[Tech] 진화하는 랜섬웨어 공격, 그리고 최소한의 대비

작년에도 각종 보안 사고와 대규모 랜섬웨어 공격들로 보안업계는 떠들썩하였습니다. 또한 조금만 더생각해보면 대선이 2주 앞으로 다가온 지금 이시기, 많은 기업들에 대한 해킹 공격 시도는 연초부터 더욱 증가하고 있을 것입니다. 2022년을 시작하며 3월은 기업들이 내부보안강화를 위한 계획을 수립하기에 좋은 시기입니다. 지금부터 계획을 수립하여 취약점을 줄여갈 수 있도록 준비를 하시는 것이 어떠실지요. 오늘은 많은 해킹공격 중에 랜섬웨어에 대한 이야기 전해드리며, 즉시 취약점을 줄여갈수 있는 방안도 함께 공유드리고자 합니다. 랜섬웨어 공격자들은 마치 기업과 같이 높은 수익을 내기 위해 계속해서 진화하고 있습니다. 실제로 예전 랜섬웨어 공격자들은 피해자의 파일을 암호화 해서 못 쓰게 만든 후 풀어주는 대가로 돈을 요구했었지만 요즘은 데이터를 빼돌리고 돈을 내지 않으면 공개한다고 협박하는 식의 전략도 추가하여 발전시켰습니다. 또한 거기서 한 발 더 나아간 공격자들은 킬웨어(killware)라는 것을 최근 사용하기 시작하였습니다. 킬웨어란 일종의 랜섬웨어인데, 생명을 포함한 물리적 피해를 입히는 것입니다. 병원과 각종 의료 시설의 시스템들이 일시적이라도 작동을 하지 않는다면 누군가의 생명이 위협받을수 밖에 없기에 피해자 입장에서는 다른 선택지가 없어지고 결국 돈을 낼 수밖에 없게 되는 것입니다. 최근에도 모 대학병원은 병원 전산망에 악성코드 감염을 통한 해킹 형태의 사이버 공격을 받았는데, 랜섬웨어 공격으로 확인되었고 전자의무기록시스템인 EMR 파일 서버와 프로그램 개발 관련 서버인 컴파일 서버 등이 감염되어 사용할 수 없도록 만든 사례가 있습니다. 네트워크를 이용하는 의료기기가 공격받았다면 누군가의 생명또한 위협 할수 있는 일이 무서운 일이 현실에서도 일어나고 있는 것입니다. 이러한 위협들을 대비하기위해 막대한 예산을 투자하여 AI 랜섬웨어 대응 솔루션 등을 도입해야만 대비할 수 있는 것일까요? 아닙니다. 대비할 수 있는 방법은 대단히 값비싸지 않습니다. 기업들이 그 동안 숱하게 강조되어 왔던 보안 지침과 실천사항들을 지키는 것으로 꽤나 강력한 방어 전선을 구축할 수 있습니다. 부족한 예산 속에서 랜섬웨어 등과 같은 외부의 공격을 대비할 수 있도록 적용되어야 할 보안설정 내용을 공유드리며 오늘 글은 이만 마치도록 하겠습니다. 감사합니다. 1. 계정관리 - 공격자가 유추가능한 관리자 계정(Administrator) 삭제가 불가능하므로 다른이름으로 바꿔서 사용 : [시작 - 제어판 - 관리도구 - 로컬 보안 설정 -로컬정책 - 보안 옵션] 에서 계정이름 변경 - 불필요한 계정 또는 Guest 계정은 사용금지 : [시작 - 제어판 - 관리도구 - 로컬 보안 설정 -로컬정책 - 보안 옵션] 에서 Guest 계정 사용안함 설정 - 유추하기 어려운 패스워드(숫자, 대소문자, 특수문자 조합 8자리 이상)사용으로 관리 강화 : [시작 - 제어판 - 관리도구 - 로컬 보안 정책 - 계정정책] 에서 패스워드 관리정책 설정 - 패스워드 관리 정책 설정으로 다수의 로그인 시도 시 잠김 설정 적용 : [시작 - 제어판 - 관리도구 - 로컬 보안 정책 - 계정정책] 에서 패스워드 관리정책 설정 2. 접근제어 - 별도의 접근제어 정책 없이 외부에서 DB 서비스(MSSQL, MYSQL 등) 및 원격(RDP, SSH) 접근을 차단 : 외부에서의 접근은 재단방화벽에서 차단, 내부에서 운영자 접근 시 서버에서 원격포트(예. 3389, 22→13389, 10022) 변경하여 사용 - 운영서버에 대해서 운영자IP만 접근허용 : [실행창 - wf.msc] 윈도우방화벽에서 접근허용IP로 운영자용 PC IP 설정 3. 파일 및 디렉토리 관리 - 서버에서 파일공유 미사용 시 사용하지 않는 윈도우 기본 공유 제거 (재부팅 시 다시 공유되어 재적용 필요) : net share c$ /delete, net share d$ /delete 등등 - 서버에서 파일공유에 사용되는 서비스포트 차단설정 : [실행창 - wf.msc] 윈도우방화벽에서 파일공유 관련 SMB 포트 차단 설정 ※SMB (Server Massage Block)는 윈도우 시스템이 다른 시스템과 파일, 디렉토리, 주변 장치 등의 자원을 공유할 수 있도록 하기 위해 개발 SMB 관련포트 : 137(TCP, UDP), 138(TCP, UDP), 139(TCP, UDP), 445(TCP, UDP) - Download 폴더의 불필요 파일 삭제 : 운영자가 업무상 받아두었던 파일들은 사용 후 즉각 삭제 4. 공통보안 - 운영체제, 소프트웨어 최신 보안패치를 적용 : 제로데이 취약점을 대비하기 위해 새로운 보안패치 발표 시 즉각 적용 - 백신 최신 버전으로 업데이트 적용 및 실시간 감시 설정 : 신규 악성코드 탐지 후 치료를 위해 새로운 백신 버전 업데이트 확인 □ 참고자료(