.jpg)
유출된 정보의 건수 바탕으로 한 계산으로는 정확하지 않아
위협 모델링 주목 받고 있어...CAPEC이라는 프레임워크 인기
[보안뉴스 문가용 기자] 워너크라이(WannaCry)와 낫페트야(NotPetya) 랜섬웨어 공격을 통해 세계가 깨달은 사실이 하나 있다면 멀웨어가 전 세계로 퍼져가는 속도가 상상을 초월한다는 것이다. 또한 이러한 사이버 공격에 취약한 IT 인프라라는 것이 생각보다 훨씬 깊숙하게 기업 환경 내로 들어왔다는 사실도 체감됐다. 기업들이 드디어 사이버 공격의 ‘금전적인 영향’을 진지하게 고려할 수밖에 없게 되었다.
그러면서 개인식별정보를 건 단위로 계산하는 기존 산출 방식이 부정확하다는 걸 깨닫게 됐다. 왜냐하면 정보 유출 사고로 손실된 비용이, 잃어버린 기록의 수를 바탕으로 계산한 액수보다 훨씬 높기 때문이다. 즉 정보 외에도 손실되는 것이 많은데, 그걸 계산에 넣지 못하게 된다는 것을 불현 듯 깨닫게 되었다는 것. 또한 정보를 유출시키지 않는 사이버 공격도 많은데, ‘잃은 데이터의 건수’만을 집계하면 랜섬웨어 공격 같은 경우 계산이 잘 되지 않는다.
최근에는 다음 다섯 가지 요소를 공식에 포함시켜야 한다는 주장이 대세로 굳어지고 있다.
1) 마비된 시간만큼 잃은 비즈니스 수익
2) 사건 분석에 소요되는 담당자들의 시간 소모량
3) 인프라에 가해진 피해 복구 비용
4) 새로운 솔루션 및 보완책 도입 비용
5) 고객 보상 비용 및 법무 비용
또한 위협 모델에 따른 계산법도 주목받고 있다. 어떤 공격이 우리 회사에 들어올 수 있으며, 어떤 종류의 적들이 네트워크의 취약한 틈바구니를 비집고 들어올 수 있는지, 시나리오를 만들고 그에 따라 피해액과 복구 비용을 산출하는 것이다. 물론 ‘가능성’을 상상한다는 게 쉽지 않고, 끝도 없는 일이다. 그래서 기업들은 공격 패턴을 항목화해주는 프레임워크를 참조하고 있다.
가장 각광받고 있는 프레임워크는 CAPEC이다. Common Attack Pattern Enumeration and Classification의 준말로 ‘흔한 공격 패턴 목록화 및 항목화’라는 뜻을 가지고 있다. 여러 공격 가능성들을 구체적인 시나리오로 만들고, 그에 따른 취약점들을 분석할 때 좋은 참고자료가 된다. 세상의 모든 가능성을 다 전략화할 수 없으니 이러한 프레임워크에 따라 범위를 좁히는 게 더 실용적이다.
이런 식으로 계산을 하고 보안 체계를 잡아가면 어느 순간 ‘리스크’라는 개념과 만난다. 정보보안 업무가 리스크 관리 업무로 변해가거나 아울러가는 이유 중 하나다. 여태까지 리스크란 ‘공격 가능성 x 충격’의 공식으로 계산됐다. 하지만 최근에는 이 공식에 다른 요소들이 붙었다. ‘공격 가능성 x 위험 수준 x 충격 분석 = 금전적인 충격’으로 말이다.
여기서 ‘공격 가능성’이란 회사 전체가 공격 받을 가능성을 말하는 게 아니라 취약점 하나를 기준으로 공격이 이뤄질 가능성을 말한다. 이 가능성이란 걸 계산할 때 고려해야 할 요소들은 다음과 같다.
1) 취약점이 가지고 있는 위협 요소들
2) 취약점에 대한 패치 존재 여부 / 패치 가능성 여부
3) 취약점의 익스플로잇이 발생한 후 취할 수 있는 대처 및 전략
4) 익스플로잇 용이성
‘위험 수준’이란 특정 취약점에 대한 공격을 받았을 때 조직이 겪게 될 후폭풍(충격)에 대한 값이다. 그에 반해 ‘충격 분석’은 특정 공격이 성공적으로 발생했을 때 잃을 수 있는 돈의 액수다.
물론 여기서 소개한 ‘공식’이나 그 공식들에 들어가는 ‘변수’들이 엄격한 수학적 기능성을 가지고 있는 건 아니다. 사이버 공격의 피해를 현재 산업 내에서 어떤 식으로 계산하려고 하는지를 큰 방향에서 개념적으로 설명하기 위해 공식처럼 정리했을 뿐이다. 이 계산법 혹은 접근법은 앞으로 달라질 수도 있고 보정될 수도 있다.
하지만 사이버 공격으로 인해 기업이 겪을 수 있는 피해를 ‘액수’로 누군가 환산해줄 수 있다면 그것만한 충격요법도 없을 것이다. 실제로 공격을 당해 탈탈 털리는 것 빼고는.
글 : 아난드 파투리(Anand Paturi), RiskSense
[국제부 문가용 기자(globoan@boannews.com)]
위협 모델링 주목 받고 있어...CAPEC이라는 프레임워크 인기
[보안뉴스 문가용 기자] 워너크라이(WannaCry)와 낫페트야(NotPetya) 랜섬웨어 공격을 통해 세계가 깨달은 사실이 하나 있다면 멀웨어가 전 세계로 퍼져가는 속도가 상상을 초월한다는 것이다. 또한 이러한 사이버 공격에 취약한 IT 인프라라는 것이 생각보다 훨씬 깊숙하게 기업 환경 내로 들어왔다는 사실도 체감됐다. 기업들이 드디어 사이버 공격의 ‘금전적인 영향’을 진지하게 고려할 수밖에 없게 되었다.
[이미지 = iclickart]
그러면서 개인식별정보를 건 단위로 계산하는 기존 산출 방식이 부정확하다는 걸 깨닫게 됐다. 왜냐하면 정보 유출 사고로 손실된 비용이, 잃어버린 기록의 수를 바탕으로 계산한 액수보다 훨씬 높기 때문이다. 즉 정보 외에도 손실되는 것이 많은데, 그걸 계산에 넣지 못하게 된다는 것을 불현 듯 깨닫게 되었다는 것. 또한 정보를 유출시키지 않는 사이버 공격도 많은데, ‘잃은 데이터의 건수’만을 집계하면 랜섬웨어 공격 같은 경우 계산이 잘 되지 않는다.
최근에는 다음 다섯 가지 요소를 공식에 포함시켜야 한다는 주장이 대세로 굳어지고 있다.
1) 마비된 시간만큼 잃은 비즈니스 수익
2) 사건 분석에 소요되는 담당자들의 시간 소모량
3) 인프라에 가해진 피해 복구 비용
4) 새로운 솔루션 및 보완책 도입 비용
5) 고객 보상 비용 및 법무 비용
또한 위협 모델에 따른 계산법도 주목받고 있다. 어떤 공격이 우리 회사에 들어올 수 있으며, 어떤 종류의 적들이 네트워크의 취약한 틈바구니를 비집고 들어올 수 있는지, 시나리오를 만들고 그에 따라 피해액과 복구 비용을 산출하는 것이다. 물론 ‘가능성’을 상상한다는 게 쉽지 않고, 끝도 없는 일이다. 그래서 기업들은 공격 패턴을 항목화해주는 프레임워크를 참조하고 있다.
가장 각광받고 있는 프레임워크는 CAPEC이다. Common Attack Pattern Enumeration and Classification의 준말로 ‘흔한 공격 패턴 목록화 및 항목화’라는 뜻을 가지고 있다. 여러 공격 가능성들을 구체적인 시나리오로 만들고, 그에 따른 취약점들을 분석할 때 좋은 참고자료가 된다. 세상의 모든 가능성을 다 전략화할 수 없으니 이러한 프레임워크에 따라 범위를 좁히는 게 더 실용적이다.
이런 식으로 계산을 하고 보안 체계를 잡아가면 어느 순간 ‘리스크’라는 개념과 만난다. 정보보안 업무가 리스크 관리 업무로 변해가거나 아울러가는 이유 중 하나다. 여태까지 리스크란 ‘공격 가능성 x 충격’의 공식으로 계산됐다. 하지만 최근에는 이 공식에 다른 요소들이 붙었다. ‘공격 가능성 x 위험 수준 x 충격 분석 = 금전적인 충격’으로 말이다.
여기서 ‘공격 가능성’이란 회사 전체가 공격 받을 가능성을 말하는 게 아니라 취약점 하나를 기준으로 공격이 이뤄질 가능성을 말한다. 이 가능성이란 걸 계산할 때 고려해야 할 요소들은 다음과 같다.
1) 취약점이 가지고 있는 위협 요소들
2) 취약점에 대한 패치 존재 여부 / 패치 가능성 여부
3) 취약점의 익스플로잇이 발생한 후 취할 수 있는 대처 및 전략
4) 익스플로잇 용이성
‘위험 수준’이란 특정 취약점에 대한 공격을 받았을 때 조직이 겪게 될 후폭풍(충격)에 대한 값이다. 그에 반해 ‘충격 분석’은 특정 공격이 성공적으로 발생했을 때 잃을 수 있는 돈의 액수다.
물론 여기서 소개한 ‘공식’이나 그 공식들에 들어가는 ‘변수’들이 엄격한 수학적 기능성을 가지고 있는 건 아니다. 사이버 공격의 피해를 현재 산업 내에서 어떤 식으로 계산하려고 하는지를 큰 방향에서 개념적으로 설명하기 위해 공식처럼 정리했을 뿐이다. 이 계산법 혹은 접근법은 앞으로 달라질 수도 있고 보정될 수도 있다.
하지만 사이버 공격으로 인해 기업이 겪을 수 있는 피해를 ‘액수’로 누군가 환산해줄 수 있다면 그것만한 충격요법도 없을 것이다. 실제로 공격을 당해 탈탈 털리는 것 빼고는.
글 : 아난드 파투리(Anand Paturi), RiskSense
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
