LG CNS, AD 취약점 분석한 '보안 분석 보고서' 공개

커버로스팅ㆍ디시싱크ㆍ모니커링크 등 10개 공격 기법 분석
LG CNS, 레드팀 공격하고 블루팀 방어하는 모의 훈련 진행

▲LG CNS는 웨비나를 열어 ‘보안 취약점 심층분석 보고서’를 공개한다고 9일 밝혔다. (사진제공=LG CNS)

LG CNS는 웨비나를 열어 ‘보안 취약점 심층분석 보고서’를 공개한다고 9일 밝혔다.

이 보고서에서 LG CNS의 ‘퍼플랩’은 글로벌 위협 인텔리전스 빅데이터를 참고해 10개의 대표 액티브 디렉토리(AD) 공격 기법을 분류했다. AD는 기업이 효율적으로 인프라와 조직 구성원을 관리하기 위해 사용하는 서비스다.

특히 LG CNS는 많은 해커가 공격 대상으로 삼는 AD 취약점을 다뤘다. 기업들은 AD를 활용해 기업 내부 구성원들의 사용자 계정과 권한을 중앙에서 관리한다. 해커가 AD를 장악하게 되면 구성원들의 계정을 도용해 내부 기밀 데이터를 손쉽게 탈취할 수 있다. 또한, 해커는 AD 정보로 기업의 여러 시스템에 침투해 바이러스를 심고 시스템을 중단할 수도 있다.

LG CNS가 꼽은 주요 AD 공격 기법은 △커버로스팅(Kerberoasting) 공격 △디시싱크(DCSync) 공격 △모니커링크 취약점 공격 △패스더해시(Pass-the-Hash) 공격 △골든티켓(Golden Ticket) 공격 등 10개다.

커버로스팅 공격은 AD 네트워크에서 공유 폴더, 데이터베이스 등을 이용하기 위해 사용자가 발급받는 티켓(허가권)을 공격해 취약한 계정의 비밀번호를 획득하는 것이다. 티켓은 사용자 계정의 비밀번호를 조합해 만들어진다. 이 공격을 방어하기 위해서는 △대문자, 특수기호 등을 포함한 8자리 이상의 복잡한 비밀번호 사용 △최소한 90일마다 주기적인 비밀번호 변경 △비밀번호 취약점 지속 모니터링 등이 필요하다.

디시싱크 공격은 해커가 도메인 컨트롤러(DC)와 같은 권한을 가진 것처럼 행동해 도메인 컨트롤러간 동기화 요청을 수행하고 기업의 민감 정보에 접근하는 것을 뜻한다. 도메인 컨트롤러는 사용자 자격 증명 업데이트와 같은 변경 사항을 동기화하기 때문에 도메인 복제 권한을 갖고 있다. 보안 전문가들이 해커의 공격 흔적을 찾아 후속 공격을 방어하기 위해서는 △주체 계정 △개체 서버 △이벤트 로그 속성까지 모두 검토해야 한다.

일반적으로 해커들은 여러 개의 취약점을 동시에 공격한다. LG CNS는 보고서에서 해커들의 지능화된 AD 공격으로 발생할 수 있는 기업 내부 데이터 유출 위험성에 대해 경고한다. 복잡하고 동시다발적인 해커들의 AD 공격을 방어하기 위해선 기업들은 전문 보안 기업에 컨설팅을 받고 모의 해킹 방어훈련도 주기적으로 해야 한다.

이를 토대로 LG CNS는 레드 팀이 공격하고 블루 팀이 방어하는 모의 훈련을 진행했다. 10개의 시나리오와 시나리오별 보안 대응책은 보고서에 수록했다. LG CNS는 웨비나를 통해 ‘보안 취약점 심층분석 보고서’를 상세 소개하고, AD 보안 강화 전략을 수립하는 방법에 대해 논의할 예정이다.

배민 보안·솔루션사업부장(상무)은 “해커들의 공격대상이 내부망인 AD로 변화하는 추세”라며 “LG CNS는 ‘AD 보안 취약점 진단 컨설팅’ 및 ‘모의침투 테스트’ 서비스를 통해 기업 고객들에게 차별적인 사이버보안 전략을 제공하고 있다”고 말했다.

퍼플랩 인력 대다수는 한국인터넷진흥원(KISA) ‘K쉴드’와 ‘SW보안약점진단원’, 한국정보기술연구원(KITRI) ‘베스트 오브 더 베스트(BOB)’ 등 보안관련 정부기관의 인증을 받은 보안 정예전문가들이다. 이들은 해킹랩(Hacking LAB)에서 모의 해킹 공격, 방어 훈련을 하면서 침투 예상 시나리오를 다양화하고 대비책을 만든다. 해킹랩은 기업 고객의 서버·시스템·애플리케이션 등을 클라우드 환경에 유사하게 구축해 놓은 가상대결 공간이다.