2016 년 춘계 과학 수사 학술 세미나 - 대구 지검 의 단성 한 검사 님 발표 요약 
 Automating Detection of Known Malware through Memory Forensics Automating Detection of Known Malware through Memory Forensics 
 2016 . 09 . 28 조회 1926 
 지난 9 월 28 일 에 는 한국 인터넷 진 흥원 ( 이하 KISA ) 에서 ' 사이버 침해 사고 정보 공유 세미나 ' 가 열렸 습니다 . 분기 마다 한 번 씩 열리 는 것 같 은데 , 이번 이 16 년 3 분기 였 습니다 . 
 세미나 의 목적 은 유관 기관 전문가 들 에게 최근 침해 사고 분석 사례 를 바탕 으로 분석 방법 과 취약점 점검 , 기타 법률 상식 등 을 공유 하 는 자리 입니다 . 다행히 저 도 참여 의 기회 가 주어져서 신청 하 였 고 다녀올 수 있 었 습니다 . 
 KISA 방문 은 처음 이 었 는데 , 지하철 3 호 선 경찰병원역 ( 가락동 ) 인근 에 위치 해 있 습니다 . 
 대한민국 서울특별시 송파구 가락본동 중대 로 135 
 건물 15 층 에 위치 한 대 강당 에서 진행 되 었 습니다 . 
 본 행사 에서 는 별도 의 휘황찬란 ( ? ) 한 의전 행사 는 없 었 습니다 . 정보 공유 협력 센터 에 계시 는 연구원 분 께서 짧 게 한 말씀 격려 를 해 주 시 고 , 바로 본론 으로 진행 되 었 습니다 ^^ 
 김정희 정보 공유 협력 센터 장 
 1 _ 윈도우 _ 침해 사고 _ 사례 _ 및 _ 분석 _ 방법 . pdf 
 2 _ 리눅스 서버 _ 침해 사고 _ 유형 _ 및 _ 분석 기법 . pdf 
 3 _ 최근 _ 취약점 _ 악용 _ 사례 _ 및 _ 보안 점검 방법 . pdf 
 4 _ 보안 실무자 가 _ 알 아야 _ 할 _ 법률 상식 . pdf 
 제 가 대학원 연구실 일정 이 있 어서 세미나 를 끝 까지 참여 하 지 못하 고 3 번 째 세션 중간 에 나왔 습니다 . 인상깊 게 들 었 던 내용 을 위주 로 하 여 간단히 강의 내용 을 요약 해 보 고자 합니다 . 
 1 . 윈도우 침해 사고 사례 및 분석 방법 : 플레인 비트 김진국 대표 님 
 첨부 된 강의 슬라이드 에서 참조 
 기업 들 이 IDS 나 IPS , 그리고 각종 전용 보안 장비 를 설치 하 는 형태 로 기업 의 외부망 과 내부망 사이 에서 네트워크 를 보안 관제 하 는 것 에 큰 초점 을 맞추 고 있 습니다 . 물론 최근 에 는 SIEM 등 의 새로운 장비 들 도 출시 되 고 있 긴 하 지만 , 어쨌거나 네트워크 중심 의 방어 에 는 한계 가 있 다는 점 을 지적 하 셨 습니다 . 고도 의 지능 화 된 APT 공격 의 경우 에 는 마치 정상 트래픽 인 것 처럼 충분히 위장 이 가능 하 기 때문 에 방화벽 등 으로 막 을 수 가 없 습니다 . 그리고 인재 ( 人災 ) 로 인한 실수 는 필연 적 이 기 때문 에 자산 을 위협 으로부터 완벽히 보호 할 수 있 다고 확신 해서 는 안 됩니다 . 다만 , 위험 을 통제 가능 한 수준 으로 낮춤 으로써 , 사고 가 일어나 더라도 그 피해 를 최소 화 하 는 것 을 목표 로 하 는 것 이 중요 할 듯 합니다 . 이러 한 맥락 에서 , 김진국 멘토 님 께서 주장 하 신 것 은 기존 의 네트워크 기반 전략 뿐 만 아니 라 , 호스트 기반 전략 을 견고히 해야 한다는 것 입니다 . 이 는 그동안 발생 했 던 크 고 작 은 침해 사고 사례 를 분석 해 보 면 이해 할 수 있 습니다 . 
 클리앙 / 뽐뿌 사이트 의 랜섬 웨어 유포 사례 : 웹 을 통한 유입 
 인터 파크 개인 정보 유출 사례 : 이메일 을 통한 유입 
 SK 커뮤니케이션 즈 개인 정보 유출 사례 : 서비스 자체 의 취약점 을 통한 유입 
 농협 전 상망 사고 : BYOD 등 의 기기 및 저장 매체 
 기타 : 영화 나 미드 에 도 자주 등장 하 는 일명 사회 공학 적 방법 
 위 와 같 은 사례 들 은 결국 하나 의 시스템 ( 혹은 PC ) 가 감염 됨 으로써 내부망 에 있 는 모든 시스템 이 침해 되 었 고 , 사실상 해커 에 의해 좌지우지 되 었 던 상황 이 었 습니다 . 이 는 단 한 대 의 감염 이 그것 하나 만 의 문제 로 끝나 지 않 고 조직 전체 에 막대 한 타격 을 주 게 됩니다 . 
 지금 까지 의 노력 처럼 , 네트워크 보완 관제 를 철저 하 게 수행 하 여 회사 안 으로 들어오 지 못하 게 막 는 것 도 분명 의미 는 있 습니다 . 그렇지만 피할 수 없 는 필연 적 인 사유 ( 실수 혹은 사고 ) 로 단 한 대 가 감염 되 는 일 이 벌어진다면 , 그 로 인해 모든 시스템 이 감염 되 는 것 은 시간 문제 입니다 . 그런데 이 과정 이 보통 한 달 걸린다고 했 을 때 , 호스트 쪽 에서 보안 관리 에 조금 더 신경 을 쓴다면 악성 코드 의 전파 속도 를 3 개월 에서 6 개월 정도 로 더 늦출 수 있 을지 도 모릅니다 . 즉 , 피해 를 막 을 수 없 다면 최소 화 시키 는 것 이 최선 인 것 이 고 시간 만 충분히 늦출 수 있 다면 그 사이 에 취약점 을 진단 하 여 패치 를 할 수 있 게 됩니다 . 따라서 한 PC 만 의 감염 으로 사고 를 종결 시킬 수 있 는 것 입니다 . 
 발표 자료 에 는 보안 상 의 이유 로 블라인드 처리 되 었 지만 세미나 에서 발표 하 신 몇몇 사례 에서 는 , 많 은 기업 들 이 생각 보다 어이없 게 ( ? ) 당하 고 있 었 습니다 . 디폴트 패스워드 를 변경 하 지 않 고 유지 하 거나 , 퇴사 자 의 계정 을 비 활성 화 하 지 않 아서 사후 관리 가 전혀 안 되 는 그런 일 들 로 인해 보안 에 구멍 이 생기 고 , 나아가 SPoF ( 단일 실패 지점 ) 이 되 는 것 이 므로 반드시 주의 해야 할 것 입니다 . 
 2 . 리눅스 침해 사고 유형 및 분석 기법 : KISA 김동욱 주임 연구원 
 두 번 째 세션 도 굉장히 인상깊 었 습니다 . 이분 은 실제로 KISA 에서 침해 사고 대응 을 수행 하 셨 던 경험 을 위주 로 많이 설명 해 주 셨 습니다 . 특히 악 성 코드 와 웹 쉘 을 탐색 한 사례 를 다루 어 주 셨 습니다 . 
 아래 는 실제 있 었 던 XORDDoS 사례 의 스크린 샷 입니다 . 
 그 밖 에 도 billgates bot , ssh 백도어 , ld . so . preload , adore rootkit , php 웹 쉘 등 의 사례 를 소개 해 주 셨 습니다 . 또한 KISA 에서 는 휘슬 ( WHISTL ) 이 라는 프로그램 을 제공 하 는 것 을 알려 주 셨 습니다 . 관련 해서 는 KISA 보호 나라 사이트 를 참조 하 시 기 바랍니다 . 
 3 . 최근 취약점 악용 사례 및 보안 점검 방법 : KISA 손기종 선임 연구원 
 잠깐 의 쉬 는 시간 이 있 었 고 , 이후 3 번 째 세션 이 시작 되 었 습니다 . 저 는 시간 관계 상 가 야 할 타이밍 이 임박 해 오 고 있 었 는데 , 쉬 는 시간 이 야속 하 기 만 했 네요 . . 3 번 째 세션 의 내용 을 가장 듣 고 싶 었 지만 . . 절반 정도 밖에 듣 지 못했 습니다 . 
 어쨌든 , 연구원 님 은 실제 침해 사고 분석 에서 ' 제 로데이 취약점 ' 이 발견 되 는 경우 는 굉장히 드물 다고 말씀 하 셨 습니다 . 그럼에도 불구 하 고 지난 2016 년 4 월 에 공개 된 CVE - 2016 - 0189 의 사례 는 주목 할 만 했 습니다 . 
 CVE - 2016 - 0189 는 아시아 를 타 겟 으로 한 공격 에 악용 된 제 로데이 취약점 입니다 . 이 취약점 은 마이크 로 소프트 의 인터넷 익스플로러 브라우저 의 scripting 엔진 에 존재 하 며 , 악용 할 경우 원격 코드 실행 ( RCE ) 이 가능 해집니다 . 이 오픈 소스 익스 플 로 잇 은 윈도우 10 이상 의 IE 에 영향 을 미칩니다 . 공격자 는 이전 버전 의 윈도우 를 공격 하 기 위해 이 를 사용 하 거나 수정 할 가능 성 이 있 습니다 . - 출처 : 알약 블로그 ( http : / / blog . alyac . co . kr ) 
 이 취약점 을 theori - io 라는 유저 가 github 에 PoC 코드 를 공개 하 였 고 , Neutrino Exploit kit 은 해당 취약점 을 발 빠르 게 탑재 하 여 내놓 았 습니다 . 
 MS 에서 는 6 월 에 패치 를 출시 하 였으나 , 아직 까지 패치 를 수행 하 지 않 은 많 은 시스템 이 제 로데이 공격 의 위험 에 노출 되 어 있 을 것 으로 추정 하 고 있 습니다 . 반드시 최신 보안 패치 를 적용 하 실 것 을 추천 드립니다 . 
 연구원 님 께서 는 그 밖 에 WordPress , ActiveX , 사내 PC 관리 소프트웨어 , 광고 플랫 폼 ( Malvertising ) 의 취약점 등 에 대해 설명 해 주 셨 습니다 . 이후 내용 에 대해서 는 강의 를 듣 지 못하 였 기 에 강의 자료상 의 내용 만 간단히 정리 하 겠 습니다 . 
 침해 사고 관점 에서 의 보안 점검 방법 
 네트워크 경로 점검 
 악 성 코드 확산 사례 를 통해 보 는 점검 사항 숙지 
 시스템 자동 로그인 악용 대비 점검 
 관리 인터페이스 취약점 노출 여부 점검 
 코드 서명 인증서 보안 관리 및 점검 
 4 . 보안 실무자 가 알 아야 할 법률 상식 : 광운대 사이버 보안 학과 변정수 
 저 는 기술 내용 못지않 게 법률 과 정책 관련 한 내용 도 주의깊 게 경청 하 는 편 인데 . . 아쉽 게 도 ㅠㅠ 해당 강연 을 듣 지 못하 고 중도 에 나갈 수 밖에 없 었 습니다 . 제 가 알 기 로 광운대 에 사이버 보안 학과 는 없 는 것 으로 알 고 있 는데 . . 아마 신설 된 학과 에 초빙 교수 ( ? ) 로 계신 분 이 신 것 같 습니다 . 제 짐작 이 맞 다면 법무법인 김 앤 장 소속 의 변정수 전문 위원 님 이 셨 던 것 같 습니다 . 
 보안 실무자 는 기본 적 으로 정보 통신망 법 과 개인 정보 보호법 , 기타 관련 된 안전 성 확보 조치 와 기술 적 / 관리 적 보호 조치 기준 을 숙지 하 고 있 어야 합니다 . 첨부 된 발표 자료 를 참고 하 시 길 바랍니다 . 
 우연 한 기회 에 좋 은 세미나 에 참석 할 수 있 어서 참 감사 했 습니다 .