F5 CTO실 산하의 첨단 위협 연구 센터(Advanced Threat Research Center of Excellence)는 인터넷을 괴롭히는 가장 광범위한 위협의 실체를 밝히는 데 주력하고 있습니다. 위협 인텔리전스에 중점을 두는 F5 Labs의 활동을 보완하기 위해 ATRCoE는 첨단 위협 연구를 수행하여 사이버 보안 위험에 대한 외부 관점의 분석을 제시합니다. 이후 이 연구를 분석해 사이버 보안 분야에서 설득력 있는 사고 리더십과 인사이트를 제공합니다.
Led by Aditya Sood 박사가 이끄는 이 새로운 그룹은 이미 지능형 위협을 밝혀냈으며, Virus Bulletin, Elsevier Magazines, BlackHat Arsenal 등의 여러 간행물과 Texas Cyber Summit, BSides Berlin, Hack-in-Paris, Secure 360, Virus Bulletin을 비롯한 업계 최고의 보안 콘퍼런스에서 연구 결과를 발표했습니다. 주요 연구 중 일부는 다음과 같습니다:
- Collector-Stealer: 러시아에서 유래한 정보 탈취 악성코드
- AZORult C&C 패널 분석
- 코로나19 위협 환경
- Enfilade 도구: MongoDB의 랜섬웨어 감염 탐지
- ML/AI를 활용한 DGA(도메인 생성 알고리즘) 공격 탐지
- 크립토재킹: NVIDIA 드라이버를 사용하는 침해된 Kubernetes 클러스터
- 감염 실태 파악을 위한 IoT C&C 패널 침해
이 팀은 위협 연구원과 개발 엔지니어로 구성되어 있습니다:
- Amit Nagal은 F5의 수석 데이터 과학자입니다. 머신러닝 및 분석 분야에서 15년 이상의 경력을 보유하고 있습니다. MGS 대학교에서 발달과학 박사 학위를 취득했으며, 과거에는 Verizon과 JPMorgan Chase에서 근무했습니다.
- Bharathasimha Reddy Devarapally는 F5의 소프트웨어 엔지니어입니다. 2020년에 인도 와랑갈 국립공과대학교에서 컴퓨터 과학 학사 학위를 취득했습니다. 현재 F5에서 위협 연구를 활발히 수행하고 있습니다.
- Ruthvik Reddy Sankepally는 F5의 소프트웨어 엔지니어입니다. BITS 필라니 하이데라바드에서 컴퓨터 과학 학사(B.E.) 학위를 취득했습니다.
팀이 위협을 탐지하는 방법
ATRCoE 팀은 위협의 전략적, 운영적, 전술적, 분석적 측면에 중점을 둡니다. 지능형 위협이 비즈니스에 미치는 위험과 영향을 파악하여 위협 연구 주제를 선정합니다. 그런 다음 해당 위협을 면밀히 분석해 TTP(기법, 전술 및 절차), KSA(지식, 기술 및 역량), AIL(공격 인프라 및 발판)을 파악합니다. 이러한 맥락을 바탕으로 기존 연구를 검토하여 연구의 토대를 마련하고 위협에 대응할 최적의 접근 방식을 결정합니다. 접근 방식은 방어형, 공격형 또는 혼합형일 수 있으며, 적용하는 기법은 선제적이거나 대응적일 수 있고 두 가지를 결합할 수도 있습니다. 또한 오픈 소스 도구를 개발하고 다양한 보안 포털과 콘퍼런스에 연구 결과를 발표하여 위협 인텔리전스를 공유합니다.
ATRCoE가 위협에 주목하게 되는 과정
연구 주제를 선정하는 방식은 자체 개발한 TRIG(Threat Research and Intelligence Generation, 위협 연구 및 인텔리전스 생성) 프레임워크를 기반으로 합니다. 연구 주제는 현재 인터넷에서 발생하고 있는 지능형 위협과의 관련성을 기준으로 선정됩니다. 제로데이 취약점을 비롯해 심각성이 매우 높고 널리 알려진 지능형 위협은 긴급성과 F5 제품군에 미치는 영향 때문에 최우선으로 다뤄집니다. 예를 들어 ATRCoE는 국가 차원의 공격자가 특별히 사용하는 AZORult, Collector-stealer, Blackguard 등의 지능형 위협을 분석했습니다.
또한 ATRCoE는 사이버 보안 과제를 해결하기 위해 ML/AI를 활용하는 데에도 노력을 기울이고 있습니다. 예를 들어 F5의 보안 데이터 웨어하우스에서 대규모 DNS(도메인 네임 서버) 및 HTTP(하이퍼텍스트 전송 프로토콜) 로그를 구조화된 형식으로 분석한 다음, 데이터를 탐색하여 주목할 만한 위협 아티팩트와 위협 환경의 동향을 파악하고 현재의 과제를 이해합니다. 관련 사례로는 코로나19를 주제로 악용한 피싱 사이트에 관한 팀의 연구 결과와 Project Astra의 DGA 탐지 연구가 있습니다.
ATRCoE 연구에 사용되는 도구
팀은 자체 설계한 맞춤형 스크립트, nmap, masscan, wireshark, tshark, bro, Radare2/Cutter, Ghidra, python 등의 오픈 소스 도구, Burp proxy와 같은 엔터프라이즈 도구를 비롯한 다양한 도구를 분석, 자동화 및 인텔리전스에 활용하는 하이브리드 접근 방식을 채택하고 있습니다.
_____
이러한 연구의 특성상 새로운 콘텐츠가 언제 공개될지 예측하기는 어렵지만, 조만간 이 그룹의 새로운 소식을 더 접하실 수 있을 것입니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.