한 것 보다 진보된 ‘집단 방어’ 모델을 제안했습니다.

초기 ‘집단 방어’ 모델에서 발견된 문제(flaws)-클레임 기반 아이덴티티관리, 사회적 합의 로 해결

“작년에 말한 이 모델에서 프라이버시 때문에 개인들이 자신의 기기를 원치 않는다는 점과 ISP에 너무 많은 부담을 준다는 점, 인터넷상 컨버전스 이슈로 인한 격리의 어려움-VoIP를 사용할 때, 긴급한 경우 패치를 설치하고 컴퓨터를 리부팅해야 하는 것과 같은-이 있다는 세가지 문제를 발견했다”며, 해결 방안으로 “‘클레임 기반 아이덴티티(Claim based identity)’를 생각했다”고 말했습니다.
(클레임 기반 아이덴티티관리는 MS가 최근 클라우드 컴퓨팅 보안 방안으로 중요하게 제시하는 기술 방안으로 알고 있습니다. 구체적인 것은 향후에 공부를 해봐야겠군요.)

차니 부사장에 따르면, 사용자가 데이터를 통제할 수 있고 ISP가 모든 걸 담당하지 않아도 은행과 같은 특정 조직이나 기구가 사용자의 ‘건강 인증서(health certificate)’를 요구할 수 있다. 또 인터넷에 접속하거나 접속을 차단하는 식의 두가지 차원의 격리가 아니라 문제를 기반으로 맞춤형 위험관리 방안이 적용될 수 있다.

이를 적용하는데 있어 중요한 것은 ‘사회적인 합의’라고 차니 부사장은 강조했습니다.

“개인들이 이 아이디어를 받아들이게 하려면, 기기의 안전성을 인증하는 모델이 왜 좋은지 설명해야 한다”며, 흡연을 예로 들었습니다.

“담배는 암을 비롯해 각종 병의 원인이라는 사실을 누구나 알고 있지만, 그동안 담배를 피우는 것을 인정해 왔다. 그런데 최근에는 나 자신 뿐 아니라 주변사람에게도 해를 입히는 간접흡연 이슈가 생기면서 갑작스레 공공장소에서 흡연이 금지됐다. 사람들에게 담배를 피울 권리가 있지만 이웃에 해를 줄 권리는 없기 때문이다.”

다른 사람에게 피해를 주면서 개인의 ‘인터넷접속 기본권’만을 주장할 수는 없다는 이야기도 돌려 말했습니다.

“인터넷 접속을 기본권이라고 말하는 사람들도 있는데...세계적으로 프레스티지 수준에 올라온 기본권은 많지 않다. 이것이 왜 좋은 모델인지 설명할 것이다.”

“공유돼 있고 통합된 도메인인 인터넷에 접속할 때 내 기기가 이미 봇넷의 일부로 스팸을 유발하고 DoS 공격을 하고 있다면, 이는 전체 생태계의 위험으로 받아들여야 한다. 새롭게 출현할 위협에 대응하기 위해서는 더 스마트해져야 한다는 점을 반드시 이해해야 한다.”

‘집단 방어’의 목표, 그리고 SETIPA-Social, Economic, Political, and IT Alignment 구현
사용자 삽입 이미지

차니 부사장은 “‘집단 방어’의 목표는 모든 위험을 잡는게 아니라 기본 위생수준을 높이고 새로운 위협이 나타날 때 재빨리 대응할 인프라를 구축하는데 있다. 공공 보건 모델은 봇넷 위험과 사용자 프라이버시를 고민하고 IT와 시장, 사회적, 정치적 합의를 같은 선상에 놓는 방법을 배우게 한다”고 강조했습니다.

그리고 “다음 단계로는 아이덴티티관리시스템로 펌웨어의 신뢰성을 쌓는데(Trusted stack) 주력하고, 아이덴티티 솔루션을 위한 건전한 요구를 계속 적용할 필요가 있다”며, “공공보건 모델을 인터넷에 적용할 집단 방어 방안을 고민해 활용해보자”고 제안했습니다.

2011/02/19 16:00 2011/02/19 16:00