보안 공격의 분류와 다층 방어 전략

정보보호 목표를 겨냥하는 공격

보안 공격(Security Attack)은 조직이나 기관의 정보보호를 저해하는 행위를 포괄한다. 디지털 환경에서 침입, 파괴, 변조, 유출을 통해 정보자산에 손상을 입히며, 정보보안의 기밀성·무결성·가용성이라는 3대 목표를 위협한다.

공격의 동기도 하나로 정해지지 않는다. 경제적 이득, 정치적 목적, 명성 획득, 단순한 호기심 등이 공격자의 의도에 포함될 수 있다. 따라서 공격을 다룰 때는 기법의 이름뿐 아니라 어떤 보안 목표가 훼손되는지 함께 봐야 한다.

기밀성 침해는 데이터를 드러내는 데서 시작된다

기밀성을 위협하는 공격은 허가되지 않은 주체가 정보를 보거나 얻는 데 초점이 있다.

스누핑(Snooping)은 네트워크를 오가는 데이터를 불법적으로 감시하고 확보하는 행위다. 패킷 스니퍼(Packet Sniffer)로 트래픽을 모니터링할 수 있으며, 공공 Wi-Fi에서 패킷 캡처 도구를 이용해 사용자 정보를 수집하는 경우가 이에 해당한다.

트래픽 분석(Traffic Analysis)은 암호화된 데이터의 내용을 확인하지 못하더라도 통신 패턴, 빈도, 크기를 분석해 정보를 추론한다. 이를 통해 통신 주체 간 관계나 중요도를 파악할 수 있으며, 특정 서버와의 통신 빈도로 중요 서버를 식별하는 사례가 있다.

가로채기(Interception)는 데이터가 정당한 수신자에게 도달하기 전에 이를 불법적으로 얻는 공격이다. 주로 중간자 공격(Man-in-the-Middle) 형태로 발생하며, SSL 스트리핑을 통해 암호화되지 않은 통신 채널을 확보하는 사례가 있다.

무결성 침해는 정보의 신뢰를 무너뜨린다

무결성을 노리는 공격은 원본의 정확성, 출처, 순서를 훼손한다.

변경(Modification)은 원본 데이터를 불법적으로 수정하는 행위다. 메시지 내용이나 송수신자 정보를 바꿔 정보의 정확성을 떨어뜨리며, 금융 거래에서 송금액 또는 수신계좌 정보를 변조하는 사례가 있다.

위조(Fabrication)는 존재하지 않는 정보를 만들어 진짜처럼 보이게 한다. IP 스푸핑과 이메일 스푸핑이 대표적이며, 신뢰할 수 있는 기관을 사칭한 피싱 이메일 발송이 예다.

시간성 변경(Timing Attacks)은 데이터 전송 시간이나 순서를 조작해 시스템 오작동을 유발한다. 고의적인 지연과 순서 변경이 여기에 포함되며, 주식 거래 시스템에서 주문 시간을 조작해 이득을 취하는 사례가 있다.

가장(Masquerading)은 다른 사용자나 시스템으로 위장해 접근 권한을 얻는 공격이다. 신분 도용을 통한 인증 우회가 핵심이며, 관리자 계정을 탈취한 뒤 시스템에 접근하는 경우가 해당한다.

재연 공격(Replay Attack)은 이전에 송수신된 메시지를 가로챘다가 나중에 다시 전송한다. 합법적인 인증 세션을 재사용해 권한을 얻으며, 인증 토큰을 캡처한 뒤 재사용해 시스템에 접근하는 사례가 있다.

부인(Repudiation)은 사용자가 어떤 행위를 수행한 뒤 그 사실을 부정하는 행위다. 책임 회피가 목적이며, 송금 후 해당 거래를 자신이 수행하지 않았다고 주장하는 경우가 예다.

가용성 공격은 정상 서비스를 멈추게 한다

서비스 거부 공격(DoS: Denial of Service)은 대상 시스템의 자원을 고갈시켜 정상적인 서비스 제공을 방해한다. CPU, 메모리, 네트워크 대역폭 같은 리소스를 소진시키며, SYN Flooding으로 웹서버 연결 자원을 고갈시키는 방식이 있다.

분산 서비스 거부 공격(DDoS: Distributed DoS)은 다수의 감염된 컴퓨터, 즉 좀비 PC를 통해 동시다발적으로 공격한다. 공격 근원지를 추적하고 차단하기 어렵다는 특성이 있으며, 봇넷을 이용해 대규모 금융기관 웹사이트를 마비시키는 사례가 있다.

차단(Interruption)은 서비스 또는 시스템 접근을 물리적으로 끊는 공격이다. 네트워크 케이블 절단이나 장비 파괴가 포함되며, 데이터센터 네트워크 장비의 물리적 손상이 예다.

정보 수집과 시스템 교란의 차이

수동적(Passive) 공격은 시스템이나 네트워크 자체를 직접 바꾸지 않고 정보를 얻는 방식이다. 대상에 흔적을 남기지 않아 탐지가 어렵고, 주된 목적은 정보 수집이다.

도청(Sniffing)은 네트워크 트래픽을 감청해 정보를 획득하는 방식으로, 패킷 분석기를 이용해 데이터를 포착한다. 공유 네트워크에서 와이어샤크(Wireshark)로 패킷을 분석하는 사례가 있다. 트래픽 분석 역시 통신량, 빈도, 시간 같은 메타데이터의 패턴을 분석해 특정 시간대의 통신 특성에서 정보를 추론한다.

스캐닝(Scanning)은 네트워크 또는 시스템의 취약점을 탐색하는 정보 수집 활동이다. 포트 스캐닝과 취약점 스캐닝이 여기에 속하며, Nmap으로 네트워크 장비와 서비스를 맵핑하는 경우가 예다.

반면 능동적(Active) 공격은 시스템이나 네트워크에 직접 변화를 주거나 영향을 미친다. 수동적 공격보다 복잡하고 탐지될 가능성이 높지만, 실질적인 피해를 발생시킨다.

⤢✕

위장/사칭(Masquerade)은 신뢰할 수 있는 객체처럼 보이게 해 접근 권한을 얻는다. 스푸핑(Spoofing) 기법을 활용하며 이메일 발신자 주소 위조, IP 스푸핑, MAC 주소 위조가 예다.

불법 수정(Modification)은 전송 중인 데이터의 메시지 내용이나 헤더 정보를 바꾼다. 웹 트래픽을 조작해 악성코드를 삽입하는 경우가 이에 해당한다.

방해(Interruption)는 정상적인 시스템 동작을 막고 서비스 접근을 차단하거나 오작동을 유도한다. 라우터 설정을 바꿔 트래픽을 차단하는 사례가 있다.

위변조(Fabrication)는 존재하지 않는 데이터를 생성해 삽입하는 방식이다. 메시지 삽입, 삭제, 변조, 순서 변경 등이 포함되며, 세션 하이재킹으로 가짜 응답을 생성하는 경우가 예다.

재생 공격(Replay Attack)은 이전에 캡처한 합법적 데이터를 다시 전송해 인증을 우회하고 권한을 얻는다. 네트워크 인증 토큰 재사용이 이에 해당한다.

사람의 판단을 노리는 사회공학

사회공학적 공격은 기술적 수단 대신 인간의 심리적 취약점을 악용한다. 신뢰 관계, 공포, 긴급함 같은 감정을 이용해 정보를 얻으므로 기술적 보안 조치를 우회하는 효과적인 방법이 될 수 있다.

피싱(Phishing)은 신뢰할 수 있는 기관을 사칭해 개인정보를 탈취한다. 이메일, 문자메시지, 웹사이트 등 다양한 채널을 이용하며, 은행을 사칭한 이메일로 계좌정보를 요구하는 경우가 있다.

스피어 피싱(Spear Phishing)은 특정 개인 또는 조직을 겨냥한 맞춤형 피싱이다. 사전 정보 수집을 바탕으로 정교하게 설계하며, 특정 회사 임원을 대상으로 한 맞춤형 사기 이메일이 예다.

프리텍스팅(Pretexting)은 가상의 시나리오, 허위 신분 또는 상황을 설정해 개인정보를 얻는다. IT 지원팀을 사칭한 전화로 계정 정보를 요구하는 사례가 해당한다.

배깅(Baiting)은 USB 드라이브나 CD 같은 물리적 매체로 사용자를 유인하는 방식이다. 주차장에 악성코드가 포함된 USB 드라이브를 투척하는 경우가 예다.

방어는 기술 통제와 운영 체계를 함께 요구한다

기술적 대응에서는 침입 탐지/방지 시스템(IDS/IPS)을 구축해 비정상 네트워크 활동을 실시간으로 모니터링하고 차단한다. 행위 기반 탐지와 시그니처 기반 탐지를 병행할 수 있다.

방화벽과 네트워크 세그먼테이션은 트래픽을 필터링하고 영역을 분리한다. 접근 제어는 최소 권한 원칙에 따라 설계한다. 데이터 전송과 저장에는 TLS/SSL, VPN 등의 암호화 기술을 적용하고, 강력한 암호화 알고리즘 및 키 관리를 함께 다룬다. 알려진 취약점은 정기적으로 스캐닝하며 보안 업데이트를 신속히 적용한다.

관리적 대응도 분리할 수 없다. 보안 정책과 절차를 수립해 명확한 지침 및 대응 프로세스를 마련하고, 이를 정기적으로 검토·업데이트한다. 임직원 대상 보안 교육과 모의 피싱 같은 사회공학적 공격 대응 훈련도 필요하다.

사고가 발생했을 때는 신속한 대응 체계, 복구 절차, 책임자 지정을 포함한 사고 대응 계획이 작동해야 한다. 시스템과 네트워크 활동을 로깅·분석하고 이상 징후를 상시 모니터링하는 운영 체계 역시 필요하다.

단일 보안 솔루션만으로 모든 공격에 대응할 수는 없다. 기밀성·무결성·가용성을 겨냥하는 공격과 수동적·능동적·사회공학적 공격에 맞춰 다층적 방어(Defense in Depth)를 구성하고, 새로운 공격 기법을 계속 모니터링하며 대응 방안을 업데이트해야 한다.