공급망 랜섬웨어 대비: 예방, 차단, 복구의 3단계 전략

랜섬웨어는 병원 네트워크, 지방 정부, 광범위한 공급망에 영향을 미치는 공격이 증가함에 따라 사이버보안 업계 많은 이들의 최대 관심사입니다. 기업에 대한 랜섬웨어 공격은 일반적으로 일정 기간 데이터와 시스템에 대한 접근 상실을 초래하며, 매출 손실과 복구 비용 지출을 통해 재정적 영향을 동반합니다. 공급망의 일부인 기업을 대상으로 랜섬웨어 공격이 가해지면, 단일 서비스 제공업체가 수백, 수천 개 기업에 직접적 영향을 미칠 수 있어 훨씬 더 광범위한 영향을 미칠 수 있습니다.

조직의 랜섬웨어 위협 대비 태세를 이해하는 것은 필수적이며, 공급망의 벤더들이 대비 태세에 어떻게 영향을 미치는지 아는 것은 전반적인 전략의 중요한 부분입니다.

모든 방어가 갖춰졌고 랜섬웨어 공격의 영향을 예방하거나 완화하기 위해 할 수 있는 모든 것을 했는지 확인하려다 보면 압도될 수 있습니다. 강력한 전략은 아키텍처, 엔드포인트, 사용자 등을 포괄하는 광범위하고 다층적인 것이어야 합니다.

어디서부터 시작해야 할까요? 구조적이고 논리적인 접근은 조직의 랜섬웨어 대비 태세를 이해하는 데 질서를 가져올 수 있습니다. 이를 위해 세 가지 주요 범주를 살펴보겠습니다: 예방, 차단, 복구.

예방

우리의 주된 목표는 랜섬웨어를 우리 환경 밖에 두어, 애초에 침투하지 못하도록 막는 것입니다. 이 방어적 자세에서 우리는 인프라를 경계 통제부터 최종 사용자까지 살펴볼 필요가 있습니다. 이 주제를 길게 다룰 수 있지만, 랜섬웨어가 가장 흔하게 유입되는 틈새에 초점을 맞출 것입니다.

• 원격 데스크톱 프로토콜(RDP). 새로운 기술이나 공격 벡터는 아니지만, RDP는 취약점, 잘못된 구성, 무차별 대입 공격 취약성으로 인해 정기적인 표적이 되어 왔습니다. 최근 원격 근무 인력 증가와 이에 따른 RDP 사용 증가로 공격자들은 새로운 표적들로 신나게 공격하고 있습니다. 이곳에서의 예방 활동에는 열린 포트 수 제한, 강력한 인증 제어(다단계 인증 포함), 견고한 취약점 관리 프로그램이 포함됩니다.
• 피싱(Phishing). 피싱 이메일은 많은 보안 통제를 우회해 악성 콘텐츠를 가장 약한 보안 고리인 최종 사용자에게 직접 전달할 수 있어 특히 위험합니다. 피싱 이메일은 일반적으로 사용자 자격 증명을 탈취하거나 악성 첨부파일이나 링크를 포함해, 궁극적으로 공격자에게 환경으로의 직접적인 경로를 제공합니다. 이곳에서의 예방 활동에는 이메일 보안 솔루션 사용, 최종 사용자 보안 인식 교육, 엔드포인트 탐지 및 대응 솔루션 등이 포함됩니다.

결국 권장되는 예방 기술은 새로운 것이 아닙니다. 정보 보안 커뮤니티가 오랫동안 논의해 온 핵심 원칙들 — 인터넷에서 접근 가능한 것 제한, 취약점 스캐닝, 패치, 강력한 인증 제어 — 와 동일합니다.

차단

최선의 노력에도 불구하고 랜섬웨어가 환경에 침투했다면, 어떻게 확산을 막을 것인가? 건물 화재를 생각해 보십시오: 차단 전략은 방화벽, 난연 소재 등을 통해 실제 화재 전에 마련됩니다. 랜섬웨어 같은 공격도 마찬가지입니다. 여기에 두 가지 핵심 차단 전략이 있습니다.

• 권한 있는 계정 사용. 공격자들은 높은 수준의 시스템 및 데이터 접근 권한과 악성 코드 실행을 위한 필수 권한을 제공하는 권한 있는 계정을 표적으로 삼는 것을 좋아합니다. 비밀번호 재사용, 평문 저장된 서비스 계정 비밀번호, 쉽게 추측 가능한 비밀번호 등은 모두 계정 탈취에 기여하는 흔한 문제들입니다.

권한 있는 계정 관리에 대한 전체적인 접근이 핵심입니다. 여기에는 어떤 권한 있는 계정이 있고 무엇에 접근할 수 있는지 이해, 그것들이 어떻게 사용되는지(예: 도메인 관리자 vs 서비스 계정), 그리고 그 계정들이 어떻게 접근되고 관리되는지(예: 권한 계정 관리 솔루션 사용) 이해가 포함됩니다.

• 네트워크 세분화. 평면적 네트워크는 공격자의 꿈입니다. 자격 증명을 획득하면 조직 네트워크 전체를 자유롭게 이동하며 시스템과 데이터에 무제한 접근할 수 있습니다. 최소한 세분화를 사용해 측면 이동을 최대한 제한해, 공격자가 네트워크를 횡단하고 추가 시스템과 데이터에 접근하는 것을 훨씬 더 어렵게 만들어야 합니다.

복구

사고 대응 계획 외에도, 복구 노력을 돕는 가장 중요한 계획은 비즈니스 복원력 계획입니다. 비즈니스가 어떻게 계속 기능할 것인가? 강력한 복원력 계획은 핵심 비즈니스 시스템의 기능 복원에 도움을 줍니다.

조직의 일반적인 공격 벡터에는 공급망의 서드파티 벤더가 포함됩니다. 그렇다면 우리 벤더가 제시하는 위험을 어떻게 식별하고 줄일 수 있을까요? 먼저 이 중요한 질문에 답하십시오:

• 당신의 벤더는 누구인가?
• 각 벤더가 귀사 조직에 어떤 서비스를 제공하는가?

실제로 당신의 벤더가 누구인지 식별하는 것은 간단한 일이 아닙니다. 귀사의 네트워크나 데이터에 접근 권한이 있는 벤더가 있는데 귀사가 모르고 있을 가능성이 있습니까? 절대적으로 그렇습니다. 현실은 신용카드와 몇 번의 마우스 클릭만으로 클라우드 기반 솔루션에 직접 가서, 귀사의 데이터에 접근 권한이 있는 벤더를 즉각 만들 수 있다는 것입니다. 그들이 누군지 모르면, 그들이 귀사 조직에 미치는 위험을 평가할 수 없습니다. 그들이 무엇을 하는지에 관해서, 공급망의 벤더들은 온갖 서비스를 수행할 수 있습니다. 일부는 본질적으로 귀사가 접근하는 데이터나 내부 시스템에 기반해 더 높은 위험을 제공합니다.

이 질문에 답하는 것은 해당 벤더들에 대한 적절한 평가 활동을 수행하는 훌륭한 출발점입니다. 목표는 벤더들이 귀사를 위해 수행하는 서비스에 기반해 귀사 시스템이나 데이터를 보호하기 위한 적절한 통제 장치를 갖추고 있다는 충분한 확신을 얻는 것입니다. SOC나 ISO 같은 인증 검토, SIG 같은 평가 설문지, 침투 테스트 결과 등 활용할 수 있는 많은 평가 전략이 있습니다. 어떻게 접근하든, 벤더들이 이러한 통제 장치를 갖추고 있음을 검증하면 공격 발생 시 귀사 조직이 영향을 받을 위험을 줄일 수 있습니다.

시스템이 더 연결되고 복잡해짐에 따라 공격자들은 여전히 귀사 방어의 어느 틈을 찾을 수 있습니다. 하지만 랜섬웨어 공격에 대비하는 것은 귀사 조직에 미치는 영향과 중단을 크게 줄일 수 있습니다. 종심 방어 전략과 적절한 차단 및 복원력 계획으로 귀사 조직의 사이버 역량은만 상승할 수 있습니다.

게리 브릭하우스(Gary Brickhouse)는 GuidePoint Security의 최고정보보안책임자입니다.