영국 국가사이버보안센터(NCSC), 우크라니아 정보국, 포레스터 리서치 등 여러 기관이 러시아가 대규모 사이버공격을 준비하고 있는 듯하다고 일제히 경고했다. 와이퍼 맬웨어, APT 등의 공격 수법으로 핵심 인프라와 민간 기업까지 위협받을 가능성이 있다는 전망이다.    린디 카메론 영국 국가사이버보안센터(NCSC) 소장이 28일(현지 시각) 채텀 하우스(영국 왕립 국제 문제연구소) 연설에서 러시아가 대규모 사이버공격을 준비하고 있다고 경고했다. 이는 여타 기관의 예측과도 일치한다.  며칠 전 우크라이나 보안국도 러시아가 우크라니아뿐만 아니라 동맹국의 핵심 인프라를 겨냥한 대규모 공격에 돌입할 조짐을 보인다고 발표했다. 이에 더해 포레스터 리서치는 러-우 사이버전쟁의 영향이 맬웨어를 통해 전쟁 지역을 넘어 유럽 전체로 퍼지고 있다고 전했다.    영국 NCSC, 올해 초부터 대응태세 강화 권고 러시아 사이버군은 전쟁 초기부터 사이버 공격에 공을 들여왔다. 우크라니아 정부가 시민과 소통하지 못하도록 방해하고, 금융 시스템을 망가뜨리고, 우크라니아 사이버군의 힘을 빼기 위해서다. 카메론 소장은 “러시아 사이버 공격의 가장 큰 특징은 와이퍼 맬웨어(wiper malware)다. 랜섬웨어처럼 침투한 장치의 데이터를 암호화하지만, 몸값을 받기 위해 암호를 풀지 않는다. 말 그대로 초기화(wipe)되는 셈이다”라고 설명했다.  올해 초부터 NCSC는 영국 기관에게 사이버 보안 태세를 단단히 갖추라고 권고해왔다. 카메론 소장은 “아직 공격을 당해보지 않았기 때문에 ‘벌써부터 호들갑을 떨 필요가 있나?’라고 마음속에 의문을 가질 수 있다. 네 대답은 ‘그렇다’이다”라고 말했다.  또한 그는 최근 러시아가 전쟁에서 수세에 몰렸다고 방심해서는 안 된다고 강조했다. 그는 “러시아는 사이버전에서 여전히 과감한 공격을 단행할 수 있다”라며 영국의 여러 기관 및 네트워크 보호 관리자들이 사이버보안의 고삐를 더 바...

1일 전

미 법무부가 미국 전역에 걸친 수많은 기관의 네트워크에 침투한 혐의로 이란계 해커 3명을 기소했다. 법무부는 기소 처분을 받기 위해 더 많은 정보가 필요하다며 제보에 천만 달러(한화 약 139억원)의 현상금을 내걸었다.   법무부에 따르면 이들은 미국뿐만 아니라 영국과 호주, 이란, 러시아 등에 있는 수백명의 피해자들을 상대로 랜섬웨어 공격을 감행했다. 이들 3명이 지난 2020년 10월부터 올해 8월까지 수많은 기관의 네트워크를 공격, 데이터를 탈취해 돌려주는 대가로 수십만 달러를 요구했다고 기소장에 기재됐다.  해커들은 보안이 취약한 기관을 무차별적으로 겨냥한 듯 추정된다고 법무부 관계자는 전했다. 피해 기관은 지방정부, 가정폭력 피해자 보호소, 어린이 병원, 회계 법인, 발전 회사 등 광범위하다.    섬뜩한 프린터 협박 방식  기소장은 이란계 해커들의 특이한 랜섬웨어 요구방식을 묘사했다. 법무부는 먼저 기술적인 과정을 설명하며 이 해커들이 실제 기관과 유사한 도메인을 꾸며 서버를 속이는 방식으로 기관의 네트워크에 침투했다고 전했다. 그다음 비트라커 애플리케이션으로 피해 대상의 데이터를 암호화한 뒤 랜섬을 요구했다. 랜섬을 요구한 방식이 섬뜩했는데, 이 네트워크에 연결된 프린터의 인쇄물에 다음과 같은 협박 메모를 같이 인쇄했다는 것을 알아냈다:   A.    이 기관의 네트워크가 침투당했기 때문에 이 메모가 같이 인쇄된 것이다.  B.    역으로 우릴 공격하기는 불가능할 것이다. 당신은 벗어날 수 없는 위험에 처해 있다.  C.    네트워크를 살리고 해독 코드를 얻고 싶다면 연락해라.  실제로 미국의 한 가정폭력 피해자 보호소가 이 메시지를 보고 랜섬을 지불한 것으로 드러났다. 해커 그룹은 보호소에 이메일로 추가 답변을 요청했음은 물론 자신이 운영하는 온라인 채팅...

2022.09.16

미국 사이버보안 회사 테너블(Tenable)의 선임 연구 엔지니어 클레어 틸스가 회사 블로그에 해킹그룹 랩서스(Lapsus$)를 추적해 조사한 결과를 발표했다. 그는 랩서스의 공격 수법에 대해 “겁 없고, 터무니없으며 단순하기 짝이 없다”라고 평가했다.   그럼에도 이들은 마이크로소프트, 삼성, 엔비디아, 보다폰(Vodaphone), 유비소프트(Ubisoft) 및 옥타(Okta) 같은 유명한 회사를 공격해 이목을 집중시켰다. 데이터를 탈취하거나 랜섬웨어로 피해 기업을 갈취하기도 했다.  랩서스가 악명을 얻기까지 다른 사이버 범죄 조직과 달리, 랩서스는 오직 자체 텔레그램 채널을 통해 운영된다. 다크 웹에서 유출 사이트를 운영하지 않는다. 이 조직은 데이터를 갈취해 공개할 회사를 골라 달라며 커뮤니티에 물어보는 식으로 지금까지 텔레그램에 공격할 기업을 언급해왔다. 랩서스는 단순한 수법으로 파격적인 공격 방식을 전개해 많은 이를 당황케 했다. 예를 들어, 올해 초에는 고객 센터 제공업체 시텔(Sitel)의 컴퓨터 시스템에 침입하는 것을 시작으로 단계적인 해킹 전략을 구사했다. 이를 통해 시텔과 협력하는 클라우드 보안 업체 옥타에서 일하는 지원 엔지니어의 노트북까지 해킹해 결국 옥타의 기업 네트워크까지 침투했다. 틸스에 따르면, 랩서스 그룹은 다음과 같이 꽤나 보편적인 수법을 사용해왔다:    외부에 공개된 로그인 정보를 이용하거나 다크웹에서 로그인 정보를 구매하여 공격할 기업의 네트워크에 초기 접근  비밀번호 도용 직원들에게 대가를 지급해 접근 정보 구매  헬프데스크의 도움을 받거나 인증요청을 대량으로 살포해 다중 인증 절차 우회  VPN, 가상 데스크톱, 마이크로소프트 쉐어포인트, 가상 데스크톱 같은 애플리케이션에 로그인해 추가 크리덴셜 및 중요 정보 탈취  지라(Jira), 깃랩(GitLab) 및 컨플루언스(Confluence) 같은 소프트웨어의 미패치 취약점을 악...

2022.08.12

VM웨어와 팔로알토의 보고서에 따르면 랜섬웨어와 기업 이메일 침해(Business Email Compromise, BEC)이 기업 보안 사고의 주요 원인인 한편, 지정학적 갈등이나 딥페이크로 인한 공격이 점점 늘어나는 것으로 조사됐다.    VM웨어는 이번주 발간한 '2022 글로벌 사고 위협 대응 보고서(2022 Global Incident Threat Response Report)'에서 랜섬웨어 공격과 BEC가 계속 증가하고 있으며, 딥페이크 및 제로데이 공격도 급부상하고 있다고 밝혔다.  팔로알토의 유닛42 위협 분석팀이 7월 발간한 ‘2022 유닛42 사이버사건 대응 보고서(2022 Unit 42 Incident Response Report)’도 VM웨어 조사 내용을 뒷받침한다. 2021년 5월부터 2022년 4월까지 12개월 동안 발생한 보안 사고의 원인 중 70%가 랜섬웨어 및 BEC 공격이라고 보고서는 기술했다.  이 밖에 125명의 사이버보안 및 사고 대응 전문가를 대상으로 실시된 VM웨어의 연례 설문조사 결과, 지정학적 갈등에 기인한 사이버 공격을 경험했다고 응답한 비율이 65%에 달한 것으로 드러났다. 러시아의 우크라이나 침공이 사이버 공격 증가세에 기여했다는 점을 알 수 있다고 보고서는 덧붙였다.  VM웨어는 "이전에는 가짜 뉴스 캠페인에 주로 사용됐던 딥페이크 기술이 사이버 범죄에 점점 더 많이 사용되고 있다"라고 설명했다. 딥페이크 공격은 주로 특정 국가의 후원을 받는 해커가 주도하고 있으며, 응답자의 66%가 최소 한 건의 딥페이크 기반 사이버 공격을 경험한 것으로 나타났다. 전년 대비 13% 더 높은 수치다.  BEC 공격의 전반적인 증가와 함께 이메일이 가장 잦은(78%) 사이버 공격 통로인 것으로 보고됐다. 2016년부터 2021년까지 BEC 침해 공격이 기업에 끼친 손실액은 433억 달러에 달한다고 보고서는 밝혔다. VM웨어는 “FBI에서도 여러 ...

2022.08.10

관리형 인프라 서비스 업체 킨드릴(Kyndryl)이 새 사이버 복구 리테이너 서비스(Recovery Retainer Service)를 지난 25일(현지 시각) 발표했다. 킨드릴은 자체 전문 인력의 사전 검토와 현장 복구 지원을 강점으로 내세웠다.    회사에 따르면 이는 기업 고객이 랜섬웨어 등 사이버 공격에 피해를 받을 경우, 자체 전문 인력을 기업 현장에 제공하는 서비스다. 또한 업체 측은 이 서비스가 피해 관리에 국한되지 않으며, 사전 예방을 지원한다고 설명했다. 킨드릴 보안 전문팀이 기업 고객의 사이버 보안 방어력을 검토하고 개선하여, 취약성을 보강하는 작업도 서비스에 포함된다.  사이버 공격이 발생할 시에는 보안 전문팀이 실시간으로 기업 고객과 연락하여 중요한 데이터를 복구하고 시스템을 원상 복구하도록 돕는다. 상황에 따라 원격 상담과 현장 파견이 모두 가능하다고 업체 측은 밝혔다.  복구 리테이너 서비스의 일환으로 제공되는 포렌식(forensics) 지원은 흔하다. 그러나 이번에 킨드릴이 발표한 것과 같은 현장 지원 서비스는 드물다.  킨드릴의 사이버 보안 및 복원력을 담당하는 글로벌 보안 수칙 리더 크리스 러브조이는 이 서비스가 기존 사이버 공격 피해 복구 서비스의 연장선이라고 설명했다. 그는 "이제 이 분야[사이버 보안]에서는, 단순한 방어를 넘어 '사이버 복원력(cyber resilience)’으로의 전환이 필요하다”라며 “이제 사이버 공격은 불가피하다. 따라서 공공과 민간 부문 모두 사이버 보안은 물론 사이버 복원력을 갖춰야 한다”라고 말했다.  IDC의 리스크, 자문, 관리 및 개인 정보 보호 담당 리서치 디렉터 필립 해리스는 새 복원 서비스가 올해 4월 출시된 킨드릴의 오케스트레이션(orchestration) 및 사이버볼팅(cybervaulting) 서비스와도 잘 호환된다고 말했다. 이러한 서비스는 머신러닝 기반 구성 검사, 재해 복구 자동화 및 에어갭 백업 시스템 등을 포함...

2022.07.26

2022년 2분기 록빗(LockBit)이 ‘뜨고’ 콘티(Conti)가 ‘지면서’ 랜섬웨어 공격 횟수가 다소 둔화됐다는 분석이 나왔다.  가드포인트 리서치(GuidePoint Research)가 지난 목요일 발표한 보고서에 따르면 2022년도 2분기 랜섬웨어 공격 횟수는 총 574건으로 집계됐다. 올 1분기 대비 34% 감소한 수치다. 기술 부문은 공공 부문과 마찬가지로 큰 표적이 됐다. 아울러 미국은 가장 많은 공격을 받은 국가로, 전 세계 랜섬웨어 피해자의 거의 4분의 1을 차지했다.    2분기 가장 활발하게 활동한 랜섬웨어 그룹은 서비스형 랜섬웨어(RaaS)를 운영하는 록빗(LockBit)으로, 이 그룹은 타깃의 시스템을 손상시키고 수익을 공유하는 협력사에게 소프트웨어를 제공한다. <CSO 온라인>은 록빗이 자체 데이터 도용 툴킷 그리고 타깃 네트워크 손상 이후 랜섬웨어를 신속하게 배포하는 기능을 포함하여 최근 몇 가지 발전된 기술을 선보였다고 밝혔다.  연구 기간 동안 록빗을 사용한 총 208건의 공격이 보고됐다. 보고서에 따르면 록빗은 버그 바운티 프로그램, 공격으로 얻은 수익의 일정 비율을 지불하는 사용료, 치명적 결과를 초래할 수 있는 주요 인프라 업체에 대한 사용 제한 등의 구조를 갖췄을 만큼 상당히 체계적이다.  2분기 블랙바스타(Blackbasta)라는 새 그룹도 등장했는데, 이 그룹은 산업 및 제조 회사를 주요 타깃으로 삼고 있다. 한편 콘티 랜섬웨어 그룹은 지난 5월 폐쇄돼 2분기 발생한 공격 횟수 감소에 기여했지만 그런데도 록빗2에 이어 2위에 올랐다.  콘티는 공격적인 접근 방식 그리고 널리 알려져 있는 랜섬웨어 그룹에선 이례적으로 몸값을 지불해도 손상된 데이터를 복구해주지 않아 악명이 높았다. 한편 콘티라는 그룹은 사실상 없어졌지만 그 배후에 있었던 사람들은 여전히 활동하고 있을 가능성이 높다.  가드포인트의 운영 책임자 드류 슈미트는 “위협 행위자...

2022.07.22

유럽연합(EU)이 암호화폐 규제에 나섰다. 그리고 이는 엔터프라이즈 IT에 상당한 영향을 미칠 수 있다.  암호화폐는 사이버 범죄자들이 선호하는 지불 수단이다. 랜섬웨어 공격을 받았다면 몸값을 지불할 생각인가? 그렇다면 암호화폐가 필요하다. 사이버 범죄자들이 암호화폐를 그토록 좋아하는 가장 큰 이유는 추적이 어렵기 때문이다.    EU에서 내놓은 이번 규제안이 중요한 이유다. EU는 모든 암호화폐를 대상으로 하는 추적 요건을 만들고 있으며, 이는 미국을 포함한 많은 국가의 규제당국에서 모방할 가능성이 높다. 만약 이 규제가 성공적으로 안착하고 EU가 변화의 결과로 큰 성과를 낸다면, 암호화폐는 사이버 범죄자들이 선호하는 결제 수단에서 빠르게 제외될 수 있다.  이것이 엔터프라이즈 IT 및 보안에 의미하는 바는 무엇일까? 바로 2023년과 2024년의 랜섬웨어 싸움에 암호화폐가 꼭 필요하지 않을 수 있다는 이야기다.  사이버 범죄자들은 비자(Visa), 전신 송금(wire tranfer), ACH 결제(ACH payment)를 더 안전하게 사용하는 방법을 고안해낼 수 있다(페이팔(PayPal) 계정을 충전하거나 젤러(Zelle) 또는 벤모(Venmo)를 사용할 수 있다면 몸값 지불이 얼마나 쉬워지는지 알고 있는가?) 몸값 지불도 끔찍하지만 더 끔찍한 문제는 많은 암호화폐를 빠르게 구하기가 어렵다는 점이다. 기업들은 암호화폐의 가치가 매우 변덕스럽기 때문에 몸값을 지불하게 될 미래를 위해 이를 마냥 보유하고 있을 수 없다. 예를 들어 500만 달러 상당의 암호화폐가 있다고 생각했지만 정작 사용하려고 보니 4만 2,000달러의 가치밖에 되지 않을 수 있다.  그렇다면 EU는 정확히 무엇을 한 것일까? 유럽연합 이사회(The Council of the European Union)는 새로운 암호화폐 규제에 ‘잠정 합의’했다고 밝혔다. 현재 합의된 법안은 최종 버전이 아니기 때문에 최종적으로 어떤 내용이 ...

2022.07.21

사이버 보안 업체 소포스(Sophos)의 아시아 태평양 지역 수석 부사장 개빈 스트러더스가 글로벌 및 아시아 태평양 지역의 랜섬웨어 트렌드와 경계 강화의 필요성을 논의했다.  사이버 위협 환경이 갈수록 나빠지고 있다. 전 세계 31개국 IT 전문가 5,600명을 대상으로 한 설문조사 결과를 담은 소포스의 ‘2022 랜섬웨어 현황(The State of Ransomware 2022)’에 따르면 전체 응답 기업의 72%가 지난해 사이버 공격의 규모, 복잡성, 영향이 증가했다고 밝혔다.    랜섬웨어만 놓고 보면 전체 응답 기업의 66%가 피해를 입었다고 말했다. 전년도 37%에서 크게 증가한 수치다. 팬데믹에 따른 디지털화와 재택근무가 그 원인으로 추정된다. 아울러 이 걱정스러운 증가세의 또 다른 원인으로는 ‘서비스형 랜섬웨어(RaaS)의 인기’가 꼽혔다. 랜섬웨어 공격을 받았다고 답한 기업의 약 3분의 2(65%)는 공격의 마지막 단계인 데이터 암호화를 당했다고 말했다.  아시아 태평양 지역에서는 기업의 72%가 랜섬웨어 공격을 받았으며, 이 공격의 72%가 데이터 암호화로 이어졌다. 10곳의 회사 중 9곳은 랜섬웨어 공격이 비즈니스 운영에 영향을 미쳤다고 말했다. 데이터를 되찾기 위해 몸값을 지불했다고 밝힌 비율은 인도(78%)에서 가장 높았으며, 전 세계에서는 기업 2곳 중 1곳 미만이 몸값을 지불한다고 밝혔다.  지역 분석 스트러더스는 인도가 몸값을 지불했다고 답한 비율이 가장 높은 이유는 데이터 백업 시스템이 제대로 갖춰져 있지 않아 취약하기 때문이라고 진단했다. 두 번째 이유는 랜섬웨어 공격이 보편화되면서 많은 기업이 강화된 방어 수단을 갖추고 몸값 지불을 중단했기 때문이라고 그는 덧붙였다. 이로 인해 범죄자들은 기업의 데이터를 다크웹에 유출하겠다고 위협하는 등의 갈취를 하고 있다. 스트러더스에 의하면 인도 기업들은 브랜드와 고객의 개인정보를 침해할 수 있다는 두려움 때문에 더 빠르게 돈을 지불하는...

2022.07.12

5년 전 NHS 등이 겪은 워너크라이 공격, 그리고 지난해 콜로니얼 파이프라인 보안 사고와 최근 엔비디아 사고까지 랜섬웨어 사건 사고 타임라인은 계속 늘어나고 있다. 사실 복잡한 사이버보안 지형에서 매일 새로운 사건이 1면을 장식하는 일은 거의 없고, 엄청난 혼란을 야기하는 문제도 많지는 않다. 그러나 2021년 IDC 연구에 따르면 전 세계 기업의 약 40%가 어떤 형태로든 랜섬웨어 피해를 경험한 적이 있다. 지난 2월 CISA 보고서는 전 세계의 중요 인프라에 대한 정교하고 영향력이 큰 랜섬웨어 사건 증가를 확인했으며, 미국 핵심 인프라 16개 중 14개가 랜섬웨어 공격의 표적이 되었다고 분석했다. 워너크라이 이후 연간 랜섬웨어 공격은 1억 8,400만 건에서 3억 건 이상으로 60% 이상 증가했다. 여러 전문가가 랜섬웨어 공격이 이제 ‘가능성’이 아니라 ‘시기’의 문제라고 진단했지만 지금은 다시 ‘얼마나 자주 공격받는가’의 문제가 된 것이다.   2017년 이후 점점 정교해지는 랜섬웨어 공격에 발맞춰 사이버보안 업계 대응책도 진화하고 있다. 항상 모든 공격을 예방할 수는 없겠지만, 이제 기업은 다운타임을 줄이고 수 일이 아닌 수 분, 수 초만에 데이터를 복구하는 정교한 대응 방법을 강구할 수 있다.   지속적 데이터 보호 CDP(Continuous Data Protection, 지속적 데이터 보호)도 그중 하나다. 기업 IT는 로컬 및 원격에서 여러 개의 복사본을 빠르게 생성해 규모에 맞게 모든 사이트와 애플리케이션을 빠르게 복구하는 ‘올웨이즈온’ 사본 및 저널링 기술을 고려할 수 있을 것이다. 시스템의 다운타임과 데이터 손실 위험이 있는 기업이라면 1일 전 백업만 보유하는 것은 매우 위험하다. 시간이 지나 데이터 손실의 위험이 커지면 복구 비용은 비약적으로 상승한다. 핵심 데이터를 보호하는 현재의 대다수 접근법은 기간별 스냅샷을 생성해 데이터를 보호하는 수십 년 전의 레거시 솔루션에 의존하는 방법이다. 그러나 항상 활성화되어...

2022.07.12

美 연방수사국(FBI), 사이버보안국(CISA), 재무부가 ‘마우이’라고 알려져 있는 랜섬웨어에 관한 사이버 보안 경고를 발령했다. 기관들은 북한의 국영 사이버 범죄자가 적어도 2021년 5월부터 이 맬웨어를 사용하여 의료 및 공중보건 부문 조직을 공격해 왔다고 밝혔다.  FBI는 해당 위협 행위자가 의료기관을 노리고 있다고 추정했다. 인간의 생명과 건강을 다루는 의료기관이 의료 서비스 중단 위험을 감수하기보다는 몸값을 지불할 가능성이 높기 때문이다. 이러한 이유로 국가에서 후원받는 행위자가 계속해서 의료기관을 표적으로 삼을 것이라고 기관 측은 말했다.    연방기관들이 주의보를 발령한 한편, 위협 사냥, 탐지, 대응 회사 스테어웰(Stairwell)은 블로그에 마우이 분석 보고서를 게시했다. 이 회사의 수석 리버스 엔지니어 사일러스 커틀러에 따르면 “마우이는 복구 지침을 제공하는 내장형 랜섬노트 또는 공격자에게 암호화 키를 전송하는 자동화된 수단 등 RaaS 업체의 도구에서 일반적으로 볼 수 있는 몇 가지 기능이 없다. 그 대신 마우이는 수동으로 작동하며, 운영자는 실행 시 암호화할 파일을 지정한 다음 결과 런타임 아티팩트를 추출하는 것으로 보고 있다.” 마우이 랜섬웨어는 최신 엔드포인트 보호를 우회할 수 있다 보안 컨설팅 회사 라레스 컨설팅(Lares Consulting)의 적대적 엔지니어링 부문 책임자 팀 맥거핀은 마우이 갱단에서 사용하는 접근법이 상당히 드문 방식이라고 언급했다. 그는 “시스템 전체에서 자동화된 랜섬웨어를 경고하고 제거하는 최신 엔드포인트 보호 및 카나리아 파일을 우회할 수 있는 방법이다”라고 말했다.  이어 “무작위로 흩뿌려 놓고 누군가 걸리길 바라는 ‘스프레이 앤 프레이(spray-and-pray)’ 방식의 랜섬웨어와 비교할 때 특정 파일을 표적으로 삼아 공격자가 훨씬 더 전술적인 방식으로 민감한 항목과 유출할 항목을 선택할 수 있다”라면서, “이는 중요한 파일만 표적으로 삼고 복구할 수 ...

2022.07.11

2010년대 중반 랜섬웨어 공격이 증가하자 마이크로소프트는 윈도우 사용자와 관리자에게 랜섬웨어 공격으로부터 PC를 보호할 툴을 제공하기 위해 고민했다. 그 결과가 2017년 10월 기능 업데이트에 추가된 '제어된 폴더 액세스(Controlled Folder Access)'라는 기능이다.  설명 문서에 따르면, 제어된 폴더 액세스는 리소스가 제한된 일반 사용자, 홈 PC 사용자, 소규모 기업을 위한 좋은 보호 툴이다. 마이크로소프트는 “제어된 폴더 액세스는 랜섬웨어와 같은 악의적인 앱과 위협으로부터 귀중한 데이터를 보호하는 데 도움이 된다. 제어된 폴더 액세스는 알려진 신뢰할 수 있는 앱 목록을 기준으로 앱을 검사해 데이터를 보호한다. 윈도우 서버 2019, 윈도우 서버 2022, 윈도우 10, 윈도우 11 클라이언트에서 지원되며 윈도우 보안 앱, 마이크로소프트 엔드포인트 구성 관리자(Endpoint Configuration Manager) 또는 인튠(Intune, 관리형 디바이스에 해당)을 사용해 활성화할 수 있다”고 설명했다.  또한 마이크로소프트에 따르면, 제어된 폴더 액세스는 신뢰할 수 있는 앱만 보호되는 폴더에 액세스하도록 허용한다. 보호된 폴더는 제어된 폴더 액세스가 구성되는 시점에 지정된다. 일반적으로 문서, 사진, 다운로드용 폴더와 같이 자주 사용되는 폴더가 제어된 폴더 목록에 포함된다. 구체적으로 보호되는 폴더는 다음과 같다.   c:\Users\<username>\Documents c:\Users\Public\Documents c:\Users\<username>\Pictures c:\Users\Public\Pictures c:\Users\Public\Videos c:\Users\<username>\Videos c:\Users\<username>\Music c:\Users\Public\Music c:\Users\<username>\Favorites  ...

2022.07.11

올해 상반기에도 랜섬웨어 피해에 관한 뉴스가 줄을 이었다. 2월 미국의 글로벌 물류업체 익스피다이터스(Expeditors)가 랜섬웨어 공격을 받아 약 3주간 서비스를 하지 못해 미화 6,000만 달러(한화 약 7,440억 원) 이상의 손실을 봤고, 3월에는 미국의 글로벌 타이어 기업 브리지스톤(Bridgestone)이 러시아 랜섬웨어 갱단 록빗(Lockbit) 2.0의 공격으로 10일 동안 생산이 중단됐다. 4월에는 러시아 랜섬웨어 갱단 콘티(Conti)가 코스타리카 재무부를 공격하여 정부가 국가 비상사태를 선포했고, 5월에는 페루 정보기관을 해킹하기도 하였다.  블록체인 데이터 분석 기업 체이널리시스(Chainalysis)는 2021년에 몸값으로 지급된 가상자산만 6억 200만 달러(약 7,250억 원)로 파악됐다고 밝혔고, 사이버 경제 분석 기업 사이버시큐리티 벤처스(Cybersecurity Ventures)는 「2019 Official Annual Cybercrime Report」에서 2021년 랜섬웨어 피해를 20억 달러(약 2조 4,000억 원)로 추정하였다. 엄청난 규모다.   국내 피해도 증가하는 추세다. 올해 2월 과학기술정보통신부에 따르면, 2021년 랜섬웨어 피해 신고 건수는 223건으로 2020년 대비 76%로 급증했고, 1월 신고 건수 역시 19건으로 2020년 11건에서 많이 증가했다. 랜섬웨어용 보안솔루션은 아직 시장에 나와 있지 않다. 지난 5월 한국침해사고대응팀협의회가 주최한 ‘랜섬웨어 대응 콘테스트’에 나온 보안기업들도 주로 기존 보안솔루션의 기능을 활용하여 랜섬웨어에 대응하는 방법을 소개하였다. 결국 각 기업이 사업과 업무, IT 인프라와 보안솔루션을 고려하여 랜섬웨어 대응 전략을 짜고 구현해야 하는 상황이다. 랜섬웨어는 악성코드의 일종이고, 지능형 표적(APT) 공격 방식으로 많이 배포되므로, 이를 예방하기 위한 방법은 악성코드 및 APT 공격에 대한 대책과 그리 다르지 않다(“APT 공격, 어떻게 ...

2022.07.11

마이크로소프트(Microsoft)와 마시(Marsh)의 최신 보고서에 따르면 아시아 기업의 12%만이 사이버 위협의 재정적 영향을 정량화했으며, 이는 전 세계 평균(26%)의 절반에도 못 미치는 수치다.   마이크로소프트 그리고 위험 자문 회사 마시가 공동으로 실시한 설문조사 결과에 의하면 아시아 보안 리더의 3분의 2 이상(69%)이 소속 기업의 사이버 보안 복원력을 확신하고 있으며, 48%는 이를 개선해야 한다고 답했다.    이어 사이버 복원력 현황 보고서(The State of Cyber Resilience)의 아시아판은 아시아 기업이 훨씬 더 많은 수의 개인정보 침해(28%)와 서비스 거부 공격(21%)을 경험했다고 밝혔다. 글로벌 기업은 각각 18%와 14%였다.  아시아 기업은 ‘개인정보 침해 또는 데이터 손실(68%)’을 가장 큰 보안 문제로 봤고, 전 세계적으로는 ‘랜섬웨어(79%)’가 꼽혔다. 따라서 데이터 손실은 사이버 위험 관리 전략에 반영 및 해결돼야 하는 중요한 문제라고 보고서는 말했다. 글로벌과 달리 아시아에서는 58%만이 랜섬웨어를 가장 큰 사이버 보안 문제라고 지목했다.  올해 초 IBM 시큐리티(IBM Security)의 보고서에 의하면 랜섬웨어는 전체 사이버 공격의 20%를 차지하는 글로벌 공격 유형 1위로 조사됐다. 랜섬웨어의 주요 감염 경로는 피싱 및 취약점 익스플로잇이었다.  아시아 기업은 보안에 수동적인 접근 방식을 취하고 있다 보고서는 아시아 기업이 사이버 보안 사고 대응과 관련해 주로 ‘사후 평가’에 초점을 맞춘 수동적인 접근 방식을 취하고 있다고 밝혔다. 아시아 기업 3곳 중 1곳(34%)은 핵심 보험 요건인 ‘엔드포인트 탐지 및 대응’이 없다고 답했다. 또 26%는 지난 12개월 동안 기기를 개선하지 않았다고 말했다. 이렇게 답한 비율이 글로벌에서는 9%에 불과했다.  아울러 아시아 기업의 3분의 1 이상(35%)은 사이버 공격이나 사고가...

2022.07.06

많은 보안 전문가 사이에는 자신이 소속 기업의 ‘수호자’라는 점에서 특별하다는 믿음이 있다. 만약 그렇지 않다면 회사는 끔찍한 방식으로 붕괴되고 불타버릴 것이라고 생각한다. 또 침해가 만연하고 데이터가 곳곳에서 도난당할 것이라고 생각한다. 클라우드 환경은 적으로 가득 차 있다. 엔터프라이즈 시스템은 랜섬웨어에 잠식될 수 있다. 보안 전문가의 영웅적인 노력이 없다면 이런 일은 항상 일어날 것이다!    보안 전문가가 수호자일 수 있지만 보안 전문가만 그런 건 아니다. 데브옵스 팀도 항상 안정성을 방어한다. 변호사도 법적 책임에서 (회사를) 보호한다. 제품 관리팀과 영업팀도 급여를 보호한다(오히려 진정한 영웅이 아닐까?). 영웅 역할이 되려면 다른 역할도 있어야 한다. 이를테면 어떤 사람은 ‘악역’이 돼야 하고(예: 완벽하지 않은 제품을 감히 출시하는 악덕 제품 관리자 또는 모든 구성요소를 패치하면서 기능 파이프라인을 중단하지 않는 부주의한 엔지니어링 관리자 등), 다른 사람은 선택의 여지없이 ‘희생자’가 돼야 한다(예: 링크를 클릭하는 불행한 사용자 또는 리스크 관련 의사결정을 제대로 내리지 못하는 경영진 등).  그리곤 자신이 악역 또는 희생자보다 훨씬 더 많이 알고 있다고 생각하기 때문에 모두를 무시하기 시작한다. 전혀 사실이 아니다. 정보보안 전문가는 고도로 전문화된 지식을 가지고 있긴 하지만 대부분은 여전히 회사가 어떻게 돈을 버는지는 이해하지 못한다. 마지막으로 담당했던 프로젝트를 떠올려보자. 갑자기 기득권도 없고, 이해관계도 없는 누군가가 이상한 조언을 했다고 해보자. 이론적으로 또는 적어도 다른 상황에서는 해당 조언이 효과적일지 몰라도 현 프로젝트에서는 아니었다. 이것이 바로 비즈니스 파트너가 종종 정보보안 전문가를 바라보는 관점이다. 즉, 자신의 조언이 얼마나 유용하지 않은지 판단할 실질적인 경험이 없는 오만한 전문가다.  조력자가 돼라  자신을 영웅으로 생각하는 대신 조력자로 생각할 때다(원...

2022.07.05

사이버 범죄자를 비롯해 정부의 지원을 받는 해커 조직을 수사하는 일은 많은 위험을 감수해야 하는 직무다. 일부 보안 연구자들은 신변을 보호하려 거주지의 보안까지 신경 쓸 만큼 일상에서도 위협에 시달린다.    사이버 공격이 점점 더 교묘해지고 다양해지는 추세다. 이처럼 위험한 디지털 세상을 안전하게 지키고자 매일 악전고투하고 있는 집단이 있다. 바로 사이버 보안 연구원들이다.  이들은 때때로 신변의 위협을 받는다. 이 분야에 오래 종사한 사람이라면 누구나 어떤 정보 보안 전문가가 협박받았다는 이야기를 우연히 접했거나 직접 경험한 적이 있을 것이다. 가족을 이유로 익명을 요구한 한 보안 전문가는 "몇몇 사이버 범죄 수사자는 지난 몇 년 동안 살해 협박을 받았다"라고 밝혔다. (연결어) 일부는 잠적했거나 다른 직업으로 전향했다. 이들은 자식이 "부모님이 보안 연구원이라서 항상 조심하면서 살아야 해"라고 말하는 것을 들으면서까지 이 일을 하고 싶지 않다며 심정을 털어놓았다고 그는 전했다.    정보 보안 트위터와 컨퍼런스에서 연구원들은 이런 사건을 공유하고, 스스로를 보호하는 방법에 대해 이야기하곤 한다. 그들은 경찰이나 FBI에 연락하는 것은 거의 도움이 되지 않는다고 말했다. 시타델 잠금 툴스(Citadel Lock Tools)의 보안 전문가 매트 스미스는 "연방 사법기관이 도움을 줄 수 있다고, 현지 경찰서에 연락하라고 말하고 싶지만 내가 경험한 바로는 아무런 효과가 없다"라고 말했다. 그는 "한 사건의 용의자를 체포하는 것만 해도 수개월이 걸린다. 사실상 아예 잡히지 않는 경우가 수두룩하다"라고 하소연했다.  몇몇 연구원은 이러한 위협을 명예의 표시로 삼는다. 또한 자신의 신변을 보호하기 위해 온갖 방법을 동원한다. 디지털 발자국을 최소화하고, 소셜 미디어를 통해 접근하는 사람의 배경 조사를 실시한다. 또한 이메일 대신 편지를 사용하며, 온라인에서 가족과 연관될 수 있는 어떤 것도 게시하지 않는...

2022.06.24

개념증명(PoC) 익스플로잇이 발생하면 원드라이드 또는 셰어포인트에 저장된 오피스 365 또는 마이크로소프트 365 문서에 액세스하지 못하게 될 수 있다.  프루프포인트(Proofpoint) 연구진에 따르면 클라우드에 호스팅되는 문서가 랜섬웨어 공격자의 손이 닿지 않는 곳에 있고(랜섬웨어 공격은 전통적으로 엔드포인트 또는 네트워크 드라이브의 데이터를 타깃으로 삼았다), 아울러 클라우드 서비스의 자동 백업 기능으로 (랜섬웨어 공격자의) 암호화가 통하지 않을 수 있지만 그렇다 하더라도 기업들을 난관에 봉착하게 만드는 방법은 여전히 존재한다.  연구진은 오피스 365와 마이크로소프트 365 클라우드에서 마이크로소프트 원드라이브 및 셰어포인트 온라인 서비스의 문서 버전 설정을 악용하는 개념증명 공격 시나리오를 발견했다고 밝혔다. 이러한 서비스는 API를 통해 대부분의 기능에 액세스할 수 있기 때문에 명령줄 인터페이스와 파워셸 스크립트를 사용하여 이 잠재적인 공격을 자동화할 수도 있다고 회사 측은 덧붙였다.  문서 버전 수 줄이기 프루프포인트에 의하면 공격 체인은 해커가 1개 이상의 셰어포인트 온라인 또는 원드라이브 계정을 손상시키는 것으로 시작된다. 이는 피싱이나, 사용자 컴퓨터에 맬웨어를 감염시킨 다음 인증된 세션을 하이재킹하거나, 오쓰(OAuth)를 통해 서드파티 애플리케이션에 계정 액세스 권한을 부여하도록 사용자를 속이는 등 다양한 방법으로 이뤄질 수 있다.    이를 통해 공격자는 계정이 손상된 사용자의 모든 문서에 액세스할 수 있게 된다. 셰어포인트에서 이를 문서 라이브러리라고 하며, 기본적으로 여러 문서와 해당되는 메타데이터를 저장할 수 있는 목록이다. 원드라이브와 셰어포인트의 한 가지 문서 기능은 편집할 때마다 자동 저장 기능에서 사용되는 파일 버전 관리다. 기본적으로 문서에는 최대 500개의 버전이 있을 수 있지만 이 설정은 하나의 버전으로만 구성할 수 있다.  연구진은 “셰어포인트 온라인...

2022.06.17

위협 지형을 평가하고 대책을 마련하면 지정학적 사건 또는 여타 운영 중단을 초래할 수 있는 사건에 대비하여 운영 탄력성을 구축할 수 있다.  연일 보도되는 우크라이나 사태로 인해 그곳에 거주하는 직원들의 안전을 우려하는 기업들이 많다. 그리고 더 나아가 이는 비즈니스에 영향을 미칠 수 있는 전 지구적 사건에 대비한 계획 수립의 중요성을 강조한다.  ‘비즈니스 연속성(Business Continuity)’은 CIO 및 CTO의 계획에 필수적인 부분이다. 아무도 예측하지 못한 이례적인 사건을 일컫는 ‘블랙스완(Black Swan)’은 비즈니스에 상당한 영향을 미칠 수 있다. 허나 앞서 말한 것처럼 예측할 수 없는 사건이 있지만 사전에 대비하거나 심지어 예상할 수 있는 것도 있다. 비즈니스 연속성은 위협 지형을 평가하고 계획을 수립하는 것이다. 이를 통해 예측 가능한 위협에 대처하고, 위협에 맞서 운영 탄력성을 구축할 수 있다.    위협 지형 리더십 팀의 베스트 프랙티스는 지속적으로 위협 지형을 고려하고, 잠재적인 문제를 파악하여 대비하는 것이다. 그렇게 하지 않으면 기업에 상당한 재정적 영향을 초래할 수 있다. 대비가 필요한 사건은 다음과 같다. • 지정학적 위협(예: 러시아의 우크라이나 침공) • 자연재해(예: 지진) • 직접적인 위협(예: 랜섬웨어) • 규제 변화 이런 위협에는 사전에 구축하고 실행해야 하는 경우가 있고 아니면 핵심 목표가 무엇인지, 위협에 직면했을 때 취해야 할 조치는 무엇인지 확실히 알 수 있도록 계획을 수립해야 하는 경우도 있다. CIO와 CTO는 위협 지형을 모니터링하고, 필요에 따라 업데이트해야 한다. SOC-2 인증(개인정보보호 관련 국제 인증)은 위협 표면을 점검할 수 있는 좋은 기능이다. 지정학적 위협 대비 개인적인 사례를 바탕으로 이야기하자면 소속 기업인 美 빅 데이터 회사 인플렉션(Inflection)에서는 (실제 사건 발생보다 1년 반 앞서) 우크라이나와 관련된 비즈니스 중단...

2022.05.17