[Special Report] APT 대응, 전문가에게 맡겨라!

안랩 차세대 원격관제 서비스 본격화 

 

안랩이 2013년 1월에 출시한 차세대 원격관제 서비스에 업계의 이목이 집중되고 있다. 특정 기업이나 기관을 노린 고도화된 지능형 타깃 위협, APT(Advanced Persistent Threat)가 잇달아 발생하고 있기 때문이다. 안랩의 차세대 원격관제 서비스는 일반적인 원격관제가 갖는 탐지·대응의 기술적 한계를 극복함으로써 APT 공격과 같은 지능화된 공격에 대해 신속한 대응이 가능하다. 네트워크 보안부터 서버, 엔드포인트까지 모니터링 범위를 확대한 안랩의 차세대 원격관제 서비스의 등장 배경부터 차별점까지 면밀하게 살펴본다.

고도화된 지능형 타깃 위협 APT란 공격자가 기업이나 조직 등 특정 대상을 노리고 취약한 시스템을 이용해 침투한 후 장기간에 걸쳐 다양한 공격 기법을 활용해 피해자 몰래 주요 정보를 유출하고, 시스템을 무력화하는 공격을 일컫는다. [표 1]은 최근 몇 년 간 전세계 보안의 화두로 등장한 APT의 대표적인 국내·외 사례다.

 

[표 1] 국내·외 주요 APT 사례

 

IT분야 전문 리서치 기관 가트너(Gartner)에서는 APT 공격을 [그림 1]과 같이 정의하고 있다.

 

[그림 1] 가트너의 APT 정의

 

가트너의 정의에서 알 수 있는 APT의 키워드는 ▲사회공학적 기법 ▲명확한 타깃(공격 목표) 설정 ▲제로데이 공격(Zero-Day Exploit) ▲보안 솔루션 우회 등이다. 이를 중심으로 전통적인 보안 위협과 APT로 대표되는 최근의 고도화된 보안 위협의 차이를 살펴보면 [표 2]와 같다.

 

 

[표 2] 전통적인 보안 위협과 고도화된 보안 위협의 특징 비교

 

일반적인 보안 관제 서비스의 APT 대응 한계

보안 위협의 진화에 발맞춰 보안 관제 서비스 또한 발전을 거듭하며 기업의 정보 자산을 효과적으로 보호해왔다. 그러나 최근 몇 년 사이의 위협 동향은 지금까지와 비교하기 어려울 만큼 지능화, 고도화됨에 따라 기존의 원격 보안 관제 서비스로는 이를 탐지하고 대응하는 데 한계가 나타나기 시작했다.

 

1. 네트워크 레이어 중심의 관제
일반적으로 원격 보안 관제는 네트워크 보안 장비에 대한 서비스를 제공하는 형태다. 대부분의 네트워크 보안 장비는 네트워크의 상단, 즉 백본(back-bone)에 설치되어 보안 장비에서 발생하는 알려진 이벤트에 대한 탐지 및 대응을 수행한다. 이는 곧, 네트워크 내부에서 발생하거나 백본을 통하지 않는 통신에 대해서는 탐지가 어렵다는 것을 의미한다.

그러나 APT와 같은 최근의 보안 위협은 외부에서 네트워크를 직접 공격하기 보다는 사회공학적 기법을 이용해 내부 사용자를 통해 공격을 진행하는 경우가 대부분이다. 따라서 네트워크 레이어 중심의 기존 원격 보안 관제로는 이에 대한 탐지 및 대응이 어렵다.

 

2. 대응 범위의 한계
원격 보안 관제의 주요 목적은 보안 장비에 대한 전문적인 탐지 및 대응이다. 내부 시스템 및 클라이언트는 대응의 범위에 포함되지 않는다. 따라서 외부에서의 공격을 탐지하고 방어하더라도 내부 시스템에서 악성코드를 격리하는 등의 대응을 수행하기가 어려울 뿐만 아니라 시스템이나 사용자에 어떠한 영향이 발생했는지 파악하는 것도 쉽지 않다. 일반적인 원격 보안 관제 서비스는 고객사 보안 관리자에게 상황을 보고하고 조치를 권고하는 역할을 수행한다.

 

3. 대량의 이벤트 로그
모든 보안 관제 시스템은 대량의 보안 로그를 처리하도록 설계 및 구축된다. 그러나 최근에는 고도화된 위협 분석을 위해 기존에는 수집하지 않았던 정보들까지 수집해야만 한다. 또한 다양한 보안 장비가 추가 도입되면서 관제 시스템이 처리해야 하는 보안 로그가 막대한 양으로 증가하게 되었다. 기존의 관계형 데이터베이스로는 응답 속도를 보장하기 어려울 정도로 대용량 로그가 발생하는 환경으로 변화한 것이다.

 

4. 복잡한 구성으로 인한 탐지 대상 증가
얼마 전까지 대부분의 보안 장비는 네트워크 구간에서 ‘방화벽 – DDoS 대응 장비 – IDS/IPS – 웹방화벽’과 같은 형태로 구성됐다. 이들 장비의 가용성을 보장하기 위해 이중화(HA)로 구성하기도 했다. 그러나 공격의 형태와 유입 경로가 다각화됨에 따라 보안 장비 및 솔루션, 서비스 또한 다양화되면서 탐지하고 관리해야 하는 대상이 늘어나고 있다. 특히 보안 장비의 위치도 네트워크 구간에서 시스템 내부까지 확대되면서 구간 별 탐지 대상이 증가하고 있다. 따라서 기존의 원격 보안 관제 프레임워크로는 더 이상 이 같은 다양한 구성과 장비, 솔루션을 감당하기 어려운 상황에 이르렀다.

 

안랩 차세대 관제 서비스

APT를 비롯한 최근의 고도화된 위협에 대응하기 위해서는 기존의 원격관제에 다차원적인 관제 기법이 추가적으로 적용돼야만 한다. 안랩은 다양한 연구를 거쳐 지난 2013년 1월, 다차원적인 관제 기법을 추가 도입한 ‘차세대 보안 관제 서비스’를 선보였다. 안랩의 차세대 원격 보안 관제 서비스는 ▲악성코드 다운로드 모니터링 ▲시스템 정보 수집 ▲패킷 모니터링 ▲플로우(flow) 분석 등에 대해 중점적으로 연구한 결과를 토대로 고도화된 위협에 대응하기 위한 더욱 강력한 보안 체계를 제공한다.

 

1. 악성코드 다운로드 모니터링
지금까지 알려진 모든 APT 사례에는 알려진 악성코드와 함께 제로데이 악성코드, 즉 알려지지 않은 악성코드가 사용됐다. 안랩은 클라우드 기반의 악성코드 분석 시스템 ASD(AhnLab Smart Defense)를 이용해 실시간으로 악성코드를 모니터링하고 있으며 약 7억 개에 달하는 파일 데이터베이스를 보유하고 있다. 이를 기반으로 한 안랩의 관제 서비스는 외부에서 유입되는 악성코드뿐만 아니라 기업 내부에서 전파되는 악성코드도 모니터링이 가능하다.

2. 시스템 정보 수집
일반적인 원격 보안 관제는 악성코드나 그 외 공격 기법에 의해 시스템 내부에서 파일, 프로세스, 계정 등이 생성될 경우 이를 탐지할 수 있는 방법이 마땅치 않다. 안랩은 기존 보안 관제의 장점인 프로세스는 유지하면서 시스템에서 발생하는 이벤트도 수집해 탐지 및 대응하는 전용 에이전트를 설치할 예정이다.

 

3. 패킷 모니터링
관제를 통한 탐지 내역에 대한 상세 분석을 수행하기 위해 네트워크 패킷을 수집하고 이벤트에 대한 원시 패킷(RAW Packet)을 분석한다. 이로써 탐지 내역의 상세 분석뿐만 아니라 보안 장비가 탐지하기 어려운 부분에 대해서도 상당한 보완이 가능할 것으로 전망된다.

 

4. 플로우 분석
SNMP(Simple Network Management Protocol)를 이용한 트래픽 모니터링 툴 MRTG(Multi Router Traffic Grapher)의 경우, 해당 장비의 포트 별 IN/OUT 트래픽에 대해서는 모니터링이 가능하지만 개별 IP의 트래픽에 대해서는 확인하기가 쉽지 않다. 넷플로우(NetFlow) 기법을 이용하더라도 부분적으로만 확인이 가능하다. 이와 관련해 안랩은 IP 별 세션 및 트래픽을 탐지 및 대응하는 시스템을 구축했다. 이를 통해 이벤트가 발생한 IP에 대해 세션을 재구성하거나 사용된 트래픽을 확인함으로써 대량의 데이터가 이동했는지 등을 확인할 수 있다.

 

안랩 관제 서비스의 APT 대응은 다르다!

안랩은 APT의 과정을 ▲공격 시도 ▲공격 성공 ▲확산 ▲정보 유출 등 4단계로 구분하고 있다.

1. 공격 시도: 외부에서 공격자가 내부 사용자를 대상으로 사회공학기법 등 다양한 방법을 이용해 공격을 시도하는 단계
2. 공격 성공: 외부의 공격자가 내부 사용자나 시스템을 확보함으로써 1차적으로 내부 침투에 성공한 단계
3. 확       산: 공격자가 성공 단계에서 확보한 사용자 권한이나 시스템을 이용하여 내부의 다른 시스템, 특히 관리자 시스템이나

                    DB시스템 등 주요 시스템을 찾는 동시에 악성코드를 전파하는 단계
4. 정보 유출: 내부 주요 시스템을 확보하여 목표했던 주요 정보를 외부로 유출하는 단계

 

이러한 구분을 토대로 안랩은 다양한 APT 시나리오를 구성했다. 각각의 시나리오는 개별적으로 운영되기도 하고 시나리오 간의 연결을 통해 새로운 시나리오를 구성하기도 한다. 안랩은 이러한 시나리오를 토대로 APT를 비롯해 진화하는 공격에 효과적으로 대응할 수 있는 시스템을 구축했다. 또한 시나리오에 새로운 공격 기법을 지속적으로 반영 및 보완함으로써 향후 발생하는 더욱 진화된 공격 기법을 탐지 및 대응하는 역량을 강화해나간다는 전략이다.

 

 

[그림 2] 안랩의 APT 대응 관제 시나리오 예시

 

또한 안랩의 차세대 원격관제 시스템은 기존의 원격관제 시스템과 함께 [그림 3]과 같이 새로운 프레임워크와의 병렬 구조로 운영되어 고도화된 위협에 대한 다차원적인 대응을 구현한다.

 

[그림 3] 안랩 차세대 관제 시스템 프레임워크

 

[그림 4] 차세대 원격 보안 관제의 차별점

일반적인 원격관제와 안랩의 차세대 원격관제의 차이를 요약한다면, 차세대 원격관제는 네트워크 보안뿐만 아니라 서버와 엔드포인트 PC의 패킷, 트래픽, 악성코드까지 모니터링한다는 것이다. 기존 원격관제에 비해 모니터링하는 범위가 확대됐으며 탐지 및 분석 기술도 진일보했다. 이로써 지능적인 탐지 우회 기법이나 알려지지 않은 공격, APT 공격까지 원격에서 모니터링하고 신속하게 대응이 가능하다. 1999년 국내 최초로 보안 관제 서비스를 시작한 안랩은 원격관제 분야에서 새로운 패러다임을 제시함으로써 서비스의 질적 향상을 도모하고 고객들에게 차별적인 가치를 제공하고 있다.@