|
파이어아이(FireEye)는 6월 18일, 서울 강남구 리츠칼튼 호텔에서 기자간담회를 열고, 최근 사이버 보안 영역에서의 글로벌 위협과 보안 시장 동향, 그리고 이에 대응하는 자사의 솔루션을 소개하는 자리를 가졌다. 또한 파이어아이는 이 자리에서, 한국인터넷진흥원(KISA)와 사이버 위협 대응에 관한 정보 공유 협약을 체결한다고 밝혔다.
세계적으로 고도화된 지능형지속위협 형태의 보안 위협이 증가하는 가운데, 한국은 이제 사이버 공격의 주요 대상 국가로 지목되고 있다. 보안 관련에서 한국의 조직당 사건 수는 전 세계에서 가장 높은 수준이며, 대부분의 트래픽이 중국발 APT, RAT 등으로 만들어지지만 공격 자체는 국내에서 이루어지는 것이 전체 트래픽의 80% 이상을 차지하고 있다고 소개되었다.
파이어아이는 이 자리에서 다변화되고 있는 보안 환경과 증가하는 신종 보안 위협에 대응할 수 있는 기업의 새로운 보안 전략을 제시했다. 최근의 보안 위협은 기존 시그니처 기반 탐지를 우회하는 형태로 진행되고 있으며, 신종 공격 수법과 경로를 통해 정교화되고 있다. 이에 파이어아이는 기존의 방식이 가진 한계를 해결하고, 알려지지 않은 위협에 빠르고 정확하게 대응하는 차별화된 APT 솔루션에 대해 소개했다.
▲ 파이어아이 CEO 데이비드 드왈트
이번 기자간담회는 파이어아이 CEO이자 현 미국 오바마 정부의 국가보안 자문기술 임원인 데이비드 드왈트(David DeWalt)가 참석하여 오늘날의 보안 위협 동향에 대한 인사이트를 전달했다. 그는 먼저, 최근 2년간 사이버 위협이 급증하고 있으며, 이제 190개 이상의 국가에서 사이버 스파이나 스틸링 등 다양한 사이버 위협이 등장하고 있다고 소개했다.
190개 이상의 국가에서 사이버 위협이 나타나고 있지만, 대부분의 공격은 일부 지역에 집중되는 모습을 보인다. 이 중 가장 큰 비중을 차지하는 곳은 미국이며, 중국에서도 많은 활동이 나타나고 있고, 이외에는 한국과 중동 지역에서 공격이 집중되는 것을 확인할 수 있다. 그리고 순위 측면에서는 미국을 제외하면 한국이 가장 높은 것으로 소개되었다.
지난 2년간 사이버 공격을 받은 기업 수는 현격히 증가했으며, 규모와 산업군 또한 폭넓게 분포되어 있다. 그리고 지난해 사이버 공격으로 인한 집계된 지적재산권 손실은 2,500억 달러 수준이며, 사이버 범죄로 인한 피해액도 1,500억 달러에 이르는 것으로 추산되고 있다. 하지만 문제는 이것이 ‘집계된’ 것만이라는 것인데, 실제로 일어난 사건 중 보고되는 경우는 채 10%도 되지 않고, 실제 손실은 훨씬 클 것이라고 설명했다.
▲ 겨우 1Gbps당 매주 221회의 공격이 들어올 정도.
파이어아이는 현재 매 3분마다 악성코드 관련 사건들이 일어나고 있고, 매일 6만개의 악성코드가 새롭게 별견되고 있으며, 이를 담은 웹사이트는 매일 9천개 이상이 새롭게 발견되고 있다고 소개했다. 그리고 이런 공격을 막아내는 데 있어 현재시그니처 기반의 방어는 각 단계별 진입에서 동일한 모델을 사용하므로, 공격자들이 이를 회피해 나가기 쉽다고 설명했다. 그리고 대부분의 기업이 기가비트당 매주 10건 정도의 보안 사건을 경험하며, 전체 평균은 221건 정도라고 덧붙였다.
최근의 사이버 공격이 방어가 힘들어지는 이유로는 크게 네 가지가 소개되었다. 가장 먼저 꼽힌 것은 공격자들의 국제 공조 측면이다. 또한 맬웨어도 동적 변조되어, 애플리케이션에 통합되어 실행될 때 공격하는 형태가 주를 이루고 있으며, 공격 또한 다단계 구성으로, 한 단계를 끝낸 뒤 관리자의 의심을 피하기 위해 몇 주에서 몇 개월까지 기다리는 것도 가능해지고 있다. 또한 메일에 링크를 넣어 유도하는 등의 멀티벡터 공격 특성도 보이고 있다고 밝혔다.
공격 대상 자산은 크게 세 가지가 꼽히며, 이에 따른 공격 방법도 다르다. 먼저 '스피어 피싱'은 CFO 등 특정 개인을 공격하며, 이를 통해 주로 재무정보 등 내부 정보를 유출한다. 또한 웹에서 악성코드 다운로드를 유도하는 '웹 기반 공격'은 엔지니어를 주로 공격하며, 주로 엔지니어가 가진 지적 재산권을 노린다. 공공 기관을 대상으로 하는 공격은 '파일 기반 공격'이 일반적이며, USB 메모리나 문서 공유 툴 등을 주로 공격해 국가 보안 정보를 노린다고 소개했다.
▲ 한국의 현재 상황은 치열하기 그지 없다.
한국은 기업 조직당 사건 수가 세계에서 가장 높은 특징을 지니고 있고, 공격 형태는 주로 한국 기업을 대상으로 할 뿐 아니라 한국 내에서 공격이 발생한다고 소개했다. 대부분의 공격 트래픽이 중국발 APT, RAT 등에서 발생하지만, 이 트래픽의 대부분이 국내에서 발생해 돌고 있다는 것이다. 이는 한국이 전세계 최고 수준의 인터넷 연결 환경을 갖추고 있어 콜백 서버 호스팅이 용이하고, 이를 통한 악성코드 투입이 쉽기 때문이라 지적했다.
한국에서 주요 공격 대상으로는 정부 기관과 금융, 온라인 게이밍 쪽이 꼽혔다. 이 중 정부 기관 쪽에서는 실시간으로 정보를 훔쳐가기 용이한 환경으로 주로 워터링 홀, 스피어 피싱 기법이 많이 사용되며, 백도어를 설치한 후 감염된 PC를 원격 조작하는 형태로 공격하는 경우가 많다. 이 부분에서의 대표적인 예로는 'Sunshop'나 'Sanny' 등이 꼽혔다.
이외에 금융이나 온라인 게이밍 쪽에서의 공격은 금전적 목적이 뚜렷한 방향성을 가지고 있다고 지적했다. 또한 공격 방법은 주로 스피어 피싱, 그리고 부차적으로 워터링 홀을 이용하는 경우가 보편적이며, 중국발 툴킷인 'Gong-Da'나 'Redkit' 등을 주로 활용하는 모습을 보이고 있다고 설명했다.
▲ 파이어아이는 새로운 가상화 기반 모델을 제시한다.
파이어아이는 기존 시그니처 기반 보안 모델이 가진 한계를 극복할 수 있는 방법으로 자사의 가상화 기반 모델을 소개했다. 파이어아이의 차세대 위협방어(NGTP) 플랫폼은 차세대 위협 탐지 엔진, 동적 위협 분석, 상호 운용성을 제공해 기업 전반에 걸쳐 위협 방어체계를 지원하는 솔루션으로, 멀티-벡터 가상 실행(MVX)엔진, 동적 위협 분석(DTI) 클라우드, 표준 기반의 위협 분석 메타데이터와 API 통한 파트너 호환성 등을 제공한다.
멀티벡터 가상 실행 엔진은 가상 환경에서의 모바일 애플리케이션, 의심스러운 첨부 파일, 파일과 웹 오브젝티브를 제거함으로써 진화된 사이버 공격을 탐지하고 방어할 수 있도록 설계되었다. 또한 비 시그니처 기반으로 자동화된 악성 코드 탐지와 포렌식 분석을 진행하며 특정 조직을 대상으로 하는 공격에 대한 멀티-벡터 동적 위협 분석을 제공한다.
또한 이 MVX 가상 컨테이너는 내, 외부 네트워크로 통신 가능해 각 사가 가진 공격 인텔리전스를 활용할 수 있으며, DTI 클라우드에 연결되어 가상 컨테이너의 정보를 실시간 공유, 분석해 위협에 대응할 수 있다. 현재 한국에는 70개 고객사가 이에 참여하고 있으며, 이를 통해 한국에서 발생하는 지역적 인텔리전스 정보를 취합하고, 글로벌 정보와 함께 활용하고 있다고 설명했다.
한편 파이어아이는 이 자리에서 기업들이 차세대 위협에 대처하기 위한 다섯 가지 원칙을 소개했다. 첫 번째 원칙은 이미 구축된 방법론과 아키텍처에 가상화 기술을 통한 보호 방법을 추가하는 것이다. 또한 멀티 팩터 인증을 모든 네트워크 티어로 확장하고, 모든 크리티컬 엔드포인트에 화이트리스팅이나 HIPS를 구축할 것을 제시했다. 또한 연 4회 이상 APT 공격을 대비해, 전문가를 투입한 펜 테스트를 진행할 것과, 전사적 리스크 매니지먼트가 가능한 ERM 프레임워크를 구축할 필요가 있다고 덧붙였다.
▲ 파이어아이의 특징은 '비 시그니처 기반 기술'
| 
등록안내
등록안내