AWS Summit Seoul 2023 | 지능화되는 랜섬웨어 위협으로부터 지킬 것인가? 당할 것인가?

© 2023, Amazon Web Services, Inc. or its affiliates. All rights reserved.
S E O U L | M A Y 4 , 2 0 2 3

지능화되는 랜섬웨어 위협으로부터
지킬것인가?당할것인가?
정관진
Security Specialist Solutions Architect
AWS
전명수
Solutions Architect
AWS

1. 랜섬웨어의 진화 그리고 지속되는 위협
2. 랜섬웨어 완화 계획
3. 랜섬웨어 공격 전/중/후
- IDENTIFY
, PROTECT
- DETECT
, RESPOND
- RECOVER
4. 랜섬웨어로부터 지키기 위한 전략 수행
5. 요약
Agenda

잠재적 위협
식별 - 랜섬웨어
75%
2025년까지 하나 이상의 랜섬웨어 위협에
직면할 것으로 예상되는 IT 조직의 비율
From Gartner
TECHNOLOGY
랜섬웨어 공격이 증가하여
도시와 기업을 마비시키다
해커들은 사람들을 네트워크에서 차단하고
다시 네트워크에 접속하기 위해 거액을
요구하고 있습니다. 새로운 데이터는 이러한
공격이 얼마나 빈번하게 발생하고 피해를
입히는지 보여줍니다.
The New York Times
랜섬웨어, 디도스 동반
급증…중소기업·제조업 골라
공격
지난 7월 콜택시 중계 서비스 제공사
랜섬웨어 감염 사고로 전국 콜택시 전산망이
마비됐다.
전자신문
국토안보부, 콜로니얼 해킹 이후
파이프라인에 대한 첫 사이버
보안 규정 발표
랜섬웨어 공격으로 11일 동안 동남부 지역의
가스 공급이 중단된 후 두 개의 지침이 해당
산업 관리 규정 강화.
수많은 트래픽에서 잠재적 위협을 찾아내다

진화하는 랜섬웨어 형태
비즈니스에 중대한 영향
Locker 랜섬웨어
1. 사용자가 접근하지 못하도록 잠금
2. 디바이스가 잠기면 공격자는 잠금을
해제하기 위해 몸값을 요구
암호화 랜섬웨어
1. 파일 및 데이터 암호화
2. 특정 확장자를 대상으로 하거나 삭제된 파일
복구 불가로 만듬
3. 지역 특성을 고려한 랜섬웨어 지역화
4. 기업(AD)환경 이용 배포 및 리눅스 타겟 증가
이중 협박
1. 데이터 암호 해독을 위한 몸값
2. 유출된 기밀 정보를 인터넷에
공개한다고 협박
공격의 용이성
1. 서비스형 랜섬웨어(Ransomware as a Service)
2. 익명성을 제공하는 결제 수단을 통해 진입
장벽이 낮아짐

랜섬웨어가 왜 계속 위협이 되고 있을까요?
시스템 운영 관리
• 패치가 최신 상태 유지 안됨
• 지속적인 모니터링 부재 및
Shadow IT 시스템
• 시간이 많이 소요되는 수동
프로세스와 기술직원의 과도한
업무 부담
• 데이터 백업 미비
• 직원들의 낮은 보안 의식
• 소셜 엔지니어링에 취약
• 지능화되는 Targeted 공격
• 과도한 권한 부여
• 다양한 멀티벡터 공격 방식을
통한 효과 극대화
• 랜섬웨어 및 공격 서비스
상품화를 통한 접근 용이
• 사고 대응 프로세스 부재
보안 위협 초래 공격에 대비하지 못하는
보안 전략

AWS 환경의 공격 경로를 생각해 볼까요?
공격자 몸값 요구
사용자(클릭 및 기타)에
의해 감염
데이터 유출
공격자는 대상자
데이터를 암호화
악성코드 다운로드
/ C&C 접속
퍼블릭 서브넷
Application
Frontend
VPC
내부 이동
프라이빗 서브넷
Amazon Relational Database
Service (Amazon RDS)
랜섬웨어 감염
공격자
인터넷에 노출된 취약한 시스템
RDP 무차별 공격 (Brute Force)
출처가 불명확한 프로그램
피싱 이메일
유출된 자격증명
VPN or Direct Connect(DX)
내부 이동 경로를 통한 전파

랜섬웨어 위협을 완화하기 위한 계획
최신 업데이트로 시스템
보안 패치 및 최소한의
권한 부여 등의 보안
아키텍쳐 설계
랜섬웨어 사고
대응을 위한
Runbook 구축
코드형 인프라를
자동화하고 구축하여
복구 및 환경 구축 속도를
높입니다.
보안 사고에 대한
복구 계획 준비
랜섬웨어를 100% 방어하기는 어렵지만, 대책을 준비하면 피해를 최소화할 수 있다.

NIST
Cybersecurity
Framework
NIST CSF는 보안 영역에서
폭넓게 사용되고 있습니다.
IDENTIFY
조직의 중요한 기능, 자산, 프로세스를 파악하고 사이버
보안 위험으로 인해 이러한 기능이 어떻게 중단될 수 있는지
파악합니다.
PROTECT
중요 인프라 서비스를 보호하는 데 필요한 안전장치 정의
DETECT
위협과 사이버 위험을 신속하게 식별하기 위한 올바른 조치
구현
RESPOND
식별된 위협에 대응하는데 필요한 조치를 정의합니다.
RECOVER
사이버 보안 사고로 인해 손상된 기능을 복원하고 복구하기
위한 전략적 계획
*미국표준기술연구소(National Institue of Standards and Technology)

랜섬웨어 공격 전/중/후 방어전략
RECOVER
RESPONSE
DETECT
PROTECT
IDENTIFY
네트워크/시스템 하드닝 및
보호 수립
사전 탐지 및
자동화된 대응
복구 그리고
원인 분석과 재발 방지
AWS Elastic
Disaster
AWS
Backup
AWS Systems
Manager
AWS Config Amazon
Inspector
Amazon
Macie
Amazon
GuardDuty
AWS Security
Hub
Amazon
Detective
AWS
Lambda
Amazon
CloudWatch
AWS
CloudTrail
AWS KMS
Amazon
VPC
AWS Secrets
Manager
AWS Network
Firewall
IAM
AWS WAF
공격 전 공격 중 공격 후

준비, 계획 그리고 실행
식별
취약점 관리
보안 정책 적용
위협 탐지
사고 대응
네트워크 격리
복구
사고조사
재발방지
패치 및 시스템의 하드닝
공격 지점 최소화 아키텍처
리소스에 대한 인벤토리 관리
평상시 리소스 사용 패턴 확인
최소 권한 원칙
이상행위 발견&통보
사고 대비한 계획에 따라 대응
비상대응팀 동원
Playbook 활용
감염시스템 확산 방지
피해 최소화 노력
백업을 포함한 복구전략 빠르게 실행
피해 범위에 따른 부분/전체 복구
감염이 시작된 지점 파악 그리고 분석
Root Cause Analysis
로그 확인
Lessons Learned
시스템적 조치 및 보안 교육
공격 전 공격 중 공격 후

랜섬웨어로부터 지키기 위한 전략

랜섬웨어 방어 전략 – 전체 구성을 볼까요?
AWS Cloud
VPC
퍼블릭 서브넷
모니터링
✓ AWS 인프라는 24/7 모니터링되며, 높은 복원력을 위해 여러가지 장애 격리 기능을 제공합니다.
애플리케이션
AWS WAF
Resolver DNS
Firewall
네트워크
접근제어 리스트
Application
Load
Balancer
AWS SystemsManager AWS Backup AWS KMS
Amazon S3
Amazon SNS
Amazon CloudWatch
AWS Config
Amazon GuardDuty
Lambda
function
AWS Network
Firewall

랜섬웨어 방어 전략 – 전체 구성을 볼까요?
AWS Cloud
모니터링
Amazon S3
Amazon SNS
Amazon CloudWatch
AWS Config
Amazon GuardDuty
Lambda
function
VPC
퍼블릭 서브넷
애플리케이션
AWS WAF
Resolver DNS
Firewall
네트워크
Application
Load
Balancer
AWS Network
Firewall

기본은 언제나 중요합니다
서브넷 분리
네트워크 접근제어 리스트 (NACL)
보안 그룹 (Security group)
• 서브넷 간 트래픽 필터링
• 상태 비저장 (Stateless)
• 번호가 가장 낮은 규칙부터 평가
• 퍼블릭 서브넷: 인터넷 연결
• 프라이빗 서브넷: 인터넷 차단
• NAT게이트웨이 활용
• 리소스 단위로 설정
• 상태 저장 (Stateful)
• 허용 설정은 가능, 거부 설정은 불가능
VPC
퍼블릭 서브넷
애플리케이션
네트워크
Application
Load
Balancer
AWS Network
Firewall

AWS Web Application Firewall(WAF)
Amazon Route 53 Resolver DNS Firewall
AWS Network Firewall
방화벽을 이용해보세요
VPC
퍼블릭 서브넷
AWS WAF
Resolver DNS
Firewall
Application
Load
Balancer
AWS Network
Firewall
AWS Cloud
• VPC / 서브넷 단위로 보호
• 인바운드 / 아웃바운드 트래픽 필터링
• 자동 확장되는 AWS 관리형 서비스
• Route 53 서비스의 Firewall 기능
• 악성 도메인에 대한 선제적 차단
• AWS 관리형 악성 도메인 목록 제공
• 웹 트래픽 필터링
• 웹 익스플로잇으로부터 애플리케이션 보호
• AWS 관리형 규칙 제공

랜섬웨어 위협으로부터 시스템 지키기
AWS Cloud
모니터링
Amazon SNS
Amazon CloudWatch
AWS Config
Amazon GuardDuty
Lambda
function
VPC
퍼블릭 서브넷
애플리케이션
AWS WAF
Resolver DNS
Firewall
네트워크
Application
Load
Balancer
AWS Network
Firewall
Amazon S3

시스템 보호를 위한 기본 조치
• AWS, 온프레미스 및 기타 클라우드의 리소스에 대한 운영 인사이트 확보
• 운영 문제의 탐지 및 해결에 소요되는 시간 단축
• 패치, 구성 및 사용자 지정 정책에 대한 인스턴스 규정 준수 유지
• 애플리케이션 및 리소스의 구성 및 지속적인 관리 자동화
AWS SystemsManager
문제 감지 시간 단축 작업을 자동화하여
효율성 향상
가시성 및 제어 향상
하이브리드 환경 관리 보안 및 규정 준수 유지

AWS Systems Manager 주요 활용 기능
AWS SystemsManager 패치 매니저
인시던트 매니저
세션 매니저
• Windows 및 Linux 인스턴스에 대한 운영 체제 패치 프로세스 간소화
• 보안 패치 자동화 및 패치 현황 파악
• 제로데이 취약점 패치 설치 시간 단축
• 패치 스케줄 정의 및 패치 목록 결정
• 랜섬웨어 발생 시 사전에 수립된 계획에 따라 수행
• 미리 정의된 런북(Runbook) 에 따라 신속하게 대응 및 복구
• 지정된 담당자에게 SMS, 이메일 등 즉시 통보 실행
• 단일 콘솔을 통해 사고 분석, 시간, 런북, 타임라인 등을 추적
• 인바운드 포트를 열거나 SSH 키를 관리할 필요 없이 클릭 한 번으로
관리형 인스턴스에 안전하게 연결
• 인스턴스에 액세스할 수 있는 사용자에 대한 중앙 집중식 액세스 제어
및 전체 감사 기능
• 세션 로깅 및 & 베이스천 호스트 불필요

백업, 백업 그리고 또 백업
AWS Backup
BackupVault
• WORM (Write Once Read Many)
• 별도의 계정에 백업하여 보안 강화
• EBS와 Backup Vault는 서로 다른 키로 암호화
• 랜섬웨어 피해를 최소화할
수 있는 가장 강력하고
확실한 방법
• 완벽한 방어란 어려움
• 데이터 백업을 중앙에서
쉽게 관리하고 자동화할
수 있는 완전 관리형 정책
기반 백업 서비스
AWS KMS
EC2 인스턴스
EC2 스냅샷

백업 전략 수립 시 고려하세요
Trade-offs
모든 데이터
많음 적음
랜섬웨어 복구 비용 및 시간
선택적 데이터
많음 적음
비용
시간
데이터 유실 다운타임
목표 복구 시점
Recovery point objective (RPO)
목표 복구 시간
Recovery time objective (RTO)
랜섬웨어 감염

지속적인 모니터링 및 조치
AWS Cloud
VPC
퍼블릭 서브넷
애플리케이션
AWS WAF
Amazon S3
Resolver DNS
Firewall
네트워크
Application
Load
Balancer
AWS Network
Firewall
모니터링
Amazon GuardDuty
Amazon CloudWatch
AWS Config
Amazon SNS
Lambda
function

현재 여러분의 상황을 알고 있어야 합니다
• 평상시의 리소스 사용률 측정 및 인지
• 알림 및 자동화 작업을 사용하여 운영 성능 향상
• 시각화 도구를 사용하여 AWS 데이터를 수집, 액세스, 분석
• 컴플라이언스 준수를 감사하고 평가
• 리소스 구성에 대한 진단
• 계정의 특정 이벤트에 대한 구성 변경의 연관성을 분석
• 잠재적 위협 요소를 지속적으로 모니터링
• 알려진 위협, 이상행위 탐지
• 멀웨어가 포함된 파일 식별
Amazon GuardDuty
Amazon CloudWatch
AWS Config

악성코드 및 이상행위를 탐지
설치, 업데이트, 관리의 대상이 되는
Agent 없음
스캔 대상이 되는 EC2 자원에 대한
성능 영향 없음
한 번의 클릭으로 전체 조직에 대한
맬웨어 탐지 기능 활성화
중앙 집중화된 모니터링,
자동화 및 분석
의심스러운 행위에 대해 컨텍스트 기반의
탐지를 통한 검증
컨테이너 지원
Amazon GuardDuty는 기계 학습, 이상 탐지 및 통합 위협 인텔리전스를 사용하여
잠재적인 위협을 식별하고 우선순위를 지정하는 위협 탐지 서비스입니다.
Amazon GuardDuty

문제를 빠르게 인지하고 조치
Amazon SNS AWS Chatbot
이메일 알림
Amazon Chime
Lambda
function
인시던트 매니저
자동 조치
> 아직 끝나지 않았습니다.
• 로그 확인
• Root Cause 분석
• 백업 정책 업데이트
• 복구 훈련 계획 정비
• 회고
• 재발 방지 대책 수립
모니터링
Amazon GuardDuty
Amazon CloudWatch
AWS Config

Summary
공격 전
Identity and Protect
공격 중
Detect and Respond
공격 후
Recover
사전 탐지 및 자동화된 대응
복구 그리고 원인 분석과 재발 방지
AWS Backup
AWS Elastic Disaster
AWS Managed Services
네트워크/시스템 하드닝 및
보호 수립
AWS Network Firewall
AWS WAF
AWS Config
AWS SystemsManager
Amazon CloudWatch
Amazon GuardDuty
AWS Security Hub
Security Reference
Architecture
(AWS SRA)
Well-Architected
Review

감사합니다.

AWS Summit Seoul 2023 | 지능화되는 랜섬웨어 위협으로부터 지킬 것인가? 당할 것인가?

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a AWS Summit Seoul 2023 | 지능화되는 랜섬웨어 위협으로부터 지킬 것인가? 당할 것인가?

Similar a AWS Summit Seoul 2023 | 지능화되는 랜섬웨어 위협으로부터 지킬 것인가? 당할 것인가? (20)

Más de Amazon Web Services Korea

Más de Amazon Web Services Korea (20)

AWS Summit Seoul 2023 | 지능화되는 랜섬웨어 위협으로부터 지킬 것인가? 당할 것인가?