사이버 전쟁의 시대, 사이버 보안 업계의 접근법 재고해야
대테러 및 국가 안보 전략에서 배울 수 있는 4가지 접근법
[보안뉴스 오다인 기자] 사이버 공격은 지난 몇 년 사이 급격하게 변화했다. 사이버 공격자들은 이제 우리의 일상을 어지럽히고 있으며, 사이버 공격을 전략적인 무기로써 활용하고 있다.
일례로, 2016년 12월 우크라이나 수도 키예프에서 발생한 정전 사태를 보자. 이는 키예프의 전력 시스템에 사이버 공격이 가해졌기 때문인 것으로 추정된다. 같은 해, DNS 전문 기업 다인(Dyn)이 겪은 공격은 또 어떤가. 당시 사물인터넷 기기들이 익스플로잇 된 결과, 대형 인터넷 서비스 수십 개가 운영에 지장을 받았다. 최근에는 미국 국토안보부(DHS)와 연방수사국(FBI)이 사이버 공격과 관련해 이례적인 경고를 발행하기도 했다. 에너지, 수도, 항공, 핵을 포함한 미국의 핵심 사회기반시설 제공업체에 어떤 공격이 준비되고 있는 것 같으니 조심하라는 경고였다. 2017년은 랜섬웨어가 단순히 성가신 방해 공작에서 글로벌 기업과 데이터센터의 운영을 중단시킬 만큼 위력적인 공격으로 진화한 해이기도 했다. 이런 사례는 최근 우리가 겪고 있는 공격들 중 극히 일부 사례에 불과하다. 사이버 공격은 기하급수적으로 많아지고 있다.
우리가 사이버 전쟁의 시대로 접어들었다는 건 분명한 사실이다. 적들은 새로운 전략과 목표, 역량으로 무장한 상태다. 우리는 우리 자신의 접근법을 재고해야 할 시기에 봉착했다. 우리의 조직과 나라가 이처럼 진화하는 공격에 맞닥뜨렸을 때를 대비해야 한다. 다음은 국가 안보와 대테러 조직에서 활용하는 네 가지 모범 사례(best practice)를 정리한 것이다. 사이버 보안 업계에서도 이를 적용해볼 수 있을 것이다.
1. 국경을 완벽히 봉쇄하는 건 불가능하다는 사실을 인지하라
미국의 국토안보부 같은 조직들은 국경을 지키고, 범죄자와 테러리스트의 침입을 막기 위해 열심히 일한다. 이것이 단순한 업무는 아니지만, 물리적인 세계의 국경 보안이 사이버 세계의 국경 보안보다 훨씬 쉽다. 완벽하게 봉쇄된 경계라는 건 이 세상에 존재하지 않고, 경계가 아무리 삼엄한 곳이라 해도 공격자들은 끝내 침입 경로를 찾아낸다. 우리가 가능한 한 모든 틈새를 메우기 위해 상상력을 발휘하고 투자를 늘리는 것처럼 공격자들도 더 창의적으로 진화한다. 국경 봉쇄에 대한 투자를 늘리는 건 국가 안보의 지대한 개선으로 이어지진 않을 것이다.
사이버 보안 산업에서도 우리들은 네트워크 봉쇄에 대한 능력이 사실상 최대치에 다다랐다는 점을 깨달아야 한다. 그러므로 단순히 막는 것뿐만 아니라 방어할 방법을 찾는 것이 중요한 시대가 됐다. 먼저, 사건 대응 역량부터 키워야 한다. 이를 내부적으로 행할 전문성이 없다 해도 괜찮다. 그런 서비스를 제공해줄 수 있는 보안 관리 서비스 제공업체(MSSP: Managed Security Service Providers) 수가 점점 더 많아지고 있기 때문이다. MSSP를 이용하게 될 경우, 반드시 실사(due diligence)를 진행하고 평판이 좋은 업체인지도 확인해라.
추가적인 방화벽과 침입방지시스템(IPS)은 공격 횟수를 줄여줄 수 있을 진 몰라도 정교한 공격자들은 결국 침입 경로를 찾아낸다. 여기서 핵심은 당신이 어떻게 대응하느냐에 있다. 공격에 대응하기 위한 정보와 증거를 갖고 네트워크를 모니터링 하는 것이 피해 복구를 위한 최선의 투자다.
2. 공격자가 이미 우리의 방어선을 뚫었다고 생각하라
국가 안보 기관들은 테러 조직이 이미 국경을 뚫었고 다음 공격을 준비하고 있다는 전제 하에 일한다. 이 기관들은 공격이 실제로 감행되기 전에 잠재적인 악성 활동을 탐지하고 가능한 한 빠르게 피해를 감소시키는 데 자원을 집중시킨다. 이들은 수없이 많은 정보 수집 센서를 구축하고 배치하며, 대규모 데이터센터를 짓는 데 투자한다. 그래서 실시간으로 수집되는 방대한 양의 정보를 분석하고, 계획된 테러 활동과 이에 대한 확실한 증거를 찾으려고 한다.
똑같은 방식으로, 사이버 보안 전문가는 공격자들이 각종 경계와 보안을 이미 뚫었다고 전제해야 한다. 이 전쟁에서 이기려면 사고가 터지기 전 또는 너무 큰 피해가 발생하기 전에 공격 활동을 탐지, 대응, 경감시킬 수 있는 수단들을 미리 마련해둬야 한다. 이는 사이버 보안에 대한 기존 개념이나 도구들을 새로운 세대의 탐지 및 대응 플랫폼으로 전환시켜야 한다는 뜻이고, 개별 부서가 효과적이고 빠르게 대응하도록 이끌어줄 보안관제센터(SOC)를 구축해야 한다는 뜻이기도 하다.
3. 데이터 중심으로 접근하라
데이터는 첩보(intelligence)의 생명선이다. 합법적으로 수집된 정보, 보안 영상, 온라인 대화, 모바일 문자 등은 모두 계속해서 모니터링 되고, 방대한 양의 정보를 만들어낼 것이다. 이런 데이터는 의심스런 행동 패턴을 찾아내는 데 쓰이고 다가올 공격을 밝히는 데 도움을 준다. 여기서 중요한 건, 전체 데이터 가운데서 양질의 첩보를 빠르고 정확하게 가려내는 일이다. 조각조각 분산돼 있는 정보들은 위험해보이지 않을지라도, 합쳐 놓고 보면 반드시 조사해야 할 어떤 이야기를 말해줄지도 모른다. 데이터 자원 간 상관관계를 파악하는 것, 그래서 통찰을 얻어낼 수 있도록 하는 것이 중요하다. 그런 뒤, 지휘관에게 실시간으로 첩보를 보고해서 빠르게 움직일 수 있도록 조치하는 것이다.
사이버 보안 세계의 조직들도 동일한 문제에 직면하고 있다. 현재 조직들은 외부 위협 피드, 방화벽 경고, 엔드포인트 센서, 이메일 등 각기 다른 자원들을 수없이 활용해서 다가올 공격을 탐지하기 위해 애쓰고 있다. 하지만 데이터는 너무 많고 이를 분석할 사람은 너무 적다. 그래서 행동을 취할 수 있을 만한 통찰력도 생산할 수 없는 것이다. 게다가 공격이 가능한 지점도 급격히 많아지는 추세다. 운영기술(OT) 네트워크와 사물인터넷(IoT) 기기를 생각해보자. 이것들은 각기 다른 보안 시스템에 의해 모니터링 되고 분석되지 않는가. 첩보 세계가 움직이는 방식처럼, 우리는 시스템들이 서로 소통하도록 만들어야 한다. 데이터를 동질적인 빅데이터 플랫폼에 통합하고, 인공지능으로 이를 분석하며, 제한된 보안관제센터 팀이 빠르게 통찰을 얻어낼 수 있도록 만들어야 한다.
4. 반드시 협업하라
범죄는 세계적인 현상이다. 정보 공유에 실패하는 건 범죄자들이 악용할 수 있는 지리적인 사각지대를 남기는 일과 같다. 그러므로 세계의 각국은 여러 첩보와 경고를 시기적절하게 공유하기 위해 계속해서 노력하고 있다.
사이버 보안에서 취약점은 동일한 산업 내 다수의 기업에 동시에 존재할 가능성이 높다. 각 산업별로 기업들은 비슷한 기술을 사용하기 때문이다. 공격자들은 쉬운 방법을 찾기 마련이고, 일단 어디 한 군데서 공격을 성공시키고 나면 이와 비슷한 조직에 같은 공격을 반복해서 시도한다. 똑같은 취약점을 익스플로잇하는 것이다. 예를 들어, 2013년 SWIFT 강도 사건의 경우 다른 은행들 몇 곳에서도 같은 공격이 반복된 것으로 보인다.
이 같은 문제를 해결하기 위해선 IT 보안 세계에도 금융서비스 정보공유분석센터(FS-ISAC) 같은 협력 이니셔티브가 만들어져야 한다. FS-ISAC는 위협 첩보 분석과 공유를 위한 금융 업계의 플랫폼이다. 이렇게 협력 이니셔티브를 구축하면 유사 산업 내 기업들이 서로 도와가며 취약점 문제를 해결할 수 있고, 위협 첩보도 공유할 수 있다. 대테러 조직들처럼 우리는 ‘나쁜’ 정보를 우리들만 갖고 있으려는 욕구를 옆으로 밀쳐둬야 한다.
국가 안보와 대테러 작전은 지난 수년 간 상당한 진보를 이뤄왔다. 그들은 데이터 중심적으로 변모했으며 협업 시스템을 구축했다. 또한, 국경과 국토 전역을 아울러 공격을 추적하고 경감하기 위한 절차들을 만들어 왔다. 사이버 보안 업계는 앞서 첩보 영역에서 언급한 모범 사례와 기술을 적용하고, 보안관제센터의 근본적인 요소로 통합시키도록 노력해야 한다. 그럴 때, 우리의 디지털 자산을 더욱 안전하게 지킬 수 있을 것이다.
글 : 아디 다르(Adi Dar)
[국제부 오다인 기자(boan2@boannews.com)]
대테러 및 국가 안보 전략에서 배울 수 있는 4가지 접근법
[보안뉴스 오다인 기자] 사이버 공격은 지난 몇 년 사이 급격하게 변화했다. 사이버 공격자들은 이제 우리의 일상을 어지럽히고 있으며, 사이버 공격을 전략적인 무기로써 활용하고 있다.
[이미지=iclickart]
일례로, 2016년 12월 우크라이나 수도 키예프에서 발생한 정전 사태를 보자. 이는 키예프의 전력 시스템에 사이버 공격이 가해졌기 때문인 것으로 추정된다. 같은 해, DNS 전문 기업 다인(Dyn)이 겪은 공격은 또 어떤가. 당시 사물인터넷 기기들이 익스플로잇 된 결과, 대형 인터넷 서비스 수십 개가 운영에 지장을 받았다. 최근에는 미국 국토안보부(DHS)와 연방수사국(FBI)이 사이버 공격과 관련해 이례적인 경고를 발행하기도 했다. 에너지, 수도, 항공, 핵을 포함한 미국의 핵심 사회기반시설 제공업체에 어떤 공격이 준비되고 있는 것 같으니 조심하라는 경고였다. 2017년은 랜섬웨어가 단순히 성가신 방해 공작에서 글로벌 기업과 데이터센터의 운영을 중단시킬 만큼 위력적인 공격으로 진화한 해이기도 했다. 이런 사례는 최근 우리가 겪고 있는 공격들 중 극히 일부 사례에 불과하다. 사이버 공격은 기하급수적으로 많아지고 있다.
우리가 사이버 전쟁의 시대로 접어들었다는 건 분명한 사실이다. 적들은 새로운 전략과 목표, 역량으로 무장한 상태다. 우리는 우리 자신의 접근법을 재고해야 할 시기에 봉착했다. 우리의 조직과 나라가 이처럼 진화하는 공격에 맞닥뜨렸을 때를 대비해야 한다. 다음은 국가 안보와 대테러 조직에서 활용하는 네 가지 모범 사례(best practice)를 정리한 것이다. 사이버 보안 업계에서도 이를 적용해볼 수 있을 것이다.
1. 국경을 완벽히 봉쇄하는 건 불가능하다는 사실을 인지하라
미국의 국토안보부 같은 조직들은 국경을 지키고, 범죄자와 테러리스트의 침입을 막기 위해 열심히 일한다. 이것이 단순한 업무는 아니지만, 물리적인 세계의 국경 보안이 사이버 세계의 국경 보안보다 훨씬 쉽다. 완벽하게 봉쇄된 경계라는 건 이 세상에 존재하지 않고, 경계가 아무리 삼엄한 곳이라 해도 공격자들은 끝내 침입 경로를 찾아낸다. 우리가 가능한 한 모든 틈새를 메우기 위해 상상력을 발휘하고 투자를 늘리는 것처럼 공격자들도 더 창의적으로 진화한다. 국경 봉쇄에 대한 투자를 늘리는 건 국가 안보의 지대한 개선으로 이어지진 않을 것이다.
사이버 보안 산업에서도 우리들은 네트워크 봉쇄에 대한 능력이 사실상 최대치에 다다랐다는 점을 깨달아야 한다. 그러므로 단순히 막는 것뿐만 아니라 방어할 방법을 찾는 것이 중요한 시대가 됐다. 먼저, 사건 대응 역량부터 키워야 한다. 이를 내부적으로 행할 전문성이 없다 해도 괜찮다. 그런 서비스를 제공해줄 수 있는 보안 관리 서비스 제공업체(MSSP: Managed Security Service Providers) 수가 점점 더 많아지고 있기 때문이다. MSSP를 이용하게 될 경우, 반드시 실사(due diligence)를 진행하고 평판이 좋은 업체인지도 확인해라.
추가적인 방화벽과 침입방지시스템(IPS)은 공격 횟수를 줄여줄 수 있을 진 몰라도 정교한 공격자들은 결국 침입 경로를 찾아낸다. 여기서 핵심은 당신이 어떻게 대응하느냐에 있다. 공격에 대응하기 위한 정보와 증거를 갖고 네트워크를 모니터링 하는 것이 피해 복구를 위한 최선의 투자다.
2. 공격자가 이미 우리의 방어선을 뚫었다고 생각하라
국가 안보 기관들은 테러 조직이 이미 국경을 뚫었고 다음 공격을 준비하고 있다는 전제 하에 일한다. 이 기관들은 공격이 실제로 감행되기 전에 잠재적인 악성 활동을 탐지하고 가능한 한 빠르게 피해를 감소시키는 데 자원을 집중시킨다. 이들은 수없이 많은 정보 수집 센서를 구축하고 배치하며, 대규모 데이터센터를 짓는 데 투자한다. 그래서 실시간으로 수집되는 방대한 양의 정보를 분석하고, 계획된 테러 활동과 이에 대한 확실한 증거를 찾으려고 한다.
똑같은 방식으로, 사이버 보안 전문가는 공격자들이 각종 경계와 보안을 이미 뚫었다고 전제해야 한다. 이 전쟁에서 이기려면 사고가 터지기 전 또는 너무 큰 피해가 발생하기 전에 공격 활동을 탐지, 대응, 경감시킬 수 있는 수단들을 미리 마련해둬야 한다. 이는 사이버 보안에 대한 기존 개념이나 도구들을 새로운 세대의 탐지 및 대응 플랫폼으로 전환시켜야 한다는 뜻이고, 개별 부서가 효과적이고 빠르게 대응하도록 이끌어줄 보안관제센터(SOC)를 구축해야 한다는 뜻이기도 하다.
3. 데이터 중심으로 접근하라
데이터는 첩보(intelligence)의 생명선이다. 합법적으로 수집된 정보, 보안 영상, 온라인 대화, 모바일 문자 등은 모두 계속해서 모니터링 되고, 방대한 양의 정보를 만들어낼 것이다. 이런 데이터는 의심스런 행동 패턴을 찾아내는 데 쓰이고 다가올 공격을 밝히는 데 도움을 준다. 여기서 중요한 건, 전체 데이터 가운데서 양질의 첩보를 빠르고 정확하게 가려내는 일이다. 조각조각 분산돼 있는 정보들은 위험해보이지 않을지라도, 합쳐 놓고 보면 반드시 조사해야 할 어떤 이야기를 말해줄지도 모른다. 데이터 자원 간 상관관계를 파악하는 것, 그래서 통찰을 얻어낼 수 있도록 하는 것이 중요하다. 그런 뒤, 지휘관에게 실시간으로 첩보를 보고해서 빠르게 움직일 수 있도록 조치하는 것이다.
사이버 보안 세계의 조직들도 동일한 문제에 직면하고 있다. 현재 조직들은 외부 위협 피드, 방화벽 경고, 엔드포인트 센서, 이메일 등 각기 다른 자원들을 수없이 활용해서 다가올 공격을 탐지하기 위해 애쓰고 있다. 하지만 데이터는 너무 많고 이를 분석할 사람은 너무 적다. 그래서 행동을 취할 수 있을 만한 통찰력도 생산할 수 없는 것이다. 게다가 공격이 가능한 지점도 급격히 많아지는 추세다. 운영기술(OT) 네트워크와 사물인터넷(IoT) 기기를 생각해보자. 이것들은 각기 다른 보안 시스템에 의해 모니터링 되고 분석되지 않는가. 첩보 세계가 움직이는 방식처럼, 우리는 시스템들이 서로 소통하도록 만들어야 한다. 데이터를 동질적인 빅데이터 플랫폼에 통합하고, 인공지능으로 이를 분석하며, 제한된 보안관제센터 팀이 빠르게 통찰을 얻어낼 수 있도록 만들어야 한다.
4. 반드시 협업하라
범죄는 세계적인 현상이다. 정보 공유에 실패하는 건 범죄자들이 악용할 수 있는 지리적인 사각지대를 남기는 일과 같다. 그러므로 세계의 각국은 여러 첩보와 경고를 시기적절하게 공유하기 위해 계속해서 노력하고 있다.
사이버 보안에서 취약점은 동일한 산업 내 다수의 기업에 동시에 존재할 가능성이 높다. 각 산업별로 기업들은 비슷한 기술을 사용하기 때문이다. 공격자들은 쉬운 방법을 찾기 마련이고, 일단 어디 한 군데서 공격을 성공시키고 나면 이와 비슷한 조직에 같은 공격을 반복해서 시도한다. 똑같은 취약점을 익스플로잇하는 것이다. 예를 들어, 2013년 SWIFT 강도 사건의 경우 다른 은행들 몇 곳에서도 같은 공격이 반복된 것으로 보인다.
이 같은 문제를 해결하기 위해선 IT 보안 세계에도 금융서비스 정보공유분석센터(FS-ISAC) 같은 협력 이니셔티브가 만들어져야 한다. FS-ISAC는 위협 첩보 분석과 공유를 위한 금융 업계의 플랫폼이다. 이렇게 협력 이니셔티브를 구축하면 유사 산업 내 기업들이 서로 도와가며 취약점 문제를 해결할 수 있고, 위협 첩보도 공유할 수 있다. 대테러 조직들처럼 우리는 ‘나쁜’ 정보를 우리들만 갖고 있으려는 욕구를 옆으로 밀쳐둬야 한다.
국가 안보와 대테러 작전은 지난 수년 간 상당한 진보를 이뤄왔다. 그들은 데이터 중심적으로 변모했으며 협업 시스템을 구축했다. 또한, 국경과 국토 전역을 아울러 공격을 추적하고 경감하기 위한 절차들을 만들어 왔다. 사이버 보안 업계는 앞서 첩보 영역에서 언급한 모범 사례와 기술을 적용하고, 보안관제센터의 근본적인 요소로 통합시키도록 노력해야 한다. 그럴 때, 우리의 디지털 자산을 더욱 안전하게 지킬 수 있을 것이다.
글 : 아디 다르(Adi Dar)
[국제부 오다인 기자(boan2@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
오다인기자 기사보기
[2024-04-24] 
.jpg)
