2년 전 저는 비즈니스 위험을 초래하고 선의의 보안 팀이 잘못된 부분에 집중하게 만드는 사이버 보안에 관한 일곱 가지 오해에 대해 글을 썼습니다.
당시 우리는 전 세계적인 팬데믹의 초입에 있었고, 현실과 디지털 세계에서의 삶은 빠르게 변화하고 있었으며, 그중 일부는 영구적인 변화로 이어졌습니다. 그 이후 세계는 경제적, 정치적, 기술적으로 큰 충격을 겪었습니다. 이미 현기증이 날 만큼 빠르던 기술 발전에는 더욱 가속도가 붙었습니다. 사이버전을 벌이는 국가들은 평범한 시민들의 지갑에까지 직접적인 타격을 입혔습니다. 그렇다면 2년이 지난 지금, 그 통념들도 완전히 달라졌을 것 같지 않나요?
틀렸다. “plus ça change”라는 격언이 일깨워 주듯, 변하면 변할수록 본질은 그대로다. 기존의 일곱 가지 통념은 여전히 매우 유효하지만, 인간 본성의 불변성에서 비롯된 사이버 보안에 관한 일곱 가지 통념을 추가로 소개하고자 한다.
오해 #1: 가짜 소셜 미디어 계정은 소수에 불과하다.
많은 기업이 자사에 봇이 있다는 사실을 알고 있지만, 실제로 소셜 미디어 기업들은 자신들이 보유한 봇이 정확히 얼마나 되는지 모르는 경우가 많으며 알고 싶어 하지도 않습니다.
몇 년 전 한 소셜 네트워킹 사이트와 개념 증명을 진행한 결과, 로그인 중 98%가 자동화된 봇에 의한 것으로 나타났습니다. 이 회사는 빠른 성장세를 매우 자랑스러워하며 미래를 낙관하고 있었지만, 실제 가입자 수는 자신들이 생각했던 것의 10분의 1에 불과한 것으로 밝혀졌습니다.
이러한 정보가 왜 중요한지는 트위터 인수 과정에서 매우 공개적으로 드러나고 있습니다. 회사의 가치는 대체로 사용자 수를 기반으로 합니다. 스팸 봇과 가짜 계정의 비율이 5% 미만임을 입증하라는 일론 머스크의 요구는 모든 투자자, 광고주, 잠재적 사업 파트너는 물론 사용자 입장에서도 충분히 합리적인 기대입니다.
트위터의 봇 비율은 50%에 가깝거나 그 이상일 것으로 예상합니다. (참고: 후속 연구를 바탕으로 최근 블로그 게시물에서 이 추정치를 수정했습니다.) 기업은 사용자가 사람인지 확인하고 봇 트래픽을 효과적으로 관리하고 줄여야 합니다.
간단히 말해, 악성 봇이 활개를 친다는 것은 보안에 실패했다는 뜻입니다. 봇을 차단하는 것은 이러한 사이트를 통해 유통되는 정보의 무결성을 보장하는 데 매우 중요할 뿐만 아니라, 기업이 중요한 비즈니스 결정을 내리고 해당 기업과 거래하는 다른 주체들이 판단하는 데 필요한 정확한 데이터를 확보하는 데도 필수적입니다.
오해 #2: 봇 차단은 사내에서 직접 해결할 수 있는 프로젝트다.
우리는 막대한 예산과 뛰어난 기술 인력을 갖춘 우수한 기업들이 수년간 봇과 싸우는 모습을 지켜봐 왔습니다. 하지만 이들 조직의 봇 트래픽을 분석해 보면, 방어 체계를 뚫도록 진화한 정교한 봇이 있을 것이라는 예상과 달리 실제로는 그렇지 않습니다.
기업들은 IP, 지역, 자율 시스템을 차단하는 방식으로 봇에 대응해 왔으며, 바로 이 지점에서 악성 봇 트래픽의 진화가 드러납니다. 이제 공격은 수십만 개, 심지어 수백만 개의 IP 주소에서 발생하고 있습니다. 이러한 네트워크 계층 방어만으로는 한계가 있습니다.
제가 늘 강조하는 원칙은 클라이언트 측 신호가 가장 중요하다는 것입니다. 행동 생체 인식이 반드시 필요합니다. 브라우저와 기기를 면밀히 분석해야 합니다. 이러한 모든 신호를 종합해야 봇뿐만 아니라 악의적인 사용자까지 식별할 수 있습니다.
기업들은 인력을 더 채용하면 이 상황을 해결할 수 있다고 생각하기도 하지만, 이처럼 방대한 문제를 해결할 만큼 충분한 IT 인력을 채용하는 것은 불가능합니다. 자동화에 제대로 맞설 수 있는 유일한 방법은 자동화뿐입니다.
오해 #3: 항상 곧 닥칠 정체불명의 새로운 위협에 초점을 맞춰야 한다.
보안 업계 종사자와 기술 언론, 기업 홍보 담당자들은 끊임없이 새로운 수법을 개발하며 우리보다 앞서 나가는 위협 행위자들에 대해 공통된 두려움을 갖고 있습니다. 하지만 여러 측면에서 공격 방식은 그동안 조금씩 변형되었을 뿐, 여전히 크게 다르지 않습니다.
오늘날 우리가 접하는 봇 대부분은 5년 전에 보았던 것과 비슷한 수준의 정교함을 보입니다. 단지 출처가 달라졌을 뿐입니다. 2단계 인증 및/또는 CAPTCHA가 있어도 크리덴셜 스터핑은 여전히 통합니다. 기존 공격 벡터가 계속 효과를 발휘하는 한, 공격자들은 새로운 공격 벡터를 개발하지 않을 것입니다. 그저 새로운 방어 체계를 우회할 방법만 찾아내면 되기 때문입니다.
기업은 새롭게 부상하는 위협을 고려하고 이에 대비해야 하지만, 업계는 지난해의 위협을 완화하기 위한 노력도 계속해야 합니다.
오해 #4: 여러 클라우드를 관리하는 것은 구하기 힘든 인재가 필요한 어려운 과제다.
멀티 클라우드 환경은 오늘날 대부분은 아니더라도 많은 기업이 마주하고 있는 현실입니다. 인수합병이나 파트너와의 통합, 또는 각 분야에서 가장 뛰어난 기능을 활용하기 위한 것이든, 멀티 클라우드는 앞으로도 계속될 것입니다.
하지만 기업들에 멀티 클라우드를 사용하고 있는지 물어보면, “안타깝게도 그렇습니다”라는 식의 답변을 자주 듣게 됩니다. 여러 클라우드에서 운영하는 기업들은 때때로 마지못해 그렇게 하며, 각 클라우드의 장점을 모두 활용할 기회를 받아들이지 못합니다.
오늘날 여러 클라우드에 걸친 IT 자산을 관리하고 보호하는 일이 어려울 이유는 없습니다. 클라우드 공급업체들은 상호 운용성을 전략에 반영했으며, 그 밖에도 통합에 따른 부담을 없애고 여러 클라우드에서 기능을 추상화하여 간단한 통합 인터페이스를 통해 제공하도록 설계된 솔루션을 보유한 공급업체가 많습니다.
오해 #5: 기업의 아키텍처와 디바이스를 보호하는 것만으로 충분하다.
보안 팀은 기업의 인프라, 서버, 컴퓨터, 데스크톱 등 조직 내부의 모든 것에 집중합니다. 하지만 대체로 간과하는 것은 조직 내 모든 직원의 홈 네트워크입니다.
공격자는 인수합병 관련 정보나 기타 전략적 정보에 접근하기 위해 CEO를 표적으로 삼으려 할 수 있지만, 이를 금전적 이익으로 전환하는 것은 미지급금 담당 직원이나 IT 관리자를 노리는 것만큼 쉽지 않습니다. 재택근무가 그 어느 때보다 보편화된 지금, 홈 네트워크는 악의적 공격자들이 새롭게 노리는 보안 허점으로 떠오르고 있습니다.
오해 #6: 직원을 믿어도 된다.
내부자 위협이 매우 유리한 위치에 있는 이유는 단순합니다. 주변 사람들을 좋게 보는 것이 인간의 본성이기 때문입니다. 하지만 현실적으로 50명이나 100명의 직원을 채용하다 보면 조직에 문제를 일으킬 사람이 한두 명 섞여 들어올 위험을 피할 수 없습니다.
불만을 품은 직원들은 Glassdoor에 부정적인 리뷰를 남기는 데 그치지 않습니다. 민감한 파일을 USB 메모리에 담아 그대로 회사를 나갈 수도 있습니다. 심지어 시스템에 악성 소프트웨어를 심어 놓고 떠날 수 있다는 우려도 커지고 있습니다.
저는 오래전부터 많은 랜섬웨어 공격의 배후에도 내부자가 있을 가능성이 높다고 생각해 왔습니다. IT 관리자는 다크웹에서 손쉽게 가상의 인물을 만들고, 그 인물에게 시스템 접근 권한을 부여해 악성 소프트웨어를 설치하게 한 다음 몸값을 요구할 수 있습니다. 그러고는 회사에 그냥 몸값을 지불하자고 주장할 수도 있습니다. 아직 이를 뒷받침하는 증거를 본 적은 없다는 점을 분명히 밝혀두고 싶지만, 그렇게 할 유인은 분명히 존재합니다.
오해 #7: 우리의 가장 큰 사이버 위협은 인프라를 노리는 국가 배후 세력에서 비롯된다.
1년 전 콜로니얼 파이프라인이 공격을 받아 주유소마다 긴 줄이 늘어서고 미국 동부 해안 지역 소비자들이 불편을 겪었을 때, 이는 국제적으로 크게 보도되었습니다.
하지만 매년 온라인에서 사기를 당하는 수백만 명의 미국인에 대해서는 거의 또는 전혀 논의되지 않고 있습니다. 이들 중 상당수는 노년층으로, 은퇴 후 모아 둔 돈으로 생활하고 있습니다. 이는 우리의 사회 안전망을 심각하게 위협하며, 사람들과 그 가족에게 주유를 위해 줄을 서서 기다리고 더 비싼 기름값을 내는 것보다 훨씬 더 큰 피해를 줄 수 있습니다.
저는 법 집행 기관에서 수년간 사이버 범죄를 수사했지만, 만족스러운 성과를 거두지 못한 경우가 더 많았습니다. 그래서 이 문제에 남다른 열정을 갖고 있습니다. 우리 기반 시설에 대한 공격은 중대하고 매우 현실적인 문제이지만, 피해자들의 이야기를 들어 보면 광범위한 사이버 사기가 지금보다 더 많은 관심을 받아야 한다는 점이 분명해집니다.
봇을 관리하고 방어하는 방법, 위협을 식별하고 완화하는 방법 또는 조직 내에서 제로 트러스트를 구현하는 방법에 대해 더 자세히 알아보고 싶다면 다음 자료도 참고해 보세요:
- 봇 관리: 앱 보안 및 보호 솔루션
- Distributed Cloud Bot Defense
- 자동화된 위협 식별 및 완화 eBook
- F5 Distributed Cloud 서비스
- 원격 근무 전환 시 제로 트러스트를 활용하여 기업을 보호하는 방법
- 제로 트러스트 보안 모델을 구현하는 방법
_____
F5 글로벌 인텔리전스 총괄 댄 우즈(Dan Woods)
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.