단일 장애 지점이 SaaS 환경에 미치는 영향 분석
Snowflake와 CDK 침해 사건에서 배우는 SPoF의 위험성

[보안뉴스 원병철 기자] SaaS(Software as a Service) 솔루션은 효율성과 편의성 덕분에 자동차, 금융, 교육, 의료, 소매업을 포함한 모든 산업에 필수가 됐다. 그러나 이러한 플랫폼에는 단일 장애 지점(SPoF, Single Point of Failure)이라는 중요한 취약점이 있다. SaaS 환경에서 SPoF가 손상되면 영향이 광범위해 모든 사용자에게 영향을 미치고, 시스템이 중단으로 이어질 수 있다. 보안 스토리지 전문기업 스톤플라이(지사장 최성재)는 Snowflake 및 CDK 사이버 공격과 같은 최근 사건을 사례 연구로 사용해 SPoF가 SaaS 플랫폼에 미치는 영향을 살펴봤다.


[이미지=gettyimagebank]

SaaS 보안의 아킬레스건 SPoF
IT 및 네트워크 시스템에서 단일 장애 지점(SPoF)이란, 중요한 구성 요소에 장애가 발생하면 전체 시스템이나 네트워크가 중단될 수 있는 상황을 말한다. SaaS 환경에서 SPoF는 서버, 네트워크 연결 또는 애플리케이션 모듈과 같은 모든 요소가 될 수 있으며, 손상되면 해당 플랫폼에 의존하는 모든 사용자의 서비스를 중단시킨다. SPoF는 SaaS에서 특히 중요한데, 이러한 플랫폼은 설계상 멀티테넌트이기 때문에 단일 장애가 수천 또는 수백만 명의 고객에게 동시에 영향을 미치기 때문이다.

SaaS 침해가 발생하는 이유 : SaaS 플랫폼의 일반적인 취약성
일반적인 SaaS 아키텍처는 리소스가 클라우드 환경에 호스팅되고 종종 여러 데이터센터에 분산되는 중앙 집중형 모델을 기반으로 구축된다. 이 구조 내의 일반적인 SPoF는 다음과 같다.

- 데이터베이스 시스템 : 모든 고객 데이터를 저장하는 중앙 데이터베이스에 장애가 발생하면 플랫폼 전체의 모든 읽기/쓰기 작업이 중단될 수 있다.
- 인증 서버 : 인증 서비스에 장애가 발생하면 사용자는 로그인할 수 없게 되어 애플리케이션에 액세스할 수 없게 된다.
- 로드 밸런서 : 로드 밸런서는 트래픽 분산을 관리한다. 로드 밸런서에 장애가 발생하면 플랫폼이 가동 중단되거나 나머지 서버에서 과부하가 발생할 수 있다.
- 네트워크 인프라 : 코어 스위치나 게이트웨이와 같은 네트워크 백본에 장애가 발생하면 서비스와 데이터 센터 간 통신이 중단될 수 있다.

SaaS 모델의 중앙 집중화는 특정 구성 요소에 대한 중요한 종속성을 생성하기 때문에 취약성이 증가한다. 이러한 중앙 집중화된 요소가 실패하면 전체 서비스에 영향을 미쳐 모든 고객 계정에서 완전한 중단이 발생할 수 있다.

다운타임을 넘어서는 SaaS 단일 실패 지점의 결과
SaaS 환경에서 SPoF가 악용되거나 문제가 발생할 경우 위험이 상당하다. 즉각적인 영향은 운영 중단으로, 고객이 중요한 서비스에 액세스할 수 없게 되어 비즈니스 운영이 중단된다. 장애가 스토리지 시스템이나 트랜잭션 처리에 영향을 미칠경우 데이터 손실과 같은 추가 문제로 이어질 수 있다.

여러 기업이 단일 SaaS 공급업체에 의존하는 것은 문제를 악화시킨다. SaaS 공급업체의 인프라에서 장애가 발생하면 한 클라이언트에만 영향을 미치는 것이 아니라 해당 플랫폼에 의존하는 모든 비즈니스에 영향을 미친다. 이러한 광범위한 영향은 도미노 효과로 이어질 수 있으며, 한 서비스의 중단이 다른 서비스를 중단시켜 업계 전체에 영향을 미친다. 또한 이러한 종속성은 공급망 공격의 위험을 증가시켜 공급업체의 시스템이 침해되면 연결된 모든 클라이언트가 손상된다.

사례 연구 : SaaS 중단의 실제 영향 및 공급망 공격으로 이어지는 방식
(1) Snowflake 사건 – 수천 명의 공급망 문제
Snowflake는 다양한 분야의 기업에 클라우드 기반 솔루션을 제공하는 탁월한 데이터 웨어하우징 및 분석 플랫폼이다. 조직이 대량의 데이터를 효율적으로 저장, 분석 및 공유할 수 있도록 한다. 클라우드 인프라 위에 구축된 Snowflake의 아키텍처는 원활한 확장 및 데이터 처리를 가능하게 해 빅데이터 분석에 의존하는 기업에 중요한 도구가 되었다.

SnowFlake SaaS 중단에서 무슨 일이 일어났나
이 침해는 Snowflake 영업 엔지니어가 사용하는 손상된 머신에서 시작됐으며, 키 입력과 기타 민감한 활동을 캡처하는 맬웨어인 Lumma Stealer에 감염됐다. 이 침해로 공격자는 Snowflake 내의 민감한 환경에 액세스할 수 있었고, 잠재 고객과 프로덕션 계정 모두에 영향을 미쳤다. 위협 행위자는 Santander Bank와 Ticketmaster와 같은 주요 기관에서 데이터를 추출했다고 주장했다.

Santander Bank는 5월 14일에 공격자가 서드파티 공급업체가 호스팅하는 데이터베이스에 액세스했으며, 나중에 Snowflake의 침해된 환경과 연결됐다고 밝혔다. 마찬가지로 Ticketmaster의 모회사인 Live Nation Entertainment는 Snowflake에 기인한 클라우드 데이터베이스에서 무단 활동을 보고했다. 이 침해는 Santander 고객 3,000만 명과 Ticketmaster 고객 5억 6,000만 명에게 영향을 미친 것으로 알려졌다.

보안 연구원들은 침해된 Snowflake 계정과 연결된 도용 로그를 통해 손상된 500개 이상의 데모 환경 인스턴스를 발견했다. 2024년 7월 30일, Bausch Health의 160만개의 DEA 번호와 처방자 세부 정보, 총 3TB의 데이터가 포함된 또 다른 침해가 발생했으며, 300만 달러의 몸값을 요구했다.

또한, 4,000만 명의 고객에게 서비스를 제공하는 대형 남미 회사의 Snowflake 환경에 대한 액세스를 판매한다고 주장하는 새로운 위협 행위자가 등장했다. 이는 Snowflake를 둘러싼 지속적인 보안 문제에 또 다른 복잡성을 더한다.

SnowFlake SaaS 중단 영향 분석
Snowflake 고객에게 즉각적인 영향을 미친 것은 운영 중단이었으며, 특히 Santander와 Ticketmaster와 같은 기업에서 민감한 고객 데이터가 손상됐다. 이러한 사고로 인해 기업들이 데이터를 보호하고 침해 범위를 평가하기 위해 서두르면서 광범위한 다운타임이 발생했다. 장기적인 영향으로는 평판 손상, 고객 신뢰 상실, 고객과 규제 기관이 침해에 대응하면서 발생할 수 있는 잠재적 법적 책임이 포함됐다.

Bausch Health의 경우, 침해의 영향은 심각했으며, DEA 번호가 노출되면서 의료 서비스 제공자에게 상당한 위험이 초래됐다. 이러한 번호를 쉽게 재설정할 수 없으면 약물 처방 능력의 잠재적 중단을 포함해 장기적인 운영상의 문제로 이어질 수 있다.

교훈 : SaaS 환경의 액세스 포인트는 반드시 안전해야 한다
Snowflake 사건은 SaaS 환경에서 액세스 포인트를 보호하는 것의 중요성을 강조한다. 단 하나의 손상된 머신만으로도 광범위한 침해로 이어져 수백만 명의 사용자에게 영향을 미치고, 여러 조직에서 민감한 데이터가 노출될 수 있다. 이 사례는 단일 장애 지점이 광범위한 결과를 초래할 수 있는 중앙 집중식 SaaS 모델의 취약성을 드러낸다. 또한 향후 유사한 사고를 방지하기 위해 정기 감사, 고급 위협 탐지, 직원 인식 교육을 포함한 강력한 보안 조치의 필요성을 강조했다.

2) CDK 사이버 공격 – 수천 개의 자동차 딜러십이 피해를 입다
CDK Global은 자동차 딜러십을 위한 기술 솔루션의 주요 공급업체로, 딜러 관리 시스템(DMS), 디지털 마케팅 및 기타 중요한 서비스를 지원하는 SaaS 플랫폼을 제공한다. CDK의 소프트웨어는 수천 개의 자동차 딜러십의 일상 업무에 깊이 뿌리를 두고 있어 자동차 산업의 IT 환경에서 필수적인 구성 요소가 되었다.

CDK SaaS 중단에서 무슨 일이 일어났나
2024년 6월 19일, CDK Global은 BlackSuit 사이버 범죄 그룹이 조직한 랜섬웨어 공격의 희생양이 되었고, 이로 인해 CDK는 시스템을 오프라인으로 전환했다. 이 공격은 사회보장번호, 은행계좌 정보, 전화번호, 주소, 신용카드 정보를 포함한 개인식별정보(PII)를 표적으로 삼았다. CDK는 2024년 6월 24일에 공격으로부터 복구하기 위해 일시적으로 시스템을 종료한다고 고객에게 알렸다.

서비스 복구 노력에도 불구하고 CDK는 시스템이 다시 온라인이 연결된 직후 두 번째 사이버 공격을 받았다. 두 번의 공격에서 악용된 구체적인 취약점은 아직 알려지지 않았지만, 20년이나 된 오래된 레거시 소프트웨어로 드러나 패치되지 않은 취약점이 역할을 했을 가능성이 제기됐다. 또한 사모펀드의 개입과 정보보안에 대한 투자를 줄이는 것과 같은 관련 비용절감 조치로 인해 CDK의 방어력이 약화됐을 수도 있다는 지적이다.

CDK SaaS 중단 영향 분석
CDK와 고객 기반에 대한 반향은 상당했다. CDK의 경우 즉각적인 영향에 운영 중단, 중단된 서비스로 인한 재정적 손실, 데이터 복구 및 시스템 복원의 비용이 많이 드는 프로세스가 포함됐다. 타깃 PII 노출은 수천 명의 딜러십 고객에게 영향을 미쳐 신원 도용, 사기 및 추가 사이버 공격의 위험을 초래했다.

6월 말부터 7월까지 이어진 단계적 복구 프로세스로 인해 딜러십은 장기간 중요한 소프트웨어 없이 운영됐고 이로 인해 사업 운영이 중단됐으며, CDK가 민감한 정보를 보호할 수 있는 능력에 대한 신뢰가 떨어졌다. 또한 반복적인 공격으로 인해 CDK의 평판이 손상되어 시스템적 취약성이 부각됐고, 보안 조치에 대한 고객 신뢰가 떨어졌다.

교훈 : 정기적인 업데이트, 백업 및 DR 유지 관리, 사이버 보안에 대한 투자
CDK 사이버 공격은 SaaS 환경에서 견고한 보안 관행과 레거시 시스템의 위험성의 중요성을 강조한다. 주요 내용은 다음과 같다.

- 정기적인 업데이트 및 패치 : 공격자가 악용할 수 있는 알려진 취약점을 해결하기 위해 기존 시스템은 정기적으로 업데이트하고 패치해야 한다.
- 정보보안에 대한 투자 : 보안은 비용 센터가 아니라 비즈니스 운영을 보호하기 위한 중요한 투자로 간주돼야 한다. 적절한 자금과 리소스는 특히 민감한 고객 데이터에 의존하는 회사의 경우 강력한 방어를 유지하는 데 필수다.
- 백업 테스트 : 백업의 정기적인 테스트는 필수다. 레거시 시스템의 절반을 복구할 수 없다는 사실은 사이버 사고 발생 시 데이터 무결성과 가용성을 보장하기 위한 포괄적인 백업 전략과 정기적인 검사의 필요성을 강조했다.
- SPoF 완화: 이러한 사고는 SaaS 플랫폼 내에서 SPoF의 위험을 강조하는데, 단일 침해로 모든 클라이언트의 서비스가 중단될 수 있다. 중요한 서비스를 분산하고 다중 계층 보안 프로토콜을 구현하면 잠재적 실패의 영향을 완화하는 데 도움이 될 수 있다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>