1. 개요
공격 표면은 해킹이 이루어질 수 있는 여러 지점으로 해킹이 발생할 수 있는 모든 장치, 경로 및 네트워크를 포함한다.2. 공격 표면의 종류
모바일 기기를 예로 들면 Wi-Fi, 블루투스, SMS, 웹 브라우징, AirDrop 등이 모두 공격 표면이 될 수 있다. 실제로 모바일 기기의 Bluetooth 기능을 통해 원격으로 기기를 장악할 수 있는 수준의 취약점이 발견되기도 했고, MMS를 통해 기기 사용자의 조작이 전혀 필요로 하지 않는 방법으로 악성코드의 전달이 이루어지기도 했다. 콘솔 게임기의 경우 이러한 기능이 최소한으로만 들어가는 경우도 많으며, 닌텐도 스위치의 경우 3DS 시절까지 지원하던 웹 브라우징 기능을 전혀 지원하지 않고 있으며 한때는 블루투스 이어폰조차 지원하지 않았다.4차산업으로 들어서면서 클라우드 스토리지, 분산컴퓨팅[1], 모바일 등 인프라 확대에 따라 해커가 침투할 수 있는 경로가 확대되었다. 사회공학기법을 이용한 공격은 지속적으로 증가하고 있는데, 예를 들면 최근 팬데믹 코로나19 관련 이슈 키워드를 악용하여 유저의 정보를 빼내는 가짜도메인 운영과 코로나로 인한 재택근무 확대로 인한 보안 위협을 들 수 있다.
디지털화, 자동화, 원격화가 가능하고 디지털트랜스포메이션(Digital Transformation)[2]으로 혁신을 거듭하고 있지만 메타버스, 블록체인 등의 초연결 신기술 확산은 해커가 공격 할 수 있는 공간이 증가한다는 의미이기도 하다.
기업과 기관에는 수많은 네트워크 장비와 DB, 서버, 응용프로그램(어플리케이션), 도메인이 존재하는데 이러한 자산은 IP주소와 포트를 통해 운영되고 있다. 해커는 접근 가능한 포트를 물색하고 보안이 취약한 부분을 공격한다.
이 문제는 민간인, 기업 단위의 개인 정보 유출로 끝나는 것이 아니라 국가 보안까지 위협을 끼칠 만큼 민감한 문제이다. 공격 표면을 활용한 해커들의 공격 기법은 계속해서 진화하고 있으며, 심지어는 자동화 알고리즘을 구축하기에 이르고 있다고 한다.
3. 공격 표면 관리
공격(Attack), 표면(Surface), 관리(Management) 로 해외에서는 ASM으로 통용되기도 한다. 이 용어가 사용되기 전에는 포트스캐너 앤맵(nmap)으로 자사 인프라 전체를 스캐닝하며 점검하는 행위가 공격표면관리의 초기 모델에 가까웠으나 현재는 ASM 이라는 용어가 나오며 좀더 해킹의 시작점이 되는 표면에 대한 전문적인 영역이 정의되고 있다.즉, 공격표면관리(ASM)란 소유자의 디지털 자산이 안전한지 보안 취약점이 있지 않은 지 자동으로 식별하고 모니터링 하면서 공격받을 수 있는 요소들을 최소화(공격표면을 줄이기 위함) 하는 것이다.
4. 해커의 공격 과정
- 1단계: 정보수집
공격자는 타겟을 정해두지 않고 정보를 수집하는데 이는 가장 중요한 부분으로 가장 많은 시간과 노력을 투자한다. - 2단계: 정찰
공격자는 수집된 정보를 통해 취약점을 파악하고 타겟의 침투 경로를 확인한다. - 3단계: 침투
확인된 보안 취약 경로를 통해 침투 및 공격 - 4단계: 흔적 없애기
자신의 침투 흔적을 없애 추적을 불가하게 한다.
5. 기업대처
각 기업의 보안 인력은 수많은 침투경로를 끊임없이 파악해야 한다. 특히 공격표면관리를 위해 자체적으로 네트워크 외부 스캐닝을 하며 보안 구멍을 찾는 노력을 기울인다.글로벌 수준 대기업의 경우 내부 보안망을 확충하고 충분한 전문인력을 배치하여 자체적으로 24시간 모니터링을 하고 있는 곳도 있지만 보안 담당 인력이 충분하지 않거나 기존의 보안 시스템 통합의 작업이 쉽지 않은 경우가 많다.
기업 및 기관의 보안 담당자가 파악하고 있는 서버의 개수와 실제 운영되는 서버 수가 다른 경우, 보안 설정 실수로 내부 서버가 외부에 열린 경우, 자산에 보안 취약점을 보유하고 있는 경우 등 공격 표면 관리는 여러 관점에서 IT 자산을 점검해야 한다.
공격 표면 관리를 위해 취약점 진단 장비 등을 설치하기도 하지만, 에이전트 설치 등 장비 도입에는 번거로움이 따른다. 그래서 최근에는 별도의 장비 설치 없이 외부에서 공격 표면을 탐지하는 SaaS(Software as a Service)[3]형 공격 표면 관리 솔루션이 각광받고 있다.
6. 공격 표면 노출로 인한 해킹 사고
- 많은 커스텀 펌웨어들
- 미국 국방부 서버 노출 사건
미국 국방부의 일부 서버가 2주간 외부에 노출됐던 사건이다. 노출된 정보는 군사정보 및 직원의 정보까지 담겨있었다. 서버노출 이유는 마이크로소프트 Azure 클라우드의 일부 서버가 구성 오류로 2주간 비밀번호 설정없이 외부에 공개 되었기 때문이다.
다행히 노출된 서버를 통해 정보시스템을 해킹한 사람은 없다고 한다.
- 아파트 월패드 해킹 사건
월패드를 해킹해 40만 가구를 훔쳐보고 유출을 하려고 했던 사건이다. A씨는 카페, 식당 등에서 공용 인터넷 공유기 10개를 해킹해 접속 권한을 얻고 공유기를 거쳐 아파트 단지 중앙관리서버로 침입한 것으로 확인됐다. 추적을 피하기 위해 서버에 접속자 기록을 확인해도 IP주소만 남도록 했다.
서버와 월패드에 악성코드를 심은 A씨는 가구별 카메라를 조종하며 여러 집 내부를 촬영한 사건이다. 경찰청은 다크웹, 해외사이트 등에서 국내에서 촬영한 것으로 추정되는 월패드 해킹 영상이 다수 게재돼 있다고 했으며 아파트가 많은 한국이 주 표적이 되고 있다고 한다.
- 한국원자력연구원 해킹 사건
'신원불명'의 외부인이 VPN 취약점을 이용해 전산망에 침투한 사건이다. 재택근무와 같은 외부에서의 근무시 보안을 강화하면서도 내부 네트워크에 접속할 수 있는 VPN은 코로나19로 재택근무가 시급해지면서 사용이 폭발적으로 늘었지만, 모든 보안에 100%가 없는 것처럼 VPN만으로 보안을 담보할 수 없다는 사실을 알고 다양한 측면에서 보안을 강화해야 한다”고 조언했다.
7. 공격 표면 관리 보안 솔루션의 종류
시장의 태동이 얼마 되지 않아서 그런지 대부분의 공격 표면 관리 솔루션은 외산으로 라인업이 갖춰져 있다. 그래도 국내에도 드물게 공격표면관리 솔루션을 제공하는 보안 기업이 있다.7.1. 해외
Censys, IBM Randori, Mandiat, Group IP, BitSight, Microsoft RiskIQ, Security Scored,Halo Security, Immuni Web
7.2. 국내
아직 2개 회사밖에 존재하지 않는다.크리미널 IP ASM(Criminal IP ASM), 수지비(Soojibee)
[1] 다수의 컴퓨터가 공통 문제를 해결하기 위해 협업하도록 만드는 방법[2] 조직이 디지털 기술을 모든 비즈니스 영역에 통합시켜 고객 서비스 방식을 근본적으로 바꾸기 위해 적용하는 프로세스[3] 클라우드 환경에서 운영되는 애플리케이션 서비스를 말하며 모든 서비스가 클라우드에서 이뤄진다. 소프트웨어를 구입해서 PC에 설치하지 않아도 웹에서 소프트웨어를 빌려 쓸 수 있다.