“기존 보안 제품은 누군가 공격당한 뒤에야 탐지 규칙을 만듭니다. 최초 피해자인 '페이션트 제로(patient zero)'를 보호하려면 공격자가 인프라를 준비하는 단계부터 찾아야 합니다.”
켄 배그널 사일런트 푸시 공동창업자 겸 최고경영자(CEO)는 최근 본지와 만나 공격 이후 대응하는 기존 사이버 보안 체계에서 벗어나 선제 방어 체계로 전환해야 한다며 이같이 말했다.
사일런트 푸시는 공격자가 도메인과 인터넷주소(IP), 서버 등 공격 인프라를 만들고 관리하는 과정을 추적하는 사이버 보안 스타트업이다.
최근 공격자들은 인프라를 짧은 주기로 교체하며 공격에 활용해, 기존 탐지 규칙만으로는 대응이 늦어질 수 있다. 사일런트 푸시는 공격에 이미 사용된 침해 지표를 제공하는 데 그치지 않고, 앞으로 공격에 활용될 가능성이 있는 인프라를 미리 식별해 고객이 선제적으로 차단하도록 지원한다.
배그널 CEO는 파이어아이 재직 시절 기존 보안 제품이 최초 공격을 막기 어렵다는 한계를 확인하고 사일런트 푸시를 2020년 창업, 3년 뒤인 2023년 솔루션을 시장에 선보였다.
그는 “우리는 인터넷 전체를 하나의 네트워크처럼 취급한다”며 “공격자가 고객사 내부에 침입한 뒤 벌이는 행동이 아니라 인터넷에서 공격 인프라를 구축하고 테스트하는 방식을 살펴본다”고 설명했다.
사일런트 푸시는 인터넷에서 시시각각 변하는 기술적 관계를 '인터넷 컨텍스트 그래프'로 구성한다. 공격 조직이 반복적으로 사용하는 도메인 설정 방식과 서버 구성, 인증서 발급, 인프라 구매·시험 패턴 등을 분석해 특정 공격 캠페인과 연결한다.
회사는 이렇게 발견한 정보를 '미래 공격 지표(IOFA)'라고 부른다. 특정 랜섬웨어나 국가 배후 해킹 조직이 조만간 사용할 가능성이 있는 IP와 도메인을 고객에게 제공하는 방식이다. 고객은 이를 방화벽 등 기존 보안 시스템에 적용해 관련 통신을 차단할 수 있다. 응용프로그램인터페이스(API)를 통해 기존 보안 솔루션과 연동할 수도 있다.
사일런트 푸시는 기존 위협 인텔리전스(TI) 기업과 경쟁하지만, 공격 이후 관련 정보를 제공하는 TI보다 앞서 공격 가능성을 파악할 수 있다는 점을 차별점으로 내세웠다.
배그널 CEO는 “랜섬웨어 조직은 수일에서 약 10일 전, 국가 배후 지능형지속위협(APT) 조직은 경우에 따라 100일 이상 앞서 공격 인프라를 포착할 수 있다”고 말했다.
주거용 프록시도 주요 탐지 대상이다. 공격자는 해외에서 발생한 트래픽을 국내 가정용 IP에서 접속한 것처럼 위장해 실제 위치를 숨기고, 현지 이용자로 보이게 해 로그인이나 서비스 접근을 시도할 수 있다.
배그널 CEO는 “사일런트 푸시는 프록시 뒤에 있는 트래픽의 실제 출처를 알려줄 수 있는 세계 거의 유일한 서비스”라며 “한국에서는 1만500개가 넘는 IP 주소가 중국에서 발생한 트래픽을 라우팅하고 있다”고 말했다.
한국 시장은 크라비스커뮤니티와 협력해 공략하고 있다. 배그널 CEO는 “국가 정보·수사기관과 주요 은행, 대기업을 중심으로 사일런트 푸시의 선제 방어 체계를 확산해 나가겠다”고 말했다.
박진형 기자 jin@etnews.com
