┃점점 더 지능적으로 변하는 해킹, 과거와 현재의 공격 양상 변화
✔ 대학생들의 호기심에 시작한 해킹
‘해킹(Hacking)’이라는 단어는 1960년대 미국 MIT의 모형 기차 동아리에서 기기와 시스템을 조작(hack)하는 것에서 시작했어요. 뉴스에 등장한 건 1983년도였죠. 당시 해킹은 부정적인 의미보다는 창의성과 호기심에 가까웠는데요. 1970년대 전화망을 조작해 무료 통화 방법을 찾으면서 해킹은 정보통신 분야로 확장됐어요. 그리고 1988년 네트워크로 연결된 컴퓨터를 감염시켜 정부와 대학교 시스템을 마비시킨 모리스 웜 사건을 계기로 해킹은 지금과 같은 범죄로 여겨지기 시작했죠.
✔ 시스템 자체 취약점을 공격하는 전통적 해킹
1990년대 컴퓨터와 인터넷이 대중화되면서 해킹 공격 대비가 기업의 중요한 과제가 되었어요. 전통적인 IT 환경에서 대부분의 기업은 서버를 내부에 설치하고 방화벽을 통해 외부 네트워크와 분리하는 구조를 활용했는데요. 해커들은 시스템 취약성을 이용하거나 방화벽을 우회해 내부 시스템에 침투한 뒤, 악성코드 설치나 DDoS 공격 등으로 시스템이나 네트워크 전체를 마비시키고 데이터를 유출했어요.
2003년 슬래머 웜이 대표적 사례로, 윈도우 MS-SQL 서버의 취약점을 이용해 대량의 네트워크 트래픽을 유발하고 네트워크를 마비시킨 사건이에요. 당시 슬래머 웜은 발생 10분 만에 전 세계 수십만 대의 컴퓨터를 감염시켰다고 해요.
✔ 개인 계정이나 권한을 노리는 SaaS 시대 공격
인터넷에 연결되어 있으면 언제 어디서나 내부 시스템에 접근할 수 있는 클라우드 기반 협업 시스템의 일상화는 해킹 공격 양상에 변화를 불러왔어요. 지금은 서버나 시스템 자체의 취약성보다 개인 계정이나 권한을 노리는 공격이 훨씬 더 많아졌어요. 대부분의 시스템이 하나로 연결되어 있기 때문에 계정 하나만 탈취하면 기업의 전체 데이터에 접근할 수 있기 때문이에요.
클라우드 기반 SaaS(Software as a Service) 시대에는 다중인증(MFA: Multi-Factor Authentication, '이하 MFA')을 적용하지 않은 계정이 주요 공격 대상이에요. 안전하지 않은 API를 활용해 인증 절차를 우회할 수도 있고, SaaS 내 권한이 과도하게 부여된 계정을 공격해 내부 데이터나 다른 사용자의 데이터를 악용하거나 삭제하기도 하는데요. 사용자 실수로 계정 정보가 유출되거나 시스템 설정을 잘못해 데이터가 유출될 수도 있어요.
특히 SaaS는 서버가 기업 내부가 아닌 외부에 있으므로 전통적인 방어벽 보안이나 네트워크 보안으로는 방어할 수 없어요. 그만큼 개인의 보안 관리 중요성이 더 높아졌다는 뜻이기도 해요.
✔ 기업 데이터 유출 경로 34%는 내부자
실제로 최근 한 통계에서는 기업 데이터 유출 사고의 34%는 내부자 위협과 관련 있다고 밝혔어요. 그중 28%는 고의로 데이터를 유출하거나 방해하는 등 악의적인 의도가 있는 내부자였으며, 58%는 잘못된 링크를 클릭하거나 보안 정책을 지키지 않은 부주의한 내부자, 그리고 14%는 공급업체나 파트너사와 같은 제3자였다고 해요.
실제로 지난 7월 MS 쉐어포인트 공격은 취약한 시스템에 인증되지 않은 공격자가 원격 접근하여 악성코드를 실행해 생긴 사건인데요. 일회성 공격에 그친 과거와 달리 이번 공격은 지속적인 접근 권한을 확보하려는 시도였다는 점에서 더욱 주목받았어요.
SaaS 환경이 일상이 된 지금, 기업은 해킹 공격에 대비하기 위해 계정과 권한을 보호하고 사람의 실수를 방지하는 시스템 구축이 필요해요.
┃모든 것이 연결된 SaaS 시대, 기업 보안 관리 어떻게 바꿔야 하나?
✔ 우리 회사는 몇 개의 SaaS 앱에 몇 개의 ID를 사용 중일까?
보안 업체 앱옴니(AppOmni)가 지난해 전 세계 보안 담당자를 대상으로 조사한 SaaS 보안 관련 보고서에 따르면, 응답자의 34%가 현재 회사에서 몇 개의 SaaS 앱을 승인하고 있는지 알지 못한다고 답했다고 해요. 보안 전문가들조차 자사의 SaaS 앱이 어디까지 연결되어 있는지 정확히 파악하지 못하고 있다는 것은 클라우드 시대 보안 정책에 과거와는 달라져야 함을 방증하는 것이죠.
✔ 계정 보호와 접근 제한이 중요한 전략!
SaaS 시대에는 내부 보안 시스템을 강화하는 한편, 직원들의 계정을 보호하고 접근 권한을 제한하는 전략이 필요해요. 직원들에게는 SaaS 사용 시 보안 수칙과 비밀번호 관리 등 정기적인 보안 교육을 제공하는 것도 좋아요. 또한 사내에서 사용하는 모든 프로그램에는 다중인증(MFA)을 적용하고, 사용자 업무 범위에 따라 필요한 권한만 부여해 사용 내역을 모니터링해야 해야 하는데요. 퇴사자나 파트너사의 계정을 통합적으로 관리하는 것도 기업 보안에 매우 중요해요.
✔ 클라우드 시대의 통합 계정 관리 플랫폼 IDaaS의 등장!
한 회사에서 사용하는 SaaS 앱과 이를 이용하는 사용자 계정 수가 빠르게 증가하면서, 이를 통합적으로 관리해 줄 새로운 플랫폼의 필요성이 대두되었어요. 이를 IDaaS(Identity as a Service, ‘이하 IDaaS’)라고 하는데요. IDaaS는 사용자의 신원(Identity)과 접근권한(Access)을 관리하는 기술인 IAM(Identity and Access Management)을 클라우드 기반으로 제공하는 것을 말해요. 대표적인 플랫폼으로 옥타(Okta), 오스제로(Auth0), 원로그인(OneLogin) 등이 있습니다.
IDaaS는 단 한 번의 로그인(SSO: Sigle Sign On)으로 다양한 SaaS 앱을 연동할 수 있어 사용자에게는 편의성을 제공하고, 다중인증(MFA) 등 제로 트러스트(Zero Trust)* 원칙에 기반한 보안 모델을 통해 기업에는 효과적 보안 체계를 보장합니다.
*제로 트러스트(Zero Trust): 어떤 사람이나 기기가 이미 조직의 네트워크 내에 있어도 기본적으로 신뢰해서는 안 된다는 개념을 기반으로 조직을 보호하는 데 사용되는 보안 모델
● ● ● ● ●
모든 것이 실시간으로 연결된 시대에는 기업 차원의 보안 강화도 기본이지만,
시스템을 사용하는 개개인의 역할 역시 중요합니다.
옥타와 오스제로 등 기존의 IDaaS는 전 세계적으로 널리 사용되는 플랫폼이지만,
사용 방법이 복잡하고 국내 SaaS 앱 연동에 한계가 있는 등 아쉬운 점이 많았는데요.
최근 LG유플러스는 국내 IT 환경을 고려한 것은 물론 양자내성암호(PQC) 기술을 적용해
보안을 더욱 강화한 IDaaS인 알파키(AlphaKey) 솔루션을 선보였습니다.
클라우드 기반 업무 환경의 보안이 걱정되는 기업이라면,
다음 뉴스레터에서 소개할 알파키(AlphaKey)를 기대해 주세요!
보안, 어디서부터 시작해야할지 막막하다면?
기업 보안에 관심 있는 실무자 혹은 관리자라면?
LG유플러스에서 준비한 [futurize 2025: 보안 포럼]에 참석하여 인사이트 얻어 가세요!
