씨큐비스타가 차세대 NDR 솔루션 패킷사이버(PacketCYBER) v3.0을 실제 고객사 운영망에 적용해 암호화된 악성 명령제어(C2) 통신을 복호화 과정 없이 탐지해냈다고 밝혔다. 업체는 이번 탐지가 암호화 트래픽 속 감염 단말을 복호화 없이 식별한 첫 실증 사례라고 설명했다.
이번에 드러난 정황은 악성코드에 감염된 단말이 도메인 생성 알고리즘(DGA)을 돌려 명령제어 도메인을 실시간으로 바꿔가며 외부 서버와 접속하던 흔적으로 이런 유형의 통신을 복호화 없이 잡아낸 것은 처음이라는 게 회사 측 설명이다. 탐지 주체는 패킷사이버 v3.0에 실린 암호화 트래픽 분석(ETA) 엔진 'EVA 분석 모듈'로 패킷 내부를 여는 대신 통신 메타데이터에 남은 패턴만 읽어 감염 단말을 정확히 특정했다.
씨큐비스타가 판단 근거로 삼은 지표는 도메인 질의가 그리는 패턴과 통신이 오가는 주기 그리고 연결 인프라가 몰려 있는 집약도 세 가지였고 이 값들만으로 암호문 속 C2 통신을 짚어냈다. 복호화 장비를 새로 들이거나 네트워크 성능을 떨어뜨리지 않고 얻은 성과여서 기술적 실효성까지 함께 입증됐다는 평가다.
나흘간의 관측에서 확인된 악성 신호는 다섯 갈래로 나뉘는데 무작위 문자열에 위장 서브도메인을 붙인 DNS 질의가 끊임없이 반복됐고 최상위 도메인(TLD)을 여러 개로 흩뜨린 11개 도메인이 돌아가며 사용됐다. DGA로 의심되는 주기적 콜백(비코닝) 신호는 이 기간 1,980건이 쌓였으며 정상 윈도우 다운로드 서비스를 위장한 도메인 명칭과 소수 IP 대역에 집약된 C2 인프라도 함께 포착됐다.
이번 성과가 의미를 갖는 배경에는 암호화 확산으로 기존 탐지 방식이 급속히 무력화되는 흐름이 자리한다. QUIC와 TLS 1.3의 암호화된 클라이언트 헬로(ECH)가 퍼지면서 전송 계층 헤더는 물론 서버 이름 표시(SNI)까지 가려졌고 내용물 검사에 의존하던 보안 장비의 사각지대가 빠르게 넓어지고 있다. 복호화 장비는 QUIC 구간에 곧바로 붙기 어려워 통신을 TCP로 되돌린 뒤 푸는 우회 방식을 써왔지만 ECH가 걸린 세션에서는 SNI조차 확인할 수 없어 무엇을 풀지 선별하는 정책 자체가 성립하지 않는다. 결국 일부 구간에 사내 인증서를 배포해 통째로 복호화하거나 나머지를 IP 기반 정책에 맡기는 선택만 남는 한계에 봉착한다.
모든 패킷을 저장하는 전수 저장(full packet capture) 방식 역시 이 한계에서 자유롭지 못한데 쌓인 데이터 대부분이 풀 수 없는 암호문이라 사후에 사건을 재구성하기 어렵고 저장 용량과 비용 부담만 커진다. 침해 조사의 무게중심이 데이터 내용물에서 암호화 이후에도 남는 통신 메타데이터로 옮겨가고 있는 이유다.
패킷사이버 v3.0은 이런 지형 변화에 13개 모듈을 하나로 묶는 방식으로 대응하는데 행위 규칙 기반 8종과 AI·머신러닝 이상 탐지 5종을 '앙상블·킬체인 분석 아키텍처'로 엮은 구조다. 개별 신호는 행위 기반 결정적 신호(D)와 위협 인텔리전스 기반 강한 신호(S) 그리고 행위 기반 약한 신호(W)로 등급이 갈리며 약한 신호는 단독으로 경보를 만들지 않는다. 이렇게 등급화된 신호들은 앙상블 분석과 킬체인 상관분석을 거쳐야 위협으로 확정되고 약한 신호가 반복되는 구간은 위협 헌팅 리드로 전환돼 분석가의 정밀 조사로 이어지면서 오탐과 미탐을 동시에 억제한다.
확정된 위협은 단건 경보에 머물지 않고 공격의 전체 맥락으로 확장되는데 국제 표준 분류 체계인 마이터 어택(MITRE ATT&CK) v18의 14개 전술과 146개 기법(TID·자사 산정 기준)에 연계해 공격 흐름 전반을 재구성한다. 이를 통해 보안관제 담당자는 개별 신호가 아니라 침해 맥락을 통째로 파악할 수 있다.
전덕조 씨큐비스타 대표는 "최신 암호화 프로토콜 확산으로 트래픽을 복호화해 확인하던 과거 방식의 적용 범위가 지속적으로 줄고 있다"며 "네트워크 내부에서 발생하는 행위를 관찰하고 공격 맥락을 파악하는 것이 차세대 보안의 핵심"이라고 강조했다. 이어 "패킷사이버 v3.0이 복호화 없는 가시성과 국제 표준 공격 분류 체계 기반 탐지를 바탕으로 네트워크 보안 시장에 새로운 기준을 제시할 것"이라고 전했다.
한편, 씨큐비스타는 EVA 분석 모듈을 탑재한 패킷사이버 v3.0의 고객사 보안관제센터 공급에 속도를 내고 있으며 AI로 고도화된 해킹 3.0 시대에 대응할 새로운 탐지 기준으로 자리 잡을 것으로 기대하고 있다고 밝혔다.
헬로티 구서경 기자 |
