시만텍, 트렌드마이크로, 소포스, 이글루시큐리티, 팔로알토, 맥아피, 탈레스 등 보안전문기업 선정
보안 키워드 7, △공급망 △IoT △AI △개인정보보호 △간편해진 공격도구 △표적공격 △클라우드

[보안뉴스 원병철 기자] 2019년을 2주 앞두고 많은 글로벌 보안기업들이 2019년을 전망하는 자료들을 쏟아내고 있다. 기업이 처한 환경과 주요 아이템에 따라 전망하는 바가 조금씩 다르지만, 그럼에도 전체를 아우르는 몇 가지 키워드를 뽑아낼 수 있다. 국내외 대표 보안기업인 시만텍, 트렌드마이크로, 소포스, 이글루시큐리티, 팔로알토 네트웍스, 맥아피, 탈레스 등이 발표한 2019년 보안이슈 전망자료를 종합해 본지는 △공급망 △IoT △AI △개인정보보호 △간편해진 공격도구 △표적공격 △클라우드 등 7대 보안 키워드를 선정했다.


[이미지=iclickart]

키워드 1.공급망 공격(Supply Chain Attack)
공급망 공격은 주로 소프트웨어 개발사를 해킹해 악성코드를 심고 사용자 PC에서 소프트웨어 업데이트시 악성코드에 자동으로 감염되도록 하는 공격이다. 공급망 공격은 표적기관의 보안 시스템이 탐지하기 이전에 이루어지기 때문에 위험성이 더욱 높다. 개발 초기단계에서도 공격할 수 있고 유지보수를 위한 업데이트 서버를 통해서나 장비 납품과정에서도 공격할 수 있기 때문에 그 어느 과정에서도 절대 안심할 수 없다는 지적이다.

시만텍은 소프트웨어 공급망을 악용하는 공격의 빈도와 영향력이 증가할 것으로 예상했다. 공격자들의 소프트웨어 공급망을 겨냥한 공격이 갈수록 흔해지고 있으며, 소프트웨어 벤더나 서드파티 공급업체의 제조 단계에서 발생할 수 있다고 지적했다. 더 나아가 “미래에는 하드웨어 공급망을 감염시키는 시도”도 있을 것이라고 시만텍은 경고했다.

이글루시큐리티 역시 공격자들이 다수의 사용자들을 한 번에 감염시키기 위해 제품이 공급자로부터 사용자에게 전달되기 위해 거치는 모든 단계를 포괄하는 공급망 과정에 개입하려는 시도를 하고 있다고 강조했다. 또한, 최근 제기된 중국 스파이칩 논란에 따라 소프트웨어가 아닌 하드웨어를 노린 공급망 공격도 부각될 것이라고 말했다. IT기기 제조과정에서 스파이칩이나 백도어를 심을 경우, 발견하기가 어려워 대형 보안사고로 이어질 가능성이 크다고 이글루시큐리티는 전망했다.

팔로알토 네트웍스도 “디지털 시대의 도래로 상호 연결된 글로벌 공급망 구축이 용이해지면서 이를 노리는 공격자들의 공격도 활발해지고 있다”고 경고했다. 특히, 글로벌 공급망이 점점 더 복잡해짐에 따라 보안위협을 정확히 파악하고, 이를 피하는 것이 더 어려워질 것이라고 예견했다.

키워드 2. IoT(Internet of things)
사물인터넷 혹은 IoT로 지칭되는 이 단어 역시 많은 보안업체들이 2019년 주목할 키워드로 꼽았다. 사물이 인터넷을 통해 하나로 연결되는 IoT는 그 편리성과 함께 보안위협도 함께 증가하고 있다.

트렌드마이크로는 전 세계적으로 연결성이 계속 증가하고 있으며, 이와 관련된 보안의 중요성은 2019년에 더욱 커질 것이라고 전망했다. 아울러 연결된 세상을 안전하게 지키기 위해 OT 및 IT간 상호 연결성, 기업 네트워크에 IoT 장치를 추가하는 것이 필요하며, 이로 인해 모든 사용자에게 적용되는 새로운 취약점을 이해해야 한다고 강조했다.

팔로알토 네트웍스 역시 CSO는 중요한 정보가 외부 장치 및 시스템으로부터 떨어져 분리되고, 안전하게 유지되도록 하기 위해 네트워크 내 트래픽을 주의 깊게 관리해야 한다고 강조했다. 안전하지 않은 다수의 기기가 기업 네트워크에 연결되는 환경에서 IoT는 곳 사이버 위협의 인터넷이 될 수 있기 때문이다.

시만텍은 IoT 기반 이벤트가 대규모 디도스 공격을 넘어 보다 위험한 새로운 공격 형태로 진화할 것이라고 우려했다. 최근 대규모 봇넷 기반의 디도스 공격이 수만 대의 감염된 IoT 기기를 이용해 공격 대상의 웹사이트를 마비시킬 정도의 트래픽을 전송하고 있다고 시만텍은 설명했다. “가장 문제가 되는 것은 디지털 세상과 실제 세상을 연결하는 IoT 기기를 겨냥한 공격입니다. 이는 자동차가 될 수도 있으며, 배전망과 통신망과 같은 중요한 시스템을 제어하는 것도 될 수 있습니다. 최근 보편화되고 있는 가정용 IoT 기기들도 목표가 될 수 있죠.”

소포스 역시 모바일과 IoT 멀웨어 위협이 지속되고 있다고 지적했다. 이미 2018년에 휴대전화와 태블릿, IoT 기기에 대한 멀웨어 침투가 눈에 띄게 증가했으며, 가정과 기업에서 IoT 기기 사용이 늘면서 범죄자들은 이런 기기들을 해킹해 대규모 봇넷 공격의 노드로 이용할 새로운 방법을 개발하고 있다고 설명했다.

키워드 3. AI(Artificial Intelligence)
AI 기술은 최근 몇 년 간 보안을 넘어 ICT 산업 전반을 관통하는 키워드였다. 특히 AI는 공격과 방어, 양쪽 모두가 군침을 흘리는 기술이기도 하다. 이글루시큐리티 측은 “AI를 둘러싼 공격자와 방어자의 숨 막히는 접전이 이어질 것”이라고 밝혔다. 특히, 오늘날의 방어자들은 악성코드의 특징, 비정상적인 행위, 공격자 특성 등을 지도·비지도 학습한 머신 러닝 기반의 AI 알고리즘을 활용해 유사 변종 악성코드를 찾아내고 악성 행위를 판별하며 방어의 효율성을 높이고 있다. 하지만 이에 맞서는 공격자들 역시 ‘적대적 머신러닝(Adversarial Machine Learning)’을 토대로 새로운 방어 기법들을 우회하는 공격을 감행하고 있어 2019년에도 AI를 둘러싼 공격자와 방어자의 숨 막히는 접전이 이어질 것으로 점쳤다.

시만텍 역시 공격자와 방어자 모두 AI에 의존하게 될 것이라고 강조했다. 특히, 시만텍은 하찮은 범죄자들도 정교한 표적 공격을 감행할 수 있게 하는 AI 기반 공격 툴이 나타날 것이라고 지적했다. 과거에는 공격을 위한 작업을 하는데 비용과 시간이 많이 들었지만, 이런 공격을 자동화하는 툴과 함께 AI 기반의 툴킷을 이용하면 그 비용을 제로로도 만들 수도 있다고 우려했다.

또한, 시만텍은 이러한 AI 기반의 공격을 막는 수단 역시 AI에 의존할 것이라고 주장했다. 위협 식별 시스템은 이미 머신러닝 기법을 이용해 완전히 새로운 유형의 위협을 확인하고 있으며, 취약점이 외부에 노출되기 전에 미리 발견할 수 있도록 시뮬레이션 공격을 할 수도 있을 것이라고 설명했다.

트렌드마이크로 역시 데이터 증가에 따른 머신러닝과 인공지능 기술의 발전이 2019년 사이버 보안에 영향을 줄 주요 기술 트렌드로 꼽았다.

키워드 4. 개인정보보호
EU GDPR 이후 각 국가들은 자국민의 개인정보 데이터를 보호하는 데 초점을 맞추고 있으며, 동시에 데이터를 활용하는 것에도 높은 관심을 두고 있다. 시만텍은 갈수록 증가하는 개인정보보호에 대한 우려로 법률과 규제 활동이 증가할 것으로 예측했다. 캐나다는 이미 GDPR과 유사한 법을 시행했고, 브라질은 GDPR과 유사한 개인정보보호법을 2020년 시행할 계획이다. 호주와 싱가포르는 72시간 침해 통보제를 제정했고, 인도 역시 GDPR 유사법을 논의하고 있다. 미국은 역사상 가장 엄격한 개인정보보호법이 캘리포니아주에서 통과됐다.

이글루시큐리티도 정보 주체의 권리를 안전하게 보호하는 동시에 개인정보로부터 가치를 끌어낼 수 있도록 개인과 기업, 국가 모두에 득이 될 수 있는 개인정보 활용·보호 기술과 관리 방안 마련의 필요성이 부각될 것으로 봤다. 특히, 수집된 개인정보 중 정보 주체를 식별할 수 있는 요소를 삭제·대체하는 개인정보 비식별화 기술, 개인정보 수집·활용에 대한 명확한 기준을 수립하고 보유한 개인정보에 대한 가시성을 높일 수 있는 데이터 관리 방안 등에 대한 관심이 높아질 것으로 전망했다.

팔로알토 네트웍스는 아태지역 내 데이터 보호규정이 강화될 것으로 내대봤다. 아시아-태평양 국가들이 사이버 보안 이니셔티브에 대한 협력을 확대함에 따라, 데이터 보호에 대한 프레임워크 구축이 불가피해질 것으로 전망했다. 호주와 싱가포르에서는 이미 이러한 프로젝트가 시행되고 있으며, 아태지역 내 다른 국가들도 자국민 데이터 보호에 대한 대책을 마련하고자 하는 움직임이 포착되고 있다고 팔로알토 네트웍스는 설명했다.

키워드 5. 간편해진 공격도구
소포스는 최근 사이버 범죄자들이 APT 공격 기술을 이용해 쉽게 구할 수 있는 IT 도구를 시스템 침투 경로로 사용함으로써, 서버에서 민감한 정보를 훔치거나 랜섬웨어를 심어놓는 등 작전을 수행하고 있다고 지적했다. 특히, 이들은 윈도우 관리 도구를 사이버 공격도구로 활용하거나 최신 오피스를 이용한 공격을 하고 있다고 소포스는 강조했다.

맥아피 역시 사이버 범죄자들이 공격의 핵심 요소들을 지속적으로 아웃소싱하며, 이에 인공지능을 적용해 회피 기법이 더욱 민첩해질 것으로 예상했다.

키워드 6. 표적공격
팔로알토 네트웍스는 기업을 타깃으로 하는 사이버 범죄가 급증하고 있다고 말했다. 지난 5년 동안 비즈니스 이메일 계정을 타깃으로 한 공격으로 인한 피해액은 전 세계적으로 120억 달러 이상을 기록했으며, 기업의 파트너 및 내부 이해관계자로 위장해 크고 작은 표적을 노리고 있다고 팔로알토 네트웍스는 설명했다.

또한, 소포스는 사이버 범죄자들이 사전에 치밀하게 계획된 표적 랜섬웨어 공격을 통해 몸값으로 수백만 달러의 수익을 거두고 있다고 지적했다. 심지어 사람이 직접 수동으로 전달하는 표적형 랜섬웨어가 등장해 봇이 무작위로 전달하는 방식보다 더 큰 피해를 입히고 있다고 강조했다. 소포스는 샘샘(SAMSAM), 비트페이머(BitPaymer), 다르마(Dharma) 같은 해킹집단이 큰돈을 벌자 모방범죄를 불러왔으며, 2019년에는 유사 범죄가 증가할 것으로 예상했다.

키워드 7. 클라우드(Cloud)
클라우드로의 전환은 이미 혁신을 넘어 일상이 됐지만, 그만큼 보안위협도 쉽게 발생할 수 있는 상황이 됐다. 클라우드 보안은 서비스 사업자가 단독으로 책임질 수 없으며, 데이터, 애플리케이션, 운영체제, 네트워크 구성 등의 보안문제를 해결해야 하는 기업과 책임을 공유해야만 한다. 특히, 사이버 보안 담당 인력을 관리하고, 시중에 나온 수많은 포인트 제품을 취급해야 하는 기업들의 경우 더욱 어려움을 겪게 될 것이라고 팔로알토 네트웍스는 말했다.

맥아피 역시 클라우드 상의 데이터 탈취 시도가 상당히 증가할 것으로 예상하면서 사이버 범죄자가 주로 소셜미디어, 클라우드 및 스마트폰을 악용해 기업 데이터, 홈 디바이스 및 브랜드 명성에 악영향을 가져다 줄 것으로 예측했다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>