David Damato와 Kris McConkey의 Q&A
Tanium 최고 보안 책임자 David Damato 및 PwC UK 사이버 보안 파트너 Kris McConkey는 세계 최대 기업 및 기관의 네트워크 내에서 사이버 범죄자와 싸우는 최전선에서 경력을 쌓았습니다. Tanium과 PwC는 보안 및 IT 운영 팀이 침입 을 탐지하고 대응하는 방법을 혁신하기 위해 파트너십을 맺음으로써 Dave 및 Kris와 자리를 잡고 쇼핑에 대해 이야기하고 새로운 파트너십이 게임을 어떻게 변화시킬지 논의했습니다.
왜 Tanium인가? PwC 고객은 Tanium의 기능을 통해 무엇을 얻습니까?
Kris McConkey: 당사는 정기적으로 침해를 처리하기 위해 클라이언트 환경에 전화를 받으며, 특정 데이터를 요청할 때마다 클라이언트가 실제로 엔드포인트에 들어가 특정 아티팩트를 파악할 수 있는 가시성 또는 방법이 없다는 말을 자주 듣습니다. 이 경우, 침입자가 환경에서 어디에 있는지 정확히 파악하는 데 도움이 되는 디지털 이동 경로를 수집하는 데 몇 시간 또는 며칠이 걸릴 수 있습니다. 우리는 다른 사고 중에서도 다중 대륙 스파이 침입을 다루고 있었으며, 일반적으로 모든 문제를 처리하기 위해 현장간 팀을 보유한다는 개념에서 벗어나야 했습니다. 세계 최대 규모의 조직 중 일부를 상대하고 있기 때문에 사고 분석을 대규모로 처리하는 데 도움이 되는 것이 필요했습니다. 우리는 기업 환경에 대한 훨씬 더 원격적인 조사와 실시간 분석을 가능하게 하는 무언가를 원했습니다.
그래서 엔드포인트 위협 탐지 영역에서 솔루션을 찾기 시작했습니다. 몇 가지를 살펴보았는데, Tanium이 환경에서 원하는 모든 것을 수행할 수 있을 만큼 충분히 유연한 유일한 솔루션이라는 것을 알게 되었습니다. 즉, 우리가 개발한 다른 솔루션의 분석을 위해 환경에서 모든 원격 측정을 추출하고 엔드포인트에서 실제로 일어나는 일을 관찰할 수 있으며, 또한 우리가 생성하는 모든 위협 인텔리전스와 서명을 IT 자산으로 푸시하여 엔드포인트가 실제로 이동하고 일부 분석을 수행할 수 있도록 하고 검색하는 것입니다.
우리는 Tanium 플랫폼의 유연성에 즉시 매진했습니다. 일반적으로 우리는 스스로를 “강력한 사용자”라고 생각하며 많은 맞춤형 제품을 설계할 수 있습니다. 다른 많은 솔루션은 너무 닫혀서 마음에 들지 않았습니다.
David Damato: 지난 10년 동안 컨설팅 서비스를 수행 및 주도해온 저는 각 컨설팅 계약이 고유하다는 것을 이해합니다. 결과적으로 컨설턴트는 각 고객의 고유한 과제를 해결하기 위해 엄청난 유연성을 허용하는 도구를 갖추어야 합니다. Tanium은 이러한 유연성을 제공합니다. 이는 광범위한 표준, 사용자 지정 콘텐츠 개발 및 잘 문서화된 API를 통한 다른 도구와의 통합을 지원합니다. PwC의 Kris와 그의 팀은 이미 이러한 유연성과 아키텍처를 활용하여 고객을 위한 맞춤형 솔루션을 제공하고 있습니다.
나는 PwC와 그 고객이 직면한 도전과제와 관련이 있다. 조직들은 복잡한 사고를 조사하고 환경 내의 위험에 대한 가시성을 높일 수 있는 방법을 찾는 데 도움을 요청하고 있습니다. Tanium 플랫폼을 통해 PwC의 전문가는 이전에는 사용할 수 없었던 엔드포인트 아티팩트를 신속하게 잠금 해제할 수 있습니다. 중요한 데이터를 얻을 수 있는 이 새로운 가시성과 속도는 이전 세대의 엔드포인트 기술에 의존하는 다른 컨설팅 업체보다 Kris와 그의 팀에 경쟁 우위를 제공합니다.
경력 기간 동안 위협 환경이 어떻게 변화하고 있습니까? 밤에는 무엇이 잠자리에 드나요?
Dave: 솔직히 위협 환경은 크게 변하지 않았습니다. 이것이 문제입니다. 공격자 전술은 5년 또는 10년 전에 관찰된 침해와 비교적 비슷하지만, 현재 3년 또는 4년 전에 비해 더 많은 침해가 발생하고 있습니다.
가장 우려되는 점은 공격자가 현재 운영하는 속도입니다. 대부분의 공격자는 환경에서 거점을 빠르게 확보하고 매우 짧은 시간 내에 내부로 이동하는 방법을 이해합니다. 지금은 며칠 또는 몇 주가 걸리는 데 몇 시간이 걸립니다. 따라서 조직은 공격을 매우 신속하게 탐지하고 해결할 수 있어야 합니다. 이는 엔드포인트에 대한 Tanium의 속도와 작업 수행 능력이 고객과 대화하는 이유 중 하나입니다.
Kris: APT 침입의 타임라인에 대해 생각해 보면 현재 미국과 영국 모두 10 년 이상 문제가 되었으며, 문제의 규모가 크게 증가하고 그 기간 동안 다른 많은 국가에 영향을 미치고 있습니다. 매우 흥미롭고 놀랍게도 더 많은 플레이어가 게임에 참여하는 것을 보고 있습니다. 년 2014년 11월에는 12 개 국가 간에 분산된 그룹을 추적했습니다. 지난 9 개월 동안만, 이 목록은 추가로 8 개국이 성장했습니다.
시장에 진입하는 새로운 플레이어가 실제로 이 활동을 점점 더 많이 하는 것을 보는 것은 흥미롭습니다. 데이브가 말했듯이, 오래된 플레이어가 많고 여전히 오래된 트릭으로 성공하고 있지만, 실제로 진보된 것들 중 일부는 그 정도를 깨닫기만 하면 상당히 두려워합니다.
데이터 침해의 최전선에서 일할 때 가장 놀라운 점은 무엇입니까?
크리스: 우리 업무의 가장 흥미로운 측면 중 하나는 체이스의 스릴입니다. 클라이언트가 네트워크에 침입자가 있다는 것을 알지만 정부 기관에 의해 유출되었을 수 있는 경우, 익숙하지 않은 네트워크에서 처음 몇 시간 또는 며칠 동안 사냥을 하고, 공격자가 어디에 숨어 있는지에 대한 증거를 찾고, 공격자가 어느 것인지를 결정하는 것이 빠르고 집중적인지 알지 못하는 경우.
놀라운 점은 이러한 사람들이 발견할 때마다 어떻게 반응하는지입니다. 우리는 일부 공격자가 발견한 것을 알게 된 후 그 행동의 포괄적인 변화를 목격했습니다. 데이브는 여러 사례에서 이를 보게 될 것입니다. 그 사례들은 우리가 그것을 찾는 방법을 해결하여 일종의 회피적 조치를 취할 수 있도록 하려고 시도합니다. 이는 우리가 하고 있는 일이 수작업 전투와 동등한 디지털이라는 점을 상기시켜 줍니다. 말 그대로 인간 대 인간입니다.
데이브: 공격자가 탐지 없이 네트워크를 침해할 수 있다는 사실에 여전히 놀랍습니다. 대부분의 조직은 바이러스 백신 또는 네트워크 센서와 같은 솔루션을 사용하여 공격을 탐지하고 있습니다. 우리 모두는 바이러스 백신이 그다지 효과적이지 않다는 것을 알고 있습니다. 하지만, 또한 조직이 네트워크 센서를 인식하지 못해 엔드포인트에서 실제로 발생한 일을 파악할 수 없으며 암호화된 트래픽을 검사하도록 설계되지 않은 것 같습니다. 이 트래픽은 인터넷 트래픽의 20%에서 50%까지 발생할 수 있습니다.
조직은 엔드포인트에 집중해야 합니다. 이는 필요한 모든 정보의 출처입니다. 해당 정보를 빠르고 규모에 맞게 얻을 수 있다면 거의 모든 질문에 답변할 수 있습니다. 네트워크에 몇 개의 호스트가 있습니까? 패치가 적용되었습니까? 보안 제어 상태는 어떻습니까? 엔드포인트에서 의심스러운 활동이 보입니까? 그렇다면 어떤 일이 발생했으며 어떤 조치를 취해야 합니까? 이것이 바로 많은 조직이 Tanium의 가치를 실현하는 이유입니다.
Orion(Tanium 공동 창립자 겸 CTO)은 최근 다음과 같이 말했습니다. “네트워크 주변의 경계에 대한 아이디어가 완전히 사라졌습니다.” 동의하십니까?
크리스: 전적으로 동의합니다. 이는 지난 5 년 동안에도 조직에 있어서 가장 중요한 변화 중 하나입니다. 자산을 방어하는 방법을 살펴보면 5 년 전에 명확한 경계가 있었습니다. 조직의 네 개 벽 안에는 모든 것이 잘 들어갔습니다. 이것이 바로 나쁜 사람들을 외부에 두고 적절한 접근 권한을 가진 사람들을 내부로 옮길 수 있도록 보호해야 했던 것입니다. 그러나 원격 근무, 모바일 인력, 개인 기기 가져오기 등을 통해 조직은 실제로 현재 위치를 완전히 파악하기가 어렵습니다.
Dave: 물론 5년 또는 10년 전에는 모든 자산이 회사 소유이며 고정되어 있으므로 네트워크와 경계를 쉽게 정의할 수 있습니다. 오늘날 우리는 휴대폰, 태블릿, 클라우드 서비스 및 저렴한 휴대용 스토리지를 보유하고 있습니다. 장치와 데이터는 더 이상 벽으로 둘러싸인 잘 정의된 네트워크의 경계에 구속되지 않습니다. 이것이 바로 조직들이 네트워크에서 장치의 수, 유형 또는 보안에 대한 간단한 질문에 답하는 데 어려움을 겪고 있는 이유입니다. 모든 것이 너무 빠르게 변화하고 있기 때문에 그들은 알지 못합니다. 이는 분명 고객이 고유한 아키텍처를 사용하여 문제를 해결할 수 있도록 지속적으로 지원하는 영역입니다.
사이버 보안에 대한 복원력을 높이기 위해 IT 조직은 무엇을 해야 합니까?
데이브: 사이버 보안에 탄력적이라는 것은 사고에 대응하고 신속하게 적응할 수 있다는 것을 의미합니다. 대부분의 사고에 대응하여 IT 부서는 환경에서 공격자 또는 보안 취약점을 신속하게 제거하도록 설계된 일련의 작업 인 복구를 완료할 책임이 있습니다. 이는 취약성 패치 적용, 로컬 관리 계정 보안, 호스트 기반 방화벽 수정 또는 멀웨어 제거를 의미할 수 있습니다. Tanium 플랫폼을 사용하여 이러한 작업을 신속하게 처리할 수 있으므로 부정적인 보안 이벤트에 보다 탄력적으로 대응할 수 있습니다.
IT는 보안 위생이라는 용어에 적극적으로 집중해야 합니다. 여기에는 최신 패치 설치, 보안 구성에 대한 무단 변경 식별 및 자산 추적이 포함됩니다. 많은 침해는 잘못된 구성, 관리되지 않는 자산 또는 패치되지 않은 시스템의 결과 입니다. IT 부서는 이러한 영역에 대한 올바른 가시성을 확보하면 사고를 방지하는 데 큰 영향을 미칠 수 있으며, 이는 보안 복원력을 개선하는 데 중요합니다. 우리는 고객의 IT 조직 중 다수가 보안 팀과 협력하여 Tanium을 사용하여 이러한 영역을 해결하는 것을 확실히 볼 수 있습니다.
Kris: IT는 일반적으로 보안 과 관련하여 몇 가지 일을 매우 잘 할 수 있는 능력이 필요합니다. 일종의 임시 방식으로 할 수 있는 많은 것들이 있지만, 절대적으로 핵심인 몇 가지 것들이 있습니다. 이는 주로 조직에서 일어나는 일을 실시간으로 계측할 수 있는 능력, Tanium Trace와 같이 조직에서 일어나는 일을 역사적으로 이해할 수 있는 능력, 복구 조치를 취하고 실시간으로 일을 집행할 수 있는 능력입니다. 예를 들어, 특정 위협 공격자를 식별하는 경우, 특정 프로그램의 취약성을 악용하여 거의 실시간으로 어떤 프로그램이 이에 취약한지 판단한 다음 실제로 패치를 적용할 수 있습니다.
이러한 3개 또는 4개의 서로 다른 영역에 있는 대부분의 조직은 각각 며칠 또는 몇 주가 걸릴 수 있습니다. Tanium과 같은 프로그램을 마련하면 이러한 모든 것을 몇 분으로 줄일 수 있으므로 대부분의 IT 운영에서 큰 도움이 될 것입니다.
침입에 대한 뉴스를 전달할 때 고객은 어떻게 반응합니까?
크리스: 그들 중 일부는 이를 기술적 문제로 다루고 있으며, 악성코드를 제거하고 일부 사용자 계정을 재설정할 때마다 이야기의 마지막이라고 생각합니다. 점점 더 많은 조직들이 실제로 이를 비즈니스 문제로 취급하고 있습니다. 이는 우리가 잃어버린 데이터이며, 이것이 향후 비즈니스 계획에 어떤 영향을 미치는지, 누구에게 알려야 하는지, 우리가 잃은 것이 있다면, 사람들에게 무엇을 말해야 하는지에 대한 법적, 규제적 및 윤리적 의무는 무엇인지를 의미합니다.
특히 새로운 침입에 대처하는 데 도움을 줄 때 성숙도가 높은 고객은 공격자가 성공한 것으로 보는 위치와 공격자가 스스로 성공한 것으로 보는 위치 사이에 약간의 차이가 있다는 것을 깨닫고 있다고 생각합니다. 따라서 공격자가 네트워크에 침입하는 시점에는 실제로 그들이 찾은 것을 얻지 못했습니다. 그들은 아마도 특정 데이터를 얻는 임무를 맡았을 것입니다. 따라서 우리는 조직들이 네트워크에서 이들을 찾아 퇴출시킬 수 있는 곳에서 그들이 얻게 된 것을 얻는 시점과 그들 사이에 기회가 있습니다. 이 기간은 Tanium이 제공하는 가시성이 매우 유용한 시기입니다. 이러한 사람들이 들어오면 네트워크 주변을 이동하는 것만큼 은밀해지기 위해 노력합니다. 은밀하게 행동할 수 있는 능력을 빼앗으면 그들의 움직임을 훨씬 더 잘 비추기 시작합니다. 즉, 침입에 대한 '저류 시간'이 크게 단축됩니다.
Dave: 각 클라이언트는 사고에 다르게 대응합니다. 귀하는 대응이 계획되어 있기를 희망합니다 . 조직은 IR 계획을 수립하고 모든 관련 이해관계자를 신속하게 모을 수 있습니다. 또한 준비된 조직은 엔드포인트, 네트워크, 로그 및 조사 중에 필요할 수 있는 기타 정보에 대한 정보에 즉시 액세스할 수 있습니다. 준비가 되지 않은 조직은 환경, 로그 데이터 또는 주요 이해관계자에 대해 잘 이해하지 못하는 경우가 많습니다. 그 결과, 준비되지 않은 조직은 종종 장기 사고를 경험합니다. Tanium은 고객이 모든 엔드포인트에 대한 탁월한 가시성으로 침해 사고에 대비할 수 있도록 지원하여 조직이 침해 사고가 선언된 후 답변을 검색하지 못하도록 합니다.
Tanium이 회사를 확보하기 위해 경쟁사보다 더 잘하는 것은 무엇입니까?
Dave: 많은 보안 벤더는 단일 문제를 해결하는 데 중점을 둡니다. 멀웨어를 찾거나 시스템을 패치하는 것일 수 있습니다. 보안과 관련된 문제는 하나의 수정 사항이 없다는 것입니다. 제한된 수의 스마트 인력이 수행해야 하고 성숙한 프로세스에 의해 제어되어야 하는 많은 작업이 있습니다.
이러한 포인트 솔루션과 달리 Tanium은 플랫폼입니다. 최대 규모의 조직에서도 모든 엔드포인트에 15 초의 가시성을 제공합니다. 이러한 속도와 유연성을 통해 조직은 하나뿐만 아니라 많은 보안 문제를 해결할 수 있습니다. 이 플랫폼은 다양한 IOC 형식을 검색하고, 비정상적인 동작을 모니터링하고, 엔드포인트를 패치하고, 구성을 모니터링하고, 관리되지 않는 자산을 검색하거나 사고에 조사 및 대응하는 데 사용할 수 있습니다.
또한 플랫폼의 속도와 단순성을 통해 소규모 팀은 필요한 정보에 보다 신속하게 액세스하고, 주요 작업을 자동화하고, 일반적인 허브 및 스포크 아키텍처와 관련된 복잡한 아키텍처를 지원하는 데 소요되는 시간을 줄일 수 있습니다. 또한 사용 가능한 API와 새로운 콘텐츠를 개발할 수 있는 기능을 통해 조직은 기존 프로세스 및 기타 포인트 솔루션과 플랫폼을 통합할 수 있습니다.
PwC가 플랫폼을 사용하여 경쟁사와 차별화하는 방법을 이미 보고 있습니다. Kris와 그의 팀은 IR 도구와 추적 모듈을 사용하여 증거를 수집하고 공격자 활동을 이전에 가능했던 것보다 더 빠르게 모니터링합니다. 파일을 검색하거나 실행 중인 모든 프로세스를 수집하는 데 며칠이 아닌 몇 초가 걸립니다. 마찬가지로 PwC는 취약점, 잘못된 구성 및 사용자 권한에 대한 즉각적인 가시성을 확보하여 공격을 신속하게 복구할 수 있습니다.
사이버 보안과 관련하여 주요 다국적 기업의 CEO에게 한 가지 조언을 한다면 어떨까요?
Kris: 조직이 근본적으로 의존하는 데이터, 조직 주변에서 데이터가 흐르는 방식, 관련된 시스템 및 그 위치를 이해합니다. 이 시점에서 공격자가 이러한 시스템 또는 데이터에 액세스하기를 원하는 것과 이를 얻을 수 있는 방법에 대한 포괄적인 그림을 개발하여 방어 및 보안 투자를 적절하게 맞춤화할 수 있습니다.
데이브: 내가 대화하는 거의 모든 CEO는 보안에 대해 우려하지만, 항상 조직의 보안 상태에 대해 올바른 질문을 할 주제별 전문 지식을 가지고 있지는 않습니다. 본인은 항상 CEO와 이사회 구성원이 조직의 보안 상태를 측정하기 위해 다음과 같은 기본 질문을 할 것을 권장합니다.
- 조직에서 보관하는 가장 중요한 데이터는 무엇이며 어디에 있습니까?
- 공격자가 이전에 설명한 중요한 데이터를 훔칠 수 있는 세 가지 이상의 시나리오를 제공합니다.
- 이전 시나리오에서 공격자가 중요한 데이터를 훔치지 않도록 하기 위해 어떤 보호 조치를 구현했습니까?
- 마지막 내부 침투 테스트는 언제 수행되었습니까? 네트워크에서 수행된 마지막 내부 침투 테스트의 결과는 무엇이었으며 이러한 결과는 어떻게 해결되었습니까?
- 테이블탑 사고 대응 연습을 마지막으로 수행한 것은 언제입니까? 결과는 무엇이었으며 어떻게 해결되었습니까?
PwC의 “Tanium Accelerators”에 대해 자세히 말씀해 주시겠습니까?
Kris: 대부분의 경우 Tanium Accelerators 프로그램은 [PwC]가 클라이언트 업무에서 Tanium을 직접 사용하는 방식에 맞게 설계 및 조정됩니다.
첫 번째 가속기는 효과적으로 위협 인텔리전스 피드입니다. 우리는 우리가 수행하는 모든 연구, 사고 대응 업무에서 얻는 모든 새로운 인텔을 Tanium이 자동으로 이를 사용하고 배포할 수 있는 방식으로 사용할 수 있습니다.
두 번째는 PwC가 Tanium을 위해 작성한 콘텐츠에 대한 효과적인 액세스입니다. 주요 용도는 위협 탐지 및 조사입니다. Tanium은 조사 중에 액세스하려는 거의 모든 포렌식 아티팩트를 되돌릴 수 있는 많은 사용자 지정 패키지를 작성했습니다. 그런 다음 사용자는 고객 요청에 대한 사용자 지정 콘텐츠를 작성할 수도 있습니다.
세 번째는 사고 대응에 대한 원격 헌팅 팀 서비스를 허용합니다. 조직이 성숙한 위협 헌팅 팀 또는 사고 대응 팀을 보유하고 있지 않고 해당 기능을 아웃소싱하고자 하는 경우, 우리는 효과적으로 최상위 Tanium에 앉고 환경을 스위핑하여 기존 보안 기술이 누락된 요소를 식별할 수 있습니다.
넷째, 프로세스 설계, 워크플로 관리, CMDB 시스템, 취약성 관리 시스템 또는 솔기 솔루션 등 여러 팀 및 시스템과의 통합 등 약간 더 전통적인 컨설팅 서비스입니다.
마지막으로, PwC가 실제로 시장에서 매우 고유한 역량을 보유하고 있는 곳은 PwC의 자체 로펌입니다. 세계 최고의 데이터 프라이버시 및 보호 전문가 중 일부는 이 서비스를 사용했습니다. 당사는 고객에게 법률 자문을 제공하고 데이터 프라이버시 영향 평가를 효과적으로 수행하여 Tanium 라이선스를 최대한 활용할 수 있습니다. 이들은 해당 국가의 개인정보 보호 규정을 넘기지 않고 Tanium을 사용할 수 있습니다.
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
