침투 기법

사회 공학은 기술적 취약점보다는 인간의 심리적 약점을 공략하는 침투 기법이다. 이 기법은 사람의 신뢰, 호기심, 두려움, 권위에 대한 복종과 같은 본성을 이용하여 비밀 정보를 획득하거나 보안 절차를 우회한다. 기술적 방어가 견고할수록 공격자는 인간 요소를 표적으로 삼는 경우가 많으며, 이는 침투 테스트에서도 중요한 평가 항목으로 다뤄진다.

사회 공학의 주요 수법으로는 피싱, 스미싱, 비싱 등이 있다. 피싱은 이메일을 통해 가짜 웹사이트로 유도하여 개인정보를 탈취하는 것이고, 스미싱은 문자 메시지를, 비싱은 음성 통화를 이용한다. 또한, 공격자가 신뢰할 수 있는 사람이나 조직을 사칭하는 전화 사기나, 물리적으로 접근하여 민감 정보를 엿보는 숄더 서핑, 쓰레기를 뒤져 정보를 수집하는 더빙도 사회 공학에 포함된다.

이러한 공격을 방어하기 위해서는 지속적인 보안 인식 교육이 필수적이다. 조직 구성원이 일반적인 사회 공학 기법을 인지하고, 의심스러운 요청을 검증하는 절차를 숙지해야 한다. 또한, 정보 보안 정책을 명확히 하고, 필요 최소한의 권한만 부여하는 최소 권한의 원칙을 적용하는 것이 중요하다.

네트워크 공격은 공격 대상의 네트워크 인프라와 서비스를 대상으로 취약점을 찾아 침투하는 기법이다. 이는 주로 네트워크 상에서 운영되는 서버, 라우터, 스위치, 방화벽 등의 장비와 그 위에서 동작하는 서비스(예: 웹 서버, 메일 서버, 데이터베이스)를 공격 대상으로 삼는다. 공격자는 원격으로 네트워크를 통해 시스템에 접근하여 권한을 획득하거나 중요한 데이터를 탈취하는 것을 목표로 한다.

대표적인 네트워크 공격 유형으로는 포트 스캐닝을 통한 서비스 탐지, 버퍼 오버플로 공격, 서비스 거부 공격(DoS/DDoS), 맨 인더 미들(MITM) 공격 등이 있다. 또한, 네트워크 장비 자체의 취약한 구성(예: 기본 패스워드 사용)이나 오래된 프로토콜의 결함을 이용한 공격도 빈번하게 발생한다. 이러한 공격은 외부에서 인터넷을 통해 직접 이루어지거나, 내부 네트워크에 이미 침투한 후 확장을 위해 수행되기도 한다.

네트워크 침투 테스트에서는 Nmap이나 Nessus와 같은 도구를 활용해 대상 네트워크의 구조를 파악하고 열린 포트, 운영 체제, 실행 중인 서비스 버전 정보 등을 수집한다. 수집된 정보를 바탕으로 알려진 취약점 데이터베이스(CVE)를 조회하거나, 메타스플로잇(Metasploit) 같은 프레임워크를 이용해 실제 악용 가능성을 검증한다. 이를 통해 조직의 네트워크 경계 보안이 얼마나 견고한지 평가할 수 있다.

이러한 공격에 효과적으로 대응하기 위해서는 정기적인 패치 관리, 불필요한 포트 및 서비스 차단, 강력한 접근 통제 정책 수립, 그리고 네트워크 트래픽을 상시 모니터링하는 침입 탐지 시스템(IDS)이나 침입 방지 시스템(IPS)의 도입이 필수적이다.

애플리케이션 공격은 웹 애플리케이션이나 모바일 애플리케이션, 데스크톱 소프트웨어 등에서 발견되는 취약점을 악용하는 공격 기법이다. 이는 네트워크 인프라를 직접 공격하는 것과 구분되며, 주로 애플리케이션의 논리적 결함이나 코딩 오류를 표적으로 한다. 공격자는 인증 또는 권한 부여 메커니즘의 우회, 데이터베이스 조작, 민감한 데이터 탈취 등을 목표로 한다.

애플리케이션 공격의 대표적인 유형으로는 SQL 삽입과 크로스 사이트 스크립팅이 있다. SQL 삽입은 애플리케이션의 입력 필드를 통해 악의적인 SQL 쿼리를 삽입하여 데이터베이스를 조작하거나 정보를 유출하는 공격이다. 크로스 사이트 스크립팅은 웹사이트에 악성 스크립트를 삽입하여 다른 사용자의 브라우저에서 실행되게 하여 세션 정보를 탈취하거나 사용자를 속이는 데 사용된다. 이 외에도 파일 업로드 취약점, 인증 우회, 비즈니스 로직 결함 등 다양한 공격 벡터가 존재한다.

이러한 공격을 방어하기 위해서는 시큐어 코딩 관행을 준수하고, 정기적인 보안 코드 리뷰와 동적 애플리케이션 보안 테스트를 수행하는 것이 중요하다. 또한 웹 애플리케이션 방화벽을 도입하여 알려진 공격 패턴을 실시간으로 차단할 수 있다.

물리적 침투는 정보 시스템의 디지털 보안 경계를 우회하여, 공격자가 실제로 시설이나 장비에 접근하는 공격 기법이다. 이는 사회 공학과 결합되거나 단독으로 수행될 수 있으며, 물리적 보안이 취약한 경우 심각한 위협이 된다. 공격 목표는 서버실이나 네트워크 장비가 위치한 구역에 침입하거나, 직원의 노트북 컴퓨터나 USB 드라이브와 같은 개인 장비에 접근하여 악성 코드를 설치하거나 데이터를 탈취하는 것이다.

주요 수단으로는 테일게이팅이 있다. 이는 합법적인 출입자가 보안 문을 통과할 때 그 뒤를 밀착하여 따라 들어가는 방법이다. 또한, 분실되거나 도난당한 보안 카드나 키를 이용하거나, 잠금 장치를 해제하는 락 피킹 기술을 사용하기도 한다. 일부 공격자는 청소부나 유지보수 기술자로 위장하여 표적 건물에 자유롭게 출입하기도 한다.

성공적인 물리적 침투는 내부 네트워크에 직접 접근할 수 있는 발판을 제공한다. 공격자는 회의실이나 공용 공간에 설치된 이더넷 포트에 연결하거나, 무단으로 설치한 키로거 같은 하드웨어 장치를 통해 추가적인 공격을 수행할 수 있다. 따라서 포괄적인 침투 테스트에는 반드시 물리적 보안 평가가 포함되어야 하며, 디지털 방어 체계만으로는 이러한 위협을 완전히 차단할 수 없음을 보여준다.

정찰 및 정보 수집은 침투 테스트의 첫 번째 단계로, 공격 표면을 이해하고 취약점을 식별하기 위한 기초 정보를 체계적으로 수집하는 과정이다. 이 단계는 수동적 정보 수집과 능동적 정보 수집으로 구분된다. 수동적 정보 수집은 표적 시스템과 직접적인 상호작용 없이 공개 출처를 통해 정보를 획득하는 방식이다. 예를 들어, 구글 해킹 기법을 사용하거나, 소셜 미디어 프로필, 후보자 명부, 공개된 도메인 네임 시스템 기록, 기술 포럼 게시글 등을 분석하는 것이 여기에 해당한다. 이는 탐지될 위험이 낮지만, 수집 가능한 정보가 제한적일 수 있다.

반면 능동적 정보 수집은 표적 시스템에 직접적인 네트워크 패킷을 전송하여 응답을 분석하는 방식이다. 대표적인 활동으로는 포트 스캐닝을 통한 열린 포트 및 실행 중인 서비스 식별, 네트워크 매핑을 통한 라우터와 스위치 같은 네트워크 장치 및 호스트의 토폴로지 파악, 그리고 취약점 스캐너를 이용한 알려진 취약점 탐지 등이 있다. 이 과정에서 Nmap, Masscan과 같은 도구가 널리 사용된다. 능동적 스캔은 더 풍부한 정보를 제공할 수 있지만, 침입 탐지 시스템이나 방화벽 로그에 탐지될 가능성이 높다.

정보 수집의 범위는 테스트의 목적과 범위에 따라 달라진다. 웹 애플리케이션을 대상으로 할 경우, 소스 코드 분석, 입력 폼 및 애플리케이션 프로그래밍 인터페이스 엔드포인트 식별, 사용 중인 웹 프레임워크와 서버 소프트웨어 버전 확인 등이 추가된다. 조직을 대상으로 하는 경우, 직원 이메일 주소 패턴, 사용 중인 클라우드 서비스 공급자, 물리적 보안 절차, 폐기된 문서 등도 중요한 정보원이 될 수 있다. 이 단계에서 수집된 정보는 이후 취약점 분석 및 악용 단계에서 공격 벡터를 선정하는 데 결정적인 기반이 된다.

취약점 분석은 정찰 단계에서 수집한 정보를 바탕으로 대상 시스템이나 애플리케이션에 존재할 수 있는 보안 허점을 식별하고 평가하는 단계이다. 이 단계는 단순히 취약점을 나열하는 것을 넘어, 발견된 취약점의 심각도, 악용 가능성, 그리고 공격에 성공했을 때의 잠재적 영향을 종합적으로 분석하여 실제 공격 단계에서 우선적으로 활용할 대상을 선정하는 데 중점을 둔다.

분석은 주로 자동화된 스캐너 도구와 수동 검사를 병행하여 수행된다. 자동화 도구는 Nessus, OpenVAS, Nexpose와 같은 취약점 스캐너를 사용하여 알려진 취약점 데이터베이스(CVE)와 대조하여 빠르게 문제점을 찾아낸다. 반면, 수동 분석은 소스 코드 분석, 구성 설정 검토, 비즈니스 로직 결함 탐색 등 자동화 도구로는 발견하기 어려운 복잡한 취약점을 찾아내는 데 필수적이다.

분석 결과는 발견된 각 취약점에 대해 다음과 같은 기준으로 평가된다.

이러한 체계적인 분석을 통해 침투 테스터는 다음 단계인 악용(Exploitation)에서 가장 효과적이고 위험한 공격 경로를 선택할 수 있으며, 최종 보고서를 통해 고객에게 명확한 위험 평가와 구체적인 개선 권고를 제공할 수 있는 근거를 마련한다.

악용 단계는 정찰과 취약점 분석을 통해 식별된 결함을 실제로 공격하여 초기 접근 권한을 얻는 과정이다. 이 단계에서 공격자는 익스플로잇 코드나 스크립트를 사용하여 시스템이나 애플리케이션의 취약점을 트리거한다. 성공적인 악용은 공격자에게 제한된 사용자 권한이나 시스템 쉘 접근과 같은 초기 발판을 제공한다. 일반적인 악용 대상에는 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 버퍼 오버플로우, 그리고 잘못된 구성으로 인한 취약점이 포함된다.

악용은 수동적이거나 자동화된 방식으로 수행될 수 있다. 수동 악용은 공격자가 취약점을 이해하고 맞춤형 페이로드를 수동으로 구성하는 것을 의미한다. 반면, 메타스플로잇 프레임워크와 같은 자동화 도구는 사전 제작된 익스플로잇 모듈을 제공하여 공격 과정을 단순화하고 가속화한다. 이러한 도구들은 다양한 운영체제와 서비스에 대한 광범위한 공격 벡터를 데이터베이스화하여 침투 테스터나 공격자가 효율적으로 활용할 수 있게 한다.

악용의 궁극적인 목표는 시스템 침입을 통한 초기 접근이다. 예를 들어, 웹 애플리케이션의 SQL 인젝션 취약점을 악용하여 데이터베이스에서 민감한 정보를 추출하거나, 네트워크 서비스의 버퍼 오버플로우를 통해 원격 코드 실행 권한을 획득할 수 있다. 성공적인 악용 후, 공격자는 일반적으로 획득한 접근 권한을 유지하고 확장하기 위한 후속 작업, 즉 권한 상승 및 지속성 확보 단계로 진행한다. 따라서 악용 단계는 방어 체계를 뚫고 내부로 진입하는 실제 돌파구를 마련하는 결정적 단계로 평가된다.

권한 상승 및 유지는 침투 테스트의 핵심 단계로, 초기 침투에 성공한 후 공격자가 획득한 접근 권한을 확대하고 시스템 내에서 지속적으로 접근할 수 있는 발판을 마련하는 과정이다. 이 단계는 단순한 침투를 넘어 시스템을 완전히 장악하는 데 목적이 있다.

권한 상승은 일반 사용자나 제한된 권한을 가진 계정으로 시스템에 접근한 후, 관리자 권한이나 시스템 최고 권한으로 권한을 높이는 공격을 의미한다. 이는 운영체제나 애플리케이션의 설정 오류, 알려진 취약점, 또는 잘못된 권한 구성을 악용하여 이루어진다. 예를 들어, 윈도우 시스템에서는 특권 계정의 자격 증명을 덤프하거나 UAC 우회 기법을 사용하며, 리눅스 환경에서는 SUID/SGID가 설정된 실행 파일이나 커널 취약점을 이용하는 방법이 일반적이다.

권한을 상승시킨 후에는 시스템 내에서의 접근을 유지하기 위한 지속성 메커니즘을 구축한다. 이는 재부팅 후에도 공격자가 백도어를 통해 시스템에 다시 접근할 수 있도록 하는 작업이다. 일반적인 방법으로는 시작 프로그램 등록, 예약 작업 생성, 서비스 수준의 백도어 설치, 또는 합법적인 시스템 도구를 악용하는 리빙 오프 더 랜드 기법이 사용된다. 또한, 네트워크 내 다른 시스템으로 이동하는 횡적 이동을 통해 공격 범위를 확대하기도 한다.

이 단계의 성공 여부는 침투 테스트의 깊이와 실질적인 위험 평가에 직접적인 영향을 미친다. 따라서 테스터는 시스템의 방어 체계를 우회하고 탐지를 회피하면서도, 테스트 범위와 규칙에 따라 책임 있는 방식으로 활동해야 한다. 최종적으로 발견된 권한 상승 경로와 지속성 유지 방법은 상세한 보고서에 기록되어 조직의 보안 강화에 기여한다.

침투 테스트의 마지막 단계는 보고서 작성이다. 이 단계에서는 테스트 과정에서 발견된 모든 활동, 결과, 그리고 권고 사항을 체계적으로 문서화한다. 보고서는 단순히 발견된 취약점을 나열하는 것을 넘어, 비즈니스적 위험을 평가하고 실질적인 개선 방안을 제시하는 핵심 산출물이다. 따라서 명확성, 정확성, 그리고 실행 가능성이 보고서의 핵심 가치이다.

보고서는 일반적으로 실행 요약, 상세한 기술적 발견 사항, 그리고 결론 및 권고 사항으로 구성된다. 실행 요약은 경영진을 대상으로 테스트의 범위, 주요 발견 사항, 그리고 전반적인 보안 상태를 간략하게 설명한다. 상세 기술 보고서에는 각 취약점에 대한 설명, 발견된 경로, 재현 단계, 개념 증명 코드, 그리고 위험도 평가가 포함된다. 위험도는 보통 취약점의 악용 가능성과 발생 시 비즈니스에 미치는 영향에 따라 결정된다.

보고서 작성 시에는 발견된 모든 증거와 데이터를 객관적으로 기록해야 한다. 각 취약점은 명확한 제목, 고유 식별자, 상세 설명, 영향도, 그리고 재현을 위한 단계별 가이드로 기술된다. 특히, 개념 증명 단계는 테스터가 실제로 취약점을 악용하여 접근 권한을 획득하거나 데이터를 유출했음을 입증하는 데 중요하다. 이를 통해 조직은 해당 문제의 심각성을 명확히 이해할 수 있다.

최종적으로, 보고서는 단순한 문제 지적이 아닌 해결책을 제시하는 데 중점을 둔다. 각 취약점에 대해 구체적이고 실현 가능한 조치 방안을 제안하며, 단기적 패치부터 장기적인 보안 아키텍처 개선에 이르기까지 우선순위에 따른 권고 사항을 포함한다. 이 문서는 사이버 보안 팀이 취약점을 수정하는 데 활용할 뿐만 아니라, 향후 보안 정책 수립과 보안 인식 교육 자료로도 사용될 수 있다.