“사이버 위협사례, 사회적 이슈 반영한 훈련 500회 이상”
“불시에 불특정 서버 공격, 블라인드 훈련 방식…실전과 같은 훈련”
[애플경제 이보영 기자] 금전 취득을 목적으로 하는 랜섬웨어와 랜섬디도스 공격 및 코로나19로 인한 비대면 환경과 사회적 이슈를 악용하는 사이버 공격이 날로 증가하고 있다. 이에 금융보안원은 ‘2022년도 금융권 침해사고 대응훈련’을 앞으로 500회 이상 실시한다고 최근 밝혔다.
최근 개인이나 기업의 데이터를 암호화하는 랜섬웨어나, 웹 서비스 및 네트워크를 마비시키는 랜섬디도스 공격 사례가 크게 증가하고 있다. 이미 해외에선 캐나다 VoIP 제공업체나, 미국 석유 파이프라인 운영업체, 영국 외환회사 등이 큰 피해를 입은 바 있다. 이들 공격자들은 특정 개인이나 회사를 대상으로 재난지원금 안내 등과 같은 사회적 이슈를 악용하여 유해 프로그램이 포함된 이메일을 보내는 등 더욱 정밀하고 지능화된 공격을 가하고 있다.
특히 재택근무나, 화상회의 등 원격 접속환경이 늘어나고, 최근 발생한 Log4j 등에서 보듯, 공개소프트웨어의 결함을 이용한 신규 취약점이 지속적으로 늘어나면서 더욱 공격에 취약해지고 있다. Log4j는 시스템 개발·운영·관리 목적의 로그 기록을 남기기 위한 프로그램으로 지난해 12월 치명적인 취약점이 드러나 큰 파장을 불러 일으켰다.
금융분야 침해사고 대응기관인 금융보안원은 “이런 사이버 공격에 대비하고, 침해사고 대응 능력을 높이기 위해 195개 금융회사와 전자금융업자를 대상으로 2022년도 침해사고 대응훈련을 3월부터 연중 실시할 계획”임을 밝혔다.
침해사고 대응훈련은 △DDoS(Distributed Denial of Service, 분산 서비스 거부) 공격, △ 서버해킹 공격, △지능형 지속 위협(Advanced Persistent Threat, 이하 ‘APT’) 공격으로 구성되어있다.
그 중 디도스 공격에 대해선 네트워크 및 시스템의 비정상적인 과부하에 대한 탐지와 대응, 복구 능력을 높인다. 또 서버해킹 공격이나 APT공격에 대해선 서버, 웹 등의 취약점 공격이나 이메일을 통한 악성코드 탐지와 대응, 복구 능력을 높인다. “특히 2022년도 훈련은 최근 사이버 위협사례 및 사회적 이슈를 반영한 신규 훈련 콘텐츠를 개발 및 적용하여 실효성 있는 훈련을 실시할 것”이라는 금융보안원의 얘기다.
디도스공격 대응훈련에 있어선 최근 디도스공격에 자주 이용되고 있는 대량의 문자열을 이용한 ‘증폭·반사 공격 기법’을 훈련에 반영할 예정이다. ‘증폭·반사 공격’은 인터넷에 노출된 서버를 이용하여 적은 요청으로 대량의 데이터를 발생시켜 공격 대상의 네트워크 과부하로 서비스를 마비시키는 공격 기법이다.
또한 서버해킹공격 대응훈련에 있어선2021년부터 최근까지 이슈가 된 사이버 위협사례 중 금융권에 파급력이 큰 Log4shell 및 비대면 서비스 확대에 따른 취약점 등을 반영하기로 했다. Log4shell은 취약한 버전의 ‘Log4j’ 프로그램이 설치되어 있는 서버에 임의의 명령어 실행 또는 악성 프로그램을 이용하여 권한을 탈취하는 공격이다.
APT공격 대응훈련에 있어선 최근 사회적으로 주목받고 있는 메타버스, 블록체인, 코로나19 지원금 지급 등과 관련된 콘텐츠를 개발하여 실제 침해사고 발생 가능성이 있는 시나리오를 훈련에 반영할 계획이다. 즉, 금융회사에 공격 일시, 방법 등을 사전에 알리지 않고 공격하는 블라인드 훈련을 전체 금융회사로 확대하여 현실감 있는 사이버 위협 대응 및 복구훈련을 강화한다는 계획이다.
금융보안원은 “블라인드 훈련의 효과성을 높이기 위해 보안시스템의 탐지를 우회하는 공격방식을 도입하고, 암호화 공격 증가 등 최근 변화하는 공격 트렌드에 맞는 훈련 콘텐츠 구성을 강화할 것”이라며 “최근 사이버 위협사례 및 사회적 이슈를 훈련에 적용하여 금융권의 전자적 침해사고 대응 능력을 강화하고, 블라인드 훈련을 확대함으로써 사이버공격에 대한 실질적인 침해사고 대응 프로세스를 개선해갈 것”이라고 기대했다.