[보안공지] 기반시설 등을 공격대상으로 하는 랜섬웨어 피해방지를 위한 보안 대책 권고

개요

• 최근 미국 CISA*는 미국내 송유관 운영사를 대상으로 한 대규모 랜섬웨어 해킹 공격과 관련하여 긴급 보안 주의 발표[1]
  • CISA(Cybersecurity and Infrastructure Security Agency) : 미 국토안보부 산하 사이버보안 및 인프라 보안국
    • 지난 5월 8일 다크사이드라는 해킹 조직이 미국 최대의 민간 송유관 운영사 '콜로니얼 파이프라인'를 대상으로 랜섬웨어 공격을 수행하여 시설 가동이 전면 중단

주요 해킹 기법

• 최초 침투를 위해 피싱 공격 수행 및 인터넷에 노출된 시스템 계정정보 탈취
• RDP(원격데스크톱) 접속을 통해 내부 이동
• 민감한 데이터를 유출하고 파일을 암호화
• 명령제어채널은 토르(Tor) 네트워크를 이용

보안 권고 사항

• 중요 파일 및 문서 등은 네트워크와 분리된 정기적인 오프라인 백업 권고
• 피싱 메일이 최종 사용자에게 전달되지 않도록 강력한 스팸 필터링 적용
• 메일에 첨부된 악성 첨부파일이나 악성 링크를 클릭하지 않도록 직원들에게 전파
• 원격 네트워크 접속시 허용된 사용자와 단말기만 접근 가능하도록 설정하고 OTP 등을 통한 다단계 인증 적용
• 업무망과 인터넷망을 분리하여 운영하고, VPN 사용시 인터넷망과 업무망을 동시에 사용할 수 없도록 설정
• 사용하지 않는 네트워크 서비스는 비활성화하고, 내부 서버 간 원격접속이 불가능하도록 접근제어 설정
• 운영체제, 어플리케이션, 펌웨어등을 포함한 소프트웨어의 최신 보안 업데이트 적용
• 신뢰할 수 있는 백신을 설치(최신 버전 유지, 실시간 감지 적용 등)하고 정기적으로 검사 진행
• 자료유출에 대비해서 DRM 등 문서암호화 보안솔루션 도입 권고

침해사고 신고

• 한국인터넷진흥원 인터넷침해대응센터 종합상황실(02-405-4911~5, certgen@krcert.or.kr)
• KISA 인터넷보호나라&KrCERT 홈페이지(www.boho.or.kr) → 상담및신고→ 해킹사고

참고사이트

[1] https://us-cert.cisa.gov/ncas/alerts/aa21-131a

KISA 인터넷 보호나라&KrCERT