.jpg)
트러스트웨이브, “웹 100% 취약해”...취약점 수도 꾸준히 증가
범죄의 경제가 안정적이고 탄탄하기에 가능한 일
[보안뉴스 문가용 기자] 웹 애플리케이션들이 취약하다는 건 익히 알려진 사실이다. 하지만 최근 트러스트웨이브(Trustwave)가 발표한 자료에 의하면 이 세상에 해커에게 취약하지 않은 웹 애플리케이션은 단 한 개도 없다고 한다. 무려 100%다.
트러스트웨이브는 전 세계에서 발생한 보안 및 침해 관련 로그 이벤트를 수십억 건과 앱들을 분석했다. 그 결과 모든 앱들에서 최소 1개의 취약점이 발견됐다. 통계를 낸 결과 취약점 개수의 중앙값은 애플리케이션 하나 당 11이었다. 웹 애플리케이션 취약점들의 대부분(85.9%)은 세션 관리와 관련된 것이었다. 즉 공격자들이 사용자의 세션을 도청해 민감한 정보를 빼돌릴 수 있다는 것이다.
또한 취약점의 절대 수 자체도 급격히 증가하고 있다고 트러스트웨이브는 발표했다. 2008년과 2011년까지 취약점의 수는 비교적 안정적이었다. 그러다가 2012년에 접어들어 급증했고, 그 후로 계속해서 증가 추세를 유지했다. 그리고 2017년, 전년과 비교할 수 없을 정도로 취약점이 늘어났다. 여기에는 몇 가지 이유가 있다고 트러스트웨이브는 분석하고 있다.
“그 10여년 동안 인터넷 사용자 수가 크게 증가했고, 그와 함께 취약점 발견 기술을 가진 보안 전문가와 해커의 수도 불어났으며, 이러한 취약점들을 바탕으로 한 시장이 형성됐기 때문입니다. 취약점을 하나 찾는 것이 옛날 노다지 찾는 것에 비견될 정도입니다. 골드러시가 여기 저기서 벌어졌던 것과 같은 것이죠.”
취약점이 하나도 없는 애플리케이션이 존재하지 않는 것과 발맞추어, 웹 공격 자체가 보다 표적화되고 있다는 것도 눈에 띄는 현상이다. 웹 애플리케이션에 대한 공격도 고급화되고 있으며 증가하고 있다. 트러스트웨이브에 의하면 “요즘의 사이버 범죄자들은 훨씬 더 치밀하게 준비하고, 조심스럽게 툴들을 선택한다”고 한다. 가장 선호하는 취약점은 XSS인 것으로 나타났으며(40%), 그 다음은 SQL 인젝션(24%), 경로 조작(7%), 로컬 파일 인클루전(4%), 디도스(3%)인 것으로 나타났다.
멀웨어의 측면에서 보자면 난독화 기능 등 방어 장치 우회 기술을 탑재한 것이 30%나 되었다. 하지만 가장 많은 앱들에서 공통적으로 발견된 건(90%) 피해자 시스템에 오래 남아있을 수 있도록 해주는 ‘지속성’ 관련 기술이었다. 이는 표적화 공격이 늘어나고 있는 것과도 맞물린 현상으로 보인다.
침해의 전략 혹은 방법이라는 측면에서는 소셜 엔지니어링(피싱 등)이 55%로 1위를 기록했다. 2위는 ‘악성 내부자’로 13%가 나왔고, 원격 접근은 9%로 3위가 됐다. 트러스트웨이브는 “해커들을 불러들이는 데 있어서 인적 요소가 가장 크게 작용하고 있다는 뜻”이라고 정리한다. 보안 팀이 사람을 교육 및 관리해야 한다고 트러스트웨이브는 덧붙이기도 했다.
좋은 소식도 있었다. 해커들의 침투와 방어자들의 탐지 사이의 시간이 이전보다 줄어들었다. 2016년에는 16일이었는데 2017년에는 0일로 나타났다. 즉 업체들이 대부분의 유출 사고를 발생 당일에 알아챘다는 것이다.
가장 많은 유출 사고를 겪은 것은 북미의 도소매 시장이었다. 국가로 보자면 미국, 캐나다, 멕시코가 전체 유출 사고의 43%를 차지했다. 아태 지역은 30%, 유럽과 중동, 아프리카는 23%였다. 라틴아메리카는 4%로 매우 미비한 수준이었다. 산업별로는 도소매 산업이 1위(16.7%), 금융과 보험이 2위(13.1%), 환대 산업이 3위(11.9%)였다.
트러스트웨이브의 CMO인 스티브 켈리(Steve Kelley)는 “이 모든 수치들을 한 번에 정리해서 말하면 ‘공격 수법이 보다 정교해지고 조직적으로 변하고 있다’는 뜻”이라고 요약한다. “또한 그렇게 될 수 있는 건 사이버 범죄라는 산업이 윤택하고 돈 벌이가 되기 때문입니다. 돈이 몰리는 곳은 반드시 발전하기 마련입니다. 사이버 범죄자들을 쫓기 위해서는 그들의 기술력만이 아니라 그 배후에 있는 변화의 엔진들부터 살펴야 합니다.”
[국제부 문가용 기자(globoan@boannews.com)]
범죄의 경제가 안정적이고 탄탄하기에 가능한 일
[보안뉴스 문가용 기자] 웹 애플리케이션들이 취약하다는 건 익히 알려진 사실이다. 하지만 최근 트러스트웨이브(Trustwave)가 발표한 자료에 의하면 이 세상에 해커에게 취약하지 않은 웹 애플리케이션은 단 한 개도 없다고 한다. 무려 100%다.
[이미지 = iclickart]
트러스트웨이브는 전 세계에서 발생한 보안 및 침해 관련 로그 이벤트를 수십억 건과 앱들을 분석했다. 그 결과 모든 앱들에서 최소 1개의 취약점이 발견됐다. 통계를 낸 결과 취약점 개수의 중앙값은 애플리케이션 하나 당 11이었다. 웹 애플리케이션 취약점들의 대부분(85.9%)은 세션 관리와 관련된 것이었다. 즉 공격자들이 사용자의 세션을 도청해 민감한 정보를 빼돌릴 수 있다는 것이다.
또한 취약점의 절대 수 자체도 급격히 증가하고 있다고 트러스트웨이브는 발표했다. 2008년과 2011년까지 취약점의 수는 비교적 안정적이었다. 그러다가 2012년에 접어들어 급증했고, 그 후로 계속해서 증가 추세를 유지했다. 그리고 2017년, 전년과 비교할 수 없을 정도로 취약점이 늘어났다. 여기에는 몇 가지 이유가 있다고 트러스트웨이브는 분석하고 있다.
“그 10여년 동안 인터넷 사용자 수가 크게 증가했고, 그와 함께 취약점 발견 기술을 가진 보안 전문가와 해커의 수도 불어났으며, 이러한 취약점들을 바탕으로 한 시장이 형성됐기 때문입니다. 취약점을 하나 찾는 것이 옛날 노다지 찾는 것에 비견될 정도입니다. 골드러시가 여기 저기서 벌어졌던 것과 같은 것이죠.”
취약점이 하나도 없는 애플리케이션이 존재하지 않는 것과 발맞추어, 웹 공격 자체가 보다 표적화되고 있다는 것도 눈에 띄는 현상이다. 웹 애플리케이션에 대한 공격도 고급화되고 있으며 증가하고 있다. 트러스트웨이브에 의하면 “요즘의 사이버 범죄자들은 훨씬 더 치밀하게 준비하고, 조심스럽게 툴들을 선택한다”고 한다. 가장 선호하는 취약점은 XSS인 것으로 나타났으며(40%), 그 다음은 SQL 인젝션(24%), 경로 조작(7%), 로컬 파일 인클루전(4%), 디도스(3%)인 것으로 나타났다.
멀웨어의 측면에서 보자면 난독화 기능 등 방어 장치 우회 기술을 탑재한 것이 30%나 되었다. 하지만 가장 많은 앱들에서 공통적으로 발견된 건(90%) 피해자 시스템에 오래 남아있을 수 있도록 해주는 ‘지속성’ 관련 기술이었다. 이는 표적화 공격이 늘어나고 있는 것과도 맞물린 현상으로 보인다.
침해의 전략 혹은 방법이라는 측면에서는 소셜 엔지니어링(피싱 등)이 55%로 1위를 기록했다. 2위는 ‘악성 내부자’로 13%가 나왔고, 원격 접근은 9%로 3위가 됐다. 트러스트웨이브는 “해커들을 불러들이는 데 있어서 인적 요소가 가장 크게 작용하고 있다는 뜻”이라고 정리한다. 보안 팀이 사람을 교육 및 관리해야 한다고 트러스트웨이브는 덧붙이기도 했다.
좋은 소식도 있었다. 해커들의 침투와 방어자들의 탐지 사이의 시간이 이전보다 줄어들었다. 2016년에는 16일이었는데 2017년에는 0일로 나타났다. 즉 업체들이 대부분의 유출 사고를 발생 당일에 알아챘다는 것이다.
가장 많은 유출 사고를 겪은 것은 북미의 도소매 시장이었다. 국가로 보자면 미국, 캐나다, 멕시코가 전체 유출 사고의 43%를 차지했다. 아태 지역은 30%, 유럽과 중동, 아프리카는 23%였다. 라틴아메리카는 4%로 매우 미비한 수준이었다. 산업별로는 도소매 산업이 1위(16.7%), 금융과 보험이 2위(13.1%), 환대 산업이 3위(11.9%)였다.
트러스트웨이브의 CMO인 스티브 켈리(Steve Kelley)는 “이 모든 수치들을 한 번에 정리해서 말하면 ‘공격 수법이 보다 정교해지고 조직적으로 변하고 있다’는 뜻”이라고 요약한다. “또한 그렇게 될 수 있는 건 사이버 범죄라는 산업이 윤택하고 돈 벌이가 되기 때문입니다. 돈이 몰리는 곳은 반드시 발전하기 마련입니다. 사이버 범죄자들을 쫓기 위해서는 그들의 기술력만이 아니라 그 배후에 있는 변화의 엔진들부터 살펴야 합니다.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
.jpg)
.jpg)
.jpg)
.jpg)
