"혁신은 내부에서"…SK인포섹, 사내 버그 바운티 시행

[아이뉴스24 성지은기자] SK인포섹이 올해 1분기부터 사내 버그 바운티 제도를 시행한다. 취약점을 찾아 자체적으로 보안을 강화할 뿐만 아니라 취약점 연구 등으로 보안 전문성을 강화한단 전략이다.

이재우 SK인포섹 이큐스트(EQST) 리더는 지난 18일 서울 SK서린빌딩에서 '5대 보안 위협과 5대 위협 대응 전략'을 발표하며 "올해 1분기 안에 회사 자체적으로 사내 버그 바운티를 진행하려 한다"며 "이 같은 시도는 국내 처음"이라고 말했다.

버그 바운티는 보안 취약점 신고 포상제로, 소프트웨어(SW)의 취약점을 찾아 신고하면 포상금을 지급하는 제도다. SK인포섹은 사내 설치된 보안 솔루션 등에 대해 직접 취약점을 찾을 계획이다.

이재우 리더는 "내부에서 취약점을 찾은 뒤, 보안기업과 협력해 보안 취약점을 패치하고 이로써 신규 취약점에 대한 대응력을 높이고자 한다"고 설명했다.

이 같은 사내 버그 바운티는 취약점 연구활동 강화 노력의 일환으로, SK인포섹은 올해 연구활동 강화에 집중한다. 지능화·고도화되는 보안 위협에 대응하고 글로벌 보안기업으로 성장하기 위해 전문성 강화가 필요하다는 판단에서다.

앞서 SK인포섹은 작년 8월 보안전문가 그룹 이큐스트를 출범했다. 이큐스트는 침해사고대응(CERT), 전략해킹 등 정보보안 분야 전문인력을 하나로 통합한 보안 전문가 그룹으로, 소속 전문가 100여명을 뒀다.

◆SK포섹이 제시하는 올해 5대 보안 위협과 대응 전략은?

SK인포섹에 따르면, 올해 ▲관리서버의 신규 취약점을 이용한 지능형지속위협(APT) 공격 ▲제로데이 취약점을 공격하는 자동화 도구 ▲범용 SW 자동화 공격 ▲SW 공급망에 대한 공격 ▲대규모 랜섬웨어 감염을 위한 구조적 취약점 공격 등 5대 보안 위협이 기승을 부릴 것으로 전망된다.

관리서버는 일반적으로 패치, 자산관리, 파일배포 등에 사용된다. 해커가 관리서버를 장악하면 악성파일을 배포하고 PC를 효과적으로 통제할 수 있다. 이 때문에 관리서버에 대한 신규 취약점 연구와 공격이 증가 추세다.

또 보안 패치 방법이 알려지지 않은 '제로데이 취약점'을 공격하는 자동화 도구도 지속발견되고 있다. 사용자가 많은 범용 SW의 취약점을 찾고 이를 공격하는 시도가 늘고 있으며, 해커는 SW가 배포되는 과정에서 보안에 취약한 지점을 노리는 'SW 공급망 공격'도 단행하고 있다.

데이터를 암호화하고 이를 인질 삼아 금전을 요구하는 '랜섬웨어'는 끊이지 않고 있다. 해커는 수익을 높이기 위해 올해 대규모 랜섬웨어 공격을 펼칠 것으로 예상된다.

이재우 리더는 "높은 수익을 올리기 위해서는 사용자의 중요 데이터를 암호화해 비싸게 돈을 받거나 대규모로 시스템을 감염시켜야 한다"며 "올해 대규모 랜섬웨어 공격이 발생할 수 있어 주의를 기울여야 한다"고 말했다.

실제 지난해 발생한 보안 사고 중 데스크톱 가상화(VDI) 서버 내 있는 가상머신(VM) 전체를 감염시켜 시스템 전체를 초기화했던 사례가 있다. 올해 구조적 취약점을 이용한 공격이 늘 것으로 전망되는 만큼 보안에 주의를 기울여야 한다는 게 회사 측 설명이다.

SK인포섹은 이 같은 5대 보안 위협에 대응하기 위해 ▲이큐스트 랩(lab) 활동을 통한 취약점 연구 ▲다크 웹 정보 수집 및 분석 ▲사이버 위협 인텔리전스 기반 탐지 대응 ▲통합 보안관제센터(SOC) 관제 기술 고도화 ▲엔드포인트 위협 탐지 및 대응 등 5대 위협 대응 전략을 펼친다.

특히 다크 웹에서 거래되는 보안 관련 정보를 얻기 위해 '다크 웹 크롤러'도 만들 계획이다. 다크 웹은 우리가 일반적으로 사용하는 웹과 다르게 일반 검색엔진으로 찾을 수 없는 웹을 말한다. 해커는 다크 웹에서 해킹 정보 등을 공유하고 거래까지 한다.

이재우 리더는 "2만여개의 다크 웹을 모니터링했다"며 "다크 웹에서 해킹 도구가 거래되고 해킹 정보 등이 공유되는데, 신규 공격에 대한 정보를 얻어 보안 인텔리전스에 반영할 계획"이라고 말했다 또 "다크 웹에서 정보를 뜰어다가 수집하는 다크 웹 크롤러를 개발 중"이라고 덧붙였다.