[SpotLight] 올 하반기, APT의 심각한 위협에 직면한다

최신 해킹 유형과 하반기 위협 예측

“올 하반기, 금융권을 비롯한 일반 기업은 심각한 보안 위협에 직면할 것이다. 위협의 정체는 바로 APT다.”

지난 6월 23일 코엑스 그랜드볼룸에서 열린 ‘2011 금융보안 그랜드 콘퍼런스’에서 안철수연구소 시큐리티대응센터(ASEC) 이호웅 실장은 올해 금융 및 기업 보안 위협과 관련해 이같이 단언했다.

 

▲ 안철수연구소 시큐리티대응센터(ASEC) 이호웅 실장

APT(Advanced Persistent Threat)는 다양한 IT 기술과 방식들을 이용해 특정 대상에게 지속적으로 보안 위협을 가하는 일련의 행위를 뜻한다. 이와 관련해 이호웅 실장은 “지속적이라 함은 성공할 때까지 계속 공격을 한다는 것”이라며 APT 공격의 심각성을 강조했다.

그의 설명에 따르면 APT 공격은 주로 웹 서버 해킹을 비롯한 다양한 시스템 해킹 툴을 이용한다. 또한 악성코드 제작 및 유포를 통해 정부 기관, 사회 기간 산업 시설, 정보 통신 기업, 제조 업종 기업, 금융 업종 기업의 자산을 노린다.

가장 대표적인 APT 공격의 예는 지난 2010년 1월에 언론을 통해 알려진 오퍼레이션 오로라(Operation Aurora)가 있다. 이호웅 실장은 지난 해 이란 원전을 노려 전 세계를 떠들썩하게 했던 스턱스넷(Stuxnet) 역시 대표적인 APT 공격이며, 글로벌 에너지 기업을 노렸던 나이트 드래곤(Night Dragon), G20 파일 공격, 유명 마케팅 업체 엡실론(Epsilon) 이메일 침해 사건 등 APT 공격이 잇달아 발생하고 있다고 전했다.

아울러 국내 동향과 관련해 “이전까지는 특정 기업을 대상으로 한 공격은 거의 없었는데 올 초 발생한 3•4 DDoS 이후 특정 대상을 노리는 공격이 증가하고 있는 추세”라고 말했다. 이어 “실제로 기업의 침해 사고를 분석한 결과 1~2개월, 혹은 그 전부터 공격 시도가 있었던 것으로 나타나는 경우가 많았다”며 “상반기 보안 위협 중 가장 중요한 것은 특정 기업을 대상으로 하는 APT 공격”이라고 말했다. 뿐만 아니라 2011년 하반기 위협에 대한 예측과 관련해서도 APT 공격이 계속될 것으로 내다봤다. 그는 “최근 현대캐피탈 이나 농협 사태 등과 같이 금융권을 중심으로 이러한 공격이 계속 증가하는 추세”라며 “금융이나 일반 기업의 자산을 노리는 APT가 가장 큰 위협이 될 것”이라고 말했다.

 

▲ 해외 APT 공격 사례

APT 공격, 목적 달성 후 시스템 파괴해

이호웅 실장의 설명에 따르면 APT 형태의 공격은 패턴이 모두 동일하다. 즉, 최근 많은 기업들이 보안 솔루션을 도입함에 따라 서버를 직접 공격하는 것이 어렵기 때문에 공격자들은 피싱이나 제로데이 공격, 사회공학적 기법 등을 이용해 기업 내 직원들의 PC를 먼저 장악한다는 것. 이렇게 백도어(Backdoor)가 설치되면 내부망으로 악성코드를 퍼뜨려 시스템 관리자의 패스워드 및 권한 등을 탈취한다. 이러한 과정을 통해 APT 공격이 성공하면 대부분 시스템 동작 불능으로 상황 종료된다. 이에 대해 이호웅 실장은 “본래 APT 공격의 목적은 시스템 파괴가 아니라 정보를 탈취하는 것이며, 흔적을 남기지 않기 위해 시스템을 파괴할 뿐”이라고 설명했다. 즉, APT 공격은 시스템 접속 정보를 얻어내 서비스에 접속한 후 원하는 정보를 수집하고 나면 시스템을 파괴한다는 것이다. 이호웅 실장은 “백도어가 설치된 이후에는 방법을 강구해도 아무 소용이 없다”며 “피해를 최소화하기 위해서는 백도어 설치 이전에 공격을 탐지해야만 한다”고 조언했다.

한편 APT 위협 전개 과정을 살펴보면 계정을 탈취하는 트로이 목마가 설치되는 것이 공격의 시작점임을 알 수 있다. APT가 더욱 심각한 문제일 수 밖에 없는 까닭은 최근 트로이 목마류의 악성코드가 계속해서 급증하고 있기 때문이다. 이호웅 실장은 ASEC의 악성코드 분석 자료를 토대로 “현재 발견되고 있는 악성코드의 거의 50% 이상이 트로이 목마”라고 전했다. 또한 “신종 악성코드의 대부분도 모두 계정을 탈취하는 트로이 목마”라며 “이 같은 악성코드는 플래시 취약점 등을 통해 배포되는 경우가 많다”고 설명했다.

백신만 설치하면 다 된다?

악성코드가 설치되는 순간부터 APT 공격이 시작되는 것이라면 악성코드 대응 솔루션인 안티바이러스로 APT의 위협을 예방할 수 있지 않을까? 이에 대해 이호웅 실장은 “안티바이러스는 APT에 대응하기 위한 것이 아니다”라고 답했다. 그는 “아직도 많은 사람들이 안티바이러스 솔루션, 즉 백신만 설치하면 다 해결되는 줄 안다”며 “그러나 백신은 근본적으로 후대응에 불과하다”고 말했다. 즉, 어떤 악성코드에 한 번 감염된 이후 같은 악성코드에 다시 감염되지 않도록 하는 것이 백신이라는 설명이다. 좀 더 정확히는 시그니처 기반의 백신만으로는 한계가 있다는 뜻이다.

이호웅 실장은 “최근 하루에도 수만 개의 신/변종 악성코드가 발견되고 있어 기존의 전통적인 시그니처 기법의 안티바이러스 제품은 한계에 도달했다”며 “이 때문에 최근 많은 백신 업체들이 클라우드 기반의 안티바이러스 솔루션으로 가고 있다”고 설명했다. 또한 “안철수연구소는 이미 ASD(AhnLab Smart Defense)라는 클라우드 기반의 안티바이러스 솔루션을 제공하고 있다”며, “ASD를 중심으로 한 ACCESS(AhnLab Cloud Computing E-Security Service) 전략은 지난 3•4 DDoS 대응을 통해 그 우수성을 인정받은 바 있다”고 말했다.

이호웅 실장은 이 밖에도 APT 대응에 있어 기존 솔루션이 갖는 한계에 대한 설명을 이어갔다. 우선 “네트워크 보안 솔루션은 트래픽을 관리하는 것”이라며 “그러나 APT 공격에 의해 발생하는 트래픽은 이미 장악된 내부망을 통해 들어오기 때문에 정상 트래픽으로 인지되어 이를 방어하기는 상당히 어렵다”고 지적했다. 또한 제로데이 공격과 관련해서는 “시큐리티 라이프 사이클(Security life cycle) 내에서 취약점이 나타나면 이를 이용한 악성코드와 공격의 위험도가 급증한다”며 “이러한 위험의 정도를 얼마나 낮출 수 있느냐가 관건”이라고 설명했다.

그렇다면 APT 대응의 해법은 없는 것일까? 이에 대해 이호웅 실장은 ‘사내 모든 파일에 대한 가시성 확보’와 ‘실시간 행위 분석’을 기본으로 하는 ‘전방위 보안 체계 수립’을 제시했다. 그는 “기업 내 모든 파일에 대한 가시성을 확보하고 그 파일들에 대해 실시간으로 행위 분석을 해야만 APT와 같이 고도화된 공격에 대응할 수 있다”고 주장했다. 또한 “악성코드 감염을 예방하기 위해 어느 정도는 직원들이 사용하는 애플리케이션이나 프로그램에 대한 제약이 불가피할 것으로 생각한다”고 의견을 밝히는 한편 “현실적으로 위협을 최소화할 수 있는 방법은 전방위 보안 체계를 수립하는 것”이라고 강조했다.

올 하반기, 다양한 보안 위협에 직면할 것

‘해킹 위협 동향과 하반기 위협 예측’이라는 주제로 발표한 이호웅 실장은 APT 외에도 최근의 기업 보안 위협 유형에 대해 상세히 설명했다. 그는 “DDoS 공격이 여전히 국내에서 가장 위협적”이라며 “쇼핑몰, 소셜커머스 등 금전 거래가 이루어지는 상용 서비스를 대상으로 대가를 요구하는 협박성 공격이 예상된다”고 전했다. 또한 최근 유행하고 있는 소셜네트워크서비스(Social Network Service, SNS)를 이용한 DDoS 공격도 가능할 것으로 예측했다.

이호웅 실장은 지난 2009년 미국에서 발견된 트위터 봇넷을 예로 들며 “악의적인 공격자가 트위터 계정을 만들어 P2P나 취약한 웹사이트 등을 통해 접속을 유도하여 트위터 봇을 생성할 수 있다”고 말했다. 이어 “이렇게 생성된 봇이 공격자의 트위터에 접속해 공격 시간과 명령을 받아가 공격을 수행하는 것이다”라고 설명했다. 또한 “트위터는 모바일을 통해 이용할 수도 있기 때문에 공격자는 이동하면서 트위터를 통해 공격지와 시간을 자유자재로 변경할 수 있다”며 “C&C(Command and Control) 서버의 이동성(mobility)이 확보 가능해진 것”이라고 말했다. 특히 “트위터는 상용 서비스인 만큼 C&C 서버를 차단할 수 없다”며 “트위터와 같은 소셜네트워크서비스(SNS)를 악용한 DDoS 공격이 상당한 위협이 될 것”이라고 우려했다.

이 밖에도 이호웅 실장은 최근의 다양한 IT 기기 및 서비스와 관련된 보안 위협에 대해서도 언급했다. 일례로 SNS를 악용한 악성코드 유포와 관련해 “최근에는 악성코드 유포를 위해 트위터 계정을 사고 파는 일도 있다”고 전했다. 악성코드를 많이 유포시키기 위해서는 팔로워가 많은 트위터 계정이 유용하기 때문이다. 이호웅 실장은 “아무리 트위터 이용자들 사이에서 서로 팔로우(follow)를 해주는 이른바 ‘맞팔’이 중요하다고 해도 무조건 맞팔을 해서는 안 된다”며 “누군가 팔로우를 하면 한동안 지켜본 후에 맞팔을 하는 것이 바람직하다”고 조언하기도 했다.

스마트폰 위협과 관련해서는 “스마트폰은 하반기에도 이슈가 될 것”이라며 “모바일 악성코드가 본격적으로 양산되고 있다”고 말했다. 이어 “개인적으로는 모바일과 관련해 실제 위협보다 부풀려진 경향이 있는 것은 아닌가 생각한다”고 덧붙였다. 이슈가 되고 있는 모바일 위협 중 일부는 PoC(Proof of Concept), 즉 개념적으로만 가능할 뿐 실제 발생 가능성은 낮은 경우가 많다는 것. 이호웅 실장은 과도한 보안 염려증이 기술 본연의 목적이나 긍정적인 역할까지 저해해서는 안 된다고 우려했다. 그러나 그는 “최근 모바일 악성코드가 실제로 급증하고 있는 것만은 분명한 사실”이라고 했다. 특히 모바일 스파이웨어의 경우, 스마트폰 이용자들이 돈을 주고 구매하는 상용 소프트웨어인 경우가 많아 모바일 환경의 위협의 경계와 대응이 쉽지 않다고 설명했다. 또한 스마트폰과 관련해 “최근 Wi-Fi를 위한 AP(Access Point)가 증가하고 있다”며 “이는 신뢰할 수 없는 불법적인 AP의 구축으로도 이어질 수 있다”고 경고했다.

전방위 보안 체계 수립만이 답이다!

이호웅 실장은 40여분간의 발표를 마무리하면서 “사실 지금까지 보안을 계륵(鷄肋)으로 바라보는 시각이 많았다”고 지적했다. “실제로 침해 사고가 발생하기 전까지는 돈을 투자해서 대응하는 경우가 많지 않다”며 비용을 투자하자니 아깝고, 안 하자니 걱정은 된다는 식의 기업 보안 태도를 꼬집었다. “특히 기업의 CEO부터 보안에 대한 인식이 많이 바뀌어야 한다고 생각한다”며 악성코드 유입 최소화를 위한 보안 인식 교육 수행부터 위협 분석 수행, 또는 보안 관제를 통한 위협 예방 전략 수립, 데이터 유출 예방, 위협 탐지와 대응 등 전방위 보안 체계 수립을 다시 한 번 당부했다.

 

▲안철수연구소는 이날 트러스와처(AhnLab TrusWatcher), 사이트케어 엔터프라이즈(AhnLab SiteCare Enterprise) 등을 전시해 참관객들의 많은 관심을 받았다.

한편 이날 안철수연구소 부스에는 좀비 PC 사전 대응 솔루션 트러스와처(AhnLab TrusWatcher), 웹콘텐츠의 위협 요소 및 개인정보 노출 탐지를 위한 웹서비스 보안 모니터링 솔루션 사이트케어 엔터프라이즈(AhnLab SiteCare Enterprise) 등이 전시돼 행사 내내 많은 참관객들의 발길이 이어졌다.@