이번 DDoS 공격이 준 교훈

기업 스스로 앞으로 발생할 새로운 보안 위협에 대해 위기대처 능력을 키우기 위해 기업 구성원들이 해야 할 일에 대해서 알아본다. 
- ASEC (안철수연구소 시큐리티대응센터)

본 문서에 포함된 보안위협 정보는 안철수연구소 시큐리티대응센터(이하 ASEC )에서 이번 DDoS 공격에 대해 분석 및 대응 결과를 토대로 작성한 내용을 근거로 한 자료임을 미리 밝혀둔다.

7.7인터넷대란

이번 7.7 DDoS 인터넷대란은 2003년 1.25 대란 이후 보안의 중요성을 다시금 인식시켜준 또 하나의 사례가 되었다. 사실 DDoS 공격은 새로운 공격 방식이 아니며, 일반 기업을 대상으로는 흔하게 모니터링 할 수 있는 보안위협 중 하나이다.

이번 7.7인터넷대란의 주요 특징을 정리해보면 다음과 같다.
1) 총 3차에 걸친 국내 웹사이트를 대상으로 한 DDoS 공격 시도
- 제1차: 한미 주요 정부기관, 인터넷포털, 금융권 대상 26개 사이트 (7/7 18:00 ~ 7/8 18:00)
- 제2차: 국내 주요 + 보안업체(안랩 포함) 대상 14개 사이트(7/8 18:00 ~ 7/9 18:00)
- 제3차: 국내 주요 정부기관, 인터넷포털, 금융권 대상 7개 사이트 (7/9 18:00 ~ 7/10 18:00)
- 자기파괴: 소프트웨어적 하드웨어 파괴 및 중요 파일 손상기능 발견됨 (7/10 00:00 ~)
- 8만 여대 PC 감염 (출처: KISA) 및 서비스 중단/지연사태 초래
 

[그림1] 시간대별 DDoS 공격대상 변경 흐름

2) 악성코드 간의 협업을 통해 효율적인 공격을 도모하고 악성코드 분석을 어렵게 했다

최근 보안 위협은 하나의 악성코드에 모든 공격코드를 탑재하지 않는 것이 특징이다. 이번 DDoS 공격의 어미와도 같은 역할을 하고 있는 msiexec1.exe (Win-Trojan/Downloader.374651), 그로부터 파생되는 많은 악성코드들의 유기적인 연결고리를 이해하지 않고서는 악성코드에 대한 효과적인 분석 및 대응이 점차 어려워지고 있다.

 
[그림2] 안철수연구소 V3 제품군에서 진단하고 있는 DDoS 악성코드들의 연관성 분석도

3) 하나의 PC에서 다수의 공격사이트를 대상으로 다양한 DDoS 공격방식이 활용되었다

과거 다수 좀비PC들이 하나의 특정 웹사이트를 공격하는 방식이 일반적이었으나, 이번 DDoS 공격은 하나의 PC에서도 수십 개의 웹 사이트를 공격하는 공격 방식이 이용되었다. 또한, HTTP, UDP, ICMP Flooding 및 ICMP Smurfing 공격 방식 등 다양한 DDoS 공격방식을 적용하여 네트워크 보안솔루션의 방어를 어렵게 만들었다는 점이 그 특징이라 할 수 있다.

[그림3] 7.7인터넷대란 DDoS 공격 트래픽 유형

이 밖에도 전통적인 DDoS 공격이 별도 C&C 채널을 이용하여 공격지시를 내렸던 것과는 달리, 특정 공격제어파일을 업데이트관리하며, 공격을 스케쥴링하고 유지했다는 점이 특이할 만 하겠다. 또한, 최종적으로는 DDoS 공격에 활용한 좀비PC들을 소프트웨어적 하드웨어 손상 기법을 통해 좀비PC를 파괴하여 추후 포렌식 관점에서의 공격 분석을 어렵게 하도록 시도되었다는 점에서 매우 치밀하게 준비된 공격임을 짐작할 수 있는 대목이다.

기업내 PC의 감염 여부 확인 방법

현재까지 나온 보안솔루션 중에, 가장 신속한 대응 수준을 유지하고 있는 것이 안철수연구소이므로, 가장 최신의 V3로 점검하여 좀비PC로 활동여부를 점검하는 방안을 제안할 수 있다. 좀비PC로 활동하고 있다면, 일반적으로 상당량의 네트워크 트래픽을 발생하게 되어, PC가 느려지거나 인터넷 연결이 원활하게 이루어지지 않는 증상을 보이게 되므로, 예전과 달리 PC 사용에 어려움이 많다면 즉시 감염 여부를 의심하고 치료조치를 수행할 필요가 있다. 개인적인 조치가 어려울 경우, 우선 네트워크 선 분리 후 주변의 도움을 요청하는 방법도 있다.
또한, 좀비PC인 경우에도, 공격 비활성화 상태에서는 증상이 나타나지 않아 확인이 어렵게 때문에, 이글을 보는 즉시, 좀비PC를 치료할 수 있는 치료제(백신)를 최신으로 업데이트하여 치료해보는 것이 좋다.

[표1] 안철수연구소 V3 제품군에서 진단하고 있는 DDoS 악성코드들

DDoS 공격, 우리에게 주는 교훈은?

기업 스스로 새로운 보안 위협에 대해 충분한 위기대처 능력을 갖추기 위해 필요한 각 구성원(경영인, 보안실무자, 임직원)의 역할에 대해 함께 생각해 보는 시간을 갖도록 하자.

[그림4] 위기관리시스템. IT자산의 위협요소를 정확히 이해하고 적절한 대응전략을 수립하는 것이 중요하다. 기업 내 보안수준을 유지하는 데에는 기업 내 모든 임직원의 역할이 가장 중요하다.

경영인의 역할

1) 전문보안인력을 강화하자.
필자는 고객사의 보안사고 발생시, 신속한 대응을 위해 고객사를 직접 방문하기도 한다. 대게 보안팀 총 구성원은 10명 미만으로 고객사가 보유하고 있는 IT자산의 규모에 비해 그리 여유롭지 않은 편이며, 소수정예 보안팀원들의 열정과 노고에도 불구하고 대규모 IT환경에서 발생하는 침해사고의 불길은 쉽게 잡히지 않아 안타까운 경험을 많이 하게 된다. 단순히 전문보안 인력의 수만 늘리는 것이 능사는 아닐 것이다. 보호해야 할 IT자산에 맞는 적절한 규모의 전문보안 인력과 함께, 그들이 전문보안 인력으로써 충분한 전문기술을 배양할 수 있도록 하는 교육 프로그램 지원 등이 함께 동반되어야 할 것이다.

2) 보안인프라 투자를 확대하자
상당수의 고객은 F/W, IPS, VPN, 백신 등 기업 네트워크 보호를 위해 필요한 전통적인 보안솔루션을 오래 전부터 운영해오고 있을 것이다. 우리가 운영하고 있는 보안솔루션들이 급변하는 IT 환경 속에서 복잡해지고 고도화된 다양한 보안위협들을 지금 현재에도 적절히 대응할 수 있는 지 한번 생각해볼 필요가 있다. 상황에 따라서는 추가적인 보안솔루션의 투자, 트렌드에 맞는 보안위협 대응을 위해 가장 현실에 맞는 보안솔루션으로의 교체도 지속적으로 검토할 필요가 있다.

3) 보안 협력업체와의 긴밀한 협조체계를 구축하자
이제 보안은 어느 특정 집단에 국한 된 문제가 더 이상 아니다. 우리는 이번 7.7인터넷대란을 통해, 혹은 다른 보안사고들의 경험을 통해 IT환경에 포함된 모든 구성원들이 긴밀하게 움직일 때만이 신속하고 효과적인 위기대처가 가능하다는 것을 다시금 깨닫게 되었다. 관계기관 및 보안 협력업체와의 긴밀한 협조 체계를 통해 기업 내에서 발생하는 침해사고의 확산을 조기에 차단하고, 새로운 위협에 대한 사전예방 활동을 강화시켜 나갈 수 있도록 훈련되는 것이 필요하다.

[그림5] 사이버보안 위기대응 체계를 위한 보안인프라

보안실무자의 역할

1) 보안정보 수집 채널을 확보하자
하루에도 수많은 새로운 보안위협이 발생하고, 때로는 기업 내 침해사고로 연결되어 큰 피해를 주기도 한다. 정보는 크게 실시간 정보 모니터링과 정기적인 동향 분석으로 나누어 볼 수 있다. 안철수연구소 ASEC에서는 실시간 보안위협 정보에 대해 보안실무자의 니즈를 반영하여 ‘AhnLab Threat Research’ 보안블로그를 운영 중에 있고, AhnLab Proactive Threat Report를 통해 침해사고 예방 활동을 지원하고 있으며, 오래 전부터 정기적인 동향 정보를 담고 있는 ASEC Report 제공을 통해 보안실무자의 보안정보 수집에 도움을 주고 있다. 이 밖에도 KISA, NCSC에서 제공하는 보안정보 및 보안포털 보안뉴스 웹사이트를 꾸준히 방문하여 보안위협 흐름을 놓치지 않는 것이 중요하다.
 ASEC 블로그 (Threat Research) : http://blog.ahnlab.com/asec
 ASEC Report : http://kr.ahnlab.com/b2b/securityinfo/html/renew_asec_report/200905.jsp?site=b2b

2) 회사의 보안위협에 대해 정확하게 이해하자
기업보안담당자는 회사의 중요 정보 자산을 노리는 보안위협에 대해 올바른 이해가 필요하다. 그래야만 위협 별 대응전략을 도출할 수 있고, 그에 맞는 적절한 보안솔루션을 도입을 통해 위기관리 능력을 유지할 수 있는 것이다. 보안위협에 대한 분석 방법으로는 보안위협 이벤트 모니터링을 강화할 것을 권고한다. 다량의 이벤트들을 분석하고, 이벤트들 간의 연관관계 분석을 통해 위협 침투경로, 전파방법, 확산도, 침해 영향 등을 파악하는 일은 결코 쉬운 일은 아닐 것이다. 때로는 침입탐지시스템(IDS)나 통합보안관제(ESM)의 수많은 이벤트들에 스스로 백기 투항하지 않고 인내와 끈기를 갖고 보안위협을 정확히 이해하는 것이 위기대처 능력을 갖추는 유일한 방법이다.

3) 위기대처 능력을 강화시켜 나가자
기업보안담당자는 항시 모의훈련 및 다양한 실무 경험 노하우를 바탕으로, 오늘의 부족함을 개선해나가고 임직원 누구나 손쉽게 대처할 수 있도록 대응매뉴얼을 작성/배포함으로써 앞으로 다가 올 새로운 위협에는 더 나은 위기대처 능력을 보여줄 수 있어야 한다.

4) 임직원 보안교육에 앞장서자
보안실무자는 슈퍼맨이 아니다. 예전처럼 실무자 몇 명이 기업의 모든 IT인프라를 책임질 수는 없는 노릇이다. 따라서, 모든 임직원이 기업의 보안수준을 향상시키는 데 일조할 수 있도록 참여를 독려하고, 보안교육 등 다양한 활동을 통해 임직원이 충분한 보안 지식을 숙지할 수 있도록 더 노력해야 한다. 필자도 오래 전부터 인터넷 지면이나, 외부 교육 지원에 적극적으로 참여하여 IT사용자 개개인과 소통하는 시간을 점차 늘려나가고 있다. 임직원 스스로 본인의 PC를 악성코드나 외부 공격으로부터 보호해낼 수 있다면, 그 자체만으로도 기업의 IT보안 수준은 충분히 향상될 수 있고, 보안담당자들도 당면과제에 매달려 하루를 소진하기 보다는 조금 더 여유롭게 회사 보안인프라의 미래 구상을 위해 행복한 고민을 할 수 있게 될 것이다.

임직원의 역할

1) 회사의 보안지침을 충실히 따르자
한 기업의 보안지침은 회사의 순항을 지원하는 나침반과도 같다. 회사의 경쟁력을 지켜주는 에너지와도 같은 존재이다. 모든 임직원이 보안지침을 잘 준수하여 회사의 기초체력을 튼튼히 유지시켜 줄 때, 침해사고로 인한 에너지 분산을 미연에 방지할 수 있게 된다.

2) 보안을 생활화하자
회사의 보안과 나를 따로 떨어트려 생각해서는 안 된다. 나 하나로 인해 기업 네트워크가 마비되고, 더 나아가서는 대국가 차원의 인터넷 마비를 초래할 수 있음을 잊지 말아야 한다. 사실 개인이 감염된 자기PC를 스스로 치료하는 것이 쉬운 일은 아니다. 때문에, 개인은 PC감염 후 사후대응 보다는 사전예방 활동을 강화하여 PC가 감염되지 않도록 보안수준을 유지해주는 것이 가장 중요하다. 가장 기본적인 보안 습관으로는 운영체제의 보안업데이트와 PC보호를 위해 설치된 모든 보안프로그램을 항상 최신으로 유지하고 실시간 보안위협 차단 기능을 동작시키며, 회사에서 공인한 정품프로그램만을 사용하여 불법소프트웨어에 실려서 오는 악성코드로부터의 감염을 막아야 한다. 또한 신뢰할 수 없는 이메일은 열어보지 말고, 메신저 대화 내용에 포함된 의심스러운 웹사이트 방문은 송신자에게 확인 후 방문하는 등이 보다 많은 주의가 필요하다.

안철수연구소와 함께 안전한 세상 만들기

이번 7.7인터넷대란으로 인해 보안 경각심이 높아지는 것은 바람직한 일이다. 앞서 언급한 데로,개인도 보안의 주체가 되어 함께 행동할 때 만이 기업의, 더 나아가서는 국가의 안전한 IT문화를 보장할 수 있다. 자신의 부주의로 인해 PC 악성코드에 감염돼 회사는 물론이고, 자국의 주요 기관이나 또는 다른 국가의 주요 기관을 공격하는 사이버전쟁에 무기로 사용될 수 있다는 것을 알아야 한다. 막연한 공포나 의심은 경계하되, 기업의 보안지침을 습관화하여 잘 지키는 데에서부터 모든 보안은 시작된다.

안철수연구소에서는 기업사용자를 위한 V3 Internet Security, V3 MSS(Managed Security Service, 긴급을 요하는 경우 제공되는 다양한 무료 전용백신을 통해 사전 예방 및 치료 활동에 적극적으로 동참하길 권고한다. 백신만으로는 모든 악성코드에 대해 효과적으로 대응하기에는 한계가 있는 것도 사실이다. 따라서, 어플라이언스 제품군인 AhnLab TrusGuard, 등을 통해 기업 네트워크의 보호에 앞장서고 있다.@

안철수연구소 ASEC(시큐리티대응센터, AhnLab Security Emergency response Center)은 최고의 악성코드 분석가 및 보안 전문가로 구성된 글로벌 대응조직으로 빠르고 정확한 정보와 엔진을 제공하고 있다. ASEC에서 제공하는 빠른 보안위협 정보를 ASEC 블로그(http://blog.ahnlab.com/asec)를 통해 확인할 수 있다.