[세미나 지상중계] 빠르게 변화하는 위협 양상, 보안 관리자는 괴롭다?

안철수연구소, 최신 보안 위협에 대한 기업보안 관리의 해법 제시
고객사 관계자 100여명 참석해 안랩 보안관제 서비스에 뜨거운 관심 보여

 

안철수연구소는 지난 10월 6일 그랜드인터콘티넨탈호텔 카네이션 룸에서 보안관제 고객초청 신규서비스 설명회를 열었다. 이날 행사는 국내 최초로 정보보안서비스를 선보인 선두 기업으로서 안철수연구소가 노하우와 20년간 축적된 기술을 고객들과 공유하는 시간으로 진행됐다. 급변하는 IT 패러다임과 그에 따른 위협 양상을 하나라도 놓치지 않으려는 참관객들이 보여준 높은 집중도로 열기가 뜨거웠던 현장을 지금부터 들여다본다.

  

 

이례적으로 고객들의 관심과 요청으로 개최된 이번 안철수연구소 보안관제 고객초청 신규서비스 설명회는 기조 연설을 포함해 총 5개의 발표 세션과 실제 고객 사례 발표로 진행됐다. 보안관제 고객사 관계자 약 100여명이 참석한 가운데 안철수연구소 김홍선 대표가 기조연설을 통해 이날 설명회의 시작을 알렸다.

급변하는 IT 패러다임과 보안 이슈
김홍선 대표는 아이폰과 아이패드 등 애플사가 주도하고 있는 IT 기기 트렌드를 비롯해 다양한 소셜 네트워크, 클라우드 컴퓨팅 등 최근 IT 패러다임의 변화와 이에 따른 보안 이슈를 언급했다. 특히 최근 Zeus로 대표되는 해킹의 브랜드화 및 상품화를 설명하고 “악성코드 트렌드의 변화에 따른 입체적인 대책마련이 중요하다”고 강조했다. 또한 김홍선 대표는 “공격의 양상이 네트워크를 비롯해 엔드포인트, 웹, 트랜잭션에 이르기까지 입체적으로 이루어지고 있다”며, 이에 대한 대책으로 엔드포인트 및 네트워크 기반 제품의 악성코드 제거는 물론 보안 관제, 컨설팅 등 보안 서비스를 통한 안철수연구소의 입체적인 대응 프로세스를 제시했다.

두 번째 발표자로 나선 보안관제팀 윤삼수 팀장은 우선 제로데이 취약점과 타겟 공격부터 최근 이란 원전을 감염시킨 '스턱스넷(Stuxnet)'까지 올 한 해의 10가지 주요 보안 이슈들과 위협 전개 양상을 설명했다. 아울러 이러한 위협에 대한 방어가 어려운 이유로 인터넷 개방성 및 표준화, 인터넷 시스템의 복잡성 증가, 악성코드와 해킹 기술의 발달 및 인터넷을 통한 악성코드, 해킹 툴의 유포 등을 들었다. 윤삼수 팀장은 “이러한 위협에 대해 수집, 분석, 대응에 이어 사후 조치까지 종합적인 위협 대응 프로세스가 필요하다”며 “솔루션에서 그치는 것이 아니라 서비스와 보안 인프라 강화에 이르는 입체적인 대응이 필요하게 되었다”고 강조했다.

안랩 보안 관제 서비스의 새 이름, AhnLab Sefinity

사업기획팀의 신호철 팀장은 ‘안랩 보안 관제 현황 및 서비스 로드맵’에 관해 발표하고 AhnLab Sefinity 서비스에 대해 설명했다. 신호철 팀장은 특히 “안철수연구소의 보안관제 서비스의 새 이름인 Sefinity는 Security beyond Infinity, 즉 보안, 그 이상의 보안이라는 보안관제 서비스라는 의미”라고 설명하고 “3P 전략을 통한 안철수연구소만의 차별화된 보안관제 서비스 제공하고 있다”고 말했다. 3P 전략이란 Preventive(사전 예방 활동), Proactive(능동적인 보안 활동), Personalized(개별화된 서비스)를 제공한다는 안철수연구소 보안관제 서비스의 핵심이다.

두 시간여에 걸쳐 전반적인 IT 및 보안 이슈에 관해 살펴본 1부를 마치고 잠시 쉬어가는 시간이 마련됐다. 대부분의 참관객들은 행사장 외부에 마련된 제품 시연 테이블 앞에 모여들어 다양한 제품의 구동 및 기술 구현의 실제 모습을 꼼꼼하게 살펴보거나 곳곳에서 시연자들을 에워싸고 즉석에서 문답 시간을 갖는 등 뜨거운 관심을 보였다.

보안관리자의 골칫거리 해결, AhnLab Sefinity WebShell 탐지 서비스

잠시 후 이어진 설명회 2부는 사업기획팀 이상구 차장의 ‘웹쉘(WebShell)’로 대표되는 최근의 웹 위협에 대한 설명과 대응책인 안철수연구소의 ‘사이트케어(SiteCare)’ 소개로 시작됐다. 이상구 차장은 우선 다양한 웹 위협의 심각성의 예를 설명하고 “웹 위협은 단순한 비용의 문제가 아니라 법적, 윤리적 문제”라며 “기업의 비즈니스는 물론, 기업의 생존과도 연결된다”고 말했다. 또한 “기존 보안 대책으로는 반복적인 문제가 발생하는 것을 막을 수 없다”며 “기존의 패킷 위주의 검사가 아니라 실제 소스 위주의 검사, 그리고 행위 기반의 탐지가 필요하다”고 설명했다.

 

특히 실제 보안 관리자들의 실제 고민을 예로 들고, 보안 관리자의 측면에서 탐지 및 제어가 어려운 웹쉘에 대해 소개하자 참관객들의 집중도가 더욱 높아졌다. 이상구 차장은 “올해 초까지 관제 사고와 관련해 거의 100%가 웹쉘에 의한 사고”라며 “그러나 웹쉘은 기존 보안 솔루션으로는 탐지가 불가능하고, 웹 방화벽도 웹쉘 공격을 탐지하지 못 하며 자동화 탐지 기능인 일반 백신으로도 웹쉘의 스크립트는 탐지 할 수 없다”고 설명했다. 또한 “소스코드를 직접 검사할 필요가 있어 웹쉘은 일반인(비 보안전문가)들이 정탐 또는 오탐을 판단하기가 어렵기 때문에 보안 전문가 수준의 지식이 필수”라며 “특히 원-스톱으로 통합 관리되지 않으면 효과적으로 웹쉘을 차단하기가 어렵다”고 말했다.

이러한 웹쉘 대응책으로 ‘사이트케어(SiteCare)’를 소개한 이상구 차장은 “사이트케어는 URL 크롤링을 통해 웹 사이트에 악성코드가 있는지 확인하여 조치 방안까지 상세하게 보고할 뿐만 아니라 콘텐츠에 묻어있는 스크립트를 분석하고 실제 악성코드를 시뮬레이션 해보기 때문에 오탐이 없다”고 설명했다. 또한 “사이트케어는 포괄적이고 전반적인 콘텐츠에 대한 탐지로 전반적인 보안 서비스를 제공하기 때문에 보안관제 담당자들뿐만 아니라 웹 서버 관리자나 보안 관리자들에게도 반응이 좋다”고 말했다. 이상구 차장의 설명에 따르면 사이트케어에는 안철수연구소가 세계 최초로 개발한 Anti-MalSite Engine이 탑재되어있어 난독화된 악성요소를 분석할 수 있으며, 외부 서버로 링크되어 있는 스크립트까지 진단이 가능하다. 또한 날로 복잡해져 가고 있는 HTML구조에서도 어느 위치에 악성 요소가 존재하는지 정확히 분석한다. 따라서 보안관제 요원뿐만 아니라 웹 서버 관리자나 보안 관리자들도 쉽게 웹의 악성 요소를 제거할 수 있다는 것이다.
이상구 차장은 “안철수연구소는 기본도 잘하고 변화하는 위협에 대응하여 신규 서비스 발굴을 위한 노력도 게을리하지 않고 있다”며 “관리자들의 고민 해결을 위해 노력하고 있다”는 말로 발표를 마무리했다.

AhnLab Sefinity SiteCare 서비스로 보안관제의 고도화

마지막 발표로 CERT팀 곽희선 차장의 ‘효과적인 Sefinity 활용 방안 및 사례’가 이어졌다. 곽희선 차장은 “Sefinity 포털은 ESM(Enterprise Security Management)과 RM(Risk Management)의 요소들을 관제에 편리한 방향으로 모은 것”이라고 설명하고 “다양한 방법으로 분석할 수 있도록 시스템이 되어있다”고 말했다. 또한 “Sefinity는 관제를 고도화하는 작업을 진행한다”며 “위협을 해킹 단계별로 세분화하여 정보 수집의 목적인지, 공격의 목적인지, 혹은 공격 성공 후의 반응인지를 분류한다”고 설명했다. 이어 관리자가 Sefinity의 보고서를 받아보고 무엇을 어떻게 해야 하는가에 관해 “안랩 기준의 자체 분석에 따른 위험도 분석하는데 low의 경우에는 참고만 하시면 되겠지만 high의 경우에는 즉각적인 대응 필요하다”며 “조치한 내용, 대응 방안에 대해 고객들께서 유의해서 보시고 내부적으로 취해야 할 행동을 해야 할 경우도 있다”고 말했다.

한편 활용 사례와 관련해 “관제 요원에 따라 전달되는 정보가 차이가 난다는 고객 의견이 있었다”며 “점검, 이벤트 로그, 점검 방법 가이드 등 표준적으로 대응할 수 있는 상세한 가이드를 마련했다”고 밝혔다. 또한 실제 IDS 이벤트를 보고 있는 고객사의 경우 탐지된 이벤트 대비 티켓발생 비율이나 보고된 건이 적다고 말하는 일부 고객이 있었다는 점도 언급한 뒤, 그러나 “절대 이벤트를 놓치고 있지 않다”고 강조했다. 곽희선 차장은 “실제 위험성이 있는 공격에 대해서 모니터링 중이며, 해당 공격이벤트를 놓치지 않기 위해서 시나리오 및 다이내믹 필터와 같은 장치들을 통해서 모니터링을 진행하고 있다”고 설명한 뒤, “무엇보다 앞서 언급한 것처럼 보고서에 기록된 조치한 내용, 대응 방안에 대해서는 꼭 살펴보고 필요한 조치가 취해질 수 있도록 해주셨으면 좋겠다”는 당부도 있지 않았다.

보안관제를 통한 입체적인 보안
참관객들의 높은 관심 속에서 숨가쁘게 진행된 이날 설명회는 시작과 마찬가지로 김홍선 대표가 마무리했다. 김홍선 대표는 이날 행사에서 발표된 전반적인 내용을 정리하고 “다양한 기기들과 애플리케이션 등으로의 접근성 요구가 높아지고 사용성이 증가하고 있는 것이 전 세계적인 트렌드”라며 “정보가 소셜 네트워크(Social network)로 바로 들어오는 체제”라고 말했다. 특히 “지축이 흔들리는 변화”라는 표현으로 급변하는 IT 트렌드의 변화, IT 활용성 측면에서의 변화를 강조했다. 이와 더불어 악성코드의 위협 양상 또한 급변하고 있다고 설명하고, 특히 “지능적인 악성코드는 지능적인 범죄를 가능하게 하고 투자 대비 효과가 크다”며 “이러한 트렌드에 맞춰 입체적인 보안이 필요하다”고 말했다.

또한 최근의 위협은 기존의 솔루션으로는 더 이상 막을 수 없다며 이는 ‘촌각을 다투는 이슈’라고 강조했다. 이와 관련해 “안철수연구소는 악성코드 분석팀이 바로 옆에 있다”며 신속한 대응을 약속하는 한편, “여러분의 서비스가 안전하고 편리하게 운영될 수 있도록 커스터마이징 해드릴 것”이라고 덧붙였다. 이어 김홍선 대표는 “여기 계신 보안 담당자들과 파트너로서 서로의 전문성을 공유(sharing) 하고 싶다”고 말하고 “특히 우리가 보안관제 분야에 굉장히 포커스(focus)를 두고 있다는 것을 알아주셨으면 좋겠다”는 말로 이날 보안관제 고객초청 설명회를 마무리했다.@

 

 

Success Story_고객사례 AhnLab Sefinity SiteCare로 악성코드 급감, 더 이상의 ‘삽질’은 없다      “자릿수가 달라졌을 만큼 악성코드 급격히 감소”   “악성코드가 이렇게 적은데 계속 사용할 필요가 있냐는 웃지 못할 반응도 있어”         안철수연구소 보안관제 고객 초청 신규서비스 설명회에서 참관객의 많은 관심을 끌었던 발표 중 하나는 다음커뮤니케이션 기업정보보호팀 조양현 과장의 AhnLab Sefinity SiteCare 고객사례 발표였다. 같은 보안관리자로서, 또는 같은 사용자의 입장에서 실제 경험담을 들어보는 것은 흔치 않은 기회인데다 보다 실질적인 정보와 판단에 도움을 얻을 수 있기 때문일 것이다. 조양현 과장은 “사이트케어(SiteCare) 도입 전까지 내부적으로 우려와 이슈가 많았다”면서 “이 자리를 빌어 커스터마이징이 잘 되도록 도와준 안랩의 관계자 여러분께 감사를 표한다”는 말로 발표를 시작했다. 조양현 과장은 다음커뮤니케이션이 제공하는 서비스 내의 악성 게시물과 관련해 “갈수록 동적 콘텐츠나 이모티콘 삽입 등이 많아지면서 아름다운(화려한) 게시물의 형태를 하고 있다”며 게시물을 통한 지능적인 악성코드 유포가 급증하고 있다고 밝혔다. 이어 이러한 게시물 내의 악성코드를 차단하기 위한 노력과 관련해 “상상할 수 있는 범위에서 다 적용해봤지만 효과가 없었다”고 사이트케어 서비스 도입 전의 상황을 설명했다. “특히 수동 탐지, 파악으로 엄청난 업무 소모량으로 관리자의 부담은 커지고 다른 업무를 수행할 수도 없을 지경에 이르렀다”며 “농담 삼아 ‘네버엔딩 삽질’이라고 할 정도였으며 자동화 할 방법은 요원하다는 결론에 도달했다”고 말했다. 또한 서비스 특성상 악성코드로 판단하고 게시물을 삭제했는데 게시자가 악성코드가 아니라고 항의하거나 적반하장으로 악성코드인지는 상관없이 자신에게 중요하기 때문에 보관하는 것이라며 항의하는 경우가 있어 특별한 삭제 근거를 마련할 필요가 있었다고 설명했다. 또한 “바로 차단하지 않으면 히트(hit)수가 많은 사이트의 경우 악성코드 전파가 일파만파로 커진다”며 “반드시 실시간성의 보장이 필요하다”고 강조했다. 이어 사이트케어를 도입하게 된 과정을 설명하며 “처음에 지인으로부터 소개 받았을 때는 기존의 악성코드 DB와 차이가 없을 것으로 생각했다”며 “타사와 동일한 수준의 DB라면 데이터 신뢰성이 떨어진다고 생각했다”고 말했다. 또한 사이트케어의 도입을 결정하는 과정에서 각각의 서비스 팀 간의 내부적인 이슈와 법적 규제 강화라는 외부적인 이슈 등으로 결정이 쉽지 않았으며, 특히 악성 게시물을 리디렉트해 보류하는 정책을 마련하는데 만도 꽤 오랜 시간이 걸렸다고 설명했다. 그러나 천만 명 이상의 사이트가드 사용자들을 통해 형성된 DB라는 말을 듣고 도입을 결정했다는 조양현 과장은 “도입 후에는 악성코드 수가 자릿수가 달라졌을 만큼 급격한 감소를 보였다”고 말했다. 또한 “더불어 고객 보호의 효과와 법률에 대한 적극적인 대응을 할 수 있었을 뿐만 아니라 수동 탐지에 따른 소모적인 리소스를 보완하고 많은 부분을 자동화한 계기가 됐다”고 밝혔다. 또한 실제로 사이트케어를 사용하고 있다는 ‘인증샷’ 캡처도 제시하는 센스(?)를 보여준 조양현 과장은 “악성코드 수가 급격히 줄어들자 임원진 사이에서는 악성코드가 이렇게 적은데 서비스를 계속 이용할 필요가 있냐는 웃지 못할 반응까지 나타났다”고 덧붙였다. 한편 조양현 과장은 오해를 피하기 위해 사이트케어의 단점도 언급해야겠다며 “사이트케어가 단순 작업이나 리소스를 극적으로 많이 줄여주는 것은 맞지만 자동화 시스템에 대한 맹목적인 신뢰는 경계해야 한다”고 말했다. 또한 “사이트케어로 악성코드의 위협에서 완전히 벗어나는 것은 아니다”며 웹 위협의 근본적인 특성을 다시 한 번 주지시키는 한편 관리자들의 주의와 노력을 강조했다.