Google Cloud를 사용한 랜섬웨어 공격 완화

Last reviewed 2021-11-15 UTC

제3자가 계정 도용, 암호화, 데이터 도용을 목적으로 시스템에 침입하기 위해 만든 코드를 랜섬웨어라고 부릅니다. 랜섬웨어 공격을 완화하기 위해 Google Cloud는 공격에 대해 식별, 보호, 감지, 대응, 복구를 위한 제어 수단을 제공합니다. 이러한 제어 수단을 통해 다음 목표를 달성할 수 있습니다.

  • 위험을 평가합니다.
  • 위협으로부터 비즈니스를 보호합니다.
  • 지속적 운영 상태를 유지합니다.
  • 빠른 대응 및 복구를 지원합니다.

이 문서는 보안 설계자 및 관리자를 위한 시리즈 중 하나입니다. 조직이 Google Cloud를 사용해서 랜섬웨어 공격 효과를 완화할 수 있는 방법을 설명합니다. 또한 랜섬웨어 공격 순서와 랜섬웨어 공격 방지를 돕기 위해 Google 제품에 포함된 기본 제공되는 보안 제어 수단에 대해서도 설명합니다.

이 시리즈에 포함된 내용은 다음과 같습니다.

랜섬웨어 공격 순서

랜섬웨어 공격은 잠재적인 취약점을 찾으려고 시도하는 대규모 캠페인 또는 직접적인 캠페인으로 시작될 수 있습니다. 직접적인 캠페인은 식별 및 정찰과 함께 시작되며, 공격자가 취약한 조직 및 사용할 공격 벡터를 결정합니다.

랜섬웨어는 많은 공격 벡터가 있습니다. 가장 일반적인 것에는 악성 URL이 포함되었거나 노출된 소프트웨어 취약점을 악용하는 피싱 이메일이 있습니다. 소프트웨어 취약점은 조직에 사용되는 소프트웨어 포함된 것일 수도 있고 소프트웨어 공급망에 존재하는 취약점일 수도 있습니다. 랜섬웨어 공격자는 조직, 공급망, 고객을 공격 대상으로 삼습니다.

초기 공격이 성공하면 랜섬웨어가 스스로 설치되고 명령어 및 제어 서버에 접촉하여 암호화 키를 검색합니다. 랜섬웨어가 네트워크 전체로 확산되면 리소스를 감염시키고, 검색된 키를 사용해서 데이터를 암호화하고, 데이터를 무단 반출할 수 있습니다. 공격자는 암호화 키를 제공하는 조건으로 조직에 몸값(일반적으로 암호화 화폐)을 요구합니다.

다음 다이어그램은 식별 및 정찰에서 데이터 무단 반출 및 몸값 요구까지 이전 단락에서 설명한 일반적인 랜섬웨어 공격 순서를 요약해서 보여줍니다.

랜섬웨어 공격 순서

랜섬웨어는 감지하기 어려운 경우가 많습니다. Sophos에 따르면 조직이 랜섬웨어 공격을 발견하기까지 약 11일 정도 소요됩니다. FireEye에서는 평균 24일 정도가 소요된다고 보고합니다. 따라서 예방, 모니터링, 감지 기능을 미리 준비하고 공격이 발견되었을 때 조직이 이에 빠르게 대처할 수 있도록 준비하는 것이 매우 중요합니다.

Google Cloud의 보안 및 복원 제어 수단

Google Cloud에는 랜섬웨어 공격으로부터 고객들을 보호하기 위해 기본 제공되는 보안 및 복원력 제어 수단이 포함되어 있습니다. 이러한 제어 수단은 다음과 같습니다.

  • 정보 처리 수명 주기 전반에 걸쳐 보안으로 설계된 글로벌 인프라
  • 모니터링, 위협 감지, 데이터 손실 방지, 액세스 제어와 같은 Google Cloud 제품 및 서비스를 위한 기본 제공되는 보안 기능
  • 리전별 클러스터 및 글로벌 부하 분산기를 통한 고가용성
  • 쉽게 확장 가능한 서비스가 포함된 기본 제공 백업
  • 코드형 인프라 및 구성 가드레일을 사용하는 자동화 기능

Google Cloud Threat Intelligence for Chronicle 및 VirusTotal은 Google 인프라 및 제품들 간에 랜섬웨어를 포함한 많은 멀웨어 유형을 추적하고 대처합니다. Google Cloud Threat Intelligence for Chronicle은 Chronicle에 대해 위협 인텔리전스를 개발하는 위협 연구자들로 구성된 팀입니다. VirusTotal은 기업 내에서 멀웨어가 작동하는 방식을 더 효과적으로 이해할 수 있게 해주는 멀웨어 데이터베이스 및 시각화 솔루션입니다.

기본 제공되는 보안 제어 수단에 대한 자세한 내용은 Google 보안 백서 및 Google 인프라 보안 설계 개요를 참조하세요.

Google Workspace, Chrome 브라우저, Chromebook의 보안 및 복원 제어 수단

Google Cloud 내부의 제어 수단 외에도 Google Workspace, Google Chrome 브라우저, Chromebook와 같은 다른 Google 제품들에도 랜섬웨어 공격으로부터 조직을 보호하는 보안 제어 수단이 포함되어 있습니다. 예를 들어 Google 제품들은 ID 및 컨텍스트(위치 또는 IP 주소 등)에 따라 어디에서든 원격 작업자가 리소스에 액세스하도록 허용하는 보안 제어 수단을 제공합니다.

랜섬웨어 공격 순서 섹션에 설명된 것처럼 이메일은 랜섬웨어 공격자의 주요 벡터입니다. 허위 네트워크 액세스를 위해 사용자 인증 정보를 피싱하거나 랜섬웨어 바이너리를 직접 배포하는 데 악용될 수 있습니다. Gmail의 피싱 및 멀웨어 고급 차단 설정은 이메일 격리를 위한 제어 수단을 제공하고, 위험한 첨부파일 유형으로부터 시스템을 방어하며, 인바운드 스푸핑 이메일로부터 사용자를 보호합니다. 보안 샌드박스는 첨부파일에 이전에 알려지지 않은 멀웨어가 있는지 감지하도록 설계되었습니다.

Chrome 브라우저에는 영향을 받은 또는 악성 사이트에 액세스하려고 시도할 때 사용자에게 경고를 제공하도록 설계된 Google 세이프 브라우징이 포함되어 있습니다. 샌드박스 및 사이트 격리는 동일 탭의 여러 다른 프로세스 내에서 악성 코드가 확산되지 않도록 보호하는 데 도움이 됩니다. 비밀번호 보호는 회사 비밀번호가 개인 계정에 사용될 때 알림을 제공하도록 설계되었고, 사용자가 저장한 비밀번호 중 온라인 위반으로 손상된 것이 있는지 확인합니다. 이 시나리오에서는 브라우저가 사용자에게 비밀번호를 변경하라는 메시지를 표시합니다.

다음 Chromebook 기능은 피싱 및 랜섬웨어 공격으로부터 사용자를 보호하는 데 도움이 됩니다.

  • 읽기 전용 운영체제(Chrome OS). 이 시스템은 지속적으로 그리고 보이지 않게 업데이트되도록 설계되었습니다. Chrome OS는 최신 취약점들로부터 시스템을 보호하고 애플리케이션 및 표현식이 이를 수정할 수 없도록 보장하는 제어 수단을 포함하고 있습니다.
  • 샌드박스. 각 애플리케이션이 격리된 환경에서 실행되어 하나의 유해한 애플리케이션이 다른 애플리케이션을 쉽게 감염시킬 수 없습니다.
  • 자체 검사 부팅. Chromebook은 부팅되는 동안 시스템이 수정되었는지 확인하도록 설계되어 있습니다.
  • 세이프 브라우징. Chrome은 안전하지 않은 사이트에 대한 최신 세이프 브라우징 목록을 주기적으로 다운로드합니다. 세이프 브라우징은 사용자가 방문하는 각 사이트의 URL을 확인하고 목록에 따라 사용자가 다운로드하는 각 파일을 검사하도록 설계되었습니다.
  • Titan C 보안 칩. 이러한 칩은 2단계 인증을 사용 설정하여 피싱 공격으로부터 사용자를 보호하고 운영체제가 악의적으로 훼손되지 않도록 보호합니다.

조직의 공격 영역을 줄이기 위해서는 주로 브라우저로 작업하는 사용자에 대해 Chromebook 사용을 고려하세요.

다음 단계