트렐릭스 기고 | 랜섬웨어 탐지 및 대응을 위한 5가지 팁

랜섬웨어는 새로운 공격이 아니지만, 끊임없이 진화하고 있다. 오랫동안 사이버보안 분야에 종사했더라도 위협에 대한 최신 트렌드, 과제, 탐지, 조사, 그리고 대응에 대한 최근 정황을 파악하고 있어야 한다. 랜섬웨어로부터 조직을 보호하기 위해 조직 구성원 모두가 명심해야 할 5가지 핵심 사항은 다음과 같다.

1. 계층화된 가시성 및 통제권을 확보하라
그 어떤 제어포인트도 독단적으로 랜섬웨어를 방어할 수 없다. 이메일이 흔히 악용되는 기본적인 위협 벡터이지만 오늘날의 랜섬웨어 환경에서는 강력한 엔드포인트, 네트워크, 그리고 특히 데이터 보호에 대한 제어가 모두 확보돼야 한다.

제어의 계층화가 첫 단계라면, 그 이후 각 제어를 서로 연결할 수 있는 통합적인 제어 시스템이 구축돼야 한다. 보안 사일로는 단독으로는 충분히 효과적이지 않다. 사일로 간에 데이터, 정보 및 분석을 공유했을 때 그 효력이 발휘된다. 통합 시스템을 통해 위협을 보다 효과적으로 분석 가능할 뿐만 아니라 특정 랜섬웨어 변종이 감지된 경우 체계적으로 대처할 수 있다.

XDR (확장 탐지 및 대응)이 랜섬웨어와의 전쟁에서 그 진가를 발휘하는 이유도 여기에 있다. XDR은 여러 툴에서 수집된 데이터를 통합해 환경 전반에 대한 가시성을 제공하고 분석을 간소화한다. 또한, 다중 벡터 탐지를 생성하고 보안 운영 센터(SOC)를 위한 알림 우선순위를 지정한다.

2. 공격자를 파악해 진화하는 수법에 맞설 진보된 대응책을 마련해라 
위협 행위자의 수법이 정교해졌다는 것은 안전지대가 사라졌다는 것을 의미한다. 위협 활동을 마이터 어택(MITRE ATT&CK) 매트릭스에 매핑하는 것은 무척 중요한 작업이며, 마이터 어택을 시각화하는 기술을 사용해 보안 아키텍처에서 보완 및 강화가 필요한 부분을 쉽게 파악할 수 있다.

공격자들이 사용하는 툴을 이해하는 것이 특히 중요하다. 랜섬웨어 캠페인에는 자급자족형 바이너리(LoLBin) 기법이 자주 활용됙에, 위협 공격자가 악용할 가능성이 있는 도구의 단면을 매핑 및 평가하는 작업이 매우 필수적이다. 사용된 툴 및 예상되는 사용법을 위협 행위자의 활동과 상호 참조해 비정상적이거나 악의적인 동향을 탐지하기 위한 기준선을 만들 수 있다.

3. 우수한 위협 인텔리전스를 확보해 조기에 탐지하라
위협 인텔리전스 활용 시 위협 행위자의 동향을 이해하는 고난이도 작업을 보다 수월하게 진행할 수 있다. 지역적, 업종별, 나아가 특정 조직을 겨냥한 보편적인 캠페인에 대한 파악은 적절한 조치 및 대응 방안을 고려하하기 위해 최우선으로 할 작업이다.

위협 인텔리전스 운영은 단순한 정보 수집 차원을 넘어선다. 이를 통해 랜섬웨어를 차단한다는 것은 IT자산 전반에 대한 가시성을 확보하고 다양한 원격 분석 소스 지표를 상호 연결 짓는 것을 의미한다. 위협 인텔리전스는 탐지된 이벤트의 신뢰도 및 맥락 파악에 큰 역할을 한다. 또한 XDR 같은 분석 계층으로 겉보기에 상이한 이벤트를 연결하고 내러티브를 구성하는 능력을 갖추면 위협 인텔리전스의 가치가 더욱 제고된다. 

4. 랜섬웨어는 규모 및 업종과 관계없이 공격한다 
랜섬웨어는 차별없이 찾아간다. 트렐릭스의 조사 결과에 따르면, 늘 대기업만 노리지 않는다. 소규모 보안 팀에 의존하고 있을 가능성이 높은 매출 1,000만–2억 5,000만 달러(한화 약 132억–3274억 원) 정도의 중소기업이 주된 피해자였다. 소규모 조직은 랜섬웨어 및 기타 위협에 대응할 수 있는 인력, 예산, 보안 아키텍처가 부족한 경우가 많다. 따라서 위협 행위자의 성공률을 낮추기 위한 효과적인 사례를 학습하는 것이 중요하다. 검증된 기술, 프로세스, 그리고 아키텍처에 대한 정보를 수집하면 보다 쉽게 선택 및 집중을 할 수 있다. 예를 들어 모범 사례, 레퍼런스 아키텍처, 로드맵 등은 방어계획 구축에 유용한 자산이 될 수 있다.

5. 랜섬웨어는 순환한다
위협 행위자는 특정 랜섬웨어 계열의 새로운 변종을 도입하거나 비즈니스 모델 변경, 서비스형 랜섬웨어(RaaS)로의 전환을 통해 공격 수법을 확장한다. 특정 캠페인에 대한 탐지가 줄었다고 해서 재등장하지 않으리라는 보장은 없다. 이모텟(Emotet)과 류크(Ryuk)등의 위협이 사라졌다가도 수시로 재등장한 경우가 있기 때문에, 광범위한 랜섬웨어 공격에 대한 가시성 및 예방조치를 제공하는 방어체계의 구축은 필수적이다.

이와 같은 랜섬웨어의 순환성으로 인해 피드백 루프와 제어기능에 대한 정기적인 점검은 반드시 보안 계획에 포함돼야 한다. 치명적인 랜섬웨어의 피해는 오늘날 사이버환경의 다른 어떤 용례보다도 지속적인 개선 프로세스의 필요성을 극명히 보여준다. 

* 브라이언 브라운은 트렐릭스에서 테크니컬 마케팅 및 지원 부문 이사로 포트폴리오 마케팅 팀에서 중책을 맡고 있다. 브라이언 이사는 고객사를 위한 크로스 플랫폼 커뮤니케이션 전략 개발에 주력하는 한편, 조직 내 다양한 이해관계자들과 협력하며 테크니컬 지원 기반을 구축하는데 중추적인 역할을 수행한다. ciokr@idg.co.kr