BlackNurse와 클라우드 비즈니스 공격에 대한 서비스 거부

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

이번 주에는 새로운(듯하지만 완전히 새롭지는 않은) 공격이 확산되고 있습니다. 이렇게 표현한 이유는 공격 자체가 그다지 독창적이지 않기 때문입니다. ICMP 공격은 1990년대부터 존재해 왔습니다. 또한 이 공격은 인터넷 절반의 접속을 마비시켜 뉴스에 오르는 대규모 트래픽 기반 공격과는 확연히 다르다는 점에서도 ‘새롭다’고 할 수 있습니다. 널리 알려지고 광범위하게 사용되는 방화벽을 노리는 DoS 공격(‘D’가 두 개가 아니라 하나라는 점에 유의하세요)으로, 적은 노력만으로도 기업 운영을 마비시킬 수 있습니다.

이른바 ICMP(핑!) 공격인 BlackNurse (지금까지 확인한 바로는 이름이 붙은 뚜렷한 이유는 없습니다)의 작동 원리를 자세히 설명해 여러분을 지루하게 하지는 않겠습니다. 이 주제에 관해서는 이미 수많은 자료와 해설이 나와 있습니다. 우선 Threat Post, El Reg, TDC SOC, 또는 Netresec 등을 참고할 수 있습니다. 제가 주목하고 싶은 점은 이 공격이 기업, 특히 클라우드 기반 앱에 크게 의존하는 기업에 초래할 수 있는 치명적인 업무 중단입니다.

이번 공격은 단순히 외부에서 내부로의 앱 접근을 방해하는 데 그치지 않고, 내부에서 외부로의 앱 접근까지 방해하기 때문입니다. TDC SOC는 보고서에서 이 점을 구체적으로 지적합니다. “공격이 진행되는 동안에는 LAN 측 사용자가 더 이상 인터넷으로 트래픽을 보내거나 인터넷에서 트래픽을 받을 수 없습니다.”

LAN 측. 즉, 방화벽의 비즈니스 측입니다.

우리는 방화벽을 공격자가 기업 네트워크에 침입하지 못하도록 막는 전술적 대응 수단으로 보는 경향이 있습니다. 방화벽은 성을 둘러싼 성벽이자, 강변의 모래주머니이며, 거세게 번지는 산불을 막으려는 황야의 방화선과도 같습니다. 하지만 방화벽은 오랫동안 기업에서 두 가지 역할을 수행해 왔습니다. 즉, 내부에서 외부로 나가는 접근도 통제해 온 것입니다. 초기에는 아직 성장 단계에 있던 인터넷에 대한 접근을 제한하는 데 사용되었으며, 지금도 내부 자산을 감염시킨 악성 코드와 바이러스의 ‘외부 통신’ 시도를 차단하는 예방 조치를 구현하는 수단으로 활용되고 있습니다.

오늘날 클라우드 기반 생산성 앱이 널리 보급되면서 내부에서 외부로의 액세스가 필요해졌습니다. 그리고 클라우드 기반 앱을 사용하려면 인터넷에 접속할 수 있어야 합니다. Salesforce.com, Concur, Google Docs, 소셜 미디어 등 기업이 액세스해야 하는 애플리케이션 중 기업 외부에 있는 애플리케이션의 목록은 끝없이 이어지며 계속 늘어나고 있습니다. Skyhigh Networks의 이 유용한 차트에서 기업의 클라우드 기반 애플리케이션 사용 현황을 보여 주듯이 그 사용량은 꾸준히 증가해 왔습니다. 실제로 2015년 4분기 보고서에서는 “현재 조직당 평균 1,154개의 클라우드 서비스를 사용하고 있다”고 밝혔습니다.

기업이 클라우드에 의존하고 있다는 사실은 부인할 수 없습니다.

즉, 이러한 서비스에 대한 액세스가 중단되면 모든 비즈니스의 핵심 성과 지표 중 하나인 생산성에 치명적인 영향을 미칩니다.

따라서 BlackNurse와 같은 공격은 비교적 실행하기 쉽고 노트북 한 대만 있으면 가능하지만, 그 단순함에도 불구하고 엄청난 피해를 초래합니다. 이러한 공격의 목표는 단순합니다. 바로 리소스 소모입니다. 방화벽이나 웹 서버를 표적으로 삼는 로우 앤 슬로우 공격은 장치가 정상적인 요청에 응답하지 못하도록 리소스를 점유하게끔 설계됩니다. 문제는 이러한 공격이 대용량 트래픽 공격보다 탐지하기 어려운 경우가 많다는 점입니다. 대량의 트래픽은 쉽게 눈에 띕니다. 경보와 적색 경고등이 울리면 사람들은 무슨 일이 벌어지고 있는지 즉시 파악합니다. 지난 10년 동안 우리는 이러한 공격에 대응하는 방법을 이해하는 데 많은 노력을 기울였으며, 다행히 대응 역량도 점차 향상되고 있습니다.

하지만 로우 앤 슬로우 공격은 탐지하기가 더 어렵습니다. CPU 사용률이 갑자기 100%까지 치솟고 응답이 멈춥니다. 소프트웨어 문제일 수도 있고, 하드웨어 문제일 수도 있으며, 그 밖의 여러 원인이 있을 수 있습니다. 로그를 샅샅이 뒤져 이런 공격의 특징인 소량의 패킷을 찾아내는 것은 건초 더미에서 바늘 찾기와 같습니다. 연구진에 따르면 BlackNurse 공격이 생성하는 트래픽은 15~18Mbps에 불과합니다. 네, 잘못 읽은 것이 아닙니다. 이 수치에는 ‘G’가 없습니다. 초당 약 4만~5만 개의 패킷으로, 최신 방화벽에는 아무것도 아닌 수준입니다. 반면 Dyn을 겨냥한 것으로 기록된 DDoS 공격은 1Tbps대에 달했습니다. 여기에는 ‘G’보다 큰 ‘T’가 붙으며, ‘M’보다는 훨씬 더 큽니다.

이러한 공격에 대한 일반적인 해법은 애플리케이션을 클라우드로 이전하는 것입니다. 클라우드에서는 방화벽 서비스가 ‘제한된 리소스’와 같은 낡은 개념에 얽매이지 않고, 손쉽고 자동으로 확장될 수 있기 때문입니다. 하지만 실제로는 해법이 되지 못합니다. 기업에는 여전히 기업 방화벽 뒤에서 해당 애플리케이션과 그 밖의 애플리케이션에 액세스해야 하는 직원들이 있기 때문입니다. 그리고 공격 대상이 직원들과 ‘클라우드’ 사이에 있는 기업 방화벽일 경우, 차단되는 것은 바로 직원들의 액세스입니다.

결국 저하되는 것은 생산성입니다.

기업은 인바운드 트래픽뿐만 아니라 아웃바운드 트래픽까지 방해하는 공격이 초래할 수 있는 잠재적으로 위험한 상황을 인식해야 합니다. BlackNurse에는 이미 비교적 간단한 완화책이 있지만, 이처럼 쉽게 완화할 수 없는 다른 공격도 있을 가능성이 큽니다. 또한 방화벽 외부의 앱만큼이나 내부의 앱에도 크게 의존하는 오늘날에는 이러한 공격의 가능성을 면밀히 살펴봐야 합니다.

아직 평가해 보지 않았다면, 이제는 귀사가 ‘클라우드’ 앱에 현재 얼마나 의존하고 있는지(또는 앞으로 얼마나 의존하게 될지), 그리고 기업의 일상적인 업무 수행을 방해하도록 특별히 설계된 위협에 맞서 이러한 앱에 대한 접근을 어떻게 가장 효과적으로 보호할지 검토해야 할 때가 이미 지났습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물