[Special Report 1부] 대규모 좀비 PC 기반의 DDoS 공격, 무엇부터 막을 것인가

Special Report DDoS 공격 및 좀비 PC 대응을 위한 제언_1부

진화하는 DDoS 공격 대응의 새로운 패러다임

지난 2009년의 7•7 DDoS 대란에 이어 올해 발생한 3•4 DDoS 공격 등 DDoS 공격으로 인한 피해가 지속적으로 발생함에 따라 보다 근본적인 차원에서의 DDoS 공격 대응에 대한 자성의 목소리가 높아지고 있다. 특히 DDoS 공격은 단순히 공격 발생과 피해로 단순화 할 수 있는 것이 아니라 전통적인 보안 위협인 악성코드에서 시작된다는 것에 주목하기 시작했다. 즉, DDoS 공격은 실제 공격에 대한 방어는 물론, DDoS 공격을 유발하는 좀비 PC에 대한 사전 예방까지도 이루어 져야만 실질적인 DDoS 대응이 가능하다는 것이 전문가들의 결론이다. 이에 진화하는 악성코드에 대한 지금까지의 대응 방식을 짚어보고 좀비 PC 대응 체계에 관해 살펴보고자 한다.

두 차례의 대규모 DDoS(Distributed Denial of Service, 분산서비스거부) 공격을 경험하면서 국내의 경우 DDoS 공격에 대해 이전과는 달리 매우 민감하게 반응하게 되었다. 또한 DDoS 공격의 피해를 최소화하기 위해 DDoS 대응 체계 구축 등 일련의 노력이 이어지고 있다. 문제는 이러한 태도가 DDoS 공격의 ‘현상’과 ‘피해’의 측면에만 한정되어 있으며, 그 결과 근본적인 문제 해결이나 대응책 마련보다는 사후 피해 처리를 위한 대응 체계 구축에만 치우치고 있다는 점이다.
DDoS 공격은 일반적인 해킹 등과 달리 공격자가 직접 공격을 감행하는 것이 아니라 불특정 다수의 일반 PC를 좀비 PC로 만들고 공격자가 원격에서 이러한 좀비 PC를 제어하여 공격을 감행하는 것이다. 좀더 근본적인 원인을 생각해보면 좀비 PC가 되기 위해서는 일반 PC를 좀비 PC로 감염을 시키는 악성 파일 유포가 있으며, 이를 통해 좀비화된 PC가 이후 DDoS 공격을 비롯한 일련의 보안 사고로 이어지는 것이다. 따라서 DDoS 공격을 원천적으로 예방하기 위해서는 단순히 DDoS 공격 트래픽에 대한 방어에만 관심을 갖는 것이 아니라 DDoS 공격을 사전 예방할 수 있는 좀비 PC 대응까지 확대해서 고려해야만 한다.

대규모 좀비 PC 양산, 악성코드 제작 툴킷이 한몫

최근의 악성코드 양상을 살펴보면 변종 악성코드의 출현 속도가 매우 빨라지고 있다는 점이 가장 큰 특징이라 할 수 있다. 특히 나날이 진화하는 악성코드 자체의 지능화와 더불어 악성코드를 제작할 수 있는 툴킷이 배포됨에 따라 이제는 전문가가 아니더라도 누구나 신종 악성코드를 제작하고 배포할 수 있는 여건이 마련되었다. 따라서 악성코드의 수와 그로 인한 보안 위협은 점점 더 심화되고 있는 현실이다.
일례로 2010년 해외에서 가장 이슈가 되었던 제우스(Zeus)의 경우, 금융 정보를 갈취하는 보안 위협이라는 점은 물론이고 해당 악성코드를 제작할 수 있는 악성코드 제작 툴킷이 버젓이 판매된다는 점에서 충격을 주었다. 특히 제우스 제작자가 판매한 툴킷을 구매한 공격자가 자신의 필요에 따라 맞춤형 악성코드를 제작하면서 해당 악성코드의 변종이 무수히 발생되었다. 문제는 이러한 현상이 제우스에 그치는 것이 아니라는 점이다.

 

2007년 하반기부터 배포된 중국산 DDoS 공격 전문 툴인 넷봇 어태커(NetBot Attacker)와 같은 경우에도 좀비 PC를 유발하는 악성코드를 직접 제작할 수 있는 툴킷을 제공하였다. 이를 이용해 악성코드를 제작한 공격자는 수단과 방법을 가리지 않고 악성코드를 배포한다. 일반 사용자가 해당 악성코드를 다운받아 실행하게 되면 좀비 PC로 감염돼 자료 유출 등 여러 보안 사고는 물론 DDoS 공격까지로 이어지는 것이다. 이처럼 최근에는 전통적인 방식으로 생산되는 악성코드는 물론, 악성코드 제작 툴킷 배포로 양산되는 변종이 과거 그 어느 때 보다 매우 빠르게 증가하고 있어, 이에 대한 적극적인 대응이 필요하다.

위협 대응, 시간의 벽은 여전히 높다

과거에 비해 오늘날 기업들은 신종 악성코드와 파생되어 빠르게 나타나는 변종 악성코드에 대해 대응하기 위해 안티바이러스(Anti-Virus) 제품을 비롯해 다양한 보안 제품들을 이용해 내부 네트워크 및 PC에 대한 보안 수준 향상에 지속적으로 노력을 기울이고 있다. 또한 보안 업체의 신속한 대응을 기반으로 새로운 보안 위협에 대응하기 위한 노력도 게을리하지 않고 있다.
기본적으로 클라이언트 PC에 안티바이러스 제품을 설치하거나 내부 네트워크에 대한 보안 수준 향상을 위하여 방화벽, IPS, 유해 사이트 차단 등의 제품들을 구축해 보안 위협에 대해 대응하는 것 등을 예로 들 수 있다. 또한 이렇게 구축한 보안 수준을 준수하기 위해 보안 수준이 미달된 클라이언트 PC의 네트워크 트래픽을 강제적으로 제한하고 강제적으로 보안 수준을 준수하도록 NAC(Network Access Control)를 추가적으로 도입하기도 한다.
 또한 보안 업체들 역시 기존보다 신속하게 새로운 보안 위협에 대응하기 위하여 최근 클라우드 기반 악성코드 대응 전략을 구축하는 등 끊임없는 노력을 기울이고 있다. 안철수연구소의 경우에도 ACCESS 전략 및 ASD(AhnLab Smart Defense) 기능을 통하여 새로운 보안 위협에 대해 빠르게 대응할 수 있는 인프라를 제공하고 있다.
그러나 이러한 노력에도 불구하고 보안 사고가 지속적으로 발생할 수 밖에 없는 이유는 새로운 보안 위협 정보 적용과 관련한 범위와 시간차가 존재하기 때문이다. 예를 들어, 10,000대의 내부 클라이언트 PC가 존재한다고 가정하자. 문제는 이러한 10,000대의 PC가 동일한 보안 제품 사용은 물론 항시 보안 감시 기능을 활성화하고 새로운 정책을 실시간으로 업데이트하는 등 동일한 수준의 보안 조치를 이행하기는 사실상 어렵다는 점이다. 만약 10,000대의 클라이언트 PC 중 1대라도 보안 수준 불이행으로 인해 악성코드에 감염되어 좀비 PC가 되면 이로 인하여 내부 정보 유출 또는 DDoS 공격 트래픽 발송으로 인한 내부 네트워크 장애 등 전체 업무 환경의 피해를 초래할 수 있다. 
일반적으로 새로운 보안 위협에 대응을 완료하는 단계는 내부 PC의 새로운 보안 위협에 대한 정책의 업데이트를 완료했을 때 비로소 이루어진다. 따라서 만에 하나 보안 수준을 불이행하는 PC가 1대도 없다 하더라도 업데이트 완료까지는 일정한 시간이 필요할 수 밖에 없다. 바로 이러한 시간적 공백을 이용한 공격이 제로데이(Zero-Day) 공격이다.

이처럼 새로운 보안 위협에는 앞서 언급한 제품 도입과 관리의 문제와 함께 신규 보안 위협 대응 완료 시간 소요의 문제가 동시에 존재하기 때문에, 보다 신속한 대응이 가능한 새로운 형태의 보안 체계 구축을 통한 접근이 필요하다.
 

[그림 1] 악성코드 대응의 라이프사이클(Life Cycle)

좀비 PC 사전 대응 솔루션은 무엇인가

빠르게 변화하는 새로운 보안 위협과 관련해 안철수연구소는 우선 클라우드 기반의 전략을 통해 신종 악성코드를 빠르게 수집, 분석한다. 이를 기반으로 엔드포인트(End-Point), 트랜잭션(Transaction), 네트워크(Network)를 비롯해 모바일(Mobile), 그리고 보안 서비스에 이르기까지 종합적으로 보안 위협에 대응하는 체계를 구축해 유기적으로 활용하고 있다.
이와 함께 악성코드 분석 기술, DDoS 공격 대응 특허 기술, 그리고 현재 2억 개 이상 수집된 정상/악성 파일 정보, 클라이언트 PC 관리 기술, 네트워크 어플라이언스(Network Appliance) 관리 기술들을 융합하여 새로운 형태의 보안 솔루션을 통해 진화하는 보안 위협에 대응하는 전략을 세웠다.
 이러한 전략하에 개발된 것이 바로 좀비 PC 사전 대응 솔루션 AhnLab TrusWatcher(이하 트러스와처)다. 트러스와처는 안철수연구소의 악성코드 분석 시스템을 그대로 제품화했기 때문에 국내 환경에서 가장 신속하고 정확한 악성 파일 진단을 할 수 있다. 아울러 정상 파일에 대해서도 정확하게 구분하기 때문에 악성 파일로 오진하는 가능성을 최소화한 솔루션이다.
[그림 2]의 트러스와처의 동작 방식을 좀 더 상세히 살펴보면, 우선 네트워크 어플라이언스 형태의 AhnLab TrusWatcher ZPX가 네트워크 트래픽 기반으로 상시 모니터링을 하며 전송되는 파일을 추출하여 해당 파일의 악성 여부를 검사하게 된다. 이때 안철수연구소가 보유하고 있는 2억 개 이상의 악성 파일 및 정상 파일 정보가 담긴 ASD 정보를 활용해 정상 또는 악성 유무를 1차 판별하게 된다. 이와 함께 1차 판별에서 새로운 유형으로 판단이 되었을 경우에는 제품 자체에서 실행되는 가상 머신에 해당 파일을 실행하여 악성 여부를 판별하는 2차 판별을 수행함으로써 알려진 악성 파일은 물론, 알려지지 않은 신규/변종 악성 파일에 대해 판별할 수 있는 차별적인 기능을 제공한다. 특히 1차 판별에서 이용되는 ASD 정보는 악성 파일 정보뿐만 아니라 정상 파일 정보까지 수록되어 있어 행위기반 분석 기능에만 의존하는 여타 제품들에서 발생하는 오진 문제를 획기적으로 개선하고 악성 판정의 정확도를 극대화하였다. 

[그림 2] AhnLab TrusWatcher 구성 및 동작 방식

이 밖에도 다중 제품을 통합 관리 및 실시간 모니터링 할 수 있는 AhnLab TrusWatcher Manager 와 함께 악성 파일을 삭제할 수 있는 APC Appliance 및 APC Agent를 하나의 좀비 PC 솔루션으로 연계하였다. 이로써 트러스와처는 악성 파일의 수집→ 분석→ 모니터링→ 대응의 종합적인 좀비 PC 대응 프로세스를 구축할 수 있는 플랫폼으로서의 역할을 수행하게 되는 것이다.  

[그림 3] 내부 클라이언트 PC의 보안 수준 확보 단계

보다 신속하고 능동적인 보안 체계 구축 가능

앞서 살펴본 바와 같이 DDoS 공격에 근본적으로 대응하기 위해서는 DDoS 공격 트래픽 및 피해 최소화를 위한 방안뿐만 아니라 DDoS 공격을 유발하는 좀비 PC 방지까지로 그 관점이 확대되어야 한다. 특히 지속적으로 빠르게 나타나는 새로운 악성코드 및 변종 악성코드에 대응하기 위해서는 기존의 보안 수준 유지 및 관리와 더불어 보안 위협에 대한 사전적인 대응까지 요구된다.
따라서 기존의 보안 제품 구축 및 보안 수준 유지를 통한 보안 위협 대응 체계 구축과 더불어 트러스와처를 통한 사전 대응 단계까지 보안 수준을 향상시킨다면 [그림 3]과 같이 보다 신속하고 능동적인 보안 체계가 구축될 수 있을 것이다.@