CDR, 일본과 이스라엘 중심으로 발전...국내외 4개 기업 제품 시장 리딩
콘텐츠 포맷을 이해하고 원본과 동일한 콘텐츠 재구성하는 것이 관건

[보안뉴스 원병철 기자] 차세대 보안기술로 알려진 CDR, 즉 콘텐츠 악성코드 무해화 기술은 최근 일본을 중심으로 성장세를 보이고 있다. 특히, 가트너가 2016년 보고서에서 첨부파일 형태 공격의 대응 솔루션으로 CDR을 추천하고, 미 국토안보부가 최근 카네기멜론 대학교와 함께 CDR(Content Disarm&Reconstruction) 제품에 대한 BMT를 진행하는 등 관심은 더욱 커지고 있다. 이미 일본은 공공분야의 파일 무해화 처리를 의무화하기 시작했고, 이스라엘도 에너지 등 특정분야에서 의무화하는 등 점차 의무화 추세로 나아가고 있다.


▲국내 CDR 시장을 리딩하는 4개 기업과 CDR 솔루션[자료정리=보안뉴스]

지난 CDR 시장 기사에서도 언급했지만, CDR이 처음 등장한 것은 2000년도 초반 안티 바이러스 업체들이 파일에서 매크로를 제거하는 시도를 하면서부터 시작된 것으로 업계에서는 보고 있다. 하지만 CDR이 본격 연구된 것은 2000년대 후반부터 강조되기 시작한 망분리 때문인 걸로 알려졌다.

기관이나 기업 등이 네트워크를 통해 공격하는 것을 피하기 위해 망분리를 시행했지만, 업무 등 작업을 위해서는 반드시 외부 자료(파일)를 가져와야 했다. 문제는 외부 자료를 옮기면서 감염 등 공격받을 가능성이 생긴다는 점이다. 실제로 USB 등 외부기기를 이용한 공격이 발생한 경우가 많기 때문에 대다수의 보안전문가들은 망분리시 USB 등 외부 접속에 대한 대책이 필요하다고 조언하고 있다.

CDR은 ‘콘텐츠 악성코드 무해화 기술’이라는 이름 그대로 콘텐츠(파일)에 악성코드 등 문제가 없는지 검토하고, 문제가 발견되면 그 문제만 제거한 후 ‘무해’한 콘텐츠를 다시 만드는 기술이다. 좀 더 자세하게 설명하면, ①콘텐츠를 분석해서 해당 포맷의 필수적인 정보 외에 다른 정보가 있는지 분석하고, ②다른 정보가 있을 경우 콘텐츠에서 제거한 후, ③무해한 정보를 바탕으로 다시 원본과 똑같은 콘텐츠로 재구성한다.

CDR 기술은 생각보다 어렵고 힘들다는 게 업계의 공통적인 반응이다. 악성코드 등 문제가 발견됐을 때, 이를 제거한 후 다시 원본과 똑같은 파일을 만든다는 것이 쉽지 않다는 얘기다. 이 때문에 콘텐츠, 즉 한글(HWP)이나 MS워드(MS WORD), PDF나 PPT 같은 포맷에 대한 이해가 필요하다. 포맷을 완벽하게 이해해야 콘텐츠를 분석해 해당 포맷에 필요 없는 부분이 있는지 없는지 판단하고, 필요 없는 부분을 제거한 후 다시 재조합할 수 있기 때문이다.

또 하나 어려운 점은 원본, 즉 한글이나 워드 등 포맷을 지원할 때, 버전별로 계속 업데이트를 해줘야 한다는 점이다. 예를 들면, 한글의 버전인 한글 97, 한글 2012, 한글 2015 등에 맞춰 CDR도 각각 업데이트를 해야 한다. 업계에서는 이와 같은 이유 때문에 CDR을 연간 단위의 ‘라이선스’ 형태로 서비스를 제공한다는 계획이다.

이밖에도 그림이나 동영상 등 문서외의 콘텐츠도 무해화가 가능하다. 다만 동영상의 경우 무해화하는 시간이 동영상의 플레이 시간만큼 걸리기 때문에 권장하지는 않는다. 암호화된 콘텐츠의 경우 사용자에게 암호를 확인해 무해화한 후, 다시 동일한 형태로 암호화한다.

현재 출시된 CDR은 콘텐츠를 무해화한 후 재구성한다는 큰 틀에서는 같지만, 재구성하는 방법과 연계하는 방법, 지원하는 파일 포맷 등 기업별로 차이가 있다. 각각의 노하우가 있는 셈이다. 이제 막 시장이 시작되는 단계이기에 어느 기술이 더 뛰어난지 알 수 없지만, 사용자들이 각기 다른 노하우의 제품들을 비교해볼 수 있도록 현재 국내 시장에 출시된 CDR 4종을 소개한다.

보티로(VOTIRO)_ 소프트와이드시큐리티
보티로(VOTIRO)는 특허받은 차세대 CDR 기술로 외부로부터 유입되는 모든 파일로부터 사용자를 보호하는 악성코드 정화 솔루션이다. 전 세계 500개 이상의 고객사에서 사용하고 있는 보티로는 자체 CDR 기술을 통해 단계별로 악성코드를 정화하고 재조합해 악성코드의 유입을 원천 차단한다. 보티로는 원본 파일의 내용과 기능을 보전해 최초 파일처럼 사용이 가능하며 이메일, 파일 서버, 외부 장치, 웹 다운로드와 같은 조직 내 모든 채널에서 데이터의 흐름을 안전하게 유지한다. 다양한 유입 경로와 지원 파일 종류는 세계 최고 수준이며, 기존 인프라와 통합 가능한 유연한 배포 옵션을 보유하고 있다.

새니톡스(SaniTox)_ 지란지교시큐리티
새니톡스는 문서 기반의 표적형 악성코드(Malicious Document)에 대해 지란지교시큐리티가 자체 개발한 CDR 기술을 바탕으로 파일 내 실행 가능한 다양한 액티브 콘텐츠(Macro, JavaScript 등)를 원천 제거하고 안전한 파일로 재조합해 제공하는 콘텐츠 악성코드 무해화 솔루션이다. 새니톡스 어플라이언스는 별도의 소프트웨어 설치나 설정이 필요 없는 일체형 장비로 쉽게 도입이 가능하며, Content Prevention Engine(Anti-Virus + CDR) 구성으로 알려진 위협에 대한 1차 필터링과 문서 기반의 표적형 악성코드에 대한 2차 예방적 보안(무해화)을 통해 기업을 노린 전방위 위협에 대응이 가능하다.

실덱스(SHIELDEX)_ 소프트캠프
실덱스는 20년 가까이 문서보안에 집중해 온 소프트캠프의 경쟁력 높은 CDR 솔루션이다. 문서구조 분석방식을 통해 외부에서 유입되는 모든 문서파일을 무해화한 후 안전성이 확보된 콘텐츠로만 재구성하여 내부로 들여보낸다. 2013년 출시 이후 5년간 지속적으로 CDR 기술을 연구·개발해 왔으며, 공공/금융 등 다수의 레퍼런스를 통해 CDR 처리 결과물에 대한 완성도를 높였다. 현재 일본에서 이스라엘 제품과 경쟁하며 우위를 선점할 정도로 기술력과 품질을 인정받고 있다. 소프트캠프 배환국 대표는 “CDR 기술의 가장 중요한 요건은 업무 연속성을 위해 문서를 재구성한 결과물을 원본 포맷 및 콘텐츠와 동일하고, 얼마나 완성도 있게 만드느냐에 있다”며, “실덱스는 다수의 도입 경험을 통해 CDR 처리 결과의 완성도를 인정받아 일본에서도 주목 받고 있는 솔루션”이라고 제품에 대한 자신감을 보였다.

옵스왓 Data Sanitization CDR_ 인섹시큐리티
옵스왓의 Data Sanitization CDR이 적용된 Metadefender Core는 글로벌 멀티 안티바이러스 스캔 엔진으로 랜섬웨어, APT 공격, 악성코드 위협 탐지 및 차단을 수행한다. 30개 이상의 안티바이러스를 물리적으로 통합한 멀티 엔진으로 스캔을 진행하며, 파일 살균/변환 기능으로 위협 요소를 제거해 악성코드를 사전에 차단할 수 있다. 또한 1만 5,000개 이상 어플리케이션에 대한 취약점 진단을 수행한다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>