사용량 70% 증가한 오피스 솔루션... 클라우드 기반이라 위험 존재
오피스 365뿐 아니라 다른 클라우드 기반 앱에도 적용 가능한 규칙들

[보안뉴스 문가용] 2015년에 비해 2016년 2사분기의 MS Office 365(이하 오피스 365) 도입률이 70%나 증가했다. 일부 통계에 따르면 10개 조직 중 4개꼴로 오피스 365를 도입하고 있다고도 한다. 사용자들은 앞으로도 계속해서 늘어날 전망이다.


▲ 하... 우리도 오피스 새로 깔긴 깔아야 하는데...

하지만 오피스 365라고 해서 보안이 완벽한 소프트웨어는 아니다. 최근에만 하더라도 인증 우회 취약점이 발견되기도 했었다. 사정은 이전 버전의 오피스 제품에서도 마찬가지였다. 중요한 건 업무환경 상 싫든 좋든 오피스의 사용을 멈출 수는 없다는 것이다. 대부분의 조직에서 이는 비슷할 것이다. 그렇다면 다음 일곱 가지 오피스 365의 위험 리스크를 알아두는 것이 차선책이라고 할 수 있다.

1. 디폴트 관리자 메일박스는 인증 과정 없어도 접근이 가능하다
계정이 하나 새로 만들어질 때마다 관리자 메일박스가 같이 만들어진다. 그러나 이 관리자 메일박스 계정에는 인증 과정이 없다. 그러므로 중요한 이메일 송수신을 이 계정으로는 하지 않는 편이 좋다. 더 좋은 건 아예 이 메일박스 계정을 삭제하는 것이다.

2. 오피스 365 내에는 중요한 정보가 많다
민감한 데이터의 유출 문제는 오피스 365를 쓰든 아니든 늘 잠재되어 있는 위협거리다. 365라고 해서 특별히 더 안전하거나 하지 않다는 것이다. 특히 오피스 365는 클라우드를 기반으로 하고 있다는 걸 기억해야 한다.

오피스 365를 보다 안전하게 사용하기 위해선 클라우드 기반의 DLP 솔루션을 활용하는 것을 권장한다. 원드라이브(OneDrive)와 쉐어포인트(SharePoint)에 이미 저장되어 있는 민감한 데이터를 확인하고, 그 데이터들이 언제 어떻게 업로드, 다운로드 되며 공유되는지 실시간으로 파악하는 것이 포인트다. 오피스 365 트래픽을 항시 관찰하여 웹 브라우저나 모바일 앱, 원드라이브 싱크 등 트래픽의 도착지와 출처를 꼼꼼하게 기록해야 한다. 얼마간 이런 관찰을 한 후 정책을 적용하는 것도 좋은 방법이다.

3. 오피스 365에서 다른 클라우드 앱으로 정보가 빠져나갈 수 있다
사용자가 오피스 365 앱(예를 들면 쉐어포인트)에 로그인 하고 민감한 데이터를 다운로드 받은 후 그 데이터를 다른 클라우드 앱을 통해 엉뚱한 곳에 업로드한다면 어떨까? 이런 식의 위협 역시 오피스 365에 존재한다. 이는 데이터 사용 및 이동 내역에 대한 기록 관리로 해결해야 한다. 데이터의 ‘정상적인’ 사용 기록이 축적되었다면 이를 정책으로 만들어 적용하는 것이 중요하다.

4. 오피스 365의 트라이얼 버전도 위험할 수 있다
무료로 오피스 365의 시험판을 쓰다가 마음에 들어서 유료로 전환했을 때도 문제가 발생할 수 있다. 무료 계정이 유료 계정으로 바뀌는데, 이 둘은 두 개의 다른 계정이다. 하나가 다른 하나로 ‘변신’하는 게 아니라는 것이다. 이를 헷갈리면 안 된다. 무료 계정을 없애든지 해서 구분과 정리를 반드시 해야 한다. 이런 사소한 혼란 때문에 무슨 일이 벌어질지 모르는 것이다.

조직 내에서는 이렇게 시험판을 사용하다가 유료로 전환한 경우가 있는지부터 파악해야 하고, 무료 계정이 존재한다면, 그 계정을 통해 어떤 정보가 오갔는지 알아내야 한다. 이때 브라우저는 평소와 다른 걸 사용하고, 익명 모드를 활성화시키는 게 좋다.

5. 사용자들은 조심성이 없다
오피스 365는 언제 어디서고 연결이 가능한 클라우드를 기반으로 하기 때문에 매우 편하다. 어떤 기기에서건 연결이 가능하다는 장점도 이를 거든다. 그런데 이게 문제다. 사용자들이 감염된 기기를 사용해 연결할 가능성도 다분하기 때문이다.

우선 위에서 몇 가지 경우의 예시를 든 것처럼 접속이 가능한 기기를 따로 정해두고 관리하는 것이 가장 좋은 해결법이다. 사용자가 등록 과정 없이 새 기기로 막 접속하지 못하도록 차단하는 것이다. 이는 정책적으로도 반드시 마련해야 할 철칙 중 하나다.

6. 통신이 항상 안전한 것은 아니다
오피스 365의 통신을 암호화하지 않으면 사용자들은 언제고 메일 스니핑 등의 위협에 걸려들 수 있다. 그런 경우 메일 내용이 유출되는 것은 물론, 중간자 공격에 당할 수도 있게 된다. 중요한 정보가 들어 있는 이메일을 주고받는데, 암호화하지 않을 이유가 없다.

TLS의 활성화를 권장한다. 방법은 간단하다. 오피스 365 콘솔의 Admin 섹션에서 Exchange -> Exchange Admin Center로 가서 Mail Flow -> Connectors를 클릭한다. 그리고 연결을 원하는 특정 도메인을 설정한다.

7. 로그인 시간을 무한정으로 설정하는 건 매우 위험하다
세션 타임아웃의 적정 시간에 대해서는 각자가 다양한 생각을 가지고 있을 것이다. 하지만 ‘무한정’은 좋은 생각이 아니다. 요즘 들어 더욱 심각해지고 있는 내부자의 위협에 무력해지기 딱 좋은 환경이기 때문이다. 오피스 365에 로그인 해놓고 점심이라도 먹으러 나갔다? 그런데 로그인 대기 시간이 무한정이다? 당신 자리에 우연히 앉아본 누군가에게 정보를 모두 내준 꼴이다.

해결책은 간단하다. 일정 시간이 지나면 로그아웃이 자동으로 되도록 설정하면 된다. [Get-OrganizationConfig]를 편집해 [ActivityBaseAuthenticationTimeoutInterval 00:10:00]를 삽입해주면 된다. 물론 00:10:00은 사정에 따라 바뀔 수 있다.

글 : 션 마틴(Sean Martin)
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)