01. 개요

2022년 2월 24일 러시아 대통령의 특별 군사작전 개시 명령으로 발발한 러시아와 우크라이나 전쟁에 이어, 2023년 10월 7일 팔레스타인 무장 정파 하마스가 이스라엘을 상대로 대규모 침공을 감행하였다. 국가 간의 무력 충돌 장기화로 인한 세계 경제 악화 및 러시아와 미국을 포함한 서방 국가 간의 이해충돌 심화로 인해 패권 경쟁이 최고점에 달하면서 정치와 안보, 국방, 외교, 의료, 금융 등 주요 분야에서 물리적 충돌을 넘어 사이버 충돌을 활용함에 따라 긴장감이 고조되고 있다. 전쟁으로 인한 에너지 위기는 고물가로 인한 성장 동력 상실로 이어졌고, 높은 인플레이션과 금융 불안정으로 인해 불확실성도 높아지고 있다.

정치적·경제적 목적에 따른 무력 충돌 장기화로 인해 전 세계적인 경제위기와 사이버 공격에도 악영향을 미치고 있다. 국가 간 경제적·외교적 분쟁으로 인한 경제제재로 외화수급에 차질이 생기면서 일부 국가에서는 국가 주도의 사이버 공격 그룹이 상대 진영을 대상으로 중요 정보 탈취나 랜섬웨어 공격 및 암호화폐 탈취 등 금전을 목적으로 한 공격을 시도했다. 그러나 국제 제재 강화와 암호화폐의 시장 가치 변동성 심화와 맞물리면서 암호화폐의 현금화까지 어려워지자 보다 광범위한 분야의 사이버 공격을 감행하기에 이르렀다.

사이버 공격으로 인한 국가 및 범죄그룹의 범죄수익 현금화를 위한 가상화폐 대응들을 골자로 2021년부터 50여 개국이 참여한 랜섬웨어 공격 행위자의 대응 및 공격에 대한 회복력 강화 등을 위한 국제 협력체계인 CRI(Counter Ransomware Initiative)를 개최하여 사이버 공격으로 인한 심각성과 경각심을 고취하고 있다. 2023년에는 3년 차를 맞아 범죄자금 목적으로 사용되는 암호화폐 지갑 블랙리스트 공유 및 랜섬웨어 공격 대응에 대한 협력 등을 담은 공동 정책 성명을 채택하면서 사이버 보안 방어역량 강화를 위한 전 세계적인 대응체계를 구축하기 위한 노력을 지속하고 있다.

국가 지원형 사이버 공격그룹의 공급망(Supply Chain) 공격은 2024년에도 지속될 것으로 예상된다. 2023년 2월 반도체 회사인 어플라이드 머티어리얼즈(Applied Materials)는 공급망 공격으로 2023년 1분기에만 2억 5천만 달러의 피해가 예상되었다. 2023년 3월에는 북한 해킹그룹 라자루스(Lazarus)가 3CX 데스크톱앱(DesktopApp) 공급망 공격을 수행하였으며, 2023년 6월에는 랜섬웨어 공격 그룹 클롭(Cl0p)이 CVE-2023-34362와 CVE-2023-35036 취약점을 이용해 무브잇 트랜스퍼(MOVEit Transfer) 공급망 공격으로 620여 개의 조직에서 보유하고 있는 개인 식별정보, 직원 주소, ID, 생년월일, 국민보험번호 등이 유출되는 사고가 발생하였다. 사이버시큐리티 벤쳐스(Cybersecurity Ventures)에 따르면 소프트웨어 공급망 공격으로 인한 연간 피해 금액은 2025년까지 600억 달러에 이르며 2031년까지는 1,380억 달러에 육박할 것으로 전망하였다.

사회적으로 보면 2024년은 전 세계적인 정치 이슈로 인한 사이버 공격의 불안이 극대화될 것으로 전망한다. 2024년 4월 10일에 실시 예정인 제22대 국회의원 선거 이외에도 러시아, 우크라이나, 미국, 핀란드, 멕시코, 베네수엘라 등의 주요 국가들은 국정 기조에 막대한 영향을 줄 수 있는 대통령 선거를 앞두고 있어 이를 악용한 사회 공학적 공격이 심화할 것으로 예상된다. 마이크로소프트 오피스(MS Office)를 이용한 문서형 악성코드에서 주로 사용하던 매크로 기능도 차단 정책과 함께 공격자들이 기민하게 대응하며 새로운 공격 벡터가 증가하는 것처럼 보안 강화 정책에 따른 공격자들의 발 빠른 대응은 지속될 것으로 보인다.

챗GPT(ChatGPT)의 성공으로 파괴적 혁신을 불러일으키는 생성형 AI(Generative AI)는 인공지능(AI)으로 인한 사이버 공격 악용 및 적대적 공격으로 인한 안전성 이슈와 함께 안전한 인공지능 생태계 조성을 위한 다양한 움직임이 보인다. 책임 있는 AI 원칙(Responsible AI)을 위해 SAIF(Secure AI Framework), FMTI(The Foundation Model Transparency Index), FATE(Fairness, Accountability, Transparency) 등의 보안 이니셔티브 발족 및 보안 가이드라인 배포 등을 통해 인공지능과 자동화로 인한 사회적 불평등과 차별을 해소하기 위하여 투명성과 책임성, 프라이버시 등을 확보해야 한다.

디지털 전환을 통해 IT와 OT를 넘어 융합 생태계의 파괴적인 성장으로 새로운 공격 접점이 증가하며 위험 체인화(Risk Chaining)가 심화하고 있다. 경제위기와 국제 정세 불안의 환경 속에서 사이버 환경의 위험을 최소화하기 위해 2024년의 보안 위협을 예측하고 위협에 대응할 수 있는 기술과 전략을 통해 더욱 안전한 보안 생태계 조성을 위한 방안을 제시하고자 한다.

02. 2024년 5대 사이버 보안 위협 전망

1) 국가 지원 기반 공급망 공격 증가

2024년 사이버 보안을 관통하는 하나의 키워드를 꼽는다면 단연 국가 지원 사이버 공격으로 인한 공급망(Supply Chain) 공격 증가라 할 수 있다. 사이버 공격이 단편적인 관점에서는 사회 이슈를 이용한 악성 메일 유포나 파일 업로드 취약점으로 인한 홈페이지 변조 및 악성코드 유포 등으로 치부될 수 있으나, 좀 더 자세히 살펴보면 정치적·경제적·사회적·기술적 이해관계가 결합한 산출물이라는 것을 알 수 있다. 따라서 사이버 공격을 이해하기 위해서는 사이버 공격을 구성하고 있는 다양한 요소의 영향도와 상관관계를 고려해야 한다.

공급망에 침투해 사용자에게 전달되는 하드웨어나 소프트웨어 등을 변조하는 공격 형태를 의미하는 공급망 공격은 차세대 IT 기술을 접목한 융합 생태계의 확산으로 인해 소프트웨어를 기반으로 재편되고 있다. 공급망 생태계 전반에서 소프트웨어와 결합이 됨에 따라 소프트웨어 생태계(SDLC, CI/CD 등)의 무결성(Integrity)을 저해하는 공격행위로 인해 제품 및 서비스에 영향을 미치는 공격이 증가하는 추세다. 소프트웨어 기반의 공급망에서는 공격 대상 상당수가 다수의 시스템을 운영 및 관리하기 위한 목적으로 사용되는 소프트웨어를 타깃으로 한다는 점이다. [표 보안 위협 1-1]과 같이 2021년부터 최근 3년간 발생한 소프트웨어 기반의 공급망 공격을 살펴보면 국가지원 사이버 공격그룹에 의한 공격으로 경제적·사회적 측면의 피해가 늘어나고 있는 것을 알 수 있다.

국가지원 사이버 공격으로 인한 공급망 공격의 영향 요소를 [표 보안 위협 1-2]와 같이 환경적 요인과 기술적 요인, 금전적 목적과 정치적 목적으로 분류할 수 있다. 먼저 공급망 공격을 유발하는 환경적인 요인과 기술적인 요인을 차례로 살펴보면 환경적 요인에서는 효율성과 생산성 향상을 위한 목적으로 독립적인 서비스 단위의 모듈화를 통해 상호연계가 가능한 API 기반의 마이크로 서비스 아키텍처(MSA)를 추구하면서 소프트웨어 개발 생태계가 변화되었다. 이러한 소프트웨어 생태계의 변화와 인공지능(AI), 클라우드, 사물인터넷(IoT), 블록체인, 모바일, 5G/6G 등의 차세대 기술의 발전이 비즈니스 생태계에도 영향을 미치면서 생태계 전반의 연계성이 강화되고 공급망의 경계가 모호해지기 시작했다.

기술의 발전과 환경의 변화는 공격자들에게도 영향을 미쳤다. 공격자들 역시 공격 대상에 피해를 야기하기 위한 악성코드의 탐지 기술의 발전됨에 따라 이를 우회하기 위해 파일리스(Fileless) 공격으로 진화하고 있으며, 공격 도구 역시 코발트 스트라이크(Cobalt Strike), 메타스플로잇(Metasploit), 실버(Silver), 브루트 라텔(Brute Ratel), 만주사카(Manjusaka), 알키미스트(Alchimist) 등의 레드팀(RedTeam) 상용도구와 오픈소스소프트웨어(OSS) 및 LotL(Living Off the Land) 도구를 사용한다. 사이버 공격 정확성 향상 및 보안 아키텍처 우회 등 기존 사이버 보안체계 무력화를 위한 인공지능 활용 및 실증사례가 증가함에 따라 생성형AI(Generative AI)를 이용한 사이버 공격과 악성코드 생성 및 악성 메일을 위한 공격 시나리오 구성 등이 문제가 되고 있다.

국가 지원 사이버 공격으로 인한 공급망 공격의 가장 주요한 원인은 공격자들의 공격 목적인 금전적 목적과 정치적 목적으로 모두 획득할 수 있기 때문이다. 국가 지원 사이버 공격의 대표적인 국가 중 하나인 북한의 사이버 공격 현황에 대한 내용을 분석한 국가안보전략연구원의 ‘진화하는 북한의 사이버 공격 현황과 대응’에 따르면 2022년에 이어 2023년에도 북한은 암호화폐 공격을 시도하였으나 가격 변동성과 현금화 문제 이외에도 주요 국가들의 감시와 제재 강화 등으로 탈취 금액이 감소하면서 새로운 공격 패러다임을 시도하고 있다고 밝혔다. [표 보안 위협 1-3]과 같이 범죄자금 획득을 위한 제약사항을 해소하기 위해 공격 대상을 변경하거나 탈취한 암호화폐를 세탁하기 위한 자금세탁 채널 확보 및 공격 그룹 간의 정보 공유를 통한 협업체계를 강화하는 방식으로 새로운 돌파구를 찾기 위한 변화의 움직임이 보이기 시작했다.

국내도 더 이상 사이버 공격의 안전지대가 아니다. 북한 정찰총국(RGB)에서 운영하는 해킹그룹인 김수키(Kimsuky) 이외에도 라자루스(Lazarus), 레드아이즈(Red Eyes), 스카크러프트(Scarcruft), 안다리엘(Andariel), 블루노로프(BlueNoroff) 등 다양한 공격그룹이 국내에서 활동하고 있으며, 2023년 11월 1일 국가정보원 등에 따르면 북한 발 사이버 공격은 일일 평균 약 150만 건에 달한다며 이 같은 수치는 종전 130만 건에서 20만 건가량 증가한 수치다. 최근에는 북한에서는 정찰총국과 인민군 산하 사이버 공격 조직을 재정비했으므로 다가오는 2024년에는 국가 주도의 사이버 공격으로 인한 막대한 피해가 예상된다.

북한의 해킹그룹 라자루스는 2023년 상반기에 국내 금융 보안 솔루션 이니세이프 크로스웹 EX V3(INISAFE CrossWeb EX V3)와 매직라인 (MagicLine4NX) 취약점을 이용해서 타깃 기관 내에 악성 프로그램을 설치 후 정보를 탈취하는 등의 공급망 공격이 발생하였다. 이에 따라 한국인터넷진흥원(KISA)에서는 2023년 3월 ‘INISAFE CrossWeb EX V3 보안 업데이트 권고’를 발표하였으며, 2023년 11월에는 ‘보안인증 소프트웨어 구버전(MagicLine4NX 1.0.0.26 이하) 보안조치 안내’를 통해 북한 해킹그룹에서 MagicLine4NX 구버전을 여전히 악용하고 있는 정황이 확인됨에 따라 해당 소프트웨어를 삭제 혹은 최신 버전으로 업데이트를 권고하며 2023년 6월 권고된 보안 업데이트 조치를 독려하기도 하였다. 이외에도 공인인증 솔루션 베스트서트(VestCert)와 자산관리 솔루션 티씨오 스트림(TCO!Stream)의 취약점을 이용한 공급망 공격 사례도 발생하였다.

2023년 11월 한국과 영국 사이버안보기관은 韓-英 정상 간 「전략적 사이버 파트너십」 체결 이후 첫 성과물로 북한의 소프트웨어 공급망 해킹 위협을 경고하면서 보안 솔루션을 이용한 공급망 공격 사례 중 라자루스가 MagicLine4NX 보안인증 소프트웨어와 망연계 장비 취약점을 악용해 내부망에 접근한 공격사례를 통해서 공격 절차를 공개하기도 하였다.

[ 제로데이 취약점을 이용한 공급망 제품 공격 흐름 ]

① 공격자는 언론사 홈페이지를 해킹하여 특정 기사에 악성 스크립트를 은닉하고 워터링홀을 구축한다. 악성 스크립트는 특정 IP 대역이 접속할 경우 동작하게 구현되게 된다.

② 피해자는 보안인증 소프트웨어가 설치된 인터넷 PC로 해당 기사를 열람하면 소프트웨어에 내재된 취약점에 의해 악성 스크립트가 동작한다. 피해자 PC가 C2 서버에 접속하면 악성코드가 설치되고, 공격자는 C2 서버를 통해 피해자 PC에 대한 원격제어 권한을 획득한다.

③ 공격자는 망연계 제품 취약점을 통해 인터넷 PC에서 외부서버로 권한없이 접근할 수 있었으며, 망연계 제품의 데이터 동기화 기능을 악용하여 내부서버에 악성코드를 전파한다. 공격자는 최종적으로 업무 PC에 정보 절취용 악성코드를 감염시킨다.

④ 업무 PC에 설치된 악성코드는 2개의 C2 서버주소를 가지고 있다. 1차 C2 서버는 망연계 제품 내부 서버로 중간에서 게이트웨이 역할을 담당하고, 2차 C2는 실제 외부 인터넷에 위치한 서버다. 이 악성코드는 초기 감염신호를 전송하고 암호화된 추가 페이로드를 다운로드 받아 실행하는 기능이 있다. 악성코드는 초기 감염신호를 C2서버에 전송하기 위해 망연계 제품 내부서버에서 외부서버로 이동을 시도하지만 확인된 피해 사례의 경우 제품의 보안정책에 의해 차단되어 내부망의 정보가 유출되지 않았다.

국가지원 사이버 공격으로 인한 공급망 공격으로 인한 영향도는 단순 취약점으로 인한 이슈보다도 공격 목적과 공격 기법 등에서 일반적인 공격을 넘어설 수 있기 때문에 공격의 영향도가 높다고 할 수 있다. [그림 보안 위협 1-2]은 소프트웨어 기반 공급망 공격이 발생하는 지점의 공격 구성도를 정리한 내용이다. 소프트웨어 공급망은 국가 지원 사이버 공격 그룹이 좋아하는 공격 벡터로써 공격 지점이 다양하기 때문에 다수의 공격 대상을 타깃으로 공격을 감행할 수 있는 특징이 있다.

공격자는 공급망을 구성하는 서드파티 툴(3rd Party Tools)의 종속성(Dependency)을 이용하여 API, 리포지토리(Repository) 등을 공격하여 소프트웨어 공급망을 공격하거나 소프트웨어 공급망의 가장 첫 시작점인 클라이언트 관점(Client-Side)을 공격하거나 공급망의 가장 끝점인 서버 관점(Server-Side)을 공격할 수 있게 된다. 공격의 지점에 따라서 공격의 방식과 기술이 상이하나, 일반적으로 부적절한 인증 및 인가(Authentication & Authorization)나 잘못된 보안 설정(Misconfiguration), 무결성 저해 등으로 인해 공격이 발생하게 된다.

공급망 공격이 앞선 사례들과 같이 특정 영역을 공격하는 것이 아니라 소프트웨어 공급망을 구성하고 있는 요소라면 공격 벡터로 악용될 수 있고 악용된 공격 벡터에 의해 최종적으로 다수의 피해자가 발생할 수 있게 된다. 따라서 [그림 보안 위협 1-2]에서 주목해야 하는 점은 소프트웨어 공급망 전체 흐름에서 공격자의 공격으로 인해 피해가 확산할 수 있는 범위를 최소화할 수 있는 방안을 고려해야 한다.

2023년 국가 지원 공급망 공격 사례 중 가장 대표적인 2가지 사례인 3CX와 점프클라우드(JumpCloud) 사례를 통해 국가 지원 사이버 공격으로 인한 공급망 공격의 영향도에 대해서 자세히 살펴보고자 한다. 3CX 공급망 공격 사례는 앞서 언급한 북한의 소프트웨어 공급망 관련 韓-英 합동 사이버 보안 권고 내에서도 소프트웨어 공급망 사례로 제시된 사건 중 하나다.

자료에 따르면 북한 해커조직은 항공우주·의료 등 분야 60만 기업·기관이 사용하는 화상통신 소프트웨어인 3CX ‘데스크톱앱(Desktop App)’을 타깃으로 공급망 공격을 시도하였으며, 해커는 3CX 개발 과정에 침투하여 설치 프로그램에 악성코드를 은닉해 3CX 공식 웹사이트를 통해 수많은 고객의 PC 등을 감염시키게 되었다. 피해 시스템에 설치된 악성코드는 최소 7일이 지난 시점에 가동되어 3CX 계정정보를 포함한 크롬 및 엣지 등의 브라우저 정보를 탈취하는 피해가 발생되었다.

3CX 공급망 공격은 3CX가 배포하는 Desktop App 소프트웨어가 손상되어 윈도(Windows)와 맥 OS(Mac OS) 모두에 영향을 미치는 악성코드가 배포된 사건이라 볼 수 있다. Windows 운영체제에서 동작하는 악성코드를 기준으로 공격 흐름을 분석해 보면 먼저 공격자들은 3CX 소프트웨어를 위해 서명된 설치 프로그램 실행 파일 내부에 악성코드를 추가하게 된다. 합법적인 경로를 통해 설치 프로그램이 배포될 때, 공격자들은 3CX 네트워크에 침투해서 3CX 소프트웨어의 빌드 프로세스를 조작할 수 있는 위치하게 된다.

이후 7일간의 대기상태를 거쳐 악성코드는 암호화된 페이로드를 로드하고, 페이로드는 3CX 소프트웨어에 포함된 DLL에 추가하게 된다. 페이로드는 깃허브(GitHub)에서 공격자가 추가 공격을 위한 C2 목록을 다운로드하여 다음 단계를 다운로드하기 위해 해당 도메인 중 하나와 연결을 하고 공격 대상의 3CX 계정정보를 포함하여 브라우저 기록을 추출하고 필터링하는 과정을 거치는 것으로 확인되었다. Mac OS에서도 악성코드의 대기 시간이 일부 상이할 뿐 전반적인 공격 프로세스는 유사한 방식으로 진행되었다.

다음으로 살펴볼 공급망 공격 사례는 2023년 6월과 7월경에 발생한 미국 내 제로 트러스트 디렉터리 플랫폼 서비스인 JumpCloud를 타깃팅한 스피어피싱 기반 공급망 공격 사례다. RGB 장치가 상용 VPN 공급자와 함께 L2TP IPSec 터널을 사용하여 일련의 ORB(Operational Relay Box)를 활용해 소스주소를 숨기는 것이 확인되었으며, 익스프레스VPN(ExpressVPN) 이외에도 노드VPN(NordVPN), 토르가드(TorGuard) 등을 사용하였다. 또한 다운스트림 고객(소프트웨어 솔루션 엔터티) JumpCloud 에이전트로 실행되는 악성 루비(Ruby) 스크립트 식별하여 JumpCloud 플랫폼을 사용하는 200,000개 이상의 조직 중에서 5명 미만의 JumpCloud 고객과 총 10개 미만의 장치가 공급망 공격으로 인해 영향을 받았다.

JumpCloud 공급망 공격을 시도한 공격자는 DPRK의 UNC4899는 북한 정찰총국인 RGB 내 암호화폐 공격 그룹이다. 2023년 7월에 미국, 한국, 홍콩 및 싱가포르에 있는 여러 핀테크 및 암호화폐 회사의 다양한 C-스위트(SUITE) 경영진을 표적으로 활동하며 2023년 7월 암호화폐 분야에 관심을 보인 별도의 RGB 정렬 그룹인 APT43과 유사한 활동 수행하였다. JumpCloud 공급망 공격에서 UNC4899는 3CX 개발자인 트레이딩 테크놀로지(Trading Technologies)의 웹사이트를 손상시킨 애플제우스(Applejeus) 작전의 배후인 Lazarus Group과 관련된 공급망 공격을 수행하였다.

러시아-우크라이나 전쟁, 이스라엘-하마스 전쟁 등 무력 충돌 장기화로 인한 제3전선의 발발 여부가 초미의 관심사가 되면서 국가 간의 충돌은 물리적 충돌을 넘어 사이버 충돌의 격화를 암시하고 있다. 2023년을 포함한 최근 몇 년간의 발생한 국가 주도의 공급망 공격 피해 사례들을 반면교사 삼아 2024년에도 국가 간의 이해관계를 지속해서 모니터링하는 한편 공급망 공격에 대응하기 위한 다양한 방안을 모색해야 한다.

2) 사회적 이슈와 공격양상 변화로 인한 사이버보안 생태계의 불안

사이버 공격자가 공격 대상을 선정한 후 공격 대상에 처음 접근하기 위한 방법으로 주로 사용되는 것은 단연 피싱(Phishing) 공격이다. 수신자가 관심을 보이는 사회 이슈를 이용한 사회공학적 기법을 이용해서 악성 파일이나 악성 링크가 포함된 메일을 발송하거나 홈페이지를 이용한 워터링홀, 특수 목적으로 소환된 단체 메신저 방 등을 통해서 악성코드가 유포되게 된다.

2023년에는 외교·안보·국방·통일·연구·에너지·의료 등의 분야에서 북한의 피싱 공격이 자주 발견되었다. ‘[붙임] 약력 양식.doc’, ‘「2021 평화∙통일 이야기 공모전」 참가 신청서’ 등의 형태로 외교나 통일 분야를 타깃으로 하여 북한 핵 위협 및 통일부나 남북 관계 개선, 북한 인권 문제, 북한 관련 연구과제, 외교정책 분석 등 한반도 안보와 관련된 악성코드를 이용하여 공격을 지속하여 왔다. 눈에 띄는 점은 북한 해킹그룹이 사용한 악성코드의 공격 방식이 변화되었다는 점이다.

APT37이나 김수키 등의 북한발 사이버 공격 그룹은 피싱이나 스피어피싱 등 메일을 통한 공격방식으로 사용자의 악성파일 실행을 유도하여 마이크로소프트 오피스(MS Office) 내 VBA 매크로나 Excel 4.0 Macro(XLM) Sheet의  매크로 기능을 사용한 공격방식을 사용해 왔다. 문서형 악성코드는 [표 보안 위협 2-1]과 같이 VBA, Macro, DDE, OLE 등을 사용하였으며 종전의 악성코드 공격들은 상당수가 매크로를 사용해서 공격을 수행해 왔다.

하지만 Microsoft에서 발표한 2건의 보안 강화 정책에 의해 악성코드를 이용한 공격방식은 변화를 맞이하게 되었다. 2021년 3월에 Excel 4.0 Macro인 XLM 차단과 2022년 4월 VBA를 차단함으로써 ‘신뢰할 수 없는 매크로 기본 차단 정책’을 발표하면서 공격자들은 새로운 공격 벡터를 활용하기 시작했다. [그림 보안 위협 2-1]과 같이 바이러스 토탈(VirusTotal)의 분석 내용에 따르면 보안 강화 조치의 영향으로 매크로 기능을 차단한 2021년부터 엑셀과 워드 기반의 악성코드 유입이 눈에 띄게 감소하였으며, 동일한 기간 로키봇(LokiBot), 에이전트테슬라(AgentTesla), 크롬로더(ChromeLoader) 등의 악성코드 유포를 위한 공격벡터로 ISO 파일 사용량이 증가한 것을 알 수 있다.

공격자들은 전자메일 첨부 및 인터넷에서 다운로드한 파일인 MOTW(Mark of the Web) 내 매크로 포함 시 차단되기 때문에 Microsoft의 매크로 기본 차단 정책 발표 이후 MOTW 우회 방안으로 [표 보안 위협 2-2]와 같이 악성 메일에 첨부되는 파일을 ZIP, RAR 등의 형식으로 압축하고, 압축파일 내에는 기존 매크로가 아닌 ISO, 바로 가기(LNK), 컴파일된 HTML 도움말 파일(CHM)을 공격벡터로 사용하기 시작하였으며 일부는 HTML 파일 내부에 압축 파일을 임베딩하였다.

공격자들의 공격 벡터 변화과 동시에 2024년은 ‘세계 정치의 해’라고 할 만큼 국가의 정치적 향방과 더불어 세계 경제와 패러다임에 향을 미칠 수 있는 대통령 선거가 다수 예정되어 있다. [표 보안 위협 2-3]과 같이 2024년 4월 국내에서 진행되는 제22대 국회의원 선거 이외에도 정치적 충돌이 발생하고 있는 러시아, 우크라이나, 미국의 대통령 선거를 앞두고 있어 이를 이용한 사회공학적 기법에 주시해야 한다.

지난 2022년 치뤄진 대통령 선거에서도 외교·안보·국방을 표적화한 북한 해킹그룹의 공격이 발생한 바 있다. 내부 OLE 개체를 이용해 파워쉘(Powershell)을 실행하는 ’20대 대통령 선거 선상투표 보도자료’를 사칭한 한글 기반의 악성코드가 유포되거나 선거관리위원회 보도자료를 사칭한 악성코드가 다수 유포된 이력이 있으므로 2024년에도 유사한 공격들에 대한 주의가 필요하다.

정보 탈취형 악성코드(Emotet, IcedID, Qakbot)부터 북한발 공격그룹(Kimsuky, Scarcruft, Konni)까지 다양한 공격 그룹이 문서형 악성코드를 악용 중인 것으로 확인되어 공격 벡터별 악성코드 분석을 통한 공격 트렌드 변화에 대한 이해와 대응 전략 수립이 필요하다.

3) 이중 공격, 랜섬웨어 공격기법의 고도화

2023년에도 전문화된 조직과 지능화된 공격 기술을 바탕으로 서비스형 랜섬웨어(RaaS, Ransomware as a Service)의 시장은 활발하게 운영되어 2023년 상반기 록빗(Lockbit), 블랙캣(Blackcat), 클롭(Clop) 랜섬웨어가 상위권을 차지하였다.

록빗 랜섬웨어는 영국 최대 우편배달 서비스인 로얄 메일(Royal Mail)을 시작으로 세계 최대 반도체 파운더리 기업인 TSMC의 하드웨어 공급업체 중 하나를 공격해서 몸값을 요구하였다. 블랙캣 역시 의료 솔루션 제공업체 넥스트젠 헬스케어(NextGen Healthcare)를 공격하였으며, 온라인 커뮤니티 레딧(Reddit) 공격의 배후가 본인들이라고 주장하면서 레딧의 내부 문서 및 소스코드 등을 포함한 80GB가량의 데이터를 빌미로 450달러를 지급하라는 협박을 하기도 했다.

클롭 랜섬웨어 역시 인쇄관리 소프트웨어 업체인 페이퍼컷(PaperCut) 서버에 원격코드 실행 취약점인 CVE-2023-27350과 페이퍼컷의 사용자 정보를 검색할 수 있는 CVE-2023-27351 취약점을 이용해 공격하였다. 이외에도 2023년을 강타한 대규모 공급망 공격인 무브잇의 무브잇 트랜스퍼(MOVEit Transfer)와 무브잇 클라우드(MOVEit Cloud) 취약점인 CVE-2023-34362 및 CVE-2023-35036을 이용한 공격을 수행하였다.

랜섬웨어 공격 그룹들의 공격 사례를 이용해 피해자의 상당수는 대규모 조직을 공격하였으며, 체계화된 조직 운영과 피해 금액 협상 능력을 통해 금융, 운송, IT, 헬스케어 분야에서 두각을 나타냈다. 불법 데이터 거래, 자금세탁, 크리덴셜 거래, 공격 도구 거래 등 사이버 범죄에 필요한 모든 요소를 확보한 랜섬웨어 그룹들은 최근에는 취약점을 악용한 공격사례가 증가하면서 랜섬웨어 공격그룹들이 파일 암호화 이외에도 다양한 사이버 공격으로 공격 범위를 확대하는 것을 알 수 있다.

[그림 보안 위협 3-1]과 같이 2023년에 발견된 랜섬웨어 공격의 특징을 살펴보면 초기접근(Initial Access) 단계에서는 외부에 공개된 원격 데스크톱 연결이나 SSH, FTP, MS-SQL 등을 통해서 접근하거나 일반적인 피싱 메일 및 파밍 사이트 전송을 통해 공격을 수행한다. 이후 명령 및 제어(Command and Control) 단계에서 피해 시스템에 접근해 추가적인 공격을 위한 악성코드 설치 및 권한 탈취 등의 도구를 준비한다.

권한 상승·측면이동(Privilege Escalation·Lateral Movement) 단계에서는 탈취한 권한보다 높거나 접근권한이 많은 계정을 탈취하기 위해서 미미카츠(Mimikatz)나 윈도용 권한 상승 도구인 뜨거운 감자(Hot Potato), 썩은 감자(Rotten Potato), 외로운 감자(Lonely Potato), 과즙 감자(Juicy Potato), 불량 감자(Rogue Potato), 고구마(Sweet Potato), 일반 감자(Generic Potato), 로컬감자(LocalPotato) 등 감자 가족 시리즈를 활용하여 공격을 시도한다.

마지막 악성파일 실행 및 2차 공격(Malicious File Execution·Post Exploitation) 단계에서는 랜섬웨어를 실행하거나, 피해 사실을 인지하지 못하게 하거나 등 침해의 증거를 발견하게 하려는 목적으로 일정 시간이 지난 이후에 랜섬웨어 공격을 시도한다.

[그림 보안 위협 3-3]과 같이 랜섬웨어는 공격 수준은 꾸준히 진화하고 있다. 암호화라는 단일 협박 방식에서 벗어나 랜섬웨어를 감염시켜 암호화를 수행하기 이전에 내부 정보 탈취하여 랜섬웨어 감염 및 탈취 정보를 이용한 협박이라는 다중 협박(Multi Extortion) 방식으로 변화하였다. 2023년 상반기에 가장 큰 피해를 초래한 서비스형 랜섬웨어인 록빗(Lockbit), 블랙캣(Blackcat), 클롭(Clop) 랜섬웨어도 이와 같이 다중 협박 방식을 이용한 공격방식을 사용하고 있다.

2023년 9월 미국 연방수사국(FBI)에서 발표한 랜섬웨어 환경에서 나타나는 변화를 정리한 ‘두 개 이상의 랜섬웨어 변종이 동일한 영향을 미치는 경우 피해자 및 데이터 파괴 트렌드(Two or More Ransomware Variants Impacting the Same Victims and Data Destruction Trends)’에 따르면 [그림 보안 위협 3-2]와 같이 새로운 데이터 파괴 전술(Data destruction tactics)과 동일 피해자를 연속으로 공격하는 이중 랜섬웨어 공격(Double back-to-back ransomware)을 사용하는 것으로 나타났다.

피싱, 계정 탈취, 무차별 대입 또는 기타 수단을 통해 피해자의 시스템에 침투한 후 시스템 내부로 침투하면 피해자의 모든 데이터와 파일을 암호화하는 랜섬웨어 악성 코드를 실행한 후 다시 랜섬웨어가 감염된 시스템에 또 다른 랜섬웨어를 감염시켜서 복호화를 빌미로 공격을 수행하게 된다. 이러한 공격 방식은 아보스라커(AvosLocker), 다이아몬드(Diamond), 하이브(Hive), 카라커트(Karakurt), 록빗(LockBit), 퀀텀(Quantum) 및 로얄(Royal) 등의 랜섬웨어에서 나타나고 있다.

2023년의 랜섬웨어 공격 트렌드에 대해서 정리해 보면 [그림 보안 위협 3-3]과 같이 기존의 APT 형태의 공격 흐름을 유지하는 한편 종전의 랜섬웨어 공격 형태와 더불어 취약점을 악용하거나 새로운 취약점을 발견하는 방식으로 사이버 공격의 기술적 성숙도와 조직 운영의 숙련도가 높아졌다. 다가오는 2024년에도 랜섬웨어로 인한 피해를 최소화하기 위해서는 백업 시스템 구축 및 주기적인 보안 점검을 통한 취약점 관리가 중요해질 전망이다.

4) 사이버 공격의 게임 체인저, 오픈소스 생태계로 인한 위험 체인화

디지털 전환 및 빅테크 기업 중심의 시드 기술 확산으로 락인(Lock-In) 효과를 통한 오픈소스 생태계의 자생력이 확보되면서, 오픈소스는 소프트웨어 생태계 전반에 영향을 미치기 시작했다. 소프트웨어 산업의 게임 체인저(Game Changer)로 개발자 커뮤니티를 중심으로 운영되던 종전의 방식은 재단과 빅테크 기업 주도로 전환되면서 운영환경의 조직화를 통해 오픈소스 생태계를 활성화하는 원동력을 확보하고 ICT사업 내 오픈소스 시장의 성장을 견인하였다. 특히 빅테크 기업에서 주도하는 인공지능, 머신러닝, 블록체인, 메타버스 등 차세대 신기술은 후발 소프트웨어 개발 환경의 시드 기술로 활용되면서 소프트웨어 생태계의 고성장 촉매제로 활용되었다.

오픈소스의 편리함과 파괴적인 효과를 누리고 있을 때 우리는 CVE-2021-44228인 Apache Log4Shell 취약점과 직면하게 되었다. 이후 Spring4Shell, Text4Shell로 이어지는 오픈소스 취약점으로 인한 보안이슈로 인해 오픈소스를 포함한 소프트웨어의 의존성(Dependency)이 소프트웨어 생태계 전반에 미치는 영향을 인식하기 시작했다. 공격자들 역시 Log4Shell 취약점 발표 이후 오픈소스를 활용한 다양한 공격을 시도하기 시작했다. 오픈소스 자체의 취약점뿐만 아니라 오픈소스 리포지터리인 PyPI, 깃허브(GitHub) 등을 악용한 공격이 증가하였으며, 도커(Docker)나 컨테이너(Container) 형태로 배포되는 오픈소스의 보안 검증 환경의 부재로 인해 보안 사고가 꾸준히 발생하였다.

구동 동작을 식별할 수 있는 소스 코드와 달리 서드파티 패키지(3rd Party Package)나 라이브러리, API 등으로 사용되는 소프트웨어가 악용되는 경우에는 문제가 더 심각해지게 된다. [그림 보안 위협 4-1]처럼 소프트웨어 공급망 생태계에서 오픈소스로 인한 공격이 발생한다면 소프트웨어 공급망 전체에 악영향을 미치면서 파괴적인 공격 피해가 발생할 수 있다. 소스코드 개발 단계에서 공격자가 악의적인 코드가 포함된 패키지를 사용하거나, 정상적인 패키지와 유사한 패키지를 다운로드해 사용하는 경우 연쇄적인 보안 위험에 노출되는 것이다.

오픈소스 생태계에서 발생할 수 있는 공격 유형은 [표 보안 위협 4-1]과 같이 정리할 수 있다. 소프트웨어 개발 도구가 공개 및 비공개 리포지터리에서 서드파티 패키지를 끌어오는 방식에서 발생하는 과정에서 비공개 리포지터리에 호스팅된 커스텀 패키지 대신에 공개 리포지터리에 게시된 악성 패키지를 끌고 와서 정상적인 패키지명으로 다운로드를 시도하였다고 하더라도 악성 패키지가 다운로드 되는 종속성 혼동(Dependency Confusion)이 발생할 수 있다.

이 외에도 기존에 공개된 유명 패키지명과 유사한 패키지명을 이용하여 공격하는 타이포스쿼팅(Typosquatting)이나 클라우드 환경에 존재하는 리포지터리의 접근 권한이나 토큰을 탈취하여 공격하는 권한 유출이나 관리자 권한 도용, 리포지터리 패키지 내의 악의적인 코드를 수정하거나 삽입, CVE, CWE, KVE 등 오픈소스에서 발생한 취약점을 조치하지 않아서 잠재적인 공격벡터로 사용하는 공격 방식 등 다양한 공격 유형이 존재한다.

이처럼 오픈소스 생태계를 이용한 공격유형은 꾸준히 증가하는 추세다. [표 보안 위협 4-2]의 NPM 레지스트리(NPM Registry)를 통한 오픈소스 리포지터리 공격 현황을 살펴보면 오픈소스 리포지터리를 통해 공유되는 오픈소스들을 악용한 공격이 지속적해서 발생하고 있는 것을 알 수 있다. 이와 같은 공격사례를 통해 오픈소스 생태계를 이용한 공격 중에서 가장 빈번하게 사용되는 공격 방식은 타이포스쿼팅과 의존성 혼동 공격임을 알 수 있다.

[그림 보안 위협 4-2]와 같이 오픈소스 상에서 발생하는 보안 위협요인을 식별하는 방식은 다양하게 존재한다. 오픈소스 취약점이나 종속성 문제 해결을 위해 CISA(US-CERT), NIST(NVD), MITRE(CVE) 등의 신뢰할 수 있는 기관에서 취약점 정보를 제공받아 조직 내에서 보유하고 있는 오픈소스 상에서 공개된 약점이나 취약점은 없는지 점검하고 나아가 패키지 상의 알려진 취약점을 자동으로 모니터링(Automated monitoring of Packages for known vulnerabilities)하여 취약점을 식별하는 것이 중요하다.

5) 생성형 AI를 이용한 사이버 공격 증가

2022년 11월 오픈AI(OpenAI)는 GPT 3.5 기반의 챗GPT(ChatGPT)를 출시하면서 전 세계의 주목을 받았다. 이에 글로벌 IT기업들은 앞다투어 대형언어 모델(LLM, Large Language Model)을 통해 이용자의 특정 요구에 따라 결과를 생성해 내는 생성형 AI 개발을 위한 연구를 치열하게 진행하고 있다.

GPT가 처음 출시되었던 2018년 GPT-1은 1억 1,700만 개의 매개변수를 사용하였으나 2019년 발표된 GPT-2는 15억 개의 매개변수가 사용되었다. 2020년에 발표된 GPT-3에서는 무려 1,750억 개의 매개변수가 사용되었다. 매개변수가 증가한다는 것은 대형언어 모델에서는 정확도가 증가한다는 것은 의미임으로 단기간에 모델의 성능이 향상한 것이다. GPT3.5도 기존 버전과 성능 면에서는 큰 차이는 없으나 직관적인 대시보드와 인공지능 같은 느낌 없이 자연스러운 대화가 가능해지면서 다른 대형언어 모델에 비해 좋은 평을 받을 수 있었다.

문제는 ChatGPT의 등장으로 사이버 공격 정확성 향상 및 보안 아키텍처 우회 등 기존 사이버 보안 체계를 무력화를 위한 인공지능 활용 및 실증사례가 증가했으며, 인공지능을 이용한 사이버 공격 우려가 나타나기 시작했다. ChatGPT는 파이썬(Python)으로 작성된 악성코드 제작 요청 결과로 파일 크기가 50MB 미만이면 수집 대상에 포함하고 임의의 폴더를 생성하고 복사 및 저장해 최종적으로 FTP 서버로 유출하는 코드를 작성해 달라는 사용자의 요청에 [그림 보안 위협 5-1]과 같이 악성코드의 소스 코드를 작성한다. 이러한 결과는 온라인상에서 큰 호응을 얻으며 ChatGPT를 이용한 사이버 공격 도구 및 기술 개발의 도화선이 되었다.

생성형 AI 이외에도 인공지능이나 머신러닝을 이용한 서비스를 사용하는 과정에서 거짓된 답변이나 무분별한 데이터 입력으로 인한 민감 정보 및 기업 기밀정보 유출, 잘못된 정보의 오용 등의 신뢰성 및 보안 문제가 이슈가 되었다.

인공지능이나 머신러닝에서 발생할 수 있는 보안 위협은 [그림 보안 위협 5-2]와 같이 데이터 수집 및 분석 후 트레이닝(Training) 과정에서 수집한 데이터의 편향(Bias)이나 문자 혹은 이미지가 마치 진짜인 것처럼 답을 제공하는 환각(Hallucination), 모델이 잘못된 결과를 도출하게 하는 적대적 공격(Adversarial Attack) 등이 있다.

인공지능이나 머신러닝의 훈련 단계에서는 공격자가 훈련 데이터를 오염시키거나 알고리즘상에 개입하여 성능에 영향을 미칠 수 있다. [표 보안 위협 5-1]은 이러한 훈련 단계에 영향을 미칠 수 있는 공격 유형을 정리한 내용이다. 데이터 학습 시 악의적 샘플을 삽입하여 모델을 손상시킬 수 있는 데이터 인젝션(Data Injection)이나 데이터 수정을 통해 훈련 데이터를 오염시킬 수 있는 데이터 수정(Data Modification), 학습 알고리즘에 개입해 논리적인 설계를 손상시킬 수 있 논리 손상(Logic Corruption)으로 분류할 수 있다.

학습 과정에서 발생할 수 있는 적대적 공격(Adversarial Attack)으로 [표 보안 위협 5-2]와 같이 중독 공격(Poisoning Attack)이 있다. 중독 공격은 모델의 트레이닝 과정에서 발생할 수 있으며 전체 학습 프로세스를 손상시키는 공격 방법으로 2016년 마이크로소프트(Microsoft)가 발표한 인공지능 챗봇 테이(Tay)가 인종 차별적이고 폭력적인 메시지를 남발해 운영 16시간 만에 서비스가 중단된 사건이 대표적인 예시라고 할 수 있다.

중독 공격 외에도 회피 공격(Evasion Attack), 탐색적 공격(Exploratory Attack)이 존재한다. 회피 공격은 변조된 결과를 인간이 인지할 수 있는지와, 변조되는 과정이 물리적인지 디지털인지의 측면으로 분류하게 된다. 탐색적 공격은 AI 모델의 알고리즘 또는 학습 데이터에 대해 탐색하여 데이터 학습 시 사용된 데이터 추출하여 API 모델의 기능을 구현해 비슷한 모델 구현 등의 공격이 가능하다.

훈련 단계 이후에는 모델 내부의 공개 여부에 따라 [표 보안 위협 5-3]과 같이 화이트 박스(White-Box)와 블랙 박스(Black-Box) 공격이 존재한다. 화이트 박스는 기계 학습 모델에 대한 화이트 박스 공격에서 공격자는 분류에 사용되는 모델(f)에 대한 전체 지식을 알고 공격하는 것을 의미하기 때문에 공격자가 학습 데이터의 분포나 학습 알고리즘, 최종모델 등을 알고 모델의 취약성을 파악하는 공격 방식이다. 블랙 박스는 모델에 대한 지식이 없다는 가정하에 설정이나 과거 입력 정보를 이용하여 모델의 취약성을 분석한다.

블랙 박스 공격은 [표 보안 위협 5-4]와 같이 Non-Adaptive Black-Box Attack, Adaptive Black-Box Attack, Strict Black-Box Attack의 3가지 유형으로 분류할 수 있다. 공격자가 학습 알고리즘과 데이터 등에 대한 정보 유무에 따라서 분류된다.

지금까지 인공지능 모델 학습을 위한 데이터 관련 보안 위협에 관해서 설명했다면, 인공지능의 성능을 저해하는 보안 위협을 [표 보안 위협 5-5]를 통해 확인해 볼 수 있다. 크게 데이터 정확성 및 안정성과 AI 관련 취약점으로 분류할 수 있다.

데이터 정확성 및 안전성 측면에서는 잘못된 정보, 데이터 유출, 유사 AI 모델 서비스 빙자가 보안 위협이라 할 수 있다. 편향된 학습데이터를 통해 생성된 모델이 테이나 이루다와 같은 챗봇 사례와 같이 잘못된 의사결정을 유도하거나 사회적 혼란을 조작할 수 있다. 개인정보가 민감정보가 비식별화 처리 되지 않은 해 모델 학습 시에 활용되어 민감정보 유출 등의 문제가 발생할 수 있다.

AI 관련 취약점 관점에서 살펴보면 플러그인 취약점, 확장 프로그램 취약점, API 취약점으로 분류할 수 있다. 플러그인이나 확장 프로그램 취약점의 경우 인공지능 모델의 적용 범위 변동 및 취약한 서비스와의 연동으로 인한 오작동 위험 등이 존재할 수 있다. API 취약점 역시 일반적인 사이버 보안 위협과 마찬가지로 API 키 관리 및 API로 인한 부적절한 데이터 사용 및 노출 등의 문제를 일으킬 수 있다.

이외에도 생성형 AI 서비스 제공업체의 보안 대책 적용 미흡으로 인한 시스템 가용성 저해 및 학습 데이터 유출이나 서비스 마비, API 사용 시 키 관리 미흡으로 인한 민감 정보 접근, 비인가된 작업 수행, 비인가된 접근을 통한 권한 탈취 등의 인공지능 모델이나 서비스의 안전성에 영향을 미칠 수도 있다.

03. 2024년 5대 기술 전망

1) 인텔리전스 기반의 SOC 자동화

고도화·지능화한 사이버 공격에 대응하기 위해서는 온프레미스, 클라우드, 네트워크, 애플리케이션, 엔드 포인트 등 다양한 이기종 환경 전반에서 발생하는 로그나 이벤트를 인공지능, 빅데이터 등의 차세대 기술을 이용해 사이버 공격의 식별·예방·탐지·대응·복구·관리를 수행하기 위한 보안관제센터(SOC, Security Operation Center)가 필요하다.

보안관제를 구성하기 위해서는 [그림 보안 기술 1-1]과 같이 사람(People), 절차(Process/Procedures), 기술(Technology)가 필요하다. 모든 요소가 균등하게 성숙도가 높아지는 것이 가장 이상적이나, 현실은 그렇지 않은 경우가 많으므로 조직의 비즈니스 목적인 보안관제의 현재 성숙도를 고려하였을 때 우선순위가 높은 요소부터 보안관제를 강화하는 전략이 필요하다.

사이버 공격 역시 생성형 AI나 오픈소스를 이용한 공격으로 다변화됨에 따라 지능형 사이버 보안 위협을 분석하고 인프라 내에 존재하는 보안 취약점 및 관리 등을 수행할 수 있는 자동화되고 지능화된 보안관제 기술을 통해 보안의 가시성을 확보하여 레질리언스를 확보하는 것이 중요하다.

2016년 보안 전문 기업 제로폭스(Zerofox)가 인공지능을 활용해 악성 링크 접속을 유도하는 스피어 피싱 로봇 SNAP_R을 개발한 이후 세계 최대 해킹대회인 데프콘(DEFCON)의 사이버 그랜드 챌린지(CGC)에서는 인공지능 해킹 공격·방어 컴퓨터 메이햄(Mayhem)이 우승을 차지하기도 하였다. 이후 2018년 IBM은 인공지능 악성코드 딥로커(DeepLocker)를 이용해 공격대상자를 식별한 후 랜섬웨어 공격을 수행하면서 사이버 공격의 정확성 향상 및 보안 아키텍처 우회를 위한 보안 체계 무력화를 목적으로 인공지능을 활용한 사례가 증가하면서 기존의 사이버 보안관제 체계에도 변화의 필요성을 야기하였다.

보안관제센터는 조직이나 기업에서 사이버 보안 수준을 유지하기 위한 가장 기본적인 요소로서 사이버 보안 생태계의 보안 메시(Security Mesh)를 구성할 수 있는 중추적인 역할을 수행하며 다양한 보안기술과 플랫폼 간의 집합체이기 때문에 [그림 보안 기술 1-2]와 같이 보안관제센터의 성숙도에 따라서 점진적인 발전이 필요하다. 보안관제의 성숙도는 보안관제를 구성하는 구성요소에 따라 영향을 받기 때문에 보안 솔루션 구축만이 보안관제 성숙도를 향상하는 절대적인 방법은 될 수 없다.

1세대인 단위 보안관제(Perimeter Security)와 2세대인 통합 보안관제(Data Security), 3세대 빅데이터 보안관제(Trust Security)를 넘어 현재의 보안관제는 4세대라고 볼 수 있다. 4세대 보안관제를 인공지능 보안관제, 차세대 보안관제 등으로 명명하기도 하지만 본 문서에서는 심층적인 가시성(Deep Visibility), 지능화(Intelligence), 자동화(Automation)의 머리말을 딴 DIA로 정리해 보았다.

먼저 심층적 가시성부터 살펴보면 현행 보안 인프라 체계에서 조직이나 기업의 자산이지만 관리되지 않거나 관리 대상으로 식별되지 않은 자산의 식별을 통한 위협의 가시성을 확보하는 것을 의미한다. ‘2024년 사이버 기술 전망‘으로 꼽은 ‘위협 가시화를 위한 자산식별과 위험관리 기술, 공격표면관리’와 관련이 높은 항목이라고 볼 수 있다. 이를 통해서 보안관제센터에서 관리하는 조직의 자산에 대한 식별과 모니터링 방안을 통해 애플리케이션, 네트워크, 데이터베이스, 운영체제 등 기술 스택을 구성하고 있는 다양한 요소별 보안 위협의 식별 방안을 수립해야 한다.

보안관제의 가시성이 확보되었다면 다음으로 필요한 것은 지능화(Intelligence)다. 해킹 그룹도 체계화된 조직을 바탕으로 사이버 위협에 대응하기 위해 인공지능, 머신러닝 등 차세대 기술을 이용한 공격사례가 보고됨에 따라 보안관제에서도 차세대 기술을 이용한 대응 전략이 필요하다. 인공지능 기술을 결합한 보안관제센터를 구성한 [그림 보안 기술 1-3]과 [그림 보안 기술 1-4]와 같이 자동화된 보안관제에서 살펴볼 보안 운영·위협 대응 자동화(SOAR, Security Orchestration, Automation and Response) 분야에서도 인공지능을 통해 지능화된 보안관제를 구성하고자 연구를 지속하고 있다.

물론 이러한 지능화된 보안관제를 구축하기 위해서는 인공지능만이 모든 문제의 해답이 되는 것은 아니다. 위협 인텔리전스(Threat Intelligence), 위협 헌팅(Threat Hunting), 침해사고 사례 분석을 통한 위협 모델링(Threat Modeling) 등을 통해 공격자의 공격 절차, 공격 기법 등 TTPs를 도출할 수 있는 요소를 식별하고 탐지할 수 있는 기능을 수행할 수 있다면 무엇이든 상관없다.

보안 위협을 식별, 탐지, 대응하는 과정에서 인공지능 기반의 사이버 위협 예측 기술을 도입하고 클라우드 및 이기종 도메인 간의 사이버 위협분석을 위한 지능형 사이버 보안관제 솔루션 이외에도 관제의 효율성과 복잡성을 해소할 수 있는 SOAR가 적용되어야 한다. [그림 보안 기술 1-5]와 같이 SOAR를 적용하여 효과성을 도출하기 위해서는 조직의 업무 프로세스 표준화 및 보안 위협 유형별 플레이북(Playbook)을 통한 보안관제 성숙도 상향 평준화를 통해 사이버 공격의 프로파일링과 자동화된 체계를 구축하여 고도화된 보안관제 구성이 필요하다.

2) 생성형 AI가 야기한 AI 보안

챗GPT(ChatGPT)의 열풍 이후 대규모 언어 모델(LLM, Large language model)을 근간으로 하는 생성형 AI의 활용 사례와 이로 인한 사회적 이슈가 발생하였다. 인공지능(AI) 모델 개발 시에 목적하지 않은 결과가 도출되는 적대적 공격(Adversarial Attack)으로 인한 중독 공격(Poisoning Attack), 회피 공격(Evasion Attack), 탐색적 공격(Exploratory Attack) 등으로 사회적 혼란이나 잘못된 의사결정으로 인한 불이익, 개인정보 유출 및 추론, 오작동, 인종차별이나 성차별적인 혐오 표현 등의 문제가 제기되었다.

인공지능의 악영향이 지속되면서 정부와 기업에서는 인공지능 생태계 내에서 안전하고 신뢰할 수 있는 인공지능을 위한 자체적인 자정작용이 가능한 인공지능 거버넌스와 프레임워크를 발표하였다. AI TRiSM(Trust, Risk, Security Management)은 AI 모델 거버넌스, 신뢰성, 공정성, 효율성, 개인정보보호, 데이터 보호 및 신뢰성 강화를 위한 방안을 제시하고 있으며, 시큐어 AI 프레임워크(SAIF, Secure AI Framework)는 인공지능 소프트웨어 개발 공급망 검토, 테스트 및 제어와 같은 보안 모범사례를 토대로 AI 시스템과 관련된 보안 메가 트렌드 및 위험에 대한 프레임워크를 발표하였다.

그 외에도 기초 모델 생태계의 투명성을 평가하고 향후 투명성을 향상시키기 위한 파운데이션 모델 투명성 지수(FMTI, The Foundation Model Transparency Index), AI나 AI연구 공정성, 책임, 투명성, 윤리의 정의 및 연구를 목표로 하는 FATE(Fairness, Accountability, Transparency, and Ethics in AI)가 있다. 미국 국립표준기술연구소(NIST)에서 발표한 AI RMF(Artificial Intelligence Risk Management Framework)은 AI 시스템과 관련된 부정적 영향을 최소화하고 긍정적인 영향 극대화를 목표로 하고 있으며 AI RMF 준수를 통해 기술에 대한 신뢰도를 높일 수 있을 것으로 예상한다.

마이터(MITRE)에서 발표한 ‘인공지능 보안을 위한 합리적인 규제 프레임워크(A Sensible Regulatory Framework for AI Security)’는 광범위한 AI 알고리즘 기술을 △AI를 구성 요소 또는 하위 시스템으로 사용하는 엔지니어링 시스템, △사람의 능력 향상의 AI, △기관 내에서 자율적으로 운영되는 AI로 위협과 위험을 완화하는 방식의 3가지 범주로 나누어 제시하고 있다. 보안 프레임워크는 AI 신뢰성 및 투명성 향상을 주요 골자로 언어 모델을 근간으로 하는 인공지능 생태계가 경각심을 불러일으키고 있다.

[표 보안 기술 2-2]과 같이 국가 및 기업에서도 인공지능 안전성과 신뢰성을 확보하기 위한 인공지능의 제재 및 중점사항에 대한 논의를 통해 인공지능 윤리 헌장 발표 및 보안 가이드라인 배포, 인공지능 윤리 문제 전담 부서 신설 등의 대응을 하고 있다. 국내에서도 국가사이버안보센터에서 ‘챗GPT 등 생성형 AI 활용 보안 가이드라인’을 통해 △생성형 인공지능 기술의 대표적인 보안 위협 및 안전한 기술 사용 가이드라인, △API, 서드 파티(3rd-party) 플러그인 등의 서비스 구축 시 고려 사항, △보안 위협 및 대응 방안에 대해 인공지능의 안전한 사용방법을 제시하고 있다.

보안 가이드라인 이외에도 국내를 포함한 유럽연합(EU), 미국, 캐나다, 이탈리아, 일본 등에서 인공지능 관련 법안들이 속속들이 발의되기 시작했다. AI 서비스의 영역이나 위험도 별로 세부적인 규제사항을 명시하고 있으며, 인간에게 영향을 끼칠 수 있는 영역의 제품 또는 서비스 제공자의 의무 강화 및 인공지능 개발 과정의 투명성 및 윤리적 가이드라인 준수 여부 등 인공지능을 다루는 개발자나 관련 이해관계자들의 윤리 의식을 통해 인간의 존엄성과 사회의 공공선 원칙을 준수하고 인공지능이 기술로서 인간의 생활을 도와줄 수 있는 도구로서의 목적과 의도에 부합될 수 있도록 기술의 합목적성을 준수해야 한다.

인공지능의 문제는 비단 제도나 보안 가이드라인으로만 해결할 수 있는 문제는 아니다. 생성형 AI를 포함한 인공지능을 공격하는 적대적 공격에 대한 적대적 방어(Adversarial Defense)의 연구도 꾸준히 진행되고 있다.

적대적 방어 기술을 알기 위해서는 적대적 공격에 대한 이해가 필요하다. 적대적 공격은 공격자가 의도적으로 딥러닝(Deep learning) 시스템을 속이기 위한 딥러닝 모델의 내부적 취약점 이용해 만든 특정 노이즈인 섭동(Perturbation)을 이용해 오분류를 유발하는 입력값을 만드는 것을 의미한다. 적대적 방어 기술은 바로 이러한 적대적 공격을 막기 위한 기술인 것이다. 적대적 방어 기술은 딥러닝을 속이는 행위를 막기 위한 것이기 때문에 모델 최적화(Model Optimization), 데이터 최적화(Data Optimization), 추가적인 네트워크(Additional Network)로 분류할 수 있다.

적대적 방어 기술에서 가장 간단하지만 많이 사용되는 방법은 적대적 훈련(Adversarial Training)이다. 딥러닝 모델의 훈련 과정에서 적대적 예제를 생성한 후 학습하여 적대적 공격에 대한 엔트로피를 최소화하는 데이터 증강(Data augmentation)이라고 할 수 있다. AI 리스크를 평가팀을 이끄는 알렉산더 마드리(Aleksander Madry)가 발표한 적대적 공격인 PGD(Projected Gradient Descent)는 크로스엔트로피의 손실을 최소화하는 방향으로 훈련을 시켜 적대적 예제에 대한 강건성(Robustness)을 확보할 수 있게 한다. C&W나 PGD 등의 공격에 의해 깨져버린 방어 증류(Defensive Distillation) 이외에도 그레디언트 마스킹(Gradient Masking), 피처 스퀴징(Feature Squeezing) 등 다양한 방식이 연구되고 있다.

이와 같은 딥러닝 모델의 강건성을 확보하기 위한 방안으로 딥러닝 모델의 적대적 공격을 생성해 주는 오픈소스 프로젝트인 풀박스(Foolbox)나 딥러닝 모델을 화이트 박스와 레이블이 없는 인력으로 테스팅하는 프레임워크인 딥엑스플로어(DeepXplore), LNP 모델의 테스트를 체계화하여 체크리스트 기반의 프레임워크를 제공하는 그 이상의 정확도(Beyond Accuracy : Behavioral Testing of NLP models with CheckList) 등 인공지능의 공격과 방어 이외에도 자체적인 검증 방식에 대한 연구도 필요한 것으로 보인다.

3) 디지털 전환을 통한 IT-OT 융합생태계 확산 및 융합보안

인공지능(AI), 클라우드, 데이터 등 차세대 기술을 기반한 산업 전반의 디지털 전환(DX, Digital Transformation)을 통한 기업 경쟁력 강화 및 새로운 가치 창출은 비즈니스 모델 패러다임과 산업 생태계 전반에 혁신을 가져오면서 산업 간의 경계를 허물었다. 융합 생태계의 확산으로 사이버 환경과 물리적 환경이 결합한 사이버물리시스템 (CPS, Cyber-physical systems)가 등장하였다. CPS는 물리적인 실제의 시스템과 사이버 공간의 소프트웨어 및 주변 환경을 통합하는 시스템으로 스마트 팩토리, 스마트 그리드, 자율 주행, 자율 운항 선박 등 글로벌 경쟁력을 확보할 수 있는 혁신 성장동력인 산업 분야를 의미한다.

CPS는 [그림 보안 기술3-1]와 같이 정보 기술(IT)와 운영 기술(OT), 시스템(System)과 디바이스(Devices)의 사분면으로 분류할 수 있다. IT와 OT를 기준으로 System과 Devices를 분리하면 각각 제어시스템(Control Systems)과 IT시스템(IT Systems), 산업용 사물인터넷(IIoT)와 사물인터넷(IoT)으로 분류된다. 먼저 제어 시스템에는 산업용 네트워크 및 제어 시스템을 관리하는 프로그래밍 제어 장치(PLC, programmable logic controller), 분산제어시스템(DCS, distributed control system), 원격감시제어시스템(SCADA, Supervisory Control and Data Acquisition) 등이 존재하며, IT시스템은 우리가 일반적으로 사용하는 서버, 네트워크, 메일서버 등이 포함된다. Devices를 기준으로 IIoT로는 센서, 임베디드 시스템(Embedded Systems), 스캐너 등이 존재하며, IoT로는 스마트 폰, 태블릿, 웨어러블 기기(Wearable Device) 등을 분류할 수 있다.

CPS를 통해 인공지능, 블록체인, 머신러닝, 5G/6G 등 차세대 기술과 산업이 결합하면서 산업 분야별도 지능화, 자동화, 효율화를 도모할 수 있다. CPS를 적용한 대표적인 예시로 제조 분야, 의료 분야, 스마트 시티 분야, 운송 분야를 꼽을 수 있다.

CPS는 제조 분야에서 복잡한 공정으로 인한 안전사고 및 인재를 막기 위한 방안으로 무인화를 통한 공정 모니터링 및 오류 추적을 제공하게 된다. 또한 제어 시스템과 결합하여 물적 자원이나 인적자원의 효율화를 통해 생산성을 향상할 수 있게 된다. 의료분야에서는 하드웨어인 웨어러블 기기를 통해 환자의 생리적 특징을 모니터링하고 위급한 상황에 대처할 수 있으며, 건강관리 앱을 통해 예방 및 치료를 통한 개인건강기록(PHR) 관리 및 맞춤형 서비스를 제공할 수 있다. 나아가 인공지능을 통한 치료 약물 개발 및 디지털 치료제 등의 개발기간 단축 및 향상된 진료 서비스를 제공할 수 있게 된다.

스마트 시티는 도시가 제공하는 교통, 안전, 생활 등의 편의성을 증대하기 위한 목적성을 띠고 있으나 스마트 그리드(Smart Grid)를 결합하면 지능형 전력 수요 관리, 신재생 에너지 연계, 운영 효율화, 전력망 감시·보호의 고도화 및 전기차 운행 인프라 기술 등을 결합하여 편의성과 효율성을 제공할 수 있다. 구글은 AI를 통해 데이터센터의 전체 에너지 중 15%를 절감하였으며, BMW나 아우디 등 완성차 업체는 자동차에서 전력망으로 전기를 이동시키는 V2G(Vehicle to Grid)를 통해 전기차의 새로운 부가가치 요소로 활용하고 있다.

운송 분야에서는 운송 수단이 무인화될 수 있는 자율 운행 자동차, 자율 운항 선박, 도심항공교통(UAM, Urban Air Mobility) 등의 분야에서 적용되고 있다. 자율 운항 선박의 경우 육상에서 선박을 원격으로 조종해 선박 내 시스템을 감독 ·관리 및 시스템 문제를 제어하거나, 최적의 항로를 인공지능으로 분석하는 형태로 기술이 활용되고 있다.

미국에서는 사이버 물리 시스템 보안(CPSSEC, The Cyber Physical Systems Security) 프로젝트를 통해 CPS와 IoT의 보안 문제를 해결하고자 논의 중이다. 융합 생태계는 사이버 환경과 물리적 환경을 관리해야 하므로 융합 생태계 중 하나인 CPS를 통해서 보안 강화 방안을 고민해 볼 수 있다. CPS 보안을 위협하는 요소는 [표 보안 기술 3-2]와 같이 환경요소, 서비스요소, 대응 기술 요소의 3가지 관점으로 분류하고 물리적 환경요소, 운영 환경요소, 사회·경제적 환경요소, 개인정보, 운영 계층 간 상호 작용, 사이버 보안의 6가지로 다시 분류해 볼 수 있다.

CPS는 사이버 환경과 물리적 환경이 결합하였기 때문에 사이버 환경의 보안 이슈와 물리적 환경의 보안 이슈가 함께 유발될 수 있는 환경이다. 사이버 환경에서 발생하는 네트워크를 통해 취약한 인프라가 노출되거나 보안 패치 미적용, 잘못된 보안 설정 등이 공격에 악용될 수 있기 때문에 주기적인 취약점 점검 및 보안 패치 관리를 통해 안전하게 유지하는 것이 중요하다. 이외에도 물리적 환경에서 발생하는 장치 결함, 계획되지 않은 시스템 종료, 운영직원의 실수 등의 가용성 저하 요인에 대해 예방할 수 있도록 교육과 관리가 필요하다.

4) 위협 가시화를 위한 자산식별과 위험관리 기술, 공격표면관리

비즈니스 유연성 및 효율성 극대화를 목적으로 디지털 전환 및 모든 것의 서비스화(XaaS, Anything as a Service), 마이크로서비스 아키텍처(MSA), 응용 프로그래밍 인터페이스(API) 등 조직 구성과 소프트웨어의 모듈화로 인해 조직의 인프라 범위 및 모호성이 증대되고 있다. 문제는 이러한 인프라의 경계 모호성이 보안의 가시성을 저해하면서 새로운 보안 위협으로 작용할 수 있다는 점이다. 공격표면(Attack Surface)은 알고 있는 보안 위협(Known Threat)이나 알지 못하는 보안 위협(Unknown Threat)을 식별하고 관리하기 위한 공격자의 공격 접점이라고 할 수 있다.

미국 국립표준기술연구소(NIST)와 OWASP(Open Worldwide Application Security Project)에서도 공격표면에 대해서 ‘시스템, 시스템 요소 또는 환경에 들어가거나 영향을 미치거나 데이터를 추출하려고 시도할 수 있는 시스템, 시스템 요소 또는 환경의 경계에 있는 점들의 집합’이라고 정의하면서 공격표면 관리의 필요성을 제기하고 있다. 중요한 것은 공격표면에 내포된 ‘알지 못하는 보안 위협’이라는 것이 반드시 취약점(Vulnerability)만을 의미하는 것이 아니라는 점이다. 오픈되어 있으나 관리되지 못한 시큐어 셀(SSH, Secure SHell) 포트, 원격 데스크톱 프로토콜(RDP), 불필요한 웹 서비스 등은 보안 담당자나 사용자에게 관리(Management)되지 않은 요소라고 할 수 있다.

공격 표면 관리(ASM, Attack Surface Management)라는 용어가 등장한 것은 2018년 글로벌 보안 리서치 기업인 가트너(Gartner)에서 사이버 보안 위험 관리를 위해서는 공격 표면을 줄이고 모니터링하며 관리하기 위한 목적으로 공격 표면 관리라는 용어를 ‘보안 운영 하이프 사이클(Hype Cycle for Security Operations)’을 통해서 발표하면서 시작되었다. [그림 보안 기술 4-1]의 보안 운영 하이프 사이클에서는 2018년 처음 등장한 발생기(Innovation Trigger) 단계의 ‘외부 공격 표면 관리(External Attack Surface Management)’ 이외에도 노출 관리(EM, Exposure Management), 사이버 자산 공격표면관리(CAASM, Cyber Asset Attack Surface Management) 등으로 세분화된 것을 알 수 있다.

공격 표면 관리를 위해서는 자산의 위치에 따라 외부 자산(External Assets)과 내부 자산(Internal Assets)으로 분류할 수 있으며, 자산 범주에 따라서 클라우드 자산(Cloud Assets), 자회사 네트워크(Subsidiary networks), 온프레미스 자산(On-premise)로 분류할 수 있다. 공격 표면은 자산의 위치, 자산 범주 이외에도 자산의 형태에 따라서 △ 디지털 공격 표면(Digital Attack Surface), △ 물리 공격 표면(Physical Attack Surface), △ 소셜 엔지니어링 공격 표면(Social Attack Surface)으로 분류할 수 있다.

조직의 자산 및 인프라의 복잡도가 높아지기 때문에 잠재적인 사이버 공격의 침투경로인 공격 표면을 식별하고 관리하는 것은 한계가 발생할 수 있다. 따라서 사이버 보안 수준을 유지하기 위해서는 조직의 자산과 인프라 내에 존재하는 위협과 취약점이 될 수 있는 공격 벡터를 지속해서 식별하고 분석하여 공격 표면으로 악용될 수 있는 요소를 최소화하는 것이 중요하다. 이를 위해 공격 표면 관리를 수행하기 위해서는 공격 표면 관리 프로세스의 핵심 요소인 △ 자산의 검색과 식별, △ 자산의 분류를 통한 우선순위 지정, △적극적인 대응, △ 지속적인 모니터링 활동 등을 수행해야 한다.

공격 표면 관리에 대한 중요성이 부각됨에 따라 다양한 공격 표면 관리 방법으로 △ 노출 관리(EM), △ 사이버 자산 공격 표면 관리(CAASM), △ 외부 공격 표면 관리(EASM), △ 지속 위협 노출 관리(CTEM) 등을 적용할 수 있다. 기본적인 공격 표면 관리의 가장 근본적인 개념은 보이지 않는 자산에 대한 한계를 극복하고 전체 디지털 자산의 가시성을 확보하기 위해서 위협 노출 관리(CTEM, Continuous Threat Exposure Management)를 통해 기존에 위협 인텔리전스 기반의 상황 인식과 자동화된 보안 위험 관리를 수행해야 한다.

지속적인 공격 표면 관리를 통한 공격 표면 최소화를 위해서는 외부적으로는 노출된 공개 도메인의 디지털
자산과 관련된 위험 정보를 식별하고 제거하는 것이 필요하며, 내부적으로는 기존 보안 체계와 연계를 통한 자산 식별 및 취약점 제거 등의 활동을 지속해서 수행하여 보안 제어 격차 최소화를 위한 보안 가시성을 확보해야 한다. 이를 위해서는 △관리적 측면, △기술적 측면에 따른 보안 강화 방안을 모색해야 한다.

관리적 측면에서는 사용 중인 자산과 관리되지 않는 자산에 대한 자산 목록화 작업과 레거시 소프트웨어(Legacy Software), 중복 자산 등에 대하여 파악하고 이에 대한 자산 복잡성을 제거해야 한다. 소프트웨어와 펌웨어, 장비 등에 대하여 주기적으로 자동화된 침투 테스트, 모의해킹, 인프라 보안 진단 등을 수행하여 안전한 환경을 유지해야 하며, 최신 보안 패치와 최신 버전의 장비 도입을 진행하는 등의 대응이 필수적이다.

그리고 최근 악성 메일, 사이트 접속 등으로 인하여 랜섬웨어 감염, 정보 탈취 등 다양한 사고 사례가 발생하고 있다. 이는 기업이나 기관에 소속된 사용자, 관리자, 개발자들의 보안 인식이 부족하여 발생하는 것으로 내부 사이버 보안 수칙을 도입하고 보안 교육과 악성 모의 훈련 등을 이용해 보안에 대한 인식 강화가 필요하다.

기술적 측면에서는 사이버 보안 메시 아키텍처(Cybersecurity Mesh Architecture) 도입, 데이터 보안 강화 방안 수립, 소프트웨어 개발보안 라이프사이클(Secure SDLC, Secure Software Development Life Cycle)’ 적용, 보안 솔루션 도입, 보안 프레임워크 적용 등의 여러 가지 완화 방안 기술을 적용하여 공격 표면의 확장으로 인한 위협에 대하여 관리하고 대비하여야 한다.

5) 클라우드 네이티브부터 클라우드 보안 모델까지 클라우드 보안 강화

2023년 10월 디지털플랫폼정부위원회가 진행한 제4차 위원회 전체 회의를 통해서 현행 시스템의 구조적 특성(일체형 장비, 대규모 DB 등)으로 클라우드 네이티브 전환을 통해 안정성 및 비용 효율성 저하 등을 위해 불가피한 사유가 없는 한 클라우드 네이티브를 우선 적용하는 클라우드 네이티브 중심 공공부문 정보자원 클라우드 전환 계획을 심의하였다.

행정안전부에서 마련한 클라우드 전환 계획안에 따르면 2024년까지 클라우드 네이티브 본격 전환을 위한 기반 마련을 목표로 표준과 가이드라인을 마련하여 시범사업을 추진하는 한편 공공부문의 민간 서비스형 소프트웨어(SaaS) 활용을 촉진하고 클라우드 전환 역량을 강화하며 민간 협력체계를 구축하는 등 공공부문의 디지털 혁신 기반을 조성하고 디지털 정부를 위한 서비스 안전성과 신속성을 제고하기 위한 초석을 마련하였다.

행정·공공기관의 클라우드 전환은 2015년 ‘클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률’이 제정되면서 본격화되었다. [그림 보안 기술 5-1]와 같이 클라우드컴퓨팅법 제정 이후 클라우드 컴퓨팅 발전 기본 계획 수립 등 정책적인 노력을 통해 공공·산업의 클라우드 이용 기반을 조성하고 클라우드 산업 성장의 발판이 마련되었다. 특히 3차례에 걸친 클라우드 컴퓨팅 발전 기본 계획을 통해서 클라우드 생태계 조성에 기여하고 있다.

‘제 1차 클라우드 컴퓨팅 발전 기본 계획(2016~2018)’을 통해서 클라우드 보안인증제 신설 및 중소기업 클라우드 이용지원 등 산업 성장 기반 마련되었다. 중앙 행정기관, 지자체, 공공기관의 기관 성격과 정보자원의 중요도에 따른 3등급에 따라 낮은 등급의 자원부터 단계적인 민간 클라우드 이용을 확대하는 방향으로 발전되어 왔다.

‘제 2차 클라우드 컴퓨팅 발전 기본 계획(2019~2021)’에서는 중앙부처·지자체의 민간 클라우드 이용 허용, 주요 분야별 클라우드 서비스 개발 등 클라우드 활용 사례 확산에 집중하였다. 민간 클라우드의 이용 대상 및 범위가 중앙부처, 지자체와 국가안보, 수사재판, 민감정보 제외한 공공기관 전체로 확대되었으며, ‘행정 ·공공기관 민간 클라우드 이용 가이드라인(2019.12)’을 발표하며 클라우드 이용을 촉진하였다. 특히 전자정부 클라우드 플랫폼 구축 확산을 통해 전자정부 클라우드 플랫폼 개발 및 공공기관 클라우드 도입 모델 다양화 등을 추진하였다.

‘『제3차 클라우드컴퓨팅 기본계획(2022~2024)’에서는 공공, 산업 전 분야에 클라우드 이용을 전면 확산하고, 경쟁력 있는 클라우드 서비스의 본격 확대를 위한 집중 지원을 통해 국가 클라우드 전면 전환을 통해 데이터·인공지능(AI) 경제를 가속화 하고, 디지털 선도 국가로 도약하기 위한 정책 방향 마련 추진하였다. 이를 위해 ‘공공 부문 민간 클라우드 우선 이용’, ‘클라우드 산업 경쟁력 강화‘, ‘클라우드 산업 지속 성장을 위한 생태계 조성’의 3가지 전략을 기반으로 ‘공공부문 민간 클라우드 이용 활성화‘, ‘행정/공공기관 클라우드 전면전환‘, ‘민간 서비스 공공유통 혁신‘, ‘안전한 클라우드 이용환경 조성’이라는 추진과제를 통해 디지털 혁신 및 산업 육성 마중물 역할을 강화해 나가고 있다.

국내에서는 클라우드 생태계 활성화를 위한 클라우드컴퓨팅법 제정 및 클라우드컴퓨팅 기본 계획 등의 제도적 지원을 지속하고 있다. 이와 같은 클라우드 생태계를 지원하기 위한 가장 근본적인 이유는 클라우드를 통해 타 기술과 산업이 융합하여 비즈니스나 기술의 서비스화를 도모하기 위한 목적이라고 할 수 있다. 클라우드 환경에 최적화된 서비스를 위해서는 단순히 클라우드 전환(Cloud Migration)이 아닌 클라우드 네이티브(Cloud Native)를 구현하기 위한 목표로 클라우드에 접근해야 한다.

[그림 보안 기술 5-2]의 Cloud Migration Up or Out Model을 보면 우리가 궁극적으로 클라우드 생태계에서 가고자 하는 목표를 보다 명확히 할 수 있다. 클라우드를 사용하기 위해서 우리가 일반적으로 알고 있는 클라우드 마이그레이션(Cloud Migration)의 경우 온프레미스에서 동작하던 서비스가 클라우드 환경으로 인프라스트럭처로 전환(Migration, Out)되는 것을 의미하며, 서버리스기반의 클라우드가 관리하는 서비스로 클라우드 최적화(Cloud Optimized)된 환경으로 전환하기 위해서는 클라우드 환경에 맞는 아키텍처로 재구성해야 한다. 우리가 목표로 하는 클라우드 네이티브는 이러한 재설계(Re-architecture)와 재빌드(Rebuild)가 반영된 것으로 전환(Transform)되는 것을 목표로 하는 것이다.

정부에서 발표한 제도와 관련 지원들은 모두 이러한 클라우드 네이티브를 구현하기 위한 초석을 다지는 과정이라고 볼 수 있다. 클라우드 네이티브 컴퓨팅 재단(CNCF, Cloud Native Computing Foundation)에서는 클라우드 네이티브를 클라우드의 서비스 종류와 관계없이 동적으로 확장할 수 있는 애플리케이션을 구축 및 실행하는 것을 의미한다. 이를 통해 회복성과 관리 편의성, 시스템의 가시성 및 자동화를 통해 최소한의 노력으로 애플리케이션의 개발 및 관리가 가능하게 되는 것이라고 설명한다.

클라우드 네이티브를 구성하기 위해서는 △ 마이크로서비스(Microservice), △ 컨테이너(Container), △ 데브옵스(DevOps), △ 지속적 통합과 지속적 배포(CI/CD)가 필요하다. Microservice는 단독으로 실행 가능하고 독립될 수 있는 작은 단위 모듈로 주요 기능을 개별 서비스화 하므로 다른 기능에 영향을 미치지 않으며, 컨테이너는 클라우드 서비스를 효율적으로 관리하기 위한 기술을 의미한다. 소프트웨어의 개발부터 운영까지 아우르는 소프트웨어 개발주기(SDLC)를 관리하기 위해서는 DevOps를 기반으로 소프트웨어의 개발 및 테스트, 통합, 배포까지의 일련의 활동을 자동화하여 수행할 수 있는 CI/CD가 필요하다.

클라우드 활성화를 위한 생태계 조성 및 클라우드 네이티브를 통한 소프트웨어의 확장성과 유연성을 제공하는 소프트웨어 접근방식을 구현한다고 해서 안전한 클라우드 생태계를 조성할 수 있다는 것은 아니다. 클라우드 환경을 더욱 안전하게 운영하기 위해서는 클라우드 환경에 최적화된 보안기술이 필요하다. [표 보안 기술 5-2]와 같이 기술 스택에 따른 클라우드 보안을 위해서는 프레임워크는 △ 클라우드 측면, △ 인프라 측면 , △ 애플리케이션 측면으로 분류할 수 있다.

클라우드 측면의 프레임워크는 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP), 클라우드 접근 보안중개(CASB), 클라우드 워크로드 보호 플랫폼(CWPP), 클라우드 보안 형상 관리(CSPM), 클라우드 인프라 권한 권리(CIEM)을 통해 클라우드 기반 보안 정책 및 클라우드 서버워크로드 중심의 보안 구성 및 클라우드 구성 오류 감지 등의 정책을 적용할 수 있다. CNAPP는 CIEM, CSPM, CWPP의 기능을 통합하여 클라우드 인프라의 위협 탐지 및 가시성 확보, 마이크로서비스와 컨테이너 보호에 초점을 맞춰 애플리케이션을 보호한다.

인프라 측면에서는 쿠버네티스 보안 형상관리(KSPM), 서비스형 소프트웨어 보안 형상 관리(SSPM), 보안 서비스 에지(SSE)를 통해 쿠버네티스(Kubernetes) 구성 요소의 보안 및 잘못된 구성 문제 해결, SaaS 환경의 보안 상태 관리가 가능하다. 애플리케이션 측면에서는 웹 애플리케이션 및 애플리케이션 프로그래밍 인터페이스 보호(WAAP), 보안 웹 게이트웨이(SWG) 등을 통해 애플리케이션이나 API의 보안을 강화할 수 있다.

04. 마무리

지금까지 2023년 발생한 사이버 보안 위협 및 기술 발전을 돌아보고 다가오는 2024년의 사이버 보안 위협 및 기술에 대해 전망하였다. 2022년에 발생한 국가 주도의 해킹그룹에 의한 대규모 공급망 공격의 피해가 2023년까지도 지속됨에 따라 국가 간 무력 충돌이 장기화하는 시점에서 사이버 공격은 공격자들이 상황을 타개하기 위한 새로운 매개체로 활용될 가능성이 커졌다. 더욱이 다가오는 2024년은 ‘세계 정치의 해’라 할 만큼 대립 관계의 국가들의 국가 수장이 바뀌는 대통령 선거가 줄지어 있어 향후 정치적인 향방도 안갯속인 상황이다.

오픈소스 생태계가 새로운 게임 체인저로 작용하면서 인프라의 복잡도가 높아지면서 자산의 가시성이 낮아지면서 새로운 공격 표면들이 발생하고 위험의 체인화가 가속화되고 있다. 공격자들은 소프트웨어 취약점을 이용한 공급망 공격 이외에도 생성형AI로 무장하여 종전의 보안 체계를 무력화하고 우회할 방법을 모색하기 위해 지금도 끊임없이 새로운 취약점과 약점을 연구하고 있다.

융합생태계의 확산으로 모든 비즈니스와 기술은 하나로 연결되고 있다. 지능화되고 자동화되는 공격자들의 파도를 견뎌내기 위해서는 종전의 보안 체계에서 벗어나 DIA(Deep Visibility, Intelligence, Automation)기반의 보안관제 체계를 구축하고 공격 표면을 최소화할 수 있는 지속적인 보안 전선을 구축하는 것이 그 어느 때보다 중요하다.

보안은 하나의 제품이나 기술로 구현될 수 있는 것이 아니다. 2024년은 그 어느 때보다 불확실성이 높은 한 해가 될 것으로 예상되기 때문에 ‘이글루코퍼레이션 2024년 보안 위협 및 기술 전망’이 모쪼록 보안을 고민하는 모든 이들의 환경을 더욱 안전하게 만드는 데 기여할 수 있기를 기대해 본다.