|
COLUMN
|
|
|
|
사라지지 않는 ‘유령’... 한글 파일 타깃 공격의 실체
|
지난 2010년 이후 한글과컴퓨터(이하 한컴)의 한컴오피스의 한글 워드(이하 한글) 파일을 이용한 공격이 본격적으로 나타났다. 한글 프로그램은 주로 우리나라 공공기관과 일부 기업에서 사용하는 워드프로세서인 만큼 한글 파일을 이용한 지속적인 공격은 결국 이들에 대한 타깃 공격임을 짐작할 수 있다. 한글 파일을 이용한 공격을 지속적으로 추적, 분석해온 안랩 시큐리티대응센터(AhnLab Security Emergency response Center, 이하 ASEC)는 공격자들이 최근 2년간 고스트스크립트 취약점을 집중적으로 이용하고 있음을 확인했다.
지난 2년간 유포된 악성 한글 파일을 중심으로 고스트스크립트 취약점을 이용한 악성코드 동작 과정을 살펴본다.
|
|
출처 - 안랩 온라인 보안매거진 월간安 7월호 中
|
|
자세히 보기 >>
|
|
|
|
IT KNOWLEDGE
|
|
|
|
스푸핑 (spoofing)
|
1995년 미국에서 처음 보고되었던 최고 단수의 해킹 수법이다. 스푸핑(spoofing)은 '속이기'라는 뜻으로, 외부 악의적 네트워크 침입자가 임의로 웹사이트를 구성하여 일반 사용자들의 방문을 유도, 인터넷 프로토콜인 TCP/IP의 구조적 결함을 이용하여 사용자의 시스템 권한을 획득한 뒤 정보를 빼가는 해킹 수법이다. 종류에는 IP 스푸핑, DNS 스푸핑, 이메일 스푸핑, ARP 스푸핑 등이 있다.
IP 스푸핑은 목표로 하는 호스트(target host)와 신뢰관계를 맺고 있는 다른 호스트로 공격자의 IP 주소를 속여서 패킷을 보내는 기법을 말한다. 즉, 허가받은 IP를 도용하여 로그인을 하는 것을 말한다. DNS 스푸핑은 목표로 하는 호스트가 이용하는 도메인네임서버(domain name server)에 가짜 DNS 레코드를 전달함으로써 목표로 하는 호스트가 잘못된 주소 정보를 이용하게 하는 기법이다. 이메일 스푸핑은 이메일을 보낼 때 보내는 주소를 위조해서 보내는 것으로 스팸메일이나 바이러스 감염 메일을 보낼 때 악용되는 기법이며, ARP 스푸핑은 랜카드의 고유한 주소인 MAC 주소를 위장해서 정보를 가로채는 것을 말한다.
한편 유명 업체의 명의로 스팸메일을 발송, 소비자들이 믿을 수 있는 이메일로 생각하게끔 유도하여 이메일의 개봉 빈도를 높이려는 행위를 스푸핑이라 하기도 하며, 이런 이메일을 통하여 가짜 웹사이트로 유도하여 사용자가 암호와 기타 정보를 입력하도록 속인다.
|
|
출처 - [네이버 지식백과] 스푸핑 (시사상식사전, pmg 지식엔진연구소)
|
|
|
|
EVENT
|
|
|
|
|
|
|
|
Q & A
|
|
|
|
|
Q. BK MASTER의 중앙 관리 콘솔인 EndPoint Manager는 어떠한 기능이 제공되나요?
|
BK MASTER에서는 효율적인 관리를 위하여 중앙 관리 기능을 제공하고 있습니다.
관리자가 여러 대의 PC, Server의 상태를 모니터링할 수 있으며 복구 명령, 백업 명령, 스케줄 등의 설정이 가능합니다.
|
|
1.
|
그룹, PC 이름, 운영체제 정보, IP 주소, 디스크 용량, 스냅샷 생성날짜, PC 사용시간 등 모니터링 가능
|
|
2.
|
스냅샷 관리 기능 제공
- 스냅샷 생성, 스냅샷 복구, 스냅샷 삭제, 스냅샷 최적화
|
|
3.
|
PC(Server) 관리 기능 제공
- 전원 켜기, 전원 끄기, 원격 실행, 원격 제어, 공지사항 보내기, 스케줄, 트레이아이콘 숨김, 인터넷 차단, USB 차단, 라이선스 관리
|
|
|
|
|
|
Q. V3만 사용하면 EDR을 사용할 수 있나요? 사용을 위한 제약사항이 있나요?
|
|
AhnLab EDR을 사용하기 위해서는 기본적으로 V3(IS 9.0, EPP) 사용이 필수입니다. 그 외에 행위 정보를 수집하기 위해 다음과 같은 제약 사항이 존재합니다.
|
|
1.
|
V3 행위기반진단(V3 환경설정 > PC검사설정 > PC실시간검사 > 행위기반진단 사용) 옵션 ON 필요
|
|
2.
|
V3 최초 설치 시 '다차원 분석' 구성 요소를 제외한 경우, V3 재설치(전체 옵션 선택) 필요
|
|
3.
|
폐쇄망 환경에서의 V3 행위 로그 수집 제한
- 폐쇄망 환경에서 EDR 에이전트를 설치할 수는 있으나, V3에서 행위 로그를 수집하지 않기 때문에 해당 에이전트의 위협 가시성을 확보하기는 어렵습니다. 그러나 다른 단말에서 확인된 위협 파일 등이 존재하는지 전수검사를 수행하는 것은 가능하기 때문에 폐쇄망에 잠재된 위협에 대해 대응할 수 있습니다. (폐쇄망에서의 행위 로그 수집 기능은 2019년 지원 예정)
|
|
|
|
|
|
