진화하는 사이버공격, 어떻게 막을 것인가 ①

최태우 / 기사승인 : 2019-07-11 12:45:09
  • -
  • +
  • 인쇄
[source=pixabay]

오늘날 사이버범죄자들은 특정 공격을 위한 맞춤형 코딩, 맞춤형 랜섬웨어는 물론 인프라 공유와 ‘자급자족식 공격(Living off the Land)’에 이르기까지 공격을 극대화하기 위한 기법을 지속적으로 정교화하고 있다.


불행히도 우리는 사이버범죄 커뮤니티가 국가주도(nation-state) 공격자의 전략과 방법론을 그대로 반영하고 있는 현실과 마주하고 있다. 또한 그들(공격자)이 타깃으로 삼고 있는 장치와 네트워크는 점점 진화하고 있다.


이와 같은 내용은 더 나은 미래 보장형(future proof) 보안 전략을 재수립하고 사이버 위험요소를 관리해야만 하는 이유를 방증하기도 한다. 중요한 점은, 방어를 위해 사이버공간의 기본요소인 속도와 연결성을 활용해야 한다는 사실이다.


기업들이 보안 및 마이크로/매크로 분할(segmentation)에 대한 패브릭 접근 방식을 채택하고, 인공지능(AI)의 구성요소로서 머신러닝(ML)과 자동화를 활용하면서 사이버공격에 대비해야만 한다.


이번 글에서는 포티넷 보안연구소인 ‘포티가드랩’이 발표한 2019년 1분기 글로벌 위협 전망 내용을 기반으로 고도화되고 있는 사이버공격 형태와 이를 위한 대비책을 2회에 걸쳐 알아보고자 한다.


1. 사전 및 사후 공격 트래픽
위협 행위자가 여러 날에 걸쳐 공격 단계를 어떻게 이행하는지 조사한 결과를 보면 사이버범죄자들은 언제나 이익을 극대화할 기회를 노리고 있는 것으로 보인다.


평일과 주말 동안 두 개의 ‘사이버 킬 체인(Cyber kill chain)’ 단계에 대한 웹 필터링 양을 비교해보면, 사전-공격 활동은 평일에 약 3배 더 많이 발생하는 것으로 조사되었다. 반면 사후-공격 트래픽은 큰 차이를 보이지 않았다.


이 같은 주된 이유는 공격 활동이 누군가 피싱 이메일을 클릭하는 등의 특정 행위를 필요로 하기 때문이다.


이와 대조적으로, 명령 및 제어(command and control, C2) 활동에는 이 같은 행위가 필요 없기 때문에 상시적으로 발생된다. 공격자들은 이 같은 상황을 잘 알고 있으며, 인터넷 활동이 가장 활발하게 일어나는 평일에 공격 기회를 극대화하려고 한다.


평일, 주말의 웹 필터링의 차이점을 식별하는 것은 다양한 공격의 킬 체인(kill chain)을 완벽하게 이해하는데 매우 중요하다.


(위) 포티넷 위협 전망 인덱스, (아래) 봇넷, 익스플로잇, 멀웨어

2. 대다수의 위협이 인프라를 공유한다
여러 위협들이 인프라를 서로 공유하는 정도는 중요한 트렌드를 보여주는 척도가 된다. 일부 위협은 고유 인프라 또는 전용 인프라보다 폭넓게 사용되는 인프라를 더 많이 활용한다. 최소 하나 이상의 도메인을 공유하는 위협의 약 60%가 이미 구축된 인프라를 활용한다.


멀웨어 아이스드ID(IcedID)는 이처럼 ‘빌릴 수 있는데 왜 사거나 구축하나(why buy or build when you can borrow)’라는 그들의 생각이 반영된 공격 예시라고 할 수 있다.


또한 위협들이 인프라를 공유하는 경우, 킬 체인의 동일한 단계에서 그 같은 경향이 두드러진다. 자체 조사한 결과 위협이 도메인을 악용하고 그 후 C2 트래픽을 활용하는 경우는 드물었다. 이는 인프라가 악성 캠페인을 위해 사용될 때 특정 역할이나 기능을 한다는 사실을 보여준다.


위협이 인프라를 공유하는 것의 의미를 파악하고 공격 체인에 대해 정확히 이해한다면 향후 멀웨어나 봇넷의 잠재적인 진화를 예측하는데 유용할 것이다.


3. 공격 기회 극대화를 위해 다음 기회 공략
보다 신속하게 공격 기회를 극대화하기 위해 사이버범죄자들은 공격에 성공한 취약점과 상승세를 타고 있는 기술을 활용해 클러스터 내에서 하나의 기회에서 다음 기회로 이동하는 경향이 있다.


최근 공격자들의 많은 주목을 받고 있는 새로운 기술의 예로 소비자와 기업들이 웹 프레즌스(web presence)를 용이하게 구축할 수 있도록 해주는 웹 플랫폼(Web platforms)을 들 수 있다.


사이버범죄자들은 관련된 서드파티 플러그인이 필요하다고 해도 타겟팅을 지속하고 있는데, 이는 즉시 패치를 적용하고 공격자들보다 우위를 점하기 위해 지속적으로 진화하는 익스플로잇의 세계를 이해하는 것이 매우 중요하다는 사실을 잘 보여준다.



글 : 필 쿼드(Phil Quade) / 최고정보보호책임자(CISO) / 포티넷



[저작권자ⓒ IT비즈뉴스. 무단전재-재배포 금지]

  • 글자크기
  • +
  • -
  • 인쇄
뉴스댓글 >

주요기사

+

많이 본 기사

마켓인사이트

+

컴퓨팅인사이트

+

스마트카

+

PHOTO NEWS