■ 지능형지속위협(APT)
안랩(대표 권치중)은 트러스와처(해외 출시명: 안랩 MDS)라는 제품으로 APT 위협 대응을 제안하고 있다.
이 제품은 알려지지 않은 신종 악성코드를 탐지하기 위해 내장된 가상 운영체제에 다차원 동적 행위 분석을 수행토록 하고 비실행형 파일에 대한 동적 콘텐츠 분석(DICA: Dynamic Intelligent Content Analysis) 기능을 제공한다. 다차원 기반 동적 행위 분석은 실행 파일의 단순 개별 행위를 분석하는 데서 진일보해 연관 파일과 접속하는 URL/IP의 위험도, 평판 정보 및 종합적 행위를 다차원으로 분석한다.
최근 APT 방식 공격의 가장 두드러진 특징은 문서 파일과 같은 비실행형 파일(non-executable file)을 사용한다는 것이다. 즉, 악성코드가 삽입된 PDF 파일이나 MS 워드 파일을 이용하는 것인데, DICA는 안랩의 악성코드 분석 노하우가 반영된 특허 기술로 문서 등 비실행형 파일을 직접 검증한다. 또한, 점차 국가별로 많이 사용되는 소프트웨어(타사가 탐지 못하는 국내에서만 사용되는 특정 압축 포맷 및 문서편집 프로그램 등)를 노리면서 국지전 양상을 띠는 비실행형 악성코드 탐지에 탁월하다.
안랩 트러스와처는 제품 기획 초기부터 네트워크 레벨 및 엔드포인트 레벨 양단간에서 긴밀히 협력해 이뤄져야 한다는 관점으로 구상됐기 때문에 전용 에이전트를 제공한다.
최근 기능적으로 단순 네트워크 레벨에서의 수집/분석만이 아닌 에이전트를 통한 엔드포인트 (조직 내 개인 PC 등)레벨의 실질적인 대응을 요구하는 고객사가 늘고 있다. 이에 자체 에이전트를 제공하지 않는 제품들은 국내 엔드포인트 보안업체와 협력하여 제안하고 있다. 그러나 이 경우는 네트워크와 엔드포인트 간 연계 범위에 한계가 있다. 즉, 타사제품처럼 네트워크 장비로 출발한 장비는 네트워크에 유입된 신종 악성코드를 정확하게 탐지했다 하더라도 이미 다운로드된 악성코드를 조치할 방안이 없다.
안랩의 전용 에이전트는 실시간으로 네트워크 레벨에서 탐지된 신종 악성코드를 삭제하는 기능은 물론, UBS 또는 암호화 트래픽을 통해서 유입된 잠재 악성코드의 실행을 차단하고 분석하는 `실행 보류(execution holding)' 기능까지 제공한다.
안랩은 최근 하반기에만 금융권, 공공, 일반 기업 10여 곳에 트러스와처를 제공했다.
강은성기자 esther@
안랩(대표 권치중)은 트러스와처(해외 출시명: 안랩 MDS)라는 제품으로 APT 위협 대응을 제안하고 있다.
이 제품은 알려지지 않은 신종 악성코드를 탐지하기 위해 내장된 가상 운영체제에 다차원 동적 행위 분석을 수행토록 하고 비실행형 파일에 대한 동적 콘텐츠 분석(DICA: Dynamic Intelligent Content Analysis) 기능을 제공한다. 다차원 기반 동적 행위 분석은 실행 파일의 단순 개별 행위를 분석하는 데서 진일보해 연관 파일과 접속하는 URL/IP의 위험도, 평판 정보 및 종합적 행위를 다차원으로 분석한다.
최근 APT 방식 공격의 가장 두드러진 특징은 문서 파일과 같은 비실행형 파일(non-executable file)을 사용한다는 것이다. 즉, 악성코드가 삽입된 PDF 파일이나 MS 워드 파일을 이용하는 것인데, DICA는 안랩의 악성코드 분석 노하우가 반영된 특허 기술로 문서 등 비실행형 파일을 직접 검증한다. 또한, 점차 국가별로 많이 사용되는 소프트웨어(타사가 탐지 못하는 국내에서만 사용되는 특정 압축 포맷 및 문서편집 프로그램 등)를 노리면서 국지전 양상을 띠는 비실행형 악성코드 탐지에 탁월하다.
안랩 트러스와처는 제품 기획 초기부터 네트워크 레벨 및 엔드포인트 레벨 양단간에서 긴밀히 협력해 이뤄져야 한다는 관점으로 구상됐기 때문에 전용 에이전트를 제공한다.
최근 기능적으로 단순 네트워크 레벨에서의 수집/분석만이 아닌 에이전트를 통한 엔드포인트 (조직 내 개인 PC 등)레벨의 실질적인 대응을 요구하는 고객사가 늘고 있다. 이에 자체 에이전트를 제공하지 않는 제품들은 국내 엔드포인트 보안업체와 협력하여 제안하고 있다. 그러나 이 경우는 네트워크와 엔드포인트 간 연계 범위에 한계가 있다. 즉, 타사제품처럼 네트워크 장비로 출발한 장비는 네트워크에 유입된 신종 악성코드를 정확하게 탐지했다 하더라도 이미 다운로드된 악성코드를 조치할 방안이 없다.
안랩의 전용 에이전트는 실시간으로 네트워크 레벨에서 탐지된 신종 악성코드를 삭제하는 기능은 물론, UBS 또는 암호화 트래픽을 통해서 유입된 잠재 악성코드의 실행을 차단하고 분석하는 `실행 보류(execution holding)' 기능까지 제공한다.
안랩은 최근 하반기에만 금융권, 공공, 일반 기업 10여 곳에 트러스와처를 제공했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
