랜섬웨어는 서드 파티가 시스템에 침입하여 데이터를 계정 도용, 암호화, 도용하기 위해 만든 코드입니다. 랜섬웨어 공격을 완화하기 위해 Google Cloud 공격에 대해 식별, 보호, 감지, 대응, 복구하는 데 필요한 제어 기능을 제공합니다. 이러한 제어 수단을 통해 다음 목표를 달성할 수 있습니다.
- 위험을 평가합니다.
- 위협으로부터 비즈니스를 보호합니다.
- 지속적 운영 상태를 유지합니다.
- 빠른 대응 및 복구를 지원합니다.
이 문서는 보안 설계자와 관리자를 대상으로 합니다. 여기에서는 랜섬웨어 공격의 진행 단계와 Google Cloud 가 조직의 랜섬웨어 공격 영향을 완화하는 방법을 설명합니다.
랜섬웨어 공격 순서
랜섬웨어 잠재적인 취약점을 찾기 위한 대규모 캠페인으로 시작되거나, 특정 대상을 겨냥한 지향형 캠페인으로 시작될 수 있습니다. 지향형 캠페인은 식별 및 정찰 단계에서 시작되며, 이 단계에서 공격자는 어떤 조직이 취약한지, 그리고 어떤 공격 벡터를 사용할지를 결정합니다.
랜섬웨어 공격에는 다양한 공격 벡터가 존재합니다. 가장 일반적인 공격 벡터는 악성 URL을 포함한 피싱 이메일 또는 공개된 소프트웨어 취약점을 악용하는 것입니다. 이러한 소프트웨어 취약점은 조직에서 사용하는 소프트웨어에 있을 수도 있고, 소프트웨어 공급망 내에 존재할 수도 있습니다. 랜섬웨어 공격자는 조직 자체뿐 아니라 그 공급망과 고객까지도 공격 대상으로 삼습니다.
초기 공격이 성공하면, 랜섬웨어는 시스템에 자기 자신을 설치하고 C&C(Command and Control) 서버에 연결하여 암호화 키를 가져옵니다. 랜섬웨어가 네트워크 전체로 퍼지면서 리소스를 감염시키고, 가져온 키를 이용해 데이터를 암호화하며, 데이터를 외부로 유출할 수 있습니다. 공격자는 일반적으로 암호화폐 형태로 몸값을 요구하며, 그 대가로 복호화 키를 제공하겠다고 합니다.
다음 다이어그램은 식별 및 정찰 단계에서 데이터 유출 및 몸값 요구 단계에 이르기까지의 전형적인 랜섬웨어 공격 순서를 요약한 것입니다.
랜섬웨어는 감지하기 어려운 경우가 많습니다. 따라서 예방, 모니터링, 감지 기능을 미리 준비하고 공격이 발견되는 즉시 빠르게 대응할 수 있도록 준비하는 것이 매우 중요합니다.
Google Cloud의 보안 및 복원력 제어 기능
Google Cloud 에는 고객이 랜섬웨어 공격으로부터 보호받을 수 있도록 지원하는 기본 제공되는 보안 및 복원력 제어 기능이 포함되어 있습니다. 이러한 제어 기능에는 다음이 포함됩니다.
- 정보 처리 수명 주기 전반에서 보안을 고려하여 설계된 글로벌 인프라
- 모니터링, 위협 감지, 데이터 손실 방지, 액세스 제어 등 다양한 Google Cloud 제품과 서비스에 기본 제공되는 감지 기능
- Assured Workloads와 같은 기본 제공 예방 제어 기능
- 리전별 클러스터 및 전역 부하 분산기를 통한 고가용성 기능
- 확장 가능한 서비스 기반의 기본 제공 백업 기능
- 코드형 인프라와 구성 가드레일을 활용한 자동화 기능
Google Threat Intelligence, VirusTotal, and Mandiant Digital Threat Monitoring 은 Google 의 인프라와 제품 전반에서 랜섬웨어를 포함한 다양한 멀웨어를 추적하고 대응합니다. Google Threat Intelligence는 제품을 위한 위협 인텔리전스를 개발하는 Google Cloud 전문 연구팀입니다. VirusTotal은 기업 내에서 멀웨어가 작동하는 방식을 더 효과적으로 이해할 수 있게 해주는 멀웨어 데이터베이스 및 시각화 솔루션입니다. Mandiant Digital Threat Monitoring 및 기타 Mandiant 서비스는 위협 연구, 컨설팅, 사고 대응 지원을 제공합니다.
기본 제공되는 보안 제어 기능에 대한 자세한 내용은 Google 보안 개요와 Google 인프라 보안 설계 개요를 참조하세요.
Google Workspace, Chrome 브라우저, Chromebook의 보안 및 복원력 제어 기능
Google Cloud내의 제어 기능 외에도, Google Workspace, Google Chrome 브라우저, Chromebook와 같은 다른 Google 제품에도 조직을 랜섬웨어 공격으로부터 보호할 수 있는 보안 제어 기능이 포함되어 있습니다. 예를 들어 Google 제품은 원격 근무자가 사용자의 신원(identity) 및 상황(예: 위치 또는 IP 주소)을 기준으로 어디서든 리소스에 액세스할 수 있도록 하는 보안 제어 기능을 제공합니다.
앞선 랜섬웨어 공격 순서 섹션에 설명했듯이, 이메일은 많은 랜섬웨어 공격의 핵심 벡터입니다. 이메일은 사용자 인증 정보를 탈취하여 불법적으로 네트워크에 액세스하거나, 랜섬웨어 바이너리를 직접 배포하는 데 악용될 수 있습니다. Gmail의 고급 피싱 및 멀웨어 방지 기능은 이메일 격리, 위험한 첨부파일 유형 차단, 인바운드 스푸핑 이메일 방어 등을 위한 제어 기능을 제공합니다. 또한 보안 샌드박스는 첨부파일 내 미확인 멀웨어가 있는지 감지하도록 설계되었습니다.
Chrome 브라우저에는 사용자가 감염되거나 악성 사이트에 액세스하려 할 때 경고를 제공하는 Google 세이프 브라우징 기능이 포함되어 있습니다. 또한 샌드박스 및 사이트 격리 기능은 동일한 탭 내의 여러 다른 프로세스 간에 악성 코드가 확산되는 것을 방지합니다. 비밀번호 보호 기능은 기업용 비밀번호가 개인 계정에서 사용될 때 알림을 제공하고, 사용자가 저장한 비밀번호가 온라인 침해 사고로 유출되었는지 확인합니다. 이 경우 브라우저는 사용자가 비밀번호를 변경하도록 알림을 표시합니다.
다음은 Chromebook 기능에서 피싱 및 랜섬웨어 공격으로부터 보호하기 위한 주요 기능입니다.
- 읽기 전용 운영체제 (Chrome OS): 이 시스템은 지속적으로 자동으로 업데이트되도록 설계되었습니다. Chrome OS는 최신 취약점들로부터 시스템을 보호하고 애플리케이션 및 표현식이 이를 수정할 수 없도록 보장하는 제어 수단을 포함하고 있습니다.
- 샌드박스: 각 애플리케이션이 격리된 환경에서 실행되므로, 하나의 유해한 애플리케이션이 다른 애플리케이션을 쉽게 감염시킬 수 없습니다.
- 자체 검사 부팅: Chromebook이 부팅되는 동안 시스템이 변경되지 않았는지를 검사하도록 설계되어 있습니다.
- 세이프 브라우징: Chrome은 안전하지 않은 사이트에 대한 최신 세이프 브라우징 목록을 주기적으로 다운로드합니다. 이러한 목록을 기준으로 사용자가 방문하는 각 사이트의 URL과 다운로드하는 파일을 검사합니다.
- Google 보안 칩: 운영체제를 악의적인 변조로부터 보호합니다.
조직의 공격 표면을 줄이기 위해, 주로 브라우저 환경에서 작업하는 사용자는 Chromebook 사용을 고려해 보시기 바랍니다.
Google Cloud에서 랜섬웨어 공격을 완화하기 위한 권장사항
기업 리소스 및 데이터를 랜섬웨어 공격으로부터 보호하기 위해서는 온프레미스 및 클라우드 환경 전반에 걸쳐 다층적 제어 체계를 구축해야 합니다.
다음 섹션에서는 조직이 에서 랜섬웨어 공격을 식별, 예방, 감지, 대응할 수 있도록 지원하는 권장사항을 설명합니다. Google Cloud
위험 및 애셋 식별
다음은 에서 위험과 자산을 식별하기 위한 권장사항입니다. Google Cloud
- 에서 리소스 인벤토리를 유지합니다 Google Cloud.
- 감사 로그를 사용합니다.
- Security Command Center Premium의 공격 경로 시뮬레이션을 사용하여 현재 위험 프로필을 평가합니다.
- 위험 보호 프로그램을 통해 제공되는 사이버 보험 옵션을 검토합니다.
- 데이터 검사를 위해 Sensitive Data Protection을 사용 설정합니다.
리소스 및 데이터 액세스 제어
다음은 리소스 및 데이터 액세스를 제한하기 위한 권장 사항입니다. Google Cloud
ID 및 액세스 관리 (IAM) 권한을 정기적으로 분석하고 개선합니다.
워크로드 아이덴티티 제휴를 사용합니다.
서비스 계정 보호에 대한 권장사항은 서비스 계정 사용 권장사항을 참조하세요.
핵심 데이터 보호
민감한 정보를 보호하기 위해 다음 권장사항을 고려하세요.
데이터를 저장하는 클라우드 스토리지 옵션에 중복 구성 (N+2)을 설정합니다. Cloud Storage를 사용하는 경우 다음 사항을 고려하세요.
- Cloud Storage 버킷 보관 정책이 버킷 잠금을 사용하는지 확인합니다.
- Cloud Storage 버킷에 버전 관리를 적용합니다.
백업 및 재해 복구 전략을 구현합니다.
서비스 계정 키를 순환합니다.
네트워크 및 인프라 보호
네트워크와 인프라를 보호하기 위해 다음 권장사항을 고려하세요.
- 코드형 인프라를 사용하여 보안 기준을 설정합니다.
- VPC 서비스 제어를 사용 설정합니다.
- Cloud VPN 또는 Cloud Interconnect를 사용하여 하이브리드 연결을 보호합니다.
- 방화벽 규칙과 함께 Cloud Load Balancing을 사용합니다.
다음과 같은 제한적 조직 정책 을 구현합니다.
- Agent Platform Workbench 사용자 관리형 노트북 및 인스턴스에서 루트 액세스를 사용 중지합니다.
- Cloud SQL 공개 IP 주소를 제한합니다.
- VM 직렬 포트 액세스를 사용 중지합니다.
- 보안 VM 기능을 사용 설정합니다.
워크로드 보호하기
워크로드를 보호하기 위해 다음 권장사항을 고려하세요.
- 소프트웨어 개발 수명 주기의 모든 단계에 보안을 통합합니다. Google Kubernetes Engine (GKE) 워크로드의 경우 소프트웨어 공급망 보안을 구현합니다. 신뢰할 수 있는 빌드 및 애플리케이션 격리 등이 포함됩니다.
- 포드 간 트래픽을 제한합니다..
- Cloud Build와 On-Demand Scanning을 함께 사용하여 코드 커밋 전에 취약점 스캔을 실행합니다.
- 아티팩트 의 취약점 스캔을 구성합니다.
- Binary Authorization 을 적용합니다.
- Google Cloud Armor 정책을 사용합니다.
- GKE 클러스터를 최신 상태로 유지합니다.
공격 감지
공격을 감지하기 위해 다음 권장사항을 고려하세요.
- Cloud Logging을 사용하여 서비스 로그를 관리 및 분석하고 Google Cloud 및 Cloud Monitoring을 통해 서비스 및 리소스의 성능을 측정합니다.
- 조직 수준에서 Security Command Center를 사용 설정합니다.
- VM 및 컨테이너화된 워크로드의 런타임 위협 감지를 위해 Wiz Defend와 Wiz Runtime Sensor를 사용하여 활성 위협을 감지하고 대응합니다.
- 심층 보안 분석과 위협 헌팅을 위해 Google Security Operations와 통합합니다.
사고 대응 계획
랜섬웨어 사고 대응 플레이북을 작성하고 모의 훈련을 수행합니다. 복구 절차를 정기적으로 연습하여 대비 상태를 유지하고, 부족한 부분을 식별합니다.
공격 보고 의무를 이해하고, 플레이북에 관련 기관 연락처 정보를 포함합니다.
공격 대응 및 복구
랜섬웨어 공격이 감지되면 사고 대응 계획을 즉시 활성화하세요. 사고가 오탐이 아니며 실제로Google Cloud 서비스에 영향을 미치는 것이 확인되면 P1 지원 케이스를 개설하세요. Cloud Customer Care는 Google Cloud: 기술 지원 서비스 가이드라인에 명시된 절차에 따라 대응합니다.
계획이 활성화되면 조직 내에서 사고 조정 및 해결 프로세스에 참여해야 하는 팀을 소집합니다. 사고를 조사하고 해결하기 위한 도구 및 프로세스가 사전에 준비되어 있는지 확인합니다.
사고 대응 계획에 따라 랜섬웨어를 제거하고 환경을 정상 상태로 복구합니다. 공격의 심각도와 사용 설정된 보안 제어 수준에 따라 계획에는 다음과 같은 활동이 포함될 수 있습니다.
- 감염된 시스템 격리
- 정상 백업에서의 복구
- CI/CD 파이프라인을 사용하여 이전의 검증된 정상 상태로 인프라 복원
- 취약점이 제거되었는지 검증
- 유사한 공격에 노출될 수 있는 모든 시스템 패치
- 동일한 유형의 공격을 방지하기 위한 추가 보안 제어 구현
대응 절차를 진행하는 동안, Google 지원 티켓을 지속적으로 모니터링합니다. Customer Care는 필요한 경우 내에서 Google Cloud 사용자 환경을 격리, 제거, 복구하는 데 필요한 조치를 취합니다.
사고가 해결되고 환경이 복원되면 이를 Customer Care에 알리세요. 예약된 일정이 있으면 Google 담당자와의 공동 회고 분석 활동에 참여합니다.
사고로부터 얻은 교훈을 반드시 기록하고, 동일한 공격이 재발하지 않도록 필요한 보안 제어를 추가하세요. 공격의 유형에 따라 다음과 같은 조치를 고려할 수 있습니다.
- 동일한 공격이 재발할 경우 자동으로 감지하도록 감지 규칙 및 알림을 만듭니다.
- 사고 대응 플레이북을 업데이트하여 교훈을 반영합니다.
- 회고 결과를 바탕으로 보안 상황을 강화합니다.
다음 단계
- Mandiant 컨설턴트에게 사이버 방어 평가를 의뢰하세요.
- 보안 권장사항 카탈로그에서 추가 권장사항을 검토하세요.
- Google의 사고 관리 방법은 데이터 사고 대응 프로세스를 참조하세요.