[기고] 정교해지는 사이버공격, '보안 효율성' 따져야 피한다

전세계는 날로 다양해지고 정교해지는 사이버 공격에 노출돼 있다. 그 중에서도 탈취한 데이터를 볼모로 금전을 요구하는 '랜섬웨어' 공격 소식이 특히 끊이지 않는다.

지난달 미국 재무부 발표에 의하면, 올해 상반기 동안 랜섬웨어 관련 활동으로 의심되는 피해 보고액은 5억9천만 달러(약 7천36억원)로, 작년 총 보고 액수보다 무려 42% 더 높은 수준이었다.

내년에도 많은 공격 그룹이 랜섬웨어 공격에 집중할 것으로 예상되는 가운데, 의료와 금융 등과 같이 정상화가 즉각 이뤄져야 하는 업계는 금전을 지불할 가능성이 높다는 점에서 이들을 겨냥한 공격은 더욱 늘어날 전망이다.

맨디언트는 ‘2022년 보안 시장 전망’ 보고서에서 내년에는 과거와 다르게 아태 지역의 데이터 침해 및 유출이 더 빈번하게 발생할 것으로 예측했다.

과거 공격자들은 침투 사실을 숨기고 장기간 피해 조직의 네트워크에 머무르려 했지만, 이제는 다양한 공격 기술을 통해 탈취 사실을 폭로하고 중요 데이터 유출로 피해 조직을 위협하며 금전을 요구하는 형태로 변형됐다. 한국을 포함한 아태 지역의 여러 조직은 이런 피해 사실을 공개하는 위협에 대응한 경험이 부족하거나 이를 심각하게 받아들이지 않아, 타 지역 조직보다 공격자의 표적이 될 가능성이 더 높아지는 것으로 보인다.

공격 그룹들은 올해 랜섬웨어로 높은 수익을 올렸고, 따라서 랜섬웨어는 내년에도 그 빈도가 상승세를 이어갈 것으로 보인다. 공격 범위 또한 미국, 유럽을 넘어 아태지역까지 확장될 것으로 예상되며, 랜섬웨어 공격자는 계속해서 금전적 이득을 얻기 위한 새로운 공격 방법을 발굴하고 시도하고 있다. 우리 사회의 보안 인식 역시 향상되고 있고 다양한 기관과 조직 역시 보안에 대한 투자를 강화하고 있어서 긍정적인 부분도 있지만, 이를 통해 위협에 효과적으로 대응할 수 있다고 생각하기엔 여전히 의문을 가질 수밖에 없다.

보안 효율성 평가(Security Validation)가 해결책이 될 수 있다. 효과적인 보안 효율성 평가는 특정 조직, 특정 산업군을 표적으로 하는 공격자들에 대한 인텔리전스 기반 보안 위협 검증으로 조직이 운영 중인 보안의 기술적 요소들과 최적화된 방어의 방안에 대한 인사이트를 제공한다.

최근에는 랜섬웨어 제휴 프로그램, 익스플로잇 벤더, 공격 도구, 맬웨어 거래소 와 프리랜서 공격자 등을 통한 사이버위협 활동의 아웃소싱이 늘어나며 공격 빈도와 도구, 공격 목적을 파악하는 데 있어 복잡성을 가중시키고 있다. 보안 담당자는 조직이 직면한 공격에 대한 TTP(공격 전술 및 기술, 공격 단계)를 파악하고 식별 및 추적하는 과정에 혼란을 겪을 수밖에 없다. 보안 효율성 평가는 이런 위협 활동에 대비한 최신 글로벌 위협 인텔리전스와 공격자에 대한 가시성을 제공한다.

보안 효율성 평가는 클라우드와 클라우드 호스팅 업체에 의존하는 조직에게도 중요하다. 클라우드 및 클라우드 호스팅 업체를 활용하는 조직이 계속 늘어나고 있지만 각 조직의 보안 운영 범위는 서드파티에까지 미치지 못하는 경우가 많다. 이는 다양한 오류와 취약점 관리 업무와 공격자의 침투에 따른 리스크가 역시 증가할 수밖에 없음을 의미한다.

클라우드나 서드파티가 침투당한 경우, 조직 차원에서 전체 공격 라이프사이클에 접근하거나 내용을 파악할 수 없더라도 문제를 진단, 해결, 복구할 준비가 돼 있어야 한다. 보안 효율성 평가는 검증 대상의 보안 환경을 적정 기준치와 대조해 지속적으로 비교 평가하므로, 어떤 상황에서도 보안 제어가 원활히 이뤄지도록 사전에 빈틈을 찾아 대응함으로써 클라우드 사용 조직의 사이버 보안 역량을 극대화할 수 있다.

최근 정보작전 분야에서 각광받고 있는, 좀 더 정교한 작업을 거치는 딥페이크(Deepfake) 기법의 경우는 어떨까? 각종 보안 커뮤니티가 정보 작전에서 딥페이크의 효과에 대해 활발히 논의하고 있는데, 맨디언트 분석에 따르면 최근 스파이 조직뿐만 아니라 금전적 목적을 가진 공격자들 역시 딥페이크에 큰 관심을 보이고 있다. 이런 딥페이크 기술은 앞으로 더욱 확대될 것으로 예상된다.

공격자들은 딥페이크로 조작된 미디어를 사용해 사람의 심리와 관련된 보안 취약점을 노리는 사회공학적 공격(social engineering)을 펼치거나, 특정 타깃에 맞춤화된 컨텐츠를 제작하거나, 다중 인증 보안을 뚫는 등의 공격을 실시할 수 있다. 이를 차단하기 위해서는 자동화 기반의 프로세스를 제공하는 보안 효율성 평가로 IT 환경 변화를 모니터링하고 해결하며 보안 환경을 강화하는 것이 필수로 거론되고 있다.