보안 인식 교육과 피싱 방어 제어

방화벽, 암호화, MFA와 같은 기술적 제어 항목은 필수적이지만, 대부분의 침해 사고에서 인간 요소는 여전히 가장 많이 악용되는 취약점입니다. Security 인식 Training은 직원들이 위협을 인식하고 안전한 업무 방식을 따르며 자신의 행동이 초래하는 결과를 이해하는 Security 의식 문화를 구축하는 것을 목표로 합니다. Security+ 시험에서는 다룰 주제가 무엇인지뿐 아니라 효과적인 인식 Program을 어떻게 설계하고 측정하는지도 평가합니다. 일 년에 한 번 형식적으로 수행하는 비효율적인 확인 절차는 영향이 거의 없지만, 효과적인 Program은 지속적이고 참여를 유도하며 측정할 수 있어야 합니다.

효과적인 Security 인식 Program은 여러 구성 요소가 함께 작동하도록 구성됩니다. 역할 기반 Training은 콘텐츠를 구체적인 직무에 맞춥니다. 경영진에게는 whaling과 BEC 인식 교육이 필요하고, 개발자에게는 안전한 코딩이 필요하며, 재무 담당자에게는 송금 사기 절차가 필요합니다. Phishing 시뮬레이션은 실제와 유사한 연습 기회를 제공하고 Click 비율을 측정합니다. 적시 Training은 시뮬레이션에 실패한 직후 학습 기회를 제공합니다. Security 뉴스레터와 커뮤니케이션은 Security를 항상 중요한 주제로 인식하게 합니다. 시뮬레이션 Click 비율, Training 완료율, 신고된 Phishing 시도 횟수와 같은 지표를 통해 시간에 따른 Program 효과를 측정할 수 있습니다.

Phishing 시뮬레이션은 실제와 유사하게 제작한 가짜 Phishing 이메일을 직원에게 보내 취약성을 측정하고 Training 필요 영역을 파악합니다. KnowBe4, Proofpoint Security Awareness, Cofense와 같은 Platform은 미리 작성된 캠페인과 분석 기능을 제공합니다. 모범 사례는 다음과 같습니다. Training 전에 먼저 기준선 테스트를 실시하여 시작 Click 비율을 측정하고, 서로 다른 사전 구실(자격 증명 탈취, Attachment, BEC)을 다루도록 Phishing 템플릿을 다양화하며, Click한 직원에게 즉시 Training을 제공하고, 부서별로 결과를 나누어 위험이 높은 Group을 찾으며, 시간이 지남에 따라 Click 비율이 감소하는지 확인하기 위해 반복 테스트를 실시합니다. 시뮬레이션을 처벌 수단으로 사용해서는 안 됩니다.

SPF (Sender Policy Framework)는 어떤 메일 서버가 Domain을 대신하여 이메일을 보낼 권한이 있는지 지정하는 DNS 기반 메커니즘입니다. Domain 소유자는 권한이 있는 IP 주소 또는 서버 호스트 이름을 나열한 SPF 레코드(DNS의 TXT 레코드)를 게시합니다. 수신 메일 서버가 example.com에서 보낸 것이라고 주장하는 이메일을 받으면 DNS에 example.com의 SPF 레코드를 조회하고 발신 서버의 IP가 승인되었는지 확인합니다. 승인되지 않은 서버에서 온 이메일은 스팸으로 표시되거나 거부될 수 있습니다. SPF만으로는 사용자에게 표시되는 From 주소를 보호하지 못하며, 봉투 발신자(Return-Path)만 보호합니다.

DKIM (DomainKeys Identified Mail)은 발신 이메일 메시지에 암호화 서명을 추가합니다. 발신 메일 서버는 Domain의 비밀 key로 이메일 헤더와 본문에 서명하고, DKIM-Signature 헤더에 서명을 포함합니다. 수신 서버는 DNS에서 해당 공개 key를 가져와(selector._domainkey.example.com TXT 레코드) 서명을 확인합니다. DKIM은 전송 중 이메일이 수정되지 않았으며 비밀 key에 접근할 수 있는 주체가 이메일을 발신했다는 사실을 입증합니다. SPF와 달리 DKIM은 Header From 주소를 보호하고 이메일 전달 후에도 유효합니다.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)는 SPF와 DKIM을 기반으로 하여 이메일이 두 확인 절차를 모두 통과하지 못했을 때 수신 메일 서버가 취할 조치를 지정하고 Report를 제공합니다. p=reject Policy가 적용된 DMARC는 해당 Domain에 대해 SPF와 DKIM 정렬에 실패한 이메일을 수신 서버가 폐기하도록 지시합니다. DMARC는 정렬 개념도 도입합니다. 즉, Header From Domain이 SPF/DKIM으로 검증된 Domain과 일치해야 합니다. DMARC 종합 Report(rua)를 통해 누가 자신의 Domain을 사용하여 이메일을 보내는지 확인할 수 있으므로, 승인되지 않은 발신자와 진행 중인 스푸핑 캠페인을 드러낼 수 있습니다.

Secure Email Gateway (SEG)는 모든 인바운드 및 아웃바운드 이메일을 전달하기 전에 악성 콘텐츠가 있는지 검사합니다. SEG는 여러 탐지 기술을 결합합니다. 여기에는 스팸 방지 filtering, SPF/DKIM/DMARC 확인, URL 재작성(안전한 검사를 위해 링크를 프록시 버전으로 변환), Attachment 샌드박싱(격리된 환경에서 의심스러운 file 실행), 데이터 손실 방지(아웃바운드 이메일에서 민감한 데이터 검사)가 포함됩니다. 대표적인 SEG 공급업체로는 Proofpoint, Mimecast, Microsoft Defender for Office 365, Cisco Secure Email이 있습니다. SEG는 이메일 기반 공격에 대응하는 첫 번째 기술적 방어선입니다.

Security 인식 Training의 가장 중요한 성과 중 하나는 직원들이 비난이나 조롱을 걱정하지 않고 의심스러운 활동을 안심하고 Report할 수 있는 환경입니다. 직원들이 Phishing 링크를 Click한 일로 처벌받을까 두려워하면 이를 Report하지 않고 숨기게 되므로, 공격자가 Network 내부에 더 오래 머무를 수 있습니다. 비난하지 않는 Report 문화란 의심스러운 이메일을 Report한 직원(오탐인 경우에도)에게 감사하고, 시뮬레이션 실패를 처벌이 아닌 학습 기회로 활용하며, 전용 이메일 별칭이나 브라우저 플러그인을 통해 Report 절차를 간편하게 만드는 것을 의미합니다. 목표는 완벽한 인간의 수행이 아니라 신속한 탐지입니다.

기술적 제어 항목은 사용자에게 도달한 Phishing을 탐지하여 Training을 보완합니다. 브라우저 Phishing 방지 기능은 실시간 URL Reputation 데이터베이스(Google Safe Browsing, Microsoft SmartScreen)를 사용하여 알려진 악성 사이트를 방문하기 전에 사용자에게 경고합니다. DNS 싱크홀은 악성 Domain을 라우팅할 수 없는 주소로 해석하여 클라이언트 측 조치 없이 Network Layer에서 접근을 차단합니다. 프록시 filtering을 사용하면 URL Category를 차단할 수 있습니다. 사용자 Training과 이러한 기술적 제어 항목을 결합하면 자격 증명 탈취나 Malware 설치로 이어지기 전에 Phishing 시도를 탐지할 수 있는 독립적인 기회가 여러 번 만들어집니다.

Security 인식 Program은 투자를 정당화하고 지속적인 개선을 추진하기 위해 측정해야 합니다. 주요 성과 지표에는 Phishing Click 비율(기준선 대비 Training 후), Phishing 이메일을 Report하기까지 걸린 평균 시간, 부서별 Training 완료율, 인적 오류가 관련된 확인된 사고 수, 시간에 따른 자격 증명 기반 침해 감소율이 포함됩니다. 경영진 Report에는 추세(개선 또는 악화)를 표시하고 표적 개입이 필요한 부서를 강조해야 합니다. 지표를 비즈니스 위험에 맞추십시오. 재무 부서의 5% Click 비율은 유지보수 부서의 5%보다 위험이 높습니다.

인식 교육은 시행 가능한 policies로 뒷받침되어야 합니다. 허용 가능한 사용 정책(AUP)은 직원이 조직의 시스템, 네트워크 및 데이터를 어떻게 사용해도 되는지와 어떻게 사용해서는 안 되는지를 정의합니다. 직원은 매년, 그리고 policies가 변경될 때 서명한 계약을 통해 AUP를 확인해야 합니다. AUP는 직원이 보안 policies를 위반했을 때 징계 조치를 취할 수 있는 법적 근거를 마련합니다. 피싱 링크를 클릭하는 것은 교육 실패에 해당하지만, 자격 증명을 고의로 공유하는 것은 정책 위반입니다. 그 밖의 관련 정책으로는 조직에 관해 무엇을 공유할지 정하는 소셜 미디어 정책, 미디어 취급 정책, 클린 데스크 정책 등이 있습니다.

이 과정을 통해 배운 CompTIA Security+ (SY0-701) 개념을 점검해 보세요.

이 과정에서는 다음을 배웠습니다. 효과적인 보안 인식 프로그램은 역할 기반 교육, 피싱 시뮬레이션, 적시 학습 및 측정 가능한 KPI를 결합하여 인적 요인으로 인한 위험을 줄입니다. SPF, DKIM 및 DMARC는 함께 작동하여 email 발신자를 인증하고 도메인 스푸핑을 방지합니다. 또한 보안 email 게이트웨이는 수신 및 발신 email에 대해 첨부 파일 샌드박싱, URL 재작성, DLP를 비롯한 다층 기술 방어를 제공합니다. 다음에서는 악성 코드의 유형과 동작을 살펴봅니다.