2017 년에 세계 최대 신용보고 기관 중 하나 인 Equifax는 전례없는 영향력과 규모의 사이버 침해를당했습니다. 145 억 50 만 개 이상의 개인 식별 정보 기록이 사이버 범죄자들에 의해 도난당했습니다. 이 위반의 특성으로 인해 Equifax의 CEO가 사임하고 의회 조사가 시작되었으며 Equifax의 주식이 타격을 입었고 XNUMX 개 주 집단 소송이 제기되었습니다.
위반
2017년 3월 2일 , 한 보안 연구원이 Apache Tomcat Struts 2라는 웹 애플리케이션 에서 취약점 (CVE-2017-5638)을 발견했습니다. 이 웹 애플리케이션은 Equifax에서 소비자가 신용 보고서 오류를 신고할 수 있도록 사용하는 서비스였습니다. 취약점이 발견된 지 며칠 후인 2017년 3월 7일, 해당 취약점을 악용하는 방법을 설명하는 블로그 게시물이 한 웹사이트에 올라왔습니다. 2017년 3월 10일, 이 취약점을 이용한 공격 방법이 Metasploit 이라는 인기 있는 오픈 소스 공격 툴킷의 플러그인 형태로 공개되었고, 해커들은 이 툴을 사용하여 인터넷에서 해당 취약점을 가진 서버를 찾기 시작했습니다. 2017년 5월 중순경, 해커들은 Equifax의 서버에서 취약점을 발견했습니다. 무단으로 접근한 해커들은 2017년 7월 29 일 에 발각될 때까지 에퀴팩스 네트워크 내부에 머물면서 데이터를 유출했습니다.
위반이 발생한 이유는 무엇입니까?
Equifax와 같은 규모로 145 억 2.5 만 미국인의 데이터를 보호하는 조직은 XNUMX 개월 동안 인식하지 못한 상태에서 데이터가 도난되기 전에 이러한 침해를 감지 할 수 있었을 것이라고 생각할 수 있습니다. 그래서 무슨 일이 있었나요? 보고서에 따르면 Equifax는 취약점을 인식했지만 서버를 패치하기위한 조치를 취하지 않았습니다. 서버가 패치되지 않고 해커가 취약점을 악용하기 시작하자 "의심스러운 경고"가 발생했지만 Equifax는 조치를 취하지 않았습니다. Equifax의 전 CEO를 의역하기 위해, 그들은 매년 수천 건의 경고를 받고 그다지 중요하지 않은 경고에서 중요한 경고를 수량화하기는 어렵습니다. 이것은 보안 도구 문제와 사람 문제를 명확하게 강조합니다. 오늘날 조직에서 배포하는 도구는 그다지 중요하지 않은 이벤트에서 중요한 이벤트를 식별하는 데 어려움을 겪으며 항상 인적 오류가 발생하고 위협에 대응할 사람이 충분하지 않습니다.
무엇을 할 수 있었습니까?
우선, Equifax가 CVE-2017-5638이라는 취약점 공지를 주의 깊게 살펴보고 서버를 신속하게 패치했더라면 인적 오류를 피할 수 있었을 것입니다. 둘째로, 조직은 현대적인 문제를 해결하는 새로운 도구로 교체하여 조직에 잘못된 보안 의식을 심어주는 구식 도구를 단계적으로 폐지해야 합니다. 침입 탐지 시스템(IDS), 보안 정보 및 이벤트 관리자(SIEM)와 같은 도구들이 여기에 해당합니다.SIEM서로 독립적으로 작동하고 인프라 내에 광범위하게 배치되지 않은 악성코드 샌드박스는 경고 노이즈, 사각지대 및 제한적인 탐지 능력만 초래할 뿐입니다. IDS 시스템은 대부분 시그니처 기반 탐지를 중심으로 설계되어 알려진 공격만 탐지할 수 있습니다. IDS 시스템은 새로운 공격 방식에 대한 시그니처가 없는 제로데이 취약점을 탐지하는 데에는 적합하지 않습니다. SIEM 도구들은 통나무, 통나무, 또 통나무를 쌓아두는 쓰레기장이 되어버렸습니다. SIEM 유용한 도구이긴 하지만, 원하는 것을 찾기 위해 쿼리를 실행하도록 프로그래밍해야 합니다. 그런데 악의적인 의도를 가진 알려지지 않은 것들을 찾아내는 것은 어떻게 해야 할까요?
취할 수있는 한 가지 방법은 사각 지대를 제거하고 여러 유형의 인프라 데이터를 수집 한 다음 데이터 세트 위에 머신 러닝 알고리즘을 실행하여 비정상을 파악하기 위해 Equifax 인프라 전체에 걸쳐 가시성 프레임 워크를 배포하는 것입니다. 이러한 새로운 프레임 워크는 침해 감지 시스템이라고 불리며 빅 데이터 기술과 인공 지능을 중심으로 구축되고 있습니다.
맺음말
사이버 보안 업계에서 우리가 모두 알게 된 사실은 데이터 유출은 불가피하고, 네트워크는 끊임없이 변화하며, 100% 완벽한 보호는 불가능하고, 매년 사이버 공격은 증가한다는 것입니다. 이러한 상황에서 조직은 소중한 데이터를 보호하기 위한 새로운 방법을 끊임없이 모색해야 합니다. Stellar Cyber는 IDS, APT, 그리고 기타 침해 탐지 도구들이 오늘날에도 여전히 중요한 역할을 한다고 믿습니다. SIEM머지않아 완전히 다른 모습으로 탈바꿈할 것입니다.
