지능적인 공격에 맞서는 똑똑한 관제에 필요한 것

안랩은 10월 23일 코엑스컨벤션센터 그랜드볼룸에서 기업, 공공기관 IT 관리자 및 보안담당자를 대상으로 새로운 보안 위협 동향 및 패러다임 변화에 따른 해법을 제시하는 ‘안랩 ISF 2013(AhnLab Integrated Security Fair, 이하 ISF 2013)’를 개최했다.   

권동훈 CERT팀장은 '위협 인텔리전스(Threat Intelligence) 기반의 차세대 보안 관제'를 주제로 발표했다. 권 팀장은 성공적인 대응의 관건은 ‘신속한 보안 의사결정’이며, 이를 위해 가시성 확보가 필수적이라고 강조했다. 또한 2012년의 키워드가 가시성(Visibility)이었다면, 2013년의 키워드는 인텔리전스(Intelligence)라고 진단했다. 다음은 주요 내용.

 

과거에는 공격자가 알려진 공격을 했다. 즉, 대상을 직접 공격했다. 하지만 최근에는 지능화한 공격, 타깃 공격으로 사용자가 신뢰하는 사이트를 미리 해킹한다. 문서 프로그램의 취약점을 악용하는 악성코드를 메일에 첨부하여 국내외 공공기관, 금융권을 타깃으로 보내 감염시킨다. 

이후 사용자의 권한을 획득하여 정상적인 권한으로 서버에 접근하는데, 이때 악의적인 권한과 정상적인 권한을 구별하기 힘들다. 서버에 접근해 백도어 설치, 추가 계정 설치 등으로 악의적인 행위를 하고 시스템을 위변조하며, 포렌식을 못 하게 한다. 이에 대응하는 시점은 정보가 유출되고 변조, 파괴되는 시점이다.

구간에 따라 분명히 파악할 수 있는 포인트가 있지만 놓치는 이유는 대략 세 가지이다. 방화벽은 동시접속자 수가 많아서 놓치기 쉽다. IPS는 잘 알려진 시그니처(Well known Signature) 중심으로 대응하기 때문에 알려지지 않은 악성코드(Unknown Malware)에는 대응할 수 없다. 또한 서버나 호스트의 로그가 모니터 인원이 비해 너무 많기 때문이다. 하루에 쌓이는 웹 로그만 수 기가바이트에 달한다. PC에 쌓이는 로그는 얼마 되지 않아도 기업의 PC에 쌓이는 로그는 엄청나게 많다. 따라서 공격자가 관리자 권한을 가지고 있다 하더라도 정상적인지 아닌지 적은 관제 인원이 많은 로그를 관리하기는 힘들다.    

한편, 포렌식을 하면 반드시 공격의 흔적을 찾을 수 있다. 그러나 요즈음 공격자는 흔적 남기는 것을 두려워하지 않는다. IP를 속이고 경유지를 신뢰 사이트로 돌려 속이기 때문이다. 

똑똑한 관제를 위한 해결책

이에 따라 똑똑한 관제가 필요하다. 인텔리전스(Intelligence)란 정보(Information)가 아니다. 정보에 가치를 더하고 정보가 의미하는 바가 설명될 수 있을 때 인텔리전스라고 할 수 있다. 국내 업체들이 제공하는 많은 정보를 그냥 정보로 받아서는 지능화한 공격에 대응할 수 없다. 그동안 보지 못했던, 보지 않았던 정보를 많이 수집해야 한다. 그리고 수집된 정보에서 어떻게 맥락을 부여하고 의미를 찾을 것인가를 생각하고, 최종 판단을 위한 지표를 보고 판단해야 한다.

 

보지 않았던, 보이지 않았던 정보를 늘리자, 정보를 조합해서 트리거 포인트를 늘리고 트리거가 발생했을 때 연관된 정보를 많이 모아 보여주면 보이지 않았던 정보를 볼 수 있을 것이다. 정보가 너무 많아 트리거가 발견되면 숙련도가 낮은 엔지니어는 숙련된 엔지니어보다 빠르게 판단하고 대응하기 힘들다. 이러한 편차를 줄이고 대응 시간을 줄이기 위해 모든 위협을 정의할 필요가 있다. 

 

안랩 보안관제 서비스의 미션은 Threat intelligence를 통해 모든 위협에 대해 가시성, 위협 지표를 제공해 신속하고 빠르게 대응하는 것이다. Ahn

 

대학생기자 최주연 / 서원대 정보통신공학과