시큐레터 "APT 보안, 악성'문서'도 잡아내야"

"최근 이메일에 첨부된 실행파일은 열람하려는 사람도 거의 없고, 시스템에서 기본적으로 차단하는 경우가 많다. 그런데 '제안서'나 '관리비 영수증' 등의 이름으로 첨부된 비(非)실행파일들은 보안 교육을 받은 직원이더라도 열람하지 않기가 쉽지 않다. 실행파일 형태가 아닌, 메일을 통해 문서나 링크 파일 형태로 들어오는 악성코드들은 기존 보안 솔루션을 우회하는 기술들을 사용하고 있고 해커들이 이런 기술들을 만들기도 어렵지도 않은 실정이다."

악성메일로 대표되는 지능형지속위협(APT) 공격의 최근 동향에 대해, 보안 스타트업인 시큐레터의 임차성 대표는 24일 기자간담회를 열고 이같이 말하며 비실행파일의 악성 여부를 판별하는 APT 보안 솔루션을 채택해야 한다고 주장했다.

임차성 대표에 따르면 시중의 APT 보안 솔루션들은 주로 이메일에 첨부된 실행파일(exe)의 악성 여부를 진단한다. 가상 환경에서 파일을 연 뒤 비정상 행위 여부를 살피는 식이다.

그러나 이런 솔루션들은 비실행파일 기반 APT 공격 및 악성코드가 APT 보안 솔루션에 탐지되지 않기 위해 사용하는 우회 기법들에 속수무책이다. 가상환경에서 파일이 열릴 경우 동작하지 않거나, 보안 솔루션의 모니터링에 소요되는 수 분 정도가 지나서 악성행위를 수행하거나, 문서 파일이라면 몇 페이지 가량이 넘어간 뒤에 행위를 수행하는 등 다양한 기법들이 실제 공격에 쓰이고 있다.

비실행파일 기반 APT 공격이 보안의 화두가 됐지만 이를 적절히 막아낼 만한 APT 보안 솔루션이 부재하다는 것이다.

시큐레터는 기계어 수준에서 보안 취약점 및 악성 행위를 탐지하는 리버스 엔지니어링으로 이런 문제를 해결했다. 임 대표는 "악성 행위가 일어난 시점이 아닌, CPU 단에서 비정상 여부를 진단할 수 있는 것이 차이점"이라며 "가령 CPU 레지스터에 이상한 값이 입력됐거나, 메모리가 정상적인 상태와 달리 과도하게 사용될 경우 악성 행위가 나타나지 않은 상태여도 그에 대한 전조로 판단할 수 있다"고 설명했다.

시큐레터는 APT 보안 솔루션 제품군으로 ‘시큐레터 이메일 시큐리티(SLE)’, ‘시큐레터 파일 시큐리티(SLF)’, 클라우드 기반 구독 서비스 ‘시큐레터 클라우드 이메일 시큐리티(SLCS)’를 보유하고 있다. 이메일 속 첨부파일을 검증하는 SLE와 SLCS 외 SLF는 망연계 환경에서 전송되는 파일의 악성 여부를 진단한다. 임차성 대표는 "행위 기반 진단을 제공하는 기존 보안 솔루션이 5분 정도가 소요되는 데 반해, 자사 솔루션은 굿소프트웨어(GS)인증 기준 45초가 소요되는 것으로 나왔다"며 "기계어 기반의 탐지를 지원하다 보니 얻는 장점"이라고 언급했다.

임 대표는 올해 하반기에는 국내 시장 공략에 속도를 낼 것이라고 밝히면서 크게 세 가지 목표를 언급했다. 우선 기존 APT 보안 솔루션을 사용 중인 공공, 금융기관 및 기업의 솔루션 교체를 이끌어낼 계획이라고 밝혔다. 최근 전자금융감독규정시행세칙이 개정되면서 지능형 해킹 대책을 적용해야 한다는 의무 사항이 추가됐다. 이에 따라 금융권의 APT 보안 솔루션 수요가 늘고 있다. 원격근무 확대로 인한 공공 시장에서의 수요도 확대되고 있다는 분석이다. 또 APT 보안 솔루션 등장 초기에 솔루션을 도입한 기업들의 '윈백' 수요도 공략할 방침이다.

클라우드 서비스를 중심으로 중소기업(SMB) 시장에서의 입지도 다질 계획이다. 보안 솔루션을 구매하려 해도 금전적 여유가 없는 SMB 시장에 합리적인 선택지를 제공하면서 자연히 클라우드 서비스 기반 매출 비중도 높여나가겠다는 취지다.