Cappuccino sapiens

최근 사이버보안 회사인 Malwarebytes에 따르면, Malsmoke라는 해킹그룹이 성인사이트를 방문하는 성인들을 대상으로 악성코드 감염 공격을 시도하고 있는 것으로 전해졌습니다. 이 해킹그룹은 유명한 성인 사이트에 광고를 올리고, 방문자들이 클릭하는 순간 악성코드가 다운로드되도록 설계하였습니다. 특히, Adobe Flash Player (AFP) 또는 Internet Explorer (IE)의 취약점을 악용했습니다.

마이크로소트프사는 에지와 IE 11에서의 AFP를 2020년 이후 더이상 지원하지 않으며, IE 11도 2021년 8월 17일까지만 서비스를 지원한다고 선언한바 있습니다. AFP 역시 지난 6월 이후 더 이상의 보안업데이트를 진행하고 있지 않는 상황입니다.

사용자들이 취약한 AFP나 IE를 사용하는 한 이들의 취약점을 악용한 공격은 앞으로도 발생할 가능성이 높습니다. 따라서, 단말에서 사용하고 있는 응용프로그램의 최신 보안업데이트를 진행하고, 더이상 보안업데이트가 지원되지 않는 응용프로그램에 대한 조사 및 교체 등의 보안대책이 요구됩니다.  

※ 참조: Hacker group Malsmoke exploit Adobe, IE browser to target porn surfers

지난 수요일 사이버보안 전문기관은 팔로알토 네트웍스(이하, 팔로알토)의 PAN-OS에서 내부 네트워크로 부터 데이터를 유출할 수 있는 4가지 취약점을 발견했다고 밝혔습니다. PAN-OS는 팔로알토의 차세대 방화벽에 특화된 전용 핵심 소프트웨어로, 현재까지 9.x 버전이 출시되었습니다.

가장 심각한 취약점은 악의적인 사용자가 소프트웨어의 관리인터페이스를 통해 악성코드를 삽입하고, 최대권한(maximum privilege)을 획득 하는 것이며, 또 다른 버그는 관리자가 악의적인 링크를 클릭하게 하여 소프트웨어를 장악할 수 있다고 합니다.

KISA 보안공지에 따르면, 팔로알토의 PAN-OS 취약점은 이번 뿐만이 아니라, 지난해와 올해에도 공개된 바가 있습니다.

- 2020.6월, SAML 서명에 대한 검증이 미흡하여 보호된 자원에 접근할 수 있는 인증우회 취약점(CVE-2020-2021)

- 2019.7월, 파라미터에 대한 검증이 미흡하여 발생하는 원격코드 실행 취약점(CVE-2019-1579)

전세계 수천개의 기업에서 팔로알토의 방화벽을 도입하여 사용중에 있으며, 이러한 취약점은 자칫 국가간의 스파이 전쟁(espionage)이나 해킹으로 촉발 될 수도 있습니다.

보안제품의 보안성을 평가하고 인증하는 국제공통평가기준(CC, Common Criteria)이 있으나, 이러한 평가·인증제도가 모든 환경에서 보안을 보장해 주지는 않습니다. CC 인증 당시 밝혀지지 않은 잠재적인 취약점이 새로운 기술과 환경에 따라 새롭게 나타날 수 있습니다.

보안제품은 사용하는 용도와 주체에 따라, 어떠한 해킹툴 보다도 더 위험한 도구가 될 수 있습니다. 따라서, 기업의 보안팀은 보안제품 제조사, 협업 조직인 CERT 등과의 긴밀한 협업을 통해 최신의 보안이슈에 유기적으로 대응할 필요가 있습니다.    

※ 참조: PAN-OS vulnerabilities add to a torrid year for enterprise software bugs

Shellshock은 2014년 9월에 공개된 제로데이 취약점(CVE-2014-6271)으로, 당시 같은 해에 등장한 OpenSSL의 Heartbleed 취약점과 마찬가지로 업계에 큰 파장을 주었습니다. 운영체제 명령어 인젝션 타입인 Shellshock은 NIST의 취약점 평가시스템 CVSS (Common Vulnerability Scoring System)에서 10점 만점에 10점을 받을 정도로 심각한 취약점 이었습니다.

Shellshock은 Debian GNU/Linux의 bash 쉘이 갖는 취약점으로, CGI (Common Gateway Interface) 환경에서 함수 실행시 입력 값을 검증하지 않음으로써 내부 시스템 명령어 실행이 가능하고, 이를 통해 패스워드 파일과 같은 내부 정보를 유출하거나, 특권 사용자로 권한을 상승하여 시스템을 장악할 수 있습니다.

Bash 쉘의 이러한 버그는 30년 동안 존재하였으며, 2014년에 ShellShock 취약점이 발견된 이후, 많은 서버에서 지속적으로 발견되어 왔습니다. 현시점에서 Shellshock 취약점은 발견될 당시보다는 그 위력이나 위험성이 낮을 것입니다. 하지만, 이러한 취약점이 기업의 어느 서버에 존재하는 한, 여전히 기업의 네트워크를 통해 시스템에 침투할 가능성은 존재하게 됩니다.

ShellShock과 같은 취약점은 공격이 간단하면서 공격에 많은 비용이 들지 않기 때문에 공격자들이 선호하는 취약점입니다. NTT의 “Global Threat Intelligence Report”에 따르면, 공격자들은 효과가 있었던 몇 년 전의 보안취약점을 악용하고 있는 것으로 조사되었습니다. 2018년 10월부터 2019년 9월간의 데이터를 분석한 결과, 많은 기업에서 Shellshock과 Heartbleed 취약점에 의한 공격을 경험한 것으로 나타났습니다. 보안 취약점을 악용한 공격 분포를 보면 다음과 같습니다.

- CVE-2014-6278 (GNU BASH, ShellShock), 60%

- CVE-2017-7269 (Microsoft Windows Server 2003 R2), 9%

- CVE-2018-1003 (Microsoft JET Database Engine), 4%

또한, '2020 IBM 엑스포스 위협 인텔리전스 인덱스' 보고서에 따르면 SW 취약점 스캐닝 및 취약점 공격 비율은 2018년 8%에서 지난해 30%로 급증한 것으로 조사됐으며, 해커들은 주로 마이크로소프트 오피스 및 윈도 서버 메시지 블록의 오래된 취약점을 악용한 것으로 나타났습니다.

제품 제조사는 CVE가 공개되기 이전에 패치된 버전을 빌드하며, 기업은 패치관리시스템을 통해 바로 업데이트가 가능합니다. 하지만, 여전히 많은 기업들이 적절한 패치관리시스템과 절차를 마련하고 있지 않으며, 여전히 잠재적인 보안취약점을 보유하고 있습니다.

기업은 보안위험분석을 통해, 취약점을 식별하고, 위험 우선순위에 따라 적합한 보안대책을 수립하여 대응할 필요가 있습니다. 보안위험분석 및 대책수립 단계는 다음과 같습니다.

- 잠재적인 취약점 진단을 통해 취약점을 식별합니다.

시스템 도입 및 업데이트, 네트워크 구조변경 등으로 인한 운영환경의 변경이 있을 경우, 그리고 주기적인 보안취약점 진단을 통해 취약점을 식별합니다. 대상은 네트워크, 시스템, DBMS, WEB/WAS, 운영체제, 응용프로그램, PC를 포함한 모든 IT시스템 및 S/W를 대상으로 합니다.   

- 취약점에 대한 심각도를 결정합니다.

취약점이라고 해서 모두 침해가 가능한 수준의 위험을 가지고 있는 것은 아닙니다. 시스템 및 운영환경에 따라, 취약점은 악용 가능한 수준으로 변경될 수 있어, 이에 대한 주기적인 모니터링이 필요합니다. 식별된 취약점을 모두 한꺼번에 제거하는 것은 과도한 자원(인력, 시간, 비용)낭비가 될 수 있으며, 서비스 운영에 영향을 줄 수도 있습니다. 따라서, 식별된 취약점에 대해 운영환경에 따른 심각도를 정하여 관리할 필요가 있습니다. 심각도는 기밀성, 무결성, 가용성에 따라 점수를 계산하기도 하며, 기업환경 및 서비스에 따라 합리적인 계산식을 사용해도 무방합니다.

- 잠재적인 보안영향에 대한 대응계획을 수립합니다.  

취약점 심각도(상, 중, 하)에 따라, 잠재적인 보안영향을 고려하여 단기, 중기, 장기적인 보안대책을 수립합니다. 취약점은 모두 제거하는 것이 바람직하나, 운영환경에 따라 기능을 대체 또는 운영환경 보완 등을 통해 취약점의 보안영향도를 낮 출 수도 있습니다.

암을 치료하는 방식은 직접적인 암을 제거하는 방식도 있지만, 적절한 식이요법과 약물치료를 통해 치료하는 방식도 있습니다. 잠재적인 보안취약점 역시, 식별하고 주기적인 모니터링과 영향도 측정을 통해 관리함으로써, 과도한 보안투자 없이 적절한 보안통제가 가능합니다. 다만, 이러한 보안취약점에 대한 진단, 심각도 측정, 보안계획 수립시 반드시 보안전문가의 의견을 청취할 필요가 있습니다.  

<참고자료>

1. Understanding the Shellshock Vulnerability

2. https://nvd.nist.gov/vuln/detail/CVE-2014-6271

3. https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-6271

4. 2020 IBM 엑스포스 위협 인텔리전스 인덱스

5. Attackers still exploiting old vulnerabilities, says NTT report

MS 윈도우가 지배적인 한국의 IT운영환경의 경우, MS 윈도우 7의  기술지원 종료와 같이 이러한 이야기가 나올 때마다, 향후 나타나게 될 보안적 이슈와 기술적인 지원 문제가 큰 화두가 되고 있다.

일반적인 운영환경이라면, 이러한 운영체제의 보안취약점이 큰 이슈로 대두될 수 있다.  보안이 강화된 기업에 있어서는 MS 윈도우의 기술적 지원 종료가 갖게 될 의미는 크지 않을 것이나, 일반 사용자 환경에 있어서는 보안업데이트에 대한 이슈를 고민 할 필요가 있다.

보안취약점은 운영환경에 따라 있을 수도 또는 없을 수도 있다. 즉, 어떻게 운영환경을 통제 하느냐에 따라, 보안취약점 또한 관리가 가능하다고 본다.

최근 기사화된 러시아 푸틴 대통령의 윈도우 XP 사용에 관해 주의 깊게 살펴볼 필요가 있다.  

When Microsoft Corporation announces the technical support termination for the old version of Windows systems such as Windows XP and Windows 7, in Korean IT operation environments where MS Windows dominates, it is becoming a big issue for the security vulnerabilities.

In the general IT operation environment, which does not have proper security systems, the termination of technical support will impact to the end-users.

Security vulnerabilities depend on the IT operation environment. So, it is possible to manage security weaknesses by strengthening the IT environment.

We need to pay close attention to the recent article by President Putin in using Windows XP.

https://news.chosun.com/site/data/html_dir/2019/12/18/2019121802595.html

국내에 소개된 보안시스템은 보안관리, 침입탐지·방지, 분석·대응, 물리보안 등 약 50여개의 보안제품들로 세분화되어 있다.

국내 보안제품이 세분화되고 기능 중심으로 단편화된 이유는 국내의 깐깐한 정보보호시스템 평가·인증제도와도 관련이 있다. 

글로벌 제품의 경우, 기술의 발전에 따라 다양한 기능들이 복합적으로 한나의 시스템에 유기적으로 통합되어 하나의 장비에서 다양한 보안기능을 제공하고 있으며, 이는 생산성은 물론 효율적인 유지관리를 가능하게 한다. 또한, 관리 포인트를 줄여줌으로써 보안헛점을 줄일 수 있는 장점도 있다.

Currently, more than 50 security products are distributed in Korea security market including Firewall, IPS / IDS, VPN, MDM, Secure coding, Anti-Virus, and so on.

The reason why domestic security products are fragmented mainly in function is related to Korea's strict information security product evaluation regulation based on CC(Common Criteria, ISO 15408).

On the other hand, Global vendors such as IBM Security have been integrating the various relevant security functions into one device, which enables efficient maintenance as well as productivity, according to developing of the technology. It also has the advantage of reducing security vulnerabilities by reducing management points.

http://inews24.com/view/1228553

IBM Korea, GangSeok Lee