의료·교통·환경 등 비공개 인프라 공격 증가할 것

이글루시큐리티, 2015년 보안 위협 전망 보고서 발표

[보안뉴스 김지언] 2015년에는 비공개 인프라에 대한 공격이 증가할 것이라는 전망 보고서가 발표돼 관심이 집중되고 있다.

이글루시큐리티(대표이사 이득춘)가 ‘2015년 보안 위협 전망 보고서’를 통해 2015년에 예상되는 보안위협 8가지를 발표했다. 그 내용은 다음과 같다.

암호화를 이용한 공격과 기존 공격기법의 혼합 증가

웹사이트를 통한 정보유출 사고가 증가함에 따라 SSL 적용과 같은 구간 암호화를 통해 보안을 강화하고 있다. 하지만 이러한 대응은 네트워크 분석을 통해 해킹을 분석하고 대응하는 보안장비 역시 면밀한 분석을 수행하기 어려울 수 있음을 의미한다. 이에 공격자들은 악의적인 코드를 암호화된 패킷 속에 삽입해 정상 트래픽으로 위장시키고 있으며 이러한 공격형태가 급증하고 있다.

현재 대표적인 글로벌 웹사이트 중 대부분이 암호화된 웹사이트(HTTPS) 형태가 아니면 정상적인 웹사이트 이용을 어렵게 만들었는데 암호화된 웹사이트는 개인정보보호 강화 및 암호화된 공격 대비를 위한 방어체계 구축을 동시에 추구해야 하므로 공격대응에 난항이 예상된다.

모바일 위협의 증가

모바일 기기의 보급이 폭발적으로 증가하면서 모바일 기기와 플랫폼, 모바일 앱의 취약점 역시 급증했다. 특히 모바일을 이용한 금융거래나 중요정보 전송 등이 늘어남에 따라 금융정보 탈취를 노린 취약점 공격이 기승을 부릴 전망이다.

현재는 악의적인 앱 설치에만 관심이 모아지고 있는데 향후에는 모바일 기기를 이용한 해킹공격, 경유지 사용 등 PC에 적용되는 보안위협이 모바일로 그대로 옮겨가며 공격이 더욱 지능화될 것이다.

이를 방지하기 위해서는 모바일 기기 사용자의 각별한 주의가 요구될 뿐만 아니라 악성 앱 설치 방지와 모바일 취약점 보호, 데이터 도난 방지를 위한 보안업체와 모바일 기기 제조사간의 긴밀한 협조가 필요하다.

리눅스 및 맥 OS에 대한 보안 위협 증가

윈도우에 비해 상대적으로 적은 사용자 수로 인해 악성코드 감염이나 소프트웨어 취약점 발견이 적어 비교적 안전한 것으로 여겨진 리눅스 및 맥 OS에 대한 보안위협이 2015년에는 크게 증가할 것으로 보인다.

이미 2014년에도 OpenSSL를 이용한 취약점(Heartbleed)과 Bash 취약점(ShellShock), 맥 OS 권한상승 등의 위협이 등장해 보안업계를 크게 긴장시켰는데 맥 OS 사용률이 급증하고 사물인터넷(IoT) 기기가 각광받기 시작하면서 이러한 공격은 더욱 증가할 것이다.

새로운 모바일 결제방식 증가로 인한 새로운 위협 출현

과거의 모바일 결제 프로세스는 카드정보를 매번 입력해야 할 뿐 아니라 공인인증서 실행 등 결제 프로세스가 매우 복잡해 사용자 편리성을 저해했다. 하지만 최근에는 결제카드 선택 후 결제비밀번호만 입력하거나(카카오페이), NFC 단말에 휴대폰을 근접시키고 등록된 카드를 선택한 후 Touch ID를 이용한 지문 인식으로 결제를 완료(애플페이)하는 간소화된 결제 프로세스가 인기를 끌고 있다.

2015년에는 이와 같은 모바일 결제 방식이 더욱 확산될 것으로 예상하는데 공격자들은 금융정보를 비롯해 각종 개인정보가 다수 저장되어 있고 항상 전원이 켜져 있는 모바일 기기를 주요 공격 대상으로 삼을 것이다.

경계보안에서 데이터 보안으로 정보보호의 관점 변화

보안위협에 대한 대응이 경계보안에서 데이터 보안으로 확장될 것이다.

해커들의 해킹 목적에는 금전적 이득 혹은 정치 및 사회적 목적 달성에 있고 그러한 목적을 달성하기 위해 조직의 중요자산에 접근해야 한다는 전제에는 변함이 없다. 따라서 현재까지 경계를 차단하고 강화하는 것에 초점이 맞추어져 있던 보안의 관점이 경계가 아닌 데이터 중심으로 변화할 것으로 보인다. 이러한 관점의 변화로 인해 기존의 보안 솔루션과 서비스 역시 데이터를 보호하는데 집중할 전망이다.

사물인터넷 기기들을 통해 저장, 전송되는 정보에 대한 위협 증가

사물인터넷은 각종 사물에 센서와 통신 기능을 내장해 인터넷에 연결하는 기술이며 대표적으로 스마트 의료 산업에서 이를 접할 수 있다. 이처럼 사물을 통한 통신이 가능해지면서 데이터 전송과정에서 데이터 유출과 같은 보안위협이 증가할 것으로 예상된다.

또한 사물인터넷은 특정 기능을 수행하는 임베디드 시스템으로 구현되는 것이 일반적인데 최소한의 기능 구현에만 신경을 쓰고 인증, 암호화 등의 보안 조치를 취하지 않을 경우 정보 탈취를 위한 표적이 될 가능성이 높다. 따라서 사물인터넷 확산과 더불어 사물인터넷 기기에 대한 보안 대책도 함께 논의되어야 할 것이다.

브라우저 확장프로그램을 통한 위협의 지능화

브라우저 확장프로그램(플러그인)은 사용자에게 높은 편의성을 제공하지만, 특별한 승인절차 없이 실행되는 경우가 많아 악의적인 공격에 사용될 가능성이 높다.

물론 MS IE ActiveX, Google Chrome NPAPI 등 보안 문제점을 해결하기 위해 개선된 기술을 내놓고 있지만 완전히 대체되기까지는 상당한 시일이 걸릴 것이며 해커들은 이러한 간극을 놓치지 않을 것이다.

비공개 목적 인프라에 대한 위협 증가

기존의 공격이 공개된 인프라를 주요 타깃으로 삼았다면 이제는 의료, 교통, 환경, 제조 등 비공개 목적의 인프라에 대한 공격이 점차 증가할 것이다.

최근 BYOD가 확산되면서 비공개 인프라의 접점이 증가하고 있는데 BYOD 특유의 개방성에 의해 정보가 유출되거나 서비스가 중지될 위험이 있다. 특히 비공개 인프라에 대한 낮은 보안인식과 BYOD의 개방성이 맞물릴 경우 자칫 큰 보안사고로 이어질 가능성도 있다.

이글루시큐리티 보안분석팀 정일옥 팀장은 “국내 IT 환경에 적합한 보고서를 제공하기 위해 국내 보안관제 현장에서 축적한 통계 데이터와 대응 노하우를 적극 활용했다”며 “앞으로도 이글루시큐리티는 각종 중요 위협 정보와 리서치 결과를 더 많은 사람들과 공유해 안전하고 편안한 사회를 구축하는데 기여할 것”이라고 말했다.

한편 이글루시큐리티는 15년간 사이버 안보를 위협하는 다양한 공격을 방어하며 위기 대응 경험과 보안 위협 데이터를 축적해왔다. 이를 활용해 보안실무자들이 최우선 보안 투자 영역을 판단하는데 도움을 주고자 정기적으로 위협 전망 보고서를 발표하고 있다. 이번 보고서는 이글루시큐리티 홈페이지에서 누구나 다운로드 받을 수 있다.

[김지언 기자(boan4@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)