.jpg)
사용자의 스마트폰과 연계하여 동작하는 하드웨어 기반의 데이터 유출 방지 시스템
PC에는 별도 설치되는 소프트웨어 없어
디스크 대기 상태 시 인터페이스 신호 차단 전환해 디스크 사라지게 해
[보안뉴스 원병철 기자] 정보기술(IT) 보안업체 스토리지안은 일산 킨텍스에서 개최된 ‘세계 보안 엑스포(SECON & eGISEC 2022)’에서 하드웨어 기반의 데이터 유출 방지 시스템을 선보였다고 밝혔다.
데이터 유출 방지 시스템은 인터페이스의 종류와 용도에 따라 다음과 같은 세 가지 형태의 제품으로 개발이 진행됐다. 첫 번째는 데스크톱 PC의 내부에 설치되는 SATA3 인터페이스 방식의 내장형 디스크로 새 디스크 장치나 혹은 기존에 사용하던 디스크 장치를 연결해 사용하는 보안 디스크 카드다, 두 번째는 USB 메모리를 연결해 사용하는 보안 USB 동글이다. 세 번째는 보안 디스크 카드 자체에 SATA3 인터페이스를 지원하는 2.5인치 SSD가 직접 거치되어 탑재될 수 있는 4개의 베이를 구비한 형태로, 사용자가 SSD를 임의로 설치해 구성하는 SSD Slide-Stacker다.
데이터 유출 방지 시스템은 2018년 과기정통부의 ICT 유망기술 개발사업(정보통신기획평가원 주관)의 일환으로 2019년까지 개발이 진행됐으며, 2020년 과제의 수행평가 당시만 해도 단일 PC에 단일 디바이스의 데이터 유출 방지 시스템을 지원하는 안드로이드 운영체제 전용의 스마트폰 앱으로 개발되었으나, 이후 본격적인 상용화 개발 진행 과정을 통해 멀티 디바이스의 지원과 더불어 애플의 아이폰 사용자들을 위해 iOS 운영체제도 함께 지원됐다.
지금까지의 보안은 디스크 장치가 부팅 이후 PC와 연결된 상태를 전제로 하여 보안 대책을 마련하다 보니 보안 솔루션 제품들의 대부분은 소프트웨어 제품이고, 소프트웨어 방식의 보안 은 PC의 주인인 사용자의 입장에서 보안이 어떻게 이루어지고 있는지 알기가 힘들었다. 일례로, 아침에 출근해 PC를 켜면 운영체제가 설치된 디스크 장치 여부에 관계없이 PC에 설치된 모든 내장형 디스크 장치들은 PC와 줄곧 연결된 상태를 유지하게 되며, 이러한 연결 상태는 퇴근 시 PC를 종료할 때까지 상시적으로 그대로 유지된다. 그러다 보니 네트워크를 통해 해커가 PC에 침입을 했을 때, 사용자가 탐색기 창을 통해 볼 수 있는 PC에 연결된 모든 디스크 장치들이 해커에게도 그대로 노출이 될 수밖에 없는 구조가 되어 각종 바이러스, 스파이웨어나 애드웨어와 같은 멀웨어(Malware)뿐만 아니라 랜섬웨어의 감염에도 취약한 구조일 수밖에 없다. 차라리 이러한 것들은 어떠한 형태로든 간에 피해를 유발하여 증상이라도 남기는 데 비하여, 데이터가 유출되는 것에 대해서는 피해를 남기지 않기 때문에 사용자의 중요한 데이터가 유출이 되었는지 조차 모르는 경우가 대부분이다.
반면에, 하드웨어 기반으로 동작하는 데이터 유출 방지 시스템의 경우에는 PC가 부팅되는 과정에서 저장 장치로 인식한 이후에 디스크 장치를 차단 상태로 전환해 놓는 것이 기본 상태이므로, 사용자는 자신이 사용하려는 디스크 장치에 접근하려면 스마트폰에 설치된 보안 디스크 앱의 해당 디스크 장치의 디스크 버튼을 눌러 연결 상태로 전환해 놓은 후에 디스크 접근 동작을 수행한 후 다시 차단 상태로 전환해 놓는 방식으로 사용된다. 이러한 방식은 기존의 디스크 연결 상태가 줄곧 유지되고 있는 것에 비하여 보안 레벨이 높아질 수밖에 없는 환경을 제공한다.
이것은 마치 평상시 수도관에 연결된 수도꼭지가 잠겨있는 상태에서 물을 받을 때만 수도꼭지를 틀어 물을 받은 후에 다시 수도꼭지를 잠가놓은 상태로 유지하는 것과 유사하다. 하루 근무 8시간 중에서 대부분의 일반 사용자들은 워드, 엑셀, 파워포인트와 같은 문서작업에다가 PDF 문서를 열어보기도 하고, 파일을 복사하기도 하는 등의 작업을 하게 되는 데, 이러한 작업의 수행을 통하여 순수하게 디스크 장치에 대한 접근 시간 모두 더해 보아도 하루 온종일 순수하게 디스크 장치에 대한 읽기, 쓰기, 지우기 등의 동작에 소요되는 시간은 채 5분을 넘지 않으며, 대부분의 경우는 이것의 절반 정도에도 미치지 못하는 시간의 디스크 접근이 일반적이다. 하루 8시간의 업무 시간 중에서 길게 잡아 5분도 되지 않는 시간이면 비율적으로 1%도 되지 않는 순수 디스크 접근 시간을 위해 디스크 장치는 하루 온종일 연결 상태를 유지하고 있는 것이고, 이러한 상황이다 보니 기존의 PC는 구조적으로 해커들의 놀이터가 될 수밖에 없는 환경을 제공하고 있다고 볼 수 있다.
예전에는 바이러스를 만들고 유포하는 사람들이 자신의 컴퓨터 활용능력을 과시하려는 측면도 없지 않았으나 최근에는 타인의 PC에 돌이킬 수 없는 피해 유발 협박이라든가 혹은 기업의 고급 정보를 유출하는 방식으로 해킹을 기업적인 면모를 갖추고 진행하는 경우도 많은 것으로 알려지고 있다. 북한의 해커 조직이 방코델타 아시아 은행으로부터 막대한 자금을 탈취한 것이나 암호화폐에 대한 해킹이 있었던 것은 잘 알려진 사실이고 기업적인 면모를 벗어난 사례라고 할 수 있다. 즉, 사이버 해킹은 돈이 되기 때문에 번성을 하는 것이고, 이러한 시도를 차단하려면 기존의 상시적으로 디스크 장치가 연결되는 것을 전제로 하는 컴퓨터 환경에서는 극복될 수 없는 문제라 할 수 있다.
데이터 유출 방지 시스템을 통해 연결된 디스크 장치를 사용하게 되면 디스크 장치를 사용하지 않는 디스크 대기 상태에 해당하는 99%의 시간에 대하여 해당 디스크 장치의 인터페이스 신호 자체를 끊어놓아 운영체제로 하여금 디스크 장치가 사라지게 한 상태를 유지함으로써 99%는 그야말로 완벽한 보안 상태를 보장할 수 있다.
한편, 데이터 유출 방지 시스템은 군 계통이나 정부기관에서 도입하고 있는 망분리환경의 종말단계 보안 장치로 활용될 수 있다. 기존의 망분리 환경은 내부망과 외부망을 분리시킴으로서 외부망의 네트워크를 통해 해커들이 내부망으로 침입하는 것을 막을 수 있는 환경을 유지하지만, 간단한 Wi-Fi 동글 하나만 내부망에 연결된 PC의 USB 포트에 연결해도 망분리 환경이 무력화될 수 있다. 이에 Wi-Fi 동글과 같이 내부망에 연결되는 통로를 제공하는 무선 동글과 같은 제품은 엄격히 사용이 제한되고 있다. 인적 회유나 인적 침투의 가능성이 있다고 보면 망분리 환경이라 할지라도 비상시에는 취약할 수밖에 없는 데, 이에 대한 평상시의 대비책으로 데이터 유출 방지 시스템이 망분리 환경의 종말 단계에서 사용되는 PC마다 설치되어 사용자 데이터가 저장되어 있는 내장 디스크 장치가 망분리환경이 해킹된 상태에서도 네트워크 상에 노출되지 않게 함으로써 기존 망분리 환경의 보안 레벨를 한층 더 강화할 수 있다.
또한, 하드웨어 방식에 기반한 데이터 유출 방지 시스템은 인터넷뱅킹의 보안 모듈과 연계해 평상시 공인인증서(금융인증서)가 저장되어 있는 USB 메모리가 네트워크상에 그대로 노출되는 것을 방지하는 것은 물론이고, 인증된 사용자 여부를 확인하는 극히 짧은 순간에만 연결 상태를 유지하였다가 곧바로 차단 상태로 전환되도록 하여 사용 중에도 네트워크에 인증서가 노출되는 것을 방지한다.
아울러, 기존의 인터넷뱅킹에서는 이체하는 금액의 단위가 비교적 큰 통상 1백만원이상의 금액에 대한 계좌이체에 대해서만 이종 정보기기인 사용자의 휴대폰으로 발송되는 별도의 음성 ARS를 통하여 전달된 음성 멘트의 숫자를 스마트폰 키패드에 누르도록 하는 방식으로 인증된 사용자에 의한 계좌이체인지 여부를 재차 확인하고 있다. 이 보다 작은 금액에 대한 계좌이체에 대해서는 금융사들조차도 막대한 통신비용에 대한 부담으로 인해 사용자의 스마트폰을 통한 ARS 인증을 배제하는 것이 일반적이다.
그러나 데이터 유출 방지 시스템과 연계하여 동작하는 사용자의 스마트폰에 설치된 보안 디스크 앱을 통해 통신사를 거치지 않되, 동일한 ARS 음성 안내를 통한 인증시 ATM 기기에서 널리 사용되는 자판 배열의 임의 변경에 따른 보안 효과가 함께 수반되도록 하여 보안 레벨을 한층 더 강화하는 것은 물론, 이체 금액의 많고 적음에 관계없이 모든 인터넷 뱅킹 사용자들에게 적용하는 것이 가능하다. 금융사의 입장에서도 연간 지출되는 막대한 금액의 통신비용을 절감할 수 있어 데이터 유출 방지 시스템과 연계하는 인터넷뱅킹이 금융사에도 이익이 될 뿐만 아니라 사용자에게도 강화된 보안의 인터넷 뱅킹 환경을 제공함으로써 인터넷뱅킹 사용자들은 더욱 안전한 인터넷뱅킹을 사용할 수 있을 것으로 예상된다.
마지막으로, 데이터 유출 방지 시스템은 기존의 네트워크 침입탐지와 알림 기능에 특화된 순수 소프트웨어 방식의 보안 솔루션과의 제품 간 융합을 통하여 데이터 유출 방지 시스템을 통하여 연결된 디스크 장치가 사용자에 의한 정상적인 접근 동작 중에 네트워크를 통한 제3자에 의한 허용되지 않은 디스크 접근 발생 시 네트워크 침입탐지 솔루션의 알림 기능과 연계하여 디스크 차단 전환 동작이 실시간으로 이루어지게 함으로써 디스크 장치 사용 중에도 보안 레벨을 더욱 강화할 수 있어 사용자의 입장에서는 보다 안전한 PC 사용 환경이 마련되는 쪽으로 발전할 것으로 예상한다.
윤동구 스토리지안 대표이사는 “데이터 유출 방지 시스템과 관련하여 국내에 2건의 원천 특허가 등록되었고, 1건의 특허가 국제특허출원 준비 중에 있으며, 국내 등록된 특허 중에서 보다 핵심이 되는 특허가 현재 미국에 출원 중에 있다”라며, “기존의 소프트웨어 방식의 보안 솔루션 업체들과는 경쟁관계이기 보다는 상호 제품 간의 보완적 협업 관계로 시장에서 서로 윈윈하는 관계로 발전해 나가고자 한다”라는 견해를 밝혔다.
스토리지안은 SECON & eGISEC 2022 전시회를 통한 제품 발표 이후 국내에 우선적으로 제품 판매를 진행해 이렇다 할 A/S 관련 이슈가 발생되지 않는 것으로 확인되면, 하반기 중에는 미국 내 주정부 산하기관, 대학교 등에 판매망을 갖고 있는 미국내 협력사를 통해 본격적인 미국 시장 진출을 도모할 예정이라고 밝혔다.
[원병철 기자(boanone@boannews.com)]
PC에는 별도 설치되는 소프트웨어 없어
디스크 대기 상태 시 인터페이스 신호 차단 전환해 디스크 사라지게 해
[보안뉴스 원병철 기자] 정보기술(IT) 보안업체 스토리지안은 일산 킨텍스에서 개최된 ‘세계 보안 엑스포(SECON & eGISEC 2022)’에서 하드웨어 기반의 데이터 유출 방지 시스템을 선보였다고 밝혔다.
[이미지=스토리지안]
데이터 유출 방지 시스템은 인터페이스의 종류와 용도에 따라 다음과 같은 세 가지 형태의 제품으로 개발이 진행됐다. 첫 번째는 데스크톱 PC의 내부에 설치되는 SATA3 인터페이스 방식의 내장형 디스크로 새 디스크 장치나 혹은 기존에 사용하던 디스크 장치를 연결해 사용하는 보안 디스크 카드다, 두 번째는 USB 메모리를 연결해 사용하는 보안 USB 동글이다. 세 번째는 보안 디스크 카드 자체에 SATA3 인터페이스를 지원하는 2.5인치 SSD가 직접 거치되어 탑재될 수 있는 4개의 베이를 구비한 형태로, 사용자가 SSD를 임의로 설치해 구성하는 SSD Slide-Stacker다.
데이터 유출 방지 시스템은 2018년 과기정통부의 ICT 유망기술 개발사업(정보통신기획평가원 주관)의 일환으로 2019년까지 개발이 진행됐으며, 2020년 과제의 수행평가 당시만 해도 단일 PC에 단일 디바이스의 데이터 유출 방지 시스템을 지원하는 안드로이드 운영체제 전용의 스마트폰 앱으로 개발되었으나, 이후 본격적인 상용화 개발 진행 과정을 통해 멀티 디바이스의 지원과 더불어 애플의 아이폰 사용자들을 위해 iOS 운영체제도 함께 지원됐다.
지금까지의 보안은 디스크 장치가 부팅 이후 PC와 연결된 상태를 전제로 하여 보안 대책을 마련하다 보니 보안 솔루션 제품들의 대부분은 소프트웨어 제품이고, 소프트웨어 방식의 보안 은 PC의 주인인 사용자의 입장에서 보안이 어떻게 이루어지고 있는지 알기가 힘들었다. 일례로, 아침에 출근해 PC를 켜면 운영체제가 설치된 디스크 장치 여부에 관계없이 PC에 설치된 모든 내장형 디스크 장치들은 PC와 줄곧 연결된 상태를 유지하게 되며, 이러한 연결 상태는 퇴근 시 PC를 종료할 때까지 상시적으로 그대로 유지된다. 그러다 보니 네트워크를 통해 해커가 PC에 침입을 했을 때, 사용자가 탐색기 창을 통해 볼 수 있는 PC에 연결된 모든 디스크 장치들이 해커에게도 그대로 노출이 될 수밖에 없는 구조가 되어 각종 바이러스, 스파이웨어나 애드웨어와 같은 멀웨어(Malware)뿐만 아니라 랜섬웨어의 감염에도 취약한 구조일 수밖에 없다. 차라리 이러한 것들은 어떠한 형태로든 간에 피해를 유발하여 증상이라도 남기는 데 비하여, 데이터가 유출되는 것에 대해서는 피해를 남기지 않기 때문에 사용자의 중요한 데이터가 유출이 되었는지 조차 모르는 경우가 대부분이다.
반면에, 하드웨어 기반으로 동작하는 데이터 유출 방지 시스템의 경우에는 PC가 부팅되는 과정에서 저장 장치로 인식한 이후에 디스크 장치를 차단 상태로 전환해 놓는 것이 기본 상태이므로, 사용자는 자신이 사용하려는 디스크 장치에 접근하려면 스마트폰에 설치된 보안 디스크 앱의 해당 디스크 장치의 디스크 버튼을 눌러 연결 상태로 전환해 놓은 후에 디스크 접근 동작을 수행한 후 다시 차단 상태로 전환해 놓는 방식으로 사용된다. 이러한 방식은 기존의 디스크 연결 상태가 줄곧 유지되고 있는 것에 비하여 보안 레벨이 높아질 수밖에 없는 환경을 제공한다.
[이미지=스토리지안]
이것은 마치 평상시 수도관에 연결된 수도꼭지가 잠겨있는 상태에서 물을 받을 때만 수도꼭지를 틀어 물을 받은 후에 다시 수도꼭지를 잠가놓은 상태로 유지하는 것과 유사하다. 하루 근무 8시간 중에서 대부분의 일반 사용자들은 워드, 엑셀, 파워포인트와 같은 문서작업에다가 PDF 문서를 열어보기도 하고, 파일을 복사하기도 하는 등의 작업을 하게 되는 데, 이러한 작업의 수행을 통하여 순수하게 디스크 장치에 대한 접근 시간 모두 더해 보아도 하루 온종일 순수하게 디스크 장치에 대한 읽기, 쓰기, 지우기 등의 동작에 소요되는 시간은 채 5분을 넘지 않으며, 대부분의 경우는 이것의 절반 정도에도 미치지 못하는 시간의 디스크 접근이 일반적이다. 하루 8시간의 업무 시간 중에서 길게 잡아 5분도 되지 않는 시간이면 비율적으로 1%도 되지 않는 순수 디스크 접근 시간을 위해 디스크 장치는 하루 온종일 연결 상태를 유지하고 있는 것이고, 이러한 상황이다 보니 기존의 PC는 구조적으로 해커들의 놀이터가 될 수밖에 없는 환경을 제공하고 있다고 볼 수 있다.
예전에는 바이러스를 만들고 유포하는 사람들이 자신의 컴퓨터 활용능력을 과시하려는 측면도 없지 않았으나 최근에는 타인의 PC에 돌이킬 수 없는 피해 유발 협박이라든가 혹은 기업의 고급 정보를 유출하는 방식으로 해킹을 기업적인 면모를 갖추고 진행하는 경우도 많은 것으로 알려지고 있다. 북한의 해커 조직이 방코델타 아시아 은행으로부터 막대한 자금을 탈취한 것이나 암호화폐에 대한 해킹이 있었던 것은 잘 알려진 사실이고 기업적인 면모를 벗어난 사례라고 할 수 있다. 즉, 사이버 해킹은 돈이 되기 때문에 번성을 하는 것이고, 이러한 시도를 차단하려면 기존의 상시적으로 디스크 장치가 연결되는 것을 전제로 하는 컴퓨터 환경에서는 극복될 수 없는 문제라 할 수 있다.
데이터 유출 방지 시스템을 통해 연결된 디스크 장치를 사용하게 되면 디스크 장치를 사용하지 않는 디스크 대기 상태에 해당하는 99%의 시간에 대하여 해당 디스크 장치의 인터페이스 신호 자체를 끊어놓아 운영체제로 하여금 디스크 장치가 사라지게 한 상태를 유지함으로써 99%는 그야말로 완벽한 보안 상태를 보장할 수 있다.
한편, 데이터 유출 방지 시스템은 군 계통이나 정부기관에서 도입하고 있는 망분리환경의 종말단계 보안 장치로 활용될 수 있다. 기존의 망분리 환경은 내부망과 외부망을 분리시킴으로서 외부망의 네트워크를 통해 해커들이 내부망으로 침입하는 것을 막을 수 있는 환경을 유지하지만, 간단한 Wi-Fi 동글 하나만 내부망에 연결된 PC의 USB 포트에 연결해도 망분리 환경이 무력화될 수 있다. 이에 Wi-Fi 동글과 같이 내부망에 연결되는 통로를 제공하는 무선 동글과 같은 제품은 엄격히 사용이 제한되고 있다. 인적 회유나 인적 침투의 가능성이 있다고 보면 망분리 환경이라 할지라도 비상시에는 취약할 수밖에 없는 데, 이에 대한 평상시의 대비책으로 데이터 유출 방지 시스템이 망분리 환경의 종말 단계에서 사용되는 PC마다 설치되어 사용자 데이터가 저장되어 있는 내장 디스크 장치가 망분리환경이 해킹된 상태에서도 네트워크 상에 노출되지 않게 함으로써 기존 망분리 환경의 보안 레벨를 한층 더 강화할 수 있다.
또한, 하드웨어 방식에 기반한 데이터 유출 방지 시스템은 인터넷뱅킹의 보안 모듈과 연계해 평상시 공인인증서(금융인증서)가 저장되어 있는 USB 메모리가 네트워크상에 그대로 노출되는 것을 방지하는 것은 물론이고, 인증된 사용자 여부를 확인하는 극히 짧은 순간에만 연결 상태를 유지하였다가 곧바로 차단 상태로 전환되도록 하여 사용 중에도 네트워크에 인증서가 노출되는 것을 방지한다.
아울러, 기존의 인터넷뱅킹에서는 이체하는 금액의 단위가 비교적 큰 통상 1백만원이상의 금액에 대한 계좌이체에 대해서만 이종 정보기기인 사용자의 휴대폰으로 발송되는 별도의 음성 ARS를 통하여 전달된 음성 멘트의 숫자를 스마트폰 키패드에 누르도록 하는 방식으로 인증된 사용자에 의한 계좌이체인지 여부를 재차 확인하고 있다. 이 보다 작은 금액에 대한 계좌이체에 대해서는 금융사들조차도 막대한 통신비용에 대한 부담으로 인해 사용자의 스마트폰을 통한 ARS 인증을 배제하는 것이 일반적이다.
그러나 데이터 유출 방지 시스템과 연계하여 동작하는 사용자의 스마트폰에 설치된 보안 디스크 앱을 통해 통신사를 거치지 않되, 동일한 ARS 음성 안내를 통한 인증시 ATM 기기에서 널리 사용되는 자판 배열의 임의 변경에 따른 보안 효과가 함께 수반되도록 하여 보안 레벨을 한층 더 강화하는 것은 물론, 이체 금액의 많고 적음에 관계없이 모든 인터넷 뱅킹 사용자들에게 적용하는 것이 가능하다. 금융사의 입장에서도 연간 지출되는 막대한 금액의 통신비용을 절감할 수 있어 데이터 유출 방지 시스템과 연계하는 인터넷뱅킹이 금융사에도 이익이 될 뿐만 아니라 사용자에게도 강화된 보안의 인터넷 뱅킹 환경을 제공함으로써 인터넷뱅킹 사용자들은 더욱 안전한 인터넷뱅킹을 사용할 수 있을 것으로 예상된다.
마지막으로, 데이터 유출 방지 시스템은 기존의 네트워크 침입탐지와 알림 기능에 특화된 순수 소프트웨어 방식의 보안 솔루션과의 제품 간 융합을 통하여 데이터 유출 방지 시스템을 통하여 연결된 디스크 장치가 사용자에 의한 정상적인 접근 동작 중에 네트워크를 통한 제3자에 의한 허용되지 않은 디스크 접근 발생 시 네트워크 침입탐지 솔루션의 알림 기능과 연계하여 디스크 차단 전환 동작이 실시간으로 이루어지게 함으로써 디스크 장치 사용 중에도 보안 레벨을 더욱 강화할 수 있어 사용자의 입장에서는 보다 안전한 PC 사용 환경이 마련되는 쪽으로 발전할 것으로 예상한다.
윤동구 스토리지안 대표이사는 “데이터 유출 방지 시스템과 관련하여 국내에 2건의 원천 특허가 등록되었고, 1건의 특허가 국제특허출원 준비 중에 있으며, 국내 등록된 특허 중에서 보다 핵심이 되는 특허가 현재 미국에 출원 중에 있다”라며, “기존의 소프트웨어 방식의 보안 솔루션 업체들과는 경쟁관계이기 보다는 상호 제품 간의 보완적 협업 관계로 시장에서 서로 윈윈하는 관계로 발전해 나가고자 한다”라는 견해를 밝혔다.
스토리지안은 SECON & eGISEC 2022 전시회를 통한 제품 발표 이후 국내에 우선적으로 제품 판매를 진행해 이렇다 할 A/S 관련 이슈가 발생되지 않는 것으로 확인되면, 하반기 중에는 미국 내 주정부 산하기관, 대학교 등에 판매망을 갖고 있는 미국내 협력사를 통해 본격적인 미국 시장 진출을 도모할 예정이라고 밝혔다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
