[2013년 강화된 금융 IT보안 대책] “해킹 예술 ‘APT’ 대응, ‘기본과 원칙’에

실시간
뉴스

솔루션

[2013년 강화된 금융 IT보안 대책] “해킹 예술 ‘APT’ 대응, ‘기본과 원칙’에

디지털데일리 발행일 2013-08-23 08:54:25

이유지 기자

URL복사

- 윤명훈 인포섹 상무 “맞는 것 정의하고 나머지 분석하는 제로데이 위협 대응체계 필요”

[디지털데일리 이유지기자] “APT(지능형지속위협) 공격이 가장 무서운 것은 공격자가 피해자를 뚫을 때까지 여러 방법을 바꿔가면서 집요하고 지속적으로 공격하는 것이다. 그래서 ‘해킹의 예술(Art of Hacking)’이라고 말하기도 한다.”

윤명훈 인포섹 상무는 <디지털데일리> 주최로 22일 열린 금융IT 보안 대책과 효과적 대응 전략 세미나에서 APT의 특징으로 ▲제로데이 공격 ▲방대한 공격 대상 사전 정보 수집 ▲사회공학적 기법 활용 ▲대상 기업이 사용하는 보안 솔루션 우회기법 장착 ▲네트워크·데이터 암호화·난독화를 꼽으면서 이같이 강조했다.

APT 공격에 대응하기 위한 전략으로는 “적을 알아야 하고, 기본에 충실해야 하며, 변화관리와 함께 새로운 보안 패러다임이 필요하다”고 지적했다.

윤 상무는 “공격자는 방어자에 대등하거나 그 이상의 정보를 알고 있고, 또 서로 활발히 공유하고 있다. APT 공격에 대응하려면 공격자 정보를 활발하게 공유할 필요가 있다”면서 “해커나 해커그룹을 프로파일링 하고 있는 UN 산하기관(UNICRI)이 있는데, 정보공유 활성화 위해 국가 차원에서 적극적으로 나서야 한다”고 말했다.

또한 “APT는 고도의 공격이지만 침투는 가장 약한 곳에서 시작된다”며 “공격이 고도화 될수록 방어는 원칙에 충실해야 한다. 보안 솔루션을 믿지 말고 자기 업무, 운영하는 시스템에 노력을 기울여야 한다”고 덧붙였다.

그 근거로 윤 상무는 “모의해커들에게 뚫기 가장 힘든 사이트가 어디인지 물어보면 보안 솔루션 투자를 많이 한 곳이 아니라 매일 철저히 관리·분석하는 관리자가 있는 회사라고 한 목소리로 말한다”는 사례를 들었다.

변화관리에 관해서도 “보안훈련에 많은 시간을 기울여도 주입식 교육으로는 한계가 있다”면서 “가장 효과적인 것은 사전에 공지하지 않고 스피어피싱 메일 등을 뿌리는 식으로 항시 훈련하는 방법을 사용한다면 최초에는 당한 사람이 60% 이상이 되더라도 마지막에는 2~3%로 줄어들 수 있을 것이다. 신고율 역시 높게 올라갈 것”이라고 조언했다.

보안 솔루션 차원의 접근으로는 “틀린 것, 안좋은 것을 찾는 것에 집중하는 기존 방식으로는 새로운 제로데이 위협을 막을 수 없기 때문에 맞는 것을 정의하고 나머지 위협을 분석하는 기술이 필요하다”며, 보안 기술로 악성코드를 찾아내려는 것보다 분석을 지원하는데 초점을 맞출 것을 주문했다.

현재 인포섹은 카운터택(CounterTack)이라는 회사와 협력해 엔드포인트 PC의 프로세스, 네트워크, 서비스, 파일IO(인풋/아웃풋), 레지스트리, 브라우저 히스토리 등의 정보를 수집해 의심되는 악성코드와 그 위험도를 분석하는 솔루션의 국내 공급을 준비하고 있다. 내달 정식 출시할 예정이다.

윤 상무는 “보안은 솔루션이나 기술이 아닌 결국 사람이 하는 것이다. 공격을 일으키는 것도 대응도 사람이 한다”면서 “기본에 충실한 정보보호체계를 만들어 위험을 관리하고 보안 거버넌스체계를 구축해 운영해나가야 한다”는 견해를 밝혔다.

<이유지 기자> yjlee@ddaily.co.kr