연기됐던 유로 2020 대회가 마침내 막을 올리며, 1년여 만에 열리는 최대 규모의 스포츠 행사 중 하나가 시작됐습니다.
또한 이 정도 규모의 행사라면 언제나 그렇듯, 사이버 범죄자들도 만반의 준비를 갖추고 공격에 나설 것으로 예상됩니다. 특히 행사에 대한 관심이 고조되고 관련 온라인 활동이 급증함에 따라 온라인 게임, 도박 및 전자상거래 서비스가 표적이 될 가능성이 높습니다.
유로 2020 관련 서비스를 제공하는 기업이 대회 기간은 물론 그 이후에도 주의해야 할 몇 가지 위협은 다음과 같습니다:
DDoS 공격 방어
DDoS 공격은 모든 비즈니스에 막대한 영향을 미칠 수 있지만, 온라인 게임 사이트는 특히 취약합니다. 경기가 다가올수록 결과에 베팅하는 사람이 늘어나며, 손쉽게 이용할 수 있는 거의 무한한 선택지를 통해 경기 내내 베팅이 이어질 것으로 예상됩니다. 공격자들도 이를 알고 있어 그에 맞춰 공격 시점을 조정하는 경우가 많습니다.
DDoS 활동은 이미 증가하고 있습니다. F5 Silverline 보안 운영 센터(SOC)와 F5 보안 사고 대응팀(SIRT)이 수집한 데이터에 따르면, 2020년 1월부터 2021년 3월까지 DDoS 공격이 55% 증가한 것으로 최근 확인되었습니다. 이러한 사고의 과반수(54%)에는 여러 공격 벡터가 사용되었으며, 이는 갈수록 집요해지는 공격자들의 수법이 더욱 정교해지고 있음을 시사합니다.
특히 SOC가 관찰한 최대 규모의 공격은 게임 및 도박 관련 조직에 정보 보안 서비스를 제공하는 회사를 표적으로 삼았습니다. 이 사례에서 공격자는 돈을 지불하지 않으면 공격하겠다고 회사를 협박했습니다. 회사가 이를 거부하자 한 달 넘게 지속된 다중 벡터 공격이 시작되었습니다.
사이버 범죄자들이 이러한 유형의 기업을 표적으로 삼는 데에는 여러 가지 이유가 있습니다. 가장 명백한 이유는 금전적 이득으로, DDoS 공격을 가하겠다고 위협해 몸값을 요구하는 것입니다. 그 밖에도 경쟁사의 의뢰를 받은 공격, DDoS 공격을 교란 수단으로 이용하려는 위협 행위자의 공격, 또는 단순히 명성을 얻으려는 해커의 공격 등이 동기가 될 수 있습니다.
다행히도 방어 체계를 강화할 수 있는 방법은 여러 가지가 있습니다. 최근에는 클라우드 기반 관리형 서비스를 활용해 공격이 기업 네트워크에 도달하지 못하도록 차단하는 방식이 점점 더 많이 사용되고 있습니다.
A solution like F5 Silverline DDoS Protection과 같은 솔루션이 좋은 예입니다. 클라우드 기반 플랫폼을 통해 제공되며, 실시간으로 공격을 탐지하고 완화하여 대규모 볼류메트릭 DDoS 공격도 네트워크에 도달하지 못하도록 차단합니다. 또한 24시간 연중무휴로 SOC 전문가 팀의 지원을 제공하며, 포괄적인 다계층 L3~L7 보호를 통해 DDoS 공격 중에도 기업의 온라인 서비스를 안정적으로 유지합니다.
다음과 같은 기술적/예방적 보안 통제 조치도 DDoS 공격으로부터 보호하기 위해 권장됩니다:
- 네트워크 방화벽과 웹 애플리케이션 방화벽을 모두 사용하세요.
- 네트워크 기반 침입 탐지 시스템을 사용하세요.
- 시스템이 공격을 실행하는 데 악용되지 않도록 신속하게 패치를 적용하세요.
- 위조된 출발지 IP 주소를 사용하는 트래픽을 차단하세요.
- 속도 제한을 사용하여 수신 트래픽의 양을 제한하세요.
폼재킹에 레드카드 꺼내 들기
그 밖에 주의해야 할 기회주의적 사이버 범죄 수법으로는 폼재킹이 있습니다. 현재 가장 흔한 웹 공격 수법 중 하나로, 조직의 웹 브라우저에서 데이터를 빼내 공격자가 통제하는 위치로 전송하는 방식입니다.
더 많은 웹 애플리케이션이 장바구니, 카드 결제, 광고, 분석과 같은 핵심 구성 요소에 연결되면서 공급업체가 주요 공격 표적이 되고 있습니다. 코드는 매우 다양한 출처에서 전달될 수 있으며, 그중 거의 대부분은 프록시나 웹 애플리케이션 방화벽과 같은 일반적인 기업 보안 통제 범위를 벗어납니다. 많은 웹사이트가 동일한 서드 파티 리소스를 사용하기 때문에 공격자는 단 하나의 구성 요소만 침해해도 방대한 잠재적 피해자 집단으로부터 데이터를 빼낼 수 있다는 사실을 알고 있습니다.
조직의 보안을 유지하는 데 도움이 되는 일반적인 보안 조치는 다음과 같습니다:
- 웹 애플리케이션 자산 목록 작성. 여기에는 타사 콘텐츠에 대한 철저한 감사가 포함되어야 합니다. 타사가 또 다른 웹사이트로 연결되는 경우가 많고 보안 통제가 미흡한 경향이 있어 이 과정은 복잡해집니다.
- 환경 패치 적용. 패치를 적용한다고 해서 타사 콘텐츠의 취약점이 반드시 해결되는 것은 아니지만, 초기 침투 지점에서 심각한 침해로 확대되기는 더 어려워집니다. 웹 인젝션은 매우 다양한 방식으로 악용될 수 있으므로, 침해된 타사 자산으로 인한 피해를 방지하려면 자체 환경에서 실행되는 애플리케이션에 패치를 적용하는 것이 여전히 중요합니다.
- 취약점 스캔. 수년간 CISO들은 해커의 관점에서 상황을 파악하기 위해 외부 스캔을 수행하는 것이 중요하다는 점을 인식해 왔습니다. 클라이언트 측에서 방대한 양의 콘텐츠가 마지막 순간에 조합되는 경우에는 그 중요성이 더욱 커집니다.
- 코드 변경 모니터링. 코드가 어디에 호스팅되어 있든, 새로운 취약점의 발생 여부와 관계없이 가시성을 한층 더 확보하는 것이 중요합니다. 이를 위해 GitHub와 AWS S3 버킷은 물론 자체 코드 저장소도 모니터링해야 합니다.
- 다단계 인증. 인젝션은 웹 서버 코드에 액세스하기 위해 인증을 우회하는 데 자주 사용되므로, 영향도가 높은 자산에 연결되는 모든 시스템에 다단계 인증을 구현해야 합니다. 애플리케이션 계층 암호화를 사용하면 사용자가 브라우저에 자격 증명과 결제 카드 정보를 입력할 때 이를 암호화하여 TLS/SSL을 보완할 수도 있습니다. 잘 알려진 일부 웹 애플리케이션 방화벽(WAF) 제품은 이러한 기능을 제공합니다. 그러나 고급 WAF는 애플리케이션 계층에 대한 가시성과 제어 수준을 한층 강화하여 분산형 및 다형성 인젝션 위험을 완화하는 데 도움을 줄 수 있습니다.
- 웹 애플리케이션 보안 헤더의 잠재력을 활용하세요. 예를 들어 콘텐츠 보안 정책(CSP)을 설정하여 웹사이트나 애플리케이션에 승인되지 않은 코드가 삽입되는 것을 차단할 수 있습니다. 또한 하위 리소스 무결성(SRI) 웹 기술을 사용하면 타사 앱의 변조 여부를 확인할 수 있습니다. 두 도구 모두 웹 애플리케이션에 적합하게 적용하려면 별도의 작업이 필요합니다. 이때 강력하고 유연한 WAF가 필요합니다.
- 새로 등록된 도메인과 인증서를 모니터링하세요. 이러한 도메인과 인증서는 최종 사용자에게는 정상적인 것처럼 보이면서 악성 스크립트를 호스팅하는 데 자주 사용됩니다.
피싱의 폐해에 맞서기
피싱 역시 해마다 빠지지 않고 등장하는 단골 수법입니다. 공격자는 방화벽을 뚫거나, 제로데이 취약점을 찾아내거나, 암호화를 해독하거나, 입에 자물쇠 따개를 문 채 엘리베이터 통로를 타고 내려갈 필요가 없습니다. 누군가를 속여 인증 정보를 넘겨받는 편이 훨씬 쉽기 때문입니다. 가장 어려운 부분은 사람들이 클릭하도록 유도할 그럴듯한 이메일 문구와, 클릭 후 접속하게 될 가짜 사이트를 만드는 것입니다. 대회 기간 내내 이런 피싱 시도가 넘쳐날 것으로 예상됩니다.
According to F5 Labs의 최신 피싱 및 사기 보고서에 따르면, 피싱 사이트의 52%가 웹사이트 주소에 널리 알려진 브랜드명과 브랜드 정체성을 사용했습니다. 피싱 공격자들은 사기성 사이트를 최대한 진짜처럼 보이게 하려는 노력도 강화했습니다. 이 보고서에 인용된 F5 SOC 데이터에 따르면 대부분의 피싱 사이트가 암호화를 활용했으며, 무려 72%가 유효한 HTTPS 인증서를 사용해 피해자를 속였습니다. 이는 이제 자물쇠 아이콘(또는 https://로 시작하는 주소)을 확인하는 것만으로는 충분하지 않다는 뜻입니다. 실제로 이를 권고하는 것은 사이트가 디지털 인증서를 보유했다는 이유만으로 본질적으로 신뢰할 수 있다는 인상을 주기 때문에 오히려 위험합니다.
모든 조직은 표적형이든 무차별형이든 언젠가는 피싱 공격의 대상이 됩니다. 안타깝게도 모든 조직이 강력한 정보 보안 관리 체계를 구축하고 있는 것은 아닙니다.
The NIST의 5대 기능은 모든 사이버 위협을 이해하는 데 유용한 관점을 제공합니다. 하지만 기업이 자사 브랜드와 고객을 보호하기 위해 아무리 많은 노력을 기울이더라도, 어떤 식으로든 심리적으로 조종할 수 있는 사람이 존재하는 한 피싱 공격은 계속 성공할 것입니다. 따라서 보안 통제 수단과 웹 브라우저 모두 사용자가 사기성 사이트를 더 잘 식별할 수 있도록 표시하는 기능을 강화해야 합니다. 또한 개인과 조직은 기만적인 URL부터 HTTPS 인증서 악용에 이르기까지 사기범들이 사용하는 최신 수법에 대해 지속적으로 교육받아야 합니다.
항상 경계를 늦추지 않기
위에서 자세히 설명한 위협이 전부는 아닙니다. 이 밖에도 다양한 위협이 존재합니다. 사이버 범죄자들은 유로 2020과 같은 행사를 둘러싼 상황 변화를 악용하는 데 매우 능숙하다는 점을 기억하세요. 항상 경계를 늦추지 말고 적절한 보안 솔루션을 마련하며, 끊임없이 변화하는 공격자의 사고방식과 역량을 지속적으로 파악해야 합니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.