꼰머의 보안공부

1. 사이버 위협 전망으로 살펴보는 엔드포인트 위협 시나리오 및 대응 전략

- 사이버 보안 전망

① 랜섬웨어

> 최소 공격으로 최대 수익 창출 전략

> 신속한 정보 수집과 파악이 필요

② 기생형 공격 - APT 공격

> 기업 내 인프라 장악 목표

> 시스템 전반에 걸친 통합 보안체계 구축 및 모니터링 필요

③ 파급력 높은 취약점

> Log4j, ZeroDay, BYOVD, 다크웹 등에서 활발히 거래되는 중

④ 공급망 공격

> PC 영역에서 모바일 영역으로 확대되는 중 ex) 인증서 탈취

> 개발/배포 단계에서 보안을 반드시 고려해야 함

- 엔드포인트 위협 과정: 유포 > 감염 > 권한 상승 > 내부 이동 > 정보 탈취

- 엔드포인트 대상 관제 범위 확대 필요성

> 공격 기법의 정교화: 철저한 사전 분석을 거친 타깃형 악성코드 제작

> 정상 파일 악용 보안제품 우회: 윈도우 정상 파일 또는 정상 도구들을 사용

> 파일리스 악성코드의 증가: 웹 브라우저 취약점을 악용한 파일리스 형태의 악성코드 증가

> 네트워크 기반 보안 관제 한계: 정상 인증 기반의 초기 침투 및 엔드포인트 대상의 정교화된 공격 대응 한계

> 내부 이동 공격의 가시성 제약: 내부-내부 또는 내부-외부의 방향성에 대한 가시성 문제

> 침해사고 인지의 어려움: 다양한 방식으로 지속성을 유지하는 APT의 경우 침투 부터 데이터 탈취까지 인지하기 어려움

- 엔드포인트 보안 강화를 위한 필수 솔루션

① TIP (Threat Intelligence Platform)

> 여러 소스 및 형식에서 위협 인텔 데이터를 수집, 집계 및 구성하는 기술 솔루션

> 최신 위협 정보 수집을 통해 정보유출 및 최신 공격 트렌드에 빠르게 대응

> 위협 정보 수집 및 연관성 확인 > 피해 우려 시 탐지 정책 적용 및 대응 > 최신 위협 대응

② EDR (Endpoint Detection & Response)

> 엔드포인트의 보안 강화 목적으로 구축되어 표적형 공격이나 랜섬웨어 등에 의한 사이버 공격을 탐지, 대응을 위해 사용하는 엔드포인트 보안 솔루션

> 엔드포인트 대상 행위 모니터링을 통한 위협 가시성 확보

> 위협 행위정보 수집 및 저장 > 위협 가시성 확보 > 상시 위협 모니터링

③ HIPS (Host Based IPS)

> 호스트에서 감사 기록이나 들어오는 패킷 등을 검사해 침입을 탐지 및 감염 차단을 수행하는 시스템

> 서버 OS 대상 취약점 관리, 클라우드 환경 탐지/대응, 행위 기반 위협 탐지 및 대응이 가능

- 중소 규모의 경우  SOAR Basic 사용 가능

> 모니터링 인력의 부재 or SOC 전담 부서의 부재 or 보안 업무의 자동화 or SIEM 활용의 어려움 = SOAR Basic

2. 2023년 최신 클라우드 보안 위협과 대응 방안

- 공격자가 클라우드 환경을 노리는 이유

> 해킹의 용이성: 허술한 계정 관리, 다양한 접속 경로, 빠른 탐지의 어려움 등

> 확산의 용이성: 내부 이동을 통한 계정 장악 용이

> 민감 데이터 다수 보유

- 클라우드 이용 유형에 따라 다양한 운영 환경이 존재

> 각 환경별로 적합한 보안을 구축해야할 필요성

> On-Premise 환경 대비 취약성 증가: 멀티 클라우드 운영 + 제로 트러스트 보안 + 다양한 접속 경로...

- 클라우드 보안 위협 7가지

> 데이터 유출

> 계정 탈취

> 내부자 위협

> 사용자 설정 오류

> 클라우드 보안 아키텍처 미흡

> 불안정한 인터페이스 및 API

> 신원, 엑세스 관리 미흡

> 대부분의 클라우드 보안 사고의 원인은 "최종 사용자 오류 또는 부주의" 즉, 인적자원에 인한 발생

> 팔로알토 네트웍스 조사 결과 99%가 60일동안 사용하지 않은 "과잉 권한(부적절한 권한 설정)" 부여

- 클라우드 보안 패러다임의 변화

> 개발자 중심에서 비즈니스 중심으로

> 탄력적인 적응형 시스템으로 신속한 피해 최소화

> 개발 및 운영 전반에 걸친 보안 관리의 필요

- 클라우드 위협 대응 전략 및 대응 방안

> 네트워크 위협 탐지, 취약점 탐지, 이상행위 탐지의 선행이 필요

> 최소 권한 접근 제어를 통해 제로 트러스트 보안 강화

> 클라우드 내, 외부 모두 보안 강화 필요

> 클라우드 설정 오류 방지