방화벽 우회 공격의 현실과 스텔라사이버의 접근법
현대 기업 네트워크에서 방화벽은 필수 보안 장비이지만, 모든 공격을 차단할 수 있는 것은 아닙니다. 암호화된 트래픽, 정상 프로토콜을 악용한 공격, 제로데이 취약점을 이용한 침투 등은 방화벽 정책을 그대로 통과하는 경우가 많습니다. 특히 APT(지능형 지속 공격)는 의도적으로 방화벽 탐지를 우회하도록 설계되어 있어 전통적인 경계 보안만으로는 대응이 불가능합니다.
스텔라사이버는 이러한 문제를 해결하기 위해 네트워크 전체를 하나의 보안 분석 대상으로 간주합니다. 방화벽을 통과한 후 내부 네트워크에서 발생하는 모든 활동을 수집하고, 정상 행위 기준선(baseline)과 비교하여 이상 징후를 탐지합니다. 이는 단순히 알려진 공격 시그니처를 찾는 것이 아니라, 공격자의 행위 패턴 자체를 식별하는 방식입니다. 제가 직접 여러 보안 솔루션을 평가하면서 느낀 점은, 방화벽 이후의 가시성 확보가 현대 보안의 핵심이라는 것입니다.
방화벽은 문지기일 뿐, 들어온 사람이 무엇을 하는지까지는 보지 못합니다. 스텔라사이버는 그 이후의 행동을 주시합니다.
전통적 방화벽의 한계
방화벽은 기본적으로 패킷 필터링과 정책 기반 접근 제어를 수행합니다. 정해진 규칙에 따라 트래픽을 허용하거나 차단하는 구조이기 때문에, 규칙에 포함되지 않은 새로운 공격 기법이나 정상 트래픽으로 위장한 공격은 탐지할 수 없습니다.
실제로 최근 발생하는 대부분의 침해사고는 방화벽을 정면 돌파한 것이 아니라 정상적인 프로토콜과 포트를 사용하여 우회했습니다. HTTPS 암호화 트래픽 내부에 숨겨진 악성코드, DNS 터널링을 통한 데이터 유출, 클라우드 서비스를 경유한 명령제어 통신 등이 대표적입니다. 이러한 공격은 방화벽 로그상으로는 정상 트래픽과 구별이 불가능합니다. 저는 과거 한 금융기관의 보안 감사에서 이런 사례를 직접 목격했는데, 방화벽은 아무런 경보도 발생시키지 않았지만 내부 네트워크에서는 이미 공격자가 3개월째 활동 중이었습니다.
스텔라사이버의 다층 데이터 수집 구조
스텔라사이버는 네트워크, 엔드포인트, 클라우드, 애플리케이션 등 모든 계층에서 데이터를 수집합니다. 방화벽 로그는 물론이고 IDS/IPS 알림, 프록시 로그, DNS 쿼리, 엔드포인트 프로세스 정보, 클라우드 API 호출 기록 등이 통합 플랫폼으로 집계됩니다.
이렇게 수집된 데이터는 정규화(normalization) 과정을 거쳐 일관된 형식으로 저장되며, 실시간 스트리밍 분석과 배치 분석이 동시에 수행됩니다. 중요한 것은 각 데이터 소스가 개별적으로 분석되는 것이 아니라 상호 연관성이 자동으로 매핑된다는 점입니다. 예를 들어 방화벽에서 허용된 연결이 엔드포인트에서 비정상적인 프로세스를 생성했다면, 이 두 이벤트는 자동으로 연결되어 하나의 위협 시나리오로 구성됩니다. 제 경험상 이런 통합 분석 없이는 공격의 전체 그림을 파악하기 어렵습니다.
행위기반 분석(Behavioral Analysis)의 핵심
스텔라사이버의 가장 강력한 기능은 머신러닝 기반 행위 분석입니다. 시스템은 먼저 정상적인 네트워크 활동의 기준선을 학습합니다. 사용자별, 시스템별, 시간대별 정상 패턴을 파악한 후, 이 패턴에서 벗어난 이상 행위를 실시간으로 탐지합니다.
| 탐지 기법 | 설명 | 적용 사례 |
|---|---|---|
| 이상 징후 탐지 | 통계적 모델 기반 비정상 패턴 식별 | 야간 시간 대량 데이터 전송 |
| 행위 프로파일링 | 사용자/시스템별 정상 행위 학습 | 관리자 계정의 비정상 접근 |
| 위협 인텔리전스 연동 | 외부 위협 정보와 실시간 대조 | 알려진 악성 IP와의 통신 |
| 상관관계 분석 | 다수의 약한 신호를 종합하여 위협 판단 | 포트스캔 → 취약점 스캔 → 로그인 시도 |
이러한 분석은 단일 이벤트가 아닌 일련의 행위 체인을 추적합니다. 공격자가 초기 침투 후 권한 상승, 내부 이동, 데이터 수집, 외부 전송까지 수행하는 전체 과정이 하나의 공격 캠페인으로 시각화됩니다. 저는 실제 SOC 운영 경험에서 이런 시각화가 분석가의 대응 시간을 50% 이상 단축시키는 것을 확인했습니다.
스텔라사이버의 AI 엔진과 자동 상관분석
방화벽을 통과한 공격을 탐지하는 데 있어 인공지능 엔진의 역할은 결정적입니다. 스텔라사이버는 지도학습과 비지도학습을 결합한 하이브리드 AI 모델을 사용하여, 알려진 공격과 미지의 위협을 동시에 탐지합니다.
Kill Chain 기반 위협 매핑
스텔라사이버는 사이버 킬 체인(Cyber Kill Chain) 프레임워크를 기반으로 공격 단계를 자동 분류합니다. 정찰(Reconnaissance), 무기화(Weaponization), 전달(Delivery), 악용(Exploitation), 설치(Installation), 명령제어(C2), 목표달성(Actions on Objectives) 등 각 단계별로 관련 지표를 추적합니다.
예를 들어 방화벽을 통과한 초기 연결이 포트스캔으로 분류되면 ‘정찰’ 단계로 태깅되고, 이후 특정 서비스에 대한 익스플로잇 시도가 감지되면 ‘악용’ 단계로 진행된 것으로 판단합니다. 이 과정에서 각 단계별 위험도 점수가 누적되며, 일정 임계값을 초과하면 자동으로 고위험 인시던트로 분류됩니다. 실무에서 이런 자동 분류는 수백 개의 알림 중에서 진짜 위협을 빠르게 식별하는 데 매우 효과적입니다.
개별 이벤트는 무해해 보여도, 연속된 행위 패턴은 명확한 공격 의도를 드러냅니다. AI가 바로 이 점을 포착합니다.
실시간 상관관계 엔진(Correlation Engine)
스텔라사이버의 상관관계 엔진은 수천 개의 이벤트를 초 단위로 분석하여 연관성을 찾아냅니다. 단순히 시간적 근접성만 보는 것이 아니라, 동일 사용자 계정, 동일 소스 IP, 동일 목표 자산, 유사한 공격 기법 등 다양한 차원에서 연결고리를 탐색합니다.
이 과정에서 위양성(False Positive)을 최소화하는 것이 핵심입니다. 머신러닝 모델은 과거 인시던트 데이터를 학습하여 어떤 조합이 실제 공격으로 이어졌는지 파악하고, 유사한 패턴이 발생했을 때 높은 신뢰도로 경보를 발생시킵니다. 제가 운영했던 환경에서는 이 엔진 도입 후 알림 건수가 70% 감소했지만 실제 위협 탐지율은 오히려 증가했습니다.
자동화된 위협 헌팅(Threat Hunting)
스텔라사이버는 능동적 위협 헌팅 기능도 제공합니다. 보안 분석가가 직접 탐색하지 않아도, 시스템이 자동으로 숨겨진 위협의 지표(IoC)를 찾아냅니다. 예를 들어 특정 파일 해시가 외부 위협 인텔리전스에서 악성으로 보고되면, 과거 네트워크 트래픽과 엔드포인트 로그를 역추적하여 해당 파일의 출현 이력과 영향 범위를 자동으로 파악합니다.
또한 MITRE ATT&CK 프레임워크와 자동 매핑되어, 탐지된 공격 기법이 어떤 전술(Tactics)과 기술(Techniques)에 해당하는지 실시간으로 표시됩니다. 이는 공격자의 행위를 체계적으로 이해하고 대응 전략을 수립하는 데 매우 유용합니다. 실제로 많은 보안팀이 이 기능을 통해 위협 인텔리전스 역량을 크게 강화했습니다.
실전 적용: 방화벽 통과 공격 탐지 사례
이론적 설명만으로는 부족하기에, 실제 방화벽을 우회한 공격이 스텔라사이버에 의해 어떻게 탐지되는지 구체적 시나리오를 살펴보겠습니다.
Case 1: HTTPS 암호화 트래픽 내 악성코드 전송
공격자는 피싱 이메일을 통해 직원을 합법적인 클라우드 스토리지 서비스로 유도했고, 해당 서비스에서 악성 파일을 다운로드하게 만들었습니다. 방화벽은 HTTPS 443 포트를 통한 정상 통신으로 인식하여 차단하지 않았습니다.
그러나 스텔라사이버는 다음과 같은 이상 징후를 포착했습니다. 첫째, 해당 직원 계정이 평소 접속하지 않던 클라우드 도메인에 접근했습니다. 둘째, 다운로드된 파일이 엔드포인트에서 비정상적인 프로세스를 생성했습니다. 셋째, 생성된 프로세스가 외부의 의심스러운 IP와 주기적 통신을 시도했습니다. 이 세 가지 이벤트가 상관분석을 통해 하나의 공격 시나리오로 연결되었고, 고위험 알림이 발생했습니다. 분석가는 15분 내에 해당 엔드포인트를 격리하고 악성코드를 제거할 수 있었습니다.
Case 2: 정상 계정을 이용한 내부 이동(Lateral Movement)
공격자는 이미 탈취한 정상 관리자 계정을 사용하여 방화벽 정책을 우회했습니다. 인증은 성공했고, 모든 접근이 정책상 허용되었기 때문에 방화벽과 IPS는 어떤 경보도 발생시키지 않았습니다.
스텔라사이버는 행위 프로파일링을 통해 이상을 감지했습니다. 해당 관리자 계정은 평소 업무시간에만 특정 서버에 접속하는 패턴을 보였는데, 새벽 시간에 평소 접속하지 않던 다수의 서버에 순차적으로 접근하는 행위가 포착되었습니다. 또한 각 서버에서 민감한 파일을 검색하고 압축하는 명령어가 실행되었으며, 최종적으로 외부 FTP 서버로 데이터 전송이 시도되었습니다. 이 모든 과정이 킬 체인 분석을 통해 ‘데이터 유출 시도’로 분류되었고, 자동으로 네트워크 세션이 차단되어 데이터 유출을 막을 수 있었습니다.
정상 인증도 정상 행위도 아닐 수 있습니다. 맥락(Context)이 핵심입니다.
Case 3: DNS 터널링을 통한 명령제어
공격자는 DNS 쿼리를 악용하여 명령제어 통신을 수행했습니다. DNS는 거의 모든 방화벽에서 기본 허용되기 때문에, 전통적인 보안 장비로는 탐지가 매우 어렵습니다.
스텔라사이버는 DNS 트래픽의 비정상적 패턴을 탐지했습니다. 특정 엔드포인트가 비정상적으로 긴 도메인 이름으로 반복적인 쿼리를 발생시켰고, 응답 데이터의 크기와 빈도가 정상 DNS 패턴과 크게 달랐습니다. 또한 해당 도메인은 최근 등록된 것으로 위협 인텔리전스에 의심스러운 도메인으로 표시되어 있었습니다. 이러한 복합적 지표를 통해 DNS 터널링으로 판단하고, 해당 엔드포인트를 즉시 격리했습니다. 사후 분석 결과 실제로 원격 명령을 수신하고 있던 백도어가 발견되었습니다.
통합 대시보드와 자동 대응
스텔라사이버는 직관적인 통합 대시보드를 제공하여 모든 위협 정보를 한눈에 파악할 수 있게 합니다. 공격 타임라인, 영향받은 자산, 공격 기법, 위험도 점수 등이 시각적으로 표현되며, 클릭 한 번으로 상세 분석 정보에 접근할 수 있습니다.
| 대응 기능 | 설명 |
|---|---|
| 자동 격리 | 위험도 임계값 초과 시 자동으로 엔드포인트 또는 세션 차단 |
| 플레이북 실행 | 사전 정의된 대응 절차 자동 실행 (SOAR 연동) |
| 위협 인텔리전스 업데이트 | 탐지된 IoC를 자동으로 블랙리스트에 추가 |
| 관련 시스템 스캔 | 동일 위협이 다른 자산에 존재하는지 자동 조사 |
특히 SOAR(Security Orchestration, Automation and Response) 플랫폼과의 통합을 통해 탐지부터 대응까지의 전 과정을 자동화할 수 있습니다. 예를 들어 악성코드 감염이 확인되면 자동으로 해당 엔드포인트를 네트워크에서 격리하고, 관련 파일을 샌드박스로 전송하여 분석하며, 보안팀에 상세 리포트를 전송하는 일련의 과정이 수 분 내에 완료됩니다. 제 경험상 이런 자동화는 대응 시간을 시간 단위에서 분 단위로 단축시킵니다.