2013.12.09

"해커들, 대중적인 SW에 매일 접근해 결함 찾아낸다" NSS랩 조사

Antone Gonsalves | CSO
아직 알려지지 않은 취약점을 소프트웨어 개발자에게 판매하는 조직들이 대중적인 소프트웨어의 결함을 발견하고자 매일 접근하는 것으로 조사됐다.

테스팅 보안 제품 업체 NSS랩에 따르면, 지난 3년 동안 해커들은 2개의 주요 취약점 프로그램을 이용해 특정일에 마이크로소프트, 애플, 오라클, 어도비 등의 제품에서 최소 58개의 악용 결함에 접근한 적이 있는 것으로 나타났다.

NSS랩은 해커들이 취약점을 구매하고 나서 해당 업체가 패치를 발표하기까지 평균 151일 걸린다고 밝혔다.

NSS랩의 연구 결과는 HP가 2010년에 인수한 네트워크 보안 업체인 티핑포인트와 베리사인이 소유한 보안 인텔리전스 서비스인 아이디펜스(iDefense)의 10년치 분석 데이터를 기반으로 했다. 두 업체는 취약점을 구입해 사용자들에게 알리며 패치를 개발하는 과정에서 SW업체들과 공조하고 있다.

NSS의 연구 책임자이자 이 보고서의 저자인 스테판 프라이는 "사이버범죄자, 정부 기관, 기업 등이 활용할 수 있는 비밀 취약점의 실제 숫자는 훨씬 더 많다. 그들이 지불할 수 있는 돈이 많기 때문이다"라고 말했다.

사이버범죄자들은 암시장에서 소위 말하는 제로데이 취약점을 구매할 것이다. 반면 정부 기관과 기업은 브로커에게 구매해 뷔펭 시큐리티(VUPEN Security), 리불른(ReVuln), 엔드게임시스템(Endgame Systems), 엑소더스 인텔리전스(Exodus Intelligence), 넷트라가드(Netragard) 등의 정보센터를 활용하고 있다.

이 6개 업체는 공동으로 1년에 최소 100가지 악용을 제공할 수 있다고 프라이는 전했다. 2010년 2월 판매가격목록을 보면, 엔드게임은 1년에 25개의 제로데이 악용을 250만 달러에 판매한 것으로 나타났다.

7월 넷트라가드 설립자 아드리 디소텔은 뉴욕타임즈이와의 인터뷰에서 취약점은 평균 약 3만 5,000달러에서 16만 달러에 판매된다고 밝혔다.

전문가들은 취약점이 항상 존재하는 이유로 개발자 오류와 소프트웨어 업체의 문제를 꼽았다. 후자는 소프트웨어 출시 일정을 맞추는 데 급급해 보안에 추가 비용과 시간을 투자하는 것을 덜 중요하게 여긴다는 의미다.

많은 취약점이 매매되기 때문에 돈을 노리는 해커들에게 기업의 지적재산권이 주요 목표물로 부상했다고 생각하는 기업들은 자사 컴퓨터 시스템이 이미 공격받은 것으로 간주해야 한다고 프라이는 말했다.

프라이는 "100% 예방한다는 것은 불가능하다"고 전했다.

따라서 기업은 유출을 감지할 수 있는 전문인력과 적절한 보안 툴을 보유해야 한다고 프라이는 강조했다. 한번 정보 유출이 발견되면, 이를 다룰만한 적절한 계획이 수립돼야 한다.

그 계획에는 정보 유출이 어떻게 발생하는지를 결정하는 법적 증거 수집도 포함돼야 한다고 NSS랩은 강조했다. 또한, 감염된 시스템의 모든 소프트웨어를 제거하고 다시 설치해야 한다.

마지막으로 정보 유출이 발견된 다음에는 보안 패치를 최신 상태로 유지하는지 정기적으로 확인하는 것이 필요하다. ciokr@idg.co.kr

2013.12.09

"해커들, 대중적인 SW에 매일 접근해 결함 찾아낸다" NSS랩 조사

Antone Gonsalves | CSO
아직 알려지지 않은 취약점을 소프트웨어 개발자에게 판매하는 조직들이 대중적인 소프트웨어의 결함을 발견하고자 매일 접근하는 것으로 조사됐다.

테스팅 보안 제품 업체 NSS랩에 따르면, 지난 3년 동안 해커들은 2개의 주요 취약점 프로그램을 이용해 특정일에 마이크로소프트, 애플, 오라클, 어도비 등의 제품에서 최소 58개의 악용 결함에 접근한 적이 있는 것으로 나타났다.

NSS랩은 해커들이 취약점을 구매하고 나서 해당 업체가 패치를 발표하기까지 평균 151일 걸린다고 밝혔다.

NSS랩의 연구 결과는 HP가 2010년에 인수한 네트워크 보안 업체인 티핑포인트와 베리사인이 소유한 보안 인텔리전스 서비스인 아이디펜스(iDefense)의 10년치 분석 데이터를 기반으로 했다. 두 업체는 취약점을 구입해 사용자들에게 알리며 패치를 개발하는 과정에서 SW업체들과 공조하고 있다.

NSS의 연구 책임자이자 이 보고서의 저자인 스테판 프라이는 "사이버범죄자, 정부 기관, 기업 등이 활용할 수 있는 비밀 취약점의 실제 숫자는 훨씬 더 많다. 그들이 지불할 수 있는 돈이 많기 때문이다"라고 말했다.

사이버범죄자들은 암시장에서 소위 말하는 제로데이 취약점을 구매할 것이다. 반면 정부 기관과 기업은 브로커에게 구매해 뷔펭 시큐리티(VUPEN Security), 리불른(ReVuln), 엔드게임시스템(Endgame Systems), 엑소더스 인텔리전스(Exodus Intelligence), 넷트라가드(Netragard) 등의 정보센터를 활용하고 있다.

이 6개 업체는 공동으로 1년에 최소 100가지 악용을 제공할 수 있다고 프라이는 전했다. 2010년 2월 판매가격목록을 보면, 엔드게임은 1년에 25개의 제로데이 악용을 250만 달러에 판매한 것으로 나타났다.

7월 넷트라가드 설립자 아드리 디소텔은 뉴욕타임즈이와의 인터뷰에서 취약점은 평균 약 3만 5,000달러에서 16만 달러에 판매된다고 밝혔다.

전문가들은 취약점이 항상 존재하는 이유로 개발자 오류와 소프트웨어 업체의 문제를 꼽았다. 후자는 소프트웨어 출시 일정을 맞추는 데 급급해 보안에 추가 비용과 시간을 투자하는 것을 덜 중요하게 여긴다는 의미다.

많은 취약점이 매매되기 때문에 돈을 노리는 해커들에게 기업의 지적재산권이 주요 목표물로 부상했다고 생각하는 기업들은 자사 컴퓨터 시스템이 이미 공격받은 것으로 간주해야 한다고 프라이는 말했다.

프라이는 "100% 예방한다는 것은 불가능하다"고 전했다.

따라서 기업은 유출을 감지할 수 있는 전문인력과 적절한 보안 툴을 보유해야 한다고 프라이는 강조했다. 한번 정보 유출이 발견되면, 이를 다룰만한 적절한 계획이 수립돼야 한다.

그 계획에는 정보 유출이 어떻게 발생하는지를 결정하는 법적 증거 수집도 포함돼야 한다고 NSS랩은 강조했다. 또한, 감염된 시스템의 모든 소프트웨어를 제거하고 다시 설치해야 한다.

마지막으로 정보 유출이 발견된 다음에는 보안 패치를 최신 상태로 유지하는지 정기적으로 확인하는 것이 필요하다. ciokr@idg.co.kr

X