팔로알토 네트웍스(www.paloaltonetworks.com)는 20일 기자간담회를 갖고 랜섬웨어 예방 및 대응 방안과 지능형 엔드포인트 보안 솔루션인 ‘트랩스(Traps) 4.0’을 발표했다.

◆“랜섬웨어 이제 시작, 앞으로 엄청 늘어날 것” = 이날 최원식 팔로알토 네트웍스 코리아 사장은 “랜섬웨어는 이제 시작이다. 앞으로는 인공지능 기술까지 무장해 더욱 광범위한 공격을 퍼부을 것이다. 이러한 랜섬웨어에 대응하려면 정책 기반 보안과 선제 방어 접근법 그리고 자동화가 필요하다”고 강조했다.

‘

▲ 최원식 팔로알토 네트웍스 코리아 사장

선제 방어’라는 팔로알토 네트웍스 고유의 보안 접근 방식이 기존 보안 솔루션을 무용지물로 만드는 최신 랜섬웨어의 예방 및 대응에 최선의 방안이라는 주장이다.

실제로 팔로알토 네트웍스가 클라우드 기반 지능형지속위협(APT) 방어 및 대응 솔루션인 와일드파이어(WildFire)를 통해 전세계적으로 수집한 악성코드를 분석한 결과, 전세계 상위 6개 안티바이러스 제품에서 탐지하지 못하는 악성코드 파일이 62.5%에 달하는 것으로 조사됐다.

팔로알토 네트웍스 코리아 조현석 부장은 이러한 현상이 빚어지고 있는 배경으로 “수년 동안 시그니처 기반 보안은 알려진 공격 대부분을 빠르고 확실하게 차단하고 있지만. 해킹 기술은 이를 회피할 수 있는 더욱 비밀스럽고, 파악이 어려운 지능형 멀웨어로 빠르게 진화하고 있다”라면서 “기존에 알려진 공격에 대응하는 시그니처(Signature) 기반의 보안 대응 전략은 이제 한계에 이르고 있다”고 설명했다.

조 부장은 특히 “실행 파일 뿐만 아니라 문서나 스크립트 파일(Document File & Script File)을 통한 감염은 그 관리 범위가 광범위해 보안의 어려움을 가중시키고 있다”라면서 “PDF 파일은 플랫폼에 관계없이 풍부한 콘텐츠 배포의 도구로 자리 잡고 하루에도 이메일 첨부 파일이나 웹 다운로드 파일 등 하루에도 수천 건의 파일이 이동하고 있다. 또 시그니처 기반의 대응은 알려진 위협 스크립트를 인식할 수 있지만 코드를 분석하거나 런타임 행위를 분석할 수 없는 한계를 안고 있다”고 말했다.

여기에다 랜섬웨어의 공격 범위가 확대되고 있는 것도 그 요인으로 지적됐다. 이전의 공격자들은 주로 마이크로소프트 윈도우 시스템을 타깃으로 삼았다면 랜섬웨어의 경우 안드로이드와 리눅스는 물론 맥 OS X까지 그 공격 범위를 넓히고 있다.

이에 따라 인터넷에 연결된 모든 컴퓨터와 디바이스는 랜섬웨어의 잠재적인 타깃이 되며, 사물인터넷의 확대로 보안 위협 상황도 더욱 빈번하게 발생할 여지가 있다.

◆엔드포인트 보안 솔루션의 랜섬웨어 대응 필요 조건은? = 조현석 부장은 “랜섬웨어 공격은 빠르게 동작하는데 보통 단 몇 분 이내에 감염이 된다. 그래서 랜섬웨어 피해를 완화하거나 예방하려면 즉각적인 조치와 제어가 필요하다”라면서 엔드포인트 보안 솔루션이 갖춰야할 조건으로 ▲다양한 취약점 공격(Exploit)에 대한 보호 ▲알려진, 알려지지 않은 멀웨어 공격에 대한 선제 대응 ▲다른 보안 플랫폼과의 연동 등을 들었다.

팔로알토 네트웍스의 엔드포인트 보안 솔루션인 트랩스는 취약성 프로파일의 자동 예방 및 테크닉 기반 익스플로잇 공격 차단을 지원하며, 운영체계 커널이 악용되는 것을 방지한다.

트랩스는 또 파일 해쉬 기반의 빅데이터를 운영해 알려진 멀웨어 공격을 차단하며, 알려지지 않은 공격에 대해서는 5분 내에 신속하게 차단할 수 있는 시그니처를 자동 생성하여 트랩스에 배포한다.

더불어 머신러닝을 활용해 악성 행위를 즉시 차단할 뿐만 아니라 랜섬웨어와 같은 악의적 목적의 프로세스 행위를 정책적으로 막아준다.

팔로알토 네트웍스는 차세대 보안 플랫폼과 엔드포인트 보안을 연동시킴으로써 총체적인 보안 전략을 구현할 수 있도록 지원한다.

최근 선보인 트랩스 4.0의 새로운 기능은 ▲맥OS 및 안드로이드(베타) 지원 ▲랜섬웨어 및 지능형 공격에 자주 쓰이는 매크로 기반 공격으로부터 엔드포인트 보호. 특히 마이크로소프트 오피스 문서에 삽입된 알려지거나 알려지지 않은 악성 매크로를 우선적으로 차단 ▲스크립트 기반 공격 예방: 브라우저 및 오피스 애플리케이션 등 취약한 프로세스가 파워셸(PowerShell) 및 스크립트 엔진과 같은 민감한 툴에서 시작하지 않도록 함 ▲익스플로잇 킷 핑거프린트 보호: 취약한 엔드포인트를 식별해 공격하려는 해커들의 프로파일링 툴 ▲운영체계 자체를 노리는 지능형 공격 차단 등이다. 

 

팔로알토 네트웍스가 제시하는 랜섬웨어 대응 5계명 1. MS 오피스 파일에서 매크로 스크립트가 실행되지 않도록 할 것 마이크로소프트의 발표에 따르면 오피스 프로그램 타깃 공격의 98%가 매크로를 사용하고 있다. 매크로 스크립트를 허용하지 않음으로써 랜섬웨어를 예방할 수 있다. 전체 조직에서 오피스 매크로를 필요로 하지 않지만 매크로 기능을 사용해야 하는 부서도 있다. 예외 사항 및 특정 부서를 고려해 매크로 사용 정책을 실행해야 한다. ‘MS 오피스 2016’의 경우 관리자가 워드, 엑셀, 파워포인트 문서에서 인터넷을 통해 발생하는 매크로를 차단할 수 있도록 하는 기능이 있다. 가능한 오피스 프로그램을 업그레이드 하고 이 기능을 활용하는 것이 좋다. 2. 월별로 패치 관리 프로세스를 점검할 것 마이크로소프트의 경우 ‘패치 튜즈데이(Patch Tuesday)’를 통해 30일 이내에 시스템 패치를 설치하도록 패치 릴리즈를 실시하고 있다. 패치 프로세스를 정기적으로 점검해야 하며, 지능형 엔드포인트 제품을 통해 패치를 놓침으로써 발생할 수 있는 익스플로잇을 차단하는 것도 효과적인 방법이다. 3. 인바운드 스팸 및 멀웨어 보호 정책을 실시할 것 이메일 서버 업체에서 권고하는 방식에 따라 인바운드 메일을 차단하도록 하는 구성을 유지해야 한다. 예를 들어 실행 가능한 첨부파일은 차단하는 식의 정책을 실시해야 한다. 4. 차세대 방화벽을 통해 네트워크를 보호할 것 방화벽에서 지속적인 업데이트를 기반으로 알려진 위협은 자동으로 차단할 수 있어야 한다. 또한 샌드박싱 기능으로 알려지지 않은 위협이 엔드포인트에 도달하기 전에 이를 차단해야 한다. 샌드박싱은 지속적으로 등장하는 변종 랜섬웨어를 탐지하는데 가장 효과적인 방법이다. 방화벽/프록시에서 ‘분류되지 않은’ 웹사이트의 경우 ‘진행’ 버튼을 눌러야 다음 단계가 이뤄지는 방식으로 최종 사용자 커뮤니케이션을 지원할 수 있도록 구성해야 한다. 분류되지 않은 수많은 웹사이트들이 멀웨어 배포를 위한 피싱 공격의 타깃이 되기 때문이다. 이러한 2단계의 프로세스를 통해 외부 콜이 커맨드 앤 컨트롤 서버와 통신 하는 유형의 랜섬웨어를 차단할 수 있다. 5. 지능형 엔드포인트 보호 환경 구축 전통적인 안티바이러스 제품들은 랜섬웨어와 같은 지능형 멀웨어에 효과적이지 않다. 탐지를 피하기 위해 계속해서 변화하기 때문이다. 엔드포인트 보호 수단이 알려진 멀웨어와 알려지지 않은 멀웨어는 물론 제로데이 등의 익스플로잇을 모두 탐지하고 차단할 수 있어야 한다. 화이트리스팅(whitelisting: 신뢰할 수 있는 접근에 대한 허용)의 경우 단순하고 작은 규모의 기업에서는 유효할 수 있으나 다양한 애플리케이션을 사용하는 복잡한 구조의 기업에서는 리스트 관리에 상당한 부담이 발생하게 된다. 이 경우 랜섬웨어를 탐지하기 위해서는 테크닉 기반의 멀웨어 탐지가 이뤄져야 한다. 이를 위해서는 엔드포인트 보호 시스템에서 실시간의 위협 인텔리전스를 통해 기업적 특성과 지역, 산업을 전체적으로 아우르는 정보를 활용할 수 있어야 한다.

<박시현 기자> pcsw@bikorea.net