침해사고
더 많은 작업
침해사고(侵害事故)는 해킹, 악성코드, 서비스 거부 공격 등으로 정보시스템이나 네트워크가 침해되어 정보의 유출·변조·훼손이나 서비스 장애 등의 피해가 발생한 사건을 말한다.
정보보안 분야에서는 일반적으로 보안 사고(Security Incident), 사이버보안 사고(Cybersecurity Incident) 등의 용어와 유사한 의미로 사용된다.
대한민국에서는 관련 법령에서 침해사고의 범위를 별도로 정의하고 있으며, 한국인터넷진흥원과 KrCERT/CC가 민간 분야의 침해사고 신고 접수·분석 및 대응 지원 등의 업무를 수행한다.
정보시스템에서는 지속적으로 다양한 보안 이벤트와 공격 시도가 발생한다.
외부에서 서버의 포트를 검색하거나 존재하지 않는 계정으로 로그인을 시도했다는 사실만으로 반드시 시스템이 침해됐다고 볼 수는 없다.
반면 공격자가 취약점을 이용해 서버에 침입하거나 계정을 탈취해 권한 없이 정보에 접근했다면 실제 침해사고로 이어진 것으로 볼 수 있다.
따라서 일반적으로 다음과 같은 개념을 구분할 수 있다.
| 구분 | 설명 | 예 |
|---|---|---|
| 보안 이벤트 | 보안과 관련해 관찰된 개별 현상 | 로그인 실패, 방화벽 차단 로그 |
| 공격 시도 | 시스템을 침해하기 위한 행위가 발생했으나 실제 침해 여부가 확인되지 않음 | 취약점 공격 요청이 방화벽에서 차단됨 |
| 침해 | 공격자가 시스템·계정·데이터 등에 허가되지 않은 접근이나 영향을 미침 | 계정 탈취, 서버 무단 접근 |
| 침해사고 | 침해로 인해 정보시스템이나 데이터의 기밀성·무결성·가용성 등에 영향을 미친 보안 사고 | 개인정보 탈취, 악성코드 감염, 시스템 변조 |
실제 사고에서는 조사 초기 단계에서 침해 여부가 명확하지 않은 경우가 많아 처음에는 '공격 시도' 또는 '이상징후'로 파악됐다가 조사 과정에서 침해사고로 확인되기도 한다.
대한민국의 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서는 침해사고를 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인해 발생한 사태로 정의한다.
법률상 정의는 일반적인 보안 실무에서 사용하는 의미와 완전히 동일하지 않을 수 있으므로 법적 신고 의무나 사고 판단에서는 해당 법령의 정의를 기준으로 확인해야 한다.
침해사고는 공격 방법과 피해 형태에 따라 다양하게 나타난다.
| 유형 | 설명 |
|---|---|
| 시스템 침입 | 취약점이나 탈취한 계정 등을 이용해 서버·PC·네트워크 장비 등에 권한 없이 접근하는 사고 |
| 악성코드 감염 | 랜섬웨어, 백도어, 정보탈취형 악성코드 등이 시스템에서 실행된 사고 |
| 정보유출 | 개인정보, 인증정보, 기업 기밀 등의 정보가 권한 없는 외부로 유출된 사고 |
| 계정 침해 | 비밀번호 탈취, 크리덴셜 스터핑, 피싱 등으로 계정이 탈취되거나 부정 사용된 사고 |
| 웹사이트 침해 | 웹 애플리케이션 취약점 등을 이용해 웹사이트의 데이터나 콘텐츠가 열람·변조된 사고 |
| 서비스 거부 | DoS·DDoS 등으로 정보시스템이나 네트워크의 정상적인 서비스 제공이 방해된 사고 |
| 데이터 훼손 | 공격자가 데이터나 시스템 설정을 삭제·변조·암호화한 사고 |
| 공급망 침해 | 소프트웨어·서비스 제공자나 협력업체 등을 경유해 최종 대상 조직이 침해된 사고 |
하나의 침해사고에서 여러 유형의 피해가 동시에 발생할 수 있다.
예를 들어 공격자가 서버 취약점을 통해 침입한 뒤 악성코드를 설치하고 데이터베이스에서 개인정보를 탈취했다면 시스템 침입, 악성코드 감염, 정보유출이 하나의 사고에서 함께 발생한다.
침해사고와 정보유출은 동일한 개념이 아니다.
정보유출은 침해사고로 인해 발생할 수 있는 결과 가운데 하나다.
예를 들어 공격자가 서버에 침입했지만 정보가 외부로 반출되지 않았다면 침해사고는 발생했지만 정보유출은 발생하지 않았을 수 있다.
반대로 잘못된 접근권한 설정이나 공개 설정 등의 원인으로 정보가 노출되는 경우에는 전형적인 해킹 공격 없이도 정보유출 사고가 발생할 수 있다.
따라서 사고 분석에서는 다음을 구분할 필요가 있다.
- 공격 시도가 있었는지
- 실제 시스템 침해가 있었는지
- 데이터에 접근했는지
- 데이터가 외부로 유출됐는지
- 시스템이나 데이터가 변조·훼손됐는지
침해사고 대응(Incident Response)은 침해사고를 탐지·분석하고 피해를 제한한 뒤 시스템을 정상 상태로 복구하는 일련의 활동을 말한다.
일반적인 대응 과정은 다음과 같이 구성할 수 있다.
준비 ↓ 탐지·분석 ↓ 차단·격리 ↓ 제거 ↓ 복구 ↓ 사후 분석
실제 대응 절차와 단계의 명칭은 기관이나 대응 방법론에 따라 다를 수 있다.
보안 이벤트를 분석해 실제 침해사고인지 판단하고 다음과 같은 사항을 조사한다.
- 최초 침입 시점
- 침입 경로
- 공격에 사용된 취약점
- 공격자 IP 및 인프라
- 침해된 시스템
- 공격자가 확보한 권한
- 악성코드 설치 여부
- 정보 접근 및 유출 여부
- 피해 범위
추가 피해를 방지하기 위해 침해된 시스템이나 공격자의 접근을 차단한다.
상황에 따라 다음과 같은 조치를 취할 수 있다.
- 공격 IP 차단
- 침해 시스템 네트워크 격리
- 계정 잠금
- 인증정보 변경
- 취약 서비스 중단
- 악성 도메인 차단
사고 원인을 분석하기 전에 시스템을 무조건 종료하거나 초기화하면 디지털 포렌식에 필요한 증거가 사라질 수 있으므로 상황에 맞는 대응이 필요하다.
공격자가 설치한 악성코드·백도어·계정 등을 제거하고 침입에 이용된 취약점을 조치한다.
단순히 악성 파일 하나를 삭제하는 것만으로 공격자가 확보한 다른 접근 경로까지 제거됐다고 볼 수 없기 때문에 침해 범위를 충분히 조사해야 한다.
침해 원인이 제거된 시스템을 정상 서비스로 복귀시킨다.
필요한 경우 신뢰할 수 있는 백업이나 시스템 이미지에서 시스템을 복원할 수 있다.
복구 이후에도 일정 기간 로그와 네트워크 활동을 집중적으로 모니터링해 공격자가 다시 접근하는지 확인한다.
침해사고 조사에서는 다양한 디지털 증거를 분석한다.
주요 조사 대상에는 다음과 같은 것들이 있다.
- 운영체제 로그
- 웹 서버 로그
- 애플리케이션 로그
- 인증 로그
- 방화벽 로그
- EDR 기록
- 네트워크 트래픽
- 메모리
- 파일시스템
- 악성코드
- 클라우드 감사 로그
이를 통해 공격자의 활동을 시간순으로 재구성하는 타임라인 분석이 이루어지기도 한다.
사고 조사 과정에서 확인된 IP·도메인·파일 해시 등의 정보는 침해지표로 활용할 수 있다.
침해사고에서는 공격 발생 시점과 사고 발견 시점이 크게 다를 수 있다.
예를 들어 공격자가 1일 서버에 침입했지만 조직이 이를 10일 발견했다면 실제 침해는 이미 9일 전에 시작된 것이다.
공격자가 시스템 내부에서 탐지되지 않은 채 활동하는 기간을 분석하기 위해 최초 침해 시점, 공격 활동 기간, 발견 시점, 차단 시점 등을 구분해 기록하는 것이 중요하다.
장기간 탐지되지 않은 침해에서는 공격자가 내부 시스템을 탐색하거나 추가 계정을 확보하고 정보를 지속적으로 탈취했을 가능성도 조사해야 한다.
대한민국에서는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등에 따라 일정한 사업자에게 침해사고 발생 시 신고 및 관계기관 협조 등의 의무가 부과될 수 있다.
민간 분야의 침해사고 신고와 기술지원은 한국인터넷진흥원의 KrCERT/CC가 담당한다.
금융회사에서 발생한 전자적 침해사고는 금융 관련 법령과 감독체계에 따라 금융위원회, 금융감독원, 금융보안원 등이 대응에 참여할 수 있다.
개인정보 유출이 함께 발생한 경우에는 침해사고 신고와 별도로 「개인정보 보호법」에 따른 개인정보 유출 통지·신고 의무가 발생할 수 있다.
따라서 '침해사고 신고'와 '개인정보 유출 신고'는 법적 근거와 요건이 서로 다를 수 있다.
침해사고를 전문적으로 대응하는 조직을 CSIRT(Computer Security Incident Response Team) 또는 CERT(Computer Emergency Response Team)라고 한다.
조직 내부에 자체 대응팀을 운영할 수도 있고 국가·산업 단위의 대응 조직을 운영하기도 한다.
대한민국의 대표적인 관련 조직으로는 다음과 같은 곳이 있다.
| 조직 | 주요 영역 |
|---|---|
| KrCERT/CC | 민간 분야 인터넷 침해사고 대응 |
| 금융보안원 | 금융 분야 사이버 위협 및 침해사고 대응 |
| 국가정보원 | 국가·공공 분야 사이버보안 |
사고의 성격과 피해 대상에 따라 경찰 등 수사기관과 개인정보보호 관련 기관이 함께 대응할 수도 있다.