<사진 출처 : www.freepik.com>

 

엔드포인트 – 해커들이 노리는 가장 취약한 지점

사이버 하이진의 문제가 상당 부분 사용자 단말 부분에서 발생한다. 다시 말해서 엔드포인트 보안 취 약성을 노린 사이버 공격이 그만큼 많이 발생한다는 뜻이다. 사람의 위생관리도 각자 스스로 열심히 관 리를 잘하는 것이 중요하지만, 그렇지 못한 경우 전문가의 도움을 받아 위생을 떨어뜨릴 수 있는 원인을 찾아내 조치를 취하는 것도 필요하다. 코로나-19의 경우도 각자 주의하며 전염되지 않도록 마스크를 쓰 고 손을 깨끗이 닦는 것이 중요하지만, 또한 사회적 거리 두기 지침을 만들어 이를 강제하며, 이것이 제 대로 지켜지지 않으면 즉각 대응하는 것도 필요하다. 이를 위해 많은 공적 인력이 투입되어 상시 모니터 링도 해야 한다. 사이버 하이진도 마찬가지이다. 전체 시스템에 대한 공격을 실시간으로 탐지하고, 시스템 상태를 상시 모니터링 함으로써 잠재적 위협요소를 최대한 빨리 발견해 내는 것이 필요하다. 특히 사이버 공격이 시 작되는 지점에서의 실시간 관리는 매우 중요하다. 기업 보안담당자를 대상으로 한 한 조사에 의하면 사이버 공격이 시작되는 지점을 엔드포인트 라고 답한 응답자가 38.1%라고 한다.

엔드포인트 공격을 통해 멀웨어를 심어 놓고, DNS 터널링을 활용해 멀웨어와 C&C(Command & Control) 서버가 접속함으로써 전체 시스템이 해커의 손아귀에 놓이기도 한다. 엔드포인트 보안 공격은 엔드포인트에서 끝나는 것이 아니라 전체 시스템에 위협을 가한다. 만일 사이버 보안을 위해 투자를 확 대한다면 어디에 할 것인가 라는 질문에 대해서도 엔드포인트 투자확대를 우선하겠다는 답이 40%가 넘었다. 그만큼 엔드포인트 중요성을 인식하고 있다는 뜻이다.

​

엔드포인트 보안 솔루션 동향

대표적인 엔드포인트 보안으로 안티바이러스 솔루션을 들 수 있다. 가장 일반적이며 모든 노트북 및 데스크탑 컴퓨터에 탑재되었다고 봐도 과언이 아니다. 또 다른 중요한 엔드포인트 보안 도구로는 패치 관리 시스템을 들 수 있다. 엔드포인트에 설치된 소프트웨어의 유효성을 상시 모니터링하며 보안패치 등 이 나왔을 때 즉시 적용하는 기능이다. 회사 내 소프트웨어 라이센스 관리 도구와 함께 사용되기도 한 다. NIST 사이버 보안 프레임워크는 파악(Identify), 방어(Protect), 탐지(Detect), 대응(Respond), 복구 (Recover) 이 다섯을 주요 기능으로 제시하고 있다.

NIST 프레임워크의 다섯 기능은 동시에 연속적으로 이루어진다. 각각의 단계가 앞 단계에 이어 지면 서도 이들 기능이 동시에 이루어져야 하기 때문이다. 예를 들어 탐지 단계에 이어 대응 단계로 넘어가 면, 또 탐지 기능이 바로 동작하게 되며, 이는 모든 엔드포인트에서 동시다발적으로 이루어질 수 있다. NIST 프레임워크에서 제시한 기능을 엔드포인트 보안 관점에서 요구사항으로 확대하면, 자산관리, 취약 성 관리, 패치 관리, 소프트웨어 업데이트, 행위분석, EDR, 보안정책 운영, 포렌식 및 복구 등으로 구체 화할 수 있다. 물론 이들 각각을 더욱 세분화할 수 있다. 엔드포인트 보안 기능 중 가장 익숙한 것으로 안티바이러스 솔루션을 들 수 있다. 맥아피(McAfee), 비트디펜더(Bitdefender), 카스퍼스키(Kaspersky), 트렌드마이크로(Trend Micro) 등은 이미 안티바이러 스 시장에서 많이 알려진 회사들이다. 이들은 안티바이러스 시장에서의 강점을 바탕으로 엔드포인트 보 안 시장에서도 지명도를 유지하고 있다. 국내의 안랩도 안티바이러스를 바탕으로 엔드포인트 보안 시장 에서 입지를 확보하고 있다.

​

점차 지능화되고 있는 사이버 위협에 효과적으로 대응하기 위한 차세대 기술로 EDR(Endpoint Detection & Response)과 같은 보안 솔루션의 필요성이 대두되고 있다. 안티바이러스 솔루션이 알려진 패턴에 기반한 취약점을 발견하여 이를 수정하는 것이 주 기능이라면, EDR은 엔드포인트에서 발생하는 모든 행동 정보를 저장하고 분석할 수 있는 기능이 핵심이다. 파일에 대한 접근, 네트워크 사용, 애플리 케이션 실행 등 엔드포인트에서 수행되는 모든 프로세스 행위를 기록하고, 이를 바탕으로 상시 “탐지”가 가능하다. 엔드포인트에서 발생하는 악성 행위가 발견되는 즉시 대응함으로써 피해 확산을 방지할 수 있 다. EDR은 일반적으로 위협 탐지 및 경보, 시각화, 분석 도구, 그리고 대응 기능을 갖추고 있다. 신속한 분석과 이슈 전파를 위해 다수의 에이전트를 두기도 하지만, 이는 오히려 일관성 있는 대응에 어려움을 초래할 수 있다. 단일 에이전트를 두되 효율적으로 데이터를 전파할 수 있는 아키텍처를 갖추고, 사용자 친화적인 질의/분석 도구를 갖추는 것이 좀 더 실용적일 것으로 판단된다. 지능화된 위협에 효과적으로 대응하기 위해 기계학습 활용이 점차 보편화되고 있다. 많은 엔드포인트 보안 솔루션이 인공지능 기술을 내세우며 차별점을 강조하고 있다. 기계학습을 활용한 자동 분석은 거스 를 수 없는 추세이다. 그러나 보안 위협 형태나 대응 방식은 산업 도메인마다 다르고 심지어 한 기업 내 에서도 조직별로 다를 수 있다. 특히 엔드포인트에서 수집되는 행동 정보마다 고유의 특성을 지닐 수도 있다. 따라서 일반화된 기계학습 모델을 제공하는 것보다는 학습 및 분석 대상이 될 수 있는 엔드포인트 행동 정보를 담고 있는 비정형 원 데이터를 안정적으로 저장해 두는 것이 오히려 더 바람직할 수 있다. 행동 패턴을 학습하고 이를 바탕으로 이상 패턴을 찾아내는 기계학습 모델은 해당 도메인의 전문가가 관여하여 개발하는 것이 더 효과적이다. 이런 모델은 또한 수시로 확장하고 재학습 시켜야 할 필요가 있 기에 가능하다면 엔드포인트 보안 솔루션 수요 기업에서 직접 개발하는 편이 낫다는 것이 필자의 생각 이다.