아시아의 금융 서비스 산업은 규제가 가장 엄격한 분야 중 하나이며, 규정 준수는 흔히 보안을 보장하는 수단으로 여겨집니다. 하지만 규정 준수는 보안의 한 측면일 뿐입니다. 다양한 규정이 광범위한 사안을 다루고 있지만, 규정 준수를 위해 솔루션이나 장비를 단순히 도입하는 것만으로는 충분하지 않습니다.
아시아 태평양 지역에서 모바일 기기가 널리 보급되고 이에 따라 인터넷 뱅킹이 성장하면서 사이버 보안 위협이 갈수록 정교해지고 있습니다. 그러나 Telstra의 모바일 신원 연구에 따르면 금융 서비스 업계 임원의 62%가 신원 및 보안 분야에 충분히 투자하지 않았다고 답했습니다. 또한 소비자의 3분의 1 이상이 신원 도용을 경험한 가운데, 금융 기관의 보안 성과에 만족하는 소비자는 절반에도 미치지 못했습니다.
지난해 발생한 JP모건 정보 유출 사고와 국내 은행의 대규모 신용카드 정보 유출 사고를 비롯한 신원 도용 사건, 그리고 2014년 피해자들로부터 160억 달러가 탈취된 신원 사기로 인해 신원 도용은 금융 서비스 부문에서 빠르게 더 심각한 위협으로 부상하고 있지만, 여전히 과소평가되고 있습니다.
공격 표면의 확대와 공격 기법의 고도화
공격 표면이 확대되고 공격 도구가 고도화되면서 사이버 범죄자들 사이에서 신원 도용이 흔해지고 있습니다. 오늘날 사이버 공격은 더욱 다양한 경로를 통해 이루어집니다. 예를 들어, 많은 금융 서비스 기관이 직원의 개인 기기로 사내 네트워크에 접속할 수 있도록 허용함에 따라, 개인 기기 사용(BYOD) 환경에서는 사이버 범죄자가 기관 직원의 자격 증명을 악용해 모바일 기기를 정보 은닉, 유포 및 탈취의 통로로 이용할 수 있습니다.
또 다른 공격 경로로는 외부에 공개된 보안이 취약한 웹 애플리케이션이 있으며, 이로 인해 신원 정보가 순식간에 탈취될 수 있습니다. 여기에는 지난해 큰 화제가 되었던 다음과 같은 제로데이 취약점이 포함됩니다. Shellshock 및 Heartbleed. 조직이 취약점 패치를 늦게 적용하거나 웹 애플리케이션을 보호할 적절한 기술을 갖추지 못하기만 해도 공격에 노출될 수 있습니다. 사이버 범죄자가 제어권을 장악하면 데이터 탈취부터 서버를 이용한 봇넷 공격 실행까지 원하는 모든 행위를 할 수 있습니다.
이렇게 확장된 ‘활동 무대’로 인해 사이버 범죄자들은 로그인 자격 증명을 훔칠 수 있는 방법이 더욱 다양해졌으며, 더 이상 키로깅 소프트웨어나 데이터베이스 침해에 의존할 필요 없이 웹 인젝션만 사용하면 됩니다.
예를 들어 사용자가 인터넷 뱅킹 계정에 로그인할 때, 사이버 범죄자는 웹 페이지에 정상적인 항목처럼 보이는 추가 입력란을 삽입해 ATM PIN(현금자동입출금기 개인 식별 번호)을 입력하도록 유도함으로써 기술에 익숙한 사용자와 그렇지 않은 사용자 모두를 속일 수 있습니다. 이 과정에서 악성코드는 호스트 웹 애플리케이션이 감지할 수 없도록 백그라운드에서 ‘브라우저 중간자(man-in-the-browser)’ 공격을 실행할 수 있습니다.
공격 경로가 늘어나는 것뿐만 아니라, 오늘날의 멀웨어와 트로이 목마는 모바일 뱅킹 애플리케이션을 통해 로그인 자격 증명을 탈취하여 은행 및 기타 금융 서비스 기관의 자금에 접근할 수 있습니다. 사이버 범죄자는 은행 애플리케이션과 유사한 모바일 애플리케이션을 손쉽게 만든 뒤, 스피어 피싱을 이용해 로그인 자격 증명을 훔칠 수 있습니다. Dyre나 Dyreza와 같은 일부 멀웨어는 기업의 은행 계좌를 직접 노리며, 피해 사실을 인지하지 못한 기업들로부터 100만 달러가 넘는 금액을 탈취한 사례도 있습니다.
계층화된 방어, 선제적 대응 및 강력한 모바일 정책으로 위협에 대처
내부자 위협이 2015년 상반기 침해 사고의 대부분을 차지한 만큼, 조직이 빠르게 진화하는 오늘날의 사이버 범죄자들에 뒤처지지 않는 것이 그 어느 때보다 중요합니다. 기업은 인터넷에 노출된 애플리케이션을 보호하기 위해 필요한 조치를 시행해야 합니다. 이는 네트워크에 침투할 기회를 끊임없이 노리는 사이버 범죄자들이 자연스럽게 이용하는 경로이므로 최우선 과제로 삼아야 합니다. 또한 탈옥한 기기의 사용도 자제해야 합니다. 이러한 기기는 일반적으로 사이버 범죄자가 네트워크에 접근할 수 있는 또 다른 수단이 되기 때문입니다.
첫째, 적절한 기술을 활용한 심층 방어 전략이 반드시 필요합니다. 많은 사람이 방화벽과 같은 기술만으로 조직의 네트워크를 충분히 보호할 수 있다고 잘못 생각하지만, 오늘날에는 더 이상 그렇지 않습니다. 조직은 웹 애플리케이션 방화벽과 같은 다른 기술도 고려해야 합니다. 웹 애플리케이션 공격은 특정 애플리케이션을 겨냥해 정교하게 설계되는 경우가 많아 기존 보안 조치로는 탐지하지 못할 수 있습니다.
침해 사고 발생 후 문제를 해결하는 복구 조치도 나름의 역할이 있지만, 네트워크 보안을 선제적으로 강화하는 것이 훨씬 더 효과적입니다. 복구 조치는 본질적으로 사후 대응 방식으로, 포렌식 팀이 침해 사고의 원인을 추적하고 보고서를 작성한 뒤 사고 수습에 나섭니다. 반면 조직의 보안을 선제적으로 강화한다고 해서 모든 공격을 100% 막을 수 있는 것은 아니지만, 공격 성공률을 100%에서 더 낮은 수준으로 줄일 수 있다면 그 자체로도 성과라고 볼 수 있습니다.
마지막으로, 주변 사람들이 공격당하는 것을 보면서도 자신만은 운이 좋아 피해를 입지 않을 것이라고 생각하는 안일함을 경계하고, “나에게는 일어나지 않을 것”이라는 태도를 버려야 합니다.
조직은 모바일 기기가 회사에서 지급한 것이든 개인 소유이든 관계없이 모바일 기기의 취급 방식에 관한 지침, 원칙 및 관행을 규정하는 모바일 기기 보안 정책을 수립해야 합니다. 이러한 정책에는 역할과 책임, 인프라 보안, 기기 보안 및 보안 평가 등의 영역이 포함되어야 합니다.
보안 정책을 수립하면 조직은 무선 네트워크의 보안을 강화하는 데 필요한 관행, 도구 및 교육을 적용할 수 있는 체계를 마련할 수 있습니다. 또한 직원들에게 모바일 보안 정책을 교육함으로써 모바일 기기가 안전하고 적절하게 구성·운영·사용되도록 할 수 있습니다.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.