IBM ‘X-Force 2010 보안 동향 및 리스크 보고서’ 발표

“사이버 표적 공격 주의, 클라우드·모바일 보안 주목”

[보안뉴스 김태형] IBM에서 발표한 연례 보안 동향 보고서인 X-Force 2010 동향 및 리스크 보고서에 따르면 전세계 공공 및 민간단체들에 대한 정교한 표적 IT 보안 공격이 2010년에 눈에 띄게 증가한 것으로 나타났다.

지난해 공개된 취약점 발표 자료 조사에서 수집된 정보와 초당 15만 건 이상의 보안 사건에 대한 모니터링과 분석을 바탕으로 한 IBM X-Force 연구 팀의 조사 결과는 다음과 같다.

·새로운 취약점이 2009년 발표에서 27% 증가한 8천 가지 이상 새롭게 발견됐다. 또한 2009년 발표와 비교해 공개됨과 동시에 관련 취약점을 악용한 공격도 21% 증가했다. 이 데이터는 컴퓨팅 환경이 복잡해지면서 정교한 공격과 위협이 증가하고 있음을 보여준다.

·높은 증가세를 보이던 스팸의 규모가 2010년 말에는 제자리에 머물렀다. 스팸의 규모가 점점 증가함에 따라 효용성을 낮게 본 스패머들이 필터를 우회하는 데 주력하고 있기 때문인 것으로 추측된다.

·전반적으로 2009년 대비 피싱 공격 건수는 현저하게 줄었으나 표적화된 공격 방식인 ‘스피어 피싱(spear phishing)’ 비중은 증가했다. 사이버 범죄자들이 공격의 양 보다는 질에 중점을 두고 있음을 보여준다.

·IT 보안 부서에서는 스마트폰 및 기타 모바일 기기 사용자가 증가하면서 해당 기기들을 안전하게 회사 네트워크에 접속시킬 방법을 모색하고 있다. 지난해 최신 모바일 기기에 대한 공격이 활성화 되지는 않았으나 이를 대상으로 한 취약성 노출과 공격이 증가세인 것으로 나타났다.

IBM X-Force의 톰 크로스(Tom Cross) 위협 정보 관리자는 “스턱스넷(Stuxnet)에서 제우스 봇넷(Zeus Botnet), 모바일 공격에 이르기까지 다양한 공격 방법이 매일같이 나타나고 있다. 2010년에 하이 프로파일(high profile) 표적 공격이 많았던 것을 미루어 볼 때 풍부한 자금과 보안 취약성에 대한 지식을 활용해 고도로 정교한 수법을 사용하는 사이버 범죄자들이 속출하는 것으로 판단된다. 증가하는 위협에 한 발 앞서 대비하기 위해서는 초기에 안전한 소프트웨어와 서비스를 설계하는 것이 가장 중요하다”고 말했다.

IBM X-Force 동향 및 리스크 보고서에서는 모바일 기기, 클라우드 컴퓨팅 등 새로운 IT 트렌드에 대한 베스트 프랙티스와 보안 동향을 소개했다.

·클라우드 컴퓨팅-클라우드 도입이 지속적으로 확대되면서 보안에 대한 인식에도 변화가 생겼다. 클라우드 사업자들은 보안에 대한 고객의 신뢰를 확보해야 하며 이를 위해 클라우드로 이전할 특정 애플리케이션의 요구사항에 부합하는 보안 기능을 갖춘 설계로 안전한 인프라스트럭처를 제공해야 해야 할 것이다. 민감한 워크로드가 클라우드로 이전됨에 따라 보안 기능도 더욱 정교해질 것이다. IBM은 시간이 지나면서 보안 기능과 전문지식에 대한 접근을 제공하는데 비용 효과적인 클라우드가 시장을 주도할 것으로 예측하고 있다. 이에 따라 보안 개선에 관심이 집중되면서 클라우드 보안 문제가 채택의 걸림돌이 아닌 촉진제가 될 수 있을 것으로 기대된다.

·모바일 기기-기업에서 직원들의 개인용 모바일 기기가 보안에 미치는 영향에 대해 크게 우려하는 것으로 나타났다. 2010년 IBM X-Force 보고서에서 모바일 기기에서 노출된 취약성과 함께 모바일 기기를 대상으로 한 공격의 공개도 증가한 것으로 나타났다. 모바일 기기 사용 환경을 임의 변경할 수 있는 ‘탈옥(jailbreak)’ 해킹이나 ‘루팅(rooting)’이 악의적인 공격에 재사용되고 있으며 교묘해진 공격 코드 배포를 자극한 것으로 드러났다. 그러나 아직까지 최신 모바일 기기에 멀웨어(악성코드)가 보편화되지 않았으며 대다수의 IT 전문가들은 모바일 기기에 저장된 데이터를 분실하거나 오용될 가능성을 주된 보안 위협으로 보고 있다. 보고서에 따르면 모바일 보안에 대한 베스트 프랙티스가 강화된 패스워드 관리 및 데이터 암호화 기능으로 발전할 것으로 나타났다.

이 밖에 보고서에서는 다음과 같은 주요 동향들도 소개했다.

·새롭고 정교해진 사이버 범죄-2010년에는 지금까지 업계에서 경험했던 다양한 공격 중 일부 하이 프로파일 표적 공격이 가장 두드러졌다. 이러한 유형의 공격은 광범위한 공공/민간 네트워크를 지속적으로 위협하고 있는 컴퓨터 스파이 행위 및 업무 방해의 배후에 고도의 조직과 자금 지원이 뒤따르고 있음을 반증한다.

·피싱 현저한 감소세-2010년에 발생한 피싱 이메일 규모의 최대치는 2008년과 2009년 최대치의 1/4 미만이었다. 이러한 감소세에도 불구하고 악의적인 파일이나 링크가 첨부된 이메일로 기업 네트워크를 공격하는 등의 표적화된 스피어 피싱 비중은 증가했다.

·급증하던 스팸 규모 한풀 꺾여-2010년도 스팸 규모가 급격하게 증가하면서 역사상 최고치에 달했으나 연말부터 증가세가 주춤해졌다. 전체 스팸 규모가 증가하면서 스패머들이 스팸 필터 우회에 주력했을 가능성이 있다.

·2010년 발견된 취약성의 절반은 웹 애플리케이션이 차지-웹 애플리케이션은 2010년 49%를 차지하며 취약성 노출 건수가 가장 많은 소프트웨어 범주에 머물렀다. 취약성 중 대다수는 사이트 간 스크립팅(XSS)과 SQL 인젝션 공격이 차지했다.

·‘보안 기능을 갖춘 설계’가 보안을 개선-웹 애플리케이션 보안 평가와 개발 및 품질 보증 프로세스 개선을 위한 사전 조치를 취하면 웹 애플리케이션 소프트웨어의 보안이 현저하게 개선될 수 있는 것으로 나타났다. X-Force 보고서에서 취약성을 정밀 조사한 웹 애플리케이션이 일반적으로 두 번째 평가 시 평균적으로 특정 부류의 취약성 수가 절반 이하로 감소했다는 데이터를 소개했다.

·보안 취약성의 약 절반에 대한 패치가 제공되지 않아-기업이 취약성에 대한 공격을 방지하기 위해서는 취약성 공개 시점에서 패치 설치에 소요되는 기간 단축에 주안점을 둬야 한다. 2010년 말까지 전체 보안 취약성의 44%가 벤더가 제공하는 패치가 없었다. IBM X-Force 보고서에 따르면 공격자들이 취약성을 대상으로 삼은 수십 또는 수백 일 후에야 공격이 공개되는 경우가 많은 것으로 나타났다. 이러한 공격이 표면화되는데 장기적인 시간이 걸린다면 네트워크 패치 제공에도 오랜 시간이 걸릴 것이다.

·인터넷 봇넷 지속적으로 증가-봇넷 활동을 차단하기 위한 노력이 늘어나고 있음에도 불구하고 2010년 트로이 봇넷(Trojan botnet) 활동은 증가 추세를 보였다. 또한 제우스 봇넷(Zeus botnet)은 IBM X-Force가 2010년에 탐지한 봇넷 활동의 상당 부분을 차지했다. 제우스 봇넷 멀웨어는 공격자들이 감염된 컴퓨터에서 금융거래 정보를 유출해 내는데 쓰인다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)