네트워크에 침입자가 있다?··· 취해야 할 12단계 조치

CISO는 사고에 신속하고 효과적으로 대응해야 한다는 것을 인지하고 있다. 하지만 한 설문조사 결과 이런 목표를 실제로 달성하는 것은 여전히 어려운 것으로 나타났다.
 

IT 업체 크롤(Kroll), 레드 카나리(Red Canary), VM웨어가 400명 이상의 IS 전문가와 100명 이상의 법률 및 규정 준수 담당자를 대상으로 실시한 ‘사고 대응 현황 2021’ 조사 결과에 따르면, 응답자의 45%는 기업의 탐지 및 대응 리소스가 부족하다고 답했다. 55%는 사고 억제에 소요되는 시간과 사고 대응 자동화 측면에서 개선이 필요하다고 답했다.

사고 대응 개선에 투자해야 하는 이유는 명확하다. 시스코는 지난 2021년 12월에 발표한 ‘보안 결과 연구 보고서 제2편’에서 사이버보안 프로그램의 성공을 이끄는 5가지 핵심 요소를 언급했다. 5가지 핵심 요소 중에는 정확한 조기 위협 탐지, 신속한 사고 대응, 재해 발생 시 즉각 복구할 수 있는 역량이 포함됐다.

CISO에게는 이 세 가지 요소를 실천하기 위한 세부적인 사이버 사고 대응 계획이 필요하다. 연습을 통해 해커 공격 시 타격을 입을 수 있는 결함을 파악하고, 실제 사고가 발생할 때 최적으로 대응할 수 있도록 주기적으로 훈련해야 한다. IT 컨설팅 업체 캡제미니(Capgemini)의 글로벌 사이버보안 포트폴리오 책임자인 조 맥맨은 “실제 사고가 발생한 시점은 이런 모든 것을 파악하기엔 이미 늦었다”라고 말했다.

철저한 대비를 위해 기업의 사이버보안팀은 정확한 자산 인벤토리와 IT 환경의 모든 영역에 대한 시야를 확보해야 한다. 기업의 핵심 시스템이 무엇인지를 알아야 하며, 해커가 핵심 시스템 침입을 시도할 때 어떻게 대응해야 하는지도 숙지해야 한다. 네트워크 내에 활성 공격자가 있을 때 신속하게, 사이버보안팀이 거의 동시다발적으로 취해야 하는 중요한 단계는 다음과 같다.

1. 경보 발령

포레스터 컨설팅과 팔로 알토 네트웍스의 ‘2021년 보안 운영 현황 보고서’에 따르면, 보안팀은 하루 평균 1만 1,047개의 보안 경보를 받는다. 물론 대부분 경보는 오탐지이거나 우선순위가 낮은 위험을 나타내지만, 신속하게 대응에 착수해야 하는 중대한 문제를 가리키는 경보도 있다.

맥맨은 “언제 경보 버튼을 눌러야 하는지를 알아야 한다. 일단 발령하면 되돌리기가 어렵기 때문에 사람들은 버튼을 누르기를 주저한다. 실수와 그에 따르는 비용으로 인해 실행하기를 두려워하는 것이다”라고 말했다. 따라서 보안팀은 상황을 단계적으로 확대해야 하는 시점과 방법에 대한 명확한 가이드라인을 마련해야 한다. 

시스코의 보안 전문 조직 탈로스(Talos)의 외부 활동 책임자 닉 바이아시니는 “의사결정 지점은 각 기업마다 고유하지만 단계적 확대 경로, 연락을 취해야 할 대상, 법률 부서에 알려야 할 시점 등이 명확히 문서화되어야 한다”라고 조언했다.

가이드라인이 명확하면 기업은 대응 시간을 줄여 피해 확산을 막을 수 있고, 사소한 사고나 오탐지 경보에 대한 값비싼 대응도 방지할 수 있다. 

2. 범위 파악 및 피해 분류

맥맨은 “아는 것과 모르는 것을 정리해야 한다. 사고 초기에는 확인된 팩트, 생성된 경보, 동료로부터 얻은 정보, 문제의 규모, 가능한 영향의 범위 등을 파악해서 대응의 우선순위를 정한 뒤 현명한 의사결정을 내리고 움직여야 한다”라고 말했다. 이를 위해 CISO는 시스템에 자산 관리 방안과 가시성을 구축해야 한다. 보안 로그, 애플리케이션 로그, 트랜잭션 데이터는 상황 파악에 도움이 되기 때문이다. 그런 다음 피해를 분류하고 적절한 대응에 나서야 한다.

3. 사업부서의 참여

보안 전문가는 CISO가 사고 분류 프로세스에 사업부를 참여시켜야 한다고 조언한다. 대응 과정에서 간과하는 경우가 많기 때문이다. 사업부 참여의 일환으로 보안팀은 영향을 받는 구성요소 가운데 비즈니스 수행에 핵심적인 구성요소가 무엇인지, 해당 구성요소의 소유자가 누구인지, 누가 제어하는지를 즉각 파악해야 한다.

시스코 시큐어의 자문 CISO J. 볼프강 골리크는 “보안 사고는 비즈니스 문제다. 하지만 보안 침해 사고가 발생하면 기술 담당자는 ‘내가 이 문제를 해결해야 한다’라고 생각한다. CISO는 침해가 기술 문제가 아닌 비즈니스 문제라는 것을 기억해야 한다. 따라서 비즈니스가 필요한 작업을 계속 수행할 수 있도록 비즈니스 연속성과 재해 복구를 실행하는 보조 프로세스를 마련해야 한다”라고 말했다.

4. 추가 피해 방지하기

보안 사고를 처리하는 과정에서 보안팀은 외부로 유출되는 데이터가 없도록 나가는 경로에 초점을 맞춰야 한다. 사이버보안 기술 인증 기구인 EC 위원회의 부위원장 스티븐 그레이엄은 “네트워크에서 활동 중인 침입자라면 최대한 백도어를 많이 만들 것이다. 공격의 영향을 멈출 수 있도록 네트워크 안에서 외부로 나가는 지점을 파악해야 한다”라고 말했다.

5. 진입점 찾기

동시에 보안팀은 해커가 어떻게 침입했고, 어디로 이동했는지도 확인해야 한다. 그레이엄은 “해커의 이동 경로를 추적하고 어디로 들어왔는지, 진입한 다음 무엇을 했는지, 어떤 부분에 손을 댔는지 조사해야 한다. 피해 분류의 부가적인 단계다”라고 설명했다. 진입점을 찾기 위해서는 효과적인 네트워크 모니터링이 필요하며, 진입점을 찾은 후에는 해커가 악용한 취약점을 보수해서 다른 해커의 침입을 방지해야 한다. 

6. 대응 조직 구성

사고의 범위에 초점을 맞추었다면 CISO는 대응에 필요한 상호보완적인 팀을 구성해야 한다. 의사결정을 내려야 하는 모든 경영진, 대응에 필요한 기술을 갖춘 보안 및 IT 실무자, 커뮤니케이션과 인사, 법률을 비롯한 각 직무 영역을 대표하는 적절한 담당자, 그리고 필요한 외부 인력으로 구성된다. 

또한 CISO는 사법 당국으로의 신고 여부와 신고할 시점, 그리고 사고와 관련하여 개입해야 할 기관도 파악해야 한다. 카네기멜론대학교의 정보보안 정책 및 관리(MSISPM) 석사 프로그램 책임자인 랜디 트셰치아크는 “사고 대응하는 도중에 혼란을 방지하기 위해 미리 정리해야 할 또 다른 요소”라고 말했다.

7. 활동 추적

또한 CISO는 조사, 우선순위, 완료된 작업, 진행 중인 활동, 해결되지 않은 문제 및 기타 세부 사항을 적극적으로 문서화하고 이를 효율적인 방법으로 공유해야 한다. 워드 문서나 이메일은 일반적으로 이런 정보 공유 및 보관에는 적합하지 않다.

맥맨은 사고 대응 도중 데이터 공유와 기록을 위한 우수한 지식 관리 시스템 또는 커뮤니케이션 플랫폼의 필요성을 강조했다. 실제 사고 발생 시 간과하는 경우가 많은 부분이다. 맥민은 “정보와 조사 결과, 모든 미결 사항을 수집하고 저장하는 플랫폼이 있어야 한다. 또한 CISO나 CISO 소속 담당자가 이런 정보를 추려내 의사결정을 내릴 수 있도록 정보를 수집 및 정리하고 의미를 파악해야 한다”라고 설명했다. 

8. 반격 실행

조사에 이어 조치를 시행할 때 CISO는 해커를 즉시 네트워크에서 쫓아내든, 시간을 두고 모니터링한 후에 반격을 하든, 해커에 대응하는 방법을 조율해야 한다. 바이아시니는 “해커는 여러 곳에 거점을 두므로 모든 거점에서 동시에 쫓아내야 한다. 두더지 잡기 게임이 되지 않도록 최대한 철저하게 반격해야 한다”라고 조언했다.

9. 계획에 따르기

CISO를 비롯한 경영진과 모든 대응팀은 사고 대응 방침을 철저하게 고수해야 하며, 부여된 역할을 벗어난 활동을 하지 말아야 한다. 포레스터 리서치의 수석 애널리스트 제프 폴라드는 “플레이북이 있다면 그 플레이북에 따라 움직이고 이탈하지 말아야 한다. 책임자의 역할은 자신에게 할당된 일이 아닌 작업에는 개입하지 않는 것”이라고 말했다.

위기 상황에서 책임자는 최전선에 뛰어들고 싶다는 생각을 할 수 있겠지만, 다른 모든 사람과 마찬가지로 자신의 역할에 충실하는 것이 가장 크게 기여하는 방법이다. 직접 로그 데이터를 살펴보거나 키보드를 붙잡고 작업하는 CISO는 사실상 대응 과정의 병목 지점을 자처하는 셈이며, 경영진 보고와 같이 CISO만 할 수 있는 다른 중요한 작업을 지연시킨다.

10. 상황에 따른 유연함 발휘하기

아무리 세부적이고 많은 훈련을 거친 사고 대응 계획이라 해도 가능한 모든 시나리오와 새로운 위협, 기법을 모두 다룰 수는 없다. 따라서 실제 상황에서 CISO와 기업은 직면한 현실에 맞게 태세를 전환하고 대응 방안을 조정할 때를 알아야 한다.

폴라드는 “항상 ‘커브 볼’에 대비해야 한다”라고 강조했다. 폴라드는 랜섬웨어 공격이 변형되어 공격 집단이 암호화된 데이터를 인질로 붙잡고 몸값을 받은 후에 추가 몸값을 지불하지 않을 경우 훔친 데이터를 유출하겠다고 협박했던 사례를 언급했다. 당시 CISO가 공격 변화를 가장 먼저 파악해 최선의 대응책을 신속하게 마련할 수 있었다. 이런 사례를 통해 보안 책임자가 민첩해야 할 필요성을 확인할 수 있다.

11. 다른 사람에게 경고

CISO는 사고를 숨길 수 없으며, 숨기려 시도하는 것 자체가 대부분 불법이다. 즉, CISO는 다른 법률 및 커뮤니케이션팀과 협력해서 언제, 누구에게 어떤 메시지를 어떤 식으로 전달할 것인지에 관한 계획을 수립해야 한다. 그레이엄은 “알릴 대상을 파악해 명료한 메시지를 만들고 모두가 상황을 정확히 인지하도록 알려야 한다”라고 강조했다.

폴라드는 CISO가 다른 내부 및 외부 보안 담당자에게도 경보를 전달해야 한다고 덧붙였다. 폴라드는 “공격이 발생했을 때 정보 공유를 나중으로 미루거나 소송 가능성을 걱정할 수 있다. 이 경우 공유해도 되는 정보를 파악해 팀 구성원이 내외부에 말해도 되는 것과 안 되는 것을 숙지하도록 하고, 자신이 침해 피해를 입었더라도 다른 사람이 똑같이 당하지 않도록 알려야 한다”라고 조언했다. 

이를 공유하면 다른 CISO의 준비에 도움이 될 뿐 아니라, 사고에 대응하는 CISO가 해당 취약점 또는 공격이 자신의 기업만을 대상으로 한 것인지, 더 큰 문제의 일부인지 신속하게 파악할 수 있다. 

12. 침착함을 유지하고 직원 요구사항에 대처

보안 전문가는 상황의 심각성을 안다. 화를 내거나 초조한 태도로 반응하는 것은 아무런 도움이 되지 않으며, 공격자를 겁먹게 해서 쫓아내지도 못한다는 사실도 안다. 폴라드는 “위기가 혼돈이 될 필요는 없다. 위기는 극복할 수 있지만 혼돈 속에서는 아무도 효과적으로 대처하지 못한다”라고 말했다.

CISO와 경영진은 실무자가 필요로 하는 것을 경청함으로써 더욱 큰 도움을 줄 수 있다. 골리크는 “팀이 장시간 휴식 없이, 심지어 하루 이상 잠도 안 자고 일하면서 녹초가 되는 경우가 많다. 이런 혹독한 일정은 팀이 얼마나 열심히 일하는지를 증명하지만, 실수를 유발할 수 있다”라고 지적했다. 

골리크는 “집중하다 보면 자신도 모르게 업무 시간을 한참 지나 일하게 된다. CISO는 커뮤니케이션 라인과 작업 시간 제한, 교대 휴식, 사고 처리 이후 휴가 일정을 명확하게 계획해야 한다. 기업은 인적 요소에 대한 처리 방안도 사전에 최대한 마련해야 한다”라고 강조했다. 

editor@itworld.co.kr