.jpg)
“짚더미에서 바늘을 찾는 것, 우리에게는 할리우드 액션 신”
첩보를 분석한다는 건, 미싱 링크를 매일처럼 찾아다니는 것...예술성도 필요
[보안뉴스 문가용 기자] 누구나 마음 한 구석에 예술가를 숨겨 두고 있다. 누구나 마음 한 구석에 거대한 역사를 꿰뚫는 현인을 숨겨 두고 있다. 그리고 누구나 마음 한 구석에 신을 닮고자 하는 선인을 숨겨 두고 있다. EDR과 첩보 분석을 전문으로 하는 업체인 크라우드스트라이크(CrowdStrike)의 스콧 자코프(Scott Jarkoff) 위협 첩보 고문과 함께 우리 안의 모습들을 발굴해 보았다.
보안뉴스 : 크라우드스트라이크는 사이버전 수행 부대를 추적하는 것으로 유명한 기업 아닌가?
스콧 자코프 : 그런 쪽으로 보고서를 많이 내고 있어서 그런 인상이 있다. 하지만 우리는 사이버 범죄 집단과 핵티비스트들을 추적하는 것에도 능한 회사다.
보안뉴스 : 요즘은 사이버전 단체와 사이버 범죄 집단 사이의 경계가 흐려지고 있는데, 다 비슷비슷한 거 아닌가?
자코프 : 서로 비슷한 기술과 도구를 사용하고, 오픈소스를 적극 활용하는 등 사이버전 단체와 범죄 집단 사이의 차별점이 흐려지고 있는 게 사실이긴 하다. 그러나 둘 사이에는 영원히 좁혀질 수 없는 차이가 존재한다. 바로 동기다. 사이버전 단체는 상대 국가에 대한 정찰을 하기 위해 활동하고, 범죄자들은 돈을 벌기 위해 활동한다. 이 차이점을 이해하는 건 보안 책임자들에게 있어 대단히 중요한 일이다. 동기를 파악해야 방어 전략이 수립되기 때문이다.
물론 공격자가 어떤 기술과 수법, 도구를 사용하는지 파악하고, 그에 맞는 방어 전략을 세울 수 있다. 그러나 기술에 대한 대응은 진정한 전략이 되지 못한다. 그 때 그 때 상황만 틀어막는 임시방편일 뿐이다. 동기를 이해할 수 있어야 큰 그림을 보고 보다 능동적이고 선제적인 방어 전략을 마련할 수 있다. 사이버전 단체와 사이버 범죄 집단을 추적할 줄 안다는 건, 다양한 공격 동기들을 꿰뚫어보고 전략 마련에 대한 통찰을 제공할 수 있다는 뜻이다.
보안뉴스 : 해커들을 추적한다니, 사무실 혹은 연구실 분위기가 스릴 넘치거나 역동적일 거 같다.
자코프 : 스릴이 넘치거나 역동적이라는 게 할리우드 영화의 추격 장면이나 스파이들의 잠입 액션을 말하는 거면, 아니라고 확실하게 말할 수 있다. 우리의 일은 차라리 짚더미 속에서 바늘을 찾는 것의 연속이다. 사람에 따라 이걸 재미없고 지루하다고 느낄 수도 있지만, 우리에겐 충분히 역동적이고 스릴 넘치는 일이다.
보안뉴스 : 조금 더 설명해 달라.
자코프 : 크라우드스트라이크는 보안 솔루션 측면에서 엔드포인트 탐지 및 대응(EDR) 제품으로 유명한 회사다. 전 세계 곳곳에 고객들이 있고, 우리 EDR이 있다. 한국도 마찬가지다. 또한 이 EDR은 클라우드를 기반으로 하고 있어, 자연스럽게 전 세계 구석구석에서 벌어지는 ‘디지털 사건’들에 대한 데이터가 모인다. 일주일에 평균 1조 5천억 건이 수집된다.
또한 크라우드스트라이크는 각종 사건에 대한 대응을 하기도 한다. 사건 대응은 ‘사건이 터지고 나서 하는 일’이라는 인식이 있는데, 첩보 수집이라는 측면에서 굉장히 중요한 일이다. 사건에 대응해야 공격자의 툴과 전략을 마주할 수 있고, 그들의 ‘디지털 채취’를 느낄 수 있게 된다. 그러면서 공격자의 동기가 파악되고, 배후 세력을 짐작할 수 있다.
첩보 수집과 분석을 전문으로 하는 회사로서 크라우드스트라이크는 이런 데이터들 속으로 다이빙해서 퍼즐 조각들을 찾아낸다. 그리고 맞춘다. 그림을 완성시켜 간다. 때론 반복적이고 지겨운 일의 연속이기도 하지만, 커다란 퍼즐을 하나하나 맞춰가는 즐거움이 있다. 그러면서 물리적 세상이 기록해가는 역사와 다른 측면 혹은 그 역사적 사실들을 뒷받침해줄 수 있는 큰 그림을 우리 나름 꿰맞춰 가는 것이다. 매일이 이른바 ‘미싱 링크’를 찾기 위해 투자된다.
보안뉴스 : 할리우드 액션을 기대했더니, 고고학 현장에 온 느낌이다.
자코프 : 그러고 보니 고고학과 비슷한 거 같기도 하다. 각종 먼지와 흙을 한 층 한 층 제거하고, 그 속에서 아티팩트(artifact)를 찾는 것과 우리가 하는 일은 다르지 않다. 크라우드스트라이크의 다른 직원들이 어떤지는 모르겠는데, 나는 개인적으로 우리가 하는 일에 예술적 속성이 있다고 느낀다. 사이버 보안과 첩보 분석이라고 해서 과학만 있는 건 아니다.
보안뉴스 : 예술적 속성? ‘Art’라는 말, 보안 취재하면서 처음 듣는다.
자코프 : 앞서 ‘동기’를 언급한 부분과 연결된 부분이다. 사건이 터지거나 첩보가 들어왔을 때, 관련 데이터를 수집하고, 공격 도구를 분석하며, 패턴을 파악하는 건 과학과 기술의 영역이 맞다. 하지만 그런 사실들을 나열하는 것만이 첩보 전문가들의 역할이 아니다. 과학으로부터 얻어낸 결과물을 가지고 해석해야 하는 것까지도 우리의 몫이다.
자의적으로 소설을 쓴다는 게 아니다. 그 동안 우리가 쌓아왔던 지식, 계속해서 맞춰왔던 퍼즐, 현재 세계의 정세 등 수많은 요소들을 종합적으로 고려해 지금 확보되어 있는 데이터를 바라보고, 그 뒤에 있는 공격자의 정체와 동기를 파악해 우리의 첩보를 소비하는 사람들이 보다 나은 방어 전략을 구축할 수 있도록 돕는다는 것이다. 이런 면에서는 예술적인 기능이 필요하다.
보안뉴스 : 즉 공격자를 지목하는 게 가능하다는 말인가? 그 동안 보안 사건은 그 특성상 범행에 대한 정확한 증거를 확보하지 못한다는 게 정설 아니었나?
자코프 : 사이버 보안 사건에서 범인을 알아내는 건 꽤나 가능한 일(quite possible)이다. 남의 도구를 끌어다 쓰고, 오픈소스를 사용해도, 결국 공격의 프로세스 가운데 공격자들만의 독특한 DNA가 드러나기 마련이다. 다만 그것을 언급하느냐 마느냐는 전략의 차원에서 결정하는 문제다. 역시 일종의 예술성이 가미된 부분이라고 할 수 있겠다.
예를 들어 최근 미국 정부가 북한이나 중국, 이란에서부터 시작되는 사이버 공격에 대해 보다 대담하게 언급하기 시작했다. 예전에는 민간 업체들이 ‘누구로 의심되지만 정확하지는 않다’는 식으로만 보고서를 내는 게 끝이었는데, 지금은 정부가 나서서 ‘중국, 난 네가 한 일을 알고 있어’라고 경고한다. 그러면 중국은 매체를 통해서는 부인하지만, 미국이 어떤 대응을 할지 몰라 공격을 중단한다거나, 전략을 바꾼다. 미국이 물리적 군사 행위를 할 수 있다는 가능성을 염두에 둘 수밖에 없기 때문이다. 범인을 언급한다는 건 전략적이고 정치적인 사안이다.
보안뉴스 : APT 그룹들이나 일개 사이버 범죄자 단체나, 대부분의 공격은 피싱으로 시작한다. 그들을 추적하는 행위는 입체적이고 예술적으로, 또한 역사의 거대한 퍼즐 안에서 이뤄지고 있는데, 현실 속 사건의 현장은 단순하기 짝이 없다.
자코프 : 맞는 말이다. 인간 안에, 사라질 수 없는 본성을 건드리는 공격이 피싱이기 때문이다. 범죄자들이 어떤 시설 내로 가장 간단하게 침투하는 방법이 무엇인 줄 아는가? 아름다운 여성으로 위장하는 것이다. 여성이 커다란 짐을 들고 문을 열지 못해 낑낑대고 있으면 수많은 사람들이 자발적으로 도와준다. 자신이 위협 요소를 건물 안으로 들일 수 있다는 자각은 없다. SNS에서도 매력적인 프로필 사진을 붙이고 활동하는 사이버 테러리스트들이 많다.
피싱은 누군가를 돕고자 하고, 뭔가를 궁금해 하고, 친구를 만들려고 하는 인간의 본성이 완전히 사라지지 않는 한 사라지지 않을 공격 기술이다. 또한 누군가는 반드시 규칙을 어기거나 예외적인 행동을 한다. 인간의 인간됨을 철저히 익스플로잇 하는 방식이고, 그렇기에 통하며, 앞으로도 발전할 전망이다. 여기에 대한 만병통치약은 있을 수 없다. 다만 조금씩 개선시킬 수는 있다.
보안뉴스 : 조금은 다른 공격이 나타나긴 했다. 가짜뉴스 혹은 허위 정보 유포와 같은 행위다. 러시아의 트롤링 말이다. 가짜뉴스를 걸러내는 것도 보안의 책임일까?
자코프 : 개인적인 의견이지만, 가짜뉴스는 보안의 과제가 아니라고 생각한다. 우리가 필터 장치를 개발해 가짜뉴스를 골라내서 모든 사람들이 진짜 뉴스만 접하게 하는 건 보안보다 더 높은 단계에서 논해야 할 사회적 이슈다. 다만 해당 뉴스를 만든 사람들이 이전에 어떤 뉴스를 만들어왔고, 트롤링 행위로 의심될 만한 일을 한 적이 있다는 것은, 보안 업계가 조사해 밝힐 책임을 가지고는 있다. 선택은 읽는 사람들이 직접 하도록 해야 한다고 본다. 판단을 강제할 수 없다.
보안뉴스 : 크라우드스트라이크처럼 첩보 분석을 예술적으로 해서 큰 그림을 자기 손으로 맞춰가고 싶은 새내기들이 있다면 어떤 공부를 해야 할까?
자코프 : 네트워크의 구성 원리가 가장 기본이다. TCP/IP를 이해하고, 그 외 다양한 프로토콜을 숙지해야 한다. 그러면서 포렌식에 관심을 갖는 편이 도움이 될 것이다. 멀웨어 분석력을 갖추고 있어도 도움이 된다. 위협 사냥(threat hunting), 사건 대응, 군 첩보 기관에서의 근무 경험이 있다면 어느 첩보 회사에서든 선호 받을 수 있을 것이다.
또 하나 중요한 건 언어 능력이다. 여태까지 만난 수많은 첩보 전문가와 데이터 분석가들 중 현장에서 뛰어나게 기능을 발휘하는 사람들 대다수는 적어도 2개 국어에 능통했다. 자기가 일하고 싶은 회사가 어느 나라 회사이든 상관없이, 첩보를 다루고 능숙하게 분석하며, 이 계통에서 선후배들과 다양한 통찰을 공유하고자 한다면 외국어를 습득하는 건 기본이다.
3줄 요약
1. 사이버전 부대와 사이버 범죄 조직 간에는 ‘동기’라는 큰 차이가 존재함. 동기는 방어 전략 구축에 절대적 요소.
2. 첩보 수집과 분석은 할리우드 액션을 방불케 하지는 않지만, 커다란 퍼즐을 맞춰가고 고고학 발굴을 해나가는 것 같은 즐거움을 줌.
3. 첩보 전문가가 되려면, 네트워크 원리를 이해하고, 적어도 2개 언어를 구사할 줄 아는 것이 유리함.
[국제부 문가용 기자(globoan@boannews.com)]
첩보를 분석한다는 건, 미싱 링크를 매일처럼 찾아다니는 것...예술성도 필요
[보안뉴스 문가용 기자] 누구나 마음 한 구석에 예술가를 숨겨 두고 있다. 누구나 마음 한 구석에 거대한 역사를 꿰뚫는 현인을 숨겨 두고 있다. 그리고 누구나 마음 한 구석에 신을 닮고자 하는 선인을 숨겨 두고 있다. EDR과 첩보 분석을 전문으로 하는 업체인 크라우드스트라이크(CrowdStrike)의 스콧 자코프(Scott Jarkoff) 위협 첩보 고문과 함께 우리 안의 모습들을 발굴해 보았다.
[이미지 = iclickart]
보안뉴스 : 크라우드스트라이크는 사이버전 수행 부대를 추적하는 것으로 유명한 기업 아닌가?
스콧 자코프 : 그런 쪽으로 보고서를 많이 내고 있어서 그런 인상이 있다. 하지만 우리는 사이버 범죄 집단과 핵티비스트들을 추적하는 것에도 능한 회사다.
보안뉴스 : 요즘은 사이버전 단체와 사이버 범죄 집단 사이의 경계가 흐려지고 있는데, 다 비슷비슷한 거 아닌가?
자코프 : 서로 비슷한 기술과 도구를 사용하고, 오픈소스를 적극 활용하는 등 사이버전 단체와 범죄 집단 사이의 차별점이 흐려지고 있는 게 사실이긴 하다. 그러나 둘 사이에는 영원히 좁혀질 수 없는 차이가 존재한다. 바로 동기다. 사이버전 단체는 상대 국가에 대한 정찰을 하기 위해 활동하고, 범죄자들은 돈을 벌기 위해 활동한다. 이 차이점을 이해하는 건 보안 책임자들에게 있어 대단히 중요한 일이다. 동기를 파악해야 방어 전략이 수립되기 때문이다.
물론 공격자가 어떤 기술과 수법, 도구를 사용하는지 파악하고, 그에 맞는 방어 전략을 세울 수 있다. 그러나 기술에 대한 대응은 진정한 전략이 되지 못한다. 그 때 그 때 상황만 틀어막는 임시방편일 뿐이다. 동기를 이해할 수 있어야 큰 그림을 보고 보다 능동적이고 선제적인 방어 전략을 마련할 수 있다. 사이버전 단체와 사이버 범죄 집단을 추적할 줄 안다는 건, 다양한 공격 동기들을 꿰뚫어보고 전략 마련에 대한 통찰을 제공할 수 있다는 뜻이다.
보안뉴스 : 해커들을 추적한다니, 사무실 혹은 연구실 분위기가 스릴 넘치거나 역동적일 거 같다.
자코프 : 스릴이 넘치거나 역동적이라는 게 할리우드 영화의 추격 장면이나 스파이들의 잠입 액션을 말하는 거면, 아니라고 확실하게 말할 수 있다. 우리의 일은 차라리 짚더미 속에서 바늘을 찾는 것의 연속이다. 사람에 따라 이걸 재미없고 지루하다고 느낄 수도 있지만, 우리에겐 충분히 역동적이고 스릴 넘치는 일이다.
보안뉴스 : 조금 더 설명해 달라.
자코프 : 크라우드스트라이크는 보안 솔루션 측면에서 엔드포인트 탐지 및 대응(EDR) 제품으로 유명한 회사다. 전 세계 곳곳에 고객들이 있고, 우리 EDR이 있다. 한국도 마찬가지다. 또한 이 EDR은 클라우드를 기반으로 하고 있어, 자연스럽게 전 세계 구석구석에서 벌어지는 ‘디지털 사건’들에 대한 데이터가 모인다. 일주일에 평균 1조 5천억 건이 수집된다.
또한 크라우드스트라이크는 각종 사건에 대한 대응을 하기도 한다. 사건 대응은 ‘사건이 터지고 나서 하는 일’이라는 인식이 있는데, 첩보 수집이라는 측면에서 굉장히 중요한 일이다. 사건에 대응해야 공격자의 툴과 전략을 마주할 수 있고, 그들의 ‘디지털 채취’를 느낄 수 있게 된다. 그러면서 공격자의 동기가 파악되고, 배후 세력을 짐작할 수 있다.
첩보 수집과 분석을 전문으로 하는 회사로서 크라우드스트라이크는 이런 데이터들 속으로 다이빙해서 퍼즐 조각들을 찾아낸다. 그리고 맞춘다. 그림을 완성시켜 간다. 때론 반복적이고 지겨운 일의 연속이기도 하지만, 커다란 퍼즐을 하나하나 맞춰가는 즐거움이 있다. 그러면서 물리적 세상이 기록해가는 역사와 다른 측면 혹은 그 역사적 사실들을 뒷받침해줄 수 있는 큰 그림을 우리 나름 꿰맞춰 가는 것이다. 매일이 이른바 ‘미싱 링크’를 찾기 위해 투자된다.
보안뉴스 : 할리우드 액션을 기대했더니, 고고학 현장에 온 느낌이다.
자코프 : 그러고 보니 고고학과 비슷한 거 같기도 하다. 각종 먼지와 흙을 한 층 한 층 제거하고, 그 속에서 아티팩트(artifact)를 찾는 것과 우리가 하는 일은 다르지 않다. 크라우드스트라이크의 다른 직원들이 어떤지는 모르겠는데, 나는 개인적으로 우리가 하는 일에 예술적 속성이 있다고 느낀다. 사이버 보안과 첩보 분석이라고 해서 과학만 있는 건 아니다.
보안뉴스 : 예술적 속성? ‘Art’라는 말, 보안 취재하면서 처음 듣는다.
자코프 : 앞서 ‘동기’를 언급한 부분과 연결된 부분이다. 사건이 터지거나 첩보가 들어왔을 때, 관련 데이터를 수집하고, 공격 도구를 분석하며, 패턴을 파악하는 건 과학과 기술의 영역이 맞다. 하지만 그런 사실들을 나열하는 것만이 첩보 전문가들의 역할이 아니다. 과학으로부터 얻어낸 결과물을 가지고 해석해야 하는 것까지도 우리의 몫이다.
자의적으로 소설을 쓴다는 게 아니다. 그 동안 우리가 쌓아왔던 지식, 계속해서 맞춰왔던 퍼즐, 현재 세계의 정세 등 수많은 요소들을 종합적으로 고려해 지금 확보되어 있는 데이터를 바라보고, 그 뒤에 있는 공격자의 정체와 동기를 파악해 우리의 첩보를 소비하는 사람들이 보다 나은 방어 전략을 구축할 수 있도록 돕는다는 것이다. 이런 면에서는 예술적인 기능이 필요하다.
보안뉴스 : 즉 공격자를 지목하는 게 가능하다는 말인가? 그 동안 보안 사건은 그 특성상 범행에 대한 정확한 증거를 확보하지 못한다는 게 정설 아니었나?
자코프 : 사이버 보안 사건에서 범인을 알아내는 건 꽤나 가능한 일(quite possible)이다. 남의 도구를 끌어다 쓰고, 오픈소스를 사용해도, 결국 공격의 프로세스 가운데 공격자들만의 독특한 DNA가 드러나기 마련이다. 다만 그것을 언급하느냐 마느냐는 전략의 차원에서 결정하는 문제다. 역시 일종의 예술성이 가미된 부분이라고 할 수 있겠다.
예를 들어 최근 미국 정부가 북한이나 중국, 이란에서부터 시작되는 사이버 공격에 대해 보다 대담하게 언급하기 시작했다. 예전에는 민간 업체들이 ‘누구로 의심되지만 정확하지는 않다’는 식으로만 보고서를 내는 게 끝이었는데, 지금은 정부가 나서서 ‘중국, 난 네가 한 일을 알고 있어’라고 경고한다. 그러면 중국은 매체를 통해서는 부인하지만, 미국이 어떤 대응을 할지 몰라 공격을 중단한다거나, 전략을 바꾼다. 미국이 물리적 군사 행위를 할 수 있다는 가능성을 염두에 둘 수밖에 없기 때문이다. 범인을 언급한다는 건 전략적이고 정치적인 사안이다.
보안뉴스 : APT 그룹들이나 일개 사이버 범죄자 단체나, 대부분의 공격은 피싱으로 시작한다. 그들을 추적하는 행위는 입체적이고 예술적으로, 또한 역사의 거대한 퍼즐 안에서 이뤄지고 있는데, 현실 속 사건의 현장은 단순하기 짝이 없다.
자코프 : 맞는 말이다. 인간 안에, 사라질 수 없는 본성을 건드리는 공격이 피싱이기 때문이다. 범죄자들이 어떤 시설 내로 가장 간단하게 침투하는 방법이 무엇인 줄 아는가? 아름다운 여성으로 위장하는 것이다. 여성이 커다란 짐을 들고 문을 열지 못해 낑낑대고 있으면 수많은 사람들이 자발적으로 도와준다. 자신이 위협 요소를 건물 안으로 들일 수 있다는 자각은 없다. SNS에서도 매력적인 프로필 사진을 붙이고 활동하는 사이버 테러리스트들이 많다.
피싱은 누군가를 돕고자 하고, 뭔가를 궁금해 하고, 친구를 만들려고 하는 인간의 본성이 완전히 사라지지 않는 한 사라지지 않을 공격 기술이다. 또한 누군가는 반드시 규칙을 어기거나 예외적인 행동을 한다. 인간의 인간됨을 철저히 익스플로잇 하는 방식이고, 그렇기에 통하며, 앞으로도 발전할 전망이다. 여기에 대한 만병통치약은 있을 수 없다. 다만 조금씩 개선시킬 수는 있다.
[이미지 = 보안뉴스]
자코프 : 개인적인 의견이지만, 가짜뉴스는 보안의 과제가 아니라고 생각한다. 우리가 필터 장치를 개발해 가짜뉴스를 골라내서 모든 사람들이 진짜 뉴스만 접하게 하는 건 보안보다 더 높은 단계에서 논해야 할 사회적 이슈다. 다만 해당 뉴스를 만든 사람들이 이전에 어떤 뉴스를 만들어왔고, 트롤링 행위로 의심될 만한 일을 한 적이 있다는 것은, 보안 업계가 조사해 밝힐 책임을 가지고는 있다. 선택은 읽는 사람들이 직접 하도록 해야 한다고 본다. 판단을 강제할 수 없다.
보안뉴스 : 크라우드스트라이크처럼 첩보 분석을 예술적으로 해서 큰 그림을 자기 손으로 맞춰가고 싶은 새내기들이 있다면 어떤 공부를 해야 할까?
자코프 : 네트워크의 구성 원리가 가장 기본이다. TCP/IP를 이해하고, 그 외 다양한 프로토콜을 숙지해야 한다. 그러면서 포렌식에 관심을 갖는 편이 도움이 될 것이다. 멀웨어 분석력을 갖추고 있어도 도움이 된다. 위협 사냥(threat hunting), 사건 대응, 군 첩보 기관에서의 근무 경험이 있다면 어느 첩보 회사에서든 선호 받을 수 있을 것이다.
또 하나 중요한 건 언어 능력이다. 여태까지 만난 수많은 첩보 전문가와 데이터 분석가들 중 현장에서 뛰어나게 기능을 발휘하는 사람들 대다수는 적어도 2개 국어에 능통했다. 자기가 일하고 싶은 회사가 어느 나라 회사이든 상관없이, 첩보를 다루고 능숙하게 분석하며, 이 계통에서 선후배들과 다양한 통찰을 공유하고자 한다면 외국어를 습득하는 건 기본이다.
3줄 요약
1. 사이버전 부대와 사이버 범죄 조직 간에는 ‘동기’라는 큰 차이가 존재함. 동기는 방어 전략 구축에 절대적 요소.
2. 첩보 수집과 분석은 할리우드 액션을 방불케 하지는 않지만, 커다란 퍼즐을 맞춰가고 고고학 발굴을 해나가는 것 같은 즐거움을 줌.
3. 첩보 전문가가 되려면, 네트워크 원리를 이해하고, 적어도 2개 언어를 구사할 줄 아는 것이 유리함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
