사이버 공격에 쉽게 당하는 이유는 잘못된 전제 때문
신원 및 계정 수준에서 명확히 제어해야 방어 가능해

[보안뉴스 오다인 기자] 정보 침해 통계에 있어 올해는 신기록 달성의 해가 될 것으로 보인다. 아직 한 해가 다 지나간 것도 아닌데도 말이다. 침해 수준 지표(Breach Level Index)의 통계에 따르면, 2017년 상반기까지 도난당한 기록 수는 2016년 상·하반기를 다 합한 수를 초월한 것으로 나타났다.


지난 한 달 간 침해 사고와 관련한 각종 뉴스들은 이 우울한 수치들을 더 강조했을 뿐이었다. 에퀴팩스(Equifax), 미국 증권거래위원회(SEC), 딜로이트(Deloitte)가 겪은 침해 사고들은 사이버 보안에 엄청나게 투자하는 대기업이라도 사이버 공격에서 완전히 벗어날 순 없다는 사실을 증명했다.

그렇다면 ‘도대체 왜?’라는 질문이 남는다. 도대체 왜 공격자들은 여전히 정보나 시스템을 쉽게 침해할 수 있을까? 이 질문에는 많은 답이 존재하지만, 가장 강력한 답이 하나 있다. 오늘날 대부분의 기업이 여전히 사이버 보안은 네트워크 보안과 같다고 전제하고 운영하기 때문이라는 답 말이다.

이제 현실을 직시하자. 네트워크를 에워싸고 구축한 그 모든 벽들은 오늘날 보안에는 대부분 부적절하다. 지금 기업들은 나날이 커져가는 정보 덩어리를 안전하게 보호해야 하는 상황에 놓여 있다. 이 정보 덩어리는 애플리케이션 및 기기 수가 급속하게 증가하는 동시에 이용자 접근 수도 빠르게 증가하면서 만들어지고 있다. 기업들은 이용자들의 네트워크에 대해 역사상 그 어느 때보다 제어 능력이 부족하고, 사업할 때 이용하는 기기들이나 데이터를 저장할 때 이용하는 기반 시설에 대해서도 제어 능력이 현저히 부족하다.

그런데도 보안 업계는 계속해서 머리를 벽에 쾅쾅 찧고만 있다. 여전히 경계 보안(perimeter) 기술에 지나치게 투자하면서 지금까지 늘 해왔던 방식대로 일을 처리하고 있는 것이다. 그들이 지금껏 투자해온 네트워크 계층의 보안 장치는 더 이상 효과가 없다. 네트워크 이용자들은 이제 불안전한 클라우드 스토리지에 상당히 의존하고 있으며 안전하게 보호된 데이터를 이용할 때도 불안전한 기기를 통해 접근하고 있기 때문이다.

신원 계층에 있어 위와 같은 경계 기반 솔루션을 이용하는 것은 사실상 경계가 점점 사라지고 있는 이 시대에 유일하게 일관된 통제 지점 중 하나로 남았다. 그러나 최근 통계에 따르면, 현재 기업들의 절반가량이 아직도 이런 유형의 신원 관리에 투자하고 있는 것으로 보인다.

해커들도 이런 사실을 안다. 크리덴셜 수확(credential harvesting)과 크리덴셜 스터핑(credential stuffing)은 사이버 공격자들에게 가장 대표적이고 이윤을 많이 남기는 전술이다. 최근 연구는 자동화된 크리덴셜 스터핑 시도가 포춘지 선정 100대 기업의 인터넷 시스템 로그인 활동 중 90% 이상을 차지했다고 밝혔다. 또한, 올해 버라이즌 데이터 침해 조사 보고서(Verizon Data Breach Investigation Report)는 현대의 데이터 침해 사건 중 81%가 도난됐거나 약한 비밀번호 때문에 발생했다고 분석하기도 했다.

만약 기업들이 이 같은 위협에 정면으로 대처하고 한다면, 그래서 2018년 침해 수치에는 차이를 만들어내고 싶다면, 그들의 오래된 접근법이 오늘날의 위협 지형에서는 합리적이지 않다는 사실부터 먼저 깨달아야 한다. 이는 신원과 계정 수준의 제어에 대해 그들이 팔을 걷어붙이고 나서야 한다는 뜻이다.

구체적으로, 온프레미스건 클라우드건 기반 시설 전반을 아울러 인증을 강화하기 위해 사람과 프로세스와 기술을 각기 제자리에 배치해야 한다는 뜻이며, 그래서 약한 비밀번호가 더 이상 기업의 아킬레스건이 되지 않도록 한다는 뜻이다. 또한, 각 이용자에게 주어진 자격이 각각의 역할에 적합하게 부여됐는지 확인하고, 특권 계정이 클라우드 계정의 광범위한 부분에 침해를 일으킬 수 없도록 명확하게 제어한다는 뜻이기도 하다. 마지막으로, 신원 기반 제어 시스템을 도입하고, IT 부서로 하여금 누가 무엇을 언제 접근했는지 파악할 능력과 가시성을 부여하며, 위험한 행동이 나타날 때 경고를 띄우도록 한다는 의미도 된다.

궁극적으로 현대 침해 사고의 실질적인 방어 메커니즘은 이용자 수준까지 내려온다. 기업들이 이런 사실을 직시할 때까지 우리는 똑같은 침해 사고가 이름만 바꿔 뉴스 헤드라인에 나타나는 걸 앞으로도 계속 보게 될 것이다.

글 : 에리카 치코프스키(Ericka Chickowski)
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>