Cappuccino sapiens

 국방과 우주항공 산업 노리던 ‘이력서’ 공격, 북한일 가능성 높아

‘별지 제31호서식’ 한글파일 열면 악성파일에 감염된다

국제 랜섬웨어 일당, 코로나19 악용해 비트코인 300억원 챙겨…‘전세계 주요 정부기관과 공공기관 침투’

[차세대 보안 비전 2020] “코로나로 업무환경 변화…클라우드 집중”

"영국 장관, 러시아 해커들에 국가기밀 털렸다"

[원격근무 보안 리포트] 포스트 코로나 시대, 기업의 보안 필수템 ‘문서암호화·문서중앙화’

트위터, ‘개인정보 오용’ 미정부 조사받아…”3천억원 물 수도”

신용정보법 개정안 시행으로 달라지는 것

‘데이터 3법’ 마침내 시행…동의없는 개인정보 이용·가명정보 결합 방법은

국가 개인정보 보호 최고기관 '개인정보보호위원회' 출범… 과제는?

융·복합 CCTV로 범죄와 재난 촘촘히 막는다

기고 | 이제는 CIO가 S·M·A·R·T 해져야 할 시점
[기고] 포스트코로나, 데이터로 대비하라

[기고] 의료 빅데이터 활용 규제개선과 데이터 3법

Garmin Pays $10 Million Ransom Fee After Hacking Attack

미국 사이버보안 직업의 기술 및 급여 현황

암호화폐 지갑을 C&C로 활용하는 독특한 백도어, 도키

시큐어 부팅 사용하는 시스템의 부트홀 취약점, 패치가 더 문제

윈도우 10 버전별 보안 업데이트 방식의 이해

노드JS를 공략하는 새로운 기법, ‘숨겨진 특성 남용’

신용카드 사기에 대해 지금 알아야할 것

스파이 활동 온상으로 떠오른 링크트인…‘가짜 헤드헌터’ 주의보

해킹된 지메일 계정, 평균 18만원에 거래된다

IT기술 발전보다 더 빠른 해커 수법의 ‘진화’

상반기 해킹에 쓰인 '제로데이' 살펴보니

79 Netgear routers are at risk of hacking, but over half won’t be patched

비밀번호 살짝 틀려도 'OK'… 보안상 문제는 없을까

아파트의 진화…건설업계에 부는 디지털 혁명

불안한 간편결제…60%가 '보안성 문제'

신용정보법 시행령 개정, 금융권 정보보호 상시평가제 도입 등 정보보호 체계 강화

유명인 트위터 해커, 잡고 보니 17세

'경찰에 전화하니 보이스피싱 연결'…휴대전화에 악성 앱 설치

개인정보 보호 상담·신고, 1년에 15만 9,255건 발생

[주말 이슈+] 北, 자체 랜섬웨어까지 제작...역대급 '사이버 해킹' 나선 이유

KSEB’s online payment site hacked

Numerous Malicious Photo Blur Apps Appeared On Play Store

기업 데이터 유출 피해액 줄었는데 한국은 늘었다

모바일 데이팅 앱인 오케이큐피드에서 다양한 취약점 발견돼

악성코드 은닉사이트 지난 하반기보다 34% 늘었다

GRUB2에서 발견된 부트홀 취약점, 리눅스와 윈도우 장비 위협

북한의 라자루스, 돈 벌기 위해 랜섬웨어 산업에까지 진출

IDG 블로그ㅣ윈도우 10의 ‘지원 종료’의 새로운 국면
‘참신하거나 우스꽝스럽거나...’ 이색 해킹 사례 8선
컨테이너 환경의 5가지 주요 보안 리스크

"컨테이너 구현 관리, 서비스 형태로 성장한다" CaaS의 이점과 가능성
세코미아, 목사, HMS에서 만든 산업용 VPN 제품에서 취약점 발견

“OT 보안, 각 현장 최적화된 전략·기술 필요”

롯데카드-IBM "금융권의 클라우드 도입, 이젠 현실"

2019년 9월, 호텔 예약시스템인 Autoclerk는 AWS에서 운영하던 엘라스틱서치 데이터베이스에서179 GB 이상, 10만명이 넘는 예약정보가 유출되었다고 밝혔습니다. 유출된 정보에는 예약시스템을 사용하던 미군들의 이메일, 전화번호, 여행기록 등을 포함해 민감한 개인정보가 포함되어 있었습니다.

오픈소스 기반 엘라스틱서치는 일반적으로 빅데이터 검색에 있어 속도와 검색의 정확 및 편의성 등으로 널리 사용되고 있으나, 환경설정 오류 및 부적절한 접근통제 등의 보안 이슈로 데이터 유출 가능성이 높은 것으로 지적 받아 왔습니다. 엘라스틱서치를 사용하는 대다수의 많은 기업들은 세분화된 접근통제를 설정하지 않고 사용하고 있으며, 이로 인해 패스워드가 노출되면 모든 데이터에 접근이 가능할 수 있습니다.

 - 인증 기능이 부재한 엘라스틱서치 서버 관리용 포트를 통해 데이터베이스 접근 및 내부정보 열람 가능(2019.1.29, KISA 보안공지)

해당 보안사고 역시 이전에 살펴본 클라우드 보안사고 범주에 속하며, 환경설정 오류 예방, 데이터 흐름 통제, 모니터링 강화 등의 보안대책으로 예방할 수 있습니다.

환경설정 오류 예방 및 불충분한 변경제어 관리

접근권한 관리, 디폴트 값 변경 등의 설정을 진행하는 과정에서 발생할 수 있는 오류 및 설정 값들 사이의 불일치성에 대해 확인하고 수정하며, 주기적인 관리감독이 필요합니다. 컴플라이언스 진단도구와 같은 비용효과적인 편리한 관리도구를 활용하여 네트워크 인프라, 하드웨어, ID 관리에 대한 설정 값들을 주기적으로 확인하고 보안 모범사례를 적용합니다.

데이터 흐름 통제 및 암호화

데이터 경로 분석 및 통제, 비즈니스 파트너 심사, 데이터 보존 기한 심사 등 강력한 데이터 보안통제를 통해 보안사고 발생시 내·외부의 영향력을 최소화 시킵니다. 또한, 데이터 암호화를 통해 침해사고로 인한 데이터 유출을 차단합니다.

네트워크 모니터링 강화 및 비정상 행위 감시

화이트리스트 기반의 접근통제로 신뢰하는 연결만 허용하며, 비정상적인 접근이나 새로운 내부로의 접근시도에 대한 모니터링을 강화합니다. 감사로그를 실시간으로 분석하고 과도한 데이터 전송 등 비정상 행위를 분석하고 탐지 합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

2019년 7월, 미국의 대형은행인 캐피탈 원(Capital One)은 해킹으로 1억 6백만명의 고객정보가 유출되었다고 자사홈페이지를 통해 공개하였으며, 이로 인해 약 1,773억원의 피해가 발생한 것으로 추정하고 있습니다. 유출된 고객정보에는 이름, 주소, 전화번호 등 신상정보와 신용점수 및 한도 등 금융정보까지 방대한 정보를 포함하고 있으며, 특히, 8만개 계정, 14만개 사회보장번호, 그리고 1백만개 캐나다 사회보험 번호가 노출되었습니다.

해커는 아마존의 시스템 엔지니어로 근무(2015년~2016년)했던 Paige A. Thomson이었습니다. Paige는 AWS에 설치된 오픈소스 WAF (Web Application Firewall)가 SSRF (Service-Side Request Forgery) 공격을 탐지하지 않도록 설정(default)되어 있다는 점을 이용해, S3데이터베이스에 접근할 수 있는 인증정보를 획득하였습니다.

캐피털 원은 많은 다른 선진 기업들이 클라우드로 이전한 전략을 받아 들여 디지털 혁신을 주도하고자 했으나, 결과적으로는 클라우드에 대한 충분한 이해 부족으로 더 많은 혼란을 겪게 되었습니다.  

비정상 접근시도 모니터링 및 차단

외부에서 접근이 가능한 웹서버를 통해 방화벽(Firewall)을 우회하여, 내부 시스템으로 접근할 수는 SSRF공격은 퍼블릭 클라우드의 가장 위험한 공격 중 하나 입니다. SSRF와 같은 공격을 방어하기 위해서는 화이트리스트 기반의 접근통제로 신뢰하는 연결만 허용하며, 비정상적인 접근이나 새로운 내부로의 접근시도에 대한 탐지와 차단을 수행 합니다.

감사로그 분석을 통한 비정상적인 행위 탐지

클라우드 서비스 제공자(CSP)는 네트워크와 사용자 계층에서 데이터의 가시성을 제공하는 감사로그 툴을 제공하기도 하지만, 데이터가 광범위하고 다루기가 쉽지 않습니다. 감사로그를 분석하고 비정상 행위를 탐지할 수 있는 전용 솔루션을 도입하여, 데이터 침해사고에 대한 예방과 대응을 수행합니다.  

클라우드 서비스 제공자(CSP)의 네이티브 환경 이해와 공동 대응

사용자는 CSP가 제공하는 Anti-DDoS, F/W, WAF 등과 같은 네이티브 앱과 운영환경에 대한 충분한 이해를 기반으로 사용여부를 결정하고, 서비스 설계시 반영 합니다. 또한, CSP와 협조하여 공동의 선제적인 침해사고 방어 대책을 세우도록 합니다.   

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020

원격근무 확산에 커지는 보안 구멍...글로벌기업 '해킹 비상'

지지옥션 “해커가 금전 요구… 서버 공격 있었으나 개인정보 유출은 안 돼”

시스코의 네트워크 장비에서 발견된 취약점, 실제 공격 받는 중

미국 FBI, 중국 세금 소프트웨어 백도어에 대해 공식 경고 발표

고교·대학 동창회 등 홈페이지 수백개 해킹…회원정보 유출

FBI, 대규모 DDoS 공격 경고

RDP 하이재킹 공격의 개념 증명과 대응 방안
산업계 의견 대폭 반영된 ‘데이터 3법’…개인정보 안전할까

금융위 “금융권, CISO 권한 대폭 강화…사이버 리스크 통제 체계 확립 추진”

2020년 아시아태평양 지역 중소기업 디지털 성숙도 조사 결과…한국 6위 차지

[MPIS 2020] 국내 최대 의료기관 정보보안 컨퍼런스…30일 목요일 개최

2019년 5월 20일, 테크크런치는 인도 뭄바이에 위치한 소셜 마케팅업체 치트르박스(Chtrbox)가 운영하는 데이터베이스에 패스워드 없이 접근이 가능하며, 이로 인해 인스타그램 인플루언서를 포함한 4,900만개의 계정정보가 노출됐다고 보도했습니다. 계정정보에는 이용자 전화번호와 이메일 주소를 포함해 프로파일 이미지, 팔로워 수, 공유 게시물 수 등 활동 지표가 포함되어 있었으며, 데이터는 유명인들을 포함한 최신의 데이터라고 전했습니다.

이러한 소식이 전해지자 치트르박스는 즉각적으로 데이터베이스와 연결된 인터넷을 차단했습니다. 이후, 인스타그램은 자체 조사를 통해 치트르박스가 가진 정보에는 개인정보가 포함되어 있지 않으며, 이미 공개된 정보라는 주장한바 있습니다.

인스타그램은 2년전에도 개발자 API의 버그문제로 인해 유명인들의 계정을 포함해 6백만개의 계정이 유출된 이력이 있습니다. 해당 계정에는 핸드폰 번호, 이메일 주소 등이 포함되어 있었으며, 정보를 탈취한 공격자들은 해당 정보 검색용 유료사이트(1건당 10달러)를 개설하기도 했습니다.

클라우드 환경에서 패스워드의 부적절한 설정이나 보안에 대한 충분한 이해 부족으로 인해 발생하는 이러한 침해사고는 지속적으로 발생하고 있습니다. 치트르박스와 같은 단순 실수로 인한 사고는 외부로 부터의 인지 이후에나 깨닫게 되는 경우가 많습니다. 아직까지 클라우드를 운영하는 많은 기업들은 효과적인 보안설정, 컴플라이언스 모니터링, 데이터 유출 탐지, 보안 인식제고 등에 있어 충분한 준비가 되어 있지 않습니다 . 

충분한 통찰력 내재화 및 조직의 보안역량 강화

빠르게 변하는 기업의 서비스와 기술요건 충족을 위해, 컴퓨팅 인스턴스와 스토리지 또한 시의적절하게 변경이 필요합니다. 하지만, 성급한 인프라의 변화로 인해 강한 패스워드 적용, 다중인증 구현, 주기적인 키 변경, 최소권한 할당 등 중요한 보안요소들에 소홀 할 수 있습니다.  따라서, 클라우드 계정, 워크로드, 컨테이너 인프라에 대한 충분한 이해를 기반으론 환경설정 오류, 미흡한 보안정책 적용, 데이터 침해사고로 이어질 수 있는 간과하기 쉬운 요소들에 대해 점검하고 정정할 수 있는 능력을 키워야 합니다.

※ 원문: The Biggest Cloud Breaches of 2019 and How to Avoid them for 2020