가장 가까운 곳에 숨겨진 위협: 솔라윈즈(SolarWinds) 사태가 단순한 사이버 공격 이상의 의미를 갖는 이유

이 기사의 일부 내용은 Dark Reading에 게재되었으며, 업데이트를 거쳐 이곳에 다시 게시되었습니다.

‍

사이버 보안 업계의 크리스마스를 망칠 만한 사건이 있다면, 그것은 미국 정부 역사상 최대 규모의 사이버 첩보 사건으로 기록될 파괴적인 데이터 유출 사고일 것입니다.

솔라윈즈(SolarWinds) 공격은 그 영향력이 매우 광범위하며, 위협 행위자들은 이미 2019년 중반부터 소프트웨어를 침해했습니다. 수개월에 걸친 이 범행은 2020년 12월, 저명한 사이버 보안 기업인 파이어아이(FireEye)를 침투하는 데 사용되면서 세상에 드러났고, 악몽은 거기서부터 시작되었습니다. 유출의 전체 범위는 여전히 조사 중이지만, 주요 침투 대상에는 미국 국무부, 국토안보부, 상무부, 재무부와 더불어 국립보건원이 포함되어 있습니다.

이번 사건의 여파는 지속되겠지만, 그 정교함은 놀라울 따름입니다. 기술적인 측면에서 볼 때, 이는 단순한 해커들이 흔히 저지르는 뻔한 오류를 악용하는 수준을 훨씬 뛰어넘는, 맞춤형 악성 도구와 백도어, 그리고 은폐된 코드를 활용한 다층적 침투입니다.

최악의 코드 세탁

크라우드스트라이크(CrowdStrike)는 이번 공격을 역공학으로 분석하여 그 결과를 상세히 공개하는 놀라운 성과를 보여주었습니다. 밝혀진 바에 따르면, 솔라윈즈는 인프라 침해의 피해자였으며, 공격자들은 시스템 업데이트에 악성 코드를 주입하여 최소 4개의 개별 악성 소프트웨어를 통해 전례 없는 접근 권한을 확보했습니다.

이 방식은 매우 은밀했으며, 마치 제이슨 본 소설에 나올 법한 전략적 정밀함을 보여주었습니다. 공격자들은 이 포괄적인 공급망 공격을 통해 솔라윈즈 네트워크 외부의 피해자들을 원하는 시점에 정확히 타격하고, 정찰하고, 계획할 시간을 벌었습니다. 그리고 이 모든 과정은 완전히 무해해 보이는 코드를 통해 수행되었습니다.

사이버 공격은 종종 단순하지만 치명적인 실수에서 비롯됩니다. 일단 발견되고 나면 그 실수는 꽤 명확해 보입니다. 잘못 구성된 네트워크, 평문으로 저장된 비밀번호, 또는 알려진 취약점에 노출된 채 방치된 패치되지 않은 소프트웨어 등이 그 예입니다. 하지만 이번 사건의 코드는 개발자나 보안 엔지니어의 눈에도 전혀 띄지 않았습니다. 수많은 고가의 복잡한 보안 기술조차 이를 탐지하지 못했습니다.

보안 모니터링 및 모의 해킹 도구들은 사실상 무용지물이었습니다

보안 전문가는 매우 희귀한 존재이기에, 기업은 방대한 데이터와 소프트웨어, 인프라를 보호하기 위해 비즈니스 보안 요구 사항에 맞춘 기술 스택의 도움을 받습니다. 이는 보통 네트워크 방화벽, 자동화된 모의 해킹, 모니터링 및 스캔 도구와 같은 구성 요소로 나타나며, 특히 후자는 소프트웨어 개발 과정에서 많은 시간을 소모합니다. 이러한 도구들은 금세 관리하기 어려울 정도로 복잡해질 수 있으며, 많은 기업이 300개 이상의 다양한 제품과 서비스를 사용하고 있습니다.

솔라윈즈는 코드 내 보안 버그를 찾아내고, 무단 네트워크 접근 시도를 포착하며, 인프라의 잠재적 침해를 감지하고, 심지어 탐지 회피 징후까지 잡아내는 엄청난 도구들을 갖추고 있었을 것입니다. 이러한 위협 행위자들이 가장 진보된 보안 스택조차 통과하여 악성 코드를 주입했다는 것은 전례 없는 일입니다.

인프라 강화, 특히 접근 제어는 일반적인 사이버 보안 모범 사례의 핵심 요소입니다. 하지만 공격자가 아주 작은 기회의 창을 조용히 악용할 수 있다면, 독립형 소프트웨어의 취약점과 마찬가지로 네트워크도 쉽게 침해될 수 있습니다.

이번 유출 사고는 네트워크 인프라와 소프트웨어를 보호하기 위해 도구에만 지나치게 의존하는 기업이 얼마나 큰 위험을 감수하고 있는지를 상기시켜 줍니다. 코드를 보호하는 것만으로는 충분하지 않습니다. 코드를 저장, 실행, 컴파일하는 모든 환경이 동일하게 강화되어야 합니다. 이상적인 상태는 도구와 사람이 균형을 이루어, 잠재적인 공격 표면을 깊이 있게 평가하고 축소하는 강력한 전략을 실행하는 것입니다.

팀 간 보안 인식 공유가 더 나은 위협 모델링을 만든다

솔라윈즈 유출 사고는 이미 보안 운영, 특히 정부 차원에서 상당한 영향을 미치기 시작했습니다. 전문가들은 이번 사건이 사이버 보안 관행을 영원히 바꿀 수 있다고 주장합니다.

점점 더 디지털화되는 인프라가 우리 삶을 지탱하고 있으며, 세심하게 관리하지 않으면 공격에 취약해질 수 있음에도 불구하고 우리의 전반적인 전략은 결함이 있습니다. 보안 전문 인력은 턱없이 부족하지만, 이 격차를 줄이기 위한 노력은 미흡합니다. 인간 중심의 보안 인식은 사이버 보안에서 과소평가된 요소이며, 사후 대응보다 예방을 우선시하는 것 또한 마찬가지입니다.

인프라 보안은 여러 요소가 얽힌 복잡한 작업이지만, 소프트웨어 개발 과정에서와 마찬가지로 개발자들도 적절한 교육과 보안 인식을 갖춘다면 구조적 위험을 줄이는 데 큰 자산이 될 수 있습니다.

위협 모델링은 공급망 공격을 거의 고려하지 않습니다. 이러한 유형의 공격은 이미 2012년부터 현재의 기술로는 예방하기 어려운 핵심 위험으로 지적되어 왔음에도 불구하고, 많은 기업이 이에 대해 준비가 부족한 상태입니다. 소프트웨어 개발자들은 예방에 있어 확실히 중요한 역할을 할 수 있으며, 이는 개발자들이 역량을 강화하고 코드 무결성을 내부에서부터 평가할 수 있도록 하는 것에서 시작됩니다. 업데이트 메커니즘을 안전하게 구축했는가? 소프트웨어가 악성 침해를 쉽게 허용할 수 있는 불필요한 연결성을 가지고 실행되고 있지는 않은가?

보안이 곧 소프트웨어 품질과 동의어가 된 오늘날, 보안을 고려하는 엔지니어가 제공하는 엄청난 가치는 쉽게 확인할 수 있습니다.