“변화한 보안 지형에 대응”··· 인터넷 보안 센터, ‘CIS 콘트롤 V8’ 발간

인터넷보안센터(Center for Internet Security, CIS)가 기업 네트워크 분야의 보편적인 공격 유형에 대응하기 위한 일련의 안전 지침을 업데이트했다. 구체적으로는 웹 애플리케이션 해킹, 내부자 및 특권 오용, 맬웨어, 랜섬웨어, 표적 침입에 대한 대응 조치를 담고 있다.

CIS는 이번 달 CIS 콘트롤스 V8(CIS Controls V8)을 발간하면서 기업이 네트워크와 데이터를 보호하기 위해 취할 수 있는 실질적이고 구체적인 조치를 제시하고자 했다. 기업 자산 인벤토리 작성에서부터 계정 관리, 감사 로그를 아우르는 조치들이다.

V7이 발표된 지 3년 만에 발표된 이 새 버전은 기업 운영 방식에 나타난 변화에 대처하기 위한 것이다. 신규 컨트롤스 문서에는 “클라우드 기반 컴퓨팅, 가상화, 모빌리티, 아웃소싱, 재택근무로의 이동, 그리고 변화 중인 공격자 전술이 모든 논의의 중심을 차지했다”라고 기술돼 있다.

CIS는 제어 형식(the format of the controls)을 약간 변경하기도 했다. 위협 및 취약점에 대처하는 데 취해야 할 조치를 언급했지만 이 작업을 누가 이행할 것인지는 밝히지 않았다. 다시 말해 작업을 집중적으로 다루지만 이를 기업 내의 특정 팀에 연계시키지 않은 것이다. 

각각의 제어 방안(controls)에서는 구현을 위한 상세한 절차를 설명하고, 연관 자료로의 링크를 제시한다. CIS가 정리한 18가지 제어 대상 및 방안을 간략히 소개한다. 

콘트롤 1. 기업 자산의 인벤토리 및 통제 
이는 인벤토리를 적극적으로 관리하고, 포터블 및 모바일 등의 각종 최종 이용자 기기, 네트워크 기기, 비-컴퓨팅/사물인터넷(IoT) 기기, 그리고 물리적으로, 가상으로, 원격으로 인프라에 연결되는 서버와 클라우드 환경 내 서버를 추적하고 교정하도록 요구한다. 인벤토리는 제거하거나 정비해야 할 기기를 식별하는 데 유용하다.

콘트롤 2. 소프트웨어 인벤토리 및 제어 
기업은 적극적으로 네트워크 상의 제반 운영체제와 애플리케이션의 인벤토리를 작성하고 이들을 추적하고 교정해야 한다. 이에 의해 승인되지 않고 관리되지 않는 소프트웨어를 파악해 차단할 수 있다. 따라서 승인된 소프트웨어만이 설치되어 실행될 수 있다. 

콘트롤 3. 데이터 보호 
데이터 프로세스와 기술적 제어수단이 배치되어 있어 데이터를 식별하고 분류하고 안전하게 취급하고 보존하고 처분할 수 있어야 한다. 

동일한 민감성 수준의 데이터를 동일한 네트워크에 배치하고 다른 민감도 수준을 가진 데이터로부터 격리하는 것이 이상적이다. 방화벽은 각 세그먼트로의 액세스를 통제할 것이고, 액세스는 업무적으로 액세스할 필요가 있는 이용자에게만 허용될 것이다. 

콘트롤 4. 자산 및 소프트웨어의 안전한 구성 설정
포터블 및 모바일 등 최종 이용자 기기, 네트워크 기기, 비-컴퓨팅/사물인터넷(IoT) 기기, 서버, 운영체제 및 애플리케이션의 안전한 구성 설정이 확립되고 저장되고 유지되어야 한다. 서버의 전방에 VPN을 설치하고 기업에 의해 제어되는 DNS 서버를 이용하도록 권장한다.

콘트롤 5. 계정 관리 
이는 기업 자산 및 소프트웨어로의 허가를 관리하는 프로세스 및 툴을 사용하도록 권고한다. 여기에는 관리자 및 서비스 계정이 포함된다. 권고안 중 하나는 관리자 권한을 관리자 전용 계정으로 제한하고, 이 권한을 네트워크 자산을 실제로 관리하는 사람에게만 허용하도록 요구한다. 또한 이들 관리자는 이메일, 웹 브라우징, 생산성 앱으로의 액세스를 위한 별개의 계정을 가져야 한다. 

콘트롤 6. 액세스-제어 관리 
기업은 기업 자산 및 소프트웨어에 대한 이용자, 관리자 및 서비스 계정을 생성하고 할당하고 관리하고 취소하는 프로세스 및 툴을 이용해야 한다. 역할 기반 액세스는 알아야 할 필요, 최소 권한, 프라이버시 요건, 업무의 분리를 바탕으로 각 계정에 부여되어야 한다.

콘트롤 7. 지속적인 취약점 관리 
기업 인프라의 취약점을 지속적으로 평가하고 추적해야 한다. 따라서 적시의 교정을 통해 공격자의 악용 기회를 최소화할 수 있다. 이를 위해 최신 위협 및 취약점 정보를 공급하는 공적 및 사적 업계 정보 소스를 이용해야 한다.

콘트롤 8. 감사 로그 관리 
감사 로그(audit logs)는 이벤트를 문서화하고 공격을 감지하고 이해하고 이로부터 회복하기 위해 수집되고 검토되고 보관되어야 한다. 로그는 공격이 언제 어떻게 발생했고, 어떤 정보로의 액세스가 이루어졌는지, 데이터가 유출되었는지 여부를 보여준다. 로그의 보존은 후속 조사, 또는 장기적으로 검출되지 않은 공격을 이해하는데 결정적이다. 

콘트롤 9. 이메일 및 웹 브라우저 보호 
이 콘트롤은 직접적인 교류를 통해 인간 행동을 조작할 수 있는 이메일 및 웹 위협의 보호와 감지를 향상시키도록 촉구한다. 이들은 악성 코드 및 소셜 엔지니어링을 위한 최고의 표적이다. 안전 장치는 DNS-필터링 서비스의 이용을 통한 노출의 감소, 그리고 네트워크 기반 URL 필터의 적용을 포함한다. 

콘트롤 10. 악성코드 방어 
기업은 기업 자산 상의 소프트웨어 설치, 유포, 실행을 방지하거나 제어해야 한다. 이는 모든 기업 자산에 대한 안티-맬웨어 소프트웨어 이용, 썸 드라이브 등 탈착형 미디어에 대한 악성코드 스캐닝, 마이크로소프트의 데이터 엑시큐션 프리벤션(Data Execution Prevention, DEP), 윈도우 디펜더 익스플로잇 가드(Windows Defender Exploit Guard, WDEG), 또는 애플의 시스템 인테그리티 프로텍션(System Integrity Protection, SIP) 및 게이트키퍼(Gatekeeper)의 활성화 등에 의해 이루어질 수 있다. 

콘트롤 11. 데이터 복구 
인-스코프(in-scope) 기업 자산을 사고 전의 신뢰 상태로 복원하기에 충분한 데이터 복구 관행이 배치되어 있어야 한다. 구성 변경은 공격자가 악용할 수 있는 취약점을 생성할 수 있다. 따라서 기업 자산과 데이터를 기지의 신뢰 상태로 복구하는 최신 백업을 보유하는 것이 중요하다.

콘트롤 12. 네트워크 인프라 관리 
기업은 네트워크 기기를 추적하고 보고하고 교정하여 공격자가 네트워크 서비스 및 액세스 포인트를 악용하는 것을 차단해야 한다. 인프라는 물리적 및 가상 게이트웨이, 방화벽, 무선 액세스 포인트, 라우터, 스위치를 포함한다. 이러한 대책은 기본 설정의 이용 시 유입될 수 있는 취약점, 변경에 대한 모니터링, 현재의 구성 환경의 재평가를 다뤄야 한다. 소프트웨어의 최신 안정 버전을 실행한다거나 현재 지원되는 네트워크 서비스(Network-as-a-Service, NaaS) 오퍼링을 이용하는 것이 좋다. 

아울러 기업은 네트워크 다이어그램 및 여타 시스템 매뉴얼을 유지하고 이를 매년 검토하고 갱신해야 한다. 관리 작업에 쓰이는 컴퓨팅 자원은 주요 기업 네트워크로부터 물리적 및 논리적으로 분리되어야 하고, 인터넷 액세스로부터 격리되어야 한다. 

콘트롤 13. 네트워크 모니터링 및 방어 
위협에 대비한 종합적인 네트워크 모니터링 및 방어가 확립되어야 한다. 이는 침입 감지, 네트워크 세그먼트 간의 트래픽 필터링, 그리고 예를 들어 802.1x 인증에 의해 지원되는 포트 수준 제어 수단의 배치를 포함한다. 

콘트롤 14. 보안 인식 및 스킬 교육 
보안 인식 프로그램이 확립되어 직원들의 보안 인식을 형성하고 사이버 보안 위험을 줄이는 스킬을 제공해야 한다. 

콘트롤 15. 서비스 제공업체 관리 
기밀 데이터를 보관하거나 결정적인 기업 IT 플랫폼 또는 프로세스를 책임지는 서비스 제공업체를 평가하는 프로세스가 확립되어 이들이 적절한 보호를 제공하고 있음을 확인해야 한다. 기업은 서비스 제공업체 요건을 설정해야 한다. 예를 들어 최소한의 보안 프로그램, 보안 사건 및 데이터 유출의 통지와 대응, 데이터 암호화 요건, 데이터 처분 서약 등이다. 기업은 매년 서비스 공급자 계약을 검토하여 이러한 요건이 포함되어 있음을 확인해야 한다. 

콘트롤 16. 애플리케이션 소프트웨어 보안 
기업은 사내에서 개발했거나 호스팅하거나, 또는 구매한 소프트웨어의 보안 수명주기를 관리함으로써 기업이 영향을 받기 전에 보안 취약점을 예방하고 감지하고 치유해야 한다. 또한 조직은 표준적이고 업계가 권장하는 구성 템플릿을 이용해 기저의 서버, 데이터베이스, 웹 서버를 강화해야 한다. 이는 클라우드 컨테이너, 서비스 플랫폼(PaaS) 컴포넌트, SaaS 컴포넌트에도 적용된다. 

콘트롤 17. 사고 대응 관리 
사고 대응을 위한 핵심 역할 및 책임이 배정되어야 한다. 예를 들어 법률, IT, 정보 보안, 설비, 홍보, 인사, 사건 대응 담당자, 애널리스트 등이다. 해마다, 또는 사고 대응에 영향을 줄 수 있는 변화가 발생할 때, 위 계획에 대한 검토가 이루어져야 한다. 

콘트롤 18. 침투 테스팅 
침투 테스팅 프로그램은 사람, 프로세스, 기술의 취약점을 식별하여 악용하는 공격자의 행위를 모방해야 한다. 이는 기업의 규모, 복잡성, 성숙도에 적합해야 한다. 취약점은 치유 범위 및 우선순위에 관한 기업 정책을 바탕으로 치유가 이뤄져야 한다.
 
ciokr@idg.co.kr