사이버보안 및 인프라 보안국(CISA)이 발전소, 상수도 시설 및 기타 핵심 인프라를 방어하기 위한 새로운 아이디어를 내놓았다: 모든 공격자를 막으려 하지 말고, 침입한 자들에게 가짜 데이터를 먹이기 시작하라는 것이다. CISA가 새로 발표한 지침은 핵심 인프라 운영자들에게 사이버 미끼와 허니토큰을 배포하라고 권고한다. 이는 침입자를 조기에 탐지하고 실제 시스템에 도달하기 전에 속도를 늦추기 위해 설계된 저비용 디지털 함정이다. 이는 수년간 거의 전적으로 패치, 경계 방어, 접근 제어에 집중해 온 기관으로서는 눈에 띄는 어조의 전환이다.
CISA 지침이 실제로 권고하는 내용
핵심적으로, 이 지침은 두 가지 관련 도구를 설명한다. 허니토큰은 네트워크 내부에 심어놓은 가짜 파일, 자격 증명, 데이터베이스 레코드 또는 시크릿으로, 정당한 비즈니스 목적이 전혀 없다. 이들의 유일한 임무는 가치 있어 보이는 모습으로 거기에 앉아 있는 것이다. 누군가 이에 접근하거나 사용을 시도하면, 그것은 즉각적인 위험 신호다. 왜냐하면 권한이 있는 직원이나 시스템은 절대 이를 건드려서는 안 되기 때문이다. 허니팟은 이 개념을 더 발전시켜, 실제 서버, 워크스테이션 또는 산업 제어 자산처럼 보이도록 설계된 전체 미끼 시스템을 구축하여 공격자를 실제 환경에서 유인하고 방어자에게 그들의 전술을 관찰할 시간을 준다.
CISA는 이를 대규모 보안 예산을 가진 기관뿐만 아니라 모든 수준의 사이버보안 성숙도를 가진 조직이 접근할 수 있는 옵션으로 규정한다. 이는 많은 핵심 인프라 운영자에게 중요하다. 이들 중 다수는 간소한 IT 및 보안 팀을 운영하며 엔터프라이즈급 위협 탐지 플랫폼을 감당할 수 없다. 반면 허니토큰은 파일 공유에 떨어뜨린 가짜 자격 증명만큼이나 단순할 수 있다. 배포 비용은 거의 들지 않지만 누군가 상호작용하는 순간 높은 신뢰도의 경보를 생성할 수 있다.
미끼가 VPN 및 네트워크 세분화와 함께 작동하는 방식
기만 기술은 조직이 이미 의존하고 있는 VPN, 방화벽, 네트워크 세분화 같은 도구를 대체하기 위한 것이 아니다. 그것이 남기는 공백을 메우기 위한 것이다. VPN과 접근 제어는 권한 없는 사용자를 애초에 차단하도록 만들어졌다. 그러나 공격자들은 탈취한 자격 증명이나 원격 접속 인프라 자체의 취약점을 악용하여 이러한 방어를 우회하는 방법을 점점 더 많이 찾아내고 있다. VPN을 표적으로 한 Gunra 랜섬웨어에 관한 CISA 자체 권고가 명확한 예시다: 위협 행위자들이 발판을 얻기 위해 원격 접속 약점을 적극적으로 탐색하고 있으며, 이는 경계 방어만으로는 더 이상 충분하지 않다는 것을 의미한다.
허니토큰과 미끼는 단호한 공격자가 도난당한 VPN 자격 증명, 피싱 이메일 또는 패치되지 않은 취약점을 통해 결국 경계를 뚫을 것이라는 가정 위에서 작동한다. 일단 내부에 들어오면, 미끼는 인계철선 역할을 한다. 침입자가 세분화된 네트워크를 통해 가치 있는 데이터나 시스템을 찾아 이동하면, 잘못된 장소에 심어놓은 허니토큰이 그들을 거의 즉시, 종종 의미 있는 피해를 입히기 전에 잡아낼 수 있다. 이는 계층적 접근법이다: VPN과 세분화는 공격자의 속도를 늦추고 접근 범위를 제한하며, 미끼는 그들이 내부에 들어온 후 탐지되지 않고 이동하는 것을 훨씬 어렵게 만든다.
핵심 인프라 운영자가 우선 표적인 이유
CISA가 이 지침을 핵심 인프라 운영자에게 정조준한 결정은 위험 부담이 가장 큰 곳을 반영한다. 상수도 시스템, 에너지 공급업체 및 기타 필수 서비스는 종종 현대 IT 네트워크와 사이버보안을 염두에 두고 설계되지 않은 구형 운영 기술을 혼합하여 운영한다. 이러한 조합은 이들을 매력적인 표적으로 만들고 전통적인 도구만으로는 방어하기 어렵게 만든다. 단 이틀 만에 30개 이상의 시스템을 강타한 최근 미네소타 상수도 사이버 공격은 대규모 엔터프라이즈 보안 팀의 자원이 부족할 수 있는 인프라 제공업체 전반에 걸쳐 조율된 공격이 얼마나 빠르게 확산될 수 있는지 보여준다. 기만 기술은 이러한 조직이 지속적인 모니터링이나 값비싼 탐지 플랫폼 없이도 높은 정확도의 경보를 생성하여 실력 이상의 성과를 낼 수 있는 방법을 제공한다.
침해 후 측면 이동 탐지에 의미하는 바
사고 대응에서 가장 어려운 문제 중 하나는 초기 침해 후 공격자가 네트워크 내부에서 얼마나 멀리 이동했는지 파악하는 것이다. 발판을 확보한 공격자는 종종 랜섬웨어 페이로드를 실행하거나 데이터를 유출하기 전에 며칠 또는 몇 주 동안 조용히 측면 이동하며 권한을 상승시키고 가치 있는 시스템을 파악한다. 전통적인 보안 도구는 이러한 조용한 정찰을 정상적인 네트워크 활동과 구별하는 데 어려움을 겪을 수 있다.
허니토큰은 이 계산을 바꾼다. 정당한 용도가 없기 때문에, 이와의 어떠한 상호작용도 거의 확실한 악성 활동의 징후이며, 일반적으로 조기 경고 신호를 묻어버리는 노이즈를 뚫고 나온다. 운영 기술이나 고객 데이터에 도달하기 전에 침입자를 잡으려는 핵심 인프라 운영자에게 이 조기 신호는 통제된 사고와 전면적 중단 사이의 차이가 될 수 있다.
이것이 당신에게 의미하는 바
유틸리티, 지방자치 시스템 또는 기타 인프라 운영자의 IT나 보안 분야에서 일한다면, CISA의 지침을 전문을 읽고 기존 방어에 대한 저비용 추가 사항으로 취급하되, 이를 대체하는 것으로 여기지 않는 것이 좋다. VPN, 다중 인증, 네트워크 세분화는 공격자를 차단하는 데 여전히 필수적이다. 미끼와 허니토큰은 그러한 방어를 뚫고 들어오는 자들을 잡기 위한 것이다. 전담 보안 인력이 없는 조직도 민감한 위치에 소수의 가짜 자격 증명이나 파일을 심고 이들과의 상호작용에 대한 경보를 설정하는 것으로 작게 시작할 수 있다.
일상 사용자와 소규모 조직에게 더 큰 시사점은 단일 보안 계층이 완벽하지 않다는 점을 상기시켜 준다는 것이다. VPN 약점을 악용하는 지속적인 랜섬웨어 캠페인에서 볼 수 있듯이 공격자들은 원격 접속 도구를 끊임없이 탐색하고 있으며, 이는 심층 방어가 그 어느 때보다 중요하다는 것을 의미한다.
핵심 요점
- 사이버 미끼와 허니토큰에 관한 CISA 지침은 핵심 인프라 운영자에게 침입자를 조기에 탐지할 수 있는 저비용 방법을 제공한다.
- 미끼는 VPN, 접근 제어, 네트워크 세분화를 대체하는 것이 아니라 보완한다.
- 허니토큰은 정당한 사용자가 절대 상호작용하지 않기 때문에 침해 후 측면 이동을 표시하는 데 특히 효과적이다.
- 제한된 보안 예산을 가진 소규모 인프라 운영자가 이 접근법의 우선 대상이다.
- 공격자들이 초기 발판을 얻기 위해 원격 접속 약점을 계속 표적으로 삼고 있으므로, 조직은 기만 기술을 강력한 경계 방어와 함께 사용해야 한다.
