메인 콘텐츠로 건너뛰기
고객 스포트라이트

Tanium 고객들이 최근 랜섬웨어 공격의 위험을 완화한 방법

Tanium은 WannaCry, Intel AMT 및 HP 오디오 드라이버 키로거를 포함하여 최근 몇 가지 취약점의 위험을 완화하기 위해 세계 최대 규모의 일부 네트워크에서 사용되었습니다. 각 취약성에 대해 당사는 비즈니스에 가장 적합한 완화 전략을 결정할 수 있는 선택의 자유를 고객에게 제공했습니다. 패치는 옵션이지만 유일한 옵션은 아닙니다. 다음은 당사의 가장 주목할 만한 성과와 다음 공격에 휘말리지 않기 위해 조직이 지금 취할 수 있는 5가지 단계에 대한 자세한 설명입니다.

전경에 빛나는 키보드가 있는 합성 이미지 및 바이너리 코드 오버레이가 있는 폭발

(이미지: Peter Linforth / Pixabay)

패치.

단어를 들을 때 느끼는 두려움의 수준은 관리하는 엔드포인트의 수에 직접적으로 비례합니다. 패치는 실패의 위험이 높고 올바르게 해낸 것에 대해 칭찬을 받을 가능성이 낮기 때문에 IT에서 감사 없는 집안일 규모에서 높은 순위를 차지합니다. 비즈니스에 종사하는 누구도 패치를 최신 상태로 유지했는지 여부를 알아차리지 못하며, 이를 시도하면 비즈니스에 중요한 애플리케이션이 다운됩니다. 그리고 누가 그들의 이름을 그와 같은 것에 붙이고 싶습니까?

간단히 말해, 이것이 바로 WannaCry의 결과입니다. WannaCry의 어려운 측면은 랜섬웨어로 이어지는 이벤트의 타임라인입니다. 2016년 말, Shadow Brokers로 알려진 해커 그룹이 등장하여 누출된 NSA 해킹 도구에 대한 경매를 발표했습니다. 유출 사실을 알게 된 후 Microsoft는 보안 업데이트 작업을 시작했습니다. Microsoft는 심지어 2월에  패치 화요일 (새 탭에서 열림)을 사상 최초로 취소하는  전례 없는 조치를 취했습니다. 안타깝게도 WannaCry 샘플은 한 달 동안 정상에 나타나기 시작했습니다. Microsoft는 년에 WannaCry에 대한 SMB 업데이트를 발표했습니다 2017년 3월. WannaCry는 에 (유의한) 도착 5월 12일하여 궁극적으로 150 개국의 230.000 개 엔드포인트에 영향을 미쳤습니다.

WannaCry는 유출된 NSA 도구와 익스플로잇에 대한 마지막 정보는 아닙니다. 사실, 보고서는 EternalRocks (새 탭에서 열림)라는 새로운 SMB 웜 과 Adylkuzz (새 탭에서 열림)로 알려진 새로운 암호 화폐 채굴자에 대해 드러나고 있습니다. 또한 시스템과 소프트웨어를 최신 상태로 유지하지 못했기 때문에 비즈니스에 성공할 수 있습니다.

2015 Verizon 데이터 침해 조사 보고서에 따르면, 악용된 공격의 99,9%는 1년 이상 식별된 취약점에서 발생했으며, 그 중 일부는 1999건으로 거슬러 올라갑니다. (Verizon은 2016 보고서에서 이 통계를 계산하지 않았지만, 그 숫자는 전년 대비 변하지 않았다고 언급했습니다.)

위험 완화: Tanium이 지원하는 방법

Tanium은  WannaCry, Intel AMT  및 HP 오디오 드라이버 키로거를 포함하여 최근 몇 가지 취약점의 위험을 완화하기 위해 세계 최대의 일부 네트워크에서 사용되었습니다. 각 취약성에 대해 당사는 비즈니스에 가장 적합한 완화 전략을 결정할 수 있는 선택의 자유를 고객에게 제공했습니다. 패치는 옵션이지만 유일한 옵션은 아닙니다. 주목할 만한 성과는 다음과 같습니다.

  • 수십만 개의 엔드포인트 환경이 있는 여러 고객의 SMBv1-enabled 개 시스템을 실시간으로 탐지합니다.
  • 레지스트리 변경을 통해 SMBv1 비활성화가 4분 이내에 완료됩니다.
  • 도메인이 연결/연결되지 않은 경우에도  MS17-010 게시판 (새 탭에서 열림)에 포함된 패치가 필요한 시스템을 실시간으로 감지합니다.
  • 네트워크에 영향을 주지 않고 시간 내에 테라바이트에 상당하는 집계 패치 배포(도메인 이외 연결/연결 시스템 포함).
  • 재부팅이 필요한 모든 시스템으로 재부팅 작업 전송(레지스터 변경 또는 패치 이후).
  • SMBv1 개의 비활성화, 패치 또는 재부팅이 필요한 새 시스템을 온라인으로 캡처하기 위해 저장된 작업이 마련되어 있습니다.
  • 시간이 지남에 따라 추세가 나타나는 복구 및 취약한 시스템에 대한 실시간 보고(트렌드를 통해).
  • Intel AMT 취약성은 고객 기반 전반에서 50% 이상 발현됩니다.
  • 인텔 AMT 완화(취약점을 악용할 수 있는 서비스 비활성화)는 Tanium에 의해 기업 전체에서 2분 이내에 달성되었습니다.
  • HP 키로거가 포함된 수천 개의 엔드포인트가 여러 고객에서 발견되어 몇 분 내에 복구되었습니다.

처음에 WannaCry에 대응하여 Microsoft가 발행한 패치를 해결하기 위해 SCCM을 사용하려고 시도한 두 명의 대규모 고객이 있었으며 SCCM으로 인한 네트워크 혼잡 문제로 인해 중지해야 했습니다. 이러한 고객은 패치 배포 를 위해 Tanium으로 전환했으며 SCCM 패키지를 생성하는 데 걸리는 시간보다 짧은 시간 내에 전체 엔터프라이즈를 완료할 수 있었습니다.

몇몇 고객은 도메인이 전혀 가입되지 않은 취약한 자산을 발견했으며, 따라서 Tanium 없이는 제대로 패치되지 않았을 것입니다.

거의 모든 고객이 전사적으로 SMBv1 건의 장애가 있다고 확신했습니다. 그러나 SMBv1이 없는 고객은 없었으며, 고객 전체의 평균은 7%로, SMBv1 가 활성화된 엔드포인트의 50% 이상 급증했습니다.

많은 경우, 레거시 프로세스는 개선된 기능을 방해했습니다. WannaCry 대응에서 WannaCry를 완화하기 위해 승인을 받은 시점부터 Tanium이 위협을 완화하기 위해 시정 조치를 내린 시점까지 프로세스가 8시간이 소요된 많은 사례를 보았습니다. 트리거 풀에서 완료까지 2분 미만이었습니다.

조직이 지금 취할 수 있는 5가지 단계

이러한 최근 사례에서 학습한 내용을 고려할 때, 다음 공격에 휘말리지 않도록 더 잘 준비할 수 있도록 조직이 지금 취할 수 있는 5가지 단계는 다음과 같습니다.

  1. 조직의 장애물을 평가합니다. 보안 및 IT 운영 팀이 함께 일하고 있습니까? 그렇지 않다면 마찰 영역은 어디에 있으며 이를 어떻게 해결할 수 있습니까?
  2. 환경을 파악합니다. CIO가 잠시 들러 네트워크에 패치되지 않은 장치가 몇 개 있는지 알려 달라고 요청하는 경우, 정확하게 답변할 수 있습니까? 귀하의 답변은 현재 상태 또는 일주일 전에 수집한 정보에 기반합니까?
  3. 레거시 프로세스가 사용하는 기술의 개선된 기능을 얼마나 자주 방해하는지 고려하십시오.
  4. 인프라를 중단합니다. WannaCry 사고에서 가장 많이 인용된 문제 중 하나는 레거시 앱이 설치된 환경에서 운영 체제를 업데이트하는 문제였습니다. 구식 OS를 평생 지원해야 하는 비즈니스 크리티컬 애플리케이션을 실행하고 있다면 벤더 관계를 재고해야 할 때입니다.
  5. 다양한 추정치에 따르면 랜섬웨어 공격의 최대 83%는 직원이 악성 링크를 클릭하거나 감염된 첨부 파일을 열거나 침해된 웹사이트를 방문할 때 발생합니다. 피싱 공격 으로부터 보호하기 위해 직원을 위한 지속적인 교육에 투자하는 것이 1차 방어선이어야 합니다.

보안 위생 관행이 가능한 한 강력합니까? 귀사는 다음 공격을 견딜 준비가 되어 있습니까? 당사가 도울 수 있는 방법에 대해 자세히 알아보십시오. 지금 보안 위생 평가를 예약하십시오.

자세히 알아보기:

Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.

저자 소개: 최고 고객 책임자로서 Charles Ross는 고객에게 Tanium 비전을 제공하는 팀을 이끌고 있습니다. 확장 가능한 엔드포인트 관리는 비즈니스를 안정적이고 빠르게 운영 및 보호합니다. Tanium에 입사하기 전에는 McAfee에서 영업 전 엔지니어링, 솔루션 아키텍처 및 IT 보안 분야에서 다양한 리더십 역할을 맡았습니다. McAfee 이전에는 Deloitte & Touché의 기업 리스크 컨설턴트로 근무했습니다. Charles는 플로리다 대학교에서 이학사 학위를 받았습니다.