침해는 피할 수 없다…방어 중심 보안의 한계

보안 침해는 피할 수 없습니다. 그런데도 많은 기업들이 여전히 80~90년대 사고방식 그대로에요. 침해는 예방 가능하다고 생각합니다. 그러다보니 침해를 당하면 속수무책 당할 수 밖에 없습니다. 보안 위협 방어에 대한 패러다임은 이제 바뀌어야 해요. 언제든 침해를 당할 수 있다는 전제 아래 보안 정책을 짜야 합니다.

미국 보안 업체 파이어아이가 개최한 2015 파이어아이데이 세미나 현장. 막는데 치중하는 방어 중심의 사이버 보안 체계의 종말을 외치는 파이어아이 아태지역 및 일본 지역 담당 스티브 래드지안 상무의 발언들이 쏟아졌다.

그는 컨퍼런스 참가자들을 상대로 침해를 피할 수 없는데도, 80년대 방식대로 방어에만 초점을 맞추는 보안 업체들이 많다면서 소니, 타깃, 홈디포 해킹 사례를 보고도 방어 중심의 보안을 얘기하는 것은 비현실적이라는 점을 분명히 했다. 아무리 방어를 잘해도 공격자가 침입하는 것을 피할 수 없다면, 침해를 당했을 때 어떻게 해야하는지에도 많은 신경을 써야 한다는 것이 그가 전하고자한 핵심 메시지였다. 막는 것은 보안 대응 체계의 일부일 뿐이라는 것이었다.

보안 솔루션으로 보안 위협을 100% 막을 수 있나요? 이게 가능하기나 합니까? JP모건 사례를 보세요. 주주보고서를 보면 JP모건은 한해 2억5천만달러 이상을 보안 침해 예방에 투입합니다. 그런데도 침해는 불가피하다고 인정하고 있어요. 파이어아이와 커뮤니케이션 하는 기업 97%가 침해를 당합니다. 그런데도 침해를 막는게 최선인가요? 보안 인프라에 투자해도 침해는 막을 수가 없어요. 다시 한번 강조하지만 침해는 불가피합니다.

파이어아이는 몇년전부터 침해는 불가피하다고 강조해왔다. 레드지안 상무는 최근에는 시장 조사 업체 가트너도 방어만 하는 것은 헛된 것이라고 했다면서 침해는 불가피하다는 인식이 확산되고 있다고 거듭 강조했다.

침해는 불가피한 상황에서 파이어아이가 보안 대응 전략으로 강조하는 것은 지능형 위협 대응이다. 레드지안 상무는 자동화된 보안 기술도 필요하지만 그것말고 사람들의 전문 지식과 인텔리전스도 필요하다고 말했다.

보안 침해에 대응하는데 있어 멀웨어(악성코드를 의미)만 신경쓰는 것도 레드지안 상무가 지적한 잘못된 관행 중 하나였다. 멀웨어가 아니라 공격자에 초점을 맞춰야 한다는 것이다. 그는 멀웨어만 신경쓰는 것은 도둑이 벽돌로 창문을 깨고 침입했을 때 도둑이 아니라 벽돌에만 신경쓰는 꼴이라고 직격탄을 날렸다. 벽돌만 치운다고 도둑을 막을 수 있겠느냐는 것이었다.

레드지안 상무는 공격자 입장에서 멀웨어는 도구일 뿐이라며 적을 알고 대비하는게 중요한 만큼, 멀웨어가 아니라 공격자에 초점을 맞춰야 한다고 목소리를 높였다. 그러면서 그가 강조한 것이 바로 위협 인텔리전스다. 방어하는 입장에선 위협 인텔리전스를 갖고 있어야 한다는 것이다.

그는 공격자를 이길 수 있는 보안 솔루션은 없다면서 공격자는 결국 사람이 대응해야 하고, 방어자는 방어가 실패했을 때 분석하고 대응할 수 있는 위협 인텔리전스를 갖춰야 한다고 말했다. 방어만 신경쓰면 침해를 당하고 205일 이후에나 침해를 당했다는 사실을 알게 되는 회사가 되기 십상이라는 얘기였다. 그는 멀웨어는 물론이고 공격자를 차단하는 것이 파이어아이의 역할이라며 이를 위한 서비스를 제공하고 있다고 말했다.