보안 인사이트
엔키화이트햇
Nov 14, 2024
서론
최근 침해 사고의 피해 규모 및 심각성이 커지면서 IT 자산 식별의 중요성이 부각되고 있습니다. 특히 비중요 자산, 관리되고 있지 않은 자산은 기업의 보안에 있어 큰 허점이 될 수 있는데요. 이번 글에서는 지속적인 자산 식별의 관리 중요성과, 이를 통해 침해 사고를 예방할 수 있는 방안에 대해 다뤄보겠습니다.
치밀한 자산 식별이 중요해지고 있는 침해 사고 예방
멘디언트의 최근 조사에 의하면, 침해 사고가 발생했을 때 서비스의 중요도에 따라 인지하는 시간(Dwell Time)에 큰 차이가 있는 것으로 나타나는데요. 중요한 서비스(Internal) 구간에서는 비교적 빠르게 침해 사실을 인지하고 대응하는 반면, 비중요 서비스(External) 및 자산에 대해서는 침해를 인지하는 데 장기간이 소요되고 있는 것으로 나타났습니다.
여기서 중요한 점은, 인지 시간에 오랜 시간이 걸리는 것은 공격자에게 침투 시간을 더 많이 제공하는 결과를 낳기 때문에, 비중요 서비스라고 해서 방치하면 안 된다는 점인데요. 따라서 비중요 서비스라고 하더라도 중요 서비스와 동일한 수준의 모니터링과 관리를 수행하는 것이 중요합니다.
증가하고 있는 오픈소스 및 상용 취약점 스캔을 이용한 공격
공격자들은 오픈소스 및 상용 취약점 스캐너를 활용해 무작위로 시스템의 취약점을 탐색하고 있으며, 이를 통해 자산에 대한 취약점 스캔 공격이 지속적으로 발생하고 있습니다.
Bad Bot Traffic Levels Continue to Rise
Bad bot traffic levels rose for the fifth consecutive year, indicating an alarming trend. This increase is partly driven by the increasing popularity of Artificial Intelligence (AI) and Large Learning Models (LLMs). In 2023, bad bots accounted for 32% of all internet traffic – a 1.8% increase from 2022. The portion of good bot traffic also increased, albeit slightly less significantly, from 17.3% of all intent traffic in 2022 to 17.6% in 2023. Combined, 49.6% of all internet traffic in 2023 wasn’t human, as human traffic levels decreased to 50.4% of all traffic.
2024 Bad Bot Report, imperva
이러한 공격은 방치된 자산이 손쉬운 목표가 되며, 중요하지 않게 여겨졌던 웹서비스가 침해의 출발점이 될 수 있습니다. 특히, 오픈소스 소프트웨어의 취약점은 쉽게 공개되고 널리 사용되기 때문에, 이를 이용한 무작위 공격은 자산 식별 및 관리를 더욱 중요하게 만들고 있습니다.
실제 많은 기업들이 비중요 자산을 제대로 관리하지 않는 경우가 많은데요. 하지만 공격자들은 이러한 방치된 웹서비스를 침투의 발판으로 삼고 있으며, 웹쉘을 업로드한 후 내부로 전파하려는 시도를 하고 있습니다. 따라서 모든 자산, 서비스의 중요도에 관계없이 철저히 관리하는 것이 필수적입니다. 이를 위해 모든 자산, 서비스에 대해 정기적인 취약점 스캔과 패치 관리가 이루어져야 하며, 비중요 서비스에도 강력한 접근 통제와 모니터링을 적용하는 것이 필요합니다.
도메인 및 인증서 관리의 필요성
이러한 공격자들의 지속적인 위협 상황에서, 도메인과 인증서 관리 또한 중요한 보안 요소로 작용하고 있는데요. 도메인 소유권 이전(하이재킹), 도메인 등록 기간 만료, DNS MX 레코드 변경, HTTPS 인증서 유효기간 만료, 타이포 스쿼팅(Typo Squatting) 등과 같은 문제로 인해 보안 허점이 발생할 수 있습니다.
도메인 하이재킹은 공격자가 도메인 소유권을 탈취하는 행위로 이로 인해 기업의 웹사이트가 공격자의 통제 하에 놓여 악성코드 유포, 피싱 공격 등에 악용될 수 있습니다.
도메인 등록 기간이 만료되면 도메인이 공격자에게 넘어갈 가능성이 있습니다. 이러한 상황을 방지하기 위해 도메인 등록 기간을 주기적으로 확인하고 만료 전에 갱신하는 것이 중요합니다. 도메인 만료 후에는 도메인 재등록이 어려울 수 있고, 이로 인해 기업의 웹사이트 접근이 불가능해지거나 브랜드 가치에 손상을 줄 수 있습니다. 따라서 도메인 등록 갱신 알림을 설정해 두는 것이 안전합니다.
HTTPS 인증서(SSL 인증서)는 웹사이트와 사용자 간의 통신을 암호화하여 데이터를 안전하게 보호하는 역할을 하는데요. 인증서가 만료되면 웹사이트는 안전하지 않은 상태로 표시되며, 사용자에게 신뢰를 잃을 수 있습니다. 또한, 인증서가 만료되면 통신이 암호화되지 않기 때문에 공격자가 중간에 데이터를 가로채거나 변조할 위험이 증가합니다. 따라서 인증서의 유효기간을 주기적으로 확인하고 만료 전에 갱신하는 것이 중요합니다.
타이포 스쿼팅(Typo Squatting)은 사용자가 웹사이트 주소를 잘못 입력하는 실수를 악용하여 공격자가 유사한 도메인을 등록하는 피싱 수법입니다. 이를 통해 사용자가 의도치 않게 공격자의 웹사이트로 접속하도록 유도하고, 개인 정보 유출이나 악성 소프트웨어 다운로드를 시도합니다.
이러한 요소들을 주기적으로 확인하고 관리하는 것은 침해사고를 예방하는 데 큰 역할을 합니다. 특히 도메인 소유권 보호를 위해 다중 인증(MFA)을 적용하거나 도메인 등록 연장 알림을 자동화 그리고 ASM과 같은 공격 표면 관리 도구 등을 통해 적극적인 관리가 요구됩니다.
ASM(Attack Surface Management)
조직의 모든 디지털 자산을 식별하고, 이에 대한 잠재적인 보안 취약점을 지속적으로 모니터링하고 관리하는 프로세스입니다. 공격 표면이란 조직의 시스템, 네트워크, 소프트웨어, 웹사이트 등 외부 공격자가 공격을 시도할 수 있는 모든 노출된 자산을 의미합니다.
치밀한 자산 식별과 관리의 중요성
치밀해지고 고도화되고 있는 사이버 침해 위협에 대응하기 위해선, 결국 네트워크에 연결된 모든 자산과 서비스의 현황을 파악하고 관리해야만 합니다. 이를 위해 위협 탐지 및 위협 인텔리전스 서비스를 활용하여 빠르게 대응할 수 있는 환경을 구축하는 것이 중요한데요. 자산이 제대로 식별되고 관리되지 않으면 공격자에게 취약한 표적이 될 가능성이 높아집니다.
기업과 조직의 자산 관리를 보다 효율적으로 수행하기 위해서는 자동화 도구의 도입이 필요하다고 생각되는데요. ASM(Attack Surface Management)과 같은 자산관리 자동화 도구는 네트워크에 연결된 모든 자산을 치밀하게 식별하고, 취약한 지점을 사전에 파악하여 보안을 강화하는 데 도움을 줍니다. 자산 관리 자동화를 통해 자산 식별 및 관리를 지속적이고 일관되게 수행할 수 있으며, 보안 팀의 부담을 줄이는 동시에 대응 속도를 향상시킬 수 있습니다.
정리하며
위에서 말씀드렸듯이, 관리되지 않은 IT 자산은 기업과 조직의 보안에 큰 위협이 되고 있습니다. 이러한 자산들은 공격자에게 손쉬운 침투 경로를 제공하며, 조직의 보안 체계를 무너뜨릴 수 있는 위험성을 갖고 있기 때문입니다.
치밀한 자산 식별과 ASM 도입을 통한 자동화된 자산 관리는 이러한 위험을 줄이고, 보안 상태를 강화하는 데 핵심적인 역할을 합니다. 모든 자산에 대한 철저한 관리는 이제는 더 이상 선택이 아닌 필수가 되고 있습니다. 이를 통해 기업은 공격 표면을 최소화하고, 보다 안전한 IT 환경을 구축할 수 있을 것입니다.
