MITRE ATT&CK 및 D3FEND 프레임워크를 통해 살펴본 제로 트러스트 도입의 이점
Mudit Tyagi와 Ken Arora 작성
사이버 공격자는 표적 조직의 네트워크와 애플리케이션, 즉 디지털 공격 표면을 스캔하여 이미 발견된 취약점과 제로데이 취약점을 악용하는 다양한 기법과 절차를 조합해 다단계 공격을 설계합니다. 이 백서에서는 기업이 방어해야 하는 여러 유형의 위협을 살펴보고, 제로 트러스트 원칙을 활용하여 공격자의 활동으로 인한 피해를 억제할 가능성을 높이는 방법을 중점적으로 다룹니다. 이어서 MITRE ATT&CK 프레임워크에 체계화된 공격자의 전술, 기법 및 절차를 간략히 살펴봅니다. 마지막으로 MITRE D3FEND 프레임워크를 논의하고 이를 제로 트러스트 원칙에 매핑합니다.
공격 표면이란 무엇인가요?
미국 국립표준기술연구소(NIST)는 컴퓨터 보안 리소스 센터(CSRC) 용어집에서 ‘공격 표면’을 ‘공격자가 시스템, 시스템 요소 또는 환경에 침입하거나 영향을 미치거나 데이터를 추출하려고 시도할 수 있는 해당 시스템, 시스템 요소 또는 환경의 경계 지점 집합’이라고 추상적으로 정의합니다.
“공격 표면”을 이해하는 또 다른 방법은 디지털 환경의 다양한 구성 요소에 잠재된 알려진 취약점과 알려지지 않은 취약점을 모두 고려하는 것입니다. 이러한 구성 요소에는 다음과 같은 것들이 포함될 수 있습니다:
- 물리적 및 가상 네트워크, 컴퓨팅 및 스토리지 자산
- 하이퍼바이저, 가상 머신, 컨테이너 오케스트레이션 시스템, 서비스 메시
- 펌웨어, 운영 체제, 데이터베이스 관리 소프트웨어, 애플리케이션 소프트웨어 등 이러한 자산에서 실행되는 소프트웨어
- 컨테이너 이미지 리포지토리, VM 이미지 리포지토리, 코드 리포지토리
- 내부 및 외부 API, 마이크로서비스 엔드포인트, 애플리케이션 포털
- 로컬 환경 외부에 있지만 로컬에서 사용되는 서비스(예: 신원 확인 서비스, 시간 서버, 원격 데이터 스토리지)
- ID 저장소, 사용자 계정 데이터베이스, 비즈니스 데이터 저장소
위협 유형 이해하기
비즈니스 위험을 최소화하려면 조직은 모든 규제 준수 요건을 충족하는 동시에 자체 디지털 자산과 지적 재산은 물론 고객과 직원의 개인정보도 보호해야 합니다. 또한 비즈니스 워크플로와 디지털 경험의 가용성과 안정성을 지속적으로 보장하면서 이를 수행해야 합니다. 이러한 과제를 해결하려면 최소 권한 사용, 명시적 검증, 지속적인 평가, 침해 가정이라는 제로 트러스트 원칙을 준수해야 합니다.1 이를 통해 조직은 다음 섹션에서 설명하는 여러 유형의 위협에 대응할 수 있습니다.
데이터 위협
데이터는 현대 디지털 기업의 생명줄과도 같으므로, 공격자들은 금전적 이익을 노리고 조직의 데이터를 공격하려는 강한 동기를 갖습니다. 탈취된 데이터는 다크 웹에서 판매될 수 있으며, 다른 이들이 이를 이용해 데이터 소유자에게 추가 피해를 줄 수도 있습니다. 또한 조직은 랜섬웨어의 표적이 될 수 있습니다. 공격자는 데이터를 암호화하거나 조직의 인프라에서 완전히 제거하여 해당 조직이 데이터에 접근하지 못하게 한 뒤, 데이터를 복구해 주는 대가로 피해자에게 ‘몸값’을 요구할 수 있습니다. 세 번째 유형의 데이터 공격은 단순히 피해를 주려는 공격자가 데이터를 교묘하게 손상시켜 비즈니스 프로세스와 해당 데이터에 의존하는 디지털 경험을 방해하는 것입니다.
유출
데이터 유출 또는 데이터 침해는 공격자가 소유자의 동의 없이 기밀 정보에 접근할 때 발생합니다. 이러한 공격은 지식 재산에 영향을 미칠 뿐만 아니라 브랜드 이미지 훼손과 신뢰 상실을 초래하는 경우가 많습니다. 법률에 따라 침해를 당한 조직은 개인 식별 정보가 포함된 모든 데이터 손실을 신고해야 합니다. 피싱 기법, 외부에 공개된 애플리케이션의 취약점 악용, 공급망 침해 등은 데이터가 저장된 디지털 환경에 침투하는 데 널리 사용되는 수법입니다.
최근의 대표적인 사례로는 SolarWinds 공급망 공격이 있습니다.2 공격자들은 이 공격을 이용해 수천 개의 기업과 정부 기관에 침투했습니다. 이러한 초기 접근을 통해 디지털 인프라에 지속적으로 거점을 확보함으로써 이후 공격 단계를 수행할 발판을 마련했으며, 여러 피해 애플리케이션과 네트워크 전반에서 측면 이동이 가능해졌습니다. 궁극적으로 이러한 전술은 자격 증명/비밀번호를 탈취하고 피해자의 데이터를 유출하려는 공격자의 최종 목표 달성으로 이어졌습니다.
랜섬웨어
데이터를 노리는 또 다른 공격 형태로는 해커가 악성 코드를 배포해 핵심 비즈니스 프로세스를 방해하거나 완전히 차단하는 ‘랜섬웨어’ 공격이 있습니다. 일반적으로 중요한 비즈니스 데이터를 암호화하거나 삭제하여 핵심 업무 흐름을 중단시킵니다. 경우에 따라 신원 인증 데이터 저장소의 데이터까지 암호화하거나 삭제해 정상적인 사용자가 시스템에 전혀 접근하지 못하게 하기도 합니다. 공격자는 ‘몸값’을 받은 뒤에야 시스템 접근 권한을 복구하거나 데이터를 복호화합니다. 2021년 5월에는 랜섬웨어 공격으로 콜로니얼 파이프라인의 운영이 마비되었습니다.3 콜로니얼 파이프라인은 미국 남동부 지역에 휘발유와 항공유를 공급합니다.
무증상 데이터 손상
일부 공격자는 데이터 공격에 더욱 교묘한 방식을 사용합니다. 데이터를 유출하거나 사용할 수 없게 만드는 대신, 이러한 지능형 공격자는 피해 조직의 운영 중인 데이터를 신중하게 선별해 소수만 변경하고, 애플리케이션의 정상적인 외부 대상 워크플로를 통해 이익을 얻습니다. 예를 들어 할인 판매할 항공 좌석의 비율을 높이거나, 재고 공급 데이터베이스를 조작해 판매 중인 상품 수가 실제보다 많거나 적어 보이게 하거나, 온라인 쇼핑몰에 특별 할인 코드를 추가하는 방식이 있습니다. 피해가 발생하기 전까지 탐지하기 어려운 경우가 많은 이러한 ‘은밀한’ 변경은 피해자의 자체 비즈니스 워크플로를 악용해 공격자에게 이익을 안겨 줍니다.
인프라 리소스 위협
해커는 네트워크 및 컴퓨팅 인프라의 리소스를 소진시켜 비즈니스 프로세스를 중단시키거나 비효율적으로 작동하게 하는 공격을 감행합니다. 이러한 공격의 목적은 대상 조직의 브랜드를 훼손하거나 금전을 갈취하는 것부터 온라인 티켓 판매를 이용할 수 없게 만드는 등 특정 비즈니스 결과를 달성하는 것까지 다양합니다. 또한 지능형 공격자는 여러 단계로 이루어진 더욱 정교한 공격을 동시에 수행하면서 이러한 유형의 공격을 연막으로 활용하는 경우가 많습니다.
DDoS
공격자는 봇넷을 이용해 공격 트래픽을 대상의 리소스로 유도하여 분산 서비스 거부(DDoS) 공격을 실행합니다. 대용량 DDoS 공격은 대상 네트워크에 트래픽을 폭주시켜 사용 가능한 모든 대역폭을 소진합니다. 프로토콜 DDoS 공격은 특수하게 조작된 트래픽을 전송하여 방화벽과 같은 상태 저장형 네트워크 장비의 연결 테이블을 가득 채움으로써 정상적인 연결이 차단되도록 합니다. 애플리케이션 DDoS 공격은 비정상적인 요청으로 서버의 리소스를 소진합니다.
CPU 스틸링
공격자는 컴퓨팅 리소스에 무단으로 액세스하여 자신을 위한 연산을 수행하고, 그 결과를 명령 및 제어 서버로 전송할 수 있습니다. 이는 대부분 컴퓨터 소유자가 모르는 사이에 백그라운드에서 암호화폐 채굴 코드를 실행하기 위해 이루어집니다. 피싱과 드라이브 바이 다운로드는 컴퓨터에 암호화폐 채굴 코드를 배포하는 데 흔히 사용되는 방법입니다. 해커는 MITRE ATT&CK의 측면 이동 전술을 사용해 탈취한 CPU 용량을 늘리고, 지속성 전술을 사용해 무단 연산을 계속 실행할 수 있는 능력을 유지합니다.
비즈니스 위협
악의적인 행위자는 의도된 워크플로나 사용자 경험을 악용하여 조직에 피해를 줍니다. 이러한 위협은 매출 손실과 브랜드 이미지 훼손을 초래하고, 사기 대응에 드는 운영 비용을 증가시킬 수 있습니다.
비즈니스 리소스 고갈
해커들은 개인적인 이익을 목적으로 합법적인 비즈니스 프로세스를 악용하여 조직에 피해를 줍니다. 예를 들어, 자동화 도구를 사용해 인기 행사 티켓을 대량으로 구매하여 다른 사람들이 구매하지 못하게 한 다음, 더 높은 가격에 되팔 수 있습니다.
비즈니스 인텔리전스
비즈니스 정보는 조직의 공개 웹사이트에서 스크래핑되거나 내부 시스템에서 도난당한 후, 해당 조직에 피해를 주는 방식으로 악용될 수 있습니다. 예를 들어, 경쟁업체가 가격 정보를 스크래핑한 뒤 자사 가격을 낮춰 고객을 빼앗아 갈 수 있습니다.
브랜드 공격
해커는 공개 웹사이트의 콘텐츠를 수정하고 훼손하여 조직에 망신을 줄 수 있습니다. 또한 콘텐츠를 변조해 웹사이트 사용자에게 잘못된 정보를 제공할 수도 있습니다.
상거래 사기
사기범들은 다른 사용자를 대신해 금융 거래를 수행하고 그 거래에서 이익을 얻을 방법을 찾아냅니다. 이들은 도용한 인증 정보를 사용해 계정을 탈취하거나, 의심하지 않는 사용자를 평소 이용하는 사이트처럼 보이는 가짜 사이트로 유인해 계정 인증 정보를 넘기도록 속입니다. 이러한 유형의 사기는 일반적으로 전자상거래 사이트나 금융기관 포털에서 발생합니다. 코로나19 시기에는 많은 사기범이 도용한 신원 정보를 이용해 허위 실업급여를 신청하고 급여가 자신에게 지급되도록 하는 실업급여 사기를 저질렀습니다.4
MITRE ATT&CK 프레임워크
조직을 대상으로 위협을 가하는 지능형 지속 공격자는 인내심이 강하고 체계적이며 고도로 숙련되어 있습니다. 공격자가 피해를 입히려면 정보 수집, 초기 접근 권한 확보, 교두보 구축, 정보 탈취, 데이터 유출 등 여러 전술적 목표를 달성해야 합니다. MITRE ATT&CK 프레임워크5 에는 전술적 목표, 해당 목표를 달성하기 위한 기법, 그리고 이러한 기법을 구현하는 절차가 정리되어 있습니다. 방어자는 이 프레임워크를 사용하여 모든 공격을 전술, 기법 및 절차(TTP)로 세분화해 분석할 수 있으며, 관련 내용은 MITRE ATT&CK 프레임워크 사이트(https://attack.mitre.org/matrices/enterprise)에서 확인할 수 있습니다. 그림 1에서 볼 수 있듯이, 각 전술과 관련 기법에 대응할 때 디지털 환경 전반에 제로 트러스트 원칙을 적용하면 공격자의 성공 가능성을 낮추고 공격 활동을 조기에 탐지할 가능성을 높일 수 있습니다.
MITRE D3FEND 프레임워크는 제로 트러스트 원칙을 따릅니다
The D3FEND 프레임워크는 “사이버 보안 대응책 영역의 핵심 개념과 이러한 개념을 서로 연결하는 데 필요한 관계를 모두 정의하는, 의미론적으로 엄밀한 유형과 관계를 포함하는” 대응책 지식 베이스와 지식 그래프를 제공합니다.7 이 프레임워크는 보안 실무자가 자신의 디지털 환경과 관련된 위협을 방어하는 데 필요한 역량을 검토할 수 있도록 지원합니다.
또한 D3FEND 프레임워크에 나열된 관련 대응책을 실행할 수 있는 역량을 점검함으로써, MITRE ATT&CK 프레임워크에 열거된 다양한 TTP에 얼마나 대비되어 있는지의 관점에서 보안 위험을 생각해 볼 수 있습니다. 두 프레임워크를 연결하는 고리는 ‘디지털 아티팩트’라는 추상적 개념입니다. 공격자가 일련의 TTP를 사용해 공격을 수행하면 그 활동으로 인해 관찰 가능한 디지털 아티팩트가 생성됩니다. D3FEND 프레임워크는 실무자가 공격자의 활동으로 생성된 디지털 아티팩트를 탐색하는 방법을 구체적으로 파악하고, 실행 가능한 방어 계획을 수립하는 데 도움을 줍니다.
MITRE D3FEND 대응책의 범주는 그림 2에서 볼 수 있듯이 제로 트러스트 원칙에 기반한 제로 트러스트 보안 기법과 명확하게 대응됩니다.
결론
오늘날의 애플리케이션과 디지털 경험은 상호 연결된 디지털 기업 생태계라는 더 큰 맥락에서, 점점 늘어나는 모바일 인력과 고객층을 지원하고 사람과 스마트 기기를 모두 포함한 더욱 다양한 대상 고객과 한층 풍부하게 소통하려는 비즈니스 요구에 의해 발전하고 있습니다. 동시에 비즈니스 민첩성과 효율성을 지속적으로 높여야 한다는 요구로 인해 애플리케이션 아키텍처에서 오픈 소스 및 SaaS 구성 요소를 활용하는 비중이 크게 증가했습니다. 그 결과 오늘날의 핵심 애플리케이션은 이전보다 훨씬 더 복잡하고 통제하기 어려운 인프라에 의존하게 되었습니다. 현대의 비즈니스 요구 사항은 애플리케이션 아키텍처의 복잡성을 높였고, 이로 인해 더 광범위하고 역동적인 공격 표면이 노출되었습니다. 이러한 공격 표면은 과거 어느 때보다 자금력이 풍부하고 동기가 강한 정교한 공격자들에 의해 악용되고 있습니다.
MITRE ATT&CK 프레임워크는 악의적 행위자가 복잡한 공격을 구성하는 데 사용하는 전술, 기법 및 절차를 체계적으로 명명하는 체계를 제공합니다. MITRE D3FEND 프레임워크는 조직이 공격에 사용된 TTP로 인해 생성되는 관찰 가능한 디지털 아티팩트를 탐지하는 데 활용할 수 있는 대응책의 지식 그래프를 정의합니다. MITRE D3FEND 대응책은 다양한 제로 트러스트 원칙과 연계할 수 있으며, 이러한 원칙을 준수하면 대응책을 구현하는 구체적인 메커니즘의 효과를 높일 수 있습니다.
리소스
1 https://www.f5.com/services/resources/white-papers/why-zero-trust-matters-for-more-than-just-access
2 https://en.wikipedia.org/wiki/2020_United_States_federal_government_data_breach
3 https://en.wikipedia.org/wiki/Colonial_Pipeline_ransomware_attack
4 https://www.f5.com/company/blog/unemployment-fraud-covid-19
5 https://attack.mitre.org/matrices/enterprise