세계 보안 엑스포  전자정부 솔루션 페어  개인정보보호 페어  국제 사이버 시큐리티 컨퍼런스  세계 태양에너지 엑스포  스마트팩토리  세계 다이어트 엑스포  INFO-CON
Home > 전체기사
세상에 취약하지 않은 웹 앱은 단 한 개도 없다
  |  입력 : 2018-04-06 14:48
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
트러스트웨이브, “웹 100% 취약해”...취약점 수도 꾸준히 증가
범죄의 경제가 안정적이고 탄탄하기에 가능한 일


[보안뉴스 문가용 기자] 웹 애플리케이션들이 취약하다는 건 익히 알려진 사실이다. 하지만 최근 트러스트웨이브(Trustwave)가 발표한 자료에 의하면 이 세상에 해커에게 취약하지 않은 웹 애플리케이션은 단 한 개도 없다고 한다. 무려 100%다.

[이미지 = iclickart]


트러스트웨이브는 전 세계에서 발생한 보안 및 침해 관련 로그 이벤트를 수십억 건과 앱들을 분석했다. 그 결과 모든 앱들에서 최소 1개의 취약점이 발견됐다. 통계를 낸 결과 취약점 개수의 중앙값은 애플리케이션 하나 당 11이었다. 웹 애플리케이션 취약점들의 대부분(85.9%)은 세션 관리와 관련된 것이었다. 즉 공격자들이 사용자의 세션을 도청해 민감한 정보를 빼돌릴 수 있다는 것이다.

또한 취약점의 절대 수 자체도 급격히 증가하고 있다고 트러스트웨이브는 발표했다. 2008년과 2011년까지 취약점의 수는 비교적 안정적이었다. 그러다가 2012년에 접어들어 급증했고, 그 후로 계속해서 증가 추세를 유지했다. 그리고 2017년, 전년과 비교할 수 없을 정도로 취약점이 늘어났다. 여기에는 몇 가지 이유가 있다고 트러스트웨이브는 분석하고 있다.

“그 10여년 동안 인터넷 사용자 수가 크게 증가했고, 그와 함께 취약점 발견 기술을 가진 보안 전문가와 해커의 수도 불어났으며, 이러한 취약점들을 바탕으로 한 시장이 형성됐기 때문입니다. 취약점을 하나 찾는 것이 옛날 노다지 찾는 것에 비견될 정도입니다. 골드러시가 여기 저기서 벌어졌던 것과 같은 것이죠.”

취약점이 하나도 없는 애플리케이션이 존재하지 않는 것과 발맞추어, 웹 공격 자체가 보다 표적화되고 있다는 것도 눈에 띄는 현상이다. 웹 애플리케이션에 대한 공격도 고급화되고 있으며 증가하고 있다. 트러스트웨이브에 의하면 “요즘의 사이버 범죄자들은 훨씬 더 치밀하게 준비하고, 조심스럽게 툴들을 선택한다”고 한다. 가장 선호하는 취약점은 XSS인 것으로 나타났으며(40%), 그 다음은 SQL 인젝션(24%), 경로 조작(7%), 로컬 파일 인클루전(4%), 디도스(3%)인 것으로 나타났다.

멀웨어의 측면에서 보자면 난독화 기능 등 방어 장치 우회 기술을 탑재한 것이 30%나 되었다. 하지만 가장 많은 앱들에서 공통적으로 발견된 건(90%) 피해자 시스템에 오래 남아있을 수 있도록 해주는 ‘지속성’ 관련 기술이었다. 이는 표적화 공격이 늘어나고 있는 것과도 맞물린 현상으로 보인다.

침해의 전략 혹은 방법이라는 측면에서는 소셜 엔지니어링(피싱 등)이 55%로 1위를 기록했다. 2위는 ‘악성 내부자’로 13%가 나왔고, 원격 접근은 9%로 3위가 됐다. 트러스트웨이브는 “해커들을 불러들이는 데 있어서 인적 요소가 가장 크게 작용하고 있다는 뜻”이라고 정리한다. 보안 팀이 사람을 교육 및 관리해야 한다고 트러스트웨이브는 덧붙이기도 했다.

좋은 소식도 있었다. 해커들의 침투와 방어자들의 탐지 사이의 시간이 이전보다 줄어들었다. 2016년에는 16일이었는데 2017년에는 0일로 나타났다. 즉 업체들이 대부분의 유출 사고를 발생 당일에 알아챘다는 것이다.

가장 많은 유출 사고를 겪은 것은 북미의 도소매 시장이었다. 국가로 보자면 미국, 캐나다, 멕시코가 전체 유출 사고의 43%를 차지했다. 아태 지역은 30%, 유럽과 중동, 아프리카는 23%였다. 라틴아메리카는 4%로 매우 미비한 수준이었다. 산업별로는 도소매 산업이 1위(16.7%), 금융과 보험이 2위(13.1%), 환대 산업이 3위(11.9%)였다.

트러스트웨이브의 CMO인 스티브 켈리(Steve Kelley)는 “이 모든 수치들을 한 번에 정리해서 말하면 ‘공격 수법이 보다 정교해지고 조직적으로 변하고 있다’는 뜻”이라고 요약한다. “또한 그렇게 될 수 있는 건 사이버 범죄라는 산업이 윤택하고 돈 벌이가 되기 때문입니다. 돈이 몰리는 곳은 반드시 발전하기 마련입니다. 사이버 범죄자들을 쫓기 위해서는 그들의 기술력만이 아니라 그 배후에 있는 변화의 엔진들부터 살펴야 합니다.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 4
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
위즈디엔에스 2018WD 파워비즈 2017-0305 시작
설문조사
7월은 정보보호의 달, 7월 둘째 주 수요일은 정보보호의 날로 지정된 상태입니다. 정보보호의 달과 날짜가 특정되지 않은 ‘정보보호의 날’의 변경 필요성에 대해서는 어떤 견해를 갖고 계신지요?
정보보호의 날(달) 모두 현행 유지
정보보호의 달은 현행대로, 정보보호의 날은 7월 7일로
1.25 인터넷대란, 카드사 사태 발생한 1월, 정보보호의 달(날)로
매월 매일이 정보보호의 달(날), 기념일 폐지해야
기타(댓글로)