.jpg)
[인터뷰] 시큐아이 송병걸 프로 “이메일 공격은 고전적이지만 현재도 꾸준히 발견”
악성파일 실시간 분석 무료 이용 위협분석플랫폼 ‘STIC’ 개발
다양한 채널에서 수집된 위협 데이터, 다차원 분석 후 정제해 위협분석 정보로 제공
[보안뉴스 김경애 기자] 최근 랜섬웨어를 비롯해 각종 악성코드가 활개를 치고 있어 메일을 열어보거나 URL을 클릭하기가 여간 찜찜하지 않을 수 없다. 보안전문가라면 모를까 일반인 입장에서는 뭐가 악성 URL이고, 의심스러운 파일인지 구분이 쉽지 않기 때문이다. 백신만 의존하기엔 뭔가 아쉬운 것 같고, 내 눈으로 바로 바로 악성파일인지 정상파일인지 확인하고 싶을 때가 한 두 번이 아니다.
이러한 가운데 악성파일, 악성URL 등의 분석을 누구나 무료로 이용할 수 있도록 위협분석플랫폼 ‘STIC’이 개발돼 눈길을 끌고 있다. URL 메일에 첨부된 파일이 악성파일인지 정상파일인지 개인이 쉽게 올리고, 그 분석결과를 실시간으로 확인할 수 있기 때문이다. 머신러닝, 딥러닝, 빅데이터 등의 AI 기술 적용으로 파일과 URL에 숨겨진 위협을 사전에 탐지하고 분석할 수 있다. 특히, 공격의 근원지인 신규 해커 서버 주소(C&C)까지 탐지해 앞으로 발생할 새로운 위협에 대해서도 차단 가능하다. 더욱이 시큐아이 ‘BLUEMAX IPS’ 및 관제 서비스와의 연동으로 인해 장비를 도입한 기업의 경우 새로운 보안위협에 신속한 대응이 가능한 게 특징이다.
이에 본지는 ‘STIC’을 직접 개발한 시큐아이 송병걸 프로와의 인터뷰를 통해 개발배경과 기존 버전과의 차별점, 주요 보안 위협 등에 대해 들어봤다. 숭실대학교 컴퓨터공학을 전공한 송병걸 프로는 숭실대학교 IT대학 특허경진대회 우수상, 숭실대학교 IT대학 소프트웨어공모전 장려상을 수상한 바 있으며, 모니터링 시스템 및 방법, 이를 수행하기 위한 기록매체(10-1587877, 단체) 특허도 보유하고 있다.
안녕하세요? 송병걸 프로님. 본인 소개 부탁드립니다.
안녕하세요. 저는 숭실대학교 컴퓨터학부 학사를 전공하고 시큐아이에 공채 신입으로 입사해 현재 8년차로 근무하고 있는 송병걸입니다. 시큐아이에 악성코드 및 취약점 분석 파트로 입사했습니다. 컴퓨터학부의 장점을 살려 내부 인프라 시스템 개발부터 시작해 STIC 3.0 개발을 진행했습니다.
먼저 시큐아이의 위협분석플랫폼을 통해 주로 발견되는 보안 위협은 어떤 게 있나요?
이메일을 통한 공격은 고전적이지만 현재까지도 꾸준히 발견되고 있습니다. 최근에는 이메일을 통해 사용자의 계정정보를 탈취하는 피싱 메일, 탈취한 계정을 통한 APT 공격 메일, 기존에 탈취한 특정 정보들로 위장한 APT 공격 등이 성행하고 있습니다. 이러한 APT 공격 외에도 불특정 다수를 대상으로 디도스(DDoS) 공격을 수행하는 악성코드나 온라인 도박에 악용하기 위한 악성코드들이 다수 발견되고 있습니다.
위협분석플랫폼 ‘STIC’을 직접 개발하셨다고 들었는데 소개해 주신다면?
‘STIC(스틱)’은 ‘SECUI Threat Intelligence Center’의 약자인데요. 시큐아이만의 위협 심층분석 기술과 분석 전문가의 노하우가 집약된 위협 인텔리전스 플랫폼입니다. 자사 보안 장비는 물론 외부를 포함한 다양한 채널에서 수집된 위협 데이터를 다차원 분석한 후 정제해 위협 분석 정보로 제공합니다.
‘STIC’을 개발하게 된 배경은 무엇인가요?
처음엔 방화벽, IPS 등의 장비에서 탐지된 정보를 수집해 연동할 수 있는 통합관리시스템을 만들고 싶었습니다. 2013년 3.20 사이버테러 이후부터 보안 장비로 수집된 정보와 고객사 정보를 취합 가공해 어떻게 하면 효율적인 위협 정보를 제공할 수 있을지 고민하게 됐죠. 그러다가 2014년 말경 STIC 1.0 버전이 나왔습니다. 그 다음에 고객이 동의한 장비부터 저장하고, 제휴 맺은 악성 파일을 보여주는 2.0 버전에 이어 블루맥스 장비와 연동해 정보를 수집하고, 자체 분석 서비스를 제공하는 모델인 3.0 버전이 올해 5월 출시된 겁니다.
특히, 시큐아이만의 위협 인텔리전스 정보 플랫폼을 만들고 싶었어요. 수집된 데이터를 분석, 가공해 대응할 수 있는 독창적이면서 고유한 플랫폼을 개발하고 싶었죠. 어떻게 하면 악성코드 분석 전문가들이 사용하기에 좋고, 사용자 입장에서도 IOC, 해쉬값, 악성, 정상 등 모든 정보를 한눈에 쉽게 파악될 수 있을지 고민했죠. 이에 필수 항목들을 분석해 구분하고, 논의를 거친 후 개발에 들어가게 됐습니다.
저와 다른 한 분이 중심이 돼 개발했는데요. 저 같은 경우 분석업무와 개발업무를 모두 접하다 보니 자연스레 시야가 넓혀졌어요. 개발조직, 분석조직 등이 한 팀에 있어 다양한 아이디어와 의견을 허심탄회하게 교류할 수 있는 등 유연하고 유기적인 환경이 구축된 것이 ‘STIC’을 개발할 수 있는 원동력이 됐다고 봐요.
STIC 개발에 있어 가장 신경을 쓴 부분은 무엇인가요?
기존에 주요 악성코드 분석 서비스인 바이러스토탈, 멀웨어닷컴 등이 있기 때문에 기존 서비스에서 탐지하는 것은 물론 그 외에 탐지되지 못하는 것도 탐지할 수 있도록 효용성에 초점을 맞췄어요.
특히, 기존 서비스와의 차별화를 위해 머신러닝 기능을 추가함으로써 학습효과로 탐지할 수 있도록 했는데요. 이를테면 코인원을 사칭한 피싱 URL의 경우 교묘하게 ONE을 OEN으로 바꾼 악성URL을 바이러스토탈에서 탐지하지 못했다면 STIC에서는 탐지가 가능하다는 것이죠. 학습시킬 악성 URL 기준점 등을 200여개 이상 설정하고, 정오탐을 조절하며, 추가 및 삭제 등의 작업을 거쳐 50여만 개에 달하는 피싱사이트를 학습시켰어요. 워드문서 등으로 위장한 아이콘 실행 파일 역시 문서 아이콘을 학습시켜 딥러닝을 적용하고, 선별 요소 작업을 거쳐 99% 이상의 정탐율을 확보할 수 있었죠.
샌드박스 기반의 동적 분석 시스템의 경우, 리소스 소모도 많이 들고 또 이를 우회하는 악성파일들이 늘어나고 있기 때문에, 동적 분석에서 부족한 부분을 상호보완하고 놓칠 수 있는 부분을 탐지하기 위해 이러한 정적 기반의 딥러닝 기술을 적용함으로써 아이콘 위장 실행파일에 대한 정확한 탐지가 가능해졌습니다. 추후 정적 분석 기반의 파일 DNA 유사성 비교를 위한 머신러닝 연구도 진행중에 있습니다.
STIC 3.0은 기존 버전과 어떻게 다른가요?
기존 STIC 2.0은 수집된 정보를 단순 표기 하는데 그쳤다면, ‘STIC 3.0’은 IP, URL, FILE 등에 대해 △딥러닝 기반 파일/URL 분석 △샌드박스 행위 분석 △안티 바이러스 스캔 △평판 정보 분석 △동적 메모리 분석 △실시간 URL 스캔 △위협 상관관계 분석 등 자체 분석 시스템을 구축해 시큐아이만의 분석 정보를 종합 판단해 표출하게 됩니다. 특히, 메모리 분석은 정적분석에서 탐지되지 않은 메모리에 대한 악성행위를 분석해주고, C2 주소를 도출하는 게 주목적입니다. 또한, 놓치는 악성 파일이 없도록 모델링은 한 번으로 끝내지 않고, 끊임없이 개발, 분석, 학습시킵니다.
머신러닝 기술 연구도 하시는데 어떤 연구인가요?
보안 위협을 머신러닝과 딥러닝을 이용한 기술로 탐지하는 방법을 연구했습니다. 머신러닝 기술을 이용하면 기존에 위협 탐지 방법과 비교해 알려지지 않은 위협에 대해서도 탐지할 수 있는 이점이 있습니다. 그렇기 때문에 시큐아이도 머신러닝, 딥러닝 기술을 연구해 2가지 기법을 STIC에 탑재했습니다.
첫 번째는 문서 파일로 위·변조해 실행을 유도하는 악성 파일을 딥러닝을 이용해 탐지하는 기법입니다. 두 번째는 머신러닝을 통해 피싱URL의 특징을 분석해 피싱 사이트를 탐지하는 기법입니다. 피싱URL 탐지 기법은 악성과 정상 피싱 URL 샘플에 대한 동적·정적 데이터를 수집 및 분석해 피쳐 정보를 추출합니다. 추출된 피쳐 정보를 토대로 머신러닝 기법을 사용해 악성과 정상을 구별합니다.
실행 파일의 아이콘을 추출해 해당 아이콘을 수집한 후, 해당 아이콘을 학습해 어떤 아이콘인지 분류하는 딥러닝 모델도 연구개발하고 있습니다. 해당 딥러닝 모델은 실행파일의 아이콘 종류를 분류합니다. 그런 다음에 문서형(워드, 엑셀, pdf 등) 아이콘으로 판단되면, 실제 문서 파일은 실행형 파일이 아닌 실행형 악성파일일 가능성이 높기 때문에 해당 파일을 악성파일로 탐지하도록 하는 기능입니다.
STIC 플랫폼에 대해 고객사 반응 또는 피드백에 대해 말씀해주신다면?
파일, IP, URL에 대한 실시간 분석 결과를 비롯해 최근 증가하고 있는 위협 정보에 대한 상세 분석 자료를 제공하는데요. 기존 보안 장비 외에도 추가 서비스를 제공받을 수 있어 고객의 반응은 매우 긍정적입니다. 고객사 측에서는 이러한 위협 인텔리전스 정보가 확대되어 더욱 다양하고 상세한 정보를 신속하게 제공받기를 원하고 있습니다.
위협정보 공유는 어떻게 하고 있나요?
현재 C-TAS, 이글루시큐리티, 이스트소프트 등 다양한 기관 및 업체와 위협정보를 제공하고 공유하고 있습니다. 위협 인텔리전스는 모이면 모일수록 해당 정보의 가치가 더 높아지는 만큼, 보안 기관 및 업체 간의 정보 공유는 필수불가결하다고 생각됩니다. 향후에도 더 많은 보안 기관 및 업체와 위협정보를 공유하는 것을 계획하고 있습니다.
앞으로의 계획은 어떻게 되사나요?
NLP(자연어처리) 관련 머신러닝 기술을 연구하고 이를 실제로 보안 분야로 연결하여 적용까지 해보고 싶습니다. 아무래도 인공지능 분야가 미래 주요 성장동력의 하나로, 향후 미래 가능성이 무긍무진하다고 생각하기때문에 좀 더 집중해서 연구해보고 싶습니다.
[김경애 기자(boan3@boannews.com)]
악성파일 실시간 분석 무료 이용 위협분석플랫폼 ‘STIC’ 개발
다양한 채널에서 수집된 위협 데이터, 다차원 분석 후 정제해 위협분석 정보로 제공
[보안뉴스 김경애 기자] 최근 랜섬웨어를 비롯해 각종 악성코드가 활개를 치고 있어 메일을 열어보거나 URL을 클릭하기가 여간 찜찜하지 않을 수 없다. 보안전문가라면 모를까 일반인 입장에서는 뭐가 악성 URL이고, 의심스러운 파일인지 구분이 쉽지 않기 때문이다. 백신만 의존하기엔 뭔가 아쉬운 것 같고, 내 눈으로 바로 바로 악성파일인지 정상파일인지 확인하고 싶을 때가 한 두 번이 아니다.
▲위협분석플랫폼 ‘STIC’ 을 개발한 시큐아이 송병걸 프로[사진=보안뉴스]
이러한 가운데 악성파일, 악성URL 등의 분석을 누구나 무료로 이용할 수 있도록 위협분석플랫폼 ‘STIC’이 개발돼 눈길을 끌고 있다. URL 메일에 첨부된 파일이 악성파일인지 정상파일인지 개인이 쉽게 올리고, 그 분석결과를 실시간으로 확인할 수 있기 때문이다. 머신러닝, 딥러닝, 빅데이터 등의 AI 기술 적용으로 파일과 URL에 숨겨진 위협을 사전에 탐지하고 분석할 수 있다. 특히, 공격의 근원지인 신규 해커 서버 주소(C&C)까지 탐지해 앞으로 발생할 새로운 위협에 대해서도 차단 가능하다. 더욱이 시큐아이 ‘BLUEMAX IPS’ 및 관제 서비스와의 연동으로 인해 장비를 도입한 기업의 경우 새로운 보안위협에 신속한 대응이 가능한 게 특징이다.
이에 본지는 ‘STIC’을 직접 개발한 시큐아이 송병걸 프로와의 인터뷰를 통해 개발배경과 기존 버전과의 차별점, 주요 보안 위협 등에 대해 들어봤다. 숭실대학교 컴퓨터공학을 전공한 송병걸 프로는 숭실대학교 IT대학 특허경진대회 우수상, 숭실대학교 IT대학 소프트웨어공모전 장려상을 수상한 바 있으며, 모니터링 시스템 및 방법, 이를 수행하기 위한 기록매체(10-1587877, 단체) 특허도 보유하고 있다.
안녕하세요? 송병걸 프로님. 본인 소개 부탁드립니다.
안녕하세요. 저는 숭실대학교 컴퓨터학부 학사를 전공하고 시큐아이에 공채 신입으로 입사해 현재 8년차로 근무하고 있는 송병걸입니다. 시큐아이에 악성코드 및 취약점 분석 파트로 입사했습니다. 컴퓨터학부의 장점을 살려 내부 인프라 시스템 개발부터 시작해 STIC 3.0 개발을 진행했습니다.
먼저 시큐아이의 위협분석플랫폼을 통해 주로 발견되는 보안 위협은 어떤 게 있나요?
이메일을 통한 공격은 고전적이지만 현재까지도 꾸준히 발견되고 있습니다. 최근에는 이메일을 통해 사용자의 계정정보를 탈취하는 피싱 메일, 탈취한 계정을 통한 APT 공격 메일, 기존에 탈취한 특정 정보들로 위장한 APT 공격 등이 성행하고 있습니다. 이러한 APT 공격 외에도 불특정 다수를 대상으로 디도스(DDoS) 공격을 수행하는 악성코드나 온라인 도박에 악용하기 위한 악성코드들이 다수 발견되고 있습니다.
위협분석플랫폼 ‘STIC’을 직접 개발하셨다고 들었는데 소개해 주신다면?
‘STIC(스틱)’은 ‘SECUI Threat Intelligence Center’의 약자인데요. 시큐아이만의 위협 심층분석 기술과 분석 전문가의 노하우가 집약된 위협 인텔리전스 플랫폼입니다. 자사 보안 장비는 물론 외부를 포함한 다양한 채널에서 수집된 위협 데이터를 다차원 분석한 후 정제해 위협 분석 정보로 제공합니다.
‘STIC’을 개발하게 된 배경은 무엇인가요?
처음엔 방화벽, IPS 등의 장비에서 탐지된 정보를 수집해 연동할 수 있는 통합관리시스템을 만들고 싶었습니다. 2013년 3.20 사이버테러 이후부터 보안 장비로 수집된 정보와 고객사 정보를 취합 가공해 어떻게 하면 효율적인 위협 정보를 제공할 수 있을지 고민하게 됐죠. 그러다가 2014년 말경 STIC 1.0 버전이 나왔습니다. 그 다음에 고객이 동의한 장비부터 저장하고, 제휴 맺은 악성 파일을 보여주는 2.0 버전에 이어 블루맥스 장비와 연동해 정보를 수집하고, 자체 분석 서비스를 제공하는 모델인 3.0 버전이 올해 5월 출시된 겁니다.
특히, 시큐아이만의 위협 인텔리전스 정보 플랫폼을 만들고 싶었어요. 수집된 데이터를 분석, 가공해 대응할 수 있는 독창적이면서 고유한 플랫폼을 개발하고 싶었죠. 어떻게 하면 악성코드 분석 전문가들이 사용하기에 좋고, 사용자 입장에서도 IOC, 해쉬값, 악성, 정상 등 모든 정보를 한눈에 쉽게 파악될 수 있을지 고민했죠. 이에 필수 항목들을 분석해 구분하고, 논의를 거친 후 개발에 들어가게 됐습니다.
저와 다른 한 분이 중심이 돼 개발했는데요. 저 같은 경우 분석업무와 개발업무를 모두 접하다 보니 자연스레 시야가 넓혀졌어요. 개발조직, 분석조직 등이 한 팀에 있어 다양한 아이디어와 의견을 허심탄회하게 교류할 수 있는 등 유연하고 유기적인 환경이 구축된 것이 ‘STIC’을 개발할 수 있는 원동력이 됐다고 봐요.
▲위협분석플랫폼 ‘STIC’ 3.0 버전 화면[이미지=시큐아이]
STIC 개발에 있어 가장 신경을 쓴 부분은 무엇인가요?
기존에 주요 악성코드 분석 서비스인 바이러스토탈, 멀웨어닷컴 등이 있기 때문에 기존 서비스에서 탐지하는 것은 물론 그 외에 탐지되지 못하는 것도 탐지할 수 있도록 효용성에 초점을 맞췄어요.
특히, 기존 서비스와의 차별화를 위해 머신러닝 기능을 추가함으로써 학습효과로 탐지할 수 있도록 했는데요. 이를테면 코인원을 사칭한 피싱 URL의 경우 교묘하게 ONE을 OEN으로 바꾼 악성URL을 바이러스토탈에서 탐지하지 못했다면 STIC에서는 탐지가 가능하다는 것이죠. 학습시킬 악성 URL 기준점 등을 200여개 이상 설정하고, 정오탐을 조절하며, 추가 및 삭제 등의 작업을 거쳐 50여만 개에 달하는 피싱사이트를 학습시켰어요. 워드문서 등으로 위장한 아이콘 실행 파일 역시 문서 아이콘을 학습시켜 딥러닝을 적용하고, 선별 요소 작업을 거쳐 99% 이상의 정탐율을 확보할 수 있었죠.
샌드박스 기반의 동적 분석 시스템의 경우, 리소스 소모도 많이 들고 또 이를 우회하는 악성파일들이 늘어나고 있기 때문에, 동적 분석에서 부족한 부분을 상호보완하고 놓칠 수 있는 부분을 탐지하기 위해 이러한 정적 기반의 딥러닝 기술을 적용함으로써 아이콘 위장 실행파일에 대한 정확한 탐지가 가능해졌습니다. 추후 정적 분석 기반의 파일 DNA 유사성 비교를 위한 머신러닝 연구도 진행중에 있습니다.
STIC 3.0은 기존 버전과 어떻게 다른가요?
기존 STIC 2.0은 수집된 정보를 단순 표기 하는데 그쳤다면, ‘STIC 3.0’은 IP, URL, FILE 등에 대해 △딥러닝 기반 파일/URL 분석 △샌드박스 행위 분석 △안티 바이러스 스캔 △평판 정보 분석 △동적 메모리 분석 △실시간 URL 스캔 △위협 상관관계 분석 등 자체 분석 시스템을 구축해 시큐아이만의 분석 정보를 종합 판단해 표출하게 됩니다. 특히, 메모리 분석은 정적분석에서 탐지되지 않은 메모리에 대한 악성행위를 분석해주고, C2 주소를 도출하는 게 주목적입니다. 또한, 놓치는 악성 파일이 없도록 모델링은 한 번으로 끝내지 않고, 끊임없이 개발, 분석, 학습시킵니다.
머신러닝 기술 연구도 하시는데 어떤 연구인가요?
보안 위협을 머신러닝과 딥러닝을 이용한 기술로 탐지하는 방법을 연구했습니다. 머신러닝 기술을 이용하면 기존에 위협 탐지 방법과 비교해 알려지지 않은 위협에 대해서도 탐지할 수 있는 이점이 있습니다. 그렇기 때문에 시큐아이도 머신러닝, 딥러닝 기술을 연구해 2가지 기법을 STIC에 탑재했습니다.
첫 번째는 문서 파일로 위·변조해 실행을 유도하는 악성 파일을 딥러닝을 이용해 탐지하는 기법입니다. 두 번째는 머신러닝을 통해 피싱URL의 특징을 분석해 피싱 사이트를 탐지하는 기법입니다. 피싱URL 탐지 기법은 악성과 정상 피싱 URL 샘플에 대한 동적·정적 데이터를 수집 및 분석해 피쳐 정보를 추출합니다. 추출된 피쳐 정보를 토대로 머신러닝 기법을 사용해 악성과 정상을 구별합니다.
실행 파일의 아이콘을 추출해 해당 아이콘을 수집한 후, 해당 아이콘을 학습해 어떤 아이콘인지 분류하는 딥러닝 모델도 연구개발하고 있습니다. 해당 딥러닝 모델은 실행파일의 아이콘 종류를 분류합니다. 그런 다음에 문서형(워드, 엑셀, pdf 등) 아이콘으로 판단되면, 실제 문서 파일은 실행형 파일이 아닌 실행형 악성파일일 가능성이 높기 때문에 해당 파일을 악성파일로 탐지하도록 하는 기능입니다.
STIC 플랫폼에 대해 고객사 반응 또는 피드백에 대해 말씀해주신다면?
파일, IP, URL에 대한 실시간 분석 결과를 비롯해 최근 증가하고 있는 위협 정보에 대한 상세 분석 자료를 제공하는데요. 기존 보안 장비 외에도 추가 서비스를 제공받을 수 있어 고객의 반응은 매우 긍정적입니다. 고객사 측에서는 이러한 위협 인텔리전스 정보가 확대되어 더욱 다양하고 상세한 정보를 신속하게 제공받기를 원하고 있습니다.
위협정보 공유는 어떻게 하고 있나요?
현재 C-TAS, 이글루시큐리티, 이스트소프트 등 다양한 기관 및 업체와 위협정보를 제공하고 공유하고 있습니다. 위협 인텔리전스는 모이면 모일수록 해당 정보의 가치가 더 높아지는 만큼, 보안 기관 및 업체 간의 정보 공유는 필수불가결하다고 생각됩니다. 향후에도 더 많은 보안 기관 및 업체와 위협정보를 공유하는 것을 계획하고 있습니다.
앞으로의 계획은 어떻게 되사나요?
NLP(자연어처리) 관련 머신러닝 기술을 연구하고 이를 실제로 보안 분야로 연결하여 적용까지 해보고 싶습니다. 아무래도 인공지능 분야가 미래 주요 성장동력의 하나로, 향후 미래 가능성이 무긍무진하다고 생각하기때문에 좀 더 집중해서 연구해보고 싶습니다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
