Guest blog from the TAG Cyber LLC의 최고경영자가 전 세계 수백 개 기업을 지원하는 글로벌 사이버 보안 자문, 교육, 컨설팅 및 미디어 서비스 기업을 대표해 기고한 글입니다.
보안 커뮤니티 전반에서는 고품질의 사이버 위협 정보 공유가 운영, 분석 및 대응을 담당하는 팀에 도움이 된다는 믿음이 널리 퍼져 있습니다. 물론 이러한 이점을 얻으려면 공유되는 위협 정보가 실제로 높은 품질을 갖춰야 합니다. 다행히 오늘날에는 성공적인 위협 정보 공유 그룹을 구축하고 운영하며 관리하는 부담을 덜어 주는 우수한 상용 플랫폼이 마련되어 있습니다. 따라서 현재 데이터를 공유하지 않는 보안 팀이 내세울 수 있는 변명은 거의 없습니다.
우리 커뮤니티에서 널리 통용되는 또 다른 믿음은 사이버 공격이 갈수록 더 빠르고 지능적이며 탐지하기 어려워지고 있다는 것입니다. 이러한 공격 특성은 샌드힐 로드의 투자를 받은 우리 기술, 즉 자동화, 머신러닝, 자율성을 활용해 구현되고 있습니다. 그 결과 등장한 이른바 합성 공격은 사람이 수동으로 공조하여 대응하기에는 지나치게 빠르고 탐지하기 어려우며, 이는 보안 팀에 매우 두려운 전망입니다.
F5 Networks는 TAG Cyber와 함께 최근 F5 Agility 2018 보스턴 행사에서 실무 그룹을 구성하여 다음 두 가지 고려 사항, 즉 위협 정보 공유와 합성 사이버 공격을 또 다른 요인과 연계해 검토하도록 했습니다. 구체적으로 이 실무 그룹은 보안 팀에 유망한 이점을 제공할 수 있는 새로운 기술 동향인 소프트웨어 정의 네트워킹(SDN)을 중심으로 이를 검토해 달라는 요청을 받았습니다.[1]
주로 글로벌 서비스 제공업체 커뮤니티에서 초청된 업계 관계자들로 구성된 실무 그룹은[2] 다음과 같은 근본적인 질문을 논의하고 토론하며 집중적으로 검토하도록 요청받았습니다. 새롭게 부상하는 SDN 기반 서비스 제공업체 인프라가 합성 공격의 위험을 줄이기 위해 글로벌 통신사업자 간 사이버 위협 정보를 자동으로 공유할 수 있는 공동 기반 플랫폼을 제공할 수 있는가?
이처럼 여러 측면이 얽힌 질문을 다루기 위해, 실무 그룹은 논의를 체계화하고 초점을 맞추는 동시에 종합적인 답변을 도출하는 데 도움이 될 세 가지 구체적인 질문을 선정했습니다:
· 보안을 위한 SDN – 사이버 보안에 SDN을 활용할 때의 주요 장단점은 무엇인가?
· 개선된 ISP 공유 – 전반적인 ISP 공유를 개선하기 위해 어떤 전략을 따를 수 있을까요?
· 기능 요구 사항 – SDN 기반 공유를 지원하는 플랫폼 기능은 무엇인가요?
실무 그룹 활동 중 이와 관련된 여러 추가 주제가 제기되었지만, 이 세 가지 핵심 질문을 통해 SDN 인프라가 실제로 통신사업자 간 자동화된 위협 정보 공유를 지원하는 훌륭한 기반이 된다는 결론을 효과적으로 도출할 수 있었습니다. 실제로 실무 그룹은 자동화된 합성 공격을 차단하려면 서비스 제공업체가 자동화된 방어 체계에 의존해야 한다는 기본 원칙에 합의했습니다.
보안을 위한 SDN
첫 번째 질문은 SDN 자체를 어떻게 보호할 수 있는지(이번 논의의 범위를 벗어나는 주제)가 아니라, SDN이 어떻게 보안을 위한 효과적인 기반을 제공할 수 있는지에 초점을 맞췄습니다. 이를 위해 참가자들은 여러 서비스 제공업체의 인프라 구축 환경 전반에서 위협 정보를 동적으로 자동 공유하는 데 적합하다고 선정된 다음과 같은 SDN의 측면에 대해 의견을 제시했습니다:
- 컨트롤러 가시성 – SDN 컨트롤러는 관리되는 모든 장치를 중앙에서 파악할 수 있습니다. 이러한 가시성을 통해 관리 장치에서 수집되는 텔레메트리 데이터를 외부와 공유하기 위한 수집, 처리 및 전달의 전 과정을 자동화할 수 있습니다. 이는 컨트롤러가 사우스바운드 인터페이스 전반에 대한 가시성을 활용해 자체적으로 수행하거나, 특별히 배치된 센서가 노스바운드 인터페이스를 통해 SDN 애플리케이션과 연동하는 방식으로 수행할 수 있습니다.
- 신속한 실패 지원 – 공유 기능을 자동화하려면 새로운 역량과 기능을 혁신할 수 있어야 합니다. 이를 위해 소프트웨어 기반 인프라는 성공 가능성이 있는 기능뿐 아니라, 실패 여부를 신속히 판단하여 빠르게 교체할 수 있는 기능도 빠르게 도입할 수 있도록 지원합니다. 따라서 SDN의 소프트웨어 중심 특성은 새로운 역량을 구축하는 데 더욱 유연한 환경을 제공합니다.
- 자체 방어 가능성 – 실무 그룹은 소프트웨어가 자체 방어 역량을 갖출 가능성을 검토하는 데 상당한 시간을 할애했습니다. 이는 자동화된 인공 공격의 속도와 범위에 대응해야 하는 모든 보안 방어 체계의 필수 요소로 보입니다. 지표를 동적으로 탐지한 후 자율적으로 대응하는 기능은 SDN이 공유를 지원하기 위한 필수 요건이 될 것입니다.
ISP 공유 개선
두 번째 질문은 글로벌 ISP가 현재의 위협 정보 공유를 전반적으로 어떻게 개선할 수 있는지에 초점을 맞췄습니다. 서비스 제공업체 커뮤니티에서 사용하는 방식과 금융 서비스 부문에서 사용하는 널리 알려진 공유 절차 및 방식을 비교하는 논의가 상당히 활발하게 이루어졌습니다.[3] 이에 따라 실무 그룹은 새롭게 부상하는 SDN의 맥락에서 정보 공유를 개선하기 위한 다음과 같은 방안을 제시했습니다.
- 그룹 및 파트너십 – 글로벌 ISP 커뮤니티에서 가장 성공적인 위협 정보 공유 이니셔티브 중 다수는 임시 실무 그룹이나 통신사업자 간 다자간 파트너십을 통해 등장했으며, 정보 공유를 통해 특정 문제를 해결하는 데 중점을 두었습니다. 이는 SDN을 기반으로 자동화된 정보 공유를 구현하려면 커뮤니티 구성, 임시 협약 및 동적 신뢰 그룹 생성을 지원해야 함을 시사합니다.
- 서비스 제공업체 협동조합의 참여 – ISP 커뮤니티에는 금융 서비스 부문과 마찬가지로 수백 곳의 소규모 서비스 제공업체와 통신 서비스 공급업체가 포함되어 있습니다. 이러한 소규모 협동조합이 공급업체 또는 클라우드 기반 서비스형 관계를 통해 자동화된 공유에 참여하려면 기능적 지원이 필요합니다. 다양한 제품 또는 재정적 인센티브를 통해 이들을 자동화된 공유 그룹에 참여시킬 수 있습니다.
- 글로벌 공유를 위한 규범 – 다양한 글로벌 통신사업자들이 폭넓게 참여하는 위협 정보 공유는 하나의 공통 정책을 일률적으로 적용하는 방식으로 관리할 수 없습니다. 대신 모든 자동화된 공유 이니셔티브에는 규범에 기반한 합의가 필요하며, 이에 따라 대다수 통신사업자가 공통 공유 생태계에 송신 및 수신 피드를 포함하기로 자발적으로 결정해야 합니다.
기능 요구사항
세 번째 질문은 통신사업자 간 위협 정보의 자동 공유를 지원할 SDN 플랫폼 및 공급업체 솔루션의 기능 요구사항을 파악하는 데 중점을 두었습니다. 실무 그룹은 공급업체가 고객의 요구에 부응하려는 동기를 갖고 있으며, 사용자 그룹이 요구사항을 실용적인 표준으로 체계화할 경우 가장 효과적으로 대응할 것이라는 데 의견을 모았습니다. SDN 기반 공유를 위해 파악된 주요 기능은 다음과 같습니다:
- 위협 버스 아키텍처 – 실무 그룹은 공유된 위협 정보를 전달하기 위한 추상적인 기능적 목적지 역할을 하는 이른바 위협 버스 개념을 만들었습니다. 위협 버스는 정보를 적절히 처리하고 보호해야 하며, 출처 귀속 수준, 신뢰도 등의 속성을 준수해야 합니다. 버스의 구체적인 구현 방식을 정의하려면 후속 작업이 필요합니다.
- 표준 프로토콜 및 인터페이스 – 실무 그룹은 표준 기반 위협 공유 프로토콜이 모든 자동화 생태계의 원활한 운영에 필수적이라고 판단했습니다. 잘 알려진 STIX 및 TAXII 프로토콜은 새롭게 등장하는 SDN 설계에 포함할 모범 표준으로 활용되었습니다. SDN의 어떤 요소도 이러한 작업을 가로막아서는 안 되지만, 현재까지 실무 그룹이 파악한 SDN 관련 작업 중 이를 명시적으로 중점 과제로 삼은 사례는 없었습니다.
- 사용 사례 중심 지원 – 실무 그룹은 기능 설계가 반드시 사용 사례를 중심으로 이루어져야 한다고 강조했습니다. 이는 자동화된 정보 공유를 단계적으로 도입하는 방식을 뒷받침합니다. 논의된 사용 사례 중 하나는 탐지된 공격이 다른 통신사의 인프라에서 시작된 것으로 보일 경우, 통신사들이 이를 자동으로 서로에게 알리는 것이었습니다.
실무팀이 권고한 다음 단계는 다음과 같습니다. (1) 관련된 다른 활동의 계획 수립에 도움이 되도록 그룹 토론을 바탕으로 작성된 이 글을 게시한다. (2) SDN 기반 공유에 관한 아이디어를 촉진하고 표준화 활동에 영향을 미칠 수 있도록 연구 결과를 각 참여 기관에 전달한다. (3) 이 중요한 분야에 더 많은 관심을 기울이도록 권고하기 위해 공급업체 커뮤니티와 논의한다.
이 실무 그룹의 결론은 간단히 말할 수 있습니다. 즉, 모든 구성원이 다음과 같은 사실에 만장일치로 동의했습니다. 새롭게 부상하는 SDN 지원 서비스 제공업체 인프라는 합성 공격의 위험을 줄이기 위해 글로벌 통신사업자 간에 사이버 위협 정보를 자동으로 공유할 수 있는 기반 공동 플랫폼을 제공할 수 있습니다. 자동화된 합성 공격의 심각성에 대한 공감대를 고려할 때, 이러한 결론에 도달한 것은 팀에 매우 고무적인 일이었습니다.
TAG Cyber LLC 작성: https://www.tag-cyber.com/
[1] 소프트웨어 정의 네트워킹(SDN)의 기본 원리를 심도 있게 살펴보고자 하는 독자는 Software Defined Networks – A Comprehensive Approach(Paul Goransson 및 Chuck Black 저, Morgan Kaufman, 2014)를 참고하시기 바랍니다.
[2] 참가자와 소속 기관의 개인정보를 보호하기 위해, 이 주석에서는 연구에 참여한 전문가나 단체의 이름을 밝히는 대신 실무 그룹 세션에서 도출된 결론과 권고 사항을 종합적으로만 언급한다. 참가자들에게는 이 주석을 검토하고 수정 의견을 제시할 기회가 주어졌으나, 남아 있는 오류에 대한 책임은 저자에게 있다.
[3] 실무 그룹이 도출한 주요 결론 중 하나는 금융 서비스 부문이 위협 정보 공유 도구와 방법, FS-ISAC 생태계를 대외적으로 알리는 데 있어 모든 부문 중 가장 효과적이라는 것이다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.