백신 프로그램이나 차세대 방화벽, IPS/IDS와 같은 네트워크 장비 등은 IT 인프라를 보호하는데 중요한 역할을 한다. 하지만 엄청난 양의 사용 기록 속에 섞여 있는 악의적인 활동을 찾아야 하며, 멀웨어 또는 악의적인 요인이 탐지망을 벗어난 경우 보호가 어렵게 된다.

IT 인프라를 겨냥하고 있는 공격은 잠재적으로 수백만건이나 된다. 이러한 잠재적인 공격을 모두 식별하고 방어하기 위해 노력하기 보다는 공격할 수 있는 표면을 없애는 방식이 필요하다. 서버에 필수적인 응용 프로그램만 실행을 허용하고, 중요한 파일과 폴더에 꼭 필요한 사람 외에는 접근할 수 없도록 하고, 중요한 메모리를 보호해야 한다.

기본적으로 Linux와 Windows는 임의 접근 제어 도구가 탑재되어 있는데, 이는 파일의 소유자가 모든 사람에게 접근 권한을 부여할 수도 있고, 루트 계정이 모든 파일을 제어할 수 있는 방식이다. 개인이 사용하기에는 충분하지만 서버를 보호하려면 보안을 더 강화할 필요가 있다.

SELinux, MIC, AppGuard와 같은 도구는 임의접근제어의 취약점을 보완할 수 있지만, 도구가 서로 통합되지 않고 분리되어 관리가 까다롭고, 보호 매커니즘도 여전히 OS 내부에서 동작하는 방식이어서 OS의 취약점을 공격한 보안위협에 대응이 어렵다.

시스템이 공격받지 않도록 하는 확실한 방법 중 하나는 멀웨어를 포함하여 불필요한 모든 응용 프로그램의 실행을 막거나, 실행하기 위해 필요한 리소스에 접근하는 것을 차단하는 것이다. 즉, 중요 데이터에 대한 접근 및 실행에는 최소 권한만을 주는 것이다.

아파치는 서버를 보호하는 몇 가지 기능을 기본적으로 제공하지만, 중요한 원칙 중 하나는 소유자의 계정과 그룹에서 아파치를 실행하도록 하여 다른 계정의 중요한 파일에 접근할 가능성을 차단하는 것이다. 이와 같은 사이버 위생 요소와 SELinux 또는 비슷한 시스템을 결합하면 서버 보안에 크게 도움 될 수 있다. 하지만 구성 자체가 어려우며 사용자 입장에서 불편할 수 있다.

그래서 제안하는 것이 가상화 공간에서의 화이트리스트 방식이다. 하이퍼바이저 계층에서 화이트리스트 방식의 어플리케이션 제어, 파일접근제어와 중요 메모리 보호 기능을 제공한다면 사실상 공격할 수 있는 여지가 없어지는 셈이다.

중요한 파일에 대한 접근을 특정하기보다 사용자와 프로세스에 특정 파일에만 접근을 허용하면 이 프로세스가 간단해 진다. 필요한 프로세스를 특정 운영 영역으로 쉽게 제한할 수 있다. 루트 취약점의 경우를 대비하여 루트의 접근 권한도 일반 서버 운영으로 제한할 수 있다.

비 인가된 응용 프로그램의 실행을 막고, 필요한 서비스와 프로그램만 접근과 실행이 가능하도록 하는 최소 사용 권한으로 중요한 데이터를 안전하게 보호할 수 있다.

조슈아(Joshua Maughon) | 수산아이앤티, eReD 팀 책임 연구원

#화이트리스트#방화벽#최소권한#멀웨어#하이퍼바이저