LG CNS '퍼플랩'은 해당 보고서를 통해 글로벌 사이버 위협에 대응할 수 있도록 정보를 수집, 분석, 활용하는 위협 인텔리전스 빅데이터를 참고한 10개 대표 액티브 디렉터리(AD) 공격 기법을 분류했다.
LG CNS는 레드팀(조직 내 약점을 찾아내 문제를 제기하고 해결하는 팀)과 레드팀이 파악한 취약점을 토대로 시스템을 패치하고 다른 잠재적인 취약점을 탐지하는 블루팀 모의 훈련을 진행해 10개의 시나리오와 보안 대응책도 보고서에 담았다.
LG CNS는 해커들이 공격 대상으로 삼는 AD 취약점에 대해 다뤘다. AD는 전세계의 수많은 기업이 효율적으로 인프라와 구성원을 관리하기 위해 사용하고 있는 서비스다. 기업들은 AD를 활용해 기업 내부 구성원들의 사용자 계정과 권한을 중앙에서 관리할 수 있다. 해커가 AD를 장악하게 되면, 기업 구성원들의 계정을 도용해 내부 기밀 데이터를 손쉽게 탈취할 수 있다. 또 해커는 AD 정보로 기업의 여러 시스템에 침투해 바이러스를 심고 시스템을 중단시킬 수도 있다. 이처럼 AD 해킹 공격은 기업에 치명적인 피해를 입힐 수 있기 때문에 보안 중요도가 높다.
LG CNS가 꼽은 주요 AD 공격 기법은 △커버로스팅(Kerberoasting) 공격 △디시싱크(DCSync) 공격 △모니커링크 취약점 공격 △패스더해시 공격 △골든티켓 공격 등 10개다. 커버로스팅 공격은 AD 네트워크에서 공유폴더, 데이터베이스 등의 서비스를 이용하기 위해 사용자가 발급받는 티켓(허가권)을 공격해 취약한 계정의 비밀번호를 획득하는 것이다. 티켓은 사용자 계정의 비밀번호를 조합해 만들어진다. 해당 공격을 방어하기 위해서는 대문자, 특수기호 등을 포함한 8자리 이상의 복잡한 비밀번호 사용, 최소한 90일마다 주기적인 비밀번호 변경, 비밀번호 취약점 지속 모니터링 등이 필요하다.
디시싱크 공격은 해커가 도메인 컨트롤러와 동일한 권한을 갖고 있는 것처럼 행동해 동기화 요청을 수행하고 기업의 민감 정보에 접근을 시도하는 것이다. 윈도우 서버 도메인 안에서 보안 인증 요청에 응답하는 서버인 도메인 컨트롤러는 사용자 자격 증명 업데이트와 같은 변경 사항을 동기화하기 때문에 도메인 복제 권한이 있다. 이는 해커의 타깃이 되는 이유인데 해커가 디시싱크 공격을 하게 되면 도메인 컨트롤러로 가장해 기업의 민감 정보를 복제하고, 모든 도메인 유저의 계정 정보를 획득하게 될 수 있다. 보안 전문가들이 해커의 공격 흔적을 찾아 후속 공격을 방어하기 위해서는 주체 계정, 개체 서버, 이벤트로그 속성까지 모두 검토해야 한다. 이 회사는 오는 26일 웨비나를 열고 보안 취약점 심층분석 보고서를 소개하고, AD 보안 강화 전략 수립방안을 논의할 예정이다.
배민 LG CNS 보안·솔루션사업부장(상무)은 "해커들의 공격 대상이 내부망인 AD로 변화하는 추세"라며 "AD 보안 취약점 진단 컨설팅 및 모의침투 테스트 서비스를 통해 기업 고객들에게 차별적인 사이버보안 전략을 제공하고 있다"고 강조했다.
한편, LG CNS 퍼플랩은 해킹 공격에 대한 심층 분석과 방어 전략을 통합해 보안 수준을 한 단계 높이기 위한 목적으로 올해 신설됐다. 퍼플랩은 기존의 레드팀과 블루팀 멤버들로 구성됐다. 레드팀은 시스템을 모의 해킹하고 공격하는 역할을 수행하며, 스마트 보안관제센터를 365일 24시간 운영하는 블루팀은 방어조를 담당한다. 퍼플랩 인력 대다수는 한국인터넷진흥원(KISA) 'K쉴드'와 'SW보안약점진단원', 한국정보기술연구원(KITRI) '베스트 오브 더 베스트(BOB)' 등 보안관련 정부기관의 인증을 받은 보안 정예 전문가들이다. 유진아기자 gnyu4@dt.co.kr
LG CNS 보안솔루션사업부 직원이 보안 취약점 심층분석 보고서를 소개하고 있다. LG CNS 제공
