파이어아이, 금융권 사이버 위협 대응 보고서 발간
[보안뉴스 권 준] 최근 일련의 은행권 침해사고 대응 경험을 바탕으로 금융권 사이버 위협을 효과적으로 방어할 수 있는 대응 전략이 담긴 보고서가 발표돼 화제를 모으고 있다.
파이어아이의 자회사 맨디언트의 컨설턴트들은 지난해 언론을 떠들썩하게 했던 금융권 침해 사고를 대응하고 조사한 경험을 바탕으로 금융 서비스 기관들이 지능형 사이버 위협을 빠르게 대응하고 그로 인한 침해를 최소화 하는 데에 필요한 조치들을 발표했다. 맨디언트는 지난 2014년 파이어아이가 인수한 포렌식 전문 기업으로 사이버 침해 탐지 및 대응 분야에서 선도적인 보안업체다. 이번 보고서에서는 지능형 위협에 대한 빠른 대응을 위해 필요한 세 가지 조치를 권고했다.
1. 인증정보 관리
거의 모든 침해사고에서 인증정보가 탈취되고 악용됨에 따라 인증정보에 대한 적절한 보호 조치가 필요하다. 특히, 도메인 관리자 및 루트 권한 계정의 수를 줄이고, 로컬 관리자 계정 및 각종 권한 계정에 대해 암호 관리 솔루션을 사용해야 한다. 또한, 민감한 시스템 및 애플리케이션에 대한 원격 접근을 포함한 모든 접근에 대해 다중요소 인증 방식을 도입해야 하며, 인증정보가 악용되고 있는지 여부를 지속적으로 확인하기 위해 인증정보에 대한 감사를 진행하는 것이 좋다. 이와 함께, 관리자 계정에 대한 지속적인 모니터링이 요구되며 관리자 활동에 대해 강력한 인증 절차를 거쳐야 한다.
2. 망분리 시행
대부분의 금융기관들이 망분리를 적절히 시행하지 않고 이에 대한 모니터링도 이루어지지 않고 있어 주의가 요구된다. 진정한 망분리는 데이터를 한 시스템에서 다른 시스템으로 이동시키는 데 수동적인 절차가 필요한 것을 의미한다. 이에 따라 기업들은 망분리 과정에서 소요되는 비용과 공격자가 주요 자산에 접근하고 유출했을 시 발생할 손실을 비교하여 리스크 관리를 해야 한다.
3. 데이터 분리
제품생산 관련 데이터와 같은 민감한 데이터를 테스트 및 QA 시스템에 저장하지 않아야 한다. 테스트 및 QA 시스템은 낮은 권한으로도 접근이 가능하며 안전하지 않은 환경이기 때문이다. 생산 환경을 제외한 환경에서는 랜덤화하고 익명화된 데이터를 사용해야 민감 데이터 유출 피해를 최소화할 수 있다.
파이어아이는 이러한 조치에도 불구하고 계속해서 발전을 거듭하는 지능형 위협은 결국 시스템에 침투할 방법을 찾아낼 수 있을 것이라 경고하며 사이버 침해를 대비하기 위한 5가지 조치를 제안했다.
4. 디지털포렌식을 통한 증거 수집
모든 주요 네트워크 및 애플리케이션에 디지털 포렌식을 도입해 핵심 네트워크 및 애플리케이션에 접근하는 모든 트래픽에 대한 로그 정보를 최소 30일간 보유한다. 이를 통해 침해 발생 여부 및 실제로 침해가 발생했을 시 관련 조사를 용이하게 진행할 수 있다.
5. 사이버 위협 노출 여부에 대한 테스트
주요 시스템은 레드팀 평가를 받아서 현재 보안조치를 평가해야 한다. 노출된 시스템에만 직접적인 공격 있을 것이라 가정하는 일반적인 침입 테스트와는 달리 레드팀 테스트는 평가 대상이 되는 시스템에 모든 수단을 동원한 공격을 진행한다. 이는 지능형 공격 발생 시의 상황을 가장 제대로 반영해주는 방식으로, 조직의 보안 수준을 평가하는 가장 현실적인 방법이다.
6. 보안운영센터에서 사이버 디펜스 센터로
대부분의 은행이 가지고 있는 보안운영센터(SOC)는 단순히 보안 솔루션에서 발생한 경보만을 대응하는 수동적인 방식을 취하고 있다. 그러나 진화하는 사이버 위협에 대응하기 위해서는 컴플라이언스 및 보안 경보 중심의 보안 접근에서 벗어나 적극적으로 지능형 위협을 탐지 및 대응하는 사이버 디펜스 센터 방식으로 변화해야 한다.
7. 지능형/일상적 공격 모두 탐지
흔히 이용되는 악성코드로 은행의 시스템을 감염시킨 사례를 수없이 포착함에 따라 사이버 위협 탐지에 있어서 지능형 공격과 일상적 공격에 대한 나눠서 생각해서는 안 된다. 일반적인 악성코드에 감염된 사례를 지능형 사이버 공격자가 구입하면 이를 활용하여 인증정보를 탈취하고, 추가적인 툴을 설치하며, 네트워크 내부에서 또 다른 호스트로 이동할 수 있다는 점에서 주의가 요구된다.
8. 인텔리전스 활용
보안 인텔리전스를 적절히 활용할 경우, 위협 탐지의 수준과 사고 대응의 속도를 높여줄 수 있다. 파이어아이는 인텔리전스 기반 APT 보안의 선두주자이며, 맨디언트의 침해 대응 활동을 통해 수집된 인텔리전스는 제품에 직접 반영된다.
파이어아이 전수홍 지사장은 “최근 전 세계 특히 아시아 금융 기관들을 대상으로 하는 지능형 위협이 증가함에 따라 이에 대한 체계적인 대응전략 수립이 필요하다. 더욱이 금융권의 경우 고객의 민감한 정보를 보유하고 있는 만큼 높은 수준의 보안이 요구된다”며 “파이어아이는 금융권 침해사고를 조사 및 대응한 경험을 바탕으로 사이버 위협을 효과적으로 방어하는 한편, 침해 발생 시 피해를 최소화할 수 있도록 지원하고 있다”고 말했다.
[권 준 기자(editor@boannews.com)]
파이어아이의 자회사 맨디언트의 컨설턴트들은 지난해 언론을 떠들썩하게 했던 금융권 침해 사고를 대응하고 조사한 경험을 바탕으로 금융 서비스 기관들이 지능형 사이버 위협을 빠르게 대응하고 그로 인한 침해를 최소화 하는 데에 필요한 조치들을 발표했다. 맨디언트는 지난 2014년 파이어아이가 인수한 포렌식 전문 기업으로 사이버 침해 탐지 및 대응 분야에서 선도적인 보안업체다. 이번 보고서에서는 지능형 위협에 대한 빠른 대응을 위해 필요한 세 가지 조치를 권고했다.
1. 인증정보 관리
거의 모든 침해사고에서 인증정보가 탈취되고 악용됨에 따라 인증정보에 대한 적절한 보호 조치가 필요하다. 특히, 도메인 관리자 및 루트 권한 계정의 수를 줄이고, 로컬 관리자 계정 및 각종 권한 계정에 대해 암호 관리 솔루션을 사용해야 한다. 또한, 민감한 시스템 및 애플리케이션에 대한 원격 접근을 포함한 모든 접근에 대해 다중요소 인증 방식을 도입해야 하며, 인증정보가 악용되고 있는지 여부를 지속적으로 확인하기 위해 인증정보에 대한 감사를 진행하는 것이 좋다. 이와 함께, 관리자 계정에 대한 지속적인 모니터링이 요구되며 관리자 활동에 대해 강력한 인증 절차를 거쳐야 한다.
2. 망분리 시행
대부분의 금융기관들이 망분리를 적절히 시행하지 않고 이에 대한 모니터링도 이루어지지 않고 있어 주의가 요구된다. 진정한 망분리는 데이터를 한 시스템에서 다른 시스템으로 이동시키는 데 수동적인 절차가 필요한 것을 의미한다. 이에 따라 기업들은 망분리 과정에서 소요되는 비용과 공격자가 주요 자산에 접근하고 유출했을 시 발생할 손실을 비교하여 리스크 관리를 해야 한다.
3. 데이터 분리
제품생산 관련 데이터와 같은 민감한 데이터를 테스트 및 QA 시스템에 저장하지 않아야 한다. 테스트 및 QA 시스템은 낮은 권한으로도 접근이 가능하며 안전하지 않은 환경이기 때문이다. 생산 환경을 제외한 환경에서는 랜덤화하고 익명화된 데이터를 사용해야 민감 데이터 유출 피해를 최소화할 수 있다.
파이어아이는 이러한 조치에도 불구하고 계속해서 발전을 거듭하는 지능형 위협은 결국 시스템에 침투할 방법을 찾아낼 수 있을 것이라 경고하며 사이버 침해를 대비하기 위한 5가지 조치를 제안했다.
4. 디지털포렌식을 통한 증거 수집
모든 주요 네트워크 및 애플리케이션에 디지털 포렌식을 도입해 핵심 네트워크 및 애플리케이션에 접근하는 모든 트래픽에 대한 로그 정보를 최소 30일간 보유한다. 이를 통해 침해 발생 여부 및 실제로 침해가 발생했을 시 관련 조사를 용이하게 진행할 수 있다.
5. 사이버 위협 노출 여부에 대한 테스트
주요 시스템은 레드팀 평가를 받아서 현재 보안조치를 평가해야 한다. 노출된 시스템에만 직접적인 공격 있을 것이라 가정하는 일반적인 침입 테스트와는 달리 레드팀 테스트는 평가 대상이 되는 시스템에 모든 수단을 동원한 공격을 진행한다. 이는 지능형 공격 발생 시의 상황을 가장 제대로 반영해주는 방식으로, 조직의 보안 수준을 평가하는 가장 현실적인 방법이다.
6. 보안운영센터에서 사이버 디펜스 센터로
대부분의 은행이 가지고 있는 보안운영센터(SOC)는 단순히 보안 솔루션에서 발생한 경보만을 대응하는 수동적인 방식을 취하고 있다. 그러나 진화하는 사이버 위협에 대응하기 위해서는 컴플라이언스 및 보안 경보 중심의 보안 접근에서 벗어나 적극적으로 지능형 위협을 탐지 및 대응하는 사이버 디펜스 센터 방식으로 변화해야 한다.
7. 지능형/일상적 공격 모두 탐지
흔히 이용되는 악성코드로 은행의 시스템을 감염시킨 사례를 수없이 포착함에 따라 사이버 위협 탐지에 있어서 지능형 공격과 일상적 공격에 대한 나눠서 생각해서는 안 된다. 일반적인 악성코드에 감염된 사례를 지능형 사이버 공격자가 구입하면 이를 활용하여 인증정보를 탈취하고, 추가적인 툴을 설치하며, 네트워크 내부에서 또 다른 호스트로 이동할 수 있다는 점에서 주의가 요구된다.
8. 인텔리전스 활용
보안 인텔리전스를 적절히 활용할 경우, 위협 탐지의 수준과 사고 대응의 속도를 높여줄 수 있다. 파이어아이는 인텔리전스 기반 APT 보안의 선두주자이며, 맨디언트의 침해 대응 활동을 통해 수집된 인텔리전스는 제품에 직접 반영된다.
파이어아이 전수홍 지사장은 “최근 전 세계 특히 아시아 금융 기관들을 대상으로 하는 지능형 위협이 증가함에 따라 이에 대한 체계적인 대응전략 수립이 필요하다. 더욱이 금융권의 경우 고객의 민감한 정보를 보유하고 있는 만큼 높은 수준의 보안이 요구된다”며 “파이어아이는 금융권 침해사고를 조사 및 대응한 경험을 바탕으로 사이버 위협을 효과적으로 방어하는 한편, 침해 발생 시 피해를 최소화할 수 있도록 지원하고 있다”고 말했다.
[권 준 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
권준기자 기사보기
[2024-05-17] 
.jpg)
.jpg)
