제로 데이 공격
"오늘의AI위키"의 AI를 통해 더욱 풍부하고 폭넓은 지식 경험을 누리세요.
1. 개요
제로 데이 공격은 소프트웨어 또는 하드웨어의 취약점이 발견된 후, 개발사나 사용자가 이를 인지하거나 패치하기 전에 발생하는 공격을 의미한다. 공격자는 이 취약점을 악용하여 코드 주입 등의 악의적인 행위를 할 수 있다. 제로 데이 공격은 웹 브라우저, 이메일 등을 통해 이루어지며, 무방비 시간대 동안 시스템이 위험에 노출된다. 이러한 공격은 국가, 조직 범죄 등 다양한 주체에 의해 이루어지며, 익스플로잇 개발에는 평균 22일이 소요된다. 제로 데이 공격은 윤리적 문제와 시장을 형성하며, 정부 및 기업은 심층 방어, 화이트리스팅, 패치 적용 지연 등의 기술을 통해 대응한다.
더 읽어볼만한 페이지
- 와레즈 - 소프트웨어 크래킹
소프트웨어 크래킹은 복제 방지 기술을 무력화하거나 소프트웨어 기능을 변경하는 행위로, 불법 복제, 개인 정보 유출, 악성 코드 삽입 등 불법 행위로 이어지며 경제적 손실을 초래한다. - 와레즈 - P2P
P2P는 인터넷 연결된 리소스를 활용하는 분산 컴퓨팅 네트워크 아키텍처로, 파일 공유 네트워크를 중심으로 발전하여 다양한 분야로 확장되었으며, 인덱스 정보 관리 방식에 따라 여러 유형으로 분류되고 사회적 함의를 지닌다. - 컴퓨터 바이러스 - 님다
2001년에 발견된 님다는 전자 우편, 네트워크 공유, 감염된 웹사이트, IIS 서버 취약점, 백도어 등 다양한 경로를 통해 빠르게 확산된 강력한 컴퓨터 웜으로, 이메일 읽기만으로도 감염될 수 있고 발신자 주소 위장이 가능하여 피해를 키웠다. - 컴퓨터 바이러스 - ILOVEYOU
ILOVEYOU는 2000년 5월 전 세계에 막대한 피해를 준 웜 바이러스로, "I LOVE YOU"라는 제목의 이메일과 악성 첨부파일, 사회 공학적 기법, 윈도우 시스템 취약점 등을 이용하여 빠르게 확산되어 컴퓨터 바이러스 역사상 가장 파괴적인 사례 중 하나로 기록되었다. - 취약점 공격 - 보안 취약점
보안 취약점은 시스템의 설계, 구현, 운영, 관리상 결함이나 약점으로, 위협에 의해 악용되어 시스템 보안 정책을 위반할 수 있는 요소이며, ISO 27005, IETF RFC 4949, NIST SP 800-30, ENISA 등 다양한 기관에서 정의하고 있다. - 취약점 공격 - 인터넷 보안
인터넷 보안은 사이버 위협, 악성 소프트웨어, 서비스 거부 공격 등으로부터 정보와 시스템을 보호하기 위해 네트워크 계층 보안, 다단계 인증, 방화벽 등 다양한 기술과 방법을 포괄한다.
| 제로 데이 공격 | |
|---|---|
| 보안 취약점 | |
| 유형 | 소프트웨어 보안 취약점 |
| 설명 | 보안 취약점이 발견되었지만, 아직 패치가 배포되지 않은 상태 공격자가 이 취약점을 악용하여 시스템에 침투하거나 피해를 줄 수 있음 |
| 용어 | |
| 다른 이름 | 0-day 취약점 0-day 공격 |
| 악용 | |
| 공격 시점 | 취약점이 알려지기 전 또는 패치가 배포되기 전 |
| 공격 성공률 | 방어하기 매우 어려움 |
| 대응 | |
| 일반적인 방법 | 침입 탐지 시스템 (IDS) 침입 방지 시스템 (IPS) 웹 방화벽 (WAF) |
| 추가 정보 | 제로 데이 공격은 예측이 어렵기 때문에 완벽한 방어는 사실상 불가능 알려지지 않은 취약점을 이용하기 때문에 시그니처 기반의 보안 시스템으로는 탐지하기 어려움 행동 기반 분석, 샌드박스 등의 기술을 활용하여 탐지 가능성을 높일 수 있음 |
2. 정의
제로 데이 공격은 소프트웨어나 하드웨어의 취약점이 발견되어 개발사나 사용자가 이를 인지하기도 전, 또는 인지했더라도 패치나 수정 사항이 나오기 전에 발생하는 공격을 의미한다. 이러한 취약점은 악의적인 행위자에 의해 악용될 수 있으며, 공격자는 이를 통해 코드 주입등을 할 수 있다.
맬웨어 제작자들은 제로 데이 대상물의 취약점을 여러 가지 경로로 공략할 수 있다. 예를 들면, 사용자들이 블랙햇 웹 사이트에 접근할 때, 사이트의 코드가 웹 브라우저의 약점을 파고들 수 있다. 널리 사용된다는 점에서 웹 브라우저는 특히 더 대상이 되곤 한다.[24] 해커들은 첨부 파일을 엶으로 인해 프로그램의 약점에 파고들 수 있는 SMTP를 통해 이메일을 보내기도 한다.[24] 특정 파일 타입을 더 선호하는 공격자들도 상당히 많은데, 이는 US-CERT 같은 데이터베이스에 그들의 출현 빈도가 증가하는 것에서 알 수 있다. 악의를 가진 사용자는 멀웨어를 만들어 이런 파일 타입의 프로그램을 이용, 시스템을 공격하거나 기밀 데이터를 훔칠 수 있다.[25]
보안 문제 해결에 있어서 설정 변경으로 즉시 대처할 수 있는 경우도 있지만, 소프트웨어나 하드웨어 공급업체에서 취약점을 해소하기 위한 수정 프로그램을 배포할 때까지 기다려야 하는 경우가 많다.[11] 대처가 완료될 때까지, 어떤 차선책(예: 서비스 일부 중단 등)을 취할 수 없는 컴퓨터는 해당 취약점에 대해 무방비 상태가 된다.
취약점 정보 데이터베이스를 통해 이미 알려진 취약점 정보는 널리 공개되어 있으며, 익스플로잇이 널리 알려지는 경우도 있다.[11] 많은 해커가 이러한 취약점 정보를 참조할 수 있음에도 불구하고, 관리자가 할 수 있는 일은 제한적이므로, 발견된 취약점의 내용에 따라서는 매우 큰 위협이 된다.[11] 제로 데이 공격은 APT 공격과 함께 사용되는 경우도 많다.[12]
3. 공격 방식
제로데이 공격은 무방비 시간대가 위협이 개시된 시점과 프로그램 제작자가 패치를 내놓는 시점 사이에 존재할 때 일어난다.
바이러스에 있어서, 트로이 목마나 다른 제로데이 공격의 경우, 무방비 시간대는 다음과 같은 전개를 보인다.
이러한 전개는 몇 시간에서 며칠까지 이어질 수 있으며, 이동안 네트워크는 이른바 '''무방비 시간대'''를 통과하게 된다. 한 리포트에 따르면 2006년의 무방비 시간대는 28일 정도로 추정하고 있다.[26]
익스플로잇은 대상 시스템을 침투하여 운영 중단, 멀웨어 설치 또는 데이터 유출과 같은 목적으로 취약점을 악용하는 전달 메커니즘이다. 연구원 릴리안 에이블론(Lillian Ablon)과 앤디 보가트(Andy Bogart)는 "제로데이 익스플로잇의 진정한 범위, 사용, 이점 및 피해에 대해 알려진 바가 거의 없다"고 적고 있다. 제로데이 취약점을 기반으로 한 익스플로잇은 알려진 취약점을 악용하는 것보다 더 위험한 것으로 간주된다. 하지만 대부분의 사이버 공격은 제로데이가 아닌 알려진 취약점을 사용할 가능성이 높다.
국가는 취약점을 찾거나 구매하는 데 드는 높은 비용뿐만 아니라 공격 소프트웨어를 작성하는 데 드는 상당한 비용 때문에 제로데이 익스플로잇의 주요 사용자이다. 그럼에도 불구하고, 누구든지 취약점을 사용할 수 있으며, 랜드 연구소(RAND Corporation)의 연구에 따르면 "어떤 심각한 공격자라도 거의 모든 대상을 위해 저렴한 제로데이를 항상 얻을 수 있다". 많은 표적 공격과 대부분의 지능형 지속 위협은 제로데이 취약점에 의존한다.
제로데이 취약점에서 익스플로잇을 개발하는 데 걸리는 평균 시간은 22일로 추정되었다. 인기 있는 소프트웨어의 익스플로잇 방지 기능이 강화되면서 익스플로잇 개발의 어려움은 시간이 지남에 따라 증가하고 있다.
3. 1. 공격 매개 요소
맬웨어 제작자들은 사용자들이 블랙햇 웹 사이트에 접근할 때, 사이트의 코드가 웹 브라우저의 약점을 파고드는 방식 등으로 제로 데이 대상물의 취약점을 여러 경로로 공략할 수 있다. 널리 사용된다는 점에서 웹 브라우저는 특히 더 대상이 되곤 한다.[24] 해커들은 첨부 파일을 엶으로 인해 프로그램의 약점에 파고들 수 있는 SMTP를 통해 이메일을 보내기도 한다.[24] 특정 파일 타입을 더 선호하는 공격자들도 상당히 많은데, 이는 US-CERT 같은 데이터베이스에 그들의 출현 빈도가 증가하는 것에서 알 수 있다. 악의를 가진 사용자는 멀웨어를 만들어 이런 파일 타입의 프로그램을 이용, 시스템을 공격하거나 기밀 데이터를 훔칠 수 있다.[25]
익스플로잇은 대상 시스템을 침투하여 운영 중단, 멀웨어 설치 또는 데이터 유출과 같은 목적으로 취약점을 악용하는 전달 메커니즘이다. 제로데이 취약점을 기반으로 한 익스플로잇은 알려진 취약점을 악용하는 것보다 더 위험한 것으로 간주된다. 하지만 대부분의 사이버 공격은 제로데이가 아닌 알려진 취약점을 사용할 가능성이 높다.
국가는 취약점을 찾거나 구매하는 데 드는 높은 비용뿐만 아니라 공격 소프트웨어를 작성하는 데 드는 상당한 비용 때문에 제로데이 익스플로잇의 주요 사용자이다. 그럼에도 불구하고, 누구든지 취약점을 사용할 수 있으며, 랜드 연구소의 연구에 따르면 "어떤 심각한 공격자라도 거의 모든 대상을 위해 저렴한 제로데이를 항상 얻을 수 있다"고 한다. 많은 표적 공격과 대부분의 지능형 지속 위협은 제로데이 취약점에 의존한다.
제로데이 취약점에서 익스플로잇을 개발하는 데 걸리는 평균 시간은 22일로 추정되었다. 인기 있는 소프트웨어의 익스플로잇 방지 기능이 강화되면서 익스플로잇 개발의 어려움은 시간이 지남에 따라 증가하고 있다.
3. 2. 무방비 시간대
제로데이 공격은 무방비 시간대가 위협이 개시된 시점과 프로그램 제작자가 패치를 내놓는 시점 사이에 존재할 때 일어난다.[26]
바이러스, 트로이 목마 등 제로데이 공격의 경우, 무방비 시간대는 새로운 위협의 출현, 공격 프로그램 발견 및 연구, 해결책 개발, 패치 또는 업데이트된 서명 패턴 발표, 사용자 시스템에 패치 배포 및 설치 또는 바이러스 데이터베이스 업데이트까지의 과정을 포함한다. 이 과정은 몇 시간에서 며칠까지 소요될 수 있으며, 이 동안 네트워크는 "무방비 시간대"를 거친다. 2006년에는 무방비 시간대가 평균 28일 정도로 추정되었다.[26]
익스플로잇은 대상 시스템을 침투하여 운영 중단, 멀웨어 설치 또는 데이터 유출과 같은 목적으로 취약점을 악용하는 전달 메커니즘이다. 제로데이 취약점을 기반으로 한 익스플로잇은 알려진 취약점을 악용하는 것보다 더 위험하다고 알려져 있다. 그러나 대부분의 사이버 공격은 제로데이가 아닌 알려진 취약점을 사용할 가능성이 높다.
국가는 취약점을 찾거나 구매하고 공격 소프트웨어를 작성하는데 상당한 비용이 들기 때문에 제로데이 익스플로잇의 주요 사용자이다. 그럼에도 불구하고, 누구든지 취약점을 사용할 수 있으며, 랜드 연구소의 연구에 따르면 "어떤 심각한 공격자라도 거의 모든 대상을 위해 저렴한 제로데이를 항상 얻을 수 있다". 많은 표적 공격과 대부분의 지능형 지속 위협은 제로데이 취약점에 의존한다.
제로데이 취약점에서 익스플로잇을 개발하는 데 걸리는 평균 시간은 22일로 추정되었다. 공개적으로 알려진 취약점과 좀비 취약점조차도 종종 장기간 악용될 수 있다. 보안 패치를 개발하는 데 몇 달이 걸릴 수 있으며, 아예 개발되지 않을 수도 있다. 패치는 소프트웨어 기능에 부정적인 영향을 미칠 수 있으며 사용자는 기능 및 호환성을 확인하기 위해 패치를 테스트해야 할 수 있다.
연구에 따르면 취약점이 공개적으로 알려지거나 패치가 출시되면 사이버 공격의 위험이 증가한다. 사이버 범죄자는 패치를 역공학하여 근본적인 취약점을 찾아내고 익스플로잇을 개발할 수 있으며, 종종 사용자가 패치를 설치하는 것보다 더 빠르다.
랜드 연구소의 2017년 연구에 따르면 제로 데이 익스플로잇은 평균 6.9년 동안 사용할 수 있지만, 타사에서 구매한 익스플로잇은 평균 1.4년 동안만 사용할 수 있다.[1] 다른 연구에서는 연간 10.8%에서 21.9%에 달하는 더 높은 중복률을 발견했다.[2]
4. 역사
애플(Apple Inc.), 구글(Google), 페이스북(Facebook), 마이크로소프트(Microsoft)와 같은 서비스가 서버와 메시지를 암호화한 후 제로 데이 익스플로잇(Zero-day exploit)의 중요성이 증가했다. 이는 사용자의 데이터에 접근하는 가장 실질적인 방법이 암호화되기 전에 소스에서 가로채는 것이었기 때문이다. 제로 데이 익스플로잇의 가장 잘 알려진 사용 사례 중 하나는 2010년 이란 핵 프로그램에 피해를 입히기 위해 4개의 제로 데이 취약점을 사용한 스턱스넷 웜이었다. 이 웜은 제로 데이 익스플로잇으로 무엇을 달성할 수 있는지 보여주었고, 시장 확대를 촉발했다.
미국 국가안보국(NSA)은 대형 기술 회사가 소프트웨어에 백도어 설치를 거부한 후 제로 데이 취약점 검색을 강화하여 맞춤형 접근 작전(TAO)에 제로 데이 익스플로잇을 발견하고 구매하는 임무를 부여했다. 2007년, 전 NSA 직원인 찰리 밀러는 미국 정부가 제로 데이 익스플로잇을 구매하고 있다는 사실을 처음으로 공개적으로 밝혔다. NSA가 제로 데이에 관여한 일부 정보는 2013년 NSA 계약자 에드워드 스노든이 유출한 문서에서 공개되었지만 세부 사항은 부족했다. 기자 니콜 펄로스는 "스노든이 계약자로서의 접근 권한으로는 필요한 정보를 얻기 위해 정부 시스템에 충분히 접근할 수 없었거나, 제로 데이 획득과 관련된 정부의 일부 소스 및 방법이 너무 기밀이거나 논란이 많아 기관이 감히 서면으로 작성하지 못했다"고 결론 내렸다.
2013년 이후 발견된 가장 악명 높은 취약점 중 하나인 하트블리드 (CVE-2014-0160)는 공개 당시에는 제로 데이가 아니었지만, 소프트웨어 버그가 글로벌 사이버 보안에 미칠 수 있는 치명적인 영향을 강조했다. OpenSSL 암호화(Cryptography) 라이브러리의 이 결함은 발견 전에 제로 데이로 악용되어 공격자가 개인 키 및 비밀번호와 같은 민감한 정보를 훔칠 수 있었다.[5]
2016년에는 해커 그룹인 섀도 브로커스가 미국 국가안보국(NSA)에서 훔친 것으로 알려진 정교한 제로 데이 익스플로잇을 대량으로 공개했다. 여기에는 Microsoft Windows의 서버 메시지 블록(SMB) 프로토콜의 취약점을 활용한 EternalBlue와 같은 도구가 포함되었다. EternalBlue는 나중에 워너크라이 및 NotPetya와 같은 유명한 공격에 무기화되어 전 세계적으로 광범위한 피해를 입혔으며, 취약점 비축의 위험성을 강조했다.[6]
2020년에는 공격자들이 제로 데이 취약점을 포함한 여러 취약점을 악용하여 SolarWinds의 Orion 소프트웨어를 손상시키는 정교한 사이버 스파이 활동이 있었다. 이를 통해 수많은 정부 및 기업 네트워크에 접근할 수 있었다.[7]
2021년에는 중국 정부가 지원하는 그룹인 Hafnium이 Microsoft Exchange Server의 제로 데이 취약점을 악용하여 사이버 스파이 활동을 벌였다. ProxyLogon으로 알려진 이러한 결함으로 인해 공격자는 인증을 우회하고 임의 코드를 실행하여 전 세계 수천 개의 시스템을 손상시켰다.[8]
2022년에는 이스라엘의 NSO 그룹이 개발한 스파이웨어인 페가수스가 iMessage 및 WhatsApp과 같은 메시징 앱에서 제로 클릭 취약점을 악용하는 것으로 밝혀졌다. 이러한 익스플로잇을 통해 공격자는 사용자 상호 작용 없이 대상 장치에 접근할 수 있었고, 감시 및 개인 정보 보호에 대한 우려를 높였다.[9]
4. 1. 주요 사례
2010년 스턱스넷 웜은 이란 핵 프로그램을 공격하기 위해 4개의 제로데이 취약점을 사용했다. 이 웜은 제로 데이 익스플로잇으로 무엇을 달성할 수 있는지 보여주었고, 시장 확대를 촉발했다.2014년 9월 24일 (한국 시간)에는 리눅스 등에서 사용되는 Bash의 취약점(CVE-2014-6271)이 공개되었고, IPA에서 긴급 공지가 이루어졌다. 이 취약점을 이용한 제로 데이 공격을 경찰청은 감시하여 보고서를 공개했다.
2015년에는 Adobe Flash Player의 제로데이 취약점이 여러 차례 발견되어 사용자들에게 큰 불편을 초래했다. 1월 13일에 취약점을 수정한 버전을 출시했지만, 곧바로 2건의 새로운 취약점이 발견되었고, 그 중 하나를 수정한 긴급 패치를 22일에 공개했다. 그러나 나머지 취약점은 해결되지 않은 채로 남아있었고, IPA에서도 주의 권고가 나왔다. 최종적으로 모든 취약점이 수정된 것은 2월 6일이었다.
2016년 섀도 브로커스는 미국 국가안보국(NSA)에서 훔친 것으로 알려진 제로데이 익스플로잇 도구들을 공개했다.[6]
2020년 SolarWinds 공급망 공격은 제로데이 취약점을 포함한 여러 취약점을 악용하여 수많은 정부 및 기업 네트워크에 침투했다.[7]
2021년 Hafnium 그룹은 Microsoft Exchange Server의 제로데이 취약점을 악용하여 사이버 스파이 활동을 벌였다.[8]
2022년 이스라엘 NSO 그룹의 페가수스 스파이웨어는 iMessage 등의 제로 클릭 취약점을 악용하여 사용자 감시에 사용되었다.[9]
5. 윤리적 문제 및 시장
제로데이 취약점 정보의 수집과 사용에 관해서는 여러 가지 의견이 존재한다. 다수의 컴퓨터 보안 프로그램 제작자는 취약점의 특성과 그것들이 개인, 컴퓨터 웜, 바이러스 등에 의해 악용되는 경우를 더 잘 이해하기 위해 제로데이 취약점에 관한 연구를 한다. 그 외에도, 몇몇 제작자들은 자신의 연구 역량을 키우기 위해 취약점을 구매하기도 한다. 그런 프로그램의 예로는 [https://web.archive.org/web/20200723092049/https://www.zerodayinitiative.com/ TippingPoint's Zero Day Initiative]가 있다. 이런 취약점을 사고 파는 행위는 대부분의 지역에서 합법이지만, 그것을 발표하는 방법에 있어서는 많은 논란이 있다. 최근 독일에서는 사이버범죄 집회의 6조항을 포함하도록 판정을 내렸으며, EU의 정보 시스템 공격에 대한 프레임워크 결정 역시 취약점의 판매나 제작을 불법화할 가능성이 있다.
가장 공식적인 방법으로는 RFPolicy 발표 가이드라인을 따르거나 더 최근에 나온 [https://web.archive.org/web/20080618154002/http://www.oisafety.org/guidelines/secresp.html OIS 보안 취약점 보고와 반응의 가이드라인]을 따르는 것 등이 있다. 일반적으로 이런 가이드라인은 취약점의 공개 전에 제작자에게 알리지 않거나 패치 제작이 이루어질 수 있는 적당한 시간을 기다리는 것을 의무화하고 있다.
, 미국이 인지하고 있는 취약점을 패치할 수 있도록 공개할지, 아니면 자체적으로 사용하기 위해 비밀로 유지할지에 대한 논쟁이 계속되고 있다. 국가는 취약점을 공격적 또는 침투 테스트에서 방어적으로 사용하기 위해 비밀로 유지하기도 한다. 취약점을 공개하면 소프트웨어의 소비자 및 모든 사용자가 악성 코드 또는 데이터 유출의 피해를 입을 위험이 줄어든다.
제로 데이 취약점 공개는 일반적으로 발견, 보고, 패치 개발, 공개와 같은 단계를 거친다. 연구자가 취약점을 식별하면 "0일차"로 표시하고, 공급업체나 제3자에게 보고하여 해결 노력을 시작한다. 공급업체는 수정 사항을 개발하며, 복잡성에 따라 몇 주에서 몇 달이 걸릴 수 있다. 패치가 출시되면 세부 사항이 공개적으로 공유된다. 합의된 기간(일반적으로 90일) 내에 패치가 발행되지 않으면 일부 연구자는 조치를 촉구하기 위해 공개하기도 한다.
제로 데이 익스플로잇은 수백만 달러에 거래될 수 있으며, 구매자는 크게 화이트햇, 그레이햇, 블랙햇의 세 가지 유형으로 나뉜다. 화이트햇은 소프트웨어 공급업체나 제로 데이 이니셔티브와 같은 제3자에게 취약점을 공개하고, 종종 버그 바운티를 받는다. 그러나 모든 회사가 취약점 공개에 긍정적인 것은 아니며, 법적 책임 및 운영 부담을 야기할 수 있기 때문이다. 무료로 취약점을 공개한 후 소프트웨어 공급업체로부터 중지 명령을 받는 경우도 있다.
그레이햇 시장은 가장 크고 수익성이 높으며, 정부 또는 정보 기관이 제로 데이를 구매하여 공격에 사용하거나 비축한다. 미국 연방 정부는 가장 큰 구매자 중 하나이며, 2013년 기준으로 파이브 아이즈(미국, 영국, 캐나다, 호주, 뉴질랜드)가 시장의 다수를 차지했다. 러시아, 인도, 브라질, 말레이시아, 싱가포르, 북한, 이란 등도 주요 구매자로 포함되었다. 특히, 북한은 제로데이 취약점을 활용하여 대한민국의 주요 기관에 대한 사이버 공격을 감행하는 것으로 알려져 있어, 한국 입장에서는 주의해야 할 대상이다.
블랙햇 시장에서 조직 범죄는 취약점에 대한 지식보다는 익스플로잇 소프트웨어를 선호하는 경향이 있으며, 이미 패치가 제공된 "하프 데이"를 사용할 가능성이 높다.
2015년, 정부 및 범죄 시장은 화이트 시장보다 최소 10배 이상 큰 것으로 추정되었다. 제로 데이 익스플로잇을 판매하는 것은 합법이지만, 더 많은 규제를 요구하는 목소리가 있다. 그러나 러시아와 이스라엘과 같은 주요 국가들이 관심이 없어 국제 협약이 이루어질 가능성은 거의 없다.
제로 데이를 거래하는 판매자와 구매자는 비밀 유지 계약과 기밀 정보 법률에 의존하며, 은밀하게 거래하는 경향이 있다. 취약성이 알려지면 패치될 수 있으며, 그 가치는 하락한다. 시장의 투명성이 부족하여 공정한 가격을 찾기 어려울 수 있다. 중개인이 늘어나면서 판매자는 익스플로잇이 어떤 용도로 사용될지 알 수 없게 되었고, 구매자는 익스플로잇이 다른 당사자에게 판매되지 않았다는 것을 보장할 수 없다. 구매자와 판매자 모두 다크 웹에서 광고를 한다.
2022년에 발표된 연구에 따르면, 단일 익스플로잇 브로커가 제시한 최대 가격을 기준으로 익스플로잇 가격이 연간 44%의 인플레이션율을 보였다. 원격 제로 클릭 익스플로잇이 가장 높은 가격에 거래될 수 있으며, 장치에 대한 로컬 액세스가 필요한 익스플로잇은 훨씬 저렴했다. 널리 사용되는 소프트웨어의 취약점도 더 비싸다.
5. 1. 윤리적 문제
제로데이 취약점 정보의 수집과 사용에 관해서는 여러 가지 의견이 존재한다. 다수의 컴퓨터 보안 프로그램 제작자는 취약점의 특성과 그것들이 개인, 컴퓨터 웜, 바이러스 등에 의해 악용되는 경우를 더 잘 이해하기 위해 제로데이 취약점에 관한 연구를 한다. 그 외에도, 몇몇 제작자들은 자신의 연구 역량을 키우기 위해 취약점을 구매하기도 한다. 그런 프로그램의 예로는 [https://web.archive.org/web/20200723092049/https://www.zerodayinitiative.com/ TippingPoint's Zero Day Initiative]가 있다. 이런 취약점을 사고 파는 행위는 대부분의 지역에서 합법이지만, 그것을 발표하는 방법에 있어서는 많은 논란이 있다. 최근 독일에서는 사이버범죄 집회의 6조항을 포함하도록 판정을 내렸으며, EU의 정보 시스템 공격에 대한 프레임워크 결정 역시 취약점의 판매나 제작을 불법화할 가능성이 있다.가장 공식적인 방법으로는 RFPolicy 발표 가이드라인을 따르거나 더 최근에 나온 [https://web.archive.org/web/20080618154002/http://www.oisafety.org/guidelines/secresp.html OIS 보안 취약점 보고와 반응의 가이드라인]을 따르는 것 등이 있다. 일반적으로 이런 가이드라인은 취약점의 공개 전에 제작자에게 알리지 않거나 패치 제작이 이루어질 수 있는 적당한 시간을 기다리는 것을 의무화하고 있다.
, 미국이 인지하고 있는 취약점을 패치할 수 있도록 공개할지, 아니면 자체적으로 사용하기 위해 비밀로 유지할지에 대한 논쟁이 계속되고 있다. 국가는 취약점을 공격적 또는 침투 테스트에서 방어적으로 사용하기 위해 비밀로 유지하기도 한다. 취약점을 공개하면 소프트웨어의 소비자 및 모든 사용자가 악성 코드 또는 데이터 유출의 피해를 입을 위험이 줄어든다.
제로 데이 취약점 공개는 일반적으로 발견, 보고, 패치 개발, 공개와 같은 단계를 거친다. 연구자가 취약점을 식별하면 "0일차"로 표시하고, 공급업체나 제3자에게 보고하여 해결 노력을 시작한다. 공급업체는 수정 사항을 개발하며, 복잡성에 따라 몇 주에서 몇 달이 걸릴 수 있다. 패치가 출시되면 세부 사항이 공개적으로 공유된다. 합의된 기간(일반적으로 90일) 내에 패치가 발행되지 않으면 일부 연구자는 조치를 촉구하기 위해 공개하기도 한다.
5. 2. 시장
제로데이 취약점 정보는 다양한 목적으로 수집되고 활용된다. 다수의 컴퓨터 보안 프로그램 제작자는 취약점의 특성과 악용 사례를 연구하기 위해 제로데이 취약점에 관한 연구를 진행한다. 제로 데이 이니셔티브와 같이 취약점을 구매하는 경우도 있다.제로 데이 익스플로잇은 수백만 달러에 거래될 수 있으며, 구매자는 크게 화이트햇, 그레이햇, 블랙햇의 세 가지 유형으로 나뉜다. 화이트햇은 소프트웨어 공급업체나 제로 데이 이니셔티브와 같은 제3자에게 취약점을 공개하고, 종종 버그 바운티를 받는다. 그러나 모든 회사가 취약점 공개에 긍정적인 것은 아니며, 법적 책임 및 운영 부담을 야기할 수 있기 때문이다. 무료로 취약점을 공개한 후 소프트웨어 공급업체로부터 중지 명령을 받는 경우도 있다.
그레이햇 시장은 가장 크고 수익성이 높으며, 정부 또는 정보 기관이 제로 데이를 구매하여 공격에 사용하거나 비축한다. 미국 연방 정부는 가장 큰 구매자 중 하나이며, 2013년 기준으로 파이브 아이즈(미국, 영국, 캐나다, 호주, 뉴질랜드)가 시장의 다수를 차지했다. 러시아, 인도, 브라질, 말레이시아, 싱가포르, 북한, 이란 등도 주요 구매자로 포함되었다. 특히, 북한은 제로데이 취약점을 활용하여 대한민국의 주요 기관에 대한 사이버 공격을 감행하는 것으로 알려져 있어, 한국 입장에서는 주의해야 할 대상이다.
블랙햇 시장에서 조직 범죄는 취약점에 대한 지식보다는 익스플로잇 소프트웨어를 선호하는 경향이 있으며, 이미 패치가 제공된 "하프 데이"를 사용할 가능성이 높다.
2015년, 정부 및 범죄 시장은 화이트 시장보다 최소 10배 이상 큰 것으로 추정되었다. 제로 데이 익스플로잇을 판매하는 것은 합법이지만, 더 많은 규제를 요구하는 목소리가 있다. 그러나 러시아와 이스라엘과 같은 주요 국가들이 관심이 없어 국제 협약이 이루어질 가능성은 거의 없다.
제로 데이를 거래하는 판매자와 구매자는 비밀 유지 계약과 기밀 정보 법률에 의존하며, 은밀하게 거래하는 경향이 있다. 취약성이 알려지면 패치될 수 있으며, 그 가치는 하락한다. 시장의 투명성이 부족하여 공정한 가격을 찾기 어려울 수 있다. 중개인이 늘어나면서 판매자는 익스플로잇이 어떤 용도로 사용될지 알 수 없게 되었고, 구매자는 익스플로잇이 다른 당사자에게 판매되지 않았다는 것을 보장할 수 없다. 구매자와 판매자 모두 다크 웹에서 광고를 한다.
2022년에 발표된 연구에 따르면, 단일 익스플로잇 브로커가 제시한 최대 가격을 기준으로 익스플로잇 가격이 연간 44%의 인플레이션율을 보였다. 원격 제로 클릭 익스플로잇이 가장 높은 가격에 거래될 수 있으며, 장치에 대한 로컬 액세스가 필요한 익스플로잇은 훨씬 저렴했다. 널리 사용되는 소프트웨어의 취약점도 더 비싸다.
6. 대응 및 보호
제로데이 보호란 제로데이 공격에 대항하여 대상 프로그램을 보호할 수 있는 능력을 말한다. 제로데이 공격은 개시된 이후에 며칠간 발견이 되지 않을 수 있다.[27]
버퍼 오버플로와 같은 제로데이 메모리 훼손 취약점을 제한하는 수많은 기술들이 존재한다. 이러한 보호 메커니즘은 애플의 매킨토시 OS, 마이크로소프트 윈도우 비스타, 선 마이크로시스템 솔라리스, GNU/리눅스, 유닉스 및 유닉스 계열 환경 등 많은 운영 체제에 존재한다. 마이크로소프트 윈도우 XP 서비스팩 2에는 포괄적인 메모리 훼손 취약점에 대한 약간의 보호 메커니즘이 포함되어 있다.[28] 데스크탑과 서버 보호 소프트웨어 역시 제로데이 버퍼 오버플로 취약점을 완화시키기 위해 만들어져있다.
포트 노킹 또는 단일 패킷 권한 데몬의 사용은 제로데이 공격에 대항하는 효과적인 보호막을 만들 수 있지만, 대량의 사용자가 참여하는 환경에는 적절하지 않다.
화이트리스팅 기술은 좋은 것으로 알려진 프로그램 또는 기관의 시스템 접속만을 허가하여 새롭거나 알려지지 않은 공격 프로그램의 접속을 차단한다. 이는 제로데이 위협을 효과적으로 막는 방법이지만, HIPS나 바이러스 사전의 블랙리스트 같은 다른 보호 기법과 병행되지 않으면 사용자에게 불편을 줄 수 있다.
제로데이 긴급 반응 팀(ZERT)는 제로데이 공격을 막는 비 제작자 패치를 배포하기 위해 결성된 소프트웨어 엔지니어들의 집단이다.[29]
제로데이 공격을 막는 또 다른 방법으로는 제품을 업그레이드하기 전에 적당한 기간을 기다리는 것이 있다. 보통 소프트웨어 배포자는 사용자들에게 공격이 일어났음을 알리고, 업그레이드/업데이트에 패치를 포함시킨다.
제로 데이 공격은 정의상 이를 차단할 수 있는 패치가 없기 때문에, 취약점이 있는 소프트웨어 또는 하드웨어를 사용하는 모든 시스템이 위험에 노출된다. 여기에는 모든 패치가 최신 상태로 유지되는 은행 및 정부와 같은 보안 시스템도 포함된다. 보안 시스템은 알려진 취약점을 기반으로 설계되었으며, 제로 데이 공격에 대한 반복적인 악용은 장기간 탐지되지 않은 채 지속될 수 있다. 제로 데이 공격을 효과적으로 탐지하는 시스템에 대한 많은 제안이 있었지만, 이는 2023년에도 여전히 활발한 연구 분야이다.
많은 조직에서는 심층 방어 전술을 채택하여 공격 달성을 더 어렵게 만들고 있다. 접근 제어와 같은 기존의 사이버 보안 조치, 예를 들어 다단계 인증, 최소 권한 접근, 에어 갭은 제로 데이 공격으로 시스템을 손상시키는 것을 더 어렵게 만든다. 완벽하게 안전한 소프트웨어를 작성하는 것은 불가능하므로, 일부 연구자들은 악용 비용을 높이는 것이 사이버 공격의 부담을 줄이는 좋은 전략이라고 주장한다.
여러 기업에서 제로 데이 공격에 대응하기 위한 다양한 시스템을 제안하고 연구 개발을 진행하고 있다.
6. 1. 보호 기술
제로데이 보호란 제로데이 공격에 대항하여 대상 프로그램을 보호할 수 있는 능력을 말한다. 제로데이 공격은 개시된 이후에 며칠간 발견이 되지 않을 수 있다.[27]버퍼 오버플로와 같은 제로데이 메모리 훼손 취약점을 제한하는 수많은 기술들이 존재한다. 이러한 보호 메커니즘은 애플의 매킨토시 OS, 마이크로소프트 윈도우 비스타, 선 마이크로시스템 솔라리스, GNU/리눅스, 유닉스 및 유닉스 계열 환경 등 많은 운영 체제에 존재한다. 마이크로소프트 윈도우 XP 서비스팩 2에는 포괄적인 메모리 훼손 취약점에 대한 약간의 보호 메커니즘이 포함되어 있다.[28] 데스크탑과 서버 보호 소프트웨어 역시 제로데이 버퍼 오버플로 취약점을 완화시키기 위해 만들어져있다.
포트 노킹 또는 단일 패킷 권한 데몬의 사용은 제로데이 공격에 대항하는 효과적인 보호막을 만들 수 있지만, 대량의 사용자가 참여하는 환경에는 적절하지 않다.
화이트리스팅 기술은 좋은 것으로 알려진 프로그램 또는 기관의 시스템 접속만을 허가하여 새롭거나 알려지지 않은 공격 프로그램의 접속을 차단한다. 이는 제로데이 위협을 효과적으로 막는 방법이지만, HIPS나 바이러스 사전의 블랙리스트 같은 다른 보호 기법과 병행되지 않으면 사용자에게 불편을 줄 수 있다.
제로데이 긴급 반응 팀(ZERT)는 제로데이 공격을 막는 비 제작자 패치를 배포하기 위해 결성된 소프트웨어 엔지니어들의 집단이다.[29]
제로데이 공격을 막는 또 다른 방법으로는 제품을 업그레이드하기 전에 적당한 기간을 기다리는 것이 있다. 보통 소프트웨어 배포자는 사용자들에게 공격이 일어났음을 알리고, 업그레이드/업데이트에 패치를 포함시킨다.
제로 데이 공격은 정의상 이를 차단할 수 있는 패치가 없기 때문에, 취약점이 있는 소프트웨어 또는 하드웨어를 사용하는 모든 시스템이 위험에 노출된다. 여기에는 모든 패치가 최신 상태로 유지되는 은행 및 정부와 같은 보안 시스템도 포함된다. 보안 시스템은 알려진 취약점을 기반으로 설계되었으며, 제로 데이 공격에 대한 반복적인 악용은 장기간 탐지되지 않은 채 지속될 수 있다. 제로 데이 공격을 효과적으로 탐지하는 시스템에 대한 많은 제안이 있었지만, 이는 2023년에도 여전히 활발한 연구 분야이다.
많은 조직에서는 심층 방어 전술을 채택하여 공격 달성을 더 어렵게 만들고 있다. 접근 제어와 같은 기존의 사이버 보안 조치, 예를 들어 다단계 인증, 최소 권한 접근, 에어 갭은 제로 데이 공격으로 시스템을 손상시키는 것을 더 어렵게 만든다. 완벽하게 안전한 소프트웨어를 작성하는 것은 불가능하므로, 일부 연구자들은 악용 비용을 높이는 것이 사이버 공격의 부담을 줄이는 좋은 전략이라고 주장한다.
여러 기업에서 제로 데이 공격에 대응하기 위한 다양한 시스템을 제안하고 연구 개발을 진행하고 있다.
6. 2. 대응
기업 및 기관들은 심층 방어 전술을 채택하여 제로데이 공격에 대응한다.[27][28] 훈련 및 접근 제어와 같은 기존의 사이버 보안 조치, 예를 들어 다단계 인증, 최소 권한 접근, 에어 갭은 제로 데이 공격으로 시스템을 손상시키는 것을 더 어렵게 만든다.[29]미국 연방 정부의 지원을 받은 비영리 단체인 MITRE는 취약점 정보 공유및 협력을 통해 패치 생성 시간을 단축하고 사용자들이 업데이트 필요성을 인지하도록 돕는다.[20] 발견된 취약점에는 "CVE-연도 4자리-번호"가 부여되며, 공식 사이트에서 확인할 수 있다. (자세한 내용은 취약점 정보 데이터베이스 항목 참조). CVE는 영어이지만, IPA가 순차적으로 조사하여, 중요한 것은 일본어로 경고를 발령하고 있다.[21]
제로데이 공격을 막는 또 다른 방법으로는 제품을 업그레이드하기 전에 적당한 기간을 기다리는 것이다. 보통 소프트웨어 배포자는 제때에 공격이 일어났음을 사용자들에게 알리곤 하며, 업그레이드/업데이트에 패치를 포함한다.
6. 3. 한국의 대응 현황
7. 해적판 소프트웨어
'''제로데이 와레즈'''는 대중에게 배포된 당일 날 불법적으로 공개되거나 획득한 소프트웨어, 비디오, 음악, 또는 정보를 가리킨다. 공식 배포 전에 얻은 데이터의 경우엔 ‘네거티브 데이’ 또는 ‘-데이’ 라고도 한다. 제로데이 소프트웨어, 게임, 비디오나 음악은 공식 배포일 당일 날 불법적으로 얻었거나 불법적으로 복사한 것들을 말한다. 이런 것들은 일반적으로 해커나 유통사의 직원에 의해 일어나는 일이다.
참조
[1]
논문
2017
[2]
간행물
Backwards from zero: How the U.S. public evaluates the use of zero-day vulnerabilities in cybersecurity
2023
[3]
뉴스
Zero day vulnerability trade is lucrative but risky
https://techmonitor.[...]
2024-04-04
[4]
논문
2022
[5]
웹사이트
Heartbleed: Serious OpenSSL zero day vulnerability revealed
https://www.zdnet.co[...]
2024-11-29
[6]
웹사이트
The Shadow Brokers publishing the NSA vulnerabilities
https://cyberlaw.ccd[...]
2024-11-29
[7]
웹사이트
SolarWinds hack explained: Everything you need to know
https://www.techtarg[...]
2024-11-29
[8]
웹사이트
Businesses urged to act fast against ProxyLogon attack on Microsoft Exchange Server
https://www.s-rminfo[...]
2024-11-29
[9]
웹사이트
NSO Group’s Pegasus Spyware Returns in 2022 with a Trio of iOS 15 and iOS 16 Zero-Click Exploit Chains
https://citizenlab.c[...]
2024-11-29
[10]
웹사이트
ゼロデイとは
https://kotobank.jp/[...]
2020-09-19
[11]
문서
ゼロデイ攻撃: やられてから対策するよりも事前の障害物配備を, と訴えるCyvera
http://jp.techcrunch[...]
[12]
문서
ゼロデイ攻撃の手口と対策
http://www.keyman.or[...]
[13]
문서
AdobeがFlash Playerの臨時パッチを公開、なお未解決の脆弱性も
https://www.itmedia.[...]
[14]
문서
Adobe Flash Player の脆弱性対策について(APSB15-02)(CVE-2015-0310)
http://www.ipa.go.jp[...]
[15]
문서
Flash Playerの最新版が提供開始、危険なゼロデイ脆弱性を修正(日経コンピューター)
http://itpro.nikkeib[...]
[16]
문서
CVE-2014-6271
http://cve.mitre.org[...]
[17]
문서
更新：bash の脆弱性対策について(CVE-2014-6271 等)
https://www.ipa.go.j[...]
[18]
문서
Bash の脆弱性を標的としたアクセスの観測について （警察庁9月25日）
https://www.npa.go.j[...]
[19]
문서
Bash の脆弱性を標的としたアクセスの観測について 第二報（警察庁10月7日）
https://www.npa.go.j[...]
[20]
문서
共通脆弱性識別子CVE概説
https://www.ipa.go.j[...]
[21]
문서
脆弱性対策：IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.j[...]
[22]
웹인용
제로 데이 공격에 대하여 (영어)
http://netsecurity.a[...]
2008-09-15
[23]
웹인용
제로 데이란 무엇인가? (영어)
https://web.archive.[...]
2008-09-15
[24]
웹인용
"'SANS, 제로 데이 웹 공격의 급증을 관찰'', ''컴퓨터월드'' (영어)"
https://web.archive.[...]
2008-09-15
[25]
문서
"「이메일의 잔여 위험 평가」 (영어)"
http://www.avinti.co[...]
[26]
간행물
"인터넷 보안 위협 리포트"
시만텍 사
2006-09
[27]
웹인용
제로데이 공격이란? (영어)
https://web.archive.[...]
2008-09-15
[28]
웹인용
마이크로소프트 윈도우 XP 서비스팩 2에서의 기능 변화 (영어)
https://web.archive.[...]
2008-09-15
[29]
웹인용
제로데이 긴급 반응 팀 (영어)
https://web.archive.[...]
2008-09-15
본 사이트는 AI가 위키백과와 뉴스 기사,정부 간행물,학술 논문등을 바탕으로 정보를 가공하여 제공하는 백과사전형 서비스입니다.
모든 문서는 AI에 의해 자동 생성되며, CC BY-SA 4.0 라이선스에 따라 이용할 수 있습니다.
하지만, 위키백과나 뉴스 기사 자체에 오류, 부정확한 정보, 또는 가짜 뉴스가 포함될 수 있으며, AI는 이러한 내용을 완벽하게 걸러내지 못할 수 있습니다.
따라서 제공되는 정보에 일부 오류나 편향이 있을 수 있으므로, 중요한 정보는 반드시 다른 출처를 통해 교차 검증하시기 바랍니다.
문의하기 : help@durumis.com