[데이터넷] 웹 보안에서 최근 주목하는 것은 악성 봇 차단이다. 검색엔진, 가격정책 서비스 등 정상 서비스를 위해 운영하는 정상 봇 외에 계정탈취, 디도스 공격, 웹 스크래핑, 데이터 탈취를 위한 악성봇에 의한 공격도 심각한 상황이다. F5 조사에 따르면 40%의 봇은 악성봇으로 웹 서비스에 지장을 주거나 데이터를 탈취하고 트래픽을 폭증시켜 비용을 증가시킨다.
F5는 웹방화벽을 통해 악성봇 차단 기술을 제공한다. 최근 악성봇은 기존의 봇넷 차단 기술을 우회하는 지능형 공격 기술을 갖고 있다. F5의 악성 봇 차단 기술은 행위분석 기술을 이용해 봇의 행위를 지능적으로 탐지하고 차단할 수 있다.
최근 웹 보안 솔루션 기업들이 일제히 악성 봇 차단 서비스를 출시하고 영업을 강화하고 있는데, 그 이유는 봇을 통한 계정탈취 시도가 급증하고 있기 때문이다. 최근 계정 탈취를 위해 많이 사용되는 크리덴셜 스터핑은 이미 유출된 개인정보를 웹서비스에 대입해 정상적으로 로그인 한 후 추가 정보를 탈취한다. 지능형 봇을 통해 자동으로 접속해 계정을 탈취해 기존의 부정 로그인 시도 방지 기술로는 막을 수 없다.
아카마이가 2017년 11월부터 2019년 3월까지 17개월간 웹 사이트를 대상으로 한 크리덴셜 스터핑 공격을 분석한 결과 550억건의 공격이 발견됐으며, 그 중 120억건은 게임사를 겨냥한 것이었다. 게임업계는 계정 탈취를 통해 공격자가 높은 수익을 얻을 수 있기 때문에 집중적으로 공격당했다.
아카마이의 ‘봇매니저’는 이처럼 지능적인 봇넷의 공격을 막을 수 있는 클라우드 기반 서비스로, 악성봇을 차단해 개인정보를 안전하게 보호할 뿐 아니라 봇 트래픽을 제거해 비용을 절감시키는 효과도 있다.
라드웨어도 ‘봇 매니저’ 서비스를 제공한다. 이 서비스는 올해 초 전문기업 쉴드스퀘어(ShieldSquare)를 인수하면서 자사 포트폴리오에 포함시킨 것으로, 머신러닝으로 봇 차단 규칙을 자동으로 생성해 낸다. 이 서비스는 인텐트 기반 심화 행동 분석 기술(IDBA)을 적용해 웹 애플리케이션을 보호할 수 있는 최신 보안 기술을 제공한다.
자동화된 공격 탐지·대응 시스템 인기
사회공학 기법을 이용한 공격은 일반 사용자를 감염시키는 것은 물론이고 APT와 같은 타깃 공격을 위해서도 진행된다. 따라서 APT 공격 방어를 위한 기술도 필수로 요구된다. 엔드포인트의 시그니처 기반 탐지를 제공하는 백신부터 시작해 샌드박스를 통한 알려지지 않은 공격 대응 솔루션, 네트워크와 엔드포인트에서 발생하는 침해를 탐지하고 대응하는 NDR, EDR, XDR, 글로벌 위협 정보를 활용해 최신 위협에 대응할 수 있도록 지원하는 위협 인텔리전스, 시스템 전반에서 위협을 탐지하고 대응하는 SIEM, 사용자 행위 분석(UBA) 솔루션 등 다양한 기술이 요구된다.
특히 이러한 기술들은 서로 연계되고 통합되어 하나의 보안 경계를 교묘하게 우회하는 공격도 차단할 수 있도록 한다. 개별 보안 시스템에서 이상하지 않은 행위로 넘어갔던 이벤트도, 하나의 흐름으로 모아서 보면 이상행위로 분석될 수 있다. 소량의 데이터를 외부로 유출하는 행위는 임계치 기반 보안 시스템으로 탐지할 수 없지만, UBA, SIEM 등의 모니터링 솔루션과 연계하면 확실한 이상행위를 찾아낼 수 있다.
공격 탐지 및 대응 시스템 중 최근 주목받는 것 중 하나가 ‘NDR(Network Detection and Response)’이다. IDS/IPS와 네트워크 위협 분석(NTA), 네트워크 포렌식 기술을 통합하고 위협 탐지와 대응을 지능화, 자동화 한 개념으로, SIEM, SOAR, IR 및 티케팅 시스템 등과 연계해 관제 조직의 위협 탐지와 대응 역량을 높일 수 있도록 한다.
여러 탐지·대응 시스템과 유연하게 연동하며, 전통적인 보안 관제 시스템이 분절된 데이터만을 제공해 전체 위협의 가시성을 확보하지 못했던 문제를 해결 할 수 있다. 내부에서 발생하는 이상행위를 탐지하는 것은 물론이고, 외부와의 수상한 통신 시도도 막을 수 있다.
가장 잘 알려진 NDR 솔루션으로, 다크트레이스 ‘엔터프라이즈 면역 시스템(EIS)’이 있으며, 굿어스가 국내에 공급하는 벡트라 ‘코그니토(Cognito)’도 시장의 호평을 받으면서 성장하고 이다.
구자진 굿어스 보안사업팀 수석부장은 “시그니처, 룰 기반 보안 시스템의 한계를 해결하기 위해 최근 AI를 활용한 보안 분석 기술이 다양한 분야에 적용되고 있다. 그 중 NDR은 네트워크 트래픽을 전수조사하고, 다른 보안 및 분석 솔루션과 연계해 발견된 이벤트에 대한 심층조사를 진행해 정확하게 위협을 탐지하는 기술로 전환되고 있다”고 설명했다.
한편 굿어스는 벡트라 운영 효과를 극대화 할 수 있는 써드파티 솔루션도 자체 개발해 공급하고 있다. 사용자를 인식하고 제어하며 탐지된 이벤트를 관리자에게 문자 등으로 알리는 한편, 방화벽·NAC·EDR 등과 연동해 실시간으로 조치할 수 있는 ‘V100’ 서버를 제공한다. 이 제품에서 보안 오케스트레이션, 자동화, 대응(SOAR) 기능도 일부 지원해 보안관제조직의 업무를 한층 더 덜어줄 수 있다.
구자진 수석부장은 “벡트라는 공격이 일어나기 전부터 일어난 후 까지 전 과정을 탐지하고 대응할 수 있도록 하는 NDR 솔루션으로 각광받고 있다. 굿어스의 V100 서버를 연동하면 더 정확한 보안 탐지와 대응이 가능하다. V100 기능을 지속적으로 업그레이드하고 자동화 기능을 강화하면서 SOAR 역량까지 강화할 수 있도록 할 것”이라고 말했다.
