진화하는 해킹 위협과 대응전략! > Our Latest Insights

미국 사이버 보안 연구기관 공격 사건: 사이버 보안의 새로운 현실

이번 주에도 각국의 다양한 IT 시스템에는 다양한 공격이 가해졌습니다. 그 중 가장 충격적인것은 MITRE가 공격 피해를 입었다는 것입니다. MITRE는 미 연방 정부 지원을 받아 항공우주 및 국토안보 방어, 그 중에서도 사이버 안보에 특화된 연구 기관이기에 더욱 충격을 가했습니다. MITRE는 지금까지 글로벌 사이버 보안 커뮤니티에서 사용되는 ATT&CK®, Engage™, D3FEND™, CALDERA™와 같은 프레임워크를 개발했었는데요. 그런 안전한 조직마저도 공격을 받을 수 있었던 것입니다.

지난 19일, MITRE는 내부 R&D 네트워크 중 하나에 대한 공격을 감지하고 사건을 억제하기 위해 즉각적인 조치를 취했으나 내부 네트워크 중 일부가 손상되었다고 밝힌 바 있는데요. 이 공격은 중국의 UNC5221이라는 국가가 지원하는 해킹 그룹으로 알려졌습니다. 이번 공격은 연구 개발용으로 설정되어 망이 분리되어 있지 않던 협업 네트워크인 MITRE의 NERVE(Networked Experimentation, Research, and Virtualization Environment)에서 의심스러운 활동이 발견, 감지되었는데요. 다행스럽게도 회사 영업 비밀이나 공용 네트워크에는 피해가 없었다고 알려졌습니다.

전 세계 기업에 미칠 보안 영향: 긴급 대응 방안과 전략적 대안은?

MITRE CTO인 Charles Clancy는 공격자가 신뢰할 수 있는 네트워크에 연결을 제공하는 데 사용되는 Ivanti1Connect Secure 어플라이언스를 손상시켰다고 설명했는데요. Clancy는 업계가 점점 더 지능화되는 위협에 대응하여 더욱 정교한 사이버 보안 솔루션을 채택해야 한다고 강조했습니다. MITRE는 이번 사건에 대한 강평으로 다음과 같은 네 가지 주요 권장 사항을 언급했습니다.

- 설계 원칙에 따른 보안 향상 : 하드웨어와 소프트웨어의 무결성을 담보하도록 합니다.

- 안전한 공급망 운영 : 소프트웨어 BOM을 활용, 꾸준하게 최신화를 수행하고 취약점을 대비합니다.

- 제로 트러스트 아키텍처 배포 : 다단계 인증 외에도 네트워크를 더 작게 세분화하여 제로 트러스트 구조를 구현합니다.

- 지속적인 모의 해킹 훈련 수행 : 모의 침투를 꾸준히 수행, 방어의 한 부분이 되어 탐지 및 억제 훈련을 생활화합니다.

이번 공격은 Ivanti1 Connect 보안 VPN2에 있던 취약점을 이용해 시도되었습니다. 해당 취약점은 CVE3-2023-46805 및 CVE3-2024-21887인데요. CVE3-2023-46805는 인증 우회 취약점입니다. 접속하는 네트워크 경로를 우회, 접속 검사를 무시할 수 있는 취약점이고 CVE3-2024-21887은 관리자 권한을 가진 인증된 사용자가 임의의 명령을 실행할 수 있도록 하는 취약점입니다. 이 두 가지 취약점이 결합되어 인증되지 않은 공격자가 임의로 관리자 권한을 탈취, 원격 코드를 실행할 수 있게 됩니다.

이번 공격을 위해 공격자측은 12월 초부터 취약점을 악용, 해킹된 시스템에 대한 접속을 유지하고 다양한 자격 증명 데이터를 수집하기 위해 웹셸과 백도어를 배포해왔습니다. 해당 제로데이 취약점에 노출된 Ivanti1 어플라이언스 버전은 전 세계적으로 2100개 이상 존재하고 있습니다. 여기엔 Fortune 500대 기업을 포함한 대기업들이 존재하고 있습니다. 전 세계적으로 다양한 규모의 조직에 영향을 미칠 수 있는 상황인 것입니다. 공격의 규모와 심각성으로 인해 미 사이버보안 및 인프라 보안국(CISA)는 긴급 명령을 내려 연방 기관에 Ivanti1 제로데이 취약점에 대한 개선을 수행할 것을 지시한 바 있습니다.

내부보안 강화 : 지속적인 이상 행동 탐지와 즉각적 조치 필요

이 공격을 방어하기 위해선 로컬 파일 포함(Local File Inclusion) 및 명령어 인젝션 그룹을 기본적으로 거부 모드로 설정해야 할 필요가 있습니다. LFI란, 공격 대상 서버에 있는 디렉토리로 접근하여 원하는 값을 열어보게 하는 행동입니다. 웹 서비스 관리자가 이런 이상 행동이 발생하는지 탐지하기 위해선 API 호출을 유의깊게 관착할 피요가 있는데요. get4 함수에 내부 호출용으로 사용되는 명령어인 q, query, page, command, file, template, document, folder, pg 등의 변수가 혼입될 경우 LFI를 의심할 수 있습니다. 기본적으로 웹 서비스 공급자에겐 시큐어 코딩이라는 측면에서 API call 과정에서 get4 보다는 post5를 사용할 것이 권고되고, 구성되어 있는 WAS6에서 가급적 include를 조작할 수 없게 합니다만, 이런 injection7계열의 공격은 항상 주의할 필요가 있습니다.

MITRE측은 "사건 감지 후 NERVE 환경을 오프라인으로 전환, 사건을 억제하기 위한 즉각적인 조치를 취했으며 내부 및 주요 제3자 전문가의 지원을 받아 신속하게 조사를 시작했습니다."고 공지하였으며, CEO인 Jason Providakes는 "어떤 조직도 이러한 유형의 사이버 공격으로부터 완벽하게 안전하지 않습니다."며 기업 보안을 강화하기 위해 적시에 사건을 공개하였다고 말했습니다.

사이버 공격은 지속적으로 진화하고 있습니다. 핵심 인프라에 있는 제로데이 취약점을 비롯하여 가장 안전하다 생각하며 보안 아키텍처를 배포하는 국제기구까지 공격을 받고, 피해를 입을 수 있다는 것을 보여줬습니다. 그러나 이러한 문제 속에서도 피해를 파악하고 방어하는데 가장 중요한 것은 바로 경계심을 유지하고 준비하는 것이라는걸 알 수 있습니다.

최신 위협에 대한 최신 정보를 얻고, 강력한 보안 프로세스를 구축하고, 사이버 공격에 대한 취약점을 인식하고 대비하는 기업 문화를 조성함으로써 이런 위험에서 대비할 수 있습니다. 인텔렉추얼데이터는 고객의 소중한 법적 정보를 보호하기 위해 각종 보안 취약점에 대한 방어 체계를 수립하는데 최선을 다하고 있습니다. 이를 통해 더욱 안전한 리걸테크 환경을 구축, 선도하고자 합니다.

영화 속 해킹이 현실로? 디지털 감시와 개인 정보 보호의 경계

2008년에 개봉했지만 볼 때마다 여전히 새로운 영화 같은 <다크 나이트>의 한 장면을 기억하시나요? 고담 시민들과 죄수가 각각 탑승한 배의 선창내 가득 실린 폭발물 기폭 장치를 가지고 있던 조커를 찾기 위해 배트맨이 특수한 장비를 가동하던 장면 말입니다. 루시우스 폭스의 도움을 받아 만들어진 그 장비는, 고담 시민들이 가진 각각의 휴대전화를 해킹해서 일종의 레이더처럼 고주파를 발신, 소리를 사용해 입체 영상화 하여 주변 상황을 재구성하는 한편 통화내용을 감청해서 실시간 모니터링하여 목표하는 대화가 들리는 곳을 추적하고 해당 지역의 영상을 감시할 수 있게 하는 신개념 해킹 장비(영화 속 명칭- Sonar Vison[소나 영상])였습니다. 영화를 보면서 저런 일이 가능할지 상상의 나래를 펼쳤던 기억이 있는데요. CCTV 감시와 메신저 추적: 현실이 된 사이버 해킹 영화에서도 루시우스 폭스는 이 장비를 보고 "아름답고, 비윤리적이며, 위험하다"고 말했습니다. 한참을 보더니 "이것은 잘못된 일"이라고 못 박았죠. 그런데 이런 해킹 장비가 현실에 구현이 되어, 실제로 사용될 뻔했다면 어떻게 될까요? 12.3 비상계엄 사태에서 나타난 새로운 증언에 따르면, 위 영화와 같은 기술이 사용될 뻔한 것에 대하여 믿을 수 없는 충격을 선사하였습니다. 국회 12.3 진상조사단(이하 조사단)은 지난 13일 사이버작전사령부(사이버사)산하 해킹 부대이자 군직제에도 미공개 된 비밀특수부대인 '900연구소'가 비상계엄에 개입했다는 제보를 받았다고 밝혔는데요. 조사단은 사이버사가 지난 8월 을지연습(UFS) 훈련에서 '북 거점 초토화 훈련'과 'SNS(Social Network Service, 사회관계망서비스) 장악 훈련' 등 새로운 사이버 훈련을 진행했다는 정보를 입수, 비상계엄을 대비한 훈련에 대한 의혹을 주장하기도 했습니다. 여기서 흥미로운 점은 ‘SNS 장악 훈련’입니다. 조사단은 "(900연구소가 하는)SNS 장악훈련은 유튜브, 페이스북, 텔레그램 등 SNS 중 반국가세력 관리자 그룹, 혹은 유력 인사의 계정을 장악/탈취해, 그 권한으로 나아가 댓글 조작 등을 시도하는 내용"이라고 주장했는데요. 이렇게 되면 메신저로 대한민국 국민들이 어떤 이야기를 하는지 전부 수집할 수 있고, 또한 해당 계정을 직접 공격할 수 있게 됩니다. AI가 적용된 LLM(Large Language Model, 대형 언어 모델)과 결합하면 감청하고자 하는 텍스트를 자동화된 인공지능이 빠르게 탐색할 수도 있겠죠. 거기다 국군 전산병들의 해킹 기술은 그리 나쁜 편이 아닙니다. 지난 C4I 모의 장비 해킹훈련 시에는 순식간에 각 사무실 단말기부터 중앙서버까지 탈취하기도 했죠. 그 뿐만이 아닙니다. 비상계엄이 선포되기 직전부터 육군 특수전사령부와 수도방위사령부 군인들이 서울시가 관리하는 CCTV를 감시 및 관찰한 것으로 보도되기도 했습니다. 군 관계자는 서울시에 별다른 설명 없이 '장비 점검'과 '시스템 테스트'라며 CCTV를 들여다봤다는 데요. 용산구 한남동 일대를 비추는 CCTV와 강남구 압구정동, 종로구 자하문로, 헬기가 착륙할 수 있는 노들섬, 비상계엄이 발표된 직후인 밤 10시 35분쯤 의사당대로, 여의도 국민은행, 그리고 국회 일대의 CCTV를 열람하기도 했습니다. 국회에서 병력이 철수한 새벽 3시 48분까지 706차례나 서울시 CCTV에 접속했다고 하는데요. 서울시가 재난 상황과 치안 대비를 위해 시내에 약 1만여 곳에 설치한 CCTV는, 통합방위태세·경계태세가 격상되거나 군 훈련과 같은 특별한 경우가 아니면 열람이 제한됩니다. 영화에서는 휴대전화를 사용했지만, 권력을 가진 국가의 경우 CCTV 전체조회만 하면 되어, 높은 수준의 기술이 필요 없겠죠. 건물을 투과하여 3D영상을 만들어내는 수준의 기술까진 아니지만, 사람들이 메신저로 어떻한 대화를 하며, 어디서 접속하는 지, 또한 주변에 어떤 일이 벌어지고 있는지 감시할 수 있게 되는 겁니다. 이것이 바로 영화에서나 보던 사이버 해킹이 아닐까 싶은데요. 정말 영화에서만 보던 사이버해킹이 현실적으로 일어날 수 있을까요? 설령 실제로 진행되었다는 가정을 할 게 될 경우, 얼마나 정밀하게 개인을 식별하고 추적할 수 있는 것일까요? 만약 국가가 국민의 디지털 미디어를 전부 감시하고 있고 언제든지 개입할 수 있다면, 그거 야 말로 '잘못된 일'이 아닐까요? IP 추적의 현실적 한계와 디지털 감시망의 허점 물론 IP망을 통해 개인을 추적한다는 말 자체는 어폐가 있을지도 모릅니다. IPv4 주소는 256의 4거듭제곱, 약 43억개의 고유 주소를 가지는 자원입니다. 정해져 있는 자원이라 전 세계인에게 돌아가지 않아요. 실제 IANA(Internet Assigned Numbers Authority, 인터넷 할당 번호 관리기관)에서는 2011년부터 IPv4의 할당을 중지했고, 2015년 ARIN(American Registry for Internet Numbers, 미국 인터넷 번호 등록부)에서는 IP 주소가 고갈되었다고 밝혔습니다. 한국이 소속된 APNIC(Asia Pacific Network Information Center, 아시아-태평양 지역 네트워크 정보센터)의 경우도 2020년에 거의 고갈되었다고 밝혔죠. 128비트 체계인 IPv6을 사용하면 이런 문제가 해결되지만, 아직까지 도입은 지지부진한 상태입니다. 문제는 그러다 보니 공유기를 사용한다거나, Tailnet과 같은 VPN(Virtual Private Network, 가상 사설망)을 쓰는 식으로 IP를 나눠 쓰고, DHCP(Dynamic Host Configuration Protocol, 동적 호스트 구성 프로토콜)과 같이 접속할 때마다 보유중인 IP들중 하나를 분배해주는 식으로 고정된자원을 아껴 쓰게 되는데요. 이렇게 되면 "IP 주소로 원점을 타격하는" 공격은 사실상 불가능해집니다. 또, IP 주소만으로는 개인 정보를 추적할 수도 없습니다. 우리나라가 중국과 같이 전국민을 검열하는 정보 감시 방화벽인 금순공정이 있는 것도 아니여서 SSL에 대한 중간자 공격도 불가능합니다. 과거 IPv4의 수량이 충분하였을 때 개인마다 고정 IP를 받던 시기 기준으로 IP를 추적해서 핑 폭주 공격인 ICMP Flooding을 가하기도 했지만, 개인유무를 식별할 수 없는데다 IDC에서 1차적으로 걸러지는 지금은 불가능하죠.하지만 한국인터넷진흥원(KISA)와 같이 각국에서 사용할 주소 자체는 어느 정도 관리되고 있기 때문에 Track URL과 같은 도구를 통해 어느 ISP(Internet Service Provider, 인터넷 서비스 공급자)의 어떤 노드에서 접속했는지는 알 수 있습니다. 특정 지역 거주 여부 정도까진 알 수 있죠. 개인이 정보를 뽑아낼 수 있는 건 여기까지입니다. 하지만 여기서 문제가 생깁니다. 통신사 문을 물리적으로 열고 들어갈 수 있는 권력기관이라면 사정은 달라지죠. 통신사는 라우팅 정보를 사용해서 유동 IP가 어느 MAC 주소 사용 기기, 어느 가입자에게 할당되었는지에 대한 로그를 보유하고 있습니다. 그래서 사이버수사대는 통신사 측에 정식으로 수사 협조 요청을 해서 정보를 수령, IP와 개인 정보를 확인하기도 합니다. 통신사정보열람 및 개인 SNS감청과 통신비밀보호법의 딜레마 여기서 문제가 생깁니다. 앞서 CCTV를 강제로 열어봤던 것처럼, 총구나 권력을 앞세워 통신사 정보를 강제로 열람하거나 혹은 PII(Personal Identifiable Information, 개인 식별 정보) 원장을 보유하고 있는 국가 기관이 작정하고 개인의 사생활을 열람 및 공격하겠다고 나서면 이를 막을 수 있는 방법이 없다시피 한 것입니다. 실제 2017년, 국군 사이버사령부가 법원을 비롯해 공공기관 전산망을 해킹하고 있다는 사실이 드러난 적도 있었습니다. 미국의 경우 NSA(National Security Agency, 미국 국가안보국)에서는 공개되지 않은 제로데이 취약점이 산더미같이 쌓여있다는 말이 나오기도 하죠. 국가정보기관의 국민을 향한 이런 도감청 시도는 한국에서만 일어나는 일이 아니라는 겁니다. 실제 1979년 12월 12일, 계엄사령부 합수본부단장이자 보안사령관이었던 전두환은 도감청을 총동원한 정보 수집을 바탕으로 진압군의 움직임을 속속들이 파악해서 진압군의 움직임에 사전대응했습니다. 특히 전두환의 비서실장이자 하나회의 핵심인물 중 한 명인 허화평은 군사반란을 성공적으로 이끌기 위해, 수도경비사령관 장태완 소장을 중심으로 한 진압군들의 모든 통화를 도감청한 적이 있습니다. 이걸 보면 권력을 등에 업은 국가정보기관의 무서움을 새삼 실감할 수 있는데요. 이번 사건은 계엄사령부가 도청과 감청에 이어 더 강력하고, 초법적이며, 불법여론 조작까지 하려는 시도로 인한 공포가 증가되었다고 볼 수 있습니다. 국민헌법상 통신의 비밀을 국민의 기본권으로 규정하고 있습니다. 통신비밀보호법도 감청가능한 범죄의 한정, 범죄수사의 보충성, 영장에 준하는 법원의 허가서 발부 등 매우 엄격한 요건 아래에서만 감청을 허용하고 있습니다. 하지만 전국민을 대상으로 소위 '반국가세력'을 막겠다는 미명 하에 자행될 뻔했던 이번 공격은 비윤리적이며, 위험하며, 잘못된 일입니다.

Dec 19 2024

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

진화하는 해킹 위협과 대응전략!

영화 속 해킹이 현실로? 디지털 감시와 개인 정보 보호의 경계

생성형AI시대, e디스커버리 제도의 도전과 변화: 디지털 저작권 보안의 새로운 국면

제출이 완료되었습니다.

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요.

진화하는 해킹 위협과 대응전략!

영화 속 해킹이 현실로? 디지털 감시와 개인 정보 보호의 경계

생성형AI시대, e디스커버리 제도의 도전과 변화: 디지털 저작권 보안의 새로운 국면

제출이 완료되었습니다.

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.