침입경로 따라 맞춤 보안솔루션 처방 `근본 차단`

MVX 엔진기술 기반 행위분석 대응 전략 '주목'
NX·EX솔루션, 사이버위협 다단계 탐지로 방어



◇새해 맞기전 대비할 악성코드 '랜섬웨어'

랜섬웨어로 인한 피해가 급증하자 보안업체들이 앞다퉈 랜섬웨어 대응 솔루션을 내놓고 있다. 그러나 대부분 랜섬웨어 공격 탐지 및 방어보다는 파일 백업에 초점을 맞춘 제품에 머물러 있는 것으로 나타났다.

이들 솔루션은 랜섬웨어의 침입 경로 및 사전 차단에 대해서 명확한 답을 주지 못해 기업들의 불안감을 해소시키기에는 역부족이라는 지적이다. 이 같은 상황에서 파이어아이가 멀티-벡터 가상 실행(Multi-Vector Virtual Execution; 이하 MVX) 엔진 기술을 기반으로 랜섬웨어의 전체 공격 과정에 대한 가시성을 확보하고, 대응할 수 있는 보안 전략을 제시해 주목을 끈다.

◇첨부파일·악성링크 형태 랜섬웨어 유포 차단= 파이어아이는 웹을 통한 감염뿐 아니라 피싱 이메일을 통한 랜섬웨어 공격을 막기 위한 전략도 제시했다. 일반적으로 이메일을 통한 램섬웨어는 첨부 파일이나 악성 링크를 통해 유포된다. 파이어아이의 이메일 보안제품인 'EX시리즈'는 의심스러운 이메일 첨부 파일과 내장된 URL을 실행 및 분석하고, 모든 악성 이메일을 차단할 수 있다는 게 회사 측 설명이다. EX는 보안 활성화 모드인 MTA(Mail Transfer Agent) 모드를 통해 랜섬웨어가 사용자 PC에 유입되기 전 사전 차단한다.

특히 최근 해커들은 악성코드 유포를 위해 보다 다양한 종류의 첨부 파일을 이용한다. 파이어아이 EX솔루션은 MVX 기술을 이용해 행위분석 기반 탐지를 실행해 거의 모든 유형의 문서 및 실행 파일 형태 대한 분석을 지원한다. EX 솔루션은 동적 URL 분석(Dynamic URL Analysis) 기능으로 이메일 본문 내 악성링크를 통해 유포되는 랜섬웨어도 차단시킬 수 있고, FAUD(FireEye Advanced URL Defense) 기능을 통해 클라우드 기반 악성 URL도 탐지가 가능하다.

파이어아이에 따르면, NX 및 EX 기술은 가상환경에서 파일들을 실행하고 분석하는 MVX가 핵심이다. 일반적으로 샌드박스(Sandbox)로 불리는 이 기술은 운영 체제, 응용 프로그램, 브라우저, 플러그인 등 다단계 탐지 엔진을 이용해 사이버 위협을 실시간으로 탐지하고 차단한다.

◇네트워크 보안 솔루션 통한 랜섬웨어 유포 및 감염 과정 확인·차단= 파이어아이는 랜섬웨어의 유입 경로에 따라 맞춤화된 보안 솔루션 처방에 주력하고 있다. 업체 측은 "우선 웹을 통해 유입되는 경우, 랜섬웨어 익스플로잇의 유포지를 정확하게 파악해 해당 사이트를 사전에 차단하는 것이 중요하다"고 설명한다.

랜섬웨어의 침입은 익스플로잇 실행, 유입, CnC 서버 접속 단계 등 크게 세 단계로 나뉜다. 첫째 익스플로잇 실행 단계에서는 정상 페이지에서 악성코드 유포지로 여러 단계를 거쳐 리다이렉션 된 후 익스플로잇이 실행된다. 따라서 전체적인 웹 플로우를 분석할 수 있어야만 해당 유포지를 파악하고, 차단할 수 있다. 파이어아이는 자사 네트워크 보안 제품인 NX시리즈를 통해 이러한 웹 익스플로잇이 실행되는 전체 과정에 대한 정보를 제공할 수 있다고 강조한다.

실제로 최근 국내에서 웹 포탈에 '박병호 포스팅'이라는 키워드를 검색해 특정 온라인 기사 사이트에 접속할 경우, 익스플로잇 사이트로 리다이렉션 돼 랜섬웨어에 감염된 사례가 발생했다. 당시 파이어아이는 NX시리즈를 통해 이러한 익스플로잇 실행 과정을 정확히 분석했으며, 고객에게 해당 기사 사이트를 차단시키도록 권고했다. 또 랜섬웨어 유입 단계에서 NX 솔루션은 행위 분석 기반 탐지 기술을 통해 랜섬웨어의 특정 행위를 분석한다. 예를 들어 랜섬웨어가 윈도 복원 기능 해제 활동이나, 파일 암호화 행위 등의 특정 행위를 보이는 경우, NX솔루션은 이를 분석해 사용자에게 정확한 흔적 지표를 제공하고 있다.

전수홍 파이어아이코리아 지사장은 "랜섬웨어를 비롯한 사이버 공격의 공포에서 벗어나기 위해서는 공격 주체와 내부 시스템 보안 수준에 대한 정확한 이해가 우선돼야 한다"며 "파이어아이는 네트워크 보안 기술을 기반으로 유해 사이트를 파악해 고객들이 사전 조치할 수 있도록 지원하고 있다"고 말했다.

심화영기자 dorothy@