이글루시큐리티(대표 이득춘 www.igloosec.co.kr)는 22일 ‘2015년 보안 위협 전망 보고서’를 발표했다.

보안실무자가 2015년 최우선 보안 투자 영역을 판단하는데 도움을 주고자 제작된 이번 보고서는 이글루시큐리티 보안분석팀이 작성, 총 8가지 항목이 소개된 것이 특징이다.

▲ 이글루시큐리티가 발간한 2015년 보안위협 전망 보고서 표지

◆암호화를 이용한 공격과 기존 공격기법의 혼합 증가 = 웹사이트를 통한 정보유출 사고가 증가함에 따라 SSL 적용과 같은 구간 암호화를 통해 보안을 강화하고 있다.

하지만 이같은 대응은 네트워크 분석을 통해 해킹을 분석하고 대응하는 보안장비 역시 면밀한 분석을 수행하기 어려울 수 있음을 의미한다.

이에 공격자들은 악의적인 코드를 암호화된 패킷 속에 삽입해 정상 트래픽으로 위장시키고 있으며 이러한 공격형태가 급증하고 있다.

현재 대표적인 글로벌 웹사이트 중 대부분이 암호화된 웹사이트(HTTPS) 형태가 아니면 정상적인 웹사이트 이용을 어렵게 만들었는데 암호화된 웹사이트는 개인정보보호 강화 및 암호화된 공격 대비를 위한 방어체계 구축을 동시에 추구해야 하므로 공격대응에 난항이 예상된다.

◆모바일 위협의 증가 = 최근 몇 년간 모바일 기기의 보급이 폭발적으로 증가하면서 모바일 기기와 플랫폼, 모바일 앱의 취약점 역시 급증했다.

특히 모바일을 이용한 금융거래나 중요정보 전송 등이 늘어남에 따라 금융정보 탈취를 노린 취약점 공격이 기승을 부릴 전망이다.

현재는 악의적인 앱 설치에만 관심이 모아지고 있는데 향후에는 모바일 기기를 이용한 해킹공격, 경유지 사용 등 PC에 적용되는 보안위협이 모바일로 그대로 옮겨가며 공격이 지능화될 것으로 보인다.

이를 방지하기 위해서는 모바일 기기 사용자의 각별한 주의가 요구될 뿐 아니라 악성 앱 설치 방지 및 모바일 취약점 보호, 데이터 도난 방지를 위한 보안업체와 모바일 기기 제조사간의 긴밀한 협조가 필요하다.

◆리눅스 및 맥 OS에 대한 보안 위협 증가 = 윈도에 비해 상대적으로 적은 사용자 수로 인해 악성코드 감염이나 소프트웨어 취약점 발견이 적어 비교적 안전한 것으로 여겨진 리눅스 및 맥(Mac) OS에 대한 보안위협이 2015년에는 크게 증가할 것으로 보인다.

이미 2014년에도 오픈(Open) SSL를 이용한 취약점(Heartbleed)과 배시(Bash) 취약점(ShellShock), 맥 OS 권한상승(rootpipe) 등의 위협이 등장해 보안업계를 크게 긴장시켰는데 맥 OS 사용률이 급증하고 사물인터넷(IoT) 기기가 각광받기 시작하면서 공격은 증가할 것이다.

◆새로운 모바일 결제방식 증가로 인한 새로운 위협 출현 = 과거의 모바일 결제 프로세스는 카드정보를 매번 입력해야 할 뿐 아니라 공인인증서 실행 등 결제 프로세스가 복잡해 사용자의 편리성이 크게 저해됐다.

최근에는 결제카드 선택 후 결제비밀번호만 입력하거나(카카오페이), NFC 단말에 휴대폰을 근접시키고 등록된 카드를 선택한 후 터치(Touch) ID를 이용한 지문 인식으로 결제를 완료(애플페이)하는 간소화된 결제 프로세스가 인기를 끌고 있다.

2015년에는 이같은 모바일 결제 방식이 확산될 것으로 예상하는데 공격자들은 금융정보를 비롯해 각종 개인정보가 다수 저장돼 있고 항상 전원이 켜져 있는 모바일 기기를 주요 공격 대상으로 삼을 것으로 예상된다.

◆경계보안에서 데이터 보안으로 정보보호의 관점 변화 = 보안위협에 대한 대응이 경계보안에서 데이터 보안으로 확장될 것이다.

해커들의 해킹 목적에는 금전적 이득 혹은 정치 및 사회적 목적 달성에 있고 그러한 목적을 달성하기 위해 조직의 중요자산에 접근해야 한다는 전제에는 변함이 없다.

따라서 현재까지 경계를 차단하고 강화하는 것에 초점이 맞춰져 있던 보안의 관점이 경계가 아닌 데이터 중심으로 변화할 것으로 보인다.

이러한 관점의 변화로 인해 기존의 보안 솔루션과 서비스 역시 데이터를 보호하는데 집중할 전망이다.

◆사물인터넷 기기를 통해 저장, 전송되는 정보에 대한 위협 증가 = 사물인터넷은 각종 사물에 센서와 통신 기능을 내장해 인터넷에 연결하는 기술이며 대표적으로 스마트 의료 산업에서 이를 접할 수 있다.

이처럼 사물을 통한 통신이 가능해지면서 데이터 전송과정에서 데이터 유출과 같은 보안위협이 증가할 것으로 예상된다.

또한 사물인터넷은 특정 기능을 수행하는 임베디드 시스템으로 구현되는 것이 일반적인데 최소한의 기능 구현에만 신경을 쓰고 인증, 암호화 등의 보안 조치를 취하지 않을 경우 정보 탈취를 위한 표적이 될 가능성이 높다.

따라서 사물인터넷 확산과 더불어 사물인터넷 기기에 대한 보안 대책도 함께 논의돼야 할 것이다.

◆브라우저 확장프로그램을 통한 위협의 지능화 = 브라우저 확장프로그램(플러그인)은 사용자에게 높은 편의성을 제공하지만, 특별한 승인절차 없이 실행되는 경우가 많아 악의적인 공격에 사용될 가능성이 높다.

물론 MS IE 액티브엑스(ActiveX), 구글 크롬 NPAPI 등 보안 문제점을 해결하기 위해 개선된 기술을 내놓고 있지만 완전히 대체되기까지 상당한 시일이 걸릴 것이며 해커들은 이 간극을 놓치지 않을 것이다.

◆비공개 목적 인프라에 대한 위협 증가 = 기존의 공격이 공개된 인프라를 주요 타깃으로 삼았다면 이제는 비공개 목적의 인프라(의료, 교통, 환경, 제조 등)에 대한 공격이 점차 증가할 것으로 예측된다.

최근 BYOD가 확산되면서 비공개 인프라의 접점이 증가하고 있는데 BYOD 특유의 개방성에 의해 정보가 유출되거나 서비스가 중지될 위험이 있다.

특히 비공개 인프라에 대한 낮은 보안인식과 BYOD의 개방성이 맞물릴 경우 자칫 큰 보안사고로 이어질 가능성도 있다.

무료로 배포되는 이번 보고서는 이글루시큐리티 홈페이지(www.igloosec.co.kr)에서 누구나 다운로드 받을 수 있다.

<김동기 기자>kdk@bikorea.net