개발자를 위한 보안 정복: 공유 및 학습 시리즈 - 불충분한 로깅 및 모니터링

이 블로그 시리즈를 통해 다양한 주제를 다루면서, 해커들이 네트워크를 공격하고 방어 체계를 우회하기 위해 사용하는 여러 위험한 취약점과 악성 익스플로잇을 살펴보았습니다. 프로그래밍 언어의 약점 악용부터 다양한 형식을 이용한 코드 삽입, 전송 중인 데이터 탈취에 이르기까지 그 범위는 매우 넓습니다. 이러한 위협들은 다양하지만, 공격이 성공할 때마다 피해를 입은 애플리케이션에서 공통적으로 발견되는 요소가 하나 있습니다.

불충분한 로깅 및 모니터링은 애플리케이션의 방어 체계 내에서 존재할 수 있는 가장 위험한 상태 중 하나입니다. 이러한 취약점이나 상태가 존재한다면, 이를 대상으로 하는 거의 모든 고도화된 공격은 결국 성공하게 됩니다. 로깅과 모니터링이 불충분하다는 것은 공격이나 공격 시도가 발생하더라도 이를 발견하는 데 매우 오랜 시간이 걸리거나 아예 발견하지 못한다는 것을 의미합니다. 이는 기본적으로 공격자에게 유용한 취약점을 찾아 악용할 수 있는 충분한 시간을 제공하는 셈입니다.

이번 에피소드에서는 다음 내용을 배웁니다:

• 공격자가 불충분한 로깅 및 모니터링을 악용하는 방법
• 불충분한 로깅 및 모니터링이 위험한 이유
• 이 취약점을 해결할 수 있는 기술.

공격자는 어떻게 불충분한 로깅 및 모니터링을 악용할까요?

처음에 공격자는 시스템이 제대로 모니터링되고 있는지, 혹은 로그 파일이 의심스러운 활동에 대해 검토되고 있는지 알지 못합니다. 하지만 이를 확인하는 것은 매우 쉽습니다. 공격자들은 때때로 흔히 사용되는 비밀번호로 사용자 데이터베이스를 조회하는 등 다소 투박한 형태의 무차별 대입 공격을 시도합니다. 그런 다음 며칠을 기다렸다가 같은 방식의 공격을 다시 시도합니다. 두 번째 시도에서도 차단되지 않는다면, 이는 로그 파일에서 의심스러운 활동을 면밀히 모니터링하는 사람이 없다는 확실한 신호가 됩니다.

애플리케이션의 방어를 테스트하고 활성 모니터링 수준을 파악하는 것이 비교적 간단하긴 하지만, 이것이 공격 성공의 필수 조건은 아닙니다. 공격자들은 최대한 흔적을 남기지 않는 방식으로 공격을 시작할 수 있습니다. 너무 많은 경고로 인한 피로감, 잘못된 보안 설정, 혹은 단순히 악용 가능한 취약점이 너무 많은 상황이 겹치면, 방어자가 공격자의 존재를 알아차리기도 전에 공격자가 목표를 달성할 시간은 충분히 주어지게 됩니다.

불충분한 로깅 및 모니터링이 위험한 이유는 무엇일까요?

불충분한 로깅 및 모니터링이 위험한 이유는 공격자에게 공격을 시작할 시간뿐만 아니라, 방어자가 대응에 나서기 훨씬 전에 목표를 달성할 시간을 주기 때문입니다. 얼마나 많은 시간이 걸리는지는 공격받는 네트워크에 따라 다르지만, OWASP(Open Web Application Security Project)와 같은 여러 단체에서는 침해된 네트워크의 평균 대응 시간을 191일 이상으로 보고 있습니다.

잠시 생각해 보십시오. 은행이 강도를 당해 사람들이 경찰에 신고했는데, 경찰이 대응하는 데 반년이 걸린다면 어떤 일이 벌어질까요?

경찰이 도착했을 때 강도들은 이미 사라지고 없을 것입니다. 사실, 경찰이 첫 번째 사건에 대응하기도 전에 같은 은행이 여러 번 더 털릴 수도 있습니다.

사이버 보안도 이와 같습니다. 뉴스에서 접하는 대부분의 대규모 침해 사고는 단번에 들이닥쳐 물건을 훔쳐가는 식의 운영이 아닙니다. 종종 표적이 된 조직은 공격자가 수개월 또는 수년 동안 데이터에 대한 거의 완전한 통제권을 가진 후에야 침해 사실을 알게 됩니다. 바로 이 점 때문에 불충분한 로깅 및 모니터링은 올바른 사이버 보안을 실천하려 할 때 발생할 수 있는 가장 위험한 상황 중 하나가 됩니다.

불충분한 로깅 및 모니터링 제거하기

불충분한 로깅 및 모니터링을 방지하려면 두 가지가 중요합니다. 첫째, 모든 애플리케이션은 서버 측 입력 유효성 검사 실패를 모니터링하고 기록할 수 있어야 하며, 보안 팀이 공격자가 사용하는 도구와 기술(사용자 계정까지는 아니더라도)을 식별할 수 있도록 충분한 사용자 컨텍스트를 제공해야 합니다. 또는 이러한 입력을 STIX(Structured Threat Information eXpression)와 같은 언어로 형식화하여 보안 도구가 이를 빠르게 처리하고 적절한 경고를 생성할 수 있도록 해야 합니다.

둘째, 단순히 좋은 경고를 생성하는 것만으로는 충분하지 않습니다. 조직은 경고가 적시에 조사될 수 있도록 역할과 책임을 명확히 해야 합니다. 실제로 많은 성공적인 침해 사고에서 공격받은 네트워크에 경고가 발생했지만, 책임 소재가 불분명하여 해당 경고가 무시되었습니다. 누가 대응해야 할지 아무도 모르거나, 다른 누군가가 문제를 확인하고 있을 것이라고 지레짐작했기 때문입니다.

책임을 할당할 때 시작하기 좋은 방법은 미국 국립표준기술연구소(NIST)에서 권장하는 특별 간행물 800-61과 같은 사고 대응 및 복구 계획을 채택하는 것입니다. 다양한 산업 분야에 특화된 다른 참고 문서들도 있으며, 이를 반드시 그대로 따를 필요는 없습니다. 하지만 조직 내에서 누가 경고에 대응할지, 그리고 어떻게 적시에 대응할지를 정의하는 계획을 수립하는 것은 매우 중요합니다.

불충분한 로깅 및 모니터링에 대한 추가 정보

더 자세한 내용은 OWASP에서 제공하는 불충분한 로깅 및 모니터링 관련 문서를 확인해 보시기 바랍니다. 또한, 사이버 보안 팀을 최고의 사이버 전사로 훈련시키는 Secure Code Warrior 플랫폼의 무료 데모를 통해 새롭게 습득한 방어 지식을 테스트해 볼 수도 있습니다. 이 취약점과 그 외 다양한 위협들을 물리치는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문해 주십시오.

지금 바로 불충분한 로깅 및 모니터링 문제를 찾아 해결하고 제거할 준비가 되셨나요? 트레이닝 아레나로 이동하세요: [여기서 시작하기]