[Security News] 사이버 모의훈련 했더니... 45개사 중 40개가 홈페이지 취약점 발견돼

과기정통부, 2021년 하반기 사이버위기대응 모의훈련 결과 발표
45개사 중 40개사 누리집에 숨어 있는 163개 보안취약점 발견·제거
50개사 중 32개사(62%)에서 서버 침투에 취약한 보안위협 확인·제거

과학기술정보통신부(이하 과기정통부)는 한국인터넷진흥원(이하 KISA)과 함께 최근 사이버침해 위기가 고조됨에 따라 민간기업 대상으로 실제 사이버 공격과 동일한 방식으로 지난 2021년 하반기 사이버위기대응 모의훈련을 실시하고 결과를 발표했습니다.

[이미지=unsplash]

2021년도 하반기 모의훈련은 지난 11월 1일부터 약 3주 동안 참여기업 285개사, 임직원 9만3,257명을 대상으로 ①해킹메일 전송 후 대응 절차 점검 ②디도스(DDoS) 공격 및 복구 점검 ③기업의 홈페이지 및 서버를 대상으로 모의침투를 진행했습니다.

▲모의침투 훈련 참여율[자료=과기정통부]

하반기 훈련 규모는 2021년 상반기(192개사, 8만 6,339명)와 비교 시 참여기업은 48.4% 증가·참가 임직원은 8% 증가했으며, 2020년 평균(81개사, 4만 3,333명) 대비해서도 기업 및 인원이 각 3.5배·2.1배 이상 증가해 기업들이 사이버 위협에 인식과 대응능력 향상에 관심이 높아지고 있음을 알 수 있었습니다.

해킹메일 훈련은 임직원을 대상으로 ‘프로그램 업데이트 안내’ ‘사내 코로나19 예방접종 대상자 안내’ 등 최근 이슈나 내부 직원을 사칭한 해킹메일을 발송해 열람하고, 첨부파일 등을 클릭해 악성코드를 설치하도록 유도하는 방식으로 진행했습니다. 해킹메일 열람율은 16.7%·감염율은 5.4%로 2021년 상반기(25.8%, 7.6%) 대비 각각 9.1%p, 2.2%p 감소했습니다. 특히 훈련에 재참여기업의 감염율은 3.6%로 신규 참여 기업의 감염율 8.0%에 비교 시 45% 낮게 나타나 훈련이 거듭될수록 대응능력이 향상됨을 알 수 있었고, 추가적으로 랜섬웨어 사례·예방수칙·복구 절차 등 정보보안 교육도 실시했습니다.

▲모의침투 훈련 결과[자료=과기정통부]

디도스 훈련은 참여 기업(44사) 누리집(홈페이지)에 실제 디도스 공격을 수행해 보안장비의 탐지시간 및 대응시간 측정, 신규 공격(자원 소진, 웹/데이터베이스 부하 공격 등)에 대응능력을 점검했습니다. 보안 투자 여력이 있는 대기업이 중소기업에 비해 상대적으로 우수한(탐지 4분, 대응 7분 단축) 것으로 나타났으며, 중소기업은 디도스 공격 유형 및 로그 분석에 미흡해 보안담당자 대응능력 향상 교육·원격보안관제 이용 안내·KISA의 디도스 사이버대피소 이용 안내를 했습니다.

모의 침투 훈련은 누리집과 웹서버 및 업무용 서버 대상으로 화이트해커가 침입 시도를 통해 보안 위협 노출 여부를 확인했습니다. 누리집은 총 45개사 중 40개사에서 총 163개의 숨어 있는 웹 취약점을 발견하고 신속하게 제거해 해킹 위협을 미연에 방지했습니다. 특히 이번 훈련에는 기업의 웹서버와 업무용서버를 대상으로 모의침투를 시도해, 참여기업 50개사 중 60%가 넘는 32개사에서 해킹 공격에 취약한 보안취약점을 이용해 시스템 제어권 획득·내부망 침투·주요 정보 탈취까지 가능한 것으로 확인했으며 발견된 취약점은 발견 즉시 제거했습니다.

홍진배 정보보호네트워크정책관은 “최근 아파치(Apache) Log4j에서 치명적인 취약점 발견으로 전 세계적으로 사이버위협이 증대되고 있는 만큼 정부에서 실시하는 모의훈련에 많은 기업들이 적극적으로 참여해 사이버위협 노출된 취약점을 사전에 파악하고 조치해 피해를 최소화해 줄 것을 당부한다”고 밝혔습니다.

아울러 올해 사이버위기대응 모의훈련은 2022년 사이버위협 전망 분석에서 도출한 다양한 사물인터넷기기를 대상 위협 증가, 메타버스 이용자 정보 탈취, 대체불가토큰(NFT) 관련된 권한 탈취 후 부정 판매 등에 대한 위협 대응 중심으로 시나리오를 개발해 추진할 계획입니다. 또한 기업들이 언제든지 훈련에 참여할 수 있도록 기업 환경을 고려한 맞춤형 상시 해킹 모의훈련 플랫폼을 구축할 예정이며, 훈련에 참여한 기업에게는 정보보호 공시에 정보보호를 위한 기업의 활동으로 적시하도록 안내할 예정이라고 밝혔습니다.

출처 : 보안뉴스,Technology vector created by freepik – www.freepik.com, 정보유출, DLP, GRADIUSDLP, 그라디우스, 데이터유출, 정보유출방지, 내부정보유출방지, 취약점, 시큐어코딩, 취약점진단, 취약점점검, 스패로우, sparrow, vada, 시스템취약점진단