Offcanvas

������������

기고ㅣ급증하는 데이터 침해, ‘비밀번호’라는 기본에 충실할 때

IT 및 보안 팀은 속속 변화하고 있는 보안 위험에 대비하여 가장 기본적인 접근 권한인 비밀번호의 보안을 보강해야 한다.    최근 몇 달 동안 일반 사용자와 기업 계정으로 로그인할 때 2단계 혹은 다중 인증이 증가했음을 느꼈을 것이다. 이러한 인증수단이 이렇게 널리 쓰이기 시작한 이유는 소비자와 기업을 신분 위조, 데이터 침해, 비밀번호 스키밍 및 피싱/랜섬웨어 공격에서 보호하기 위함이다.    미국의 비영리기관인 신원절도자원센터(ITRC, Identity Theft Resource Center)의 통계에 따르면 데이터 침해 사건의 약 92%가 사이버 공격과 관련 있으며, 2022년 1분기에 일어난 데이터 침해 사건은 지난해 같은 기간보다 14% 더 많은 것으로 나타났다.  또한 2022년 1분기 데이터 침해 통지의 절반가량(367건 중 154건)이 유출 원인을 기재하지 않아 가장 큰 공격 벡터는 '알 수 없음(Unknown)'인 것으로 조사됐다. 2021년보다 40% 더 많은 수치다.  그렇다면 CISO는 어떻게 이러한 사이버 보안 공격에 대비할 수 있을까? CISO는 계속 진화하는 위협, 시스템 취약성 및 해커들을 막기 위해 끊임없이 변화하는 환경에 적응하면서 최신 보안 기술을 꿰고 있어야 한다.  2022년의 사이버 공격  2022년은 이미 ‘기업 보안 공격의 해’라고 해도 과언이 아닐 만큼 보안 사건투성이였다. 남미에서 활동하는 랩서스(Lapsus$)라는 유명한 해커 그룹은 여러 사이버 공격을 저질렀으며, 엔디비아, 삼성, T-모바일, 보다폰 등을 상대로 한 공격의 주범으로 확인됐다.  T-모바일 해킹은 2022년 3월 랩서스 그룹의 일원이 피싱이나 다른 형태의 소셜 엔지니어링 기법으로 직원 계정을 침해하여 T-모바일의 네트워크를 해킹한 사건이었다. 일단 T-모바일의 고객 계정 데이터베이스에 접근하자마자 해커들은 미국 국방부 및 FBI와 연결된 T-모바일 계정...

비밀번호 2FA 이중인증 다중인증 데이터침해

2022.06.13

IT 및 보안 팀은 속속 변화하고 있는 보안 위험에 대비하여 가장 기본적인 접근 권한인 비밀번호의 보안을 보강해야 한다.    최근 몇 달 동안 일반 사용자와 기업 계정으로 로그인할 때 2단계 혹은 다중 인증이 증가했음을 느꼈을 것이다. 이러한 인증수단이 이렇게 널리 쓰이기 시작한 이유는 소비자와 기업을 신분 위조, 데이터 침해, 비밀번호 스키밍 및 피싱/랜섬웨어 공격에서 보호하기 위함이다.    미국의 비영리기관인 신원절도자원센터(ITRC, Identity Theft Resource Center)의 통계에 따르면 데이터 침해 사건의 약 92%가 사이버 공격과 관련 있으며, 2022년 1분기에 일어난 데이터 침해 사건은 지난해 같은 기간보다 14% 더 많은 것으로 나타났다.  또한 2022년 1분기 데이터 침해 통지의 절반가량(367건 중 154건)이 유출 원인을 기재하지 않아 가장 큰 공격 벡터는 '알 수 없음(Unknown)'인 것으로 조사됐다. 2021년보다 40% 더 많은 수치다.  그렇다면 CISO는 어떻게 이러한 사이버 보안 공격에 대비할 수 있을까? CISO는 계속 진화하는 위협, 시스템 취약성 및 해커들을 막기 위해 끊임없이 변화하는 환경에 적응하면서 최신 보안 기술을 꿰고 있어야 한다.  2022년의 사이버 공격  2022년은 이미 ‘기업 보안 공격의 해’라고 해도 과언이 아닐 만큼 보안 사건투성이였다. 남미에서 활동하는 랩서스(Lapsus$)라는 유명한 해커 그룹은 여러 사이버 공격을 저질렀으며, 엔디비아, 삼성, T-모바일, 보다폰 등을 상대로 한 공격의 주범으로 확인됐다.  T-모바일 해킹은 2022년 3월 랩서스 그룹의 일원이 피싱이나 다른 형태의 소셜 엔지니어링 기법으로 직원 계정을 침해하여 T-모바일의 네트워크를 해킹한 사건이었다. 일단 T-모바일의 고객 계정 데이터베이스에 접근하자마자 해커들은 미국 국방부 및 FBI와 연결된 T-모바일 계정...

2022.06.13

깃허브, 2023년 말까지 모든 사용자 대상으로 ‘2FA’ 의무화한다

깃허브가 ‘2단계 인증(2FA)’ 도입을 대대적으로 추진하고 있다. (이에 따라) 깃허브 호스팅 저장소에 코드를 업로드하는 모든 사용자는 2023년 말까지 1개 이상의 2FA 형식을 활성화해야 한다. 이는 가장 최근 집계로 약 8,300만 명의 개발자에게 영향을 미칠 것으로 보인다.    회사에 따르면 대부분의 보안 침해는 특이한 제로데이 공격의 산물이 아니라 소셜 엔지니어링, 자격증명 도난 또는 유출 등과 관련돼 있다. “손상된 계정은 개인 코드를 훔치거나 악의적인 코드 변경 사항을 푸시하는 데 악용돼 애플리케이션 사용자에게 영향을 미칠 수 있다. 즉, 광범위한 소프트웨어 생태계 및 공급망에 미치는 영향이 상당하다. 최선의 방어는 암호 기반 인증을 넘어서는 것이다”라고 깃허브는 말했다.  깃허브는 이미 깃 오퍼레이션과 깃허브 REST API의 기본 인증을 중단하고, (사용자 이름과 암호 외에) 이메일 기반 기기 확인을 통해 이러한 방향으로 나아가고 있다고 밝혔다. “2FA는 강력한 다음 방어선이다. 하지만 소프트웨어 생태계 전반에서 2FA 채택 현황은 낮은 수준이다. 현재 현재 깃허브 활성 사용자의 약 16.5%, NPM 사용자의 약 6.44%만이 1개 이상의 2FA 형식을 쓰고 있다”라고 지적했다.   한편 이 회사는 최근 iOS와 안드로이드에서 깃허브 모바일용 2FA를 출시했다. 깃허브 모바일 2FA를 구성하는 방법은 2022년 1월 업로드된 깃허브 블로그 게시물을 통해 확인할 수 있다.  아울러 깃허브는 지난 2월 NPM 레지스트리 상위 100개 패키지의 모든 유지관리자를 대상으로 2FA를 의무화했으며, 이어 3월에는 모든 NPM 계정을 강화된 로그인 인증에 등록했다. 5월 31일까지는 상위 500개 패키지의 모든 유지관리자까지 2FA 의무화를 확대할 계획이라고 덧붙였다. ciokr@idg.co.kr  

깃허브 개발자 이중인증 2단계 인증 다중인증 보안 소셜 엔지니어링 자격증명 도난 보안 침해

2022.05.06

깃허브가 ‘2단계 인증(2FA)’ 도입을 대대적으로 추진하고 있다. (이에 따라) 깃허브 호스팅 저장소에 코드를 업로드하는 모든 사용자는 2023년 말까지 1개 이상의 2FA 형식을 활성화해야 한다. 이는 가장 최근 집계로 약 8,300만 명의 개발자에게 영향을 미칠 것으로 보인다.    회사에 따르면 대부분의 보안 침해는 특이한 제로데이 공격의 산물이 아니라 소셜 엔지니어링, 자격증명 도난 또는 유출 등과 관련돼 있다. “손상된 계정은 개인 코드를 훔치거나 악의적인 코드 변경 사항을 푸시하는 데 악용돼 애플리케이션 사용자에게 영향을 미칠 수 있다. 즉, 광범위한 소프트웨어 생태계 및 공급망에 미치는 영향이 상당하다. 최선의 방어는 암호 기반 인증을 넘어서는 것이다”라고 깃허브는 말했다.  깃허브는 이미 깃 오퍼레이션과 깃허브 REST API의 기본 인증을 중단하고, (사용자 이름과 암호 외에) 이메일 기반 기기 확인을 통해 이러한 방향으로 나아가고 있다고 밝혔다. “2FA는 강력한 다음 방어선이다. 하지만 소프트웨어 생태계 전반에서 2FA 채택 현황은 낮은 수준이다. 현재 현재 깃허브 활성 사용자의 약 16.5%, NPM 사용자의 약 6.44%만이 1개 이상의 2FA 형식을 쓰고 있다”라고 지적했다.   한편 이 회사는 최근 iOS와 안드로이드에서 깃허브 모바일용 2FA를 출시했다. 깃허브 모바일 2FA를 구성하는 방법은 2022년 1월 업로드된 깃허브 블로그 게시물을 통해 확인할 수 있다.  아울러 깃허브는 지난 2월 NPM 레지스트리 상위 100개 패키지의 모든 유지관리자를 대상으로 2FA를 의무화했으며, 이어 3월에는 모든 NPM 계정을 강화된 로그인 인증에 등록했다. 5월 31일까지는 상위 500개 패키지의 모든 유지관리자까지 2FA 의무화를 확대할 계획이라고 덧붙였다. ciokr@idg.co.kr  

2022.05.06

"훔칠 게 없어 괜찮다"··· 'MFA' 안 쓰는 핑계도 가지가지, 대응책은?

CISO는 사용자와 경영진은 물론 심지어는 IT 부서까지 ‘다중인증(MFA)’에 저항하는 문제에 직면할 수 있다. 여기서는 사용자의 불평불만에 대처하는 방법을 살펴본다.  IT가 ‘다중인증(MFA)’ 또는 ‘이중인증(2FA)’ 도입에 박차를 가하고 있다. 보안을 강화하는 것으로 입증됐기 때문이다. 하지만 MFA 로그인에 따르는 추가적인 단계를 번거로워하는 관리자와 직원 등이 이를 쓰지 않기 위해 가지각색의 이유로 핑계를 대는 일이 허다하다. MFA를 사용하지 않으려는 흔한 핑계와 이에 효과적인 대응법을 소개한다.    1. “내 비밀번호는 충분히 강력하다” 강력한 비밀번호는 매우 중요하다. 보안을 위한 첫 관문을 지켰다는 점에서도 칭찬할 만하다. 하지만 이것만으론 부족하다. 사이버 공격이 정교해지고 있기 때문이다. CISO는 이러한 사실을 사용자와 관리자에게 강조해야 한다. 예를 들면 강력한 비밀번호만으론 충분하지 않았던 보안 침해 사례를 소개해야 한다. 트윌리오(Twilio)의 부사장 겸 계정 보안 부문 책임자 애런 골드스미드는 “2FA/MFA의 장점은 무차별 대입 공격, 그럴듯한 피싱 사기, 계정 탈취 공격 등을 통한 데이터 도난 우려를 덜 수 있다는 것이다. 설령 비밀번호가 유출되더라도 2FA/MFA를 사용하고 있다면 도난당한 비밀번호와 관련된 흔한 수법(예: 크리덴셜 스터핑 등)으로 개인 계정이 털리는 일은 없으리라 안심할 수 있다”라고 말했다. 2. “MFA 로그인을 위해 개인 스마트폰 번호를 제공하고 싶지 않다” MFA 로그인을 위해 전화번호는 물론 이메일 주소도 제공할 필요가 없다. 이러한 정보 없이 MFA 로그인을 할 수 있는 방법은 많다. 이를테면 인증 앱은 기존의 SMS 또는 이메일 방식보다 편리하다. 처음 설정 시 QR코드를 스캔하거나 코드를 직접 입력해야 하긴 하지만 이후 로그인은 푸시 알림(사용자의 로그인 시도를 확인하는 버튼을 클릭하라는 메시지가 나타난다)만으로 가능하도록 구성할 수 있다. ...

다중인증 이중인증 MFA 2FA 소셜 엔지니어링 비밀번호 무차별 대입 공격 피싱 크리덴셜 스터핑 개인정보 프라이버시 랜섬웨어

2022.05.04

CISO는 사용자와 경영진은 물론 심지어는 IT 부서까지 ‘다중인증(MFA)’에 저항하는 문제에 직면할 수 있다. 여기서는 사용자의 불평불만에 대처하는 방법을 살펴본다.  IT가 ‘다중인증(MFA)’ 또는 ‘이중인증(2FA)’ 도입에 박차를 가하고 있다. 보안을 강화하는 것으로 입증됐기 때문이다. 하지만 MFA 로그인에 따르는 추가적인 단계를 번거로워하는 관리자와 직원 등이 이를 쓰지 않기 위해 가지각색의 이유로 핑계를 대는 일이 허다하다. MFA를 사용하지 않으려는 흔한 핑계와 이에 효과적인 대응법을 소개한다.    1. “내 비밀번호는 충분히 강력하다” 강력한 비밀번호는 매우 중요하다. 보안을 위한 첫 관문을 지켰다는 점에서도 칭찬할 만하다. 하지만 이것만으론 부족하다. 사이버 공격이 정교해지고 있기 때문이다. CISO는 이러한 사실을 사용자와 관리자에게 강조해야 한다. 예를 들면 강력한 비밀번호만으론 충분하지 않았던 보안 침해 사례를 소개해야 한다. 트윌리오(Twilio)의 부사장 겸 계정 보안 부문 책임자 애런 골드스미드는 “2FA/MFA의 장점은 무차별 대입 공격, 그럴듯한 피싱 사기, 계정 탈취 공격 등을 통한 데이터 도난 우려를 덜 수 있다는 것이다. 설령 비밀번호가 유출되더라도 2FA/MFA를 사용하고 있다면 도난당한 비밀번호와 관련된 흔한 수법(예: 크리덴셜 스터핑 등)으로 개인 계정이 털리는 일은 없으리라 안심할 수 있다”라고 말했다. 2. “MFA 로그인을 위해 개인 스마트폰 번호를 제공하고 싶지 않다” MFA 로그인을 위해 전화번호는 물론 이메일 주소도 제공할 필요가 없다. 이러한 정보 없이 MFA 로그인을 할 수 있는 방법은 많다. 이를테면 인증 앱은 기존의 SMS 또는 이메일 방식보다 편리하다. 처음 설정 시 QR코드를 스캔하거나 코드를 직접 입력해야 하긴 하지만 이후 로그인은 푸시 알림(사용자의 로그인 시도를 확인하는 버튼을 클릭하라는 메시지가 나타난다)만으로 가능하도록 구성할 수 있다. ...

2022.05.04

'인간을 노리는' 사이버 공격 수법 4가지

기술의 실패는 매일같이 발생한다. 사기성 메일, 피싱 메일처럼 원하지 않는 이메일을 막는 일은 이메일을 사용하기 시작한 날부터 줄곧 실패했다. 지난 2000년 수많은 IT 동료를 감염시킨 악명 높은 이메일 기반 컴퓨터 악성코드 ‘아이러브유(ILOVEYOU) 바이러스’를 생각해 보자.   아이러브유 바이러스 희생자들은 ‘아이러브유(ILOVEYOU)’라는 제목의 이메일을 클릭하지 말았어야 했지만 클릭했고, 그 후에는 뒷정리를 감당해야 했다. 많은 사용자가 백신이나 엔드포인트 보호 소프트웨어가 이런 문제를 경고해 줄 것으로 기대하지만 현실은 그렇지 않을 때가 많다. 기술이 실패하는 이유는 공격자가 사람을 표적으로 한 공격 수법으로 해당 기술을 피해갔기 때문이다. 대표적인 4가지 수법을 소개한다. 1. 특정인을 목표로 한 소셜 엔지니어링 사람을 대상으로 한 사이버 공격은 여러 가지다. 가장 대표적인 방법이 특정 인물을 목표로 삼은 공격 방법이다. 이런 공격 방법은 최근 소셜프루프 시큐리티(SocialProof Security) CEO 레이첼 토바크가 공개한 영상에 잘 소개돼 있다. 토바크는 영화 제작자 제프리 캐천버그의 컴퓨터를 해킹하기 위해 우선 웹상에 공개된 데이터베이스를 조사해 캐천버그가 믿을 만한 회사 동료 앤서니 살레로 가장했다. 토바크는 살레의 이메일과 매우 비슷한 주소로 캐천버그에게 피싱 메일을 전송한 후, 살레의 전화번호를 도용해 전화를 걸었다. 살레의 전화를 받았다고 생각한 캐천버그가 피싱 메일에 포함된 링크를 클릭하자, 토바크는 캐천버그가 보유한 모든 연락처를 포함해 캐천버그가 노트북으로 로그인한 모든 것에 접근할 수 있었다.   소셜 엔지니어링 기법이 새로운 것은 아니다. 1990년대에 검거된 유명 해커 캐빈 미트닉은 소셜 엔지니어링 기법으로 입수한 비밀번호와 암호만으로 컴퓨터를 해킹했다고 밝힌 바 있다. FBI는 미트닉이 사용하던 워싱턴 지역의 임원과 비서 인명록을 증거로 압수했는데, 필자는 페이지 모서리가 접혀 있는 ...

소셜엔지니어링 피싱메일 다중인증

2022.04.05

기술의 실패는 매일같이 발생한다. 사기성 메일, 피싱 메일처럼 원하지 않는 이메일을 막는 일은 이메일을 사용하기 시작한 날부터 줄곧 실패했다. 지난 2000년 수많은 IT 동료를 감염시킨 악명 높은 이메일 기반 컴퓨터 악성코드 ‘아이러브유(ILOVEYOU) 바이러스’를 생각해 보자.   아이러브유 바이러스 희생자들은 ‘아이러브유(ILOVEYOU)’라는 제목의 이메일을 클릭하지 말았어야 했지만 클릭했고, 그 후에는 뒷정리를 감당해야 했다. 많은 사용자가 백신이나 엔드포인트 보호 소프트웨어가 이런 문제를 경고해 줄 것으로 기대하지만 현실은 그렇지 않을 때가 많다. 기술이 실패하는 이유는 공격자가 사람을 표적으로 한 공격 수법으로 해당 기술을 피해갔기 때문이다. 대표적인 4가지 수법을 소개한다. 1. 특정인을 목표로 한 소셜 엔지니어링 사람을 대상으로 한 사이버 공격은 여러 가지다. 가장 대표적인 방법이 특정 인물을 목표로 삼은 공격 방법이다. 이런 공격 방법은 최근 소셜프루프 시큐리티(SocialProof Security) CEO 레이첼 토바크가 공개한 영상에 잘 소개돼 있다. 토바크는 영화 제작자 제프리 캐천버그의 컴퓨터를 해킹하기 위해 우선 웹상에 공개된 데이터베이스를 조사해 캐천버그가 믿을 만한 회사 동료 앤서니 살레로 가장했다. 토바크는 살레의 이메일과 매우 비슷한 주소로 캐천버그에게 피싱 메일을 전송한 후, 살레의 전화번호를 도용해 전화를 걸었다. 살레의 전화를 받았다고 생각한 캐천버그가 피싱 메일에 포함된 링크를 클릭하자, 토바크는 캐천버그가 보유한 모든 연락처를 포함해 캐천버그가 노트북으로 로그인한 모든 것에 접근할 수 있었다.   소셜 엔지니어링 기법이 새로운 것은 아니다. 1990년대에 검거된 유명 해커 캐빈 미트닉은 소셜 엔지니어링 기법으로 입수한 비밀번호와 암호만으로 컴퓨터를 해킹했다고 밝힌 바 있다. FBI는 미트닉이 사용하던 워싱턴 지역의 임원과 비서 인명록을 증거로 압수했는데, 필자는 페이지 모서리가 접혀 있는 ...

2022.04.05

이중 인증을 해킹하는 5가지 방법

이중 인증이 널리 보급됨에 따라 사이버범죄자는 이를 전복시킬 새로운 방법을 찾고 있다. 이에 대해 보안 전문가라면 알아야 할 것이 있다.    다중 인증(Multi-Factor Authentication, MFA)은 기업 IT 보안 관행의 최상과 최악을 모두 구현하고 있다. 3년 전, 로저 그림스는 ‘이중 인증 해킹’이라는 기사에서 MFA가 잘 수행되면 효과적일 수 있지만, IT 관리자가 지름길을 택하면 재앙이 될 수 있다고 전했다.  점점 더 많은 기업이 사용자 로그인을 보호하기 위해 MFA를 사용하고 있지만, 여전히 보편적인 방법은 아니다. 실제로 마이크로소프트가 지난해 실시한 설문 조사에 따르면, 손상된 계정의 99.9%가 MFA를 전혀 사용하지 않았으며, 일부 MFA 방법으로 보호되는 기업 계정은 11%에 불과했다.  코로나 19는 MFA 도입에 있어 좋은 점과 나쁜 점 둘 다 제공했다. 잠금 및 원격 작업이 해커에게 새로운 피싱 미끼를 제공했음에도 불구하고 많은 기업 사용자의 일반적인 컴퓨팅 패턴을 제거하기 위한 MFA 배포를 늘릴 수 있는 기회를 제공했다.  S&P 글로벌 마켓 인텔리전스(S&P Global Market Intelligence)의 451 리서치 선임 연구원 가렛 베커가 실시한 설문 조사에 따르면, MFA를 도입한 기업이 지난해에는 약 절반이었지만 올해는 61%로 급증했다. 베커는 “이는 원격 근무자가 너무 많아졌기 때문이다. 여전히 대부분의 기업은 MFA 사용이 제한적이다. 하지만 VPN보다 훨씬 더 중요한 우선순위가 됐다”라고 설명했다.  최근 버라이즌 데이터 침해 조사 보고서에서 미 비밀경호국 네트워크 침입 대응관리자인 버나드 윌슨은 “코로나 19 기간동안 표적이 된 피해자의 상당 부분은 VPN과 MFA 구현을 소홀히 한 기관과 기업이었다”라고 말했다.  MFA 도입과 관련해 코로나 19 외에도 또 다른 이유가 있다. 2021년 5월, 구...

이중인증 다중인증 MFA

2021.06.09

이중 인증이 널리 보급됨에 따라 사이버범죄자는 이를 전복시킬 새로운 방법을 찾고 있다. 이에 대해 보안 전문가라면 알아야 할 것이 있다.    다중 인증(Multi-Factor Authentication, MFA)은 기업 IT 보안 관행의 최상과 최악을 모두 구현하고 있다. 3년 전, 로저 그림스는 ‘이중 인증 해킹’이라는 기사에서 MFA가 잘 수행되면 효과적일 수 있지만, IT 관리자가 지름길을 택하면 재앙이 될 수 있다고 전했다.  점점 더 많은 기업이 사용자 로그인을 보호하기 위해 MFA를 사용하고 있지만, 여전히 보편적인 방법은 아니다. 실제로 마이크로소프트가 지난해 실시한 설문 조사에 따르면, 손상된 계정의 99.9%가 MFA를 전혀 사용하지 않았으며, 일부 MFA 방법으로 보호되는 기업 계정은 11%에 불과했다.  코로나 19는 MFA 도입에 있어 좋은 점과 나쁜 점 둘 다 제공했다. 잠금 및 원격 작업이 해커에게 새로운 피싱 미끼를 제공했음에도 불구하고 많은 기업 사용자의 일반적인 컴퓨팅 패턴을 제거하기 위한 MFA 배포를 늘릴 수 있는 기회를 제공했다.  S&P 글로벌 마켓 인텔리전스(S&P Global Market Intelligence)의 451 리서치 선임 연구원 가렛 베커가 실시한 설문 조사에 따르면, MFA를 도입한 기업이 지난해에는 약 절반이었지만 올해는 61%로 급증했다. 베커는 “이는 원격 근무자가 너무 많아졌기 때문이다. 여전히 대부분의 기업은 MFA 사용이 제한적이다. 하지만 VPN보다 훨씬 더 중요한 우선순위가 됐다”라고 설명했다.  최근 버라이즌 데이터 침해 조사 보고서에서 미 비밀경호국 네트워크 침입 대응관리자인 버나드 윌슨은 “코로나 19 기간동안 표적이 된 피해자의 상당 부분은 VPN과 MFA 구현을 소홀히 한 기관과 기업이었다”라고 말했다.  MFA 도입과 관련해 코로나 19 외에도 또 다른 이유가 있다. 2021년 5월, 구...

2021.06.09

블로그ㅣ구글이 큰 ‘보안’ 변화를 만들고 있다

구글이 다중인증(MFA)을 기본값으로 설정하고 휴대전화에 내장된 FIDO 호환 소프트웨어를 사용하기 위해 천천히 움직이고 있다. 좋은 움직임이다.   구글이 다중인증(MFA)을 기본값으로 설정하기 위해 서서히 움직이고 있다. 헷갈릴 수도 있겠지만 구글은 다중인증을 ‘MFA’라고 부르지 않는다. 대신 ‘2단계 인증(2SV)’라고 한다.  더욱더 흥미로운 점은 구글이 휴대전화에 내장된 FIDO 호환 소프트웨어 사용을 추진하고 있다는 것이다. 이는 심지어 iOS 버전도 있다. 모든 안드로이드 및 애플 휴대전화에서 사용할 수 있다는 뜻이다.   구글 계정 보안 담당 제품 관리자 조나단 스켈커에 따르면 이 내부 키는 사용자를 인증하기 위해 설계되지 않았다. 안드로이드 및 iOS 휴대전화는 사용자 인증에 생체 인식(예: 얼굴 인식, 지문 인식 등)을 활용하고 있으며, 이론적으로 생체 인식은 충분한 인증을 제공한다.  FIDO 호환 소프트웨어는 지메일(Gmail) 또는 구글 드라이브(Google Drive)와 같은 휴대전화를 제외한 액세스에 관해 기기를 인증하도록 설계됐다. 간단히 말하자면, 생체 인식이 사용자를 인증하고, 그 다음 내부 키가 휴대전화를 인증한다.  그렇다면 구글 외의 다른 업체도 이 앱을 활용할 수 있을까? 구글이 경쟁사인 애플을 포함시키기 위해 나섰다는 점을 고려할 때 대답은 ‘그렇다’일 것이다.  이 모든 건 구글이 지난 5월 6일 공식 블로그에서 기본값을 변경하겠다고 발표하면서 시작됐다. 구글은 효과적이지 못한 암호(password)를 없애는 중요한 단계라고 선언했다.  거의 항상 가까이에 있는 휴대전화를 하드웨어 키 대체재로 사용하는 것이 바로 스마트 보안이다. 사용자 입장에서도 인증 과정에 편의성을 더해주기 때문에 좋은 일이다. 그리고 사용자들이 게으르다는 점도 잘 알려져 있기 때문에 이를 기본값으로 설정하는 건 현명한 일이다.  이제 사용자는 구글의 ‘MFA...

구글 다중인증 멀티팩터인증 MFA 보안 인증 생체 인식 얼굴 인식 지문 인식 2단계 인증

2021.05.18

구글이 다중인증(MFA)을 기본값으로 설정하고 휴대전화에 내장된 FIDO 호환 소프트웨어를 사용하기 위해 천천히 움직이고 있다. 좋은 움직임이다.   구글이 다중인증(MFA)을 기본값으로 설정하기 위해 서서히 움직이고 있다. 헷갈릴 수도 있겠지만 구글은 다중인증을 ‘MFA’라고 부르지 않는다. 대신 ‘2단계 인증(2SV)’라고 한다.  더욱더 흥미로운 점은 구글이 휴대전화에 내장된 FIDO 호환 소프트웨어 사용을 추진하고 있다는 것이다. 이는 심지어 iOS 버전도 있다. 모든 안드로이드 및 애플 휴대전화에서 사용할 수 있다는 뜻이다.   구글 계정 보안 담당 제품 관리자 조나단 스켈커에 따르면 이 내부 키는 사용자를 인증하기 위해 설계되지 않았다. 안드로이드 및 iOS 휴대전화는 사용자 인증에 생체 인식(예: 얼굴 인식, 지문 인식 등)을 활용하고 있으며, 이론적으로 생체 인식은 충분한 인증을 제공한다.  FIDO 호환 소프트웨어는 지메일(Gmail) 또는 구글 드라이브(Google Drive)와 같은 휴대전화를 제외한 액세스에 관해 기기를 인증하도록 설계됐다. 간단히 말하자면, 생체 인식이 사용자를 인증하고, 그 다음 내부 키가 휴대전화를 인증한다.  그렇다면 구글 외의 다른 업체도 이 앱을 활용할 수 있을까? 구글이 경쟁사인 애플을 포함시키기 위해 나섰다는 점을 고려할 때 대답은 ‘그렇다’일 것이다.  이 모든 건 구글이 지난 5월 6일 공식 블로그에서 기본값을 변경하겠다고 발표하면서 시작됐다. 구글은 효과적이지 못한 암호(password)를 없애는 중요한 단계라고 선언했다.  거의 항상 가까이에 있는 휴대전화를 하드웨어 키 대체재로 사용하는 것이 바로 스마트 보안이다. 사용자 입장에서도 인증 과정에 편의성을 더해주기 때문에 좋은 일이다. 그리고 사용자들이 게으르다는 점도 잘 알려져 있기 때문에 이를 기본값으로 설정하는 건 현명한 일이다.  이제 사용자는 구글의 ‘MFA...

2021.05.18

언제 어디서나 위험··· 원격근무자를 보호하는 보안 기술 6가지 

코로나19 사태가 아직 끝나진 않았지만 종식된다고 하더라도 많은 기업은 모든 직원이 매일 사무실에 출근하는 일상으로 돌아가지 않을 수 있다. ‘어디서나 일할 수 있는 것’은 한때 출장이 잦은 영업팀이나 해외 파견직 등에 국한됐었지만 이제는 많은 사람에게 일상적인 옵션이 될지 모른다.   이에 따라 기업은 원격 협업을 지원하는 안전한 인프라를 마련해야 할 필요가 있다. 이를테면 외근직의 비정기적 액세스를 지원했던 도구를 확장 및 개선해 기업의 모든 워크플로우에 관한 데이터를 전달할 수 있도록 해야 한다. 첫 번째로 해야 할 일은 데이터가 안전하게 전달되도록 하는 것이다.    TLS 인증서   원격에서 로그인할 때는 암호화된 연결을 사용해야 한다. 웹 사이트의 TLS 인증은 최신으로 유지돼야 하고, 모든 통신에서 HTTPS를 쓰는지 확인하라. 암호화된 웹 연결을 위한 인증서 설치는 ‘렛츠 인크립트(Let’s Encrypt)’와 같은 프로젝트 덕분에 훨씬 쉬워졌다. 이것보다 더 고급 보안을 제공하는 인증서는 예를 들면 디지서트(DigiCert), 지오트러스트(GeoTrust), 코모도(Comodo) 등의 다른 인증기관에서 찾을 수 있다.  제로 트러스트  바라쿠다(Barracuda), 페러미터 81(Perimeter 81), 윈드스크라이브(WindScribe) 등을 포함한 기존 사설 네트워크 업체들은 모두 전통적인 VPN 솔루션을 제공한다. 하지만 VPN은 사무실의 시작과 끝(위치)이 명확하지 않은 시대에서 가장 적합한 모델은 아니다.  따라서 제로 트러스트 모델을 채택하는 기업이 늘고 있다. 이는 모든 직원이 예를 들면 공격자에 의해 와이파이가 훼손된 카페와 같은 위험한 장소에서 로그인한다고 가정한다.  이 경계적인 태도는 네트워크상에서 이동하는 데이터로 국한되지 않는다. 수많은 내부 애플리케이션이 안전한 네트워크에 존재할 것이라는 가정하에 개발된다. 일부 방화벽이나 기타 액세스 ...

원격근무 재택근무 보안 원격 협업 데이터 랜섬웨어 TLS 인증서 제로 트러스트 애저 마이크로소프트 클라우드 오라클 파이썬 자바 SASE 게이트키퍼 구글 워크스페이스 팀즈 다중인증

2021.02.15

코로나19 사태가 아직 끝나진 않았지만 종식된다고 하더라도 많은 기업은 모든 직원이 매일 사무실에 출근하는 일상으로 돌아가지 않을 수 있다. ‘어디서나 일할 수 있는 것’은 한때 출장이 잦은 영업팀이나 해외 파견직 등에 국한됐었지만 이제는 많은 사람에게 일상적인 옵션이 될지 모른다.   이에 따라 기업은 원격 협업을 지원하는 안전한 인프라를 마련해야 할 필요가 있다. 이를테면 외근직의 비정기적 액세스를 지원했던 도구를 확장 및 개선해 기업의 모든 워크플로우에 관한 데이터를 전달할 수 있도록 해야 한다. 첫 번째로 해야 할 일은 데이터가 안전하게 전달되도록 하는 것이다.    TLS 인증서   원격에서 로그인할 때는 암호화된 연결을 사용해야 한다. 웹 사이트의 TLS 인증은 최신으로 유지돼야 하고, 모든 통신에서 HTTPS를 쓰는지 확인하라. 암호화된 웹 연결을 위한 인증서 설치는 ‘렛츠 인크립트(Let’s Encrypt)’와 같은 프로젝트 덕분에 훨씬 쉬워졌다. 이것보다 더 고급 보안을 제공하는 인증서는 예를 들면 디지서트(DigiCert), 지오트러스트(GeoTrust), 코모도(Comodo) 등의 다른 인증기관에서 찾을 수 있다.  제로 트러스트  바라쿠다(Barracuda), 페러미터 81(Perimeter 81), 윈드스크라이브(WindScribe) 등을 포함한 기존 사설 네트워크 업체들은 모두 전통적인 VPN 솔루션을 제공한다. 하지만 VPN은 사무실의 시작과 끝(위치)이 명확하지 않은 시대에서 가장 적합한 모델은 아니다.  따라서 제로 트러스트 모델을 채택하는 기업이 늘고 있다. 이는 모든 직원이 예를 들면 공격자에 의해 와이파이가 훼손된 카페와 같은 위험한 장소에서 로그인한다고 가정한다.  이 경계적인 태도는 네트워크상에서 이동하는 데이터로 국한되지 않는다. 수많은 내부 애플리케이션이 안전한 네트워크에 존재할 것이라는 가정하에 개발된다. 일부 방화벽이나 기타 액세스 ...

2021.02.15

칼럼ㅣ‘애플워치’가 ‘엔드포인트 보안’을 강화할 수 있을까?

전 세계적으로 1억 명이 넘는 사용자가 ‘애플워치(Apple Watch)’를 착용하고 있는 것으로 전해졌다. 그렇다면 기업이 ‘원격근무 보안’을 개선하기 위해 애플워치를 사용할 수 있지 않을까?  원격근무라는 새로운 비즈니스 환경에 대응해 엔드포인드 보안을 개선할 도구를 찾고 있는가? 잠시 짬을 내어 애플워치를 들여다보자.    모든 영역에 액세스  필자의 주장은 간단하다. 애플이 엔터프라이즈 영역에서 차지하는 비중이 커지고 있고, 이를 통해 애플의 상호보완적인 에코시스템(애플워치)이 기업을 지원할 수 있다는 것이다.  연이은 보도(지난 2월 11일 오렌지 비즈니스 서비스(Orange Business Services)가 애플 엔터프라이즈 공인 리셀러 자격을 획득/ 2월 12일 영국 노동연금부(DWP)가 영국 리셀러 업체 XMA와 계약을 맺고 아이폰 SE(iPhone SE) 1만 1,000개를 공급)에서 알 수 있듯이 엔터프라이즈 영역에서 사용되는 아이폰 수가 빠르게 증가하고 있고, 이는 수백만 명의 직원이 애플워치를 사용할 수 있다는 의미다.  애플워치 사용자도 빠르게 늘고 있다. 어보브 아발론(Above Avalon)의 애널리스트 닐 사이버트는 현재 전 세계 애플워치 사용자가 1억 명에 이른다고 분석했다. 이어서 그는 전 세계 아이폰 사용자의 10%와 미국 아이폰 사용자의 35%가 이미 애플워치를 가지고 있다고 덧붙였다.  애플워치의 주 용도는 다음과 같다. 메시지, 이메일, 알림을 간단히 확인하는 것, 피트니스 및 건강 트래킹, 애플 페이(Apple Pay)를 사용한 결제, 일부 도어락 시스템에서 생체인식 액세스 등이다(이 밖에 애플워치를 통해 맥 그리고 심지어는 윈도우 PC를 열 수 있으며, 마스크를 착용했을 때 아이폰 잠금을 해제할 수 있게 될 예정이다).  사이바트는 “착용자의 피부와 접촉해 있는 한 애플워치는 손목 감지를 통해 신원 확인 서비스를 제공할 수 있다. 애...

애플워치 애플 아이폰 보안 엔드포인트 보안 재택근무 원격근무 코로나19 원격근무 보안 생체인식 피싱 공격 디지털 아이덴티티 다중인증 통합인증

2021.02.15

전 세계적으로 1억 명이 넘는 사용자가 ‘애플워치(Apple Watch)’를 착용하고 있는 것으로 전해졌다. 그렇다면 기업이 ‘원격근무 보안’을 개선하기 위해 애플워치를 사용할 수 있지 않을까?  원격근무라는 새로운 비즈니스 환경에 대응해 엔드포인드 보안을 개선할 도구를 찾고 있는가? 잠시 짬을 내어 애플워치를 들여다보자.    모든 영역에 액세스  필자의 주장은 간단하다. 애플이 엔터프라이즈 영역에서 차지하는 비중이 커지고 있고, 이를 통해 애플의 상호보완적인 에코시스템(애플워치)이 기업을 지원할 수 있다는 것이다.  연이은 보도(지난 2월 11일 오렌지 비즈니스 서비스(Orange Business Services)가 애플 엔터프라이즈 공인 리셀러 자격을 획득/ 2월 12일 영국 노동연금부(DWP)가 영국 리셀러 업체 XMA와 계약을 맺고 아이폰 SE(iPhone SE) 1만 1,000개를 공급)에서 알 수 있듯이 엔터프라이즈 영역에서 사용되는 아이폰 수가 빠르게 증가하고 있고, 이는 수백만 명의 직원이 애플워치를 사용할 수 있다는 의미다.  애플워치 사용자도 빠르게 늘고 있다. 어보브 아발론(Above Avalon)의 애널리스트 닐 사이버트는 현재 전 세계 애플워치 사용자가 1억 명에 이른다고 분석했다. 이어서 그는 전 세계 아이폰 사용자의 10%와 미국 아이폰 사용자의 35%가 이미 애플워치를 가지고 있다고 덧붙였다.  애플워치의 주 용도는 다음과 같다. 메시지, 이메일, 알림을 간단히 확인하는 것, 피트니스 및 건강 트래킹, 애플 페이(Apple Pay)를 사용한 결제, 일부 도어락 시스템에서 생체인식 액세스 등이다(이 밖에 애플워치를 통해 맥 그리고 심지어는 윈도우 PC를 열 수 있으며, 마스크를 착용했을 때 아이폰 잠금을 해제할 수 있게 될 예정이다).  사이바트는 “착용자의 피부와 접촉해 있는 한 애플워치는 손목 감지를 통해 신원 확인 서비스를 제공할 수 있다. 애...

2021.02.15

위기를 낭비하지 마라··· CIO가 기업 연속성을 강화하는 법

코로나19의 여파가 전 세계를 뒤흔들고 있다. 기업도 예외는 아니다. 이에 따라 IT 리더가 원활한 원격근무 환경은 물론 안전한 보안 환경을 구축 및 지원하는 것이 그 어느 때보다도 중요해지고 있다.  가트너의 애널리스트 샌디 셴은 “코로나바이러스가 전통적인 채널과 운영 방식에 큰 영향을 주면서 디지털 채널과 제품, 운영 방식의 가치가 명백히 드러나고 있다. 이는 디지털 비즈니스와 장기적 차원의 지속가능성에 대한 투자를 경시한 채 일상적인 운영 요구사항에만 집중해왔던 기업에 경종을 울리고 있다”라고 지적했다.  기업 연속성 계획(BCP) 강화가 필요한 시점이다. 사이버위협 대응 훈련 계획부터 추가적인 데이터센터 가동 계획, 원격근무 관리까지 IT 리더들도 COVID-19 위기에 맞서고 있다. 여러 IT 리더들이 코로나19 위기에 대응해 기업 연속성을 강화하는 계획을 어떻게 수립하고 있는지 살펴본다.    원격 액세스를 강화하라 결제기술 서비스 회사인 어비드익스체인지(AvidXchange)에 2018년 CIO로 취임한 엔젤릭 깁슨은 장애 없는 서비스 제공을 위해 기업 연속성 계획에 계속해서 투자해왔다. 여기에는 직원 1,400명을 대상으로 한 원격근무 시행 계획도 포함돼 있다. 깁슨은 CIO닷컴과의 인터뷰에서 “코로나19로 인해 실제 시행되고 있는 기업 연속성 계획들이 있다”라고 말했다. 특히 코로나19가 세계적 대유행병으로 격상되면서 깁슨은 ‘롤플레잉’ 활동을 강화했다. 이를테면 원격근무자가 적절한 도구, 즉 끊김 없는 화상회의를 가능케 하는 컴퓨터와 협업 솔루션을 갖추고 있는지 테스트하는 것이다. 그는 또한 용량 테스트 등을 진행해 VPN을 통한 안정적인 네트워크 트래픽도 확보했다. 직원들이 기업용 애플리케이션을 원활하게 이용할 수 있게 하기 위해서다.  많은 기업이 사이버 공격으로 업무가 중단되는 상황을 대비해 실시하는 사이버위협 대응 훈련과 '롤플레잉'이 유사하다고 깁슨은 설명했다. 사이버위협 대응 ...

원격근무 코로나바이러스 코로나19 다중인증 제로트러스트 네트워크 위기관리 재택근무 커뮤니케이션 보안 기업연속성

2020.03.20

코로나19의 여파가 전 세계를 뒤흔들고 있다. 기업도 예외는 아니다. 이에 따라 IT 리더가 원활한 원격근무 환경은 물론 안전한 보안 환경을 구축 및 지원하는 것이 그 어느 때보다도 중요해지고 있다.  가트너의 애널리스트 샌디 셴은 “코로나바이러스가 전통적인 채널과 운영 방식에 큰 영향을 주면서 디지털 채널과 제품, 운영 방식의 가치가 명백히 드러나고 있다. 이는 디지털 비즈니스와 장기적 차원의 지속가능성에 대한 투자를 경시한 채 일상적인 운영 요구사항에만 집중해왔던 기업에 경종을 울리고 있다”라고 지적했다.  기업 연속성 계획(BCP) 강화가 필요한 시점이다. 사이버위협 대응 훈련 계획부터 추가적인 데이터센터 가동 계획, 원격근무 관리까지 IT 리더들도 COVID-19 위기에 맞서고 있다. 여러 IT 리더들이 코로나19 위기에 대응해 기업 연속성을 강화하는 계획을 어떻게 수립하고 있는지 살펴본다.    원격 액세스를 강화하라 결제기술 서비스 회사인 어비드익스체인지(AvidXchange)에 2018년 CIO로 취임한 엔젤릭 깁슨은 장애 없는 서비스 제공을 위해 기업 연속성 계획에 계속해서 투자해왔다. 여기에는 직원 1,400명을 대상으로 한 원격근무 시행 계획도 포함돼 있다. 깁슨은 CIO닷컴과의 인터뷰에서 “코로나19로 인해 실제 시행되고 있는 기업 연속성 계획들이 있다”라고 말했다. 특히 코로나19가 세계적 대유행병으로 격상되면서 깁슨은 ‘롤플레잉’ 활동을 강화했다. 이를테면 원격근무자가 적절한 도구, 즉 끊김 없는 화상회의를 가능케 하는 컴퓨터와 협업 솔루션을 갖추고 있는지 테스트하는 것이다. 그는 또한 용량 테스트 등을 진행해 VPN을 통한 안정적인 네트워크 트래픽도 확보했다. 직원들이 기업용 애플리케이션을 원활하게 이용할 수 있게 하기 위해서다.  많은 기업이 사이버 공격으로 업무가 중단되는 상황을 대비해 실시하는 사이버위협 대응 훈련과 '롤플레잉'이 유사하다고 깁슨은 설명했다. 사이버위협 대응 ...

2020.03.20

팔로알토 네트웍스, 연말연시 피싱 공격 대비 팁 8선 소개

팔로알토 네트웍스가 연말 연시 프로모션을 가장한 피싱 공격으로부터 컴퓨터와 스마트폰을 안전하게 보호할 수 있는 팁 8가지를 소개했다. 팔로알토 네트웍스가 제안하는 피싱 공격 대응 전략의 8가지 팁은 ▲클릭하기 전에 확인, 또 확인 ▲가능한 모든 곳에서 다중 인증(MFA) 거치도록 ▲암호는 주기적으로 반드시 변경 ▲사용하지 않을 때는 블루투스 연결을 끊을 것 ▲너무 구체적이거나 지나친 위치 공유는 위험 ▲공공 와이파이 서비스의 사용은 신중하게! ▲앱과 브라우저, 운영체제 업데이트는 부지런하게 ▲문자에 숨겨진 스미싱 공격에 주의할 것이다. 클릭하기 전에 확인, 또 확인 모든 피싱 이메일의 핵심은 사기행위로서 이러한 사기꾼들이 진짜처럼 가장하는 수법은 갈수록 더 정교해지고 있다. 발송자의 주소를 살펴보고 해당 이메일이 진짜인지 확인한 후에 링크를 클릭해야 한다. 대개는 이러한 주소를 위조하기가 가장 어렵기 때문이다. 가능한 모든 곳에서 다중 인증(MFA) 거치도록 다중 인증 기능을 제공하는 모든 계정에서 이를 활성화하면 사이버 범죄자들이 타깃의 정보에 도달하기 위해서는 더 많은 장애물을 통과해야 한다. 공격당하기 쉬운 먹잇감이 되는 일을 사전에 방지할 수 있는 방법이다. 암호는 주기적으로 반드시 변경 잊어버릴까봐 똑같은 암호를 고수하는 경향이 있다면 암호 관리 프로그램을 통해 강력하고 무작위적이면서 유일무이한 암호를 생성할 수 있다. 사이버 범죄자보다 항상 한 발 앞서갈 수 있는 무기를 활용해야 한다. 사용하지 않을 때는 블루투스 연결을 끊을 것 블루투스 연결을 활성화 시켜 놓으면 근처에 있던 범죄자가 스마트폰에 연결해 해킹을 시도할 우려가 있다. 이는 모바일 디바이스로 쇼핑하고 있을 경우 특히 위험한 사고로 이어질 수 있다. 블루투스 연결은 항상 비활성 시켜 두고 필요할 때만 켜는 것이 안전하다. 너무 구체적이거나 지나친 위치 공유는 위험 별 생각 없이 일상생활을 공유하는 일이 늘어나고 있다. 하지만 자신의 구체적인 위치는...

피싱 암호 문자메시지 스미싱 팔로알토 네트웍스 다중인증 연말연시

2017.12.27

팔로알토 네트웍스가 연말 연시 프로모션을 가장한 피싱 공격으로부터 컴퓨터와 스마트폰을 안전하게 보호할 수 있는 팁 8가지를 소개했다. 팔로알토 네트웍스가 제안하는 피싱 공격 대응 전략의 8가지 팁은 ▲클릭하기 전에 확인, 또 확인 ▲가능한 모든 곳에서 다중 인증(MFA) 거치도록 ▲암호는 주기적으로 반드시 변경 ▲사용하지 않을 때는 블루투스 연결을 끊을 것 ▲너무 구체적이거나 지나친 위치 공유는 위험 ▲공공 와이파이 서비스의 사용은 신중하게! ▲앱과 브라우저, 운영체제 업데이트는 부지런하게 ▲문자에 숨겨진 스미싱 공격에 주의할 것이다. 클릭하기 전에 확인, 또 확인 모든 피싱 이메일의 핵심은 사기행위로서 이러한 사기꾼들이 진짜처럼 가장하는 수법은 갈수록 더 정교해지고 있다. 발송자의 주소를 살펴보고 해당 이메일이 진짜인지 확인한 후에 링크를 클릭해야 한다. 대개는 이러한 주소를 위조하기가 가장 어렵기 때문이다. 가능한 모든 곳에서 다중 인증(MFA) 거치도록 다중 인증 기능을 제공하는 모든 계정에서 이를 활성화하면 사이버 범죄자들이 타깃의 정보에 도달하기 위해서는 더 많은 장애물을 통과해야 한다. 공격당하기 쉬운 먹잇감이 되는 일을 사전에 방지할 수 있는 방법이다. 암호는 주기적으로 반드시 변경 잊어버릴까봐 똑같은 암호를 고수하는 경향이 있다면 암호 관리 프로그램을 통해 강력하고 무작위적이면서 유일무이한 암호를 생성할 수 있다. 사이버 범죄자보다 항상 한 발 앞서갈 수 있는 무기를 활용해야 한다. 사용하지 않을 때는 블루투스 연결을 끊을 것 블루투스 연결을 활성화 시켜 놓으면 근처에 있던 범죄자가 스마트폰에 연결해 해킹을 시도할 우려가 있다. 이는 모바일 디바이스로 쇼핑하고 있을 경우 특히 위험한 사고로 이어질 수 있다. 블루투스 연결은 항상 비활성 시켜 두고 필요할 때만 켜는 것이 안전하다. 너무 구체적이거나 지나친 위치 공유는 위험 별 생각 없이 일상생활을 공유하는 일이 늘어나고 있다. 하지만 자신의 구체적인 위치는...

2017.12.27

"해커가 가장 뚫기 힘들어하는 보안 기술은 다중 인증"

해커가 가장 뚫기 힘들어하는 보안 기술은 다중 인증인 것으로 나타났다. 지난달 미국 라스베이거스에서 열린 제20회 연례 블랙햇 컨퍼런스에서 자신을 해커라고 밝힌 250명을 대상으로 설문 조사한 결과다. 이 조사에서 응답자의 38%가 '해킹하기 가장 힘든 것'으로 다중 요소 인증을 꼽았다. 32%는 암호화를 지목했다. 방화벽과 백신 소프트웨어, 침입 탐지 시스템은 10% 미만이었다. 이번 설문에서는 해커가 기업의 민감한 데이터에 접근하는 방법도 조사했다. 그 결과 '높은 권한을 가진 계정을 빼낸다'라는 응답이 31%로 가장 많았다. 이어 이메일 계정 탈취가 27%, 사용자 엔드포인트 해킹이 21%였다. 이에 따라 경계보안(perimeter security) 기술은 해킹을 막는 데 큰 역할을 하지 못하는 것으로 나타났다. 해커가 주로 사람의 보안 취약점을 이용해 최고 관리자 계정이나 이메일 암호를 빼내는 데 집중하고 있기 때문이다. 실제로 응답자의 85%는 보안 사고의 가장 큰 책임으로 사람을 꼽았다. 패치되지 않은 소프트웨어를 가장 큰 책임으로 꼽은 비율은 10%에 불과하다. 또한, 위협 인텔리전스(threat intelligence) 솔루션도 가장 효과 없는 보안 방법 중 하나로 나타났다(59%). 평판 피드(reputation feeds, 67%)와 교육(47%)의 실효성도 크지 않은 것으로 조사됐다. 특히 위협 인텔리전스는 해커가 그 작동 방식을 파악할 수 있어 보안 시스템을 우회하는 데 종종 악용되는 것으로 나타났다. 한편 이번 설문에 참여한 응답자의 53%는 자신이 보안 기술을 좋은 목적으로 사용하는 화이트 해커라고 답했으며 33%는 악의적인 목적으로 보안 기술을 이용하는 블랙 해커라고 응답했다. 나머지는 화이트 해커와 블랙 해커의 중간 정도라고 답했다. ciokr@idg.co.kr

보안 해킹 다중인증

2017.08.10

해커가 가장 뚫기 힘들어하는 보안 기술은 다중 인증인 것으로 나타났다. 지난달 미국 라스베이거스에서 열린 제20회 연례 블랙햇 컨퍼런스에서 자신을 해커라고 밝힌 250명을 대상으로 설문 조사한 결과다. 이 조사에서 응답자의 38%가 '해킹하기 가장 힘든 것'으로 다중 요소 인증을 꼽았다. 32%는 암호화를 지목했다. 방화벽과 백신 소프트웨어, 침입 탐지 시스템은 10% 미만이었다. 이번 설문에서는 해커가 기업의 민감한 데이터에 접근하는 방법도 조사했다. 그 결과 '높은 권한을 가진 계정을 빼낸다'라는 응답이 31%로 가장 많았다. 이어 이메일 계정 탈취가 27%, 사용자 엔드포인트 해킹이 21%였다. 이에 따라 경계보안(perimeter security) 기술은 해킹을 막는 데 큰 역할을 하지 못하는 것으로 나타났다. 해커가 주로 사람의 보안 취약점을 이용해 최고 관리자 계정이나 이메일 암호를 빼내는 데 집중하고 있기 때문이다. 실제로 응답자의 85%는 보안 사고의 가장 큰 책임으로 사람을 꼽았다. 패치되지 않은 소프트웨어를 가장 큰 책임으로 꼽은 비율은 10%에 불과하다. 또한, 위협 인텔리전스(threat intelligence) 솔루션도 가장 효과 없는 보안 방법 중 하나로 나타났다(59%). 평판 피드(reputation feeds, 67%)와 교육(47%)의 실효성도 크지 않은 것으로 조사됐다. 특히 위협 인텔리전스는 해커가 그 작동 방식을 파악할 수 있어 보안 시스템을 우회하는 데 종종 악용되는 것으로 나타났다. 한편 이번 설문에 참여한 응답자의 53%는 자신이 보안 기술을 좋은 목적으로 사용하는 화이트 해커라고 답했으며 33%는 악의적인 목적으로 보안 기술을 이용하는 블랙 해커라고 응답했다. 나머지는 화이트 해커와 블랙 해커의 중간 정도라고 답했다. ciokr@idg.co.kr

2017.08.10

'회사와 고객을 구하는' 강력한 인증 플랫폼… 6가지 체크리스트

인증 플랫폼만 잘 구축해도 IT부서의 부담을 줄일 수 있다. 보안 분야가 변화하면서 기업이 직면하는 비즈니스 문제도 바뀌고 있다. 데이터 유출 및 정보 도난이 발생하면서 원치 않는 제 3자로부터 데이터를 보호하는 것이 더욱 중요해졌다. 시만텍의 연례 인터넷 보안 위협 보고서(Internet Security Threat Report)에 따르면, 강력한 인증으로 데이터 유출을 최대 80%까지 없앨 수 있는 것으로 나타났다. 강력한 인증으로 어떤 기기를 사용하든, 어디에 있든 상관없이 안전하게 작업하고 IT 부담을 줄이며 비용을 관리하고 고객의 데이터 접근을 보호할 수 있다. 다음은 시만텍 정보보호팀이 기업 데이터 보호와 관련된 보편적인 비즈니스 문제를 해결하기 위해 제시한 체크리스트다. ciokr@idg.co.kr  

CSO 인터넷 보안 위협 보고서 사물인터넷 BYOD 이중인증 비밀번호 인증 시만텍 CISO 규제 다중인증

2016.08.05

인증 플랫폼만 잘 구축해도 IT부서의 부담을 줄일 수 있다. 보안 분야가 변화하면서 기업이 직면하는 비즈니스 문제도 바뀌고 있다. 데이터 유출 및 정보 도난이 발생하면서 원치 않는 제 3자로부터 데이터를 보호하는 것이 더욱 중요해졌다. 시만텍의 연례 인터넷 보안 위협 보고서(Internet Security Threat Report)에 따르면, 강력한 인증으로 데이터 유출을 최대 80%까지 없앨 수 있는 것으로 나타났다. 강력한 인증으로 어떤 기기를 사용하든, 어디에 있든 상관없이 안전하게 작업하고 IT 부담을 줄이며 비용을 관리하고 고객의 데이터 접근을 보호할 수 있다. 다음은 시만텍 정보보호팀이 기업 데이터 보호와 관련된 보편적인 비즈니스 문제를 해결하기 위해 제시한 체크리스트다. ciokr@idg.co.kr  

2016.08.05

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.31