관제·포렌식 기능 접목되며 방어기술 고도화
페이지 정보
작성자 최고관리자 작성일 날짜 2013-04-11 조회 조회 2,145회
본문
APT 공격에 사용되는 악성코드는 공통된 특징이 있다. 실행파일이 풀리면 누군가와 통신을 시도한다는 것이다. 공격자의 명령을 받기 위해 악성코드가 실행됐다는 사실을 알리려는 것이다. 샌드박스 기법이 이를 이용한 것으로, 악성코드로 의심되는 파일을 가상머신에서 실행시킨 후 외부와의 통신을 하는지 살펴본다.
최근에 공격자들은 여러 단계에 걸쳐 각각 다른 기능을 하는 악성코드를 흘려보내 사내 시스템에 C&C 서버 역할을 하는 악성코드를 두는 방식을 채택한다. 기존의 방식은 기업 외부의 C&C 서버와 통신했기 때문에 행위기반 분석기술에 탐지되기 쉬웠기 때문이다.
행위기반 분석기술은 네트워크 트래픽의 흐름을 분석해 이상행위 혹은 정상행위지만 이상한 행위로 해석될 수 있는 것을 찾아내며, 트래픽이 포함하고 있는 콘텐츠를 인지하거나, 트래픽이 흘러가는 상황(Context)을 지능적으로 분석해 이상행위로 의심되는 상황을 찾아낸다.
행위기반 분석기술이 고도화되면서 악성코드도 진화해 외부가 아닌 내부와 통신을 하면서 자신의 목적을 숨긴다. 따라서 사람의 트래픽으로 보기 어려울 만큼 사내 특정 시스템과 빠르게 통신을 주고받는다거나 전혀 상관없는 부서 시스템과의 통신이 자주 발생하게 된다면 이상행위로 의심된다는 경고를 받을 수 있다.
안랩은 샌드박스 기반 기술 외에 동적 지능형 콘텐츠 기능을 탑내해 한글파일과 같은 국내 환경에 특화된 제로데이 공격을 방어할 수 있다. 경량 에이전트를 제공해 감염된 컴퓨터에 대한 대응이 가능하다.
행위기반 분석기술은 네트워크 모니터링 기술이 반드시 필요하다. 네트워크 트래픽 행위를 전수조사해야 하며, 정상행위와 이상행위를 판단할 수 있는 DB가 확실하게 마련돼 있어야 한다.
이보다 한단계 더 진화한 것이 네트워크 포렌식이다. 빅데이터 기술을 적용한 네트워크 포렌식은 모든 IT에서 발생하는 정보를 빠르고 정밀하게 분석해 위협정보를 실시간으로 감지한다.
EMC의 ‘RSA 시큐리티 어낼리틱스’가 대표적인 솔루션으로, 네트워크 포렌식 기능을 탑재한 넷위트니스의 아키텍처에 통합로그 관리시스템(SIEM)을 통합하고, 빅데이터 분석 플랫폼을 접목시킨 것이다.
조남용 한국EMC 차장은 “APT 공격 시나리오는 사건마다 다르다. 공격의 패턴을 분석해 미리 예측하고 방어하는 방식으로는 알려지지 않은 새로운 공격을 막을 수 없다”며 “네트워크 포렌식과 빅데이터 분석 기술을 결합함으로써 IT에서 발생하는 모든 정보에 대한 가시성을 확보해 궁극적으로 보안을 강화할 수 있다”고 말했다.
한국EMC는 우리나라에서 대규모 보안사고가 늘어나고 있으며, APT 공격에 대한 새로운 접근법이 필요하다는 것을 인식하는 기업이 많아 시큐리티 어낼리틱스의 성장기회는 충분하다고 분석하고 있다. 특히 정교한 보안을 요구하는 금융권에서 높은 수요가 나타날 것으로 보고 있다.
한편 EMC는 최근 ‘실리시엄(Silicium)’과 ‘실버테일’을 인수하고 이 기술을 보안 제품군에 통합시키고 있다. 실리시엄은 윈도우 실행 영역의 메모리 파일을 검사해 공격의 흔적이 있는지 알아보는 것이고, 실버테일은 피싱·파밍을 막는 솔루션으로, 웹서버 앞에 설치돼 웹 페이지 활동이 정상적이지 않은 사용자를 찾아낸다. [이 게시물은 최고관리자님에 의해 2018-11-12 17:44:32 News에서 이동 됨]
최근에 공격자들은 여러 단계에 걸쳐 각각 다른 기능을 하는 악성코드를 흘려보내 사내 시스템에 C&C 서버 역할을 하는 악성코드를 두는 방식을 채택한다. 기존의 방식은 기업 외부의 C&C 서버와 통신했기 때문에 행위기반 분석기술에 탐지되기 쉬웠기 때문이다.
행위기반 분석기술은 네트워크 트래픽의 흐름을 분석해 이상행위 혹은 정상행위지만 이상한 행위로 해석될 수 있는 것을 찾아내며, 트래픽이 포함하고 있는 콘텐츠를 인지하거나, 트래픽이 흘러가는 상황(Context)을 지능적으로 분석해 이상행위로 의심되는 상황을 찾아낸다.
행위기반 분석기술이 고도화되면서 악성코드도 진화해 외부가 아닌 내부와 통신을 하면서 자신의 목적을 숨긴다. 따라서 사람의 트래픽으로 보기 어려울 만큼 사내 특정 시스템과 빠르게 통신을 주고받는다거나 전혀 상관없는 부서 시스템과의 통신이 자주 발생하게 된다면 이상행위로 의심된다는 경고를 받을 수 있다.
안랩은 샌드박스 기반 기술 외에 동적 지능형 콘텐츠 기능을 탑내해 한글파일과 같은 국내 환경에 특화된 제로데이 공격을 방어할 수 있다. 경량 에이전트를 제공해 감염된 컴퓨터에 대한 대응이 가능하다.
행위기반 분석기술은 네트워크 모니터링 기술이 반드시 필요하다. 네트워크 트래픽 행위를 전수조사해야 하며, 정상행위와 이상행위를 판단할 수 있는 DB가 확실하게 마련돼 있어야 한다.
이보다 한단계 더 진화한 것이 네트워크 포렌식이다. 빅데이터 기술을 적용한 네트워크 포렌식은 모든 IT에서 발생하는 정보를 빠르고 정밀하게 분석해 위협정보를 실시간으로 감지한다.
EMC의 ‘RSA 시큐리티 어낼리틱스’가 대표적인 솔루션으로, 네트워크 포렌식 기능을 탑재한 넷위트니스의 아키텍처에 통합로그 관리시스템(SIEM)을 통합하고, 빅데이터 분석 플랫폼을 접목시킨 것이다.
조남용 한국EMC 차장은 “APT 공격 시나리오는 사건마다 다르다. 공격의 패턴을 분석해 미리 예측하고 방어하는 방식으로는 알려지지 않은 새로운 공격을 막을 수 없다”며 “네트워크 포렌식과 빅데이터 분석 기술을 결합함으로써 IT에서 발생하는 모든 정보에 대한 가시성을 확보해 궁극적으로 보안을 강화할 수 있다”고 말했다.
한국EMC는 우리나라에서 대규모 보안사고가 늘어나고 있으며, APT 공격에 대한 새로운 접근법이 필요하다는 것을 인식하는 기업이 많아 시큐리티 어낼리틱스의 성장기회는 충분하다고 분석하고 있다. 특히 정교한 보안을 요구하는 금융권에서 높은 수요가 나타날 것으로 보고 있다.
한편 EMC는 최근 ‘실리시엄(Silicium)’과 ‘실버테일’을 인수하고 이 기술을 보안 제품군에 통합시키고 있다. 실리시엄은 윈도우 실행 영역의 메모리 파일을 검사해 공격의 흔적이 있는지 알아보는 것이고, 실버테일은 피싱·파밍을 막는 솔루션으로, 웹서버 앞에 설치돼 웹 페이지 활동이 정상적이지 않은 사용자를 찾아낸다. [이 게시물은 최고관리자님에 의해 2018-11-12 17:44:32 News에서 이동 됨]
