AI가 취약점 탐색 자동화, SK쉴더스가 제시한 보안 점검 3단계

인공지능을 활용한 사이버 공격이 빨라지고 있지만 기업이 먼저 확인해야 할 것은 자산과 권한, 접근 기록이라는 분석이 나왔다. 새로운 방어 기술을 추가하기 전에 외부에 노출된 시스템과 관리에서 빠진 API부터 찾아야 한다는 지적이다.

SK쉴더스는 8일 ‘AI 자동화 공격 시대, Shadow IT를 노린 침해사고 분석 및 대응 가이드’를 공개했다.

가이드에는 AI 공격 도구의 작동 방식과 공개된 침해사고 정황에 대한 분석, 기업이 점검해야 할 외부 시스템 및 API 관리 방안이 담겼다.

SK쉴더스가 주목한 위험은 새로운 업무 기능을 개발하는 과정에서 발생하는 관리 공백이다.

처음 시스템을 구축할 당시 적용한 인증과 접근 권한 정책이 이후 기능을 추가할 때 빠질 수 있다. 개발과 테스트를 위해 만든 기능이 외부에서 접속할 수 있는 상태로 남거나 운영 자산 목록에서 제외되는 사례도 발생한다.

여러 고객사에 공통 플랫폼을 제공하는 솔루션 사업도 비슷한 위험을 안고 있다. 고객별 요구사항을 반영해 기능을 덧붙이는 과정에서 개발용 서비스와 API의 관리 책임이 불분명해질 수 있기 때문이다.

SK쉴더스는 보안 담당자가 존재를 모르는 시스템뿐 아니라 존재는 파악했지만 관리가 느슨해진 자산도 섀도 IT의 범위에서 살펴봐야 한다고 설명했다.

AI 자동화 도구는 이러한 관리 공백을 빠르게 탐색하는 데 사용될 수 있다.

공격자는 회원이나 고객, 상품 조회처럼 정상적으로 제공되는 기능의 연결 관계를 분석해 서비스 구조를 파악할 수 있다. 이후 권한 검증이 부족한 지점을 반복해서 호출하며 접근 가능한 정보의 범위를 넓히는 방식이다.

각각의 요청만 보면 일반 사용자의 조회 활동과 비슷하게 보일 수 있다. 알려진 공격 패턴을 찾거나 특정 IP를 막는 방식만으로 탐지하기 어려운 이유다.

이에 따라 개별 요청의 정상 여부와 함께 사용자가 기능을 이용한 순서와 조회량, 세션별 접근 패턴을 종합적으로 분석해야 한다. 평소와 다른 데이터 접근이나 비정상적인 기능 이동이 이어지는지도 확인할 필요가 있다.

SK쉴더스의 화이트해커 조직 EQST는 AI 기반 침투시험 도구인 ARTEX의 공개 코드도 분석했다.

ARTEX는 사람이 수행하던 자산 탐색과 취약점 확인 절차를 자동화하고 앞선 결과를 바탕으로 다음 점검 대상을 선택하는 구조를 갖춘 것으로 파악됐다. 기존 공격 기술을 더 넓은 범위에서 빠르게 실행할 수 있게 만드는 셈이다.

다만 SK쉴더스는 ARTEX 분석과 최근 금융권 침해사고에 대한 분석을 별개의 내용으로 구분했다. 해당 사고에 실제로 어떤 도구가 사용됐는지는 관계기관의 조사를 통해 확인해야 한다는 입장이다.

기업이 우선 적용할 대응 절차로는 자산 식별과 API 모니터링, 탐지 및 대응 등 3단계가 제시됐다.

먼저 인터넷에서 접근할 수 있는 시스템과 API를 찾아 관리 대상에 포함해야 한다. 다음으로 로그인 여부뿐 아니라 사용자가 요청한 정보에 접근할 권한이 있는지도 계속 검증해야 한다.

마지막 단계에서는 웹방화벽과 단말 및 네트워크 탐지 체계를 연결해 이상 행위를 확인하고 차단한다. 탐지 기준에는 IP 주소 외에도 사용자와 세션, 조회 순서, 접근 빈도 등을 함께 반영하도록 권고했다.

SK쉴더스는 외부에 노출된 자산을 파악하고 API와 웹 서비스의 이상 행위를 분석하는 보안 서비스를 제공하고 있다. 자체 제로트러스트 방법론을 활용해 기업별 보안 수준을 평가하고 우선적으로 개선할 항목도 제시한다는 방침이다.