2014년 7월 3일, 서울종합과학대학원 산업보안 MBA, 산업보안전무가 과정 강의

1. APT(AdvancedPersistentThreat)
공격의현재와대응방안
2014.07.03
장영준책임
Senior Security Engineer, CISSP, CHFI
yj0819.chang@samsung.com, zhang_95@hotmail.com
㈜삼성전자, 시스템기술팀, 정보전략그룹

2. Contents
01APT(AdvancedPersistentThreat)
1)
APT(AdvancedPersistentThreat)
2)
과거APT(AdvancedPersistentThreat)공격사례

3. Contents
02주요APT(AdvancedPersistentThreat)공격사례
1) 농협침해사고
2) SK커뮤니케이션즈침해사고
3) 이란원자력발전소의Stuxnet감염
4) Google침해사고
5) EMC/RSA침해사고
6) 시리아정부관련악성코드유포
7) 2013년주요APT(AdvancedPersistentThreat)공격사례

4. Contents
03APT(AdvancedPersistentThreat)공격형태의특징
1)
APT(AdvancedPersistentThreat)공격형태의증가
2)
APT(AdvancedPersistentThreat)공격대상의확장
3)
고도화된사회공학기법(SocialEngineering)개발과적용
4)
악성코드및취약점관련기술의발전
5)
APT(AdvancedPersistentThreat)공격기법의다변화

5. Contents
04APT(AdvancedPersistentThreat)공격대응방안
1) APT(AdvancedPersistentThreat)공격Lifecycle
2) APT(AdvancedPersistentThreat)공격Timeline
3) APT(AdvancedPersistentThreat)통합대응전략
4) APT(AdvancedPersistentThreat)공격예방적SystemHardening
5) APT(AdvancedPersistentThreat)공격탐지적NetworkControl

6. 01APT(AdvancedPersistentThreat)

7. 1)APT(AdvancedPersistentThreat)
APT는2006년무렵미국공군사령부에서사용하였던군사통신용어
미국공군사령부에서는미국국방부와통신시확인된특정보안위협형태를지칭
2010년무렵APT라는용어가민간부분으로전달되며의미가확장
현재민간부분에서는일반적으로APT를다음과같이정의
“다양한
보안
위협들을
양산하여
특정
대상에게
지속적으로
가하는
일련의
행위”
미국공군사령부와미국국방부문장

8. 2)과거APT(AdvancedPersistentThreat)공격사례
2004년6월국내정부및민간기관들을대상으로PeepViewer트로이목마유포
국정원에서는“6개공공기관의PC64대와민간분야PC52대감염”보고
이메일의첨부파일로“워크샵
내용과일정.MDB”전송후악성코드감염시도
정부및민간기관을대상으로
정부기밀탈취목적의APT공격사례
PeepViewer트로이목마의리버스커넥션동작

9. 02주요APT(AdvancedPersistentThreat)
공격사례

10. 1)농협전산망마비사고
2011년4월농협전산망이외부공격으로인한시스템손상으로모든업무마비
외주직원노트북에감염된악성코드를이용해내부시스템침입
공격자는P2P프로그램으로악성코드유포이후7개월동안감시후공격진행
4
DB 서버의데이터삭제
2
외주직원
노트북
악성코드감염
P2P
프로그램
1
악성코드유포
3
원격제어
내부시스템
Attacker
농협에서발생한침해사고

11. 2)SK커뮤니케이션즈침해사고
2011년7월SK커뮤니케이션즈침해사고로3500만명고객개인정보유출
무료소프트웨어업데이트서버해킹후정상파일을악성코드로변경후유포
공격자는8일만에DB관리자권한획득후DB데이터를분할압축후외부유출
2
무료소프트웨어업데이트서버
1
악성코드감염
악성코드유포
4
3
원격제어
DB 서버접속
공격자
6
데이터전송
외부서버로
데이터전송
DB 서버
다른피해서버
5
SK커뮤니케이션즈에서발생한침해사고

12. 3)이란원자력발전소Stuxnet감염
2010년7월이란원자력발전소시스템파괴목적의Stuxnet발견
MS윈도우의알려진취약점3개와0-Day 취약점2개를악용해유포
2011년발견된Duqu와2012년발견된Flame 모두이란원자력발전소관련정보
수집
목적으로
유포
스턱스넷악성코드의감염과동작원리

13. 4)오퍼레이션오로라(OperationAurora)침해사고
2011년1월Google기업기밀정보탈취목적의침해사고발생
해당침해사고는Google외에첨단IT기업34개도공격의대상
공격은MicrosoftInternetExplorer의0-Day 취약점악용
이메일과메신저로악의적인웹사이트로접속하는링크전달
1
이메일과메신저로
웹사이트링크전달
2
기업내부직원
공격자
링크클릭으로
악성코드감염
4
내부시스템접근
3
원격제어
0-Day취약점악용
C&C서버
내부시스템
첨단IT기업대상OperationAurora침해사고

14. 5)EMC/RSA침해사고
2011년3월EMC/RSA의OTP(One TimePassword)관련기업기밀정보탈취시도
공격대상선정을위해SocialNetwork로내부직원개인정보확보
이메일첨부파일은AdobeFlash0-Day 취약점악용
사회공학기법(SocialEngineering)으로내부직원의악성코드감염유도
EMC/RSA에서발생한침해사고

15. 6)시리아정부관련악성코드유포
2012년2월CNN은시리아정부가반정부인사감시를위한악성코드유포를폭로
이메일첨부파일,허위YouTube페이지그리고Skype로악성코드유포
언더그라운드에공개된DarkCometRAT악성코드생성기로악성코드제작
감염PC의국가별분포는시리아,이스라엘,사우디아라비아와레바논이다수
1
이메일첨부파일
과스카이프이용악성코드유포
2
시리아반정부인사
공격자
첨부파일및
링크클릭으로악성코드감염
3
원격제어및
모니터링
C&C서버
내부시스템
시리아정부의반정부인사감시를위한악성코드유포

16. 7)2013년주요APT(AdvancedPersistentThreat)공격사례
2013년01월
Operation"RedOctober“ 동유럽및중앙아시아국가
기관해킹
2013년03월
OperationHangover
인도정부기관해킹
2013년04월
Winnti
온라인게임업체해킹
2013년09월
Icefog(HiddenLynx)
한국과일본정부,민간기관해킹
2013년
주요APT(Advanced PersistentThreat)공격사례
2013년02월
뉴욕타임즈해킹중국배후의APT1해킹
2013년06월
NetTraveler
40개국350개기관해킹
2013년12월
OperationKe3chang
유럽외교통상부해킹
2013년03월
한국3.20 침해사고

17. 03APT(AdvancedPersistentThreat)
공격형태의특징

18. 1)APT(AdvancedPersistentThreat)공격형태의증가
인터넷과컴퓨터의발달로정부기관및각기업체에서업무자동화시스템도입
모든업무및기밀문서역시전자문서와같은데이터형태로파일서버에보관
공격목적의다양화로APT형태의TargetedAttack이과거에비해증가
Symantec에서공개한TargetedAttack증가수치

19. 2)APT(AdvancedPersistentThreat)공격대상의확장(1)
공격목적이과거에비해확대됨으로공격대상역시확대
과거정부및군사기관만이공격대상이었으나현재는민간기업으로까지확대
•
•
정부기관기밀문서탈취
군사기밀문서탈취
정부
기관
사회
산업
기간
시설
•
•
사이버테러리즘활동
사회
기간
산업
시스템동작
불능
•
•
첨단
원천
기술
기술
자산
관련
탈취
기밀탈취
정보
통신
기업
•
•
기업
기업
지적
영업
자산
비밀
탈취
탈취
제조
업종
기업
•
•
사회
기업
금융
금융
시스템의동작불능
자산정보탈취
금융
업종
기업

20. 2)APT(AdvancedPersistentThreat)공격대상의확장(2)
경제적고부가데이터를보유한첨단기업들이주요대상
한국과일본은금융기관,언론사및온라인게임업종기업등이주요대상
Symantec에서공개한2013년TargetedAttack발생산업군및기업규모

21. 3)고도화된사회공학기법(SocialEngineering)개발과적용
Web과SocialNetwork발달은공격대상의개인정보수집용이
수집한개인정보들로공격대상에게최적화된사회공학기법(SocialEngineering)
개발및적용
EMC/RSA침해사고의경우내부직원들에게채용정보관련메일로위장
청첩장과입사지원서로위장한취약한전자문서파일들

22. 4)악성코드및취약점관련기술의발전
악성코드제작및취약점개발기술들의발전은보안제품탐지우회와APT공격의
성공률을높이는데기여
악성코드는Self-Update,보안제품무력화등다수의개별기능을가진파일들의
조합
취약점은다양한일반소프트웨어의알려진취약점또는0-Day 취약점들을악용
DarkComet RAT의보안기능무력화옵션
MS10-087워드취약점악성코드생성기

23. 5)APT(AdvancedPersistentThreat)공격기법의다변화
현재까지APT공격의주요공격기법은이메일의첨부파일을이용하는형태
과거첨부파일이실행가능한파일이었으나최근에는전자문서형태로변경
한국의경우무료소프트웨어의자동업데이트기능과한국산P2P프로그램악용
취약한PDF파일이첨부된이메일
취약한한글(HWP)파일이첨부된이메일

24. 04APT(AdvancedPersistentThreat)
공격대응방안

25. 1)APT(AdvancedPersistentThreat)공격Lifecycle
공격대상정의
잠복또는흔적
제거
악성코드제작
또는구매
데이터탈취
공격대상연구
내부시스템
탐색
악성코드진단
테스트
공격대상내부
감염
거점확보

26. 2)APT(AdvancedPersistentThreat)공격Timeline
유포지획득-제3의시스템해킹후악성코드업로드
악성코드유입및감염–사회공학기법(SocialEngineering)을이용한Targeted
Attack 진행
공격자와연결–역접속(Reverse Connection)으로C&C서버연결
공격명령-C&C서버를통해원격제어및공격명령지시

27. 3)APT(AdvancedPersistentThreat)통합대응전략
보안위협대응을위해RiskManagement기반의기업보안정책수립
Attack Surface 축소와공격탐지의효율을위해DefenseinDepth 전략수립
새로운보안위협에대한신속한대응을위해SecurityIntelligence확보
보안위협의출발점이내부임직원임으로주기적인
보안
인식
교육
제공
APT공격에대응하기위한보안전략

28. 4)APT(AdvancedPersistentThreat)공격예방적SystemHardening

모든운영체제와Web Application및관련Server는최신버전과보안패치적용

WSUS(Windows Server UpdateServices)로최신보안패치배포및설치

모든System에는Anti-VirusSoftware설치후Anti-VirusManagementServer에서
Monitoring

모든운영체제에존재하는사용하지않는사용자계정비활성화또는삭제

HSM(Host Security Monitoring,HIPS)설치후Monitoring및주기적분석

Terminal Server에는공용계정삭제후저장된계정정보및암호모두삭제

Terminal Server에는업무목적별로개별계정생성후LoginLog생성및관리

Database의xp_cmdshell Procedure삭제및관련파일xplog70.dll삭제

Database정보는암호화관리하되,Web Server에서암호화하여Database로전송

Web Server에는SSL(Secure Socket Layer)활성화

윈도우EventLog및IISWeb Log는통합후LogManagementServer에서관리

29. 5)APT(AdvancedPersistentThreat)공격탐지적NetworkControl

Backbone Switch에서는Whitelist 및Blacklist이중정책설정및관리

기업외부Network에서기업내부로접속시IPSecVPN또는SSLVPN이용

IPSecVPN또는SSLVPN연결마다발생하는모든VPNLog별도관리

VPN계정은업무목적별로생성하고,권한역시구분하여적용

기업내부OutboundPacket 에대한Filtering 적용

기업내부HTTP통신은모두Web Proxy를거치도록운영및관리

기업내부에서는파일공유서비스대신SFTP또는SCP(Secure Copy)만사용

NIDS와같은NSM(NetworkSecurity Monitoring)247 운영및관리

NIDSEvent및전체Session Data와FullPacket 저장및분석

업무영역별로Network분리후각업무영역마다Firewall운영및관리

System, Network및Database등IT관리부서는일반업무영역과별도구분

30. Thankyou.