[Tech Report] 웬만한 보안 솔루션 다 설치했는데...왜 계속 뚫리나?

취약점 관리를 이용한 위협 모니터링 향상

오늘날의 보안 위협은 은밀하게 이루어지면서 과거에 비해 더욱 심각한 결과를 초래하고 있다. 2011년 상반기에 발생한 금융권의 보안 침해 사고를 보면 이러한 경향을 확인할 수 있다. 마치 레이더 망을 교묘하게 피하는 스텔스 폭격기와 같이 보안 시스템을 우회하거나 보안 시스템에서 탐지하지 못하는 기법으로 불특정 다수가 아닌 특정 회사, 개인, 그리고 데이터에 집중했다. 이러한 공격에 대비하기 위해서는 보안 솔루션과 각종IT 솔루션의 통합 관리가 반드시 수반되어야 한다.

이 글에서 취약점 관리와 통합 모니터링의 중요성에 대해 이야기하고자 한다.

 

왜 취약점 관리가 필요한가

전형적인 침해 기법은 공격 대상에 존재하는 여러 보안 취약점을 복합적으로 악용하여 이루어진다. 이러한 침해 기법에 대항하기 위해서는 좀더 견고한 방어 체계 구축이 요구된다. 이는 하나의 보안 솔루션의 도입으로 충족되는 것이 아니라 기업이 운영하는 서버, 네트워크, 애플리케이션에 존재하는 보안 취약점에 대한 관리가 필수적으로 동반되어야 한다. 이와 함께 보안 시스템의 효율적인 조합과 향상된 모니터링 기법을 통해서만이 가능해진다.

과거에 비해 많은 기업들이 IT 보안 부서와 IT 운영 부서를 분리하고 각자 고유의 역할 및 책임을 부여하여 운영하고 있다. 이러한 경우 IT 보안 부서가 보안에 대한 정책, 절차 등을 수립하면 그 실행은 IT 운영 부서에서 담당하는 구조로 조직의 틀이 짜여지는 경우가 대부분이다.

이 글에서 얘기하고자 하는 취약점 관리는 실질적인 IT 운영 절차 중 하나로 IT 보안 부서의 효율적인 절차의 수립은 IT 운영 부서의 실질적인 취약점 제거 활동을 극대화 할 수 있어, 결과적으로 기업의 IT 보안을 향상시키는 결과를 가져올 수 있다. 또한 IT 보안 부서와 운영 부서의 협업을 강조하는 이유는 시간에 따른 보안 위협에 대한 인식 수준 향상에 있다. 예를 들어 악성코드와 백신 소프트웨어의 경우, 과거에는 IT 보안 부서가 주도하는 업무였다. 하지만 이제는 IT 운영 부서에서 혹은 IT와 관련이 적은 부서에서 스스로 설치하고 주기적으로 업데이트를 실시하는 등 보편화가 되어 있는 것을 자주 볼 수 있다.
이처럼 최초 보안 위협에 대한 대응이 IT 보안 부서만의 역할이었으나, 위협의 대중화되고 인식 수준이 높아지면서 IT 보안 부서는 새로운 위협에 대응하는 업무를 수행해야 한다.

시장조사 기관인 가트너(Gartner)의 발표에 따르면 “2015년까지 성공한 IT 시스템 공격의 80%는 잘 알려진 취약점을 악용하여 이루어지며, 이는 효율적인 보안 모니터링을 통해서 탐지할 수 있다”고 한다.
취약점 관리에 대한 이점을 살펴보면, 서버, 네트워크, 데이터베이스, 애플리케이션에 존재하는 취약점을 발견하고 조치하여 보안성을 향상시키는 효과가 뛰어나다. 이와 더불어 주기적인 취약점 점검을 수행한 결과물을 타 IDS/IPS, 웹 애플리케이션 방화벽(Web Application Firewall) 등의 보안 솔루션과 상관분석을 통하여 보다 효율적인 모니터링을 수행할 수 있다.

그렇다면 효율적인 보안 모니터링을 위해 고려해야 할 점은 무엇일까.

 

첫 번째, 위협의 대상이 되는 IT 자산에 대한 범위 설정 및 평가이다.
인터넷을 통하여 비즈니스를 영위하는 기업은 서비스, 개발, 테스트, 내부 업무 등으로 다양한 IT 자산을 보유하고 있다. 이러한 기업들은 외부의 위협으로부터 보호되어야 할 대상 및 중요도를 산정하여 발견된 취약점 제거에 대한 우선 순위 및 절차를 정해야 한다.

두 번째, 취약점 점검 결과물에 대한 활용성이다.
취약점 점검을 주기적으로 수행하는 기업은 점점 증가하고 있으나 취약점 점검 결과물을 취약점 조치를 위해 일회용으로 참고만 하는 경우를 흔히 볼 수 있다. 취약점 점검 결과에는 보호되어야 하는 자산의 운영체제 정보, 서비스 정보, 취약점 정보가 포함되어 있어 IDS/IPS 등을 운영 중이라면 보안 이벤트와 상관분석을 통하여 유효성을 검증하는데 요긴하게 활용될 수 있다.

세 번째, 주기적인 취약점 점검이다.
안타깝게도 국내에서 수행되는 취약점 점검은 일회성으로 그치거나, 주기적으로 수행되더라도 그 간격이 6개월 이상으로 지나치게 긴 경우가 대부분이다.
대표적으로 마이크로소프트의 경우 매 달 보안 취약점에 대한 패치가 발표되는데 3개월 이상의 간격으로 취약점 점검을 수행하는 경우 산술적으로 2개월 동안은 위협에 노출되어 있는 상황이 발생한다. 기업의 IT 운영 환경에 따라 다르겠지만, 운영 시스템의 특성을 파악하여 그 주기를 가능한 짧게 설정하는 것이 최신의 보안 취약점 정보 관리를 위해서 유리하다.

취약점 관리 솔루션의 분류 및 특징

취약점 관리 솔루션은 특성에 따라서 3가지로 분류되며, 각 분류마다 점검 가능한 범위 및 그에 따른 한계가 분명하다.

 

	시스템	데이터베이스	애플리케이션
대상	개인PC, 서버, 네트워크 장치 등	공개용/상용 데이터베이스	웹 기반 애플리케이션
점검내역	패치여부 취약한 서비스 취약한 패스워드 설정 오류	데이터베이스 패치 환경설정	웹 애플리케이션 취약점
한계	데이터베이스, 애플리케이션 취약점	애플리케이션을 경유한 공격에 대한 점검에 한계 (SQL Injection)	개발 단계에서 발견되지 않는 경우 취약점 제거에 오랜 시간이 소요됨

[표 1] 취약점 관리 솔루션의 분류 및 특징

과거의 취약점 관리 솔루션 시장은 개인 PC 및 서버 시스템을 중심으로 형성되었다. 하지만 현재는 내부정보, 개인정보에 대한 중요성으로 데이터베이스 취약점 관리 솔루션으로, 또 인터넷을 통한 비즈니스의 활성화 및 이에 따른 위협의 증가로 인해 웹 애플리케이션 취약점 관리 솔루션으로까지 확장되었다. 아울러 얼마 전까지만 해도 취약점 관리 솔루션은 시스템, 데이터베이스, 웹 애플리케이션으로 분리되어 있었으나, 통합된 취약점 관리에 대한 요구 등으로 인해 하나의 솔루션에 세 가지 영역을 포함하여 출시되는 경향을 보이고 있다.

실제 취약점 점검을 실행한 결과를 보면 많은 부분이 보안 패치 미설치, 사용하지 않는 취약한 서비스의 실행, 설정 오류와 관련된 사항들이다. 또한 많은 취약점들이 시스템의 가용성, 애플리케이션 의존성 및 QA 테스트 등의 이유로 바로 제거되지 않고 위협에 노출되어있는 현실이다.

취약점 관리 솔루션과 IPS 시스템의 효율적인 모니터링을 위한 방안을 살펴보기 전에 미국 통신회사 버라이즌의 데이터 침해 보고서를 살펴보자. 이 보고서에 따르면, “2010년 900건 이상의 데이터 침해 시도가 있었으며, 이중 90%에 해당하는 시도는 로그 기록에 남아있었으나, 5%만이 모니터링 시스템에 의해서 실시간 통지되었다”고 한다.
또한 미국의 한 기관에서 실시한 설문결과에 따르면, 응답자의 73%가 IDS/IPS 보안 시스템을 운영하면서 외부의 침입 시도를 모니터링하고 있다고 답변했다. 하지만 신기하게도 거의 비슷한 숫자에 이르는 71%의 사용자가 침해 경험을 가지고 있다고 응답했다. 이 두 가지 통계는 기업들이 IDS/IPS 도입 후 모니터링의 효율성, 특히 취약점 정보를 활용한 통합 모니터링을 제대로 하지 않고 있다는 점을 보여주는 단적인 사례이다.

취약점 관리 시스템과 IDS/IPS 솔루션의 상관분석을 통한 모니터링은 두 가지 방향에서 접근해야 한다.

취약점 정보의 정형화

일반적으로 취약점 관리 솔루션은 업체마다 독자적인 형식으로 정보를 저장하는데 공통적으로 아래의 정보들은 포함하고 있다.

- 점검 대상 IP 주소: 취약점 점검 대상이 되는 시스템의 IP 주소로 이 항목은 IDS/IPS 솔루션 이벤트의 목적지 주소와 매핑되어 활용된다.
- 열려진 포트(Port): 점검 대상 시스템에 외부 통신을 위해서 열려진 포트의 번호이다.
- 취약점 식별 기호: 취약점 관리 솔루션마다 업체에서 취약점 정보 관리를 위해서 부여한 기호이다.
- 참조 기호: 취약점 식별기호와 함께 취약점 관리를 위해서 부여된 기호이며, 주로 외부에서 참조할 수 있는 기호이다. 가장 많이 사용하는 기초는 CVE(Common Vulnerabilities and Exposure)와 BID(Bugtrack ID) 등이 있다.

IDS/IPS 보안 솔루션들의 특징은 위협에 대한 탐지 및 경고 발송이 실시간으로 이루어지는 것이다. 하지만 취약점 관리 솔루션들은 취약점에 대한 실시간 점검보다는 기업에서 정한 일정에 따라서 점검을 수행하고 그 결과를 저장하는 방식으로 진행된다. 그러므로 점검 주기가 길어지면 점검 데이터의 정확도가 떨어지며 그에 따라 위협 탐지 효율성이 시간이 지날수록 낮아지게 된다. 따라서 취약점 관리 솔루션의 취약점 정보를 위협 모니터링에 활용하기 위해서는 주기적으로 취약점 점검을 수행하여 IT자산의 취약점 정보를 최신의 것으로 유지하는 것이 무엇보다 중요하다.

IDS/IPS 솔루션에서 위협을 탐지하여 실시간으로 전송하는 이벤트 정보 중 취약점 정보와 매칭할 수 있는 정보는 아래와 같다.

- 목적지 IP 주소: 공격의 대상이 되는 시스템의 IP정보이며 취약점 관리 솔루션에서는 점검 대상 IP주소와 매칭된다.
- 목적지 포트: 공격의 대상이 되는 시스템에 존재하는 네트워크 포트 정보이며 취약점 관리 솔루션에서는 열려진 포트 정보와 매칭된다.
- 탐지 패턴 식별기호: IDS/IPS 솔루션 제조사에서 탐지 패턴의 관리를 위해서 부여한 식별 기호이다.

취약점 점검 솔루션과 IDS/IPS 보안 솔루션 이벤트 상관분석을 위해서는 취약점 식별기호화 IDS/IPS 솔루션 이벤트의 탐지 패턴 식별기호를 상호 매핑하는 과정이 필요하다. 하지만 취약점 식별 기호와 탐지 패턴 식별 기호는 솔루션 제조사마다 다른 형식으로 부여하므로 다수의 솔루션에 대한 상관분석을 위해서는 다수의 솔루션에서 지원하는 참조 기호를 활용하는 것이 유리하다. 대표적인 참조 기호로는 CVE(Common Vulnerabilities and Exposure)를 예로 들 수 있다.
CVE는 MITRE, NIST(미국표준기술연구소, National Institute of Standards and Technology)를 중심으로 보안 취약점을 체계적인 관리를 위해서 구축한 보안 취약점 식별자 체계이다. 대부분의 보안 솔루션들은 독자적인 취약점/탐지 패턴 식별기호와 함께 이기종 시스템 연동을 목적으로 CVE 참조 식별자를 제공한다.

통합 모니터링을 위해서 기업에서 가장 많이 도입하는 솔루션은 SIEM(Security Information and Event Management)이다. 이들 SIEM 솔루션은 보안 시스템, 취약점 관리 시스템, 서버 시스템, 네트워크 시스템으로부터 이벤트를 수신하고 상관분석을 통해서 침해시도를 실시간 탐지하고 침해 사고를 관리하는 기능을 수행한다.

< SIEM 솔루션의 주요 기능 >

- 외부 위협 발견
- 사용자 모니터링
- 서버 시스템, 데이터베이스 리소스 모니터링
- 사용자 행위 감시

SIEM 솔루션은 각종 보안 솔루션, 서버, 네트워크 장치로부터 받은 각종 이벤트를 분석하기 위해서 상관분석(Correlation) 기능을 구현하고 있다. 상관분석 방식 중 규칙기반 상관분석은 대부분의 SIEM 솔루션이 기본적으로 제공하는 방식으로 취약점 정보와 IDS/IPS 솔루션에서 전송한 위협 이벤트 간의 유효성 검증을 수행하여 공격의 오탐을 줄이는 동시에 효율적으로 공격을 탐지하는데 활용된다.

대부분의 SIEM 솔루션은 자체적으로 작성한 상관분석 규칙을 제공하며 사용자는 제공한 상관분석 규칙을 수정하거나 사용자 환경에 필요한 규칙을 작성할 수 있다.

취약점 점검 데이터에는 보호하고자 하는 자산 목록, 운영체제, 서비스 정보, 운영중인 애플리케이션 정보, 취약점 정보가 포함되어 있어 IDS/IPS에서 전송하는 이벤트의 목적지 IP, 목적지 포트(Port), 애플리케이션 정보, CVE, MS, BID 등의 취약점 식별 기호 등을 활용하는 경우 IDS/IPS 오탐 이벤트를 제거하여 효율적인 이벤트 모니터링이 가능하다.

취약점 관리는 대상 시스템의 취약점 발견, 제거, 검증에 국한되어 수행하는 IT 보안 업무의 일부로 여겨졌다. 하지만 취약점 관리의 중요성, SIEM 솔루션의 상관분석 기능을 활용한 위협 이벤트 모니터링 유효성 검증 등으로 그 활용 범위를 넓힐 수 있다.@