SK 해킹 사고 교훈: WAF만으로는 절대 막을 수 없는 데이터 유출, '수상한 인증서'로 DLP 파헤치기!

SK 계열사 해킹 사고는 단순한 보안 뉴스를 넘어, 우리 사회와 기업에 깊은 경각심을 안겨주었습니다. 고객 정보, 산업 기밀 등 데이터가 곧 경쟁력이자 자산인 시대, 데이터 유출은 기업의 존폐를 가를 수 있는 중대 위협입니다. 많은 기업들이 웹방화벽(WAF)이라는 '성벽'을 쌓고 안심하지만, 과연 이 성벽만으로 내부의 보물을 안전하게 지킬 수 있을까요? 해커들은 성벽을 넘거나, 때로는 성문으로 위장해 들어오고, 심지어 내부의 배신자가 보물을 들고 나가는 경우도 비일비재합니다.

저 역시 최근, 특정 사이트 에 접속했다가 'Somansa Root CA' - 손상된 키 크기 사용이라는 수상한 SSL 인증서를 발견하며 이 '성벽 너머의 위협'을 실감했습니다. 처음에는 피싱이나 해킹을 의심하며 접속을 망설였지만, 보안 전문가와의 끈질긴 대화와 추적 끝에, 이것이 오히려 데이터를 지키려는 **보안 시스템의 어설픈(?) 작동 흔적**일 수 있다는 흥미로운 가능성을 발견했습니다. 이 '수상한 인증서'는 우리가 미처 생각지 못했던 데이터 유출 경로와 그 방어 전략에 대한 중요한 단서를 품고 있었습니다.

오늘, 이 '보안 탐정 놀이'의 결과를 여러분과 공유하며, WAF만으로는 왜 부족한지, DLP(데이터 유출 방지)가 왜 필요한지, SWG는 무엇이며 어떻게 '뒤집어서' 활용되는지, 그리고 클라우드 시대의 보안은 어떻게 달라져야 하는지, 5000자가 넘는 분량으로 깊이 있게 파헤쳐 보겠습니다.

반응형

1. 수상한 인증서의 비밀: SSL 검사와 리버스 프록시의 합작품

SSL/TLS와 인증서: 웹 통신의 '신뢰' 인프라

우리가 안전하게 온라인 쇼핑을 하고 뱅킹을 이용하는 것은 SSL/TLS(Secure Sockets Layer / Transport Layer Security) 덕분입니다. 이는 우리 컴퓨터와 웹 서버 간의 통신을 암호화하여 제3자가 엿듣지 못하게 막아줍니다. 이 암호화 통신의 시작점에서, 웹 서버는 '나 이 사이트 맞소!'라고 증명하는 **'SSL 인증서'**를 제시합니다. 이 인증서는 공인된 인증 기관(CA, Certificate Authority)이 발급하며, 우리 브라우저는 이 CA를 신뢰함으로써 웹사이트의 신원을 확인합니다. 그런데 여기에 'Somansa'라는 사설 기관, 그것도 '손상된 키(아마도 1024비트 RSA처럼 오래된)'를 쓰는 인증서가 끼어들었다는 것은, 정상적인 통신 흐름에 누군가 개입했다는 신호입니다.

SSL 검사(Inspection): 보안을 위한 '착한 도청'

암호화는 보안에 필수적이지만, 때로는 보안의 '적'이 되기도 합니다. 해커들이 악성코드를 암호화된 트래픽에 숨기거나, 내부자가 암호화된 채널로 데이터를 유출하면 보안 장비는 속수무책이기 때문입니다. 그래서 등장한 것이 **'SSL 검사'**입니다. 보안 장비가 사용자와 서버 사이에서 '착한 중간자(Man-in-the-Middle)' 역할을 하며, 암호화된 통신을 잠시 복호화하여 내용을 검사하고, 이상이 없으면 다시 암호화하여 전달하는 기술입니다. 이 과정에서 보안 장비는 사용자에게 **자신의 인증서**를 제시해야 하는데, 바로 여기서 'Somansa 인증서'가 등장한 것입니다. 이는 사이트 측이 Somansa 장비를 이용해 SSL 검사를 수행하고 있다는 강력한 증거입니다.

하지만 주의! 외부 사용자에게 사설 CA나 약한 키를 사용하는 인증서를 제시하는 것은 매우 위험하며, 이는 테스트 환경이거나 심각한 보안 설정 오류일 가능성을 시사합니다.

리버스 프록시: 웹 서버의 만능 '수문장'

이러한 SSL 검사는 주로 **'리버스 프록시(Reverse Proxy)'** 환경에서 이루어집니다. 리버스 프록시는 웹 서버 앞단에서 모든 외부 요청을 대신 받아 처리하는 서버입니다. 이를 통해 ▲보안 강화(WAF, SSL 검사) ▲부하 분산(Load Balancing) ▲SSL 암복호화 부담 감소(SSL Offloading) ▲콘텐츠 캐싱 등 다양한 이점을 얻을 수 있습니다. 이번 사례는 Somansa 장비가 리버스 프록시로 동작하며 SSL 검사와 아마도 DLP 기능을 수행하고 있음을 보여줍니다.

2. WAF만으로는 역부족: '정상 기능'의 배신

WAF는 OWASP Top 10과 같은 알려진 웹 공격 패턴을 막는 데 필수적입니다. 하지만 WAF는 기본적으로 **'요청'의 '패턴'**을 봅니다. **'응답'의 '내용'**이나, **'정상적인 요청'으로 위장한 데이터 유출**에는 한계가 있습니다.

WAF가 놓치는 치명적인 유출 시나리오

• 시나리오 1 (대량 다운로드):** 영업 사원이 고객 관리 포털에서 정상적인 권한으로 수만 건의 고객 정보가 담긴 엑셀 파일을 다운로드하여 경쟁사로 이직합니다. WAF는 이를 '정상 다운로드'로 판단합니다.
• 시나리오 2 (API 유출):** 파트너사 연동을 위해 열어둔 API에서, 인증 오류나 로직 실수로 인해 요청한 범위를 넘어서는 민감 데이터가 대량으로 전송됩니다. WAF는 API 호출 패턴만 볼 뿐, 전송되는 데이터 내용까지 심층 분석하기 어렵습니다.
• 시나리오 3 (개발자 실수):** 테스트 중이던 웹 페이지가 외부에 노출되면서, 주석 처리되지 않은 데이터베이스 접속 정보나 관리자 정보가 그대로 노출됩니다. WAF는 이를 HTML 코드로만 인식합니다.
• 시나리오 4 (이미지 속 정보):** 사용자가 올린 게시판 이미지나, 웹사이트 디자인 이미지 안에 OCR로만 읽을 수 있는 개인 정보나 기밀 정보가 포함되어 있습니다. WAF는 이미지 파일을 검사하지 않습니다.

이러한 사례들은 WAF만으로는 막을 수 없으며, **데이터의 '내용' 자체를 이해하고 통제할 수 있는 DLP 솔루션**이 반드시 필요한 이유를 보여줍니다.

3. 보안 삼총사 파헤치기: WAF vs DLP vs SWG (심화)

성공적인 데이터 보호를 위해서는 각 솔루션의 역할과 한계를 명확히 알고, 이들을 효과적으로 조합해야 합니다.

보안 솔루션 심층 비교

솔루션	주요 목표 & 위치	핵심 기술	장점	한계
WAF	웹 서버 보호 (서버 앞단)	패턴 매칭 (SQLi, XSS), 시그니처	알려진 웹 공격 방어 탁월	콘텐츠 내용 분석, 암호화, 신종 공격, 정상 기능 악용 취약
DLP	데이터 자체 보호 (다양)	콘텐츠 분석 (패턴, 핑거프린팅, OCR)	민감 정보 유출 정밀 차단	암호화, 우회 공격, 운영 부담 (오탐), 고비용
SWG	웹 트래픽 제어 (사용자/서버)	URL/카테고리 필터링, SSL 검사, 콘텐츠 분석	포괄적 웹 제어, 유연한 배치	모든 위협 커버 불가, 리버스 프록시 시 설정 복잡

DLP의 다양한 얼굴

DLP는 한 가지 형태만 있는 것이 아닙니다.

• Network DLP: 네트워크 관문에서 이메일, 웹 등 모든 트래픽을 감시합니다.
• Endpoint DLP: 사용자 PC에 설치되어 USB, 프린터, 클립보드 등 엔드포인트 단의 행위를 제어합니다. (Somansa PC-i)
• Discovery DLP: 서버나 DB에 저장된 데이터를 스캔하여 민감 정보를 찾아냅니다. (Somansa Server-i)
• Cloud DLP/CASB: 클라우드 서비스(SaaS) 내의 데이터 흐름을 통제합니다.

SWG의 변신: 포워드 vs 리버스

SWG(Somansa Webkeeper)는 **'뒤집어서' 리버스 프록시**로 사용할 때 그 진가를 발휘합니다. WAF와 DLP의 교두보 역할을 하며, SSL 검사를 통해 암호화된 트래픽 내부를 들여다보는 '눈'을 제공합니다. 위 사례는 바로 이 SWG의 유연한 활용 가능성을 보여줍니다.

4. 위 사례 재구성: UTM → Somansa → WAF → Server

이제 모든 정보를 종합하여  위 사례의 구성을 다시 그려보면 다음과 같습니다:

[외부 사용자] ---> [인터넷] ---> [UTM 방화벽] ---> [Somansa 장비 (리버스 프록시, SSL 검사, DLP)] ---> [펜타시큐리티 WAF] ---> [웹서버]

이 구성에서 Somansa 장비는 펜타 WAF 앞단에서 **SSL 통신을 종료하고 내용을 검사(DLP)**한 후, 안전한 트래픽(아마도 HTTP)을 펜타 WAF로 보내 **웹 공격을 방어**하게 하는 구조입니다. 이는 WAF와 DLP의 역할을 분담하면서도, **데이터 유출 방어라는 특정 목표를 강화**하기 위한 전략적 선택(아마도 테스트)으로 해석됩니다. 'Somansa 인증서'는 이 구조의 명백한 증거인 셈이죠.

5. DLP도 뚫린다! 리버스 쉘과 다계층 방어

하지만 이 구성도 완벽하지 않습니다. 만약 해커가 웹 서버 침투에 성공하여 **'리버스 쉘'**을 획득한다면 어떨까요? 리버스 쉘은 감염된 서버가 해커에게 거꾸로 접속하여 제어권을 넘겨주는 방식으로, 방화벽을 우회하고 암호화된 채널로 데이터를 빼내기 때문에 DLP나 WAF만으로는 탐지/차단이 매우 어렵습니다.

이러한 고도화된 위협에 맞서기 위해서는 **EDR(엔드포인트 탐지 및 대응)**이 필수적입니다. EDR은 서버나 PC 내부의 프로세스 행위를 실시간으로 감시하여 리버스 쉘과 같은 이상 행위를 탐지하고 차단합니다.

진정한 보안은 '다계층 방어(Defense in Depth)'에서 나옵니다. WAF, DLP, SWG, EDR, IDS/IPS, 방화벽, SIEM/SOAR, IAM 등 다양한 보안 솔루션이 각자의 역할을 수행하며 겹겹이 방어막을 쳐야 합니다.

6. 법규 준수와 DLP

개인정보보호법(PIPA), 유럽 GDPR, 미국 CCPA 등 강화되는 데이터 규제는 DLP 도입의 또 다른 중요한 이유입니다. DLP는 민감 정보의 흐름을 추적하고 통제함으로써, 기업이 법규를 준수하고 데이터 유출 사고 발생 시 신속하게 대응하며, 막대한 과징금을 피하는 데 결정적인 도움을 줍니다.

7. 결론: '수상한 인증서'가 주는 교훈 - 보안은 끝없는 여정

단순한 호기심에서 시작된 '수상한 인증서' 추적은 우리에게 데이터 유출 방어의 복잡성과 중요성을 다시 한번 상기시켜 주었습니다. SK 해킹 사고와 같은 대형 보안 사고는 결코 우연히 발생하지 않습니다. 수많은 작은 '구멍'과 '틈새'가 모여 거대한 '댐 붕괴'로 이어지는 것입니다.

WAF라는 성벽을 믿고 안주해서는 안 됩니다. 성벽 안팎을 끊임없이 감시하고(SWG, IDS), 보물 창고(데이터)에 접근하는 모든 것을 통제하며(DLP, IAM), 성 내부의 이상 징후를 즉시 파악하고(EDR, SIEM), 성벽을 넘으려는 시도를 막는(WAF) **입체적이고 지속적인 노력**만이 우리의 소중한 데이터를 안전하게 지킬 수 있습니다.

지금 바로, 우리 조직의 '수상한 인증서'는 없는지, WAF 너머의 '데이터 유출 경로'는 없는지 점검해 보십시오. 보안은 결코 한 번에 끝나는 프로젝트가 아닌, **끊임없이 진화하고 대응해야 하는 '여정'**입니다.