[Special Report] 포렌식, 차세대 보안을 예고하다

“포렌식 서비스를 받아보는 것이 어떨까 합니다.”

 

대표적인 금융 기업 A사의 임원 회의는 CSO(최고보안책임자)의 발언으로 삽시간에 혼란에 휩싸였다.

 

“그게 무슨 소린가? 우리 회사가 해킹을 당했다는 말인가?”

 

A사는 막대한 예산을 들여 다양한 보안 솔루션을 도입했을 뿐만 아니라 컨설팅을 통해 빠진 부분을 점검하고 실질적인 보안 솔루션 운용을 위해 관제 서비스도 받고 있다. 그런데 갑자기 포렌식이라니. 당황한 임원들의 질문에 돌아온 CSO의 대답은 더욱 혼란스러운 것이었다.

 

“아닙니다. 그렇기 때문에 포렌식 서비스를 받아봐야 한다는 것입니다.”

 

해킹을 당한 것도 아니라면서 포렌식을 받아야 한다니, 이 무슨 이해 못할 소린가? ‘포렌식 서비스’란건 또 뭔가? 뭣보다 해킹을 당한 것도 아닌데 그 ‘포렌식 서비스’란 것을 받아야 하는 이유는 대체 무엇인가?

 

 

APT부터 정보 유출 방지까지 사전 예방을 위한 포렌식 서비스

 

최근 기업 보안의 화두는 ‘APT(Advanced Persistent Threat)’와 ‘정보 유출’이다. 해외 APT 공격 사례로는 오퍼레이션 오로라, 스턱스넷, EMC RSA 침해사고 등을 들 수 있다.

 

대표적인 국내 APT 공격 사례로는 지난 2011년 4월 발생한 N사의 전산망 마비 사태가 있다. 당시 조사 결과에 따르면, 30분만에 N사의 서버 절반 이상을 파괴하는데 이용됐던 악성코드는 사건이 발생하기 7개월 전인 2010년 9월경부터 N사의 시스템 내부에 은닉하고 있었다. 국내외 APT 공격 사례를 살펴보면 한 가지 공통점을 발견할 수 있다. 공격에 사용된 악성코드가 평균 4개월 이상 타깃의 시스템 내부에 은닉하고 있었다는 점이다.

이처럼 시스템 내부에 장기간 은닉하여 정보를 유출하거나 시스템을 파괴하는 고도의 지능형 공격이 증가하면서 정확한 공격 발생 지점과 피해 규모를 파악하기 위해 정밀한 시스템 분석 기술, 포렌식에 대한 요구가 증가하고 있다. 개인정보보호법 등 컴플라이언스와 관련해서도 포렌식이 관심을 받고 있다. 포렌식 진단 기법을 활용해 USB 등 이동형 저장 장치는 물론, 각 클라이언트 PC나 데이터베이스 등에서의 개인정보 오•남용 여부와 개인정보 처리에 대한 확인이 가능하다는 것이 그 이유다.

 

 

왜 포렌식인가?

 

위키피디아(Wikipedia)는 ‘디지털 포렌식(Digital Forensics, 또는 포렌식)’에 대해 '디지털 정보를 저장하는 모든 단말기(device)의 정보(증거)를 복구하고 분석하는 과학 수사 기법의 일종'으로 설명하고 있다. 사이버 범죄 수사나 법적 증거를 찾기 위해 이용되는 기술 또는 방법을 의미하는 포렌식은 주로 경찰의 영역으로 인식되어 왔다.

하지만 민간 보안 분야에서도 위협 분석과 대응을 위해 포렌식의 기본적인 개념이나 기술이 활용되어 왔다. 다만 패턴 매칭이나 단순한 의심 정도를 판단하는 수준에서 포렌식 기술을 일부 활용했기 때문에 그 깊이가 깊지 않았을 뿐이다.

기존의 보안 솔루션이나 서비스는 ‘내부에 어떠한 위협이 있으니 어떻게 조치를 해야 한다’는 식의 가이드 정도가 대부분이었다. 실제로 해당 위협이 어떤 원인으로, 어떤 경로를 통해 내부로 유입됐는지, 또 그 위협으로 인해 어떤 보이지 않는 피해를 입었는지에 대해서는 기존의 방식으로는 충분한 해답을 얻을 수 없었다. 게다가 고도화된 위협이 증가하면서 보다 정밀한 기술이 투영되어야 하는 상황을 맞이하게 됐다.

이에 IT 시스템을 정밀하게 살펴보고 그 안의 디지털 정보를 해부하여 실제 위협의 원인을 근본적으로 분석할 수 있는 기술인 포렌식이 새로운 대안으로 주목 받기 시작했다. ▲하드디스크, USB 등의 메모리 정보를 비롯해 ▲네트워크 트래픽 및 로그 ▲스마트폰 등 모바일 기기에 이르기까지 디지털 정보를 완벽하게 분해하여 사고(incident)에 대한 명확한 팩트(fact)를 찾아내고 정보에 대해 설명할 수 있는 유일한 기술이 바로 포렌식이기 때문이다.

 

과학수사는 CSI, 디지털 포렌식은 A-FIRST!

 

안랩은 지난 2011년 6월, 디지털 포렌식 전문조직인 A-FIRST(AhnLab Forensic & Incident Response Service Team)를 신설하고 본격적인 포렌식 서비스 제공에 나섰다. ‘포렌식 서비스’를 간단히 정의하면, 경찰이 수사의 목적으로 수행했던 디지털 포렌식을 민간 보안 업체가 민간 고객을 대상으로 서비스의 형태로 제공하는 것이다. 

 

국내에서는 2011년부터 포렌식 서비스에 대한 관심이 나타나기 시작했고, 안랩은 축적해온 경험과 전문성을 기반으로 시장의 요구에 발 빠르게 대응할 수 있었다.

그동안 안랩은 다수의 침해사고를 분석하면서 고도화된 위협을 효과적으로 예방하기 위한 방법을 꾸준히 모색해왔다. 아울러 수차례의 대규모 사이버 사건을 대응해온 경험을 바탕으로 연구한 결과 단순히 네트워크, 시스템 전문가뿐만이 아니라 악성코드와 바이너리 분석가, 커널 분석가 등 다양한 전문가 집단이 필요하다는 것을 확신했다.

A-FIRST는 모의해킹 전문가, 네트워크 전문가, 취약점 분석 전문가, 악성코드 분석 전문가, 커널 및 리버스 엔지니어링 전문가 등으로 구성되어 있다. 이들의 전문성을 기반으로 침해사고 대응은 물론, 전문적인 포렌식 기반의 고도화된 서비스를 제공한다.

 
대표적으로 ▲공격자의 타임 라인과 감염 경로를 추적할 수 있도록 해킹과 악성코드를 분석하고 ▲고객사에 대한 현장 지원과 사고 원인 분석 및 피해 조치, 결과 보고서 제공 등이 그것이다. 또한 ▲방화벽 로그, 서버 로그 등을 분석해 사고의 원인을 규명하고 ▲수사 등의 목적을 위한 증거 보존 및 데이터 복원 서비스를 제공한다. 최신 공격 기법에 대한 연구를 통해 ▲사이버 사고 대응 프로세스를 제시하고 ▲법적 대응을 위한 기술적 법적 자문 역할도 수행한다.
 
 

[그림 1] A-FIRST 분석실 내부

 

 

포렌식 서비스, 이럴 때 딱!

A-FIRST의 포렌식 서비스는 ▲APT 등 고도화된 공격 대응 및 피해 방지 ▲전체적인 보안 수준 강화 ▲중요 정보 유출 방지 등의 목적으로 이용할 수 있다.

 

첫째, 포렌식은 APT 대응 및 피해 방지에 효과적이다. APT 공격의 가장 큰 특징은 장기간 은닉하여 정보를 유출하거나 시스템을 파괴하는 등의 피해를 야기하는 것이다. 침해 사실을 미처 인지하지 못 한 타깃의 내부에 위협 요소가 유입되어 오랜 시간에 걸쳐 악의적인 행위를 준비하거나 수행한다.

 

이 같은 APT 공격 대응의 관건은 실시간 가시성 필수다. 위협 요소가 유입되는 순간, 또는 위협이 확산되는 것을 방지하기 위해서는 시스템에 대한 실시간 가시성 확보가 반드시 필요하다. 포렌식은 서버 침해, 메모리 포렌식, 패킷 분석, 악성코드 및 네트워크 행위 분석 등 다양한 기술을 통해 데이터의 흐름을 파악하고 실시간 가시성을 확보할 수 있다.

 

특히 각 클라이언트 PC부터 IT 시스템 전체에 대한 정밀한 분석을 통해 침해가 시작된 지점부터 실제로 피해가 발생한 지점, 그리고 정확한 피해 규모까지 파악이 가능하다.

둘째, 포렌식을 통해 전체적인 보안 수준 강화를 꾀할 수 있다. 컨설팅과 관제를 통해 솔루션을 도입하고 적절한 보안 인프라를 기 구축한 고객들을 중심으로 추가적으로 도입할 수 있는 것, 또는 추가적으로 점검할 수 있는 방법에 대한 문의가 이어지고 있다.

 

지금까지의 포렌식이 주로 침해사고가 발생한 후 사고의 원인을 찾거나 피해를 최소화하기 위한 소극적인 의미의 활용이었다면, 최근에는 보다 능동적이고 사전 예방적인 차원에서의 포렌식 도입을 고려하는 추세라 할 수 있다.

 

셋째, 중요 정보 유출 방지를 위해 포렌식을 이용할 수 있다. 포렌식 기술을 이용해 삭제된 증거, 외부 저장장치의 활용, 악의적 이용에 대한 증거 및 관련자와의 공모 행위 등을 모두 추적해낼 수 있다.

 

특히 단순히 시스템 내에서의 정보의 흐름만을 분석하는 것이 아니라 사용자의 행위를 포렌식으로 함께 풀어낸다면 사전에 정보 유출 행위를 감지하고 이를 방지할 수 있다.

 

이러한 측면에서 개인정보보호법 등 기업의 컴플라이언스 이슈와 관련해 포렌식을 활용할 수 있다. 포렌식 기술을 이용해 PC의 개인정보 보유 현황을 세세하게 파악할 수 있으며 기업 내부에서 개인정보가 유통되는 흐름을 파악하고 점검할 수 있다.

 

포렌식 기술로 무장한 고도화된 전문 서비스

서비스 제공 초기에는 사이버 사고가 발생했을 때 기업•기관 고객에 급파돼 조기 수습으로 피해를 최소화하는 것이 A-FIRST의 주된 역할이었다. 그러나 그간의 경험을 통해 기업의 비용 절감을 위해서는 침해사고 발생 후 피해를 최소화하는 것보다 사전에 예방하는 것이 효과적이라는 결론에 도달했다.

 

이에 최근에는 고객사의 정보보호 조직과 협력해 전문화, 조직화하는 다양한 사이버 사고에 효과적•능동적으로 대비하는 고도화된 사전 예방 서비스까지 지원하고 있다. 사전 예방을 위한 A-FIRST의 고도화된 전문 서비스는 크게 ▲보안 진단 ▲침해 분석/대응 ▲정보 감사 등 세 가지 영역으로 구분할 수 있다.

1. 보안 진단

보안 진단이란 시스템이나 보안 수준을 평가 또는 확인하고 싶은 고객을 위한 서비스로, 관리적•기술적•물리적 보안뿐만 아니라 침해사고 영향 평가 등을 제공한다. 주요 진단 항목은 ▲의심 이벤트 정보 확인 ▲의심 파일 확인 ▲악성코드 감염 이력 ▲유해 사이트 접근 이력 ▲외부 저장장치 사용 이력 ▲개인정보 파일 보유 및 관리 등이다.

 

침해사고 영향 평가, 시스템 안전성 평가는 기존에 볼 수 없었던 보안 진단 서비스로, 기업 내부의 모든 PC를 분석해 악성코드에 감염된 이력이 있는지, 메모리 포렌식 등을 진행하는 차별적인 서비스다.

 

이력만 파악하는 것이 아니라 그 동안 미처 인지하지 못했던 정보 유출, 내부 위협 확산 등 고객이 궁금해하는 실제 피해를 확인한다. 그 이력으로 어떤 변화가 유발됐는지, 그것으로 앞으로 어떤 일이 있을 수 있는지까지 상세하게 분석하여 실제 리스크를 꼼꼼하게 점검한다.

 

 
[그림 2] A-FIRST 보안 진단 범위 및 진단 항목

 

2. 침해 분석/대응

침해분석/대응 서비스는 현재 발생한 침해사고에 대한 대응을 원하는 고객을 위한 서비스로, 기업의 보안 담당자들이 분석하기 어려운 시스템 및 네트워크에 대한 가시성을 확보하고 위협을 제거하는 서비스다.

 

침해사고 대응을 위해서는 이상 징후를 포착하는 인지력이 중요하며, 조기 대응 및 확산을 방지할 수 있는 대응력이 필요하다. 또한 피해를 복구할 수 있는 역량도 요구된다.
 

[그림 3] A-FIRST 침해 분석/대응 프로세스

 

3. 정보 감사

정보 감사 서비스는 ‘정보 감사’를 원하는 고객을 지원하는 서비스로, 기업 기밀 유출의 경로를 파악하거나 사내 불법 행위를 탐지한다. ▲소스 코드 및 문서 목록 ▲외부 이메일 사용 기록 ▲웹 사용 기록 ▲USB 사용 기록 등이 주요 감사 항목이다.

최근 기밀 정보 유출이나 내부자에 의한 정보 유출이 증가하고 있어 기업의 정보 자산이 외부로 나간 적이 있는지 확인하고자 하는 기업이 늘고 있다. 포렌식은 디지털 정보 안에서 모든 것을 끄집어내서 고객이 원하는 모든 정보를 제공하고 설명할 수 있다. 지금까지는 전문가를 이용한 시장이 크지 않았지만 법률 시장 개방과 함께 소송 사례가 많아지고 있기 때문에 이에 미리 준비할 수 있는 대책으로서의 정기적인 보안 감사 활동도 이어질 것으로 보인다.

 

포렌식도 안랩이 하면 다르다!

 

안랩 포렌식 서비스의 차별점은 바로 악성코드 분석 능력이다. 침해사고는 악성코드와 연관된 경우가 대부분이다. 고도화되고 지능적인 공격도 시작은 악성코드다. 따라서 악성코드에 대한 분석 능력이 있어야만 사건을 효과적으로 분석해낼 수 있다.

 

그러나 포렌식 서비스를 운영하는 대부분의 업체에서는 악성코드 분석 능력을 갖추지 못한 경우가 많아 침해사고와 특정 악성코드의 연관성을 파악하기가 어렵다.

안랩은 국내 최고의 악성코드 분석 전문 조직인 ASEC(안랩 시큐리티대응센터)을 보유하고 있기 때문에 차별적인 포렌식 서비스 제공이 가능하다. 특히 클라우드 기반의 자동화된 악성코드 분석 시스템인 ASD(AhnLab Smart Defense)의 행위 분석 기능을 통해 실시간 악성코드 분석 및 가시성 확보가 가능하다.

포렌식 전문가는 기본적으로 시스템, 메모리 관점에서 IT를 구성하고 있는 모든 역량을 갖추고 있어야만 한다. 하나의 PC 안에도 디지털 정보는 수백만 개 이상이 존재하기 때문에 사람이 일일이 본다는 것은 불가능하다.

 

대용량 정보를 분석할 수 있는 툴, 기술, 전문성이 있어야 한다. A-FIRST에는 IT 분야 전반에 대한 경험과 역량을 갖추고 있는 전문가들이 모두 모여 있다. 타 업체의 경우 보통 네트워크나 관제 등 일부 영역에 대해서만 특화된 조직을 갖고 있다.

 

이에 반해 A-FIRST는 각 분야별 전문가들이 한 데 모여 있어 전체적인 시각에서 사건을 들여다보기 때문에 차별적인 인사이트 확보가 가능하다. 또한 기업의 관리적•물리적인 취약성을 진단하는 서비스는 많지만, 기업 내 각 PC 자체가 어떤 위협에 노출되어 있는지, 악성코드에 감염된 적은 있는지, 또 악성코드 감염 등을 통해 정보 유출이 이루어졌는지를 진단하는 서비스는 A-FIRST 외에 찾아보기 어렵다.

물론, 악성코드를 이용한 공격 외에 정상적인 원격 접속 툴이나, 예약 스케줄 등의 명령어를 이용한 정상적인 경로를 통해서 공격이 발생하는 경우도 있다. 따라서 악성코드 분석 외에도 정상적인 명령 실행의 타임라인(timeline) 분석을 통해 위협 발생의 징후를 포착할 수 있어야 한다.

 

이것이 바로 분석가의 뛰어난 역량이 요구되는 이유다. 안랩의 포렌식 전문가들은 파일의 행위를 해석해 낼 수 있는 전문성과 숙련도를 보유하고 있다.

 

A-FIRST, 포렌식 서비스의 진화를 꾀하다

지금까지의 포렌식은 침해사고의 피해를 최소화하기 위한 사후 대응 중심이었다. 그러나 안랩은 A-FIRST를 통해 침해사고 대응뿐만 아니라 사전 예방 관점의 포렌식 서비스를 확대해 나가고 있다.

대표적으로 ‘침해 보안 영향도 진단 서비스’가 있다. 기업이 정기적으로 주요 시스템에 대해서 침해 영향도 진단을 받아봄으로써 실제 발생할 수 있는 위협들이 있었는지, 위협들로 인해 실제적인 피해를 입었었는지, 혹은 미처 인지하지 못했던 피해까지 정기적으로 진단하는 것이다.

 

단순히 포렌식 서비스를 통한 악성코드 발견에서 그치는 것이 아니라 그 악성코드 위협이 실제 시스템에 어떤 영향을 주었는지를 ‘침해 위험도’를 기준으로 진단함으로써 기업의 사전 예방 활동이 가능하다.

이 밖에도 안랩은 사전 예방 관점의 다양한 포렌식 서비스 모델을 연구•개발해 고객이 실제로 필요로 하는 전문화된 최고급 보안 서비스를 제공할 계획이다.@

 

☞ 월간 安 12월호 Special Report 2부_"사후 대응을 넘어 사전 예방의 키워드될 것"

 

☞ 월간 安 12월호 전체 보기