타늄(Tanium)의 기술 계정 관리자들은 멜트다운(Meltdown) 및 스펙터(Spectre) 마이크로프로세서 취약점을 해결하기 위해 고객사와 긴밀히 협력하고 있습니다. 다음은 가시성 확보, 패치 관리, 성능 모니터링, 탐지 및 대응 분야에서 저희가 지원하기 시작한 몇 가지 방법을 살펴보겠습니다.
(이미지: 게랄트 / Pixabay)
‘멜트다운(Meltdown)’과 ‘스펙터(Spectre)’로 명명된 현대 프로세서 하드웨어의 두 가지 주요 보안 결함으로 인해, 사이버 보안 및 IT 전문가들은 기기의 보안을 강화하기 위해 분주히 움직이고 있다. 이 문제의 영향을 받는 마이크로프로세서는 데스크톱 컴퓨터부터 서버, 심지어 클라우드 기반 인프라에 이르기까지 전 세계 거의 모든 컴퓨터에 탑재되어 있습니다. 멜트다운과 스펙터는 복잡한 일련의 하드웨어 취약점을 포함하고 있기 때문에, 단일 해결책만으로는 쉽게 해결할 수 없습니다. 이러한 문제를 해결하려면 IT 팀과 보안 팀이 협력하여 다음 조치를 수행해야 합니다:
- 하드웨어 및 기타 자산을 파악하고 목록을 작성한다;
- 호환성 테스트;
- 영향을 받는 하드웨어, 운영 체제 및 애플리케이션에 패치를 적용하고; 그리고
- 시스템 성능을 모니터링합니다.
타늄(Tanium)의 기술 계정 관리자(TAM)들은 고객사와 협력하여 타늄 플랫폼을 활용해 이러한 과제를 해결하고 있습니다. 다음은 가시성 향상( ), 패치 관리(), 성능 모니터링( ), 위협 탐지 및 대응()을 지원하기 위해 저희가 시작한 몇 가지 방법을 소개합니다.
가시성
조직은 이러한 취약점의 영향을 받는 하드웨어가 포함된 모든 시스템의 전체 목록을 수집해야 합니다. Spectre는 인텔, AMD, ARM 프로세서에 모두 적용되는 반면, Meltdown은 인텔 프로세서에만 적용됩니다. Tanium의 핵심 기능은 “CPU 세부 정보 확인”과 같은 간단한 명령을 통해 CPU 제조사 및 프로세서 세부 정보를 포함한 포괄적인 하드웨어 정보를 수집할 수 있게 해줍니다. 이를 통해 멜트다운(Meltdown)에 특히 취약한 인텔 하드웨어를 실행 중인 시스템을 파악하는 데 도움이 될 수 있습니다.
Tanium Asset은 하드웨어, 운영 체제, 소프트웨어, 패치 및 사용자 데이터를 비롯한 수십 가지 엔드포인트 속성을 통합하고 정리하여, 정확하고 완전한 인벤토리 보고서를 생성함으로써 이 내용을 한 단계 더 발전시킵니다.
이 데이터가 필요한 이유는 단순한 CPU 사양을 훨씬 뛰어넘습니다. 웹 브라우저와 같은 많은 타사 애플리케이션이 스펙터(Spectre)의 영향을 받고 있으며, 향후 업데이트가 필요할 것입니다. 이 문제가 광범위하기 때문에, 조직들은 자사 환경에 설치된 취약한 소프트웨어의 버전에 대해 수개월 동안 확실하게 가시성과 통제력을 유지해야 할 것입니다.
패치
멜트다운 문제를 해결하기 위해 기업들은 OEM 공급업체들이 제공하는 운영 체제 및 하드웨어 패치를 복합적으로 적용해야 할 것입니다. Meltdown 및 Spectre 웹사이트에는 최신 공급업체 공지 및 업데이트에 대한 링크 목록이 게시되어 있습니다. 그러나 다른 패치 작업과 마찬가지로, 해당 패치를 대규모로 신속하게 배포하고, 설치 여부를 확인하며, 예상치 못한 결과가 발생할 경우 시정 조치를 취하는 것은 어려운 일이 될 수 있습니다.
Tanium 아키텍처는 단일 Tanium 서버가 수십만 대에 달하는 시스템 전반에 걸쳐 패치와 지원 파일을 효율적으로 배포하고 설치할 수 있도록 설계되었습니다. Tanium Patch는 이를 기반으로, 에서 제공하는 Windows 패치 관리 및 배포 기능을 강화하여, 일정 설정, 블랙리스트 및 사용자 지정 워크플로우 등의 강력한 기능을 제공합니다. Tanium의 추가 기능을 통해 Linux, OS X, Solaris 및 AIX 플랫폼에 패치 및 기타 사용자 정의 가능한 패키지를 배포할 수 있습니다. 지난 1년 동안 Tanium의 기술 계정 관리자들은 (WannaCry와 같은) 과거 사고를 계기로 고객사와 협력하여, 고객사의 패치 프로그램의 속도와 효율성을 획기적으로 개선할 수 있도록 지원해 왔습니다.
이러한 문제들에 또 다른 변수가 더해졌는데, 마이크로소프트는 일부 안티바이러스 소프트웨어가 Windows 패치와 호환성 문제를 일으켜 블루스크린이나 기타 오류가 발생할 수 있다고 밝혔습니다. 자동 업데이트로 인해 시스템이 작동하지 않게 될 위험을 줄이기 위해, 마이크로소프트는 안티바이러스 소프트웨어가 (예: 호환성 업데이트/핫픽스 적용 시) 해당 패치와 함께 작동할 수 있음을 증명하기 위해 특정 레지스트리 값을 설정하도록 요구하고 있습니다.
Tanium 고객은 “레지스트리 키 값 존재 여부”와 같은 센서를 사용하여, 이 값이 설정된 시스템과 설정되지 않은 시스템을 몇 초 만에 파악할 수 있습니다. ‘설치된 애플리케이션’ 정보를 제공하는 쿼리 및 센서와 연동하여, 조직은 바이러스 백신 업데이트 상태를 추적하고 필요한 레지스트리 변경 사항이 적용되었는지 확인할 수 있습니다.
성능 모니터링
이 패치들을 통해 적용된 완화 조치는 특정 워크로드의 경우 프로세서 성능에 부정적인 영향을 미칠 수 있습니다. 오버헤드의 정확한 정도는 사용 중인 소프트웨어 및 하드웨어의 유형에 따라 상당히 달라지는 것으로 보입니다. 이러한 불확실성은 성능이 매우 중요한 시스템을 운영하거나, 과부하 상태의 하드웨어에 가상 머신을 구축하고 있거나, 클라우드 호스팅 환경에 대한 예산을 정확하게 책정해야 하는 조직들에게 어려움을 안겨줄 것입니다.
Tanium은 Windows, Linux, OS X 및 Unix 시스템 전반에 걸쳐 프로세스별 CPU 사용량 및 애플리케이션 사용 현황을 포함한 상세한 성능 지표를 확인할 수 있는 기능을 제공합니다. 이 데이터를 기반으로 추세를 분석함으로써, 조직은 시간 경과에 따른 성과(및 기타 엔드포인트 데이터 세트나 지표)를 손쉽게 시각화하고 추적할 수 있습니다. 패치를 적용하기 전에 이 작업을 수행하면, 영향을 받는 각 시스템 그룹의 현재 리소스 사용량을 기준치로 파악하는 데 도움이 될 수 있습니다. 패치를 적용한 후에는 프로세서 동작의 변경 범위를 검증하고, 성능 저하 현상이 나타나거나 변경이 필요한 시스템을 신속하게 파악하는 데 도움이 될 수 있습니다.
탐지 및 대응
연구진에 따르면, 스펙터(Spectre) 및 멜트다운(Meltdown) 취약점을 악용하는 기법들은 일반적인 애플리케이션 동작과 구별하기 어려울 수 있다. 조직은 자사의 EDR 또는 악성코드 방지 도구가 이러한 유형의 공격을 탐지할 것이라고 기대해서는 안 됩니다. 그러나 이러한 취약점을 악용하려면, 공격자는 먼저 대상 엔드포인트에서 악성 코드를 실행할 수 있는 권한을 확보해야 합니다. 이러한 전제 조건 덕분에, 팀들은 Spectre나 Meltdown을 이용해 시스템 침해 후 페이로드를 전달하기 전에 공격을 완화할 기회를 갖게 됩니다. 조직들은 공격자가 초기 접근 권한을 확보하고, 거점을 마련하며, 표적 환경 전반으로 이동할 수 있게 하는 “최소 공통 분모” 전술을 근절하는 데 계속해서 주력해야 한다.
Tanium Threat Response는 MITRE ATT&CK 프레임워크에 따라 분류된 공격자의 기법 단계들을 포함하여, 악성 활동을 탐지하고 조사하기 위한 종합적인 솔루션을 제공합니다. Tanium의 엔드포인트 탐지 및 대응(EDR) 팀은 고객에게 정기적으로 업데이트되는 ‘Signals’ 피드를 제공하여 실시간 경보를 발령하고, 이상 징후를 식별하는 데 도움이 되는 엔터프라이즈 헌팅 워크플로를 지원합니다. 또한 Threat Response는 타사 IOC 피드 및 평판 정보 제공업체에 대한 폭넓은 지원을 제공합니다.
멜트다운과 스펙터의 발견을 이끈 놀라운 연구 성과와 영향을 받은 기기의 방대한 규모를 고려할 때, 이 두 취약점이 ‘획기적인’ 취약점으로 평가받는 것은 지극히 타당하다. 그럼에도 불구하고, 영향을 받은 자산을 파악하는 것부터 시정 조치를 시행하고 그 결과를 모니터링하는 것에 이르기까지, 위험에 대응하고 이를 완화하는 데 필요한 보안 운영의 기본 원칙은 여전히 익숙한 내용입니다. 앞서, 갑작스러운 정보 유출 사태에 대응하는 데 이미 고객사들에게 도움을 주고 있는 Tanium 플랫폼의 여러 방법과 구성 요소에 대해 설명했습니다. 이 사안이 더 전개됨에 따라, 저희는 계속해서 관련 업무를 수행하고 상황에 맞춰 최신 정보를 제공해 드리겠습니다.
Tanium 커뮤니티에 참여하여 Meltdown 및 Spectre에 대응하는 데 저희가 어떻게 도움을 드릴 수 있는지 자세히 알아보세요.
Tanium이 실제로 어떻게 작동하는지 궁금하신가요? 와 1:1 데모를 예약하거나 주간 웨비나에 참여해 보세요. 에서 개최될 예정인 행사()에서 Tanium 전문가들과 상담해 보세요.
