사이버 위협 환경과 보안 과제

 

현재의 위협 환경 

현재 사이버 공간의 새로운 시대에서 기술 발전은 보안의 지속적인 혁신과 운영의 핵심 요인이다. 그러므로 강력한 취약점 관리를 개발하는 것이 매우 중요하다. 취약점 관리의 효과를 보기 위해서는 급증하는 보안 위협과 모형을 따라 잡으려는 의지가 무엇보다 중요하다.

 

랜섬웨어

랜섬웨어는 희생자의 컴퓨터를 암호화한 뒤 사용자가 접근을 한다면 금품을 요구하는 맬웨어이다.

랜섬웨어가 증가하는 데에는 여러 요인이 있다. 사이버 범죄자들은 더 이상 맬웨어를 직접 개발하지 않고 다크 웹 시장을 통해 랜섬웨어 서비스를 구해서 이용한다. 이러한 시장은 전문 범죄자의 노력을 절감할 뿐 아니라 기술을 갖추지 못한 범죄자나 스크립트 키디도 랜섬웨어 공격을 감행하도록 부추긴다. 랜섬웨어 등 맬웨어를 공유하는데 좋은 다크웹은 

인터넷의 일부이며 검색 엔진으로는 찾을 수 없고 토르(Tor)라는 익명성을 보장하는 브라우저가 필요하다. 토르 브라우저는 사용자 정보를 여러 단계의 프록시 서버를 통해 전달함으로써 신원을 식별하거나 추적할 수 없게 만든다. 다크웹사이트는 .com, .net, .co 등의 최상위 도메인을 갖지 않고 .onion으로 끝나는 웹사이트를 사용한다.

대표적인 랜섬웨어로 2개만 살펴보자.

  -워너크라이: 규모가 매우 컸던 랜섬웨어 공격이었다. 윈도우 운영체제의 취약점을 이용하여 섀도 브로커스가 워너크라이를 일으켰다.

  -심플로커: 컴퓨터 시스템이 아닌 휴대폰을 공격 대상으로 삼은 최초의 랜섬웨어다. 안드로이드 운영체제를 선호하였으며, 동유럽에서 발생하였다.  트로이 목마는 태블릿과 휴대폰에 꽂는 SD카드를 목표로 삼아 자동으로 크롤링한 다음 특정 파일을 암호화하고 해독에 금전적인 대가를 요구했다. 바이러스는 구글 플레이 스토어를 통해 디바이스에 침투했다. 바이러스가 일단 설치되면 여러 파일 유형을 감염시키고 AES를 사용하여 암호화해 파일 확장자를 .enc로 변경한다.  심지어 이 바이러스의 최신 버전은 해커로 하여금 장치의 카메라에 접근하여 피해자가 몸값을 내도록 협박을 하기도 했다.

 

분산 서비스 거부 공격

분산 서비스 거부 혹은 디도스 공격은 서버에 대량의 무작위 트래픽을 발생시킴으로써 적법한 사용자 트래픽을 방해하려는 악의적인 시도를 가리킨다. 점거된 컴퓨터 시스템을 봇이라 하며 그러한 봇들이 동일한 악의적인 행동을 하도록 조종되는 그룹을 봇넷이라고 한다. 디도스 공격은 손쉽게 이루어질 수 있다. 다크웹의 여러 공격자가 디도스 공격을 쉽게 만들어주는 서비스를 제안하고 있다.

 

데이터 유출

데이터 유출로 민감한 기업 문서, 지적 재산 등 으로 인해 비지니스에 큰 영향을 끼친다. 데이터 유출 발생의 경로는 여러가지가 있다. 

1.악의적 공격

2.취약한 보안 시스템

3.인적 오류

데이터 유출로 인한 파급력으로는 재정적 손실, 브랜드 가치 하락, 고객 신뢰 상실 등이 있다.

 

APT

네트워크에 침입하고 탐지를 회피하며, 가치있는 정보를 장기간에 걸쳐 획득하는 단계를 거친다.

APT의 특징으로는 금융, 정치, 보안 첩보 등에 의거하여 고가치 정보를 획득하려 하며, 보안관리자에게 탐지되지 않으면서 네트워크 자원에 계속해서 접근하려 하는 특징이 있다. 또 APT는 스피어 피싱 또는 내부자의 위협으로 통해 발생하므로 인적요인이 APT실행의 주요 요소이다.

 

그렇다면 수비자의 관점에서의 보안 방어 기법을 몇가지 소개하겠다.

1. 종단 탐지 및 대응

  EDR은 네트워크의 악의적인 활동을 탐지하고 제거하도록 설계된 솔루션이다. EDR솔루션은 일반적으로 네가지 기능을 포함하는데,  

   (1)종단을 지속적으로 감시함으로써 위협을 감지

   (2)로그를 수집하고 조사해서 각 종단의 활동으로부터 발생한 이벤트 내역과 비교하고 연관성을 찾음

   (3)자원의 위험한 시도에 대응하고 네트워크로부터 격리

   (4)종단의 비인가된 프로세스를 중단시켜 정상 상태로 되돌림

2.기만 기술

고대로 부터 세계대전에 이르기까지 사용된 기만술(deception)은 현재의 사이버 공간에서도 여전히 쓰이고 있다. 간단히 말해서 이것은 공격자로 하여금 가짜 대상 시스템에 침투하도록 하는 기술이다. 기업에서는 이 기만술을 통해 공격자를 탐지하고 그들의 습성과 흔적에 대한 단서를 확보하여 보안을 향상시킬 수 있다.

3.사이버 위협 첩보

CTI란 적들의 능력을 분석하는 방식이다. CTI는 IOC(위험 노출의 척도)의 형태로 구현되며 여기에는 악의적인 IP 주소, 도메인 이름, 해시 등이 포함된다. 

 

DDE공격

매크로 또는 스크립트를 사용하지 않고 마이크로소프트 워드 문서에서 임의의 코드를 실행했다. 이 기법은 마이크로소프트 오피스의 동적 데이터 교환(DDE)를 이용한 것이다. 해당 공격은 워드파일을 사용하여 이루어진다.

 

 

 

[출처]www.yes24.com/Product/Goods/66924576