좋은 ASM 솔루션이 돋보이는 이유

Jun 13, 2023

이번 Help Net Security 인터뷰에서 Onyphe의 CTO인 Patrice Auffret은 기존의 경계 기반 보안 관점이 어떻게 쓸모 없게 되었는지 설명합니다. 그는 조직이 공격 표면 개념을 재정의해야 한다고 제안하고 공격 표면 관리(ASM) 솔루션을 강화하기 위해 취할 수 있는 사전 조치에 대해 논의합니다.

먼저 ASM을 정의해 보겠습니다. 이 용어는 2020년쯤 Gartner에 의해 만들어졌습니다. 이는 조직을 위한 방어 사이버 보안 무기고의 새로운 도구입니다. ASM은 조직이 인터넷에 노출된 자산을 더 잘 볼 수 있을 뿐만 아니라 알려지지 않은 자산을 식별하는 데 도움이 되어야 합니다. 그 이후로 ASM 범주에 많은 솔루션이 등장했지만 모두 동일하지는 않습니다. 좋은 ASM 솔루션은 알려지지 않은 자산을 찾는 기능인 ASD(Attack Surface Discovery)를 통합해야 합니다. 우리는 이러한 용어가 생기기 전부터 ASD 및 ASM 카테고리에서 6년 동안 활동해 왔습니다.

2023년에 조직은 모든 ​​것을 항상 빠르게 패치할 수는 없습니다. ASM을 통해 IT 팀은 가장 중요한 위협, 즉 사이버 범죄자가 네트워크에 침투하여 랜섬웨어를 배포하기 위해 악용하는 위협에 집중할 수 있어야 합니다. 위협 인텔리전스 보고서 덕분에 우리는 대부분의 침입이 인터넷에 노출된 RDP(원격 데스크톱 프로토콜) 서비스, VPN 어플라이언스 및 CVE(중요한 취약점)로 인해 발생한다는 사실을 알고 있습니다. 2022년 Palo Alto Unit 42 보고서에서는 이 세 가지 초기 액세스 벡터가 인터넷 기반 네트워크 침입의 46%를 차지한다고 강조합니다.

외부 공격 표면 관리 관점에서 볼 때 기업은 최소한 이 3가지 벡터에 집중해야 합니다.

조직의 공격 표면에는 아웃소싱된 인프라 및 애플리케이션을 비롯하여 비즈니스 프로세스와 데이터를 뒷받침하는 모든 기술이 포함될 수 있습니다. 이것이 바로 ASD가 효과적인 ASM을 위한 필수이자 전제 조건인 이유입니다. 또한 우리는 많은 조직에서 ASM이 쉬운 부분이지만 노출된 자산의 전체 목록을 확보하는 것이 과제라고 주장합니다. ASD 솔루션이 필요한 곳입니다.

ASD의 또 다른 주요 이점은 ASM 솔루션을 보완하기 위해 IP 주소 또는 FQDN(정규화된 도메인 이름) 목록을 기존 취약성 스캐너에 제공할 수 있다는 것입니다.

또한 자산 목록에 대한 구식 IP 기반 접근 방식은 금지되어야 합니다. 오늘날 자산 인벤토리에 대한 도메인 기반 접근 방식을 채택해야 합니다. 왜 그렇습니까? 임시 클라우드 기반 인프라를 사용하면 IP 주소가 변경될 수 있는 반면, 도메인 이름은 새 도메인이 지속적으로 추가되면서 시간이 지나도 일관성을 유지해야 하기 때문입니다. 변경 사항과 새로운 도메인을 어떻게 따라갈 수 있나요? 좋은 ASD 솔루션은 DNS, CTL(인증서 투명성 로그), 인터넷 전체 IP 기반 검색, 그리고 더 중요한 것은 URL 기반 검색과 같은 여러 소스에서 데이터를 수집해야 합니다. Cloudflare와 같은 CDN 솔루션을 사용하여 웹 사이트를 보호하는 기업이 점점 더 많아지고 있기 때문에 마지막이 매우 중요합니다. Clouflare의 IP 주소만 스캔할 경우 숨겨진 보안 문제가 있을 수 있는 실제 웹 호스트에 대한 가시성을 확보할 수 없습니다.

이러한 모든 정보 소스를 활용함으로써 조직은 단일 도메인 이름에서 시작하여 키워드 및 알려진 서비스 공급자를 중심으로 한 다음 반복하여 노출된 모든 자산의 인벤토리를 생성할 수 있습니다. 그런 다음 올바른 도구를 사용하여 웹 사이트에서 발견된 Google Analytics 및 Meta Pixels와 같은 TLS 인증서 또는 HTTP 추적기의 조직 필드와 같은 모든 도메인 및 기타 피벗에 바인딩된 IP 주소를 찾아야 합니다. 이 패턴 목록은 자산 인벤토리가 되며, 새로 노출된 자산을 찾으려면 정기적으로 업데이트해야 합니다.

좋은 ASM 솔루션은 IP 범위나 데이터 센터가 있는 조직을 네트워크 블록별로 검색할 수 있으면서도 IP에 구애받지 않아야 합니다.

내부 ASM은 더 간단합니다. IP 주소 또는 네트워크 블록 목록이 이미 있어야 합니다. 범위 스캔은 수십 년 동안 정기적으로 수행되어야 합니다.