Offcanvas

모바일 / 보안 / 악성코드 / 애플리케이션 / 운영체제 / 클라우드

'큰 비용 들지 않는' 중소기업의 보안 강화 방법 10선

2018.04.02 Computerworld UK Staff   |  Computerworld UK


5. 온라인 은행 계좌(계정)를 안전하게 보호한다
공격자의 주된 표적 중 하나는 온라인 비즈니스 계정(계좌) 액세스를 효과적으로 만드는 데 사용하는 머신이다. 이런 종류의 공격이 만연한 실정이다. 단 한 번의 공격으로도 수천, 수만 파운드의 피해가 발생한다. 이런 공격을 저지하기란 쉽지 않다. 그러나 최소한의 설치로 이런 서비스에 접근하는 전용 머신을 사용하는 방법이 도움이 될 수 있다.

이런 방법을 사용하는 대부분 SME는 리눅스 장비나 저사양 PC를 사용한다. 그러나 저렴한 구글 크롬북을 사용할 수도 있다.

크롬 브라우저 기반이기 때문에 쉽게 사용할 수 있다. 또한 다른 엔드포인트처럼 일반적인 악성코드 실행 파일로는 침입할 수 없다.

단점은 일부 제품에는 이더넷 포트가 없다는 것이다. 강조하면, 엔드포인트와 상관 없이 항상 완전한 이중 인증 시스템을 사용해야 한다(SMS를 통한 인증 방식이 아닌). 물론 크롬북에도 취약점이 존재한다. 그러나 이런 방식으로 사용하면 훨씬 덜 취약하다는 것이 중요하다.

6. 비밀번호(암호)를 중시한다
단순하게 들릴지 모르겠다. 그러나 모든 기업과 직원들이 반드시 ‘마스터’해 지켜야 할 가장 중요한 원칙이 ‘안전한 비밀번호’이다.

누구나 비밀번호는 길어야 하고, 튼튼해야 하며, 자주 변경해야 한다는 사실을 안다. 그러나 실제 어느 정도가 길고 튼튼한 비밀번호일까? 또 얼마나 자주 변경을 해야 할까?

관리자 접근 권한이 주어지는 비밀번호라고 가정해 자주 비밀번호를 변경하는 것이 가장 중요하다. 여기에 더해, 비밀번호를 복잡하게 만들어 사용하면 공격자가 이를 입수해 계속 악용할 기회를 최소화할 수 있다.

라스트패스 엔터프라이즈(LastPass Enterprise), 센트리파이(Centrify), 대쉬레인(Dashlane) 같은 비밀번호 관리 도구를 사용해 이런 프로세스를 자동화하는 것이 좋다. 여기에 더해 이중 인증을 사용해야 한다.
 
7. 능률적으로 패치한다
대부분 기업이 엔드포인트 소프트웨어 패칭을 귀찮아한다. 그러나 패칭이 ‘필요악’이라는 점을 명심해야 한다.

대기업은 복잡한 시스템을 구입, 규정한 일정과 정책에 따라 패칭을 관리한다. 중소기업들의 경우 무료 취약점 및 패칭 스캐닝 도구를 사용할 수 있다. 레티나(Retina), 패치 매니저(Patch Manager), 윈도우 전용 MBSA(Microsoft Baseline Security Analyzer)를 예로 들 수 있다.

8. 관리자 권한을 끈다
중소기업에 가장 큰 위험 요소 중 하나는 관리자 권한이다. 사용자와 소프트웨어가 구성된 보안 설정을 무시하고, 승인되지 않은 소프트웨어를 설치할 수 있는 권한이어서 큰 위험이 초래될 수 있기 때문이다.

윈도우 비스타 이전의 윈도우 OS들은 사용자에게 기본값으로 관리자 권한을 부여한다. 즉 악성코드 개발자가 큰 어려움 없이 관리자 권한을 요청해 획득할 수 있게 되어있다.

비스타와 윈도우 서버 2008, 윈도우 7은 UAC(User Account Control)라는 기법을 사용해 이 부분을 강화했다. 그러나 사용자에게 권한 상승을 요청하는 방식이라 많은 비판을 초래한 시스템이다.

많은 사용자가 ‘예’를 클릭했다. 이렇게 하는 이유가 있다. 구형 앱 기능 중에는 관리자 권한이 있어야 실행되는 기능들이 있다. 기능이 실행되도록 때때로 이 기능을 사용해야 하는 경우가 있다.

그러다 윈도우 8과 10에서 이 관리자 권한이 없어졌다. 사용자가 관리자 권한을 사용하려면, 관리자용으로 만들어진 계정으로 로그인해야 한다. 관리자 계정이 아닌 경우 관리자 권한이 주어지지 않는다. 스탠드얼론 머신의 경우 이 계정을 활성화해야 한다. 그러나 비즈니스 머신은 이를 제공하도록 구성하면 안 된다.

9. 클라우드 스토리지를 모니터링 한다
섀도우 IT와 클라우드를 큰 위험으로 간주하지 않는 사람들도 있다. 그러나 위험의 근원이 될 여지가 있다.

일반적으로 클라우드 서비스는 중소기업에 큰 도움을 준다. 그러나 이를 주의해 사용해야 한다. 드롭박스 같은 서비스 공급업체들은 일반적으로 기업이 클라우드에 저장하는 파일을 암호화한다.

그러나 공급업체가 키를 보유하고 있다. 이런 이유로 일부 경우, 박스크립토(Boxcryptor, 구글 드라이브, 드롭박스, 원드라이브, 슈가싱크 지원) 같은 써드파티 암호화 시스템을 사용하는 것이 좋다. 키에 대한 ‘지배력’을 되찾아 유지하기 위해서다.

더 중요하게, 클라우드 스토리지는 백업 스토리지와 다르다. 즉 사용자의 데이터를 잠그는 랜섬웨어 공격에 유용하지 않다.

랜섬웨어가 로컬 PC와 외장 스토리지 장비의 데이터를 암호화할 경우, 이렇게 암호화된 파일이 클라우드 스토리지에 저장된다. 클라우드 스토리지가 며칠 분량의 파일 버전을 제공할 수도 있다. 그러나 이를 되찾는데 많은 시간이 소요되고, 따라서 공유에 문제가 발생할 수도 있다.

10. 다 쓴 하드웨어를 안전하게 없앤다
다 쓴 스토리지와 스마트폰을 다른 사람에게 판매하거나 없애기 전에 안전하게 지우는 것이 아주 중요하다.

디스크 지우기 소프트웨어를 활용해야 한다. DBAN을 추천한다. 하드웨어의 데이터를 효과적으로 안전하게 지울 수 있는 무료 오픈소스 도구이다.

기타 디스크 와이프(Disk Wipe)블랑코(Blancco)도 좋다. ciokr@idg.co.kr 

CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.