고정 헤더 영역
상세 컨텐츠
본문
개요
지속적으로 지능화되고 조직화되는 사이버 위협으로 인해 조직과 기업 정보는 해커들의 주요 타겟이 되고 있으며, 이는 코로나19로 인해 재택근무 및 비대면 근무가 증가하는 시점을 기준으로 더욱 빠른 속도로 증가하고 있다.
전 세계 기업과 조직 대상으로 데이터 유출 피해에 따른 비용을 조사한 IBM 시큐리티의 ‘2022 데이터 유출 비용 연구 보고서(Cost of a Data Breach Report 2022)’에 따르면, 지난 1년간 전 세계 550개 기업에서 평균 435만 달러의 데이터 유출 손실액을 기록했다. 이는 연구를 진행한 17년 중 가장 높은 수치이며, 한국 기업 역시 지난 2018년부터 데이터 유출로 인한 평균 피해액이 꾸준히 증가해 올해 약 43억 3,400만 원 상당의 사상 최대 피해액을 기록했다.
그리고 한국정보보호산업협회에서 발행한 ‘2021년 정보보호 실태조사 통계표’에서 국내 기업이 우려하는 위협 중 ‘개인정보 유출 위협’이 59.1%로 가장 높았다.
[그림 1,2] 에서 볼 수 있듯, 기업의 데이터 유출에 대한 우려와 비용이 매년 상승하고 있기에 이번 글에서는 데이터 침해와 이에 대응하는 방법에 대한 내용을 다루어 보고자 한다.
데이터 침해·유출 사례
빗썸 고객 개인정보 유출 - 스피어피싱
2017년 6월 30일, 가상화폐 거래소 ‘빗썸’에서 전체 회원 71만 명 중 3만 6,487건의 개인정보가 유출되었다. 방송통신위원회의 조사에 따르면, 스피어피싱 메일을 통해 원격제어 악성코드가 첨부된 이력서 파일을 다운로드·실행시키면서 공격이 시작되었다. 해당 공격으로 수집한 계정 정보로 4,981개의 계정에 로그인하여 사용자 계정을 탈취하였으며, 이 중 266개 계정에서 가상화폐 출금이 이루어졌다.
이후 빗썸을 운영하는 ‘비티씨코리아닷컴’은 방송통신위원회로부터 과징금 4,350만 원, 과태료 1,500만 원 등의 징계를 받았다.
Pegasus 항공사 데이터 노출 - 클라우드 구성 오류
2022년 3월, 보안 회사 Safety Detectives는 터키 항공사 Pegasus Airlines는 AWS S3 버킷의 잘못된 보안 구성으로 인한 보안 노출을 발견하였다. 해당 취약점으로 인해 Pegasus Airlines는 2,300만 개의 파일이 손상되었으며, 노출된 데이터에는 이·착륙 및 급유 데이터와 승무원의 민감 데이터에 접근하는 솔루션인 EFB 소프트웨어에 연결되어있었다.
AWS 버킷 구성이 잘못되었다는 것은 일반 텍스트 암호와 비밀 키가 포함된 약 400개의 파일을 포함하여 누구나 해당 데이터베이스에 조건 없이 접근할 수 있었다는 것을 의미했다.
UpGuard는 ‘데이터가 노출되었다고 보고되었을 때, Pegasus Airlines는 데이터 손상의 증거를 찾지 못했으나 잘못된 구성이 되어 있는 동안 해커는 노출된 데이터를 유출했을 가능성이 있다.’라고 덧붙였다.
한국신용평가원 데이터 유출 - 내부직원에 의한 데이터 유출
아이핀을 관리하는 신용 평가 업체에서 근무하던 직원은 2012년부터 2014년까지 이름, 주민등록번호, 전화번호 등이 포함된 고객 개인정보를 개인 USB에 복사하고 마케팅 회사에 이를 판매하였다. 해당 데이터 유출로 인해 당시 한국 경제활동 인구의 75%인 2천만 명 이상이 피해를 입었고 확인된 개인정보 유출 건수는 1억 건이 넘었다. KB국민은행·롯데카드·NH농협은 벌금 및 3개월간 신용카드 발급이 금지되었다.
데이터 침해를 위한 초기 공격 벡터
IBM 보고서에 따르면, 2022년 데이터 침해를 위한 초기 공격 벡터의 빈도는 침해된 자격 증명(19%), 피싱 (16%), 클라우드 구성 오류(15%), 타사 소프트웨어의 취약점(13%) 순서로 집계되었다.
2022년에 가장 비용이 많이 드는 초기 공격 벡터는 피싱($491만), BEC($489만), 타사 소프트웨어의 취약점($455만), 침해된 자격 증명($450만) 순서로 집계되었다.
침해된 자격 증명
침해된 자격 증명 공격은 데이터 침해, 피싱, 악성 소프트웨어, 키로거 또는 다크웹에서 거래되는 자격 증명 등 다양한 수단을 통해 확보된 자격 증명 목록으로 크리덴셜 스터핑 기법 등을 사용하여 광범위한 온라인 계정에 로그인을 시도하는 사이버 공격이다. 이 공격은 이미 자격 증명 정보를 가지고 있다는 점에서 무차별 대입 공격 또는 사전 공격과의 차이를 보인다.
침해된 자격 증명 공격을 받은 피해자는 아래와 같은 결과가 발생할 수 있다.
- 계정 변경·잠금·삭제
- 데이터 수정·도용·유출·훼손
- 다크웹에 자격 증명 판매
- 사칭
피싱
피싱은 개인정보(Private data)와 낚시(Fishing)의 합성어이며, 가짜 금융기관 웹사이트나 위장 메일을 이용해서 개인 인증번호나 신용카드 정보, 계좌 정보 등을 불법적으로 알아내는 사회 공학 사이버 공격이다. 피싱 공격에는 아래와 같이 다양한 유형이 있다.
클라우드 구성 오류
클라우드 구성 오류는 클라우드 환경을 사용하는 동안 위험에 노출될 수 있는 모든 구성적 결함 또는 오류를 일컫는다. 이러한 사이버 위협은 보안 침해, 외부 해커의 접근, 랜섬웨어 감염, 악성 소프트웨어 또는 취약점을 사용하여 네트워크에 접근하는 내부 위협이다. NSA에 따르면 클라우드 구성 오류는 클라우드 보안 환경에서 가장 큰 취약점이며 리소스가 제대로 구성되지 않아 시스템이 공격에 취약할 때 발생한다.
‘지나치게 복잡한 인프라’와 ‘보안에 대한 이해 부족’이 클라우드 구성 오류를 발생시키는 일반적인 원인이며 클라우드 구성 오류에는 아래와 같은 유형이 있다.
- 불충분한 접근 제어 및 허용되는 네트워크 접근
- 리소스에 대한 불충분한 접근 제어
클라우드 구성 오류가 발생하면 다음과 같은 성능·안정성에 대한 문제 및 심각한 보안 위험을 일으킨다.
- 민감한 데이터 유출
- 서비스 중단
타사 소프트웨어의 취약점
많은 기업이 이메일, 보안, CRM 및 회계 시스템과 같은 중요한 비즈니스 운영에 사용하는 다양한 타사 소프트웨어를 사용하여 기업 내부 데이터를 관리한다. 하지만 이러한 소프트웨어가 보안 취약점 테스트를 받지 않았거나 해커에 의해 취약점이 노출될 경우, 악의적인 공격에 노출될 수 있다.
타사 소프트웨어의 취약점 공격이 수행되면 소프트웨어를 사용하는 기업은 아래와 같은 결과가 발생할 수 있다.
- 중요 데이터 노출
- 공급망 공격
BEC
BEC(Business Email Compromise, 기업 이메일 침해) 공격은 피해자를 속여 기업에 부정적인 영향을 미치는 행위를 하도록 유도하는 이메일 기반의 사이버 표적 공격이며 무작위 피싱 이메일과 비교해 BEC 공격은 타겟이 구체적이다.
BEC 공격이 기업에 얼마나 큰 피해를 줄 수 있는지 상한선은 없으며 해커의 요구와 피해자의 응답에 따라 피해 규모가 결정된다. 다른 공격들에 비해 기술적 요구 사항은 낮은 편이며 주로 이메일 주소를 스푸핑하여 피해자가 신뢰하는 이메일 주소로 착각하도록 유도하여 공격이 이루어진다. 공격의 목적과 결과는 아래와 같다.
- 금전적 갈취
- 기업 정보 및 시스템 접근 노출
- 악성 프로그램 설치
- 기업 신뢰도·이미지 실추
데이터 유출 기법 - MITRE ATT&CK
MITRE ATT&CK Framework 11.3 버전을 기준으로, 데이터 유출 기법을 9가지의 기술과 그 안에 8가지의 하위 기술로 분류하여 설명하였다.
자동 반출 (T1020)
자동 반출이 사용되는 경우 ‘C2 채널을 통한 유출(T1041)’ 및 ‘대체 프로토콜을 통한 유출(T1048)’과 같은 다른 유출 기술도 네트워크 외부로 데이터를 전송하는 데 적용할 수 있고 파일이 백그라운드에서 조용히 다운로드되어 정상적인 트래픽과 섞인다.
하위 기술인 T1020.001의 트래픽 미러링은 일부 네트워크 장치의 기본 기능이다. 이는 네트워크 분석에 사용되며 트래픽을 복제하고 네트워크 분석 도구 또는 기타 모니터링 장치의 분석을 위해 하나 이상의 대상으로 전달하도록 구성할 수 있다.
[그림 6]는 정상적인 트래픽과 섞여 유출되는 데이터를 시각화한 예이다. ‘유출 출발지 포트(Exfiltration Source Port)’와 ‘유출 목적지 포트(Exfiltration Destination Port)’는 주로 트래픽이 많이 발생하는 일반적인 포트와 시간에 사용되어 정상 트래픽과의 구분이 어렵다.
데이터 전송 크기 제한 (T1030)
해커들은 방대한 양의 데이터가 한 번에 전송될 경우, 보안 전문가들이 이를 알아차릴 가능성이 높다는 것을 알고 있다. 보안 조치가 일정 수준으로 갖추어진 기업의 경우 데이터 전송 크기를 제한하는 방법으로 데이터 유출을 방지하고 있지만 해커는 해당 보안 조치를 우회하기 위해 데이터의 크기를 작게 나누어 네트워크 외부로 전송한다. 이러한 데이터 전송 크기 제한 기술을 사용하여 데이터 전송 임계 값 경고에 탐지되지 않고 지속적으로 데이터 유출이 이루어진다.
유출 채널 : C2 · 대체 프로토콜 (T1041, T1048)
해커가 데이터를 유출할 때 C2 채널로 데이터를 전송하는 방법이 일반적이지만 매번 이 방법만 사용하지는 않는다. 해커는 자신의 흔적을 숨기기 위해 FTP/S, SMTP, HTTP/S, DNS, Net/SMB 등 C2 채널 통신에 사용되는 프로토콜이 아닌 다양한 대체 프로토콜을 사용할 수 있다. 또한 대체 프로토콜은 클라우드 스토리지와 같은 웹 서비스 내에서의 전송도 포함한다.
트래픽은 대칭 암호화 알고리즘과 비대칭 암호화 알고리즘으로 암호화할 수 있으며 암호화 없이 Base64 인코딩 같은 공개 인코딩 및 압축 알고리즘을 사용하거나 HTTP POST와 같은 프로토콜 헤더/필드에 데이터를 임베딩하여 데이터 난독화를 할 수 있다.
무선 및 물리적 유출 매체 (T1011, T1052)
무선 네트워크 채널은 유출 방법으로 많이 사용되지 않는다. 하지만 데이터 유출할 타겟에 격리된 물리적 경계가 있고 BYOD로 완전히 전환되지 않은 경우 해당 기술로의 데이터 유출이 가능하다. 무선 네트워크 채널을 통한 유출의 경우, 해커는 유출 타겟과 물리적으로 충분히 가까이 위치해야 하며 트래픽이 피해자의 네트워크를 통해 전송되지 않기 때문에 트래픽을 숨길 필요가 없다. 결과적으로 이 트래픽은 방화벽이나 조직의 인프라 내에 설정된 데이터 손실 방지 수단에 의해 탐지되지 않는다.
물리적 데이터 유출의 대표적인 매체는 USB이며 이로 인한 데이터 유출은 여전히 많이 발생되고 있다. 물리적 유출 매체는 [표 ]에서 설명한 매체 외에 물리적 스토리지가 있는 모든 것이 해당된다. 유출 타겟 시스템이 인터넷 및 네트워크에 연결되어 있지 않으면 물리적 유출이 유일한 방법이 될 것이다.
유출을 위해 악용되는 웹 서비스 (T1567)
정상적인 웹 서비스는 의도치 않게 데이터 유출 채널이 될 수 있다. 기업 및 조직은 Google 드라이브와 같은 서비스를 사용하여 데이터 교환을 허용하는 방화벽 규칙이 있을 수 있다. APT28 해킹 그룹은 실제로 이를 악용하여 Google 드라이브로 데이터를 유출하는 공격 기술을 사용하였다. 그리고 웹 서비스의 데이터 전송은 SSL/TLS로 암호화될 가능성이 높으므로 공격자가 다운로드하여도 이를 쉽게 탐지하기는 어렵다. 코드 리포지토리 또한 데이터 유출을 위한 악의적인 웹 서비스로 동작할 수 있으며, API 및 HTTPS를 통해 데이터를 덤프할 수 있다.
예약된 전송 (T1029)
탐지를 우회하기 위해 특정 일정에 따라 데이터 유출이 발생할 수 있다. 해커들은 정상적인 트래픽에 섞이거나 아무런 활동이 없는 시간을 이용하여 공격을 수행한다. 실제 공격에서 사용된 패턴은 다음과 같으며 옵션과 일정은 달라질 수 있다.
- ADVSTORESHELL - 매 10분마다
- Cobalt Strike - 임의 및 랜덤한 시간 간격
- LightNeuron - 야간 또는 업무 시간
- ShimRat - 절전 모드
클라우드 내 유출 (T1537)
네트워크 트래픽 모니터링은 C2 서버와의 연결을 잠재적으로 탐지할 수 있다. 해커는 이를 우회하기 위해 클라우드의 동일한 주소 공간 내에 있는 악성 계정으로 데이터를 전송할 수 있다.
데이터 유출 기법 - LotL
데이터 유출을 위해 해커들은 공격 탐지율과 데이터 유출에 필요한 외부 소프트웨어의 사용을 줄이고자 피해 시스템에 존재하는 바이너리 파일을 이용하여 공격하는 LotL(Living Off the Land) 공격으로 데이터를 유출시키는 방법을 사용한다.
ConfigSecurityPolicy
ConfigSecurityPolicy.exe는 Windows Defender에서 설정을 관리하는 데 사용되는 Microsoft 보안 클라이언트 정책 구성 도구이다.
DataSvcUtil
DataSvcUtil.exe는 OData(Open Data Protocol) 피드를 사용하고 .NET Framework 클라이언트 응용 프로그램에서 데이터 서비스에 접근하는 데 필요한 클라이언트 데이터 서비스 클래스를 생성하는 WCF Data Service에서 제공하는 명령줄 도구이다.
데이터 유출 대응 방안
SIEM 솔루션 도입
SIEM(Security Information & Event Management) 솔루션을 통해 중앙 집중식 대시보드로 시스템 전반에서 데이터를 수집하고 모니터링할 수 있다.
SIEM 플랫폼은 시스템의 다양한 구성 요소 및 도구와 통합하여 데이터를 집계·분석·연계시키며 의심스러운 이벤트가 발생하면 SIEM은 보안 팀에 경고 알림을 보내고 이벤트 조사를 위한 상황 정보를 제공할 수 있다.
SIEM 솔루션은 장기간에 걸쳐 위험을 식별할 수 있으므로 데이터 유출을 감지하는 데 유용하다. 또한 이벤트를 연결하여 조사할 수 있도록 타임라인을 생성할 수 있다.
UEBA
UEBA(User and Entity Behavior Analytics) 솔루션은 머신 러닝을 사용하여 사용자 및 장치의 행동 패턴을 분석한다. 분석을 통해 솔루션은 새로운 이벤트와 비교할 수 있는 정상 또는 예상 동작의 기준을 생성하며 이벤트가 기존 패턴과 일치하지 않으면 보안 팀에 경고 알림이 표시되고 조사할 컨텍스트 정보가 제공된다.
UEBA는 비정상적인 파일 접근 또는 조작을 식별할 수 있으므로 유출을 탐지하고 방지하는 데 유용하다. 유효한 자격 증명을 가진 내부자라도 원하지 않는 데이터를 내보내거나 접근하기 시작하면 탐지되며 UEBA는 DLP 도구와 통합할 수 있다.
DLP
DLP(Data Loss Prevention)는 데이터 유출, 파괴 무단 사용을 방지하기 위한 기술이며 DLP 소프트웨어는 메신저, 웹메일, 웹하드, 프린터, USB 등 다양한 경로로 정보가 유출되는 것을 차단·통제·기록한다. 유출 사고 발생 후, 로그를 통해 유출자, 유출 경로 등을 추적하는 데 사용되기도 한다.
DLP는 데이터 분류 및 관리 원칙, 보존 요구 사항, 비즈니스 연속성 계획, 재해 복구 등의 위험 관리 정책 생성부터 SIEM 장비에 이르기까지 문서부터 소프트웨어, 하드웨어 모두를 포함하는 개념이며 DLP 전략을 유지하는 데 있어 정기적인 교육이 필요하다.
Zero Trust
제로 트러스트는 ‘명시적 확인’, ‘최소 권한 액세스’, ‘위반 가정’의 보안 원칙 집합을 디자인하고 구현하는 보안 전략이다. 기존의 ‘신뢰하되 검증’하는 방식에서 ‘신뢰하지 않고 항상 검증’하는 전략으로 전환된 보안 모델이며 다음과 같은 원칙을 기반으로 한다.
- 네트워크의 모든 사용자는 항상 위험하다고 가정
- 외부 및 내부 위협이 네트워크에 항상 존재
- 네트워크의 신뢰 여부를 결정할 때 네트워크의 위치는 충분하지 않음
- 모든 디바이스, 사용자, 네트워크를 인증하고 권한 확인
- 최대한 많은 데이터 소스를 기반으로 자동적인 정책 수립
해당 보안 모델을 채택하면 다음과 같은 이점을 확보할 수 있다.
- 멀웨어, 랜섬웨어, 피싱, DNS 데이터 유출, 고급 제로데이 공격 등과 같은 표적 공격 리스크 감소
- 복잡성 감소 및 IT 리소스 절약
- 안전한 애플리케이션 접속
Micro Segmentation
최소 권한 및 제로 트러스트와 같은 보안 메커니즘을 구현하기 위한 실용적인 방법 중 하나는 마이크로 세그먼테이션이다. 마이크로 세그먼테이션은 네트워크를 작은 세그먼트로 나누고 각 세그먼트를 개별적으로 보호한다. 이를 통해 여러 ACL(Access Control List)을 구성하고 자산을 격리할 수 있으므로 공격 표면을 감소시킬 수 있다. 또한 보안 계층이 병렬이 아닌 직렬로 제한을 적용할 때 심층 방어를 구현하기에 더욱 합리적이다.
안전한 패스워드 설정
안전하지 않은 자격 증명은 해커가 시스템에 접근하는 데 사용하는 가장 일반적인 방법 중 하나이다. 여기에는 변경되지 않은 기본 패스워드, 취약하거나 재사용된 패스워드 또는 피싱을 통해 노출된 패스워드가 포함될 수 있다.
패스워드 남용을 방지하려면 패스워드 정책에 특정 복잡성이 필요하고 주기적으로 패스워드가 교체되도록 설정해야 한다.
또한 MFA(Multi Factor Authentication)을 구현하여 패스워드가 노출되어도 시스템에 접근하기 어렵게 보안성을 강화하여야 한다.
데이터 암호화
저장 및 전송 중인 데이터를 암호화하면 인가된 사용자만 데이터에 접근할 수 있다. 데이터를 안전하게 유지하려면 가능한 모든 데이터를 암호화해야 하고 종이 문서와 같이 암호화가 불가능한 경우 보안 예방 조치를 추가해야 한다.
내부 직원 교육
해커들은 종종 내부 직원의 실수를 이용하여 공격한다. 보안 교육을 받지 않은 직원들은 의심 없이 악성 파일을 다운로드, 피싱 캠페인을 통한 자격 증명 노출 그리고 개인 디바이스를 적절히 보호하지 못할 수 있다.
이러한 실수를 방지하기 위해 직원들에게 주기적으로 보안 교육을 시행해야 하며 의심스러운 사이트, 문서 및 이메일을 식별하는 방법을 이해하도록 노력해야 한다. 그리고 사고 발생 시 보안 팀이 신속하게 대응할 수 있도록 의심스러운 이벤트를 보고할 수 있는 체계적인 메커니즘을 구성해야 한다.
마무리
중요한 데이터를 가지고 있는 기업 및 조직은 해커의 공격으로부터 데이터를 지켜야 할 책임과 의무가 있다. 이번 글을 통해 데이터 보호에 대한 경각심을 다시 한번 깨우고 앞서 언급한 데이터 유출 대응 방안을 적용해 데이터 자산을 안전하게 보호할 수 있도록 행동해야 한다.
출처
https://www.akamai.com/ko/our-thinking/zero-trust/zero-trust-security-model
https://learn.microsoft.com/ko-kr/security/zero-trust/zero-trust-overview
https://www.exabeam.com/dlp/data-exfiltration/
https://www.ciokorea.com/news/244993#csidxb709902dbb214f7b1909db769646dc9
https://lolbas-project.github.io/lolbas/Binaries/ConfigSecurityPolicy/
https://lolbas-project.github.io/lolbas/Binaries/DataSvcUtil/
https://socprime.com/blog/what-is-data-exfiltration-mitre-attack/
https://attack.mitre.org/tactics/TA0010/
https://www.ciokorea.com/news/201609
https://equilibrium-security.co.uk/blog/third-party-software-risk/
https://www.crowdstrike.com/cybersecurity-101/cyberattacks/supply-chain-attacks/
https://circleci.com/blog/cloud-misconfiguration/
https://www.upguard.com/blog/cloud-misconfiguration
https://www.trendmicro.com/ko_kr/what-is/phishing.html
https://www.dgpolice.go.kr/PageLink.do?link=/dgpo/05/60
https://www.comparitech.com/blog/information-security/compromised-credential-attacks/
https://www.elimity.com/post/7-examples-of-breaches-caused-by-insider-threats
https://www.upguard.com/blog/biggest-data-breaches
https://www.ibm.com/security/data-breach
https://www.aitimes.kr/news/articleView.html?idxno=26025
https://www.kisia.or.kr/research/reference_board/23/
https://n.news.naver.com/mnews/article/032/0002432760?sid=101
https://ko.wikipedia.org/wiki/%EB%B9%97%EC%8D%B8
https://ko.wikipedia.org/wiki/%EB%8D%B0%EC%9D%B4%ED%84%B0_%EC%9C%A0%EC%B6%9C_%EB%B0%A9%EC%A7%80
보안관제센터 MIR Team
'침해사고 분석 리포트' 카테고리의 다른 글
| 해커들이 사용하는 LOL(Living Off the Land) 공격 (0) | 2022.11.01 |
|---|---|
| 공격자들이 이용하는 lsass.exe 자격 증명 덤프 도구 및 대응 방안 (0) | 2022.10.31 |
| 사이버 공격 단체가 악용하는 원격제어 프로그램, AnyDesk 아티팩트 분석 (0) | 2022.10.04 |
| MSSQL Server 대상 공격 이벤트 분석 (0) | 2022.07.19 |
댓글 영역