[Special Report] 고도화된 위협 대응의 ‘RE:SOLUTION’은?

안랩, AhnLab ISF 2014에서 ‘고객 주도형 보안’ 전략 제시

 

안랩 통합 정보보안 콘퍼런스 2014(AhnLab Integrated Security Fair, 이하 AhnLab ISF 2014)가 지난 10월 15일 서울 코엑스인터콘티넨탈호텔 하모니볼룸에서 개최됐다. 기업, 공공기관 IT 관리자 및 보안 담당자 2,000여 명이 참석한 이번 행사에서 안랩은 ‘RE:SOLUTION, Be more advanced than threats”이라는 주제와 함께 고도화ㆍ다변화되는 최신 위협에 대한 대응 전략으로 ‘고객 주도형 보안’을 제시했다. 또한 이날 행사는 바라쿠다, 한국EMC, 테너블 네트워크 시큐리티, 팔로알토 네트웍스, 아카마이코리아, 한국 HP 등 유수의 보안 업체들의 전시 및 테크니컬 쇼케이스가 진행돼 업체 간의 경계를 넘은 유기적인 협업을 통한 보안의 에코 시스템을 구축하겠다는 안랩의 의지를 확인할 수 있는 자리였다.  

 

 

2,000여 명의 국내 보안 담당자들을 대상으로 성황리에 진행된 AhnLab ISF 2014의 테마는 ‘RE:SOLUTION’이었다. 이날 행사에서 안랩은 12개의 주제 발표 및 부스 전시장 내에서 진행된 테크니컬 세션(Technical Session)을 통해 개별 솔루션(solution) 위주의 단순 대응을 넘어 산업군별 특성에 대한 이해와 기술 및 실효성 있는 솔루션의 연계를 통해 위협 요인에 대한 근본적인 해결(resolution)을 지향할 것이라고 강조했다.

 

 

Welcome Speech  고객 주도형 보안 전략

  

 

권치중 안랩 대표는 환영사를 통해 “나날이 증가하는 고도화된 보안 위협과 다양한 컴플라이언스 속에서 효과적으로 보안을 실행하기 위해서는 ‘우선 순위’의 기준을 정하는 것이 필요하다”며 “이때 기준이 되는 것이 바로 인텔리전스, 즉 고객의 경험과 니즈다”라고 말했다. 이어 보안 위협과 대응에 대한 각 고객의 경험에 안랩이 수집한 데이터와 정보를 결합해 고객의 특성과 요구에 최적화된 보안을 제공하는 것이 안랩이 정의하는 시큐리티 인텔리전스(Security Intelligence)라고 설명했다.

 

또한 “이러한 관점에서 더 나아가 안랩은 기존의 보안 업체에서 제공하는 솔루션과 노하우, 즉 보안 업체의 인텔리전스를 일방적으로 전달하는 인텔리전스가 아닌 고객의 인텔리전스를 지향하는 ‘고객 주도형 보안’을 제공할 것”이라며 이번 행사와 안랩이 바라보는 보안의 지향점을 정의했다.

 

 

Keynote Speech  안랩의 키워드는 ‘고객 경험’, 보안 모델은 ‘R.A.C.E’

 

‘고객 경험 기반의 보안(Customer Experience Based Security), R.A.C.E’라는 주제로 진행된 기조 연설을 통해 정진교 안랩 제품기획실 실장은 복잡다단해진 최신 보안 위협에 대해 고객별로 실효성 있는 대응을 구현하기 위한 보안 모델로 'R.A.C.E'를 제안했다. 정진교 실장은 “급변하는 IT 환경과 위협 속에서 안랩의 기준점이자 가장 중요한 데이터는 바로 고객 경험(Customer Experience)”이라며 “고객 경험이란 고객, 즉 기업의 비즈니스, 업무 프로세스, 내외부의 데이터, 또 보유 데이터의 영향도와 위험도뿐만 아니라 그 기업의 목표와 가치관, 문화까지 유/무형의 데이터를 포함하는 포괄적인 데이터”라고 설명했다.

 

이러한 고객 경험을 중심으로 최신 위협에 대응하기 위해서는 ▲실시간(Real-time)으로 위협 정보를 수집하고 정확하게 분석하여 제공해야 하고, 이렇게 분석 가공된 정보에 대해 ▲실질적인 행동(Action)으로 대응해야 하며 포인트 솔루션의 연계뿐만 아니라 기업 내 실무 부서와 보안 부서 간의 ▲유기적인 연계(Connected)를 통한 대응 모델이 바로 R.A.C.E라는 것. 또한 급변하는 IT 환경에 맞춰 보안 분야의 종사자들도 변화해야 하며, 특히 고객과 보안 업체가 쌍방향으로 정보를 주고 받으며 맞춤형 데이터를 생성할 수 있는 ▲진화(Evolution)가 필요하다고 강조했다. 이와 함께 “안랩은 독자적인 인프라와 노하우를 통해 고객이 필요로 하는 데이터를 제공할 수 있을 뿐만 아니라 그 데이터를 기반으로 실제 기술과 서비스, 솔루션이 융합되어 시너지를 창출할 수 있는 보안의 파트너가 될 것”이라고 말했다.

 

 

Re•Plan the Security  보안 대책을 재점검하라

 

트랙 A는 ‘보안의 RE: SOLUTION’을 마련하기 위한 첫 번째 단계로서 ‘보안 대책을 재점검하라(Re•Plan the security)’는 주제로 발표가 진행됐다. 엔드포인트부터 네트워크 레벨까지 기존의 보안 대책의 실효성을 점검하고 개선 방안을 제시했다.

 

 

엔드포인트 보안 강화의 해법, Back to the Basic!

 ▲ 이건용 안랩 제품기획팀 과장

 

다양한 보안 솔루션을 도입했음에도 불구하고 여전히 엔드포인트는 보안의 홀(hole)이 되고 있다. 이건용 안랩 제품기획팀 과장은 "사용자(End User), 즉 조직 구성원들은 보안 솔루션이 알아서 해결해줄 것이라고 생각하는 반면, 보안 관리자들은 사용자들이 보안 정책을 준수하고 있으리라고 믿고 있어 간극(gap)이 생긴다"고 지적했다. 

 

이어 “보안에 대한 인식의 폭을 줄이기 위해서는 사용자의 관점에서는 ‘쉬운 보안’이, 보안 관리자의 관점에서는 ‘엔드포인트의 가시성’을 확보할 수 있는 방안이 필요하다”고 강조했다. 안랩의 PC 취약점 조치 솔루션인 'AhnLab 내PC지키미'는 ▲백신 강제 업데이트 등 취약 항목 자동조치 ▲설문 기능 등 사용자 정의 보안 점검 ▲강제 조치 ▲패치관리 솔루션 연동 등 다양한 기능을 통해 쉬운 보안과 엔드포인트 보안 가시성 확보를 구현한다.

 

   

  

개인정보보호 솔루션, 잘 사용하고 계십니까? 

 

 ▲ 박문형 안랩 소프트웨어보안팀 차장

   

상당수 기업들이 개인정보보호 솔루션을 도입했음에도 불구하고 컴플라이언스를 충족하고 있는지에 대해서는 확신하지 못하는 형편이다. 이와 관련해 박문형 안랩 소프트웨어보안팀 차장은 “개인정보보호 솔루션은 개인정보의 특성을 고려한 기능과 컴플라이언스에서 요구하는 조치를 정확하게 이행할 수 있어야 한다"고 설명했다.

 

즉, 개인정보보호 솔루션은 개인정보를 다루는 직원들의 PC 등에서 유통되고 있는 ▲개인정보 현황을 파악하고 ▲암호화, 삭제 조치 등 컴플라이언스 요구를 충족함과 동시에 ▲ 다양한 경로를 통해 개인정보가 유출되는 시점에 탐지하고 차단할 수 있어야 한다는 것. 한편 박문형 차장은 “개인정보보호는 솔루션 도입만으로는 한계가 있다”라며 “성공적인 개인정보보호 솔루션 도입은 결국 기업의 비즈니스 환경에 적합한 유연한 정책 적용과 사후 관리 및 대처가 얼마나 잘 되느냐가 관건이다”가고 조언했다.

 

 

금융 환경 변화에 따른 능동적 보안 전략 구축 사례 

 

 

▲ 임기철 새마을금고중앙회 전산정보부 정보보호 팀장

 

올해 초 카드사 개인정보 유출 사고 이후 금융권의 컴플라이언스가 더욱 강화됐다. 임기철 새마을금고중앙회 전산정보부 정보보호 팀장은 “예방 차원을 넘어 사후 모니터링이 가능한 대응 방안이 필요하게 됐다”며 “새마을금고중앙회는 2012년 중장기 정보보호 마스터플랜을 수립한 데 이어 통합 보안 구축이 필요하다 판단했다”고 밝혔다.

 

새마을금고중앙회는 ▲보안 인프라 ▲안정적인 구축 ▲시스템 확산 적용 노하우의 세 가지 기준으로 검토한 결과 안랩의 통합 보안관제 도입을 결정했다. 임기철 팀장은 안랩 통합 보안관제 도입을 통해 향후 확장성, 개인정보 컴플라이언스 준수가 가능할 것으로 기대하고 있다고 전했다.

 

   

  

네트워크 경계(境界) 보안, 그 한계를 넘다

 

 

▲               유명호 안랩 제품기획팀 팀장              

 

‘차세대 위협’은 지능화, 복잡화되고 있으며 네트워크로 유입되는 악성코드의 감염 경로 또한 다변화되고 있다. 유명호 안랩 제품기획 팀장은 “트래픽 처리 성능 및 속도만으로는 차세대 네트워크 보안 솔루션으로 충분치 않다”고 지적했다. 기존 방식의 네트워크 보안 솔루션으로는 알려지지 않은 악성코드 등을 이용한 최신 보안 위협에 대응하기에는 한계가 있다는 것. 유명호 팀장은 “네트워크 보안의 성능 방해 최소화하면서 고도화된 위협에 대한 대응 기능도 요구된다”고 강조했다.

 

안랩의 차세대 네트워크 보안 솔루션인 트러스가드(AhnLab TrusGuard)는 탁월한 분산 처리가 가능한 아키텍처와 강력한 코어를 기반으로 뛰어난 처리 성능은 물론, 애플리케이션 컨트롤 기능을 통해 감염 경로를 차단하고, 사용자 기반의 정책 설정 등 내부 정보 유출 방지를 위한 능동적인 보안을 제공하고 있다. 

                     

 

 

Re•Plan Do the APT Defense APT 대응을 재개하라

 

트랙 B는 이른바 APT(Advanced Persistent Threats)로 일컬어지는 최신 ‘지능형 위협’에 대한 주제 발표들이 진행됐다. 특히 최근 시장에 쏟아지고 있는 다양한 APT 대응 솔루션의 차이와 기업의 특성에 맞는 솔루션 선택 방법을 제시하는 한편, 최신 공격 기법에 대해 상세하게 살펴보는 전문 세션이 눈길을 끌었다.

 

 

왜 ‘지능형 위협 대응’인가?

 

▲ 윤상인 안랩 제품기획팀 차장  

 

APT(Advanced Persistent Threat)로 대표되는 지능형 위협은 치밀한 사전 준비 작업을 거쳐 제로데이나 알려지지 않은(unknown) 악성코드를 이용한 신종 방식으로 성공할 때까지 지속적으로 공격한다. 게다가 최근 등장하고 있는 지능형 위협 대응 솔루션 마저 복잡하고 다양해 보안 담당자들의 혼란만 가중되고 있다.

 

이에 대해 윤상인 안랩 제품기획팀 차장은 “보안의 태생적인 한계처럼 APT도 결국 원천 방어 자체는 불가능하다는 것을 인지하고 출발해야 실효성 있는 APT 대응 체계 구현 및 운용이 가능하다”며 “위협 대응에 대한 기대 수준을 조절하고 현실적인 대응 체계 구현을 추진해야 한다”고 설명했다. 이어 “APT 대응 솔루션이 제대로 동작하기 위해서는 악성코드가 어떻게 생성됐는지, 어디에서 왔는지에 대한 실시간 분석이 가능해야 하며 침투한 위협에 대한 엔드포인트 단에서의 대응이 가능해야 한다”고 강조했다.   

 

 

 

실제 사례로 본 ‘지능형 위협 대응’, 도입부터 운영까지

 

▲ 이종현 안랩 글로벌TAC팀 과장

 

이종현 안랩 글로벌TAC팀 과장은 “흔히 APT는 고도의 기술에 의한 공격이라고 생각하기 쉽지만 이 또한 결과적으로는 사람에 의한 공격”이라고 전제한 뒤 “공격자의 관점에서 이해하려는 노력이 필요하다”고 말했다. 공격자는 기업 내부로 침투하기 위해 타깃 기업의 시스템과 보안 솔루션을 검토하고 우회하는 방법을 검토하는 반면 기업의 소극적인 대응 방안 모색이 아쉽다는 것이다.

 

한편 최근 다양한 보안 솔루션들이 APT 대응이 가능하다고 주장하지만 실제로는 APT 대응과는 상관없는 기능이 중심인 솔루션들이 많다고 지적했다. 이어 APT 대응 솔루션의 선택 기준으로 ▲네트워크로 유입되는 전체 파일에 대한 분석 ▲최신 공격 트렌드를 탐지할 수 있는 다양한 기술과 함께 ▲관리 효율성 ▲비용 효율성 등을 제시하고 실질적인 운영 방안에 대한 고려도 선행되어야 한다고 조언했다.

 

                                                                                                                                  

익스플로잇 기반의 APT 공격 사례로 본 행위기반 기술의 한계

 

 

▲ 임차성 안랩 네트워크 개발실 선임

 

임차성 안랩 네트워크개발실 선임은 실제 국내 기업의 공격에 이용된 문서 파일 익스플로잇 공격과 사용자의 특정 행위에 의해서만 발현되는 악성코드가 포함된 문서 파일 공격, 특정 OS 버전에 설치된 특정한 애플리케이션 버전의 조건이 맞을 때만 동작하는 악성코드 등을 시연해 이목을 집중시켰다.

 

임차성 선임은 “다른 보안 위협에 비해 APT 공격이 발생하는 빈도가 높지는 않지만 문제는 이것이 ‘진짜’ 공격이라는 것”이라고 경고하고 “현실적으로 모든 IT 환경을 구현할 수 없는 상태에서 기존의 행위기반 기술만으로는 이러한 위협의 유입을 탐지하기 어렵다”고 꼬집었다.

 

안랩은 독자적인 동적 콘텐트 분석 기술(Dynamic Intelligent Content Analysis, DICA) 기술을 통해 이러한 최신 문서형 악성코드가 악의적인 행위를 하기 전에 신속하게 탐지한다. 

 

  

APT 공격 최후의 방어선‘엔드포인트’ 보안의 진화

 ▲ 김창희 안랩 제품기획팀 차장    

 

최근의 보안 침해사고를 살펴보면 공격 흔적을 추적하여 의심 파일을 채취하더라도 이미 그 파일이 유입된 경로나 그 파일에 심어둔 숙주 파일의 흔적은 찾지 못 하는 경우가 대부분이다. 이것이 바로 1%의 알려지지 않은 위협이다.

 

김창희 안랩 제품기획팀 차장은 “위협의 유입 경로와 숙주 파일 등 연관된 과정을 모두 확인해야만 정확한 피해를 확인할 수 있을 뿐만 아니라 추가 위협에 대응할 수 있다”며 “가시성(Visibility)과 적시성(Timeliness), 정확성(Accuracy)을 함께 확보할 수 있어야만 엔드포인트에 존재하는 알려지지 않은 위협을 파악하고 대응할 수 있다”고 강조했다. 

 

엔트포인트 위협 모니터링 및 분석/대응 솔루션 AhnLab MDSE는 기업 내 엔드포인트의 모든 파일과 행위, 유입경로를 실시간으로 탐지 및 분석해 구체적인 정보를 제공해 보안 관리자는 위협의 수준에 따라 신속하게 의사 결정을 할 수 있다. 

 

  

                                                                                                                         

Re•See the Intelligence 보안 인텔리전스를 재평가하라

 

‘보안 인텔리전스를 재평가하라’는 주제로 진행된 트랙 C에서는 기존 공급자 중심의 오퍼링모델이 아닌 수요자 중심으로 새롭게 재편된 ‘안랩 시큐리티 프레임워크 2014’를 공개하고, 차세대 통합 위협 탐지/분석 모델과 클라우드 기반의 보안 전략 및 서비스를 소개했다. 또한 안랩의 보안 관제 서비스와 EMC/RSA, 아카마이 등 협력업체의 서비스 연계를 통해 고도화된 최신 보안 위협을 효과적으로 탐지 및 대응하고 있는 실제 사례도 공유했다.

 

차세대 보안 아키텍처를 위한 협업 전략

 

▲ 최광호 안랩 SI사업팀 팀장     

 

기업들이 보안에 많은 투자를 함에도 불구하고 보안 사고가 끊이지 않고 발생하는 원인은 무엇일까. 최광호 안랩 SI사업팀 팀장은 “방어 시나리오 측면에서는 사고 발생 시 수동적인 대응 위주에서 ▲능동적인 선제 대응으로, 컴플라이언스 측면에서는 체크리스트 기반에서 ▲업무영향도 분석기반으로, 운영면에서는 노동집약적 관점에서 ▲인텔리전스 관점으로 변화해야 한다”고 주장했다.

 

또한 “실제 환경에서의 적용은 사고에 대한 책임보다는 ▲사용자 편의성과 접근성을 강화에 초점을 맞춰서 변화해야 한다”고 강조했다. 이와 관련해 안랩은 기존 공급자 중심의 오퍼링 모델과는 차별화된, 수요자 중심으로 ‘안랩 시큐리티 프레임워크 2014’를 재편했다. 이를 통해 ▲APT 대응 및 사후 추적 강화 ▲내부통제 고도화 ▲개인정보 오남용 모니터링 강화 ▲보안관제 고도화 등 4가지 오퍼링 모델을 제공하고 있다.  

 

  

 
가시성 기반의 차세대 보안 관리 모델 구축 전략

 

▲ 이상구 안랩 서비스상품기획팀 부장   

 

이상구 안랩 서비스상품기획팀 부장은 “향후 보안 전략은 침해사고의 일시적인 대응보다는 지속적인 모니터링을 통해 침해사고 징후에 대한 끊임없이 분석해 적시에 탐지하고, 발견된 문제점에 대한 개선을 강화하는 관점으로 전환되어야 한다”고 주장했다.

 

이에 따라 안랩은 차세대 보안 관리 모델의 핵심 요건으로 ▲빅데이터 기반의 수집 및 분석 ▲가시성 확보를 위한 다양한 데이터 수집 및 처리 ▲이상징후 탐지를 위한 이기종 장비의 상관분석 ▲시나리오 기반 컨텍스트 분석 ▲데이터 시각화를 통한 보안 인사이트 확보 ▲협업과 자동화 등을 내세우고 있다. 이를 기반으로 한 안랩의 차세대 보안 관제 서비스(NG-MSS)는 차세대 원격 관제에 최적화된 프레임워크, 듀얼 SIEM, 데이터 인사이트 기반 사용자 대시보드를 적용해 타 서비스와 차별화된 위협 탐지와 보안 가시성을 제공한다. 

 

  

최신 위협 대응을 위한 차세대 보안 관제 전략, Beyond SIEM

 

▲ 조남용 EMC RSA 보안사업본부 부장   

 

현재의 보안 위협은 공격자의 능력의 점점 더 강해지는 반면, 공격 발견 소요시간은 점점 더 길어지고 있다. 조남용 EMC RSA 보안사업본부 부장은 “기존의 시그니처 기반의 예방 위주의 보안 전략에서 현재는 인텔리전스 주도형(Intelligence-driven) 기반의 탐지로 보안에 대한 새로운 접근이 필요한 시기”라고 설명했다.

 

이에 대한 EMC의 접근 방법 또한 인텔리전스 주도형 보안(Intelligence-driven Security)으로 ▲사건에 대한 데이터 수집 및 가시화(Visibility) ▲보안 위협이 내재된 이상 행위 탐지(Analysis) ▲비즈니스 손실을 최소화 할 수 있는 조치 (Action) 등이다. 조남용 부장은 이러한 접근 방법에 따라 패킷(Packet), 로그(Log), 엔드포인트(Endpoint), 넷플로우(NetFlow)를 연계한 이른바 ‘Beyond SIEM’ 모델을 제시했다. 

 

 

 
클라우드 기반의 보안 서비스 전략 및 고객 사례

 

▲ 정택진 아카마이 테크놀로지 이사  

 

다양한 공격툴이 등장해 지능화된 공격이 늘어남에 따라 공격이 발생하는 근원지에서 이상 징후를 감지하고 차단할 수 있는 방안이 필요한 시점이다. 정택진 아카마이 테크놀로지 이사는 "클라우드 기반 다경계 보안은 분산서비스거부 공격은 물론 SQL 인젝션, 크로스 사이트 스크립팅 등 다양한 웹 애플리케이션 공격을 포함한 다양한 공격을 효과적으로 방어할 수 있다"고 말했다.

 

이어 대표적인 국내 제조 업체의 사례를 소개하며, 안랩의 관제 서비스와 아카마이의 웹 방화벽 및 RUS(Rule Update Service)를 통한 인터넷 영역에서 유해 공격을 차단했다고 설명했다.

 

아카마이는 안랩과의 비즈니스 파트너십을 통해 자사의 클라우드 서비스 이용 고객에게 ▲안랩의 보안 전문가들이 최적화된 웹 보안 정책 수립 ▲365일/24시간 무중단 원격 모니터링 및 대응 ▲솔루션 관리운영 등 강력한 클라우드 보안 서비스 등을 제공하고 있다. 

   

 

 

위협보다 한 발 앞설 수 있는 방법은 최신 ‘정보’와 ‘공유’다

  
 

AhnLab ISF 2014는 최신 보안 동향과 실제 기술을 한 자리에서 확인할 수 있게 한다는 것이 특징이다. 참관객들은 발표 세션은 물론, 전시장 부스를 찾아 최신 기술이 실제 구현되는 모습을 지켜보고 각 기업의 실정에 맞는 솔루션을 살펴보느라 여념이 없었다.

  

 

테크니컬 쇼케이스에 방문객들의 바쁜 발걸음이 이어졌다. 바라쿠다(Barracuda), 테너블 네트워크 시큐리티, 팔로알토 네트웍스, 한국 HP 등 안랩의 비즈니스 파트너사들이 참여한 테크니컬 쇼케이스(Technical Showcase)는 다양한 최신 기술의 소개는 물론, 기존의 보안 솔루션과 연계하여 보안 수준을 강화할 수 있는 방안이 소개됐다.

 

 

 

고도화된 보안 침해사고가 증가함에 따라 안랩의 포렌식 조직의 테크니컬 쇼케이스 발표와 전시부스에 많은 참관객의 발길이 몰렸다. 안랩의 포렌식 전문 조직인 A-FIRST(AhnLab Forensic & Incident Response Service Team)는 침해사고에 대한 사후 대응뿐만 아니라 고도화된 위협에 대비하기 위한 사전 대응까지 아우르는 포렌식 서비스를 제공하고 있다.

 

  
 

이번 행사에서는 파트너와의 상생과 보안의 에코시스템을 강조하는 안랩의 기조에 따라 파트너 존이 더욱 다채롭게 구성됐다. 바라쿠다, 한국EMC, 테너블 네트워크 시큐리티, 팔로알토 네트웍스, 아카마이코리아, 한국 HP 등 유수의 보안 업체들과 마크윈, 소프트이천, 한국정보시스템, 엘리시스, 유니포인트 등 안랩의 파트너사들의 열기로 뜨거웠다.@