F5 BIG-IP APM 및 Distributed Cloud Bot Defense로 피싱 프록시로부터 MFA 보호

Jim Downey

2단계 인증(2FA)을 통해 사용자 계정을 보호하는 기업은 범죄자가 다단계 인증(MFA) 조치를 우회하고 계정을 탈취할 수 있게 하는 실시간 피싱 프록시를 방어하기 위한 추가 조치를 취해야 합니다. 다행히 F5 BIG-IP Access Policy Manager (APM) 고객은 F5 Distributed Cloud Bot Defense를 추가하여 이러한 프록시를 효과적으로 차단할 수 있습니다.

실시간 피싱 프록시란 무엇인가요?

실시간 피싱 프록시 공격은 문자 메시지, 이메일 또는 웹 페이지를 통해 피싱 메시지를 전달하는 것으로 시작됩니다. 피싱 메시지에는 사용자를 공격자가 제어하는 도메인으로 유도하는 링크가 포함되어 있으며, 이 도메인은 모든 요청을 대상 애플리케이션으로 프록시하도록 설계되어 있습니다. 사용자 입장에서는 실제 도메인과 매우 유사하게 선택되는 도메인 이름을 제외하면 모든 것이 정상적으로 보입니다.

피싱 프록시에 속은 사용자는 자신의 자격 증명을 입력합니다. 단일 요소 인증의 경우, 자격 증명을 입력하는 것만으로도 공격자가 계정에 액세스할 수 있습니다. 2FA의 경우, 실시간 피싱 프록시가 자격 증명을 정상 애플리케이션으로 전송하여 2FA 요청을 트리거합니다. 안타깝게도 사용자는 여전히 정상 애플리케이션을 이용하고 있다고 믿기 때문에 어떤 요청이든 그대로 승인하여 2FA 절차를 진행할 가능성이 높습니다.

리버스 피싱 프록시는 거의 모든 형태의 2단계 인증(2FA)을 무력화할 수 있습니다:

• 단문 메시지 서비스(SMS) 기반 2FA. SMS 기반 2FA에서는 인증 시스템이 사용자에게 일회용 비밀번호(OTP)가 포함된 문자 메시지를 보내고, 사용자는 이를 앱에 입력합니다. 피싱 프록시 공격이 발생하면 사용자는 악성 앱에 비밀번호를 직접 입력하게 되고, 악성 앱은 이를 정상 앱으로 중계하여 범죄자가 액세스 권한을 얻게 합니다. OTP가 이메일로 전송되는 2FA에도 동일한 원리가 적용됩니다. 사용자가 OTP를 앱에 입력하는 방식이라면 실시간 피싱 프록시 공격으로 해당 OTP를 탈취할 수 있습니다.
• 하드웨어 토큰 기반 2FA. 하드웨어 토큰은 암호화 알고리즘에 따라 일정한 시간 간격으로 키를 생성하는 물리적 장치로, SMS 기반 2FA의 OTP와 동일한 역할을 합니다. 사용자는 장치를 보고 키를 애플리케이션에 입력합니다. 실시간 피싱 프록시에 속아 해당 키를 악성 애플리케이션에 입력하면 공격자가 계정에 접근할 수 있게 됩니다. 어떤 의미에서는 토큰을 SMS, 이메일 또는 하드웨어로 전달하든 실시간 피싱 프록시에는 차이가 없습니다. (반면 FIDO2/U2F 하드웨어 키는 브라우저가 하드웨어 키와 연동하여 출처 바인딩을 수행하므로 피싱에 노출되지 않습니다.)
• 앱 기반 2단계 인증(2FA). Google Authenticator 및 Duo Mobile과 같은 모바일 인증 앱은 하드웨어 장치와 거의 동일한 방식으로 토큰을 생성합니다. 이 경우에도 사용자는 토큰을 앱에 직접 입력해야 합니다. 사용자가 속아서 악성 앱에 토큰을 입력하면 공격자가 실제 애플리케이션에 접근할 수 있게 됩니다.
• 푸시 기반 2단계 인증. 사용자가 애플리케이션에 일회용 비밀번호(OTP)를 입력해야 하는 2단계 인증 방식은 사용자를 속여 악성 애플리케이션에 OTP를 입력하게 하면 얼마든지 무력화할 수 있습니다. 그렇다면 사용자가 애플리케이션에 OTP를 입력할 필요가 없는 푸시 기반 2단계 인증은 어떨까요? 푸시 기반 시스템에서는 애플리케이션이 로그인 요청을 받으면 푸시 알림 시스템에 요청을 보내고, 그 결과 사용자의 모바일 기기에 알림이 전송됩니다. 사용자는 한 번만 클릭하여 요청을 승인하면 됩니다. 그러면 푸시 알림 시스템이 애플리케이션에 API 호출을 보내 푸시 인증이 성공했음을 알리고, 애플리케이션은 인증 절차를 완료하여 사용자에게 접근 권한을 부여합니다. 이 시나리오에서는 토큰이 애플리케이션으로 직접 전달되므로 피싱 프록시는 토큰을 받지 못합니다. 그럼에도 범죄자는 여전히 계정에 접근할 수 있습니다. 애플리케이션이 결국 인증된 세션 토큰을 프록시를 통해 애플리케이션에 전달하기 때문에, 공격자는 이를 가로채 피해자의 신원으로 애플리케이션에 접근하는 데 사용할 수 있습니다.

서비스형 실시간 피싱 프록시

EvilGinx, Muraena, Modlishka와 같은 서비스형 피싱 프록시(PhaaS)는 이러한 공격을 실행하는 데 필요한 모든 것을 제공하여 범죄자들이 공격을 감행하기 놀라울 정도로 쉽게 만들기 때문에, 실시간 피싱 프록시 공격이 증가할 것으로 예상해야 합니다:

• 사용자가 악성 사이트를 방문하도록 속이는 피싱 이메일 템플릿
• 대상 앱을 모방하는 호스팅 웹 서버
• 탈취한 자격 증명을 저장하는 데이터베이스
• 실시간 모니터링
• 보안 연구자의 분석을 방해하는 방어 메커니즘
• 문서 및 고객 서비스

Distributed Cloud Bot Defense가 실시간 피싱 프록시를 완화하는 방법

피싱 프록시를 통과하는 트래픽에는 뚜렷한 특징이 있습니다. 도메인 이름이 실제 사이트의 도메인 이름과 일치하지 않고, 도메인 이름 변경에 맞게 HTML과 JavaScript가 수정될 수 있으며, 타이밍 및 TLS 서명이 달라질 수 있습니다. Distributed Cloud Bot Defense는 봇과 사람을 구분하는 데 사용되는 여러 클라이언트 측 및 네트워크 신호를 활용하여 실시간 피싱 프록시를 식별할 수 있는 이상 징후를 탐지함으로써 MFA를 위협하는 가장 일반적인 요소 중 하나를 해결할 수 있습니다.

기업이 실시간 피싱을 방어하기 위해 BIG-IP APM과 Distributed Cloud Bot Defense를 함께 사용해야 하는 이유

BIG-IP APM은 앱과 API를 위한 유연한 고성능 액세스 관리 솔루션입니다. 애플리케이션에 인증 서비스를 제공하기 위해 엔터프라이즈 ID 서비스를 연결합니다(예: Active Directory, LDAP 공급자, RADIUS). 이를 통해 SSO, 액세스 페더레이션, OAuth 2.0, SAML, OIDC와 같은 최신 인증 프로토콜을 사용할 수 있습니다.

BIG-IP APM은 단계별 강화 인증을 지원하며, SMS 기반 OTP 2단계 인증(2FA)을 기본으로 제공합니다. 또한 BIG-IP APM은 Cisco Duo, Okta, Azure AD 등의 주요 MFA 솔루션 대부분과 통합됩니다.

BIG-IP APM은 많은 기업의 인증 프로세스에서 핵심적인 역할을 하므로, 자동화를 이용해 MFA 보호를 우회하는 실시간 피싱 프록시 공격으로부터 사용자를 보호하기 위해 Distributed Cloud Bot Defense를 구현하기에 이상적인 위치입니다.

다음 단계

자세한 기술 정보는 BIG-IP APM 내에서 Distributed Cloud Bot Defense를 구성하는 방법을 다룬 F5 DevCentral 문서를 참조하세요.

작성자 소개

Jim Downey

Jim Downey의 다른 블로그 게시물