은닉 채널과 정보 유출

은닉 채널은 시스템이 허용하도록 설계되지 않은 방식으로 정보를 전송하여 보안 통제를 우회하는 통신 경로입니다. 스테가노그래피가 파일 안에 데이터를 숨긴다면, 은닉 채널은 시스템 동작이나 네트워크 트래픽 안에 데이터를 숨깁니다.

공격자는 데이터 유출을 위해 은닉 채널을 사용하여 훔친 데이터를 네트워크 밖으로 몰래 반출하고, 명령 및 제어를 위해 지령을 수신합니다. 핵심 특징은 트래픽이 정상적으로 보인다는 점이므로 방화벽, 프록시, 데이터 손실 방지 시스템을 빠져나갑니다.

이러한 채널을 이해하는 것은 공격의 마지막이자 가장 큰 피해를 일으키는 단계, 즉 데이터가 조직 밖으로 빠져나가는 상황을 탐지하는 데 필수적입니다.

은닉 채널은 다음과 같은 두 가지 전통적인 범주로 나뉩니다:

• 저장 채널 데이터를 전달하도록 설계되지 않은 필드나 위치에 데이터를 숨깁니다. 예를 들어 사용되지 않는 헤더 비트나 관찰자가 직접 읽을 수 있는 값이 있습니다.
• 시간 채널 이벤트의 시간 정보에 데이터를 인코딩합니다. 패킷 사이의 지연, 요청 순서 또는 응답 지연 시간이 그 예입니다. 데이터 필드는 변경되지 않고, 정보는 사건이 언제 발생하는지에 담깁니다.

시간 채널은 패킷 자체가 완전히 정상적으로 보이고 비밀이 리듬에만 담기기 때문에 더 은밀하고 탐지하기 어렵습니다.

현실에서 가장 흔한 은닉 채널은 DNS를 악용합니다. 이름 확인은 필수이므로 엄격하게 제한된 네트워크에서도 DNS의 외부 전송은 거의 항상 허용됩니다. 공격자는 이를 악용합니다.

데이터는 공격자가 제어하는 도메인으로 보내는 질의의 하위 도메인 레이블에 인코딩됩니다. 공격자의 권한 있는 이름 서버가 이를 받아 디코딩합니다. 훔친 데이터는 한 번에 하나의 DNS 질의로 외부로 흘러나갑니다:

iodine 및 dnscat2와 같은 도구는 DNS를 통한 전체 터널을 자동으로 구성합니다.

DNS 유출은 방어자가 찾아낼 수 있는 통계적 흔적을 남깁니다:

• 높은 질의량 단일 도메인으로 보내는 질의가 정상 수준을 훨씬 초과합니다.
• 길고 엔트로피가 높은 하위 도메인 인코딩된 데이터는 실제 호스트 이름과 달리 무작위로 보입니다.
• 특이한 레코드 유형 TXT, NULL 또는 CNAME 레코드를 과도하게 사용합니다.
• 큰 응답 크기 유입되는 명령 및 제어 통신에서 나타납니다.
• 희귀 도메인 한 호스트에서만 질의합니다.

이러한 패턴을 찾기 위해 DNS 로그를 모니터링하고 SIEM으로 보내는 것은 매우 가치 높은 탐지 방법입니다. 거의 모든 데이터 유출이 결국 DNS와 접촉하기 때문입니다.

많은 프로토콜에는 선택 사항이거나 예약되어 있거나 느슨하게 검사되는 필드가 있어 저장 채널로 사용하기에 적합합니다:

• ICMP 터널링 방화벽이 허용하는 경우가 많은 ping 패킷의 페이로드에 데이터를 숨깁니다.
• TCP/IP 헤더 필드 IP 식별 필드, TCP 순서 번호 또는 예약된 플래그 비트입니다.
• HTTP 헤더 인코딩된 데이터를 전달하는 사용자 지정 헤더, 쿠키 또는 User-Agent 문자열입니다.
• TLS SNI 서버 이름 필드로, 때로는 명령 및 제어 서버를 알리는 데 악용됩니다.

각 필드는 개별적으로 보면 정상적으로 보이므로, 탐지하려면 정상적인 값의 기준을 정하고 그 기준에서 벗어난 값을 표시해야 합니다.

정교한 공격자는 심층 검사를 통과하기 위해 허용되고 암호화된 트래픽 안에 숨겨지는 채널을 선호합니다:

• HTTPS 기반 명령 및 제어 통신 정상적인 웹 요청으로 위장하여 실제로 존재할 법한 도메인으로 보냅니다.
• 도메인 프론팅 신뢰할 수 있는 CDN을 통해 트래픽을 라우팅하여 외부에 보이는 목적지를 무해하게 만듭니다.
• 클라우드 저장소 악용 대부분의 조직에서 허용하는 Dropbox, S3 또는 Google Drive로 데이터를 유출합니다.
• 소셜 미디어 및 텍스트 공유 서비스 공개 서비스에 인코딩된 데이터를 게시합니다.

목적지와 암호화가 정상적으로 보이기 때문에 탐지의 초점은 콘텐츠에서 행동으로 이동합니다. 즉, 신호 전송 패턴과 양, 시간 정보를 살펴봅니다.

명령 및 제어 채널은 명령을 확인하기 위해 일정한 간격으로 본거지에 연락하는 비콘 신호를 보내는 경우가 많습니다. 이러한 규칙성은 암호화된 통신에서도 탐지할 수 있는 행동입니다:

• 주기성 거의 일정한 간격으로 연결합니다(매 60초 또는 매시간).
• 무작위 변동 공격자는 단순한 주기 탐지를 피하려고 무작위성을 추가하지만, 기본 리듬은 통계적으로 드러나는 경우가 많습니다.
• 작고 일정한 페이로드 심박 신호 정도의 크기를 가진 요청입니다.

방어자는 트래픽 분석을 통해 비콘 신호에서 나타나는 기계적인 규칙성을 찾아냅니다. 사람이 수행하는 웹 탐색에서는 이런 규칙성이 나타나지 않습니다.

순수 시간 채널은 어떠한 데이터 필드도 변경하지 않고 정보를 부호화합니다. 예를 들면 다음과 같습니다:

• 패킷 간 지연: 짧은 간격은 0을, 긴 간격은 1을 의미합니다.
• 요청 순서: 리소스를 요청하는 순서에 비트가 담깁니다.
• 처리량 변조: 정상 트래픽의 전송 속도를 변화시킵니다.

이러한 채널은 느리고(대역폭이 낮고) 잡음이 많지만, 패킷 자체는 정상적인 패킷이므로 매우 은밀합니다. 이를 탐지하려면 시간 분포를 통계적으로 분석하여, 사람이나 기계의 트래픽에서 일반적으로 나타나지 않는 부자연스러운 규칙성이나 두 봉우리 형태의 지연을 찾아야 합니다.

은닉 채널은 정상적인 트래픽을 흉내 내므로, 탐지는 시그니처보다 행동 분석에 의존합니다:

• 기준선 설정: 호스트별 정상 트래픽을 학습한 다음 편차를 표시합니다.
• 트래픽 양 이상: 워크스테이션이 갑자기 기가바이트 단위의 데이터를 업로드합니다.
• 엔트로피 분석: 무작위성이 높은 페이로드는 암호화 또는 인코딩을 시사합니다.
• 대상 평판: 새로 생겼거나, 드물게 사용되거나, 최근에 등록된 도메인에 연결합니다.
• 프로토콜 준수 여부: 예상되는 프로토콜과 일치하지 않는 포트에서 트래픽이 발생합니다.

NIDS, NetFlow 분석, SIEM을 함께 사용하면 이러한 신호가 드러나지만, 단일 지표만으로는 결론을 내릴 수 없습니다.

탐지를 넘어, 여러 통제 수단으로 은닉 채널이 활동할 여지를 줄일 수 있습니다:

• 외부 전송 필터링: 외부로 나가는 연결은 기본적으로 거부하고, 필요한 대상과 포트만 허용합니다. 이것만으로도 많은 채널을 차단할 수 있습니다.
• DNS 검사: 모든 DNS 요청을 모니터링되는 해석기로 강제 전달하고, 외부로 직접 나가는 DNS를 차단합니다.
• TLS 검사: 법적·운영상 적절한 경우 외부로 나가는 TLS를 복호화하여 검사합니다.
• 데이터 유출 방지: 민감한 데이터를 분류하고, 데이터가 외부로 나가는지 감시합니다.
• 속도 제한 및 프록시 사용: 모든 외부 전송을 통제되고 기록되는 프록시를 통해 전달합니다.

다층 통제를 적용하면 손쉬운 데이터 반출이 시끄럽고 탐지 가능한 시도로 바뀝니다.

데이터 반출은 침입의 마지막 단계이므로, 앞선 방어가 실패하더라도 이를 탐지하면 피해를 제한할 수 있습니다. 통제 수단을 공격자의 단계에 맞춰 배치하십시오:

• 수집: 데이터를 내부에 모아 둡니다. 비정상적인 집계를 감시하십시오.
• 인코딩/암호화: 데이터가 압축되고 난독화됩니다. 엔트로피가 급증합니다.
• 채널 선택: 공격자가 DNS, 보안 웹 통신 또는 클라우드 외부 전송을 선택합니다. 그러므로 모니터링이 중요합니다.
• 전송: 데이터가 외부로 나가면서 트래픽 양과 비콘 통신의 이상이 나타납니다.

이 단계 전반에 다층 방어를 적용하면 공격자는 모든 계층을 뚫어야 하지만, 여러분은 어느 한 단계에서든 공격자를 잡기만 하면 됩니다.

DNS 기반 데이터 반출에 대한 이해도를 확인하십시오.

공격자가 데이터를 몰래 외부로 빼내는 방법과 이를 탐지하는 방법을 배웠습니다.

• 은닉 채널은 시스템 동작이나 네트워크 트래픽에 데이터를 숨겨 방화벽과 DLP를 우회하며, 데이터 반출과 명령 및 제어에 사용됩니다.
• 채널은 저장(필드에 숨김) 방식이거나 시간(이벤트 발생 시점에 숨김) 방식이며, 시간 방식이 더 은밀합니다.
• DNS 데이터 반출은 하위 도메인에 데이터를 인코딩하는 가장 흔한 방식입니다. 트래픽 양, 엔트로피, 희귀 도메인을 분석하여 탐지할 수 있습니다.
• 공격자는 프로토콜 필드(ICMP, 헤더)를 악용하고, 허용된 암호화 트래픽(보안 웹 통신 기반 명령 및 제어, 클라우드 저장소, 도메인 프론팅)에 섞여 들어갑니다.
• 비콘 통신의 규칙성과 행동 이상은 암호화된 상태에서도 채널을 드러냅니다.
• 외부 전송 필터링, DNS/TLS 검사, DLP, 그리고 데이터 반출 공격 사슬 전반에 걸친 다층 탐지로 방어하십시오.

이로써 스테가노그래피 및 데이터 은닉 과정을 마칩니다.