엔드포인트 보안의 변혁기, 그 중심에 ‘플랫폼’이 있다

안랩이 지난 9월 13일 서울 JW메리어트호텔에서 기업, 금융, 공공 부문 등 고객사 보안 담당자를 대상으로 통합 보안 컨퍼런스 ‘안랩 ISF 2018’을 진행했다. 이번 행사에서는 글로벌 리서치 기관 가트너(Gartner)의 애널리스트인 프라틱 바잔카(Prateek Bhajanka)의 기조 연설을 비롯해 최신 보안 동향과 대응 전략을 주제로 다양한 세션 발표가 진행됐다. 또한 안랩의 최신 제품과 서비스 시연을 위한 부스 운영은 물론, 쇼케이스 프로그램과 온•오프라인 이벤트 등 고객이 직접 참여할 수 있는 다양한 콘텐츠를 제공해 이날 행사에 참석한 보안 관계자 400여 명의 큰 호응을 얻었다.

▲ 지난 9월 개최된 AISF 2018 행사에 보안 관계자 400여 명이 참석해 성황을 이뤘다. 

안랩은 올해 6월과 7월, 두 달에 걸쳐 서울을 포함한 전국 여섯 개 도시에서 산업군 및 지역별 보안 책임자와 보안 담당자를 대상으로 ‘맞춤형 보안 전략 세미나’ AISF 스퀘어(AISF Square)를 개최했다. 이어 지난 9월에는 V3 탄생 30주년 기념을 겸해 고객의 성원에 보답하기 위해 각 기업 및 기관에서 실무를 담당하고 있는 보안 담당자를 위한 ‘통합 보안 컨퍼런스’ AISF 2018을 개최했다.

권치중 대표이사는 이날 행사에서 환영사를 통해 “안랩은 실행 가능한 고객 주도형 보안(Customer-driven Security)을 기조로, 단순 제품이 아니라 실제 고객이 필요로 하는 보안, 쉽게 도입하고 운용할 수 있는 보안을 제안하고자 노력하고 있다”며 “그 일환으로 올해는 산업군 및 지역별 AISF 스퀘어뿐만 아니라 고객의 요청에 따라 전체 고객사를 위한 AISF를 추가로 개최하게 됐다”는 말로 행사의 취지를 밝혔다.

또한 “올해는 안랩에게 있어 V3 탄생 30주년을 맞이한 뜻 깊은 해”라며 “V3는 IT 환경과 보안 위협의 변화에 따라 연구와 발전을 거듭해 V3 제품을 필두로 올해 출시된 안랩 EDR에 이르기까지 다양한 제품으로 변화(Transform)를 계속해왔다”고 말했다. 이어 “현재 V3가 글로벌 인증기관에서 우수한 성적을 거두고 5회 연속 최우수 제품으로 선정되는 등 세계적으로 기술력을 인정받고 있는 원동력은 지난 30년간 V3에 관심과 성원을 보내주신 고객이다”라며 다시 한 번 감사를 표했다.

▲ 안랩 권치중 대표이사는 환영사를 통해 V3 탄생 30주년을 맞아 이날 행사에 참석한 고객들에게 감사의 인사를 전했다.

엔드포인트 보안, 왜 ‘플랫폼’을 말하는가

지난 9월 개최된 AISF 2018은 안랩의 위협 대응 전략과 기술을 소개하는 ‘플랫폼 기반의 보안 위협 대응 전략(Security Platform & Strategy)’, 최신 보안 위협 동향과 실제 사례에 대한 상세한 분석 정보를 공유하는 ‘트렌드와 기술(Trend & Technology)’ 등 두 가지 주제의 트랙에서 발표 세션을 진행했다. 이에 앞서 가트너의 프라틱 바잔카 애널리스트와 안랩 엔드포인트 사업기획실 이상국 상무의 기조 연설이 있었다.

▲ 가트너의 프라틱 바잔카 애널리스트와 안랩 이상국 상무의 기조 연설을 

관통하는 키워드는 ‘보안의 변혁(Transformation)’과 ‘플랫폼(Platform)’이었다.

프라틱 바잔카 애널리스트는 ‘글로벌 엔드포인트 보안 플랫폼 시장의 이해(Understanding Global Endpoint Protection Platform Market)’라는 주제로, 엔드포인트 보안에 대한 관점의 변화와 함께 엔드포인트 보안 플랫폼(Endpoint Protection Platform, 이하 EPP)의 트렌드와 향후 전망을 공유했다. 그는 “현재 EPP 시장은 변혁의 시기를 겪고 있다”며 “EDR은 더 이상 독자적인 솔루션이나 시장이 아니라 백신(AV)과 더불어 EPP의 구성 요소로서 통합되고 있다”고 말했다. 또한 “기업과 기관에서는 보안 솔루션 도입의 우선 순위를 수정하고 있다”면서 “현재 사용 중인 보안 제품이 우선 순위에 적절히 대응하고 있는지를 검토하는 것이 먼저다”라고 조언했다. 이어 “주요 글로벌 기업들은 이제 비용 절감이 아니라 위협 대응력 강화를 최우선 순위로 두고 있다”고 덧붙였다.

가트너 애널리스트의 기조 연설에 이어 안랩 이상국 상무가 ‘엔드포인트 플랫폼으로의 진화(Transformation to the Endpoint Platform)’라는 주제로 보안에 있어서의 변화와 변혁에 대해 기조 연설을 진행했다. 이상국 상무는 “공격자는 타깃 기업의 취약 지점을 찾기 위해 인프라부터 임직원, 비즈니스까지 분석해 다각도에서 지속적으로 공격한다”며 “기존과 같은 개별 포인트 솔루션 중심의 대응으로는 보안의 실효성이 떨어진다”라고 지적했다. 이어 “각각의 솔루션을 하나의 플랫폼 상에서 하나의 에이전트를 통해 유기적으로 운용할 수 있어야 한다”며 “플랫폼을 기반으로 보안 솔루션을 도입하는 즉시 운영하고 공격의 표면을 최소화함으로써 현재 발생하는 공격의 피해를 줄이고 차후의 공격까지 대비할 수 있다”고 강조했다.

한편, 이상국 상무는 “안랩도 EDR 솔루션을 제공하고 있지만 EDR이 보안의 만병통치약은 아니다”라며 “EDR을 이용해 조직 내부에 존재하는 위협 요인에 대한 가시성을 확보하는데서 끝나는 것이 아니라 확인한 위협에 대해 실질적인 조치가 가능해야 한다”고 조언했다.

플랫폼 기반의 보안 위협 대응 전략(Security Platform & Strategy)

▲ (왼쪽 상단부터 시계 방향) 안랩 백민경 부장, 김봉필 부장, 안병무 차장, 

조태희 부장이 안랩 솔루션을 중심으로 ‘플랫폼 기반의 보안 위협 대응 전략’에 관해 발표했다.

지금 보안 관리자에게 필요한 것은?

안랩 제품기획팀 백민경 부장은 ‘보안 관리자를 위한 혁신적인 엔드포인트 보안 운영 전략’이라는 주제로, 엔드포인트 하드닝을 통한 최신 보안 위협 대응과 효율적인 보안 운영 방안을 설명했다. 백민경 부장은 “엔드포인트의 다양한 취약 지점을 노리는 고도화된 악성코드를 막기 위해서는 엔드포인트 하드닝이 필요하다”면서도 “단순히 보안 솔루션만 추가하다 보면 에이전트와 관리 콘솔도 함께 늘어나 임직원의 시스템 리소스 저하나 관리자의 부하가 발생해 결과적으로 보안의 효율성과 실효성이 떨어진다”고 지적했다. 이어 “다수의 보안 솔루션을 상호 연계하여 유기적으로 운용할 수 있는 플랫폼 기반의 보안 운영이 필요하다”고 강조했다.

차세대 엔드포인트 보안 플랫폼인 안랩 EPP는 단일 관리 콘솔과 단일 에이전트를 통해 V3 제품군, 안랩 EDR, 안랩 패치매니지먼트 등 안랩의 주요 제품에 대한 효율적인 통합 운영과 관리를 제공한다.

새로운 키워드 ‘위협 사냥’과 ‘MDR’, 핵심은?

안랩 제품기획팀 김봉필 부장은 ▲가시성(Visibility) ▲EDR(Endpoint Detection and Response) ▲위협 사냥(Threat Hunting) ▲MDR(Managed Detection and Response) 등 현재 보안 분야에서 가장 핫한 키워드를 중심으로 위협 대응의 트렌드에 대해 알기 쉽게 설명했다. 김봉필 부장은 “이 키워드들은 서로 연결되어 있는 개념”이라고 설명했다. EDR이 엔드포인트 영역에 대한 가시성을 확보해 내부에 존재하는 위협을 탐지하고 대응하는 기술 또는 솔루션이라면, 위협 사냥은 내부로 유입된 위협의 흔적을 찾아내 조치 방안을 수립하는 것이며, MDR은 기업의 위협 대응 및 위협 사냥을 도와주는 서비스라는 것. 김봉필 부장은 “EDR이 MDR 서비스의 필수 요소는 아니다”라면서도 “EDR이라는 툴을 이용한 MDR 서비스가 가장 효과적인 보안 관제를 제공할 수 있다”고 말했다. 또한 “안랩은 EPP 플랫폼 기반의 EDR과 디지털 포렌식 서비스, 프로페셔널 서비스 연계를 통해 더 나은 탐지 및 위협 대응력을 제공함으로써 보안 관제의 효과를 극대화할 것”이라고 전했다.

고도화된 위협 대응, ‘보는’ 것이 ‘힘’이 되려면?

현재 대다수의 국내외 보안 업체들이 주력 제품의 분야를 막론하고 ‘가시성’을 강조하고 있다. 그러나 여전히 보안의 가시성이 무엇인지, 가시성으로 무엇을 할 수 있는지 공감하지 못하는 보안 담당자들이 많다. 이와 관련해 안랩 제품기획팀 안병무 차장은 “현재 발생하고 있는 공격의 전개 양상 때문에 위협에 대한 가시성 확보가 중요하다”고 설명했다. 현재 거의 모든 공격이 고도화, 다각화된 양상으로 전개되기 때문에 이에 효과적으로 대응하려면 공격의 유입 지점부터 이동, 행위 등 전반적인 공격 프로세스를 파악할 수 있어야 한다는 것이다.

또한 “보안 솔루션마다 대응의 범위가 다르기 때문에 가시성을 제공하는 영역도 다르다”며 “엔드포인트 영역에서는 EDR로, 네트워크 영역에서는 샌드박스 기반의 위협 탐지 솔루션을 이용해 조직 내부의 보안 사각 지대를 최소화하는 것이 중요하다”고 강조했다. 이어 “보는 것이 진짜 힘을 발휘하려면 가시성뿐만 아니라 확인한 위협에 대해 실질적인 대응 조치를 제공하고 필요 시 추가적인 위협 분석 정보를 제시할 수 있는 제품과 업체를 선택해야 한다”고 조언했다.

샌드박스 기반의 지능형 위협 대응 솔루션 안랩 MDS는 멀티엔진과 독자적인 머신러닝 기술이 적용된 퀀텀러닝을 통해 인터넷, 이메일 등을 통해 유입되는 공격에 대한 전반적인 가시성을 제공하며, 공격의 진행 단계별 최적의 대응 조치를 제공한다.

편의점과 스마트팩토리의 공통점은?

공장 등 산업시설 제어 시스템, POS 단말기를 비롯해 ATM 기기, 키오스크 등 특정한 목적만을 위해 사용되는 디지털 기기는 특수목적 시스템으로 분류된다. 일반 사무용 IT 시스템은 데이터 보호 등 기밀성이 가장 중요한 반면, 산업시설을 제어하는 OT(Operation Technology) 시스템은 생산을 위한 시스템 가용성이 최우선 순위다. 이와 관련해 안랩 조태희 부장은 ‘특수목적 시스템의 보안 위협과 대응 방안’이라는 주제로 발표했다.

조태희 부장은 “이전의 OT 시스템은 대부분 IT 망에서 격리하고 전용 프로토콜을 사용했기 때문에 보안 리스크가 상대적으로 적었지만 최근 IT와 OT간의 경계가 모호해지면서 이에 따른 보안 리스크가 증가하고 있다”고 지적했다. 또한 “운영을 위한 특수목적 시스템의 상당수가 저사양 단말인 경우가 많아 백신(AV) 등 보안 솔루션 운용이 어렵고 여전히 구 버전의 운영체제나 소프트웨어를 이용하는 경우도 많아 위협에 노출되어 있다”며 “그러나 보안 패치를 적용하다가 예기치 않은 다운타임이 발생할 경우 생산 및 서비스 장애로 이어질 수 있어 기업의 입장에서는 위험 부담이 크다”고 말했다. 조태희 부장은 “특수목적 시스템의 가용성을 보장하면서도 위협 노출을 최소화하기 위해 화이트리스트 기반의 시스템 제어 방안이 필요하다”며 “안랩 EPS는 애플리케이션 화이트리스팅 기술과 락다운 기능 등 시스템 제어와 함께 서버를 통한 악성 파일의 분석 및 대응을 제공해 단말 시스템의 부하를 최소화하는 특수목적 전용 보안 솔루션이다”라고 설명했다.

최신 보안 위협 트렌드와 대응 기술(Trend & Technology)

▲ (왼쪽 상단부터 시계 방향) 안랩 차민석 수석연구원, 김행수 팀장, 박준용 팀장, 이명수 책임연구원이 

‘최신 보안 위협 트렌드와 대응 기술’을 중심으로 실제 공격 기술 시연부터 안랩의 주요 기술 및 로드맵에 대해 발표했다. 

국내 기업과 기관을 노리는 위협 그룹의 실체

안랩 분석연구팀 차민석 수석연구원은 ‘주요 위협 그룹과 공격 동향’이라는 주제로, 국내 기관 및 기업을 노리는 해킹 그룹의 특징과 실제 공격 사례를 상세히 소개했다. 차민석 수석연구원은 “세계적으로 악명 높은 위협 그룹인 라자루스(Lazarus)의 하위 그룹으로 알려진 안다리엘(Andariel)의 국내 활동이 두드러진다”며 “스피어 피싱, 워터링홀 기법뿐만 아니라 국내 기업에서 주로 사용하는 IT 자산관리 솔루션이나 기타 관리 솔루션을 이용하는 공급망 공격 등 지속적으로 공격을 다각화하고 있다”고 설명했다. 또한 “샌드박스 기반의 분석 환경을 확인하여 보안 솔루션의 분석과 탐지를 회피하는 등 공격 방식도 고도화되고 있다”며 “따라서 기업의 대응 또한 다계층적인 체계가 필요하다”고 말했다. 특히 “다각화, 고도화되는 최신 공격에 대응하기 위해서는 내부로 유입되는 위협 전반에 대한 가시성을 확보해 현재 위협에 대해 조치하고 향후 동일한 경로로 유입되는 공격까지 예방할 수 있어야 한다”고 조언했다.

엔드포인트 보안 기술, 어떻게 변할까

오늘날 ‘엔드포인트’라는 개념은 기존의 윈도우나 맥OS, 리눅스 OS 기반의 시스템뿐만 아니라 가상 데스크톱(Virtual Desktop), 심지어 상용 클라우드(Public Cloud)까지 확장되고 있다. 이처럼 엔드포인트가 확장되면 ‘엔드포인트 보안’의 영역 또한 확대될 수 밖에 없다. 이와 관련해 안랩 EPP개발팀 김행수 팀장은 ‘안랩의 EPP와 EDR, 무엇이 다른가’라는 주제로 안랩 엔드포인트 보안 플랫폼의 구조와 향후 로드맵에 대해 상세히 소개했다.

김행수 팀장은 “이제 확장된 엔드포인트에서의 보안이 얼마나 효과적으로 관리될 수 있느냐가 관건”이라며 “안랩은 효율적인 엔드포인트 보안 관리를 위해 차세대 플랫폼인 안랩 EPP를 설계하면서 확장성과 유연성을 가장 먼저 고려했다”고 말했다. 또한 “기업의 IT 환경 변화에 대비해 컨테이너(Container), 가상화(Virtual), 클라우드 환경을 지원할 예정이며, 현재의 설치형(On-premise) 방식뿐만 아니라 클라우드 방식을 동시에 지원하는 하이브리드 형태까지 다양한 방식으로 제공할 계획”이라고 밝혔다.

한편, 김행수 팀장은 EDR과 관련해 “위협 탐지•대응 솔루션 EDR은 에이전트 시스템에 부하를 주지 않으면서 모든 행위 정보를 수집하여 분석 서버로 보낼 수 있어야 한다”며 “따라서 커널 모드와 관련한 기술력이 없다면 제대로 된 EDR 솔루션을 제공할 수 없다”고 단언했다. 이어 “일부 EDR 솔루션이 별도의 커널 드라이브를 사용하지 않는다고 주장하지만 사실과 다른 경우가 많다”고 지적하고 “안랩 EDR은 V3의 MDP 엔진을 활용해 엔드포인트의 행위 정보를 수집하기 때문에 별도의 커널 드라이브가 필요하지 않으며 그만큼 엔드포인트 시스템에 부담을 주지 않는다”고 단언했다. 

클라우드 네이티브 아키텍처 기반의 위협 인텔리전스 공유를 예고하다

안랩 MDS클라우드개발팀 박준용 팀장은 ‘안랩 클라우드 보안 플랫폼 아키텍처’라는 주제로, 최신 트렌드인 머신러닝 및 클라우드 네이티브 관점의 보안 기술에 대해 발표했다. 박준용 팀장은 먼저 최신 IT 및 보안 트렌드와 관련된 샌드박스, 머신러닝, 컨테이너, 도커(Docker), 마이크로서비스(Micro Service), 클라우드 네이티브(Cloud Native) 등의 개념을 설명하고, 안랩의 머신러닝 기술과 클라우드 네이티브 아키텍처에 대해 소개했다.

박준용 팀장은 “안랩은 지난 2017년 샌드박스 기반의 지능형 위협 대응 솔루션 안랩 MDS에 자체 머신러닝 기술인 퀀텀러닝(Quantum Learning)을 적용하는 한편, 이때부터 V3 및 ASD(AhnLab Smart Defense)와 관련해 클라우드 네이티브 아키텍처를 준비해왔다”고 밝혔다. 그는 “안랩이 클라우드 네이티브 아키텍처를 선택한 이유는 빠르게 변화하는 비즈니스 환경에 실질적인 적응형 보안 아키텍처(Adaptive Security Architecture)를 제공하기 위한 것”이라며 “IoC를 포함한 위협 인텔리전스 피드(Threat Intelligence-feed)를 제공함으로써 고객의 위협 탐지력 향상과 대응 최적화에 기여할 것으로 기대한다”고 말했다.

또한 머신러닝 기반의 보안에 대한 관심이 높은 것과 관련해 “매일같이 신•변종 악성코드가 대량으로 쏟아지는 상황에서 머신러닝 기술은 분류하고 비교함으로써 신속한 대응이 가능하다”면서도 “머신러닝은 위협 예측 면에서는 강점이 있지만 위협에 대한 설명을 제공하는 데는 한계가 있다”고 지적했다. 이어 “이를 보완하기 위해 안랩은 클라우드 샌드박스 기술을 추가할 예정이며, 이를 통해 분석 시간을 10배 이상 단축하는 동시에 위협에 대한 인사이트를 더욱 빠른 속도로 공유할 수 있을 것”이라고 전했다.

기업 내부망을 타고 이동하는 위협(Lateral Movement)

안랩 분석연구팀 이명수 책임연구원은 ‘위협의 내부망 이동(Lateral Movement)과 대응’이라는 주제로, 실제 보안 침해사고에 대한 포렌식 분석 사례와 최신 공격 기법에 대해 상세히 설명했다. 이명수 책임은 전 세계 지능형 위협(APT) 그룹의 최신 공격 기법과 공격 시나리오를 공유하는 한편, 실제 해킹 과정에 대한 데모를 시연해 이목을 집중시켰다.

이명수 책임연구원은 “보안 침해사고가 발생한 기업에서 침해 사실을 알아차리기까지 평균 170일 가량 소요된다”면서 그 원인으로 악성코드 탐지 시 원인 파악 없이 치료, 시스템 포맷 등의 대응만 수행하는 것과 사전에 보안 침해사고를 대비한 활동(위협 사냥, Threat Hunting)을 하지 않는다는 점, 공격자는 침입 후 내부망 침해에는 악성코드 보다는 LOLBins와 같은 정상 프로그램을 악의적으로 활용한다는 점 등을 꼽았다. 

또한 “침해사고 분석 시 가장 중요한 부분이자 가장 어려운 부분이 위협의 내부망 이동(Lateral Movement)을 추적하는 것이다”라며 “공격자가 침입의 흔적을 삭제하는 것도 원인이지만 기업 내부에 존재하는 로그가 부족한 점도 문제”라고 지적했다. 이어 “기업의 엔트포인트 영역에서 진행되는 위협의 내부망 이동과 침해사고에 대비하기 위해 엔드포인트의 모든 행위 로그를 수집하고 최소 6개월에서 2년 정도 보관할 필요가 있다”며 “이와 더불어 조직 내에서 허니팟을 운영하거나 머신러닝 기술을 이용해 정상 프로그램을 악용하는 위협을 탐지하는 것도 침해사고 예방에 도움이 될 것”이라고 조언했다.

보고 듣고 즐기는 AISF, 보안 담당자들의 오감만족

이번 AISF 2018 행사는 발표 세션뿐만 아니라 보고, 듣고, 고객이 직접 참여하고 즐길 수 있는 다양한 콘텐츠를 제공했다.

행사장 중앙에 마련된 제품 전시 부스에서는 올해 출시된 안랩 EPP, 안랩 EDR을 비롯해 지능형 위협 대응 솔루션 안랩 MDS, 특수목적 시스템 전용 보안 솔루션 안랩 EPS의 데모 시연이 진행됐다. 또 안랩 프로패셔널 서비스와 관련해 시나리오 기반의 실제 서비스 진행 과정을 생생하게 소개했다. 

이와 함께 안랩 공인파트너사인 소프트2000, LNS, 디노텍이 상담 부스를, 협력사인 한국IBM(총판 유니포인트), 한화시스템이 솔루션 부스를 마련해 AISF 2018 행사에 참석한 고객들의 궁금증을 해소했다.

▲ 안랩의 공인 파트너사들과 협력사들의 활약으로 이번 AISF 2018 행사장은 더욱 활력이 넘쳤다.

한편, 별도로 마련된 쇼케이스 센터에서는 안랩과 한국IBM, 한화시스템의 전문가들이 최신 보안 기술 및 솔루션을 시연해 참석자들의 눈과 귀를 사로잡았다.

▲ 쇼케이스 센터에서 진행된 안랩 제품 및 IBM, 한화시스템의 솔루션 시연에 보안 담당자들의 시선이 집중됐다. 

▲ 이번 AISF 2018 행사에서는 다양한 온•오프라인 참여 이벤트를 진행해 참석자들의 큰 호응을 받았다.

이 밖에도 안랩은 이번 행사가 진행되는 동안 최신 보안 위협과 보안 기술을 탐구하는 보안 담당자들을 위해 스탬프 이벤트와 페이스북 이벤트 등 다양한 즐거움도 함께 제공했다. ​