수산INT

지난 달 코인레일의 해킹사건 이후 국내 Top3 업체인 빗썸까지 연달아 해킹 사고가 발생하고 있다. 해커들의 주 공격대상이 된 후로 가상화폐 거래소들이 금융권의 보안시스템을 도입하는 등 적극적으로 보안체계를 구축하고 있지만 역부족인 상황이다. 지능화된 해킹툴을 비롯해 해커의 공격 루트와 방식의 변화가 다양해 예측하기 힘들기 때문이다.

일반적으로 생각하는 물리적 보안 시스템, 망 분리를 통한 방어에만 그친다면 해커에게 공격 루트를 예측 가능하게 해 주는 것과 마찬가지다. 코인레일 400억원, 빗썸 350억원 등 해킹에 의한 금전적인 손해도 손해이지만 복구와 신뢰회복 등 사후대책에 소요되는 부분까지 생각한다면 가상화폐 거래소와 같이 중요한 정보를 보관하고 운영해야 하는 곳은 기존의 보안체계를 강화해 시스템 취약점에도 대응할 수 있는 신개념의 보안체계가 필요하다. 

최근 RSA 2018 컨퍼런스에서 첫 선을 보인 VMI(Virtual Machine Introspection) 기반의 악성 프로세서 방어 솔루션이 각광을 받고 있다. VMI 기술은 VM에 보안 에이전트를 설치하지 않고도 실행 중인 운영 체제와 프로세스에 대한 정보를 하이퍼바이저에서 분석하여 악성 소프트웨어의 동작 및 악성코드의 실행을 원천적으로 차단할 수 있는 기술이다. 

국내에서 최초로 VMI 기술을 보안솔루션에 적용한 수산아이앤티(대표 이성권, 이하 수산INT)의 eReD Hypervisor Security(이하 eReD, 이레드)는 보안 에이전트가 Guest OS 영역에 존재하지 않기 때문에 악성 프로세스가 보안 모듈을 무력화 시킬 수 없다. 보안 에이전트가 Guest 영역 밖의 하이퍼바이저 내에 위치하여 분리되어 있기 때문이다. 

 

[eReD의 보안영역]

수산INT eReD 관계자에 따르면 “eReD가 보호하는 VM 공간에 가상화폐 거래소의 고객 DB, 거래에 사용되는 코인, 콜드 월렛에 보관되는 코인과 암호하 키 등을 보관하고 VMI기술로 File I/O를 모니터링하면 VM의 무결성을 보장할 수 있다”고 한다. 

가상화폐 거래소는 한동안 공격자들의 주요 타겟이 될 것으로 예상된다. 사후 조치도 중요하지만 사전 조치에 주의를 기울여야 한다. 늘 방어보다 앞서가는 고도화된 해커들의 공격 방식에 대응하기 어려운 현실에서 새로운 보안 방식을 생각해야 될 때다. eReD의 VMI와 같은 기술을 통해 공격자들이 무력화 대상으로 삼는 보안 에이전트를 없애 혼란을 주면서, 철저하게 분리된 계층에서 공격을 차단하는 방식도 고려해 볼 필요가 있다.