아시아 태평양 지역 주요 조직들은 침해 사실을 발견까지 520일이 소요되고, 이 수치는 글로벌 평균의 세 배 이상에 달하는 수치로 알려졌다.

파이어아이(지사장 전수홍 www.fireeye.kr)가 맨디언트에서 연례로 발간하는 M-트렌트 보고서의 아태지역판을 최초로 발간, 이같이 밝혔다.

보고서에 따르면, 아태지역에서 발생한 대부분의 침해사고는 대중에게 알려지지 않는다.

미국과 같이 사이버 보안 시장이 성숙한 국가들과 달리, 아태지역 대부분의 정부 및 사이버 보안 산업을 관장하는 조직들은 침해사고를 의무적으로 공개하도록 하는 법안을 갖추고 있지 않다.

따라서 아태지역 내 발생한 대부분의 침해사고는 언론에 많이 등장하지 않았다.

아태지역 조직들은 침해사고를 발견하고 대응할 준비가 돼 있지 않다.

특히 아태지역의 조직들은 기본적인 침해사고 대응 프로세스 및 계획, 위협 정보, 기술, 전문성이 부족해 공격으로부터 네트워크를 효과적으로 방어하지 못하는 경우가 많았다.

아태지역 조직들은 공격자가 시스템에 침입했다는 사실을 알아내기까지 평균 520일 즉 17개월 걸렸다.

▲ 그림1 '지역별 침해사실을 인지하는데 소요되는 일수'

▲ 그림2 '2015년 아태지역 침해사고 조사 통계'

이는 146일이 소요된 글로벌 평균의 세 배가 넘는 기간이며, EMEA(유럽, 중동, 아프리카)의 평균인 469일과 비교해볼 때도 오랜 기간이다.

실제로 17개월은 공격자가 시스템에 침입 한 후 초기 목적을 달성하기 충분한 시간이다.

일례로 맨디언트 레드팀은 목표 시스템에 최초 접근한 후 평균 3일 내에 도메인 관리자 인증정보에 접근할 수 있으며, 일단 도메인 관리자 인증정보가 유출되면 공격자가 원하는 정보를 포착, 접근, 유출하게 되는 것은 시간문제다.

따라서 침해 사실을 인지하는데 17개월이 소요된다는 것은 아직까지 아태지역 내 조직들이 사이버 침해를 방어하는데 심각한 어려움이 있다는 것을 의미한다.

맨디언트를 고용하기 전, 일부 고객사들은 자체적으로 혹은 외부업체를 고용해 포렌식 조사를 실시했지만 공격자를 시스템에서 완전히 제거하는데 실패했다.

몇몇 조직들은 맨디언트를 고용하기 전 일부 장비를 분석 한 후 이를 바탕으로 조사를 확대해가는 기존의 조사방법을 고수했으며, 이로 인해 침해의 전체적인 규모를 파악하는데 어려움을 겪었다.

또한 침해 경험이 부족한 리더에 의해 조사가 이뤄지는 경우가 많아 공격자를 특정하기 위해 필수적인 포렌식 증거를 훼손하며 상황을 더욱 악화시켰다.

맨디언트는 기업 규모의 침해사고를 정확하게 파악하고 신속하게 대응하기 위해 시스템 전수조사를 권장하고 있다.

파이어아이 맨디언트 컨설팅 APJ 부사장 롭 반데 엥드(Rob van der Ende) “사실 아태지역 조직들이 사이버 침해 탐지 및 대응을 위한 보안역량을 갖추지 않은 것은 놀랄 일이 아니다. 앞으로 아태지역의 정부기관은 적극적으로 이 문제를 해결하기 위해 노력해야 할 것”이라며 “사이버 공격을 빠르게 탐지하고 대응하기 위해서 조직은 기술, 위협 인텔리전스 그리고 전문가를 확보하고 이를 적절히 조화시킬 수 있어야 한다. 흔히 모래사장에서 바늘을 찾는 것에 비유되는 침해조사에 있어서 공격자의 바늘 찾는데 계속해서 실패하고 있는 기존의 방법을 고수하는 대신 최신의 침해 대응 기술을 도입하는 것이 효과적일 것”이라고 말했다.

전수홍 파이어아이 코리아 지사장은 “맨디언트는 풍부한 침해 조사 경험과 전문 인력을 바탕으로 글로벌 시장에서 침해사고 조사 및 대응에 있어 독보적인 서비스를 제공하고 있다. 올 하반기부터는 국내 시장에서도 본격적으로 맨디언트 서비스를 만나볼 수 있을 예정”이라며 “침해 조사 경험이 풍부한 국내 보안 인력을 맨디언트 사업부에 충원하며 이제부터 한국어 지원을 비롯한 국내 서비스가 더욱 원활해졌다. 앞으로 국내 기업들이 맨디언트 서비스를 통해 보다 체계적으로 보안 위협에 대응하고, 피해를 최소화할 수 있도록 최선을 다해 지원할 것”라고 말했다.

<김동기 기자>kdk@bikorea.net