Network-Centric Ransomware Intrusion Detection Framework

디지털 세계에서 특정 종류의 위협은 단순한 성가심을 넘어 글로벌 위기로 진화했습니다. 수십 년 동안 랜섬웨어라고 알려진 악성 소프트웨어는 컴퓨터 데이터를 인질로 잡아 파일을 암호화하고 그 해제를 위해 대가를 요구해 왔습니다. 개별 컴퓨터에 설치된 보안 소프트웨어는 이러한 프로그램이 시작되기 전에 종종 차단할 수 있지만, 영리한 공격자들은 자신의 행동을 숨겨 이러한 방어 체계를 빠져나가는 법을 터득했습니다. 컴퓨터가 이미 침해된 상태라면, 현재 일어나고 있는 일에 대한 유일한 관측 방법은 종종 네트워크 자체, 즉 기기 간에 이동하는 데이터의 흐름에서 옵니다. 이곳에 최종 방어선이 존재합니다. 컴퓨터와 데이터가 저장된 중앙 파일 서버 사이를 흐르는 트래픽을 감시함으로써, 보안 전문가들은 악성 프로그램이 자신을 위장하려 하더라도 진행 중인 공격의 고유한 시그니처를 포착하기를 희망합니다.

호주 라 트로브 대학교(La Trobe University)의 연구팀은 이 디지털 트래픽을 감시하는 새로운 방법을 개발하여, 이미 시스템을 돌파한 랜섬웨어를 잡아내도록 설계된 프레임워크를 만들었습니다. 그들의 접근 방식은 단순히 알려진 악성 행위자를 찾는 것을 넘어 데이터 자체의 행동에 집중합니다. 그들은 "관심 트래픽(Traffic of Interest)"이라 부르는 방법을 도입했는데, 이는 컴퓨터가 무엇을 하고 있는지에 대한 이야기를 들려주는 특정 정보 패킷들을 하나의 그룹으로 묶는 필터 역할을 합니다. 네트워크를 가로지르는 모든 개별 데이터를 분석하는 대신(이는 과부하를 일으키고 속도를 늦출 수 있습니다), 이 기술는 컴퓨터가 공유 드라이브에서 파일을 읽거나, 쓰거나, 수정하는 특정 순간들을 분리해 냅니다. 이러한 결정적인 순간들에 집중함으로써, 시스템은 사용자가 단순히 작업을 백업하는 것과 악성 프로그램이 눈에 보이는 모든 것을 암호화하는 것을 구별할 수 있습니다.

연구진은 이 방법이 실제 환경에서 작동할 수 있는지 확인하기 위해 테스트 환경을 구축했습니다. 그들은 파일 서버와 여러 대의 클라이언트 컴퓨터가 있는 가상 네트워크를 설정한 다음, 2013년부터 2022년 사이에 발견된 가장 최근의 변종부터 오래된 유형에 이르기까지 매우 다양한 랜섬웨어 제품군을 투입했습니다. 결정적으로, 그들은 이러한 공격을 일반적이고 조용한 컴퓨터 활동에 대해서만 테스트한 것이 아닙니다. 그들은 폴더 압축, 개인정보 보호를 위한 데이터 암호화, 또는 방대한 양의 파일 복사와 같이 과도한 파일 작업을 수행하는 정상적인 애플리케이션들도 함께 실행했습니다. 이러한 정당한 작업들은 때때로 랜섬웨어와 매우 유사하게 보일 수 있으며, 많은 기존 탐지 시스템은 이를 구별하는 데 어려움을 겪어 종종 오경보를 울리곤 했습니다. 사용자가 파일을 압축하는 것과 바이러스가 파일을 암호화하는 것 사이의 미묘한 차이를 인식하도록 시스템을 훈련시킴으로써, 연구진은 위협에는 민감하면서도 정상적인 활동에는 차분한 탐지기를 만드는 것을 목표로 했습니다.

실험 결과는 놀라웠습니다. 전체 공격 범위를 대상으로 시스템을 테스트했을 때, 시스템은 거의 99.64%의 정밀도로 랜섬웨어를 정확히 식별했습니다. 아마도 가장 중요한 점은, 시스템이 랜섬웨어 공격을 감지하지 못한 경우가 1,000번 시도 중 단 한 번뿐이었다는 것인데, 이는 사실상 제로에 가까운 비율입니다. 이는 시스템이 위협을 놓치는 경우가 거의 없음을 의미합니다. 동시에, 무고한 애플리케이션을 악성으로 잘못 분류하는 경우도 10만 번의 점검 중 단 4번뿐이었습니다. 연구진은 또한 이러한 탐지가 공격의 매우 초기에 일어날 수 있음을 입증했습니다. 의심스러운 활동의 처음 몇 십 가지 순간만을 분석함으로써, 시스템은 99.44%의 정확도로 침입을 식별해 냈으며, 종종 피해가 발생하기 전에 이를 파악했습니다. 이러한 조기 경보 능력은 관리자가 중요한 데이터가 손실되기 전에 공격을 차단할 수 있는 시간을 제공한다는 점에서 매우 중요합니다.

탐지를 구동하는 머신러닝 모델 외에도, 팀은 랜섬웨어에 고유한 행동 단서인 '침해 지표(indicators of compromise)' 세트를 발견했습니다. 이것들은 공격자가 쉽게 변경할 수 있는 단순한 불량 주소나 파일 이름의 목록이 아닙니다. 대신, 이 지표들은 데이터가 움직이는 방식의 패턴입니다. 예를 들어, 연구진은 랜섬웨어가 피해자에게 무엇을 해야 할지 알리기 위해 일관된 크기를 가진 특정 유형의 메시지 파일을 생성하며, 파일을 잠글 때 매우 특정한 명령 시퀀스를 따른다는 것을 발견했습니다. 이러한 패턴은 공격자가 흔적을 숨기려 할 때도 여전히 가시적입니다. 연구진은 이러한 패턴들을 알려진 위협에 대한 시그니처로 사용할 수 있도록 저장소에 정리하여, 머신러닝 모델과 병행하여 작동하는 두 번째 방어 계층을 제공했습니다.

본 연구는 기존의 탐지 방법들이 충분하다는 생각을 명시적으로 반박합니다. 저자들은 많은 초기 연구들이 랜섬웨어처럼 행동하는 정상적인 애플리케이션이 포함되지 않은 데이터셋에 의존했기 때문에, 바쁜 사무실 환경에서는 유지될 수 없는 지나치게 낙관적인 결과를 냈다고 주장합니다. 또한 그들은 많은 기존 도구들이 암호화되지 않은 데이터를 보는 것에 의존하고 있는데, 네트워크가 강력한 암호화를 채택함에 따라 이는 점점 더 드물어지고 있다는 점을 지적했습니다. 그러나 그들의 프레임워크는 암호화된 트래픽과 암호화되지 않은 트래픽 모두를 사용하여 테스트되었으며, 보안 설정에 관계없이 노이즈를 뚫고 볼 수 있음을 증명했습니다. 바이러스의 정적인 코드보다는 실제 파일 작업의 행동에 집중함으로써, 연구진은 네트워크를 보호하는 더욱 견고한 방법을 제시했습니다. 이 연구는 랜섬웨어가 계속 진화하겠지만, 특정 행동 패턴에 대한 예리한 시선으로 데이터의 흐름을 감시하는 것이 그것을 막기 위한 신뢰할 수 있는 경로를 제공한다는 점을 시사합니다.