공격자들은 최근 리빙 오프 더 랜드라는 전략을 자주 사용한다. 합법적이고 정상적인 도구를 가지고 악성 행위를 저지르는 것을 말한다. 정상 도구를 사용하는 것이니 탐지도 잘 되지 않는다. 이에 어도비가 자신들이 사용하던 도구를 오픈소스로 공개했다.
[보안뉴스 문가용 기자] 공격자들의 주요 전략 중 하나로 ‘리빙 오프 더 랜드(Living off the Land, LotL)’라는 것이 있다. 표준 시스템과 도구, 명령어들을 사용해 자신들의 악성 목적을 활용하는 것을 말한다. 따라서 방어 및 탐지 시스템에서는 ‘공격 행위’로 간주되지 않을 때가 많으며 탐지가 까다롭다. 이에 소프트웨어 개발사 어도비가 머신러닝을 기반으로 한 오픈소스를 발표해 LotL 전략에 대한 방어력 향상 기법을 제안했다.
어도비의 이번 프로젝트 이름은 LotL 클래시파이어(LotL Classifier)다. 지도 학습 기반 머신러닝 알고리즘과, 실제 벌어진 해킹 공격에서 추출된 데이터들 중 오픈소스로 풀린 것들을 활용했다고 한다. 어도비의 기술 수석인 안드레이 코타이(Andrei Cotaie)는 “그 자체로 의심스러울 수 있는 명령들에 태그를 붙인 후에 인공지능 알고리즘에 삽입함으로써 탐지 정확도를 높일 수 있었다”고 설명한다. 어도비는 실제로 LotL 클래시파이어를 자사 네트워크에 구축시켜 놓은 상태고, 이를 통해 꽤나 큰 이득을 보고 있다고 코타이는 강조했다.
LotL은 공격자들 사이에서 점점 더 높은 인기를 구가하고 있다. 파워셸(PoweShell)과 윈도 스크립팅 호스트(Windows Scripting Host)라는 관리자 도구들에서 사용되는 명령어들이 가장 널리 사용된다. 관리자 도구이기 때문에 공격자들이 활용할 만한 명령어들을 충분히 갖추고 있다. 따라서 공격자들은 멀웨어를 따로 만들거나 활용할 필요가 없게 되고, 이 때문에 LotL 공격은 ‘멀웨어가 없는 공격(malware-free attack)’이라고 불리기도 한다. 2021년 현재까지 발생한 사이버 사건의 2/3이 이 유형으로 분류된다.
보안 업체 크라우드스트라이크(CrowdStrike)는 2021년 보안 보고서를 통해 “공격자들은 멀웨어를 만들지 않고도 목적을 달성하는 방법에 점점 익숙해지고 있다”며 “백신 제품으로 이러한 악성 행위를 탐지하는 건 대단히 힘든 일”이라고 설명했었다.
코타이는 “LotL 클래시파이어는 인간 분석 전문가들의 작업 방식과 사고 체계에서 많은 영감을 받은 작품”이라고 설명한다. “명령행을 분석할 때 인간 분석가들은 ‘어떤 바이너리가 사용되고 있는가’, ‘어떤 경로로 접근이 이뤄졌는가’ 등과 같은 맥락을 참고합니다. 그리고 매개변수, 도메인 이름, IP 주소, 포트 번호들을 빠르게 점검함으로써 비교 분석의 정확도를 높입니다. 그런 일련의 과정들을 인공지능으로 처리할 수 있도록 한 것이죠.”
LotL 클래시파이어는 랜덤 포레스트(random-forest) 트리 모델을 차용하고 있다. 여러 개의 판단 트리(decision tree)를 결합한 모델을 통해 특정 코드가 악성인지 아닌지 판단한다는 것이다. 코타이는 “LotL 클래시파이어를 위협 분석 파이프라인 어느 곳에 두어도 제 기능을 발휘할 수 있다”고 설명하며 “로컬 서비스로서도 사용 가능하고 보다 광범위한 보안 정보 및 사건 관리 데이터 분석에도 적용 가능하다”고 설명한다. 윈도 시스템들을 위한 요소들과 리눅스를 위한 요소들도 갖춰져 있어 유연하다.
“LotL 클래시파이어는 ‘원 스톱 어노멀리 숍(One Stop Anomaly Shop, OSAS)’에 통합되어 있습니다. OSAS는 일종의 선행 프로젝트로, 콘텍스트에 따른 특징들을 사용해 그룹 시스템의 행동 모델을 규정하는 기능을 가지고 있습니다. LotL 클래시파이어 모델과의 궁합이 매우 좋으며 상호보완이 뛰어납니다.”
현재 LotL 클래시파이어는 어도비의 깃허브(https://github.com/adobe/libLOL) 계정을 통해 공개된 상태다. 무료로 열람 및 다운로드가 가능하다.
3줄 요약
1. 요즘 공격자들 사이에서 유행하는 LotL 전략, 탐지 매우 까다로움.
2. 그래서 어도비가 LotL을 탐지해주는 도구를 오픈소스로 공개.
3. 실제로 어도비가 자사 네트워크에서 사용했던 도구들이라 효과 높을 것으로 기대됨.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 공격자들의 주요 전략 중 하나로 ‘리빙 오프 더 랜드(Living off the Land, LotL)’라는 것이 있다. 표준 시스템과 도구, 명령어들을 사용해 자신들의 악성 목적을 활용하는 것을 말한다. 따라서 방어 및 탐지 시스템에서는 ‘공격 행위’로 간주되지 않을 때가 많으며 탐지가 까다롭다. 이에 소프트웨어 개발사 어도비가 머신러닝을 기반으로 한 오픈소스를 발표해 LotL 전략에 대한 방어력 향상 기법을 제안했다.
[이미지 = utoimage]
어도비의 이번 프로젝트 이름은 LotL 클래시파이어(LotL Classifier)다. 지도 학습 기반 머신러닝 알고리즘과, 실제 벌어진 해킹 공격에서 추출된 데이터들 중 오픈소스로 풀린 것들을 활용했다고 한다. 어도비의 기술 수석인 안드레이 코타이(Andrei Cotaie)는 “그 자체로 의심스러울 수 있는 명령들에 태그를 붙인 후에 인공지능 알고리즘에 삽입함으로써 탐지 정확도를 높일 수 있었다”고 설명한다. 어도비는 실제로 LotL 클래시파이어를 자사 네트워크에 구축시켜 놓은 상태고, 이를 통해 꽤나 큰 이득을 보고 있다고 코타이는 강조했다.
LotL은 공격자들 사이에서 점점 더 높은 인기를 구가하고 있다. 파워셸(PoweShell)과 윈도 스크립팅 호스트(Windows Scripting Host)라는 관리자 도구들에서 사용되는 명령어들이 가장 널리 사용된다. 관리자 도구이기 때문에 공격자들이 활용할 만한 명령어들을 충분히 갖추고 있다. 따라서 공격자들은 멀웨어를 따로 만들거나 활용할 필요가 없게 되고, 이 때문에 LotL 공격은 ‘멀웨어가 없는 공격(malware-free attack)’이라고 불리기도 한다. 2021년 현재까지 발생한 사이버 사건의 2/3이 이 유형으로 분류된다.
보안 업체 크라우드스트라이크(CrowdStrike)는 2021년 보안 보고서를 통해 “공격자들은 멀웨어를 만들지 않고도 목적을 달성하는 방법에 점점 익숙해지고 있다”며 “백신 제품으로 이러한 악성 행위를 탐지하는 건 대단히 힘든 일”이라고 설명했었다.
코타이는 “LotL 클래시파이어는 인간 분석 전문가들의 작업 방식과 사고 체계에서 많은 영감을 받은 작품”이라고 설명한다. “명령행을 분석할 때 인간 분석가들은 ‘어떤 바이너리가 사용되고 있는가’, ‘어떤 경로로 접근이 이뤄졌는가’ 등과 같은 맥락을 참고합니다. 그리고 매개변수, 도메인 이름, IP 주소, 포트 번호들을 빠르게 점검함으로써 비교 분석의 정확도를 높입니다. 그런 일련의 과정들을 인공지능으로 처리할 수 있도록 한 것이죠.”
LotL 클래시파이어는 랜덤 포레스트(random-forest) 트리 모델을 차용하고 있다. 여러 개의 판단 트리(decision tree)를 결합한 모델을 통해 특정 코드가 악성인지 아닌지 판단한다는 것이다. 코타이는 “LotL 클래시파이어를 위협 분석 파이프라인 어느 곳에 두어도 제 기능을 발휘할 수 있다”고 설명하며 “로컬 서비스로서도 사용 가능하고 보다 광범위한 보안 정보 및 사건 관리 데이터 분석에도 적용 가능하다”고 설명한다. 윈도 시스템들을 위한 요소들과 리눅스를 위한 요소들도 갖춰져 있어 유연하다.
“LotL 클래시파이어는 ‘원 스톱 어노멀리 숍(One Stop Anomaly Shop, OSAS)’에 통합되어 있습니다. OSAS는 일종의 선행 프로젝트로, 콘텍스트에 따른 특징들을 사용해 그룹 시스템의 행동 모델을 규정하는 기능을 가지고 있습니다. LotL 클래시파이어 모델과의 궁합이 매우 좋으며 상호보완이 뛰어납니다.”
현재 LotL 클래시파이어는 어도비의 깃허브(https://github.com/adobe/libLOL) 계정을 통해 공개된 상태다. 무료로 열람 및 다운로드가 가능하다.
3줄 요약
1. 요즘 공격자들 사이에서 유행하는 LotL 전략, 탐지 매우 까다로움.
2. 그래서 어도비가 LotL을 탐지해주는 도구를 오픈소스로 공개.
3. 실제로 어도비가 자사 네트워크에서 사용했던 도구들이라 효과 높을 것으로 기대됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
