오늘날 많은 애플리케이션은 소규모 컨테이너 클러스터로 구축되어 여러 위치에 배포됩니다. 이러한 분산 방식은 성능과 복원력을 모두 향상시키지만, 애플리케이션 보호를 어렵고 복잡하게 만들기도 합니다.
한편, 애플리케이션과 그 생태계를 겨냥한 공격은 더욱 빈번해지고 정교해지고 있습니다.
사이버 범죄자들은 애플리케이션의 취약점을 상시 악용하고 수많은 보안 통제를 손쉽게 우회합니다. 조직이 경계 태세를 강화하고 진화하는 위협에 대한 복원력을 높이려면 사이버 범죄자들이 어떤 방식으로 사고하고 활동하며 앱을 악용하는지 이해해야 합니다.
사이버 범죄자는 돈을 좇는다
공격자 자체가 반드시 고도의 기술력을 갖출 필요는 없습니다. 이들이 사용하고 서로 일상적으로 공유하는 무료 도구와 서비스가 많이 있기 때문입니다.
이들은 대개 돈을 좇는 심리를 가지고 있습니다. 디지털 경제에서는 취약점을 악용하고 앱 로직을 부당하게 이용해 접근 권한을 얻기 위해 웹 및 모바일 애플리케이션을 표적으로 삼는다는 의미입니다.
사이버 범죄자들은 애플리케이션의 취약점을 지속적으로 탐색하고 개방되어 있거나 보안이 취약한 애플리케이션 게이트웨이를 찾습니다. 다음은 일반적인 세 가지 공격 유형입니다(정교함과 표적의 잠재적 가치가 낮은 순에서 높은 순으로 나열).
- 일반적인 공격은 OWASP Top 10에 명시된 것과 같이 알려진 취약점을 표적으로 삼습니다.
- 제로데이 공격은 알려지지 않았거나 예상하지 못한 취약점을 노립니다.
- 지능형 지속 공격은 국가의 지원을 받을 수도 있는 정교한 공격 캠페인입니다.
또한 사이버 공격은 웹 및 모바일 애플리케이션뿐만 아니라 서버 인프라, 데이터, 기기도 표적으로 삼는다는 점에 주목할 필요가 있습니다. 이 블로그에서는 애플리케이션에 초점을 맞추고, 이제 몇 가지 일반적인 공격 유형을 좀 더 자세히 살펴보겠습니다.
애플리케이션은 공격 표적이 풍부합니다
공격자는 애플리케이션이 사이버 범죄자가 무기화하고 수익을 창출하는 데 악용할 수 있는 방대한 양의 중요 데이터로 통하는 진입점이기 때문에 이를 공격합니다.
해커가 공격 대상으로 삼는 영역에는 애플리케이션 코드 자체, 앱이 호스팅되는 서버 인프라, 그리고 앱에 추가 기능을 제공하는 애드온(예: 코드 라이브러리 또는 플러그인)이 포함됩니다.
F5 Labs의 2022년 애플리케이션 보호 보고서에 따르면 피싱, 크리덴셜 스터핑, 인젝션 공격을 비롯한 액세스 관련 침해가 전체 웹 앱 침해의 약 25%를 차지하며 가장 주요한 공격 벡터로 나타났습니다. 그다음은 멀웨어로, 웹 앱 침해의 24%를 차지합니다. 앞서 언급했듯이 이러한 앱 공격의 목적은 가능한 한 가장 쉬운 방법으로 가장 중요한 데이터에 접근하는 것입니다.
애플리케이션 공격의 치명적인 영향
기본적인 인젝션 공격에서 흔히 발생하는 시나리오를 간단히 살펴보겠습니다. 공격자는 취약점을 찾기 위해 봇을 활용해 대규모 자동 정찰 스캔을 실행하는 것으로 공격을 시작합니다:
- 공격자는 일반적으로 애플리케이션 내의 보안이 취약한 게이트나 액세스 지점과 같은 침투 경로를 찾아냅니다.
- 그런 다음 해당 취약점을 악용해 악성 코드(멀웨어)를 삽입하고, 원격으로 명령을 실행할 수 있는 거점을 확보합니다.
- 악성 코드가 실행되면 공격자는 더 깊숙이 침투하거나, 명령 및 제어를 수행하거나, 정찰 또는 첩보 활동을 벌이거나, 정보를 탈취하기 위해 추가 접근 권한을 확보할 방법을 모색할 가능성이 높습니다.
- 이제 앱과 그 기반 데이터가 침해되었습니다.
위 시나리오는 매우 단순합니다. 실제로 인젝션 공격은 훨씬 더 정교하고 위협적인 경우가 많습니다. 공격자가 앱의 모든 데이터를 삭제하는 명령을 삽입하여 디지털 제품이나 서비스 전체를 중단시킨다고 상상해 보세요. 또는 신용카드 데이터베이스 테이블을 노출하는 명령을 삽입할 수도 있습니다.
이러한 유형의 공격은 치명적인 결과를 초래할 수 있습니다. 앱 서비스 중단은 매출과 평판의 손실로 이어질 수 있으며, 복구에 수백만 달러의 비용이 들 수 있습니다. 소비자에게는 좋지 않은 사용자 경험을 의미할 수 있으며, 더 심각하게는 개인정보 도난으로 이어질 수도 있습니다.
기타 일반적인 공격 유형 이해하기
공격자는 애플리케이션 침해에 성공하면 웹 앱을 통해 브라우저의 취약점을 악용하는 경우가 많습니다. 그 목적은 이후 계정을 탈취하기 위해 사용자의 인증 정보를 훔치거나, 사용자의 세션을 실시간으로 직접 탈취하는 것일 수 있습니다.
또한 공격자는 피해자의 브라우저에서 악성 코드를 실행해(흔히 폼재킹이라고 함) 실제 사용자가 보낸 것처럼 보이는 허위 요청을 제출할 수 있습니다. 이는 사기성 계좌 개설이나 신용 신청에 신원이 도용되는 개인뿐만 아니라, 그로 인한 손실을 떠안게 되는 경우가 많은 조직에도 심각한 영향을 미칠 수 있습니다. 따라서 개인용이든 업무용이든 누구나 피싱 시도를 경계하고 비밀번호를 절대 재사용하지 않는 것이 매우 중요합니다.
널리 사용되는 또 다른 공격은 서비스 거부(DoS) 공격으로, 봇이 자동으로 전송하는 요청을 애플리케이션에 폭주시켜 과부하를 일으키고 애플리케이션의 속도를 저하시키거나 심한 경우 작동하지 못하게 합니다. 여러 컴퓨터(봇넷이라고 함)에서 시작되는 분산 서비스 거부(DDoS) 공격은 일반적으로 훨씬 더 효과적입니다. 봇넷의 노드(또는 컴퓨터)는 소비자의 기기가 멀웨어에 감염된 경우가 많습니다. 이는 멀웨어와 기타 사이버 공격으로부터 기기를 보호하는 것이 얼마나 중요한지를 다시 한번 보여 줍니다.
사이버 범죄자의 동기와 공격 방식은 다양하지만, 이러한 일반적인 공격 유형과 예방 방법을 기본적으로 이해해 두면 도움이 될 수 있습니다.
사이버 방어에는 우리 모두의 역할이 있습니다. 아래 동영상에서는 악의적인 공격자가 애플리케이션을 악용하기 위해 흔히 사용하는 피싱, 스미싱 및 일반적인 사회 공학 수법으로부터 보호하는 데 도움이 되는 몇 가지 기본적인 지침을 소개합니다.
사이버 보안 인식의 달을 맞아 마련한 4부작 시리즈의 다음 편에서는 F5가 사기로부터 고객의 계정을 보호하는 방법을 자세히 살펴보겠습니다.
2부: (현재 보고 있는 글)
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.