기밀 정보 노리는 지능적 APT 잘 막으려면

지난 4월 25일, 서울 JM메리어트 호텔 그랜드볼룸에서 <제 8회 NES 2013-차세대 기업보안 세미나&전시회> 가 열렸다. 올 해 NES 세미나에서는 '지능형 위협과 기업 보안, 안전한 BYOD 환경 구축' 을 주제로 안랩(AhnLab)을 비롯한 많은 IT, 보안 회사들이 급변하는 IT 및 위협 환경에 대응하기 위해 주목해야 할 최신 보안 위협 이슈와 동향, 대응 방안을 논의하였다. 

역시 이번 세미나에서 가장 많이 언급 되었던 것은 'APT(Advanced Persistent Threat, 지능형 지속 공격)' 였을 것이다. 목표로 설정한 기관이나 기업을 오랜 기간에 걸쳐 정보를 수집하고 치밀하게 계획하여 목적을 달성하는 형태의 APT는 근래 발생하는 보안 사고의 핵심이자 화두이다. 이 날 안랩의 정진교 팀장은 이러한 APT 대응과 관련하여 <고도화된 위협 APT 대응을 위한 융복합 보안관제> 라는 주제로 발표를 하였다. 

발표의 내용은 보안 위협의 진화와 현재 대응의 한계, 그리고 컨버전스 보안 관제를 통한 보안 위협 대응 전략이라는 두 가지를 중점적으로 다루었다. 다음은 주요 내용을 정리한 것이다. 

최근 APT 공격 문제가 보안계 최대의 이슈이다. 최근에 발생한 공격들은 한두명의 해커가 공격하는 것이 아니라 강력한 자금력과 조직력을 갖춘 스폰서의 전폭적인 지지를 받으며 치밀하게 계획된 공격을 하고 있다. 당연히 대응도 한두명이 할 수 없고, 개별 솔루션으로 문제를 해결할 수도 없다.

이번 세션의 결론부터 말하자면, 이러한 APT공격을 막기 위해서는 특정한 기술이나 지식의 문제를 다루기 보다는 전반적으로 기업 내에서 가시성을 확보하려는 노력을 해야한다. 또한 기업 내에 존재하는 여러가지 기술, 관리 프로세스들에 대한 전반적인 통제력을 확보해야 한다. 이를 통해 회사에서 어떤 이벤트들이 발생하는지, 회사 시스템에서 들어오고 나가는 정보는 어떤 것들이 있는지 전체적으로 파악할 수 있는 시스템을 구축하는 것이 중요하다. 그리고 이러한 가시성을 확보해주는 보안 시스템이 보안 관제 시스템인 것이다. 

그렇다면 왜 현재 보안 관제 시스템으로는 가시성을 확보할 수 없는가?

2002년과 2012년을 비교해 보면, 안랩에서 관제를 맡고 있는 고객의 숫자는 두 배가 늘었다. 그런데 이벤트의 숫자는 2만배가 늘었다. 시간이 흐를수록 보안 위협이 증가하고 있는 상황이다. 

보안 위협은 외부위협과 내부위협, 컴플라이언스로 구분할 수 있다. 외부위협은 바깥의 해커가 접근하는 위협이고 내부위협은 부주의하거나 악의적인 내부인으로 인해 발생하는 위협이다. 컴플라이언스는 개인정보보호법을 예로 들 수 있는데, 보안과 관련한 법 규제를 말한다. 보안 사고가 이렇게 내부나 외부, 컴플라이언스로 구분되어 발생하면 대응하기도 그만큼 쉽다. 하지만 최근의 APT 공격들은 외부와 내부의 경계가 모호하다. 공격자는 외부에 있는데 공격은 내부에서 일어나기도 하고, 전면전보다는 게릴러성의 성격이 짙다. 개인정보보호라고 하는 부분도 외부로 유출하지 말아야 할 관리 대상이기 때문에 내부통제에 해당하지만, 컴플라이언스 입장에서는 프로세스를 관리해야 하기 때문에 역시 경계가 모호하다. 즉, 보안 관리자의 입장에서는 점점 더 대응하기가 힘들어지는 상황인 것이다.

또한 특정 기관을 노린 악성코드도 증가하고 있다. 내부정보의 유출을 위해서 타겟화 되고 구체적인 목표를 가진 악성코드로 발전하고 있는 추세이다. 이러한 악성코드가 개인과는 관계 없는 일이라고 생각할 수 있지만, 작년에 이러한 부류의 악성코드가 발견된 것만 약 60만 건이다. 어떤 사람이든 부지불식간에 피해를 입을 수 있는 상황인 것이다. 

그리고 사회적 환경의 변화도 고려해야 한다. 2011년 이후로 개인정보 유출과 관련해 큰 사건들이 있었고, 정부에서도 개인정보보호법을 제정해 규제를 강화했지만 보안사고는 그 이후로도 끊임없이 일어났다. 이렇게 보안사고가 반복적으로 일어나게 되면 기존 보안 대책에 대한 신뢰성이 하락한다. 근본적인 변화가 요구되는 상황인 것이다.

근본적인 문제란 무엇인가?

기존 관제 시스템은 각각의 보안 제품으로부터 이벤트를 받아서 이벤트를 처리하는 식이었다. 하지만 APT는 기존 보안 시스템들을 회피하거나 우회하는 새로운 방식의 공격을 하기 때문에 실제적으로 보안 제품이 걸리는 이벤트들이 많지 않다. 게다가 APT는 외부가 아닌 내부쪽에서 문제가 벌어지기 때문에 내부의 엔드 포인트를 보아야 하지만 기존의 관제 시스템들은 네트워크의 경계를 보기 때문에 대응하기가 힘들다. 또한 기업에서 사용하는 보안 제품뿐 아니라 기업 전체의 시스템에 관한 정보도 파악하고 있어야 하는데 현재는 단편적인 정보나 이벤트 탐지 위주로 관제가 이루어지기 때문에 APT 대응이 힘들다. 

임계치 기반의 관제도 한계점이다. 쏟아져 들어오는 정보의 양이 많기 때문에 대부분의 관제 시스템들은 임계치를 두어 그 임계치가 넘는 이벤트만 대응을 한다. 하지만 요즘 공격들은 임계치를 밑도는 수준의 공격에서 사고가 발생하기 때문에 임계치를 기반으로 한 관제 시스템에서 APT를 탐지하는 것은 불가능하다. 

다음은 상관분석이다. 기존 보안 시스템들은 상관분석을 할 수 있는 주기가 길지 않다. 하지만 APT는 상당히 긴 주기를 가지고 발생하는 공격의 형태이기 때문에 상관분석으로는 찾기가 힘들다. 여기서 빅데이터에 관한 문제가 함께 대두된다. 

마지막으로는 내부자로부터 발생하는 문제이다. 내부자가 악의적인 마음을 먹고 정보를 빼돌리게 되면 마땅한 방법이 없는 것이 사실이다. 

3.20 사고와 같은 경우에는 지능화된 공격, 분석할 수 있는 데이터의 부족, 이벤트 탐지 대응방식에 대한 한계, 내부적인 통제가 힘들었다는 요인들이 포함되어 있다.

그렇다면 우리는 어떻게 대응해야 하는가?

우리가 보아야 하는 부분은 이제 단순히 네트워크에 한정되어있지 않다. 내부와 외부를 한꺼번에 관리하고 통제할 수 있어야 한다. 이벤트 중심이 아닌 행위와 정책을 분석하고 시나리오를 기본으로 보안을 바라보아야 한다. 또한 알려지지 않은 공격(Unknown Attack)에 대해 관제 시스템이 어떻게 받아들이도록 할 것인지, 하드웨어 뿐 아니라 내부의 프로세스나 정책에 대해서는 어떻게 파악을 할 것인지도 고려해야 한다.

이러한 대응을 위해서는 3가지 'Every' 를 해야 한다고 말씀 드리고 싶다. 

Everywhere, 내부나 외부의 경계 구분 없이 모든 위협에 대응해야 한다. 

Everything, 단순히 보안 장비만 모니터링 하는 것이 아니라, 시스템 안에서 송수신되는 모든 파일, 트래픽, 관련 로그를 수집하고 모니터링 해야 한다. 또한 네트워크와 관련한 인프라들, 서버 시스템들, 내부 지원에 대한 정보들을 전체적으로 파악해야만 한다.

Everyone, 개인에 대한 부분을 파악해야 한다. 권한있는 사용자, 임원 뿐 아니라 퇴직자까지 모든 사용자의 행위를 수집하고 파악할 수 있어야 한다. 

대응을 하기 위한 시스템을 어떻게 꾸려볼까?

네트워크, 서버와 클라이언트, 그리고 내부 직원과 문서들이 존재한다. 여기서 생성되는 수많은 데이터들을 수집한 뒤, 상관분석을 통하여 외부 위협을 대응하고 내부 통제를 해야한다. 또한 분석한 내용들을 구분하여 대시보드에 올려 통합적인 모니터링을 해야한다. 이를 통해 가시성을 확보하고 문제를 해결할 수 있을 것이다.

안랩은 안랩 보안 프레임워크(AhnLab Security FrameWork)를 통해 컨버전스 통합 보안 관제 시스템을 구현하였다. 시스템 안의 구성요소들을 잘 구축을 해야만 발생하는 이벤트들이 잘 정제되어 수집되고 그래야만 다음 단계로 잘 넘어갈 수 있다. 이러한 컨버전스 통합 관제 시스템이 잘 구축이 되어야 효과적인 보안 솔루션을 도출할 수 있으며 대응을 할 수 있는 선순환적 구조를 가질 수 잇을 것이다. 

컨버전스 통합 보안 관제 체계는 네 가지 구성요소로 이루어져 있다.

컨버전스 통합 보안 관제 체계는 외부 위협 탐지 시스템, 내부 위협 통제 시스템, 통합 관제 시스템 구축, 입체적 대응 체계 및 운영, 지원이라는 네 가지 구성 요소로 이루어져 있다.

외부 위협 탐지 시스템은 새로운 공격에 대해 유연하게 대응할 수 있도록 구축해야 한다. 이를 통해 외부 침해사고에 대한 대응을 강화시킬 수 있다. 내부 위협 통제 시스템은 내부자가 하는 행위가 불법적인 행위인지 아닌지 룰 기반으로 판단할 수 있어야 한다. 또한 쏟아져 나오는 수많은 이벤트들을 한꺼번에 처리하고 인과관계를 이끌어낼 수 있도록 통합 관제 시스템이 탄탄히 구축이 되어 있어야 하는 것은 물론, 이러한 인프라를 관리하고 운영할 수 있는 인력이 있어야 한다.

핵심 요소는 내외부의 모든 로그 수집과 입체적인 상관분석을 통한 통합 모니터링과 대응이다.

관제 시스템을 구축할 때는 양질의 이벤트들이 추출되어야만 대응을 효과적으로 할 수 있기 때문에, 가지고 있던 각각의 시스템들이 잘 갖추어져 있는지를 봐야 한다. 또한 내부의 시스템을 파악하면서 통합된 정보를 수집할 수 있어야 하고, 수집된 정보를 상관분석을 통해 APT 관제나 내부 통제를 실시할 수 있어야 하며, 대시보드를 통해서 현재 상태가 어떠한지 이야기 할 수 있어야 한다.

이벤트 중심에서 시나리오 중심으로!

이제는 시나리오를 중심으로 상관분석을 해야한다. 단편적이었던 과거의 공격과는 다르게, APT는과정이 긴 공격이다. 때문에 공격자가 최초로 보안 시스템에 침입을 하였다 하더라도 그게 끝이 아니라 공격을 업그레이드 하고 또 다시 공격하고 하면서 목적을 달성하기까지 수개월이 걸린다. 따라서 공격 시나리오 중심으로 상관분석을 하여 공격자가 공격의 최종 목표를 달성하지 못하도록 공격의 연결고리를 끊어내는 것이 무엇보다 중요하다. 

내부와 외부의 통합 관제 프로세스는 어떻게 운영할 것인가?

정책, 행위 기반의 상관분석을 통해 관제 시나리오를 제공해야 한다. 룰 분석을 통해 이벤트들을 네트워크에서는 침해 유형별 분류를, 내부 시스템에서는 정책별 분류를 하고 분석할 수 있다. 이러한 결과를 상관분석을 통해 단순히 이벤트에 그치는 것인지, 목적성이 있는 APT 공격의 일부인지 걸러내고, 여기서 APT 대응을 하거나 내부 사용자에 대한 통제로 대응할 수 있다. 가장 중요한 것은 전체적인 것을 파악하고, 어떻게 발전하여 다시 침투할 수 있는지 고려하는 것이다. 

계속 새로워지는 보안 위협에는 어떻게 대처할 것인가?

안랩에서는 스마트 사이트(Smart Sight)를 통해 실시간으로 새로운 악성코드에 대한 위험 정보를 제공하고 있다. 최근의 공격들은 공격이 어떻게 진행되는지 감을 잡기 어렵다. 실시간으로 악성코드를 수집, 분석하고 공격이 어떻게 진행되는지, 공격의 침입 경로는 어디인지, 공격이 어디까지 진행되었는지 파악하기 위한 포렌식 조직도 필요할 것이다. 가장 좋은 것은 대응팀을 내부에 보유하고 있는 것이겠지만, 그렇지 않을 경우에는 정보보호 전문 업체를 통해 보안 관제를 부탁하는 것이 좋다. 또한 제공하고 있는 최신 보안 이슈들을 점검하는 것 또한 필요하다. 

이러한 컨버전스 관제는 제품이 아니라 보안에 대한 방법론이고 보안 컴포넌트들을 통합해서 제공하는 SI이다. 궁극적으로 컨버전스 관제는 그동안 보지 못했던 것들을 모니터링하고, 외부위협에서 내부위협까지 전반적인 가시성을 확보하는 하나의 프로젝트이다. 이것을 통해 IT 자산 및 보안 장비의 활용도를 극대화 할 수 있고, 고도화된 관제를 통해 내부와 외부 위협을 최소화 시킬 수 있으며, 정책 기반 관리로 내부 가시성 확보와 통제력을 강화할 수 있다. Ahn

대학생기자 강정진 / 숙명여대 컴퓨터과학과

學而不思則罔, 思而不學則殆

배우기만 하고 생각하지 않으면 멍청해지고, 생각하기만 하고 배우지 않으면 위태로워진다.