망분리는 보안에 완벽한 환경이 아니다. 특히 인터넷망과 업무망 사이의 망연계 구간은 보안에 취약하다. 일반적인 경우 안티바이러스(AV)로 알려진 공격을 차단하고 업무망으로 유입시키지만 AV는 너무나 쉽게 우회할 수 있다. 멀티백신 엔진을 사용한다 해도 악성코드를 인코딩하면 시그니처 기반 기술로 탐지하지 못한다.
샌드박스와 같은 APT 방어 솔루션을 추가하는 방법도 제안되지만, 샌드박스 역시 우회가 쉽고, 분석에 시간이 걸리기 때문에 실시간 자료전송을 요구하는 환경에서는 제약이 있다.
더군다나 비실행형 파일(Non-PE)이나 악성문서를 이용하는 최근 공격에 AV와 샌드박스는 대안이 될 수 없다.
Non-PE 공격 차단에 최적화된 기술을 제공하는 시큐레터가 악성문서를 제거할 수 있는 문서 무해화(CDR) 솔루션을 자사 포트폴리오에 추가하면서 지능형 공격 방어에 최적의 해법을 제시할 수 있다고 강조한다.
임차성 시큐레터 대표는 “Non-PE 방식 공격과 악성문서 공격은 기존 보안 솔루션으로 방어하지 못한다. 시그니처·행위 기반 공격 탐지 기술은 우회하기 쉽기 때문”이라며 “시큐레터는 고급 악성코드 분석 전문가들로 구성돼 있으며, 악성코드 분석 역량을 자동화한 솔루션으로 이러한 문제를 해결한다”고 말했다.
익스플로잇·악성문서 이용 공격 차단 ‘탁월’
악성코드 분석가들은 악성 콘텐츠로 의심되는 파일을 메모리에 로딩 시킨 후 익스플로잇을 발생시킴으로써 악성 파일 여부를 진단한다. 이처럼 리버스 엔지니어링으로 익스플로잇 트리거를 찾아내는 기술은 악성코드를 오랫동안 분석해 온 전문가가 아니면 구현하기 어렵다.
시큐레터는 이 기술을 자동화해 ‘SLE(SecuLetter Email)’, ‘SLF(SecuLetter FileServer)’를 출시했으며, 클라우드로 제공되는 ‘SLCS(SecuLetter Cloud Service)’도 최근 출시했다.
여기에 문서의 악성 액티브 콘텐츠를 제거하는 CDR 기술까지 추가해 기존 보안 솔루션으로 탐지·차단하지 못하는 위협을 효과적으로 차단할 수 있도록 할 계획이다.
시큐레터가 CDR을 출시하는 이유는 악성문서를 이용해 망분리 환경을 위협하는 공격이 크게 늘고 있기 때문이다. 일반적으로 망연계 구간에서는 화이트리스트에 등록되지 않은 실행파일은 업무망 내부로 들여보내지 않는다. 그래서 공격자들은 정상 문서로 위장해 공격을 진행한다. 이를 막기 위해 CDR 기술이 필요하다.
CDR도 완벽한 것은 아니다. CDR은 문서에서 액티브 콘텐츠를 제거하지만 익스플로잇을 탐지하지 못한다. 예를 들어 특정 폰트에서만 나타나는 취약점은 CDR로 해결할 수 없으며, 이를 해결하기 위해서는 해당 폰트를 다른 폰트로 바꾸어야 하는데 이 때 문서 포맷이 훼손돼 업무에 지장을 줄 수 있다. 시큐레터는 문서에서 악성행위를 할 가능성이 있는 액티브 콘텐츠만을 제거하고, 리버스엔지니어링으로 익스플로잇을 탐색한 후 정상문서일 경우에만 업무망에서 사용할 수 있도록 한다.
한국 시장 다진 후 내년 미국 진출
시큐레터는 익스플로잇 탐지 기술의 높은 성장 가능성을 인정받아 창업 1년만에 한국투자파트너스 등으로부터 20억원을 투자받았으며, 지난 4월 미국에서 열린 RSA 컨퍼런스의 주목할만한 스타트업을 선정해 전시하는 ‘얼리 스테이지 엑스포’에도 참가했다.
시큐레터의 제품은 여러 공공기관에서 사용하고 있으며, 망분리 환경에서도 운영중이다. Non-PE 탐지·분석 속도와 정확성이 높은데다가 가격경쟁력도 높아 시장에서 큰 호평을 받고 있다 .
임차성 대표는 “망분리 시장에서 특히 시큐레터 제품이 크게 주목을 받고 있다. 망연계 솔루션 기업과 함께 공급되면서 시장을 확산하고 있다”며 “시큐레터의 기술은 전 세계에서 유일하며, 경쟁력도 높다. 올해 국내 시장을 단단하게 다진 후 내년부터 미국 등 글로벌로 진출할 것”이라고 말했다.
