CISO Insider: 2호 자세히 알아보기

랜섬웨어 공격자는 공격 대상이 가진 가장 취약한 자산 가운데 자신들이 가장 많은 돈을 뽑아낼 수 있다고 생각하는, 볼모로 잡아두면 가장 큰 방해가 되거나 가장 중요한 것들 혹은 공개되었을 때 가장 민감할 내용을 노리고 있습니다.

업계는 조직의 위험 프로필을 결정하는 중요한 요인이라서, 제조업 리더들은 영업 방해를 최우선 염려로 꼽고 소매업이나 금융 서비스 CISO라면 중요한 개인 식별 정보를 보호하는 것을 최우선으로 여기며 의료 조직에서는 양쪽 측면 모두를 비슷하게 취약하다고 봅니다. 이에 대한 대처를 위해 보안 리더들은 보안 경계. 중요 데이터 백업, 잉여 시스템, 강화된 암호화를 다져 데이터 손실과 노출로부터 적극적으로 위험 프로필을 분리합니다.

현재, 영업 방해는 많은 리더들이 주목하는 부분입니다. 잠깐의 방해로도 비즈니스에는 대가가 따릅니다. 최근 어떤 의료 분야 CISO는 영업 측면에서 랜섬웨어는 심각한 정전이나 마찬가지라는 말을 했습니다. 적절한 백업 시스템을 갖추고 있다면 전력을 빠르게 복구할 수는 있을지언정 여전히 영업 중단은 겪게 되며 이로 인해 영업에 방해가 된다는 것입니다. 또 다른 CISO는 영업 방해가 회사의 주요 네트워크를 넘어 파이프라인 문제나 랜섬웨어가 주요 공급업체를 마비시켜 일어나는 2차 피해와 같은 영업 우려로 이어지는 방식에 대해 생각하는 바를 말했습니다.

영업 방해를 관리하는 전략에는 영업 중단 시간을 최소화하는 데 도움이 되는 잉여 시스템과 세그먼트화가 모두 들어가는데, 이러한 전략을 통해 조직은 트래픽을 네트워크의 다른 부분으로 옮기는 동시에 피해를 입은 세그먼트를 격리하여 복구할 수 있습니다. 하지만 가장 확실한 백업이나 재해 복구 프로세스라고 하더라도 영업 방해나 데이터 노출의 위협을 완전히 해결할 수는 없습니다. 완화라는 방식의 대척점에 있는 것이 바로 예방입니다.

대화를 나눠 본 여러 CISO는 공격 예방과 탐지에 대한 기본적인 접근 방식을 취하고 있습니다. 취약성 테스트, 경계 테스트, 자동화 모니터링, 엔드포인트 보안, ID 보호 등을 처리하는 공급업체 솔루션을 다양한 계층으로 활용하는 것입니다. 일부 CISO들은 보안 공백이 얼기설기 구멍이 뚫려 있는 스위스 치즈 같기를 바라며 계층별 접근이공백을 덮어주기를 바라는 식으로 의도적인 잉여를 구현합니다.

경험상으로 이런 다양성은 수정 활동을 복잡하게 만들 수 있어 오히려 많은 위험에 노출되는 경우로 이어질 수 있습니다. 어떤 CISO 한 명이 지적한대로, 여러 솔루션을 합치는 것의 단점은 분절화로 인해 가시성이 떨어지는 데 있습니다. “위협을 관리하되 현재 상태를 한꺼번에 볼 수는 없는 독립적인 콘솔들이 여럿이라서 여기서 발견되는 위험을 한꺼번에 볼 수 없기 때문에 가장 좋은 접근 방식이 있지만 그 자체로 어려움을 만들어내는 경우가 생깁니다.” (의료, 직원 수 1,100명) 서로 다른 여러 가지 솔루션을 향해 뻗어가는 복잡한 그물을 짜는 공격자에 대비하여 완벽한 킬 체인을 그리고 침해의 양상을 식별하며 맬웨어 페이로드를 발본색원하는 것은 어려운 일일 수 있습니다. 점차적으로 공격을 막는 데에는 실시간으로 공격을 찾아서 저해하며 격리/교정하기 위한 다양한 벡터를 살펴보는 능력이 필요합니다.

XDR의 능력은 대부분 아직 드러나지조차 않았습니다. 이야기를 나눠 본 여러 CISO는 EDR의 강력한 시작점을 구현했습니다. EDR은 검증된 자산이며 사용자가 랜섬웨어를 보다 빨리 탐지하여 저지한 기록이 있는, 현재의 엔드포인트 감지 및 응답임을 확인했습니다.

그러나, XDR이 EDR의 진화된 버전이라는 점에서 XDR의 기능에 대해 여전히 회의적인 CISO들도 있습니다. XDR란 그저 EDR에 몇 가지 포인트 솔루션을 붙여 놓은 것이 아닐까? 완전히 개별적인 솔루션을 사용할 필요가 정말 있을까? 결국에는 지금 가지고 있는 EDR이 같은 기능을 제공하게 되지는 않을까? 현재의 XDR 솔루션 시장은 제품 포트폴리오에 XDR 제품군을 추가하기 위해 경쟁하는 공급업체들로 인해 더욱 혼란스럽습니다. 어떤 공급업체들은 자신들이 가지고 있는 EDR 도구를 확장하여 추가 위협 데이터를 통합하고 있고 또 어떤 공급업체들은 전용 XDR 플랫폼 구축에 더 집중하기도 합니다. 후자의 공급업체들은 보안 분석가의 요구를 중심으로 기본 통합과 기능을 제공하는 것을 틀로 삼아 빌드를 진행하여 사용자의 팀이 손수 메꿔야 하는 보안 공백을 가장 많이 줄였습니다.

보안 인력은 부족하지만 위협을 격리하기 위한 대응은 빠르게 이루어져야 할 때 Microsoft에서는 리더에게 인력의 일손을 줄이고 암호 재설정 같은 일상적 업무를 처리하는 대신 가장 위험한 위협을 방어하는 데 주력할 수 있도록 자동화를 사용해 보라고 이야기합니다. 재미있는 사실은 이야기를 나눠 본 대부분의 보안 리더들이 아직 자동화 기능을 완전히 활용하지 못하고 있다고 이야기했다는 점입니다. 보안 리더들이 기회를 완전히 인식하지 못하는 경우도 있었고, 제어를 잃어 정확성을 떨어뜨리거나 위협에 대한 가시성을 놓치게 될 지 모르는데 대한 우려로 인해 자동화를 선뜻 받아들이지 못하는 경우도 있었습니다. 후자의 경우는 매우 그럴듯한 염려이기는 합니다. 하지만, 자동화를 효율적으로 받아들여 정반대의 결론을 이끌어낸 경우도 목격했습니다. 보안 팀이 활동하는 데 지침을 주며 집중하게 만드는 가운데 자동화를 전개함으로써 보다 확실한 컨트롤, 보다 적어진 가양성과 노이즈, 보다 많은 실행 가능한 인사이트를 확보한 것입니다.

자동화는 기본적인 자동화 관리 업무에서 스마트한 머신 러닝 활용 위험 평가에 이르기까지 광범위한 기능을 수행할 수 있습니다. 대부분의 CISO는 전자에 속하는 이벤트 트리거형이나 규칙 기반형 자동화를 도입했다고 이야기했지만 소수는 실시간 위험 기반 액세스 결정을 가능하게 하는 기본 제공 인공 지능과 머신 러닝 기능을 활용했다고 말했습니다. 확실히, 루틴 작업을 자동화하면 보안 팀의 손을 좀 더 자유롭게 하여 사람이 가장 자신 있는 일인 전략적 사고에 좀 더 몰두하는 데 도움이 됩니다. 하지만 인시던트 대응을 선별하는 이러한 전략적 영역으로 생각할 수 있을 예를 하나 들어 보자면 자동화가 똑똑한 대용량 데이터 수집 및 패턴 일치 수행 파트너로서 보안팀의 능력을 고양시킬 최대의 잠재력이 될 수 있다는 점입니다. 예를 들어 인공 지능과 자동화는 보안 신호의 상관 관계를 찾아 침해에 대한 종합적 탐지와 대응을 지원하는 데 능숙합니다. 최근 설문에 응한 보안 실무자의 반 정도가 신호의 상관 관계를 수동으로 찾아야 한다고 말했습니다.1   이렇게 하면 시간도 정말 많이 걸릴 뿐더러 공격에 빠르게 대응하는 일이 거의 불가능해집니다. 보안 신호의 상관 관계 확인 같이 자동화를 위한 적절한 애플리케이션을 사용하면 공격을 거의 실시간으로 탐지하게 되는 경우가 많아집니다.

Microsoft에서는 대부분의 보안 팀이 이미 사용 중인 솔루션에 빌드된 자동화를 조금 밖에 사용하지 못하고 있다는 점을 발견했습니다. 대부분의 경우, 자동화를 적용하는 것은 규칙 기반 액세스 정책을 위험 기반 조건부 액세스 정책으로 대체하는 등과 같은 사용할 수 있는 기능을 구성하는 정도나 응답 플레이북을 만드는 정도로 쉬우면서도 효과는 확실합니다.

자동화 기회를 포기하기로 한 CISO는 운영을 육안으로 확인하지 않는 동안 발생할 회복할 수 없는 오류가 시스템에서 생길 것에 대한 우려로 이어지는 불신으로 인해 그러한 선택을 하는 경우가 많습니다. 시스템이 사용자 데이터를 부적절하게 삭제하거나 시스템에 액세스해야 하는 경영진에게 불편을 초래하거나, 나아가, 악용된 취약성에 대한 컨트롤이나 가시성을 읽게 되는 경우도 발생 가능한 시나리오에 포함됩니다.

하지만 보안은 매일매일의 사소한 불편과 재해 수준의 공격에 대한 지속적인 위협 사이에서 균형을 잡으려는 경향이 있습니다. 자동화가 가진 잠재력은 이러한 공격에 대해 조기에 경고하는 시스템으로 작동하면서 이러한 불편함을 줄이거나 없애는 데 있습니다. 게다가, 최고 수준의 자동화는 해당 자동화의 인공 지능이 인간 지능에게 정보를 제공하고 확인을 받는 과정에서 단독이 아니라 운영자 직원과 함께 일을 하는 것이기도 합니다.

원활한 배포를 위해 Microsoft에서는 출시 전 평가판을 제공하기 위해 솔루션에 보고 전용 모드를 추가했습니다. 이를 통해 보안 팀에서는 자신들의 리듬에 맞춰 자동화를 구현하는 가운데 자동화 규칙을 미세조정하고 자동화된 도구의 성능을 모니터링할 수 있습니다.

자동화를 가장 효과적으로 사용하는 보안 리더들의 경우, 자동화를 팀에 나란히 배포하여 공백을 메꾸고 최전선 방어선의 역할을 수행하도록 합니다. 최근 어떤 CISO가 이야기한 바와 같이 동시에 모든 항목에 집중하는 보안 팀을 갖추는 것은 거의 불가능한 데다 비용 역시 받아들일 수 없을 정도로 비싸며, 이 모든 문제를 해결한다고 해도 보안 팀은 빈번한 팀원 교체를 겪게 될 가능성이 높습니다. 자동화는 상시 일관적으로 지속되는 계층을 마련해 주어 트래픽 모니터링이나 조기 경보 시스템과 같이 일관성이 요구되는 분야를 책임지는 보안 팀을 지원합니다. 이러한 보조적 기능을 전개함으로써 자동화는 팀이 손수 로그나 시스템을 검토해야 하는 일에서 해방될 수 있도록 하여 팀이 보다 선제적으로 대응할 수 있도록 해 줍니다. 자동화는 사람을 대체하는 것이 아니라 사람들이 경고의 우선 순위를 결정할 수 있도록 하고 가장 중요하다고 여기는 곳에 자신들의 역량을 집중할 수 있도록 해주는 도구입니다.