AI 해킹 공격 갈수록 정교해진다…SK쉴더스가 강조한 기업 보안 대응법

인공지능(AI)을 활용한 사이버 공격이 빠르게 발전하면서 기업의 보안 관리 방식에도 변화가 요구되고 있다.

특히 기업이 새로운 업무 기능을 개발하거나 기존 시스템을 확장하는 과정에서 발생하는 보안 공백이 주요 공격 경로로 악용될 수 있다는 분석이 나왔다.

SK쉴더스는 AI 자동화 공격에 대응하기 위해서는 새로운 보안 기술을 도입하는 것뿐 아니라 기존 시스템의 접근 권한과 인증 체계를 철저히 관리하는 것이 중요하다고 강조했다.

SK쉴더스, AI 자동화 공격 대응 가이드 공개

SK쉴더스는 8일 ‘AI 자동화 공격 시대, Shadow IT를 노린 침해사고 분석 및 대응 가이드’를 발표했다.

이번 보고서에는 AI 기반 공격 도구의 작동 방식과 공개된 침해사고 정황에 대한 분석이 담겼다.

기업이 외부에 노출한 업무 시스템과 API를 어떻게 점검하고 관리해야 하는지에 대한 구체적인 대응 방향도 제시했다.

SK쉴더스는 기업의 보안 취약점이 반드시 새로운 공격 기술 때문에 발생하는 것은 아니라고 설명했다.

오히려 기존에 구축한 시스템을 제대로 관리하지 않거나 새로운 기능을 추가하면서 과거의 보안 정책을 충분히 검토하지 않는 문제가 반복되고 있다는 것이다.

새로운 기능 추가하다 기존 보안 체계 놓칠 수 있어

기업은 업무 효율성을 높이기 위해 기존 시스템에 다양한 기능을 추가한다.

그러나 기능 개발에 집중하는 과정에서 처음 시스템을 구축할 때 적용했던 인증 방식이나 접근 권한 정책을 충분히 확인하지 못할 수 있다.

이러한 문제가 반복되면 기존에는 안전하게 관리되던 시스템에서도 보안 공백이 발생할 가능성이 커진다.

특히 여러 고객사에 공통 플랫폼을 제공하는 솔루션 기업은 주의가 필요하다.

기본 플랫폼에 고객사별 맞춤 기능을 추가하는 과정에서 테스트용 시스템이나 개발 단계에서 사용한 기능이 외부에 노출된 채 남을 수 있기 때문이다.

운영 자산 목록에 이러한 시스템이 제대로 등록되지 않으면 보안 담당자가 지속적으로 점검하기도 어려워진다.

기업이 알고도 관리하지 못하는 ‘섀도 IT’ 문제

SK쉴더스는 이처럼 관리가 제대로 이뤄지지 않는 시스템을 ‘섀도 IT(Shadow IT)’의 범주에서 살펴봐야 한다고 설명했다.

섀도 IT는 일반적으로 기업의 공식적인 관리와 통제 범위에서 벗어난 정보기술 자산이나 서비스를 의미한다.

이번 보고서에서는 보안 조직이 존재 자체를 모르는 시스템뿐 아니라 존재를 알고 있어도 관리 책임이 불분명하거나 점검 우선순위에서 밀려난 서비스와 API까지 주의해야 할 대상으로 제시했다.

SK쉴더스는 실제 기업 환경에서는 시스템의 존재를 전혀 모르는 경우보다 시간이 지나면서 관리가 느슨해지는 문제가 더 자주 나타난다고 지적했다.

따라서 기업은 새로운 자산을 발견하는 작업과 함께 기존 자산의 관리 상태도 지속적으로 확인해야 한다.

AI 공격, 정상적인 조회 기능까지 악용할 수 있다

AI 기반 자동화 공격의 특징 중 하나는 정상적인 서비스 기능을 활용해 취약점을 탐색할 수 있다는 점이다.

대표적인 대상은 프로그램 간 데이터를 주고받는 통로인 API다.

예를 들어 회원조회나 고객조회, 상품조회와 같은 기능은 정상적인 업무에서도 사용된다.

하지만 공격자는 AI 도구를 이용해 여러 조회 기능의 연결 관계와 데이터 흐름을 분석하면서 서비스 구조를 파악하려고 시도할 수 있다.

이후 접근 권한 검증이 부족한 부분을 찾아 반복적으로 요청을 보내고, 조회할 수 있는 데이터 범위를 넓히는 방식으로 악용할 가능성이 있다.

이러한 공격은 개별 요청만 살펴보면 정상적인 사용자 활동과 구별하기 어려울 수 있다.

IP 차단만으로는 탐지 어려워…사용자 행동 분석 중요

SK쉴더스는 기존의 공격 패턴을 탐지하거나 특정 IP 주소를 차단하는 방식만으로는 AI 자동화 공격을 충분히 식별하기 어려울 수 있다고 설명했다.

공격에 사용되는 요청 자체가 정상적인 서비스 이용과 비슷한 형태로 나타날 수 있기 때문이다.

따라서 개별 요청이 정상인지 여부만 확인하는 것이 아니라 사용자가 서비스를 이용하는 전체 과정을 분석해야 한다고 강조했다.

어떤 기능을 어떤 순서로 사용하는지, 평소보다 조회 횟수가 급격히 증가했는지, 일반적인 이용 방식과 다른 접근이 발생하는지 등을 함께 확인해야 한다는 것이다.

사용자와 세션, 데이터 접근 패턴을 종합적으로 살펴보면 단순한 IP 기반 탐지에서 놓칠 수 있는 이상 행위를 발견하는 데 도움이 될 수 있다.

AI 침투테스트 도구 ‘ARTEX’ 분석 결과도 공개

SK쉴더스의 화이트해커 조직 EQST는 AI 기반 침투테스트 도구인 ‘ARTEX(아르텍스)’의 공개 코드도 분석했다.

분석 결과 ARTEX는 사람이 직접 수행하던 보안 점검 절차를 AI로 자동화하는 구조를 갖춘 것으로 확인됐다.

여러 대상을 탐색하면서 앞서 수행한 점검 결과를 바탕으로 다음에 확인할 항목을 스스로 선정할 수 있다는 설명이다.

이러한 기술은 기존의 정찰과 취약점 탐색, 검증 과정을 더욱 빠르고 넓은 범위에서 수행하는 데 활용될 수 있다.

다만 SK쉴더스는 ARTEX의 기능 분석과 최근 금융권 침해사고 분석은 별개의 사안이라고 구분했다.

금융권 사고는 공개된 정보와 기술적 정황을 바탕으로 공격 흐름을 분석한 것이며, 실제 공격자가 어떤 도구를 사용했는지는 관계기관의 조사를 통해 확인해야 한다고 밝혔다.

기업이 점검해야 할 보안 대응 3단계

SK쉴더스는 AI 자동화 공격에 대응하기 위한 핵심 절차로 자산 식별, API 모니터링, 탐지·대응의 3단계를 제시했다.

1단계: 외부에 노출된 시스템과 자산 식별

기업이 보유한 업무 시스템과 인터넷에 공개된 서비스, API 등을 확인하고 관리 대상에 포함해야 한다.

운영 중인 시스템뿐 아니라 개발용 기능과 테스트 환경도 점검 대상이다.

2단계: API 접근 권한과 이용 행위 점검

사용자가 정상적으로 로그인했는지 확인하는 인증 절차와 함께 요청한 데이터에 접근할 권한이 있는지도 별도로 검증해야 한다.

또한 API 호출 기록과 사용자 행동을 지속적으로 분석해 비정상적인 조회나 접근 시도를 확인할 필요가 있다.

3단계: 이상 행위 탐지 및 대응 체계 구축

웹방화벽과 단말·네트워크 탐지 시스템 등을 연계해 이상 행위를 식별하고 차단할 수 있도록 해야 한다.

탐지 기준 역시 IP 주소에만 의존하지 않고 사용자와 세션, 접근 패턴까지 포함하는 방식으로 확대할 것을 권고했다.

제로트러스트 기반 보안 체계 강화 필요

SK쉴더스는 AI 공격 기술이 발전하더라도 기업 보안의 기본 원칙은 크게 달라지지 않는다고 강조했다.

보유한 시스템을 정확하게 파악하고, 외부에 노출된 서비스와 API를 통제하며, 데이터 접근 권한을 지속적으로 검증하는 것이 핵심이라는 설명이다.

김병무 SK쉴더스 사이버사업부문장 부사장은 기업이 보유 자산에 대한 가시성을 확보하고 API를 비롯한 외부 노출 영역에 대한 통제를 강화해야 한다고 밝혔다.

또한 변화하는 사이버 위협에 효과적으로 대응할 수 있도록 실질적인 보안 서비스와 제로트러스트 기반 보안 체계 구축을 지속적으로 지원하겠다고 설명했다.

SK쉴더스, 외부 공격표면 관리와 통합 보안 관제 지원

SK쉴더스는 기업의 외부 노출 자산을 식별하기 위한 공격표면 관리 서비스를 운영하고 있다.

이와 함께 API와 웹 위협 관제, 통합 연계분석, 자동 대응 관제 등을 통해 이상 행위 탐지부터 대응까지 지원하고 있다.

자체 제로트러스트 방법론인 ‘SKZT’를 활용한 성숙도 평가도 제공한다.

이를 통해 기업별 보안 수준을 진단하고 우선적으로 개선해야 할 과제를 도출한다는 설명이다.

AI 자동화 공격으로 취약점 탐색 속도와 범위가 확대되는 상황에서 기업이 기존 시스템의 보안 상태를 지속적으로 점검하고 관리하는 일이 더욱 중요해지고 있다.