Google이 APT 공격을 겪은 후 보안 보호에 대한 생각

다음은 2022년 7월 19일 글로벌문제 담당 사장 Kent Walker가 개최한 회의에서 발췌한 내용입니다.2022년사이버 보안국제회의에서연설.

사이버 보안에 관한 중요한 대화에 참여할 기회를 주셔서 감사합니다.

Google은 전 세계 어느 누구보다 온라인에서 더 많은 사람들의 안전을 유지하고 있음을 자랑스럽게 생각합니다. 그러나 항상 그런 것은 아닙니다.

그럼 우리가 어떻게 잘못했는지에 대한 이야기와 그 경험에서 우리 모두가 배울 수 있는 두 가지에 대한 이야기로 시작하겠습니다. 아버지는 항상 다른 사람의 실수에서 배우는 것이 가장 저렴하다고 말씀하셨습니다. 그럼 우리 회사 중 하나에 대해 말씀드리겠습니다.

여러분 중 일부는 2009년 후반에 Google이 코드명이라는 대규모 사이버 보안 공격의 피해자가 되었다는 사실을 기억하실 것입니다. 오로라 작전.

우리는 오랫동안 세계에서 가장 공격을 많이 받은 웹사이트를 갖고 있었습니다. 하지만 오로라는 특별해요.

오로라(Aurora)는 중국 정부가 주도한 공격으로 구글의 지적재산권을 탈취한 중대한 보안 사고였다.

하지만 오로라는 단순한 보안 사고가 아닙니다. 이는 비단 구글만의 문제가 아닙니다.

조사의 일환으로 우리는 다른 유명 기업들도 비슷한 공격을 받은 사실을 발견했습니다. 다른 회사들은 공격을 발견하지 못했거나 공개하기를 원하지 않았습니다. 제가 기술 범죄를 전문으로 하는 연방 검사였을 때 우리가 직면했던 가장 큰 어려움 중 하나는 기업을 상장시키거나 심지어 당국의 도움을 받는 것이었습니다.

따라서 우리는 이 공격에 대해 이야기하는 것이 중요하다고 생각합니다. 즉, 그 영향에 대해 전 세계에 알리는 것입니다.해커접근 방식과 위험에 처한 부문.

우리는 미국 정부와 협력하여 위협 벡터와 취약점을 공유합니다.

우리는 거기서 멈추지 않았습니다. Aurora 이후 우리는 Project Zero라는 전체 팀을 시작하여 우리 회사와 다른 회사의 소프트웨어에서 이전에 발견되지 않은 제로 데이 취약점을 발견하고 즉시 공개하여 모든 사람의 보안 기준을 높였습니다.

현재 Google의 위협 분석 그룹(TAG)은 정부 지원을 받는 공격자부터 상업용 감시 업체, 범죄자에 이르기까지 다양한 범위의 지속적인 위협을 해결하기 위해 노력하고 있습니다. TAG는 어려운 귀속 노력 수행을 포함하여 외국 공격자의 공격을 정기적으로 공개합니다.

따라서 저는 오로라 공격에서 얻은 첫 번째 지속적인 교훈은 사이버 보안 대응 구조에 개방성과 투명성을 내장해야 한다는 것입니다. 항상 편안한 작업은 아닙니다. 그 과정에서 파트너 및 자체 팀과 힘든 대화를 나눠야 했습니다. 하지만 업계를 발전시키고 버그가 실제로 사용되기 전에 신속하게 수정되도록 하는 것이 필요합니다.

다음 몇 년 동안 우리는 다음과 같은 몇 가지 원칙을 개발했습니다.책임감 있고 투명하며 도움이 되는 방식으로일반 대중, 파트너, 법 집행 기관과 취약점에 대한 정보를 공유합니다.네트워크 공격(예: 선거에 대한 공격) 및 허위 정보 캠페인에 대한 지식.

이에 따라 미국 정부는 우리 모두를 보호하는 패치를 신속하게 처리하기 위해 업계 파트너와의 더 많은 정보 공유를 촉진하는 자체 프로세스를 확립했습니다.

하지만 투명성의 가치만이 제가 오로라 이야기를 꺼낸 유일한 이유는 아닙니다.

Aurora는 우리에게 투명성을 수용해야 할 필요성을 가르쳤을 뿐만 아니라 보안 아키텍처와 관련하여 무엇이 효과가 있고 무엇이 효과가 없는지에 대한 훨씬 더 중요한 두 번째 교훈도 가르쳐 주었습니다.

정보공유만으로는 오버인덱싱이 가능하다.

어떤 면에서는 소프트웨어 보안의 기본 사항에 초점을 맞추는 것이 오늘날 우리가 겪고 있는 불안전한 수준을 뛰어넘는 데 훨씬 더 중요합니다.

우리는 수십억 명의 사용자를 보호하기 위해 위협 인텔리전스를 선별하고 사용하며 한동안 그렇게 해왔습니다. 그러나 인텔리전스 이상의 것이 필요하고 단순한 보안 제품 이상의 보안 제품이 필요합니다.

단순히 보안을 유지하는 것이 아니라 보안을 내장해야 합니다.

Aurora는 사이버 보안과 관련하여 우리(그리고 업계의 많은 사람들)가 잘못하고 있음을 보여줍니다.

그 당시의 안전은 대개 "겉은 바삭하고 속은 쫄깃함"이었습니다. 캔디바에는 적합하지만 공격을 예방하는 데는 그리 좋지 않습니다. 우리는 나쁜 행위자들을 막기 위해 높은 벽을 쌓고 있지만, 그들이 그 벽을 통과하면 내부 접근이 넓어집니다.

이 공격을 통해 우리는 접근 방식을 바꿔야 한다는 점을 깨달았습니다. 즉, 보안을 설계상으로 두 배로 강화해야 했습니다.

우리에게는 인터넷의 개방성, 유연성, 상호 운용성과 사람과 조직이 이미 점점 더 많이 일하는 방식을 반영하는 미래 보장형 네트워크가 필요합니다.

간단히 말해서, 우리는 클라우드에 대한 보안을 재설계해야 한다는 것을 알고 있었습니다.

그래서 우리는 제로 트러스트와 방어 개념을 심층적으로 개척하고 모든 직원이 VPN을 사용하지 않고도 신뢰할 수 없는 네트워크에서 작업할 수 있도록 하는 BeyondCorp라는 내부 프로그램을 시작했습니다. 오늘날 전 세계의 조직은 동일한 접근 방식을 취하고 있으며 액세스 제어를 네트워크 경계에서 개인 및 데이터로 이동하고 있습니다.

오늘날의 하이브리드 클라우드 환경으로 빠르게 발전하려면 제로 트러스트가 필수입니다.

제로 트러스트의 핵심은 보안에 명확한 경계가 없다는 생각입니다. 사용자와 데이터와 함께 이동합니다. 예를 들어, 정부가 정부 시스템에 대한 다단계 인증을 추진함에 따라 우리는 사용자가 우리 제품에 로그인할 때 휴대폰을 탭하여 사용자인지 확인하기 위해 자동으로 2단계 인증에 사용자를 등록합니다.

실질적으로 이는 직원들이 전 세계 어디에서나 보안을 유지하면서 인터넷을 통해 가장 민감한 내부 서비스 및 데이터에 액세스할 수 있음을 의미합니다. 이는 또한 공격자가 방어를 위반하는 경우 내부 데이터 및 서비스에 대한 전체 액세스 권한을 갖지 못함을 의미합니다.

회사, 조직 또는 정부가 사이버 공격을 방어하기 위해 할 수 있는 가장 효과적인 방법은 레거시 아키텍처를 업그레이드하는 것입니다.

항상 쉬운가요? 아니요, 하지만 수백만 줄의 독점 코드가 있는 레거시 아키텍처에는 각각 잠재적인 취약점인 수천 개의 버그가 있다는 점을 고려하면 그만한 가치가 있습니다.

기존 배관 교체 뿐만 아니라 또한 다음 과제에 대해 생각하고 최신 도구를 배포해야 합니다.

전 세계가 양자 암호 해독 위협에 대응하기 위해 암호화를 업그레이드하기 위해 경쟁하고 있는 것처럼, 우리는 점점 더 정교해지는 위협에 앞서 나갈 수 있도록 최첨단 기술에 투자해야 합니다.

좋은 소식은 인공 지능 기능부터 고급 암호화, 양자 컴퓨팅에 이르기까지 사이버 보안 도구가 빠르게 발전하고 있다는 것입니다.

오늘 우리가 설계에 의한 보안에 대해 이야기한다면 다음은 혁신을 통한 보안입니다. AI와 기계 학습을 통해 보안을 염두에 두고 설계합니다. 이는 필터링 서버를 회피하고 암호화된 통신을 해킹하고 사용자 정의된 생성을 생성하기 위해 악의적인 행위자와 싸우는 새로운 도구를 사용하는 것을 목표로 합니다. 피싱 이메일.

우리는 업계 최고의 AI 작업을 보유하고 있으며 새로운 방법을 테스트하고 선도적인 AI 도구를 사용하여 대규모로 맬웨어와 피싱을 탐지하고 있습니다. 인공 지능을 사용하면 인적 오류를 줄이면서 더 많은 위협을 더 빠르게 탐지할 수 있습니다. 인공 지능, 그래프 마이닝 및 예측 분석은 피싱, 맬웨어, 악성 애플리케이션 및 악성 웹 사이트 코드를 식별하고 차단하는 능력을 크게 향상시킬 수 있습니다.

우리는 조직과 정부가 대비할 수 있도록 우리가 발견한 내용을 더 많이 공유할 수 있기를 기대합니다. 결국 지금은 학습이나 성공 기술을 제한할 때가 아닙니다. 악의적인 행위자는 알려지지 않은 취약점을 악용할 방법만 찾는 것이 아닙니다. Hafnium 및 SolarWinds와 마찬가지로 이들은 한 공격에서 다른 공격으로 이동할 수 있는 보안 체인의 약한 링크를 찾고 있습니다. 한 조직의 침해로 인해 전체 산업과 인프라가 손상될 수 있습니다.

사이버 보안은 팀 스포츠이므로 우리 모두는 보안 커뮤니티뿐만 아니라 국가 보안 커뮤니티, 학계 및 실리콘 밸리 간에 다리를 구축하여 더 나은 관계를 구축해야 합니다.

하나의 이야기로 시작하여 사이버 보안과 러시아의 우크라이나 전쟁에 대한 또 다른 이야기를 들려드리겠습니다.

우리의 접근 방식은 Aurora 이후로 많이 바뀌었습니다. 아마도 우크라이나 전쟁에 대한 우리의 대응보다 이러한 변화를 더 잘 보여주는 사례는 없을 것입니다.

러시아의 침공은 군사·경제 전쟁뿐 아니라 사이버 전쟁, 정보 전쟁까지 촉발시켰다. 최근 몇 달 동안 우리는 전쟁을 미끼로 피싱 및 악성 코드 캠페인을 사용하고 스파이 활동에 가담하며 허위 정보 확산을 시도하는 위협 행위자(국가 행위자 및 범죄 네트워크)의 수가 증가하는 것을 목격했습니다.

하지만 이번에는 위협이 발생할 때 이를 모니터링하고 대응할 수 있는 최신 인프라와 프로세스를 갖추고 있습니다.

우리는 외국 공격자를 표적으로 삼은 사용자에게 수천 건의 경고를 보냈습니다. 이는 Aurora 이후 개척된 관행입니다. 대부분의 경우 우리는 공격을 차단했습니다.

우리는 언론인뿐만 아니라 우크라이나의 취약한 웹사이트도 Google의 보안 보호 하에 두어 DDOS 공격으로부터 보호하기 위해 Project Shield를 출시했습니다. 소규모 웹사이트를 DDOS할 수 있지만 Google을 DDOS하는 것은 매우 어려운 것으로 입증되었습니다. 우리는 벨로루시 출신 배우 Ghostwriter의 피싱 캠페인을 방해했습니다. 우리는 또한 우크라이나 정부가 사이버 인프라를 현대화하고 공격에 견딜 수 있는 능력을 강화하도록 도왔습니다.

우리는 이러한 노력을 인정받아 우크라이나 정부로부터 특별 평화상을 받은 최초의 회사임을 자랑스럽게 생각합니다.

그러나 작업은 완료되지 않았습니다.

지금도 우리는 크렘린이 우크라이나에 대한 서방의 지원을 분열시키고 약화시키려는 시도로 동유럽과 그 외 지역에서 공격을 강화하고 허위 정보 캠페인을 조정할 계획을 세울 수 있다는 보도를 보고 있습니다. 실제로 바로 오늘 우리 TAG 팀은 러시아 연방 보안국(FSB), FSB 및 정부 및 국방부 관리, 정치인, NGO, 싱크탱크를 표적으로 삼기 위해 피싱 이메일을 사용하는 위협 행위자와 관련된 위협 그룹의 활동에 대한 새로운 보고서를 발표했습니다. 그리고 언론인.

그리고 러시아와 우크라이나를 넘어 이란, 중국, 북한의 위협이 증가하고 있는 것을 볼 수 있습니다.

Google은 민주주의와 전 세계 사람들의 안전과 보안을 수호하기 위해 최선을 다하는 자랑스러운 미국 기업입니다.

우리는 사이버 보안이 우리가 직면한 가장 중요한 문제 중 하나라고 믿습니다.

이것이 바로 우리가 제로 트러스트 이니셔티브 확대, 소프트웨어 공급망 보호 지원, 오픈 소스 보안 강화 등 사이버 보안을 강화하기 위해 향후 5년 동안 100억 달러를 투자하는 이유입니다.

이것이 바로 우리가 미국 정부와의 업무 지원에 초점을 맞춘 새로운 부서인 Google 공공 부문을 창설한 이유입니다. 이것이 바로 우리가 공공 부문과의 새로운 파트너십 및 프로젝트에 항상 열려 있는 이유입니다.

최근 몇 년간 우리는 FBI의 해외 영향력 태스크 포스(Foreign Influence Task Force)와 협력하여 미국을 겨냥한 외국 영향력 작전을 식별하고 대응해 왔습니다. 우리는 NSA의 사이버보안 협력 센터와 협력하고 있습니다. 우리는 중요 인프라를 보호하고 전국의 사건에 대한 공동 대응을 개선하기 위해 합동 사이버 방어 협력에 합류했습니다.

전체 디지털 경제를 최첨단으로 유지하는 것이 중요합니다. 그리고 몇 가지 고무적인 진전이 있었습니다. 예를 들어, 지난주 사이버 보안 검토 위원회(Cybersecurity Review Board) 보고서에서 log4j 취약점을 조사하고 생태계 개선 방법에 대한 중요한 권장 사항을 제시하는 것을 보고 기뻤습니다.

우리는 더 필요합니다.

앞으로 사이버 공격을 예방하는 우리의 집단적 능력은 투명성뿐만 아니라 기존 기술에서 벗어나 인프라를 현대화하고 미래의 문제를 감지하고 저지하기 위한 최첨단 도구에 투자하는 등 방어 강화에 대한 노력에서 나올 것입니다.

어제의 도구로는 내일의 위협을 물리칠 수 없습니다. 디지털 방어를 강화하려면 집단적 조치가 필요합니다. 그러나 미국의 집단적 역량과 강점을 활용함으로써 우리 모두를 위해 더 높은 수준의 집단적 안보를 달성할 수 있습니다.

감사합니다.