사이버 준비 상태란 무엇입니까? 이는 엔드포인트 관리, 실시간 위협 탐지 및 신속한 위협 복구에 대한 Left of Bang 접근 방식을 포함하는 정보 기술(IT) 분야입니다. 전투 작전에서 뱅의 왼쪽 접근 방식에는 공격, 첫 번째 공격 및 폭발 전에 이점을 창출하기 위한 작전을 설계하는 것이 포함됩니다. 여기에는 적절한 시기에 유죄판결을 수행하거나, 올바른 경로를 선택하거나, 악의적인 공격자를 찾거나, 공격자를 혼란스럽게 만드는 예측할 수 없는 방식으로 이벤트에 대응하는 것이 포함될 수 있습니다. 뱅 의 왼쪽에는 위협을 찾은 다음 이러한 위협에 대응하기 위해 위험과 영향을 신속하게 평가하는 작업이 포함됩니다. 이러한 아이디어를 엔드포인트 관리, 실시간 위협 탐지 및 신속한 위협 복구에 연결하면 가시성이 공통 분모가 됩니다. 가시성은 헌팅의 기본이며 사이버 위생, 위협 탐지 및 대응 위협 조치 평가를 지원하는 기본 기능입니다.
이전 블로그 게시물에서 사이버 준비 상태를 설명하는 간단한 방법으로 이 방정식을 제공했습니다.
사이버 위생 + 위협 탐지 + 대응 위협 조치 = 사이버 준비
다음은 이러한 각 요소에 대한 간단한 설명입니다.
- 사이버 위생 은 엔드포인트와 네트워크에 중점을 두어 모든 방어 조치가 적절히 취해졌는지 확인합니다.
- 위협 탐지 는 이름에서 알 수 있듯이 디바이스를 차단하는 랜섬웨어 공격부터 직원이 범죄자에게 자금을 이체하도록 유도하는 비즈니스 이메일 침해(BEC) 공격에 이르기까지 다양한 위협을 신속하게 탐지합니다. 위협을 신속하고 정확하게 탐지하면 보안 팀이 조직 전체에 확산되어 더 많은 피해를 입히는 것을 막을 수 있습니다.
- 대응 위협 조치에 는 공격을 차단하고 경우에 따라 공격자의 능력을 침해하는 조치를 취하는 것이 포함됩니다.
조직이 이러한 관행을 잘 수행하면 사이버 준비성, 즉 사이버 공격을 방지하고 견딜 수 있는 능력이 크게 개선됩니다.
사이버 위생: IT 환경의 최적 상태 유지
이러한 요소 중 첫 번째인 사이버 위생에 대해 자세히 살펴보겠습니다. 본질적으로 의료 용어인 위생은 청결을 통해 건강을 유지하고 질병을 예방하는 관행을 말합니다. 사이버 보안에서 사이버 위생은 취약성, 소프트웨어 결함, 보안 결함 또는 잘못된 구성을 제거하여 공격을 방지합니다. 이러한 노력은 질병의 확산을 방지하기 위해 세균을 제거하기 위한 손 씻기와 비슷합니다. Mark Rober는 세균이 얼마나 쉽게 확산되는지 보여주는 YouTube 동영상 “Germs Spread Experiment를 보는 방법”에서 이를 시연했습니다.
사이버 위생은 공격자가 네트워크에 침투할 수 있는 취약점 또는 위협을 제거하고자 한다는 점에서 의료 위생과 많은 병렬을 제공합니다. 우리는 모든 엔드포인트(즉, 모든 노트북, 데스크톱, 서버, IoT 장치, 클라우드 애플리케이션 등)가 어디에 있는지, 어떤 네트워크를 통해 연결되어 있는지에 관계없이 그 문제가 무엇인지 알아야 합니다. 실제로 보안을 유지하려는 모든 엔드포인트에 대한 사이버 위생 데이터를 지속적으로 수집해야 합니다. 또한 공격자를 물리치고 엔드포인트를 전체 운영 용량으로 복원하는 데 도움이 되는 처리 방법(IT 보안 정책 또는 엔드포인트 강화 모범 사례 고려)이 필요합니다. 기술적인 측면에서는 기술 환경이 완전히 작동하고 결함이 없어야 합니다. 뱅 접근 방식의 왼쪽 은 IT 운영 및 보안 환경을 최적의 상태로 유지합니다.
네 가지 사이버 위생 요구 사항을 더 자세히 살펴보겠습니다.
요구 사항 #1: 포괄적인 가시성
첫 번째 요구 사항은 조직의 데이터를 처리하거나 네트워크에 연결하는 모든 엔드포인트에 대한 가시성인 포괄적인 가시성입니다.
전체적인 가시성은 기본 모니터링 도구로 달성할 수 있는 분명한 목표인 것으로 보입니다. 실제로 엔드포인트 가시성은 대부분의 IT 조직, 심지어 사이버 보안에 크게 투자한 조직에게도 어려운 과제입니다. 조직에는 엔드포인트를 열거하는 많은 도구가 있으며 이러한 다양한 도구의 결과는 일관성이 없습니다. 이러한 불일치는 부적절한 엔드포인트 적용 범위와 환경의 불량한 BZO의 결과입니다. 도구가 배포되었지만 완전히 작동하지 않거나 도구가 전혀 배포되지 않았습니다. 엔터프라이즈 네트워크에 대한 세부적인 감사 결과 대부분의 조직에서 엔드포인트의 10-20%를 간과하는 것으로 나타났습니다.
왜 가시성의 격차입니까? 많은 엔드포인트 관리 제품은 특정 운영 체제 및 특정 유형의 장치에서 작동하는 것으로 제한되거나, 검색 알고리즘은 엔드포인트 관리 소프트웨어가 이미 설치된 장치에서만 작동합니다. 다시 말해, 이러한 제품은 이미 알고 있는 것에 대해 알고 있음을 확인할 수 있지만 Mark Rober의 YouTube 비디오에서 보이지 않는 세균인 간과할 수 있는 어떤 것도 발견할 수 없습니다. 그 결과, 사이버 보안 위협을 가하는 모든 엔드포인트 세트와 보안 팀이 관리한다고 생각하는 더 작은 엔드포인트 세트 사이에 차이가 있습니다.
안타깝게도 랜섬웨어 갱단과 같은 공격자는 조직의 기반을 확보하기 위해 하나의 엔드포인트만 침해하면 됩니다. 보안 팀은 엔드포인트 자산의 10% 또는 20%만으로는 단일 엔드포인트를 간과할 수 없습니다.
홈 오피스, 원격 업무 공간 및 클라우드 환경의 엔드포인트를 포함하여 환경의 모든 엔드포인트를 검색하고 관리할 수 있는 방법이 있는지 확인합니다. 그런 다음 사이버 위생에 대한 첫 번째 중요한 요구 사항을 충족하게 됩니다.
요구 사항 #2: 실시간 가시성
포괄적인 가시성을 확보한 후에는 로컬이든 원격이든 모든 엔드포인트의 상태에 대한 지속적인 실시간 가시성을 확보해야 합니다. 뱅 접근 방식의 기본은 결정 이점입니다. 이러한 이점은 엔드포인트 데이터에 의해 강화됩니다.
다음 질문에 답변할 수 있는지 확인하십시오.
- 어떤 유형의 엔드포인트입니까?
- 설치된 소프트웨어는 무엇입니까?
- 엔드포인트에 설치되고 구성되며 건전한 보안 도구는 무엇입니까?
- 엔드포인트에서 실행 중인 프로세스는 무엇입니까?
- 엔드포인트가 위험한 활동에 관련된 경우, 어떤 다른 엔드포인트와 통신하고 있었습니까?
보안 팀은 엔드포인트 데이터를 통해 이벤트 또는 위험을 강화 및 맥락화하여 이러한 질문에 신속하게 답변할 수 있어야 합니다. 비즈니스 기능은 엔드포인트가 KCT(Key-Cyber Terrain)의 일부인지 여부를 결정하지만, 실시간 가시성을 통해 공격자가 KCT 엔드포인트를 압수하는 경우 데이터와 위험을 맥락화할 수 있습니다. 공격이 진행 중인 경우 지난 달의 규정 준수, 변경 또는 구성 보고서를 참조하면 실시간 가시성과 대조적으로 최소한의 통찰력을 얻을 수 있습니다. 신속하고 효과적으로 대응하려면 소프트웨어 취약성과 위협을 이해할 수 있도록 현재 설치된 소프트웨어와 활성화되어 있는 소프트웨어를 알아야 합니다. 또한 언제든지 엔드포인트에서 무슨 일이 일어나고 있는지 확인할 수 있어야 합니다. 뱅 사고방식의 왼쪽 에 있는 사냥꾼이어야 합니다. 엔드포인트에 속하지 않는 프로세스, 활동 및 행동을 감지해야 합니다.
실시간 가시성은 계획, 의사 결정 및 위협 탐지를 가능하게 하는 핵심 요소입니다. 따라서 이는 사이버 위생의 필수 요소입니다.
요구 사항 #3: 심층 소프트웨어 가시성 – 소프트웨어 재료표(SBOM) 인사이트
에 처음 보고된 Log4Shell (또는 Log4j) 소프트웨어 취약성 (CVE-2021-44228)은 엔터프라이즈 사이버 보안의 작업을 2021년 12월 9일영구적으로 변경했습니다. 여기에서는 소프트웨어 업계에서 가장 신뢰받는 이름의 애플리케이션을 포함하여 수천 개의 상용 애플리케이션에 내장된 널리 사용되는 오픈 소스 소프트웨어 구성 요소가 공격에 취약한 것으로 밝혀졌습니다. 일부 시나리오에서 취약성은 사이버 범죄자가 프로세스 실행을 완전히 제어할 수 있게 하여 애플리케이션이 액세스할 수 있는 프로그램 또는 셸 명령을 실행할 수 있게 합니다.
대부분의 대규모 조직에서 Log4Shell 구성 요소는 상용 애플리케이션뿐만 아니라 내부적으로 개발된 애플리케이션에도 내장되어 검색 범위를 크게 넓혔습니다. Log4j 이 설치된 모든 위치를 찾을 수 있다고 가정할 때 패치를 사용할 수 있었습니다. 그러나 검색 프로세스는 어렵고 시간이 많이 걸리는 작업이었습니다. 그 이유는 범위가 너무 방대하고 많은 애플리케이션을 포함했기 때문일 뿐만 아니라 Log4Shell 개의 아티팩트가 JAVA 애플리케이션 내의 아카이브에 패키징되었기 때문입니다.
한편, 공격자들은 바빴습니다. 취약성이 발표된 후 72 시간 이내에 사이버 범죄자들은 취약성을 활용하여 800.000 개 이상의 공격을 시작했습니다.
Log4Shell 명은 사이버 보안 위생의 기준을 높였습니다. Log4Shell년 이전에 보안 팀은 애플리케이션 및 패치 수준을 추적하여 우수한 패치 관리를 연습할 수 있었습니다. Log4Shell년 이후 보안 팀은 인간의 눈에 보이지 않는 세균에 대해 돋보기 또는 적외선(IR)이 필요하다는 것을 깨달았습니다. 보안 팀은 네트워크에서 실행되는 모든 애플리케이션 및 서비스의 모든 구성 요소에 대한 가시성이 필요했습니다. 전투 헌터 용어에서 우리는 하루 중 모든 시간에 가시성을 원합니다. 위협, 취약성, 위생 및 준비 상태를 평가하기 위해 소프트웨어를 볼 수 있도록 야간 투시 고글이 필요합니다.
다시 말해, 보안 팀은 이제 소프트웨어 재료표(SBOM)에 대한 실시간 가시성을 필요로 합니다. SBOM은 언제든지 애플리케이션 또는 서비스를 구성하는 모든 구성 요소의 목록입니다. 이러한 수준의 상세한 분석만으로 보안 팀은 다음 소프트웨어 구성 요소 취약성이 발표될 때 대응할 준비가 될 수 있습니다. 또한 인기 있는 오픈 소스 라이브러리의 광범위한 사용, 소프트웨어의 복잡성 및 설계 결함 가능성을 고려할 때 Log4j 과 유사한 또 다른 발표는 불가피합니다.
2007 년에 개발된 역량은 SBOM Log4j 문제를 위해 설계되지 않았다는 점에 주목할 필요가 있습니다. 최신 기능은 확장 가능하고 적응 가능하며 민첩합니다. 최신 사이버 기능은 프로그램 내의 모놀리식 기능보다 컴퓨터 언어와 유사합니다. 여기서 기회와 업무가 사이버 성공의 이야기와 교차합니다. 사용자 지정 콘텐츠를 생성하는 기능은 미래의 위협을 파악하는 데 매우 중요합니다. 시간과 공간은 이 도전 과제에서 LimFac입니다. 모든 데이터가 필요한 것은 아니며, 적시에 올바른 조치를 취하기 위한 올바른 결정을 내리는 데 필요한 데이터만 필요할 수 있습니다.
이것이 바로 SBOM에 대한 통찰력이 이제 사이버 위생의 필수 요건인 이유입니다.
요구 사항 #4: 구성 변경(패칭 작업 및 소프트웨어 관리)
지금까지 모든 엔드포인트를 찾고 취약점과 위험을 이해하는 방법에 대해 이야기했습니다. 이제 패치를 설치하고, 활성 소프트웨어 관리를 사용하고, 각 엔드포인트를 적절히 구성하여 각 엔드포인트가 올바른 구성을 갖도록 함으로써 이를 강화할 방법이 필요합니다. 엔드포인트를 공격에 복구하려면 조직이 구성 차이를 최소화하는 예측 가능성이 필요합니다. 본질적으로 각 엔드포인트는 규정된 구성에 있습니다.
우리의 위생 비유를 지속하기 위해, 열악한 위생은 위험 인자를 발생시킨다. 반대로, 좋은 위생은 질병을 유발할 수 있는 세균을 제거하여 건강과 회복력을 증가시킨다. 이제 취약성, 잘못된 구성 및 이전 소프트웨어로부터 환경을 깨끗하게 유지하여 환경의 준비성을 개선하기 위해 뱅 접근 방식의 왼쪽 을 적용하겠습니다.
모든 조직은 패치를 설치하고 소프트웨어를 배포하는 데 사용하는 도구를 가지고 있습니다. 이러한 도구는 종종 시간과 노력을 소비하는 포인트 솔루션입니다. 그 효과는 시간과 노력을 통해 일상적인 결과를 달성하는 것입니다. 성능 지표가 중요하지만 사이버 준비 상태에 미치는 더 큰 영향은 모든 엔드포인트의 구성에 차이가 있습니다. 소프트웨어를 패치하고 배포하는 속도가 중요하지만 여러 구성을 지원하면 복잡성이 증가하고 규정 준수, 오래된 데이터 및 기록 보고서에 의해 주도되는 대응적인 접근 방식이 발생합니다. 이는 너무 많은 도구의 결과일 수 있으며, 이로 인해 구성 관리 프로세스가 복잡하고 단절될 수 있습니다. 또는 문제가 잘못된 도구, 조직 내 기술 지식 부채 및 구성 관리에 대한 “더 스마트하지 않고 더 열심히 일하기” 접근법일 수 있습니다.
장치를 스캔하고, 취약성을 평가하고, 패치를 설치하고, 패치가 실제로 설치되었는지 확인하고(많은 도구로 성공 보고서를 크게 과장할 수 있음), 감사 및 규정 준수를 위한 보고서를 생성하는 데 5~10개의 서로 다른 도구를 사용하는 경우, 워크플로 자체는 새로운 유형의 위험이 됩니다. 단계가 누락되거나 지연될 수 있습니다. 데이터 및 보고 형식은 다를 수 있습니다. 주요 세부 정보가 간과될 수 있습니다. 프로세스는 위험할 정도로 길어질 수 있습니다.
반면 효과적인 패치 관리 는 다음을 수행할 수 있습니다.
- 다른 엔드포인트 관리 도구 및 워크플로에서 수집한 패치 상태 및 SBOM에 대한 인텔리전스에 따라 작업
- 엔드포인트 또는 네트워크의 성능을 위태롭게 하지 않고 패치를 빠르고 효과적으로 설치
- 엔드포인트의 실시간 상태에 대한 보고서 생성
- 새로운 제로데이 공격이 발표될 때 보안 팀이 신속하게 문제를 찾아 해결할 수 있도록 지원
- 엔드포인트 운영 간의 원활한 핸드오프를 위해 엔드포인트 관리의 다른 측면과 통합
단일 플랫폼에서 도구를 중앙 집중화함으로써 기술 팀은 환경에 도입된 소프트웨어의 진위성을 보장하면서 패치 지연을 제거할 수 있으며, 그 결과 권위 있고 정확하며 사용 가능하고 적극적으로 관리되는 하나의 데이터 소스가 생성됩니다. 사실, 현대 디지털 IT 조직에는 많은 팀이 있으며, 각 팀은 뱅 접근 방식의 왼쪽 에서 헌팅을 확장하는 공통 사이트 그림이 필요합니다. 조직들은 모든 팀을 업무와 기회의 교차점으로 끌어올려 사이버 위생에 대한 네 번째 요건을 달성합니다. 이 교차점에서는 협업이 구성 차이를 최소화하고 네트워크가 항상 알려진 상태에 있도록 하는 활동을 추진할 수 있습니다.
사이버 위생: 사이버 준비의 필수 부분
4가지 사이버 위생 요구 사항을 해결하면 조직이 환경의 상태를 파악하고 이해할 수 있습니다. 그 결과 공격 표면을 줄이고 엔드포인트를 강화하며 엔드포인트 집합체가 깨끗하거나 취약점이 없도록 배치하는 사이버 준비 수준이 높아집니다. 조직 내 팀이 위협에 의해 알려진 공통의 시각 그림을 공유할 때 효과적인 엔드포인트 관리 솔루션을 통해 조직은 팀워크, 사이버 위생 및 엔드포인트 자산의 구성 분산에 대한 통찰력을 통해 환경을 형성할 수 있습니다. 이러한 인식 수준은 민첩성, 적응성 및 위협에 대한 인식을 가능하게 하는 의사 결정 이점을 제공합니다.
Tanium 플랫폼 과 패치 적용 및 규정 준수를 포함한 엔드포인트 관리에서 Tanium 플랫폼의 역할에 대해 자세히 알아보십시오.
