{{위키데이터 속성 추적}}
{{문서 등재 기준|날짜=2021-11-16}} <!-- 특정 업체의 홍보성 신조어 -->

'''네트워크 보안사각'''은 보안 장비들이 보안 위협의 침투나 그로 인한 보안 사고를 탐지하지 못하는 것을 의미한다<ref name=":0">{{웹 인용|url=https://www.venafi.com/sites/default/files/2020-11/Venafi_SolutionBrief_CheckPoint_ProtectMachineIdentities_2020_f.pdf|제목=(CHECK POINT + VANAFI) PROTECT MACHINE IDENTITIES|성=Check Point Software Technologies Ltd.|날짜=2020-03-24}}</ref><ref>https://www.dailysecu.com/news/articleView.html?idxno=128739</ref>. 즉, 침해(악성코드의 침투 또는 데이터의 유출)임에도 불구하고 이를 정상적인 트래픽으로 인지하여 이를 차단하지 못하거나 경보를 띄우지 못하는 것이다. 제로데이 기간에 있는 보안 위협의 침투, 아직 알려지지 않은 Black List 사이트로의 데이터 유출, 그리고 아직 알려지지 않은 C&C 서버와의 통신 등이 이에 해당한다.

== 네트워크 보안사각의 발생 이유 : 제로데이(Zero-day) ==
[[파일:Zero_day_Problem.png|섬네일|615x615픽셀|Description of NSBS(Network Security Blind Spot) problem]]
모든 실시간 네트워크 보안 장비들은 신·변종 보안 위협의 등장 이후 해당 위협을 탐지하거나 대응할 수 있는 탐지 정보(TI, Threats Intelligence) 제공까지의 시간적인 간격인 제로데이<ref>{{저널 인용|제목=Before we knew it: an empirical study of zero-day attacks in the real world|성=Bilge|이름=Leyla|성2=Dumitraş|이름2=Tudor|url=https://doi.org/10.1145/2382196.2382284|날짜=2012-10-16|총서=CCS '12|출판사=Association for Computing Machinery|위치=New York, NY, USA|쪽=833–844|doi=10.1145/2382196.2382284|isbn=978-1-4503-1651-4}}</ref> 때문에 보안사각을 가질 수밖에 없다. 글로벌 보안 정보 회사에서 제공하는 탐지 규칙과 악성 사이트 정보는 매일 수십에서 수천까지의 탐지 정보가 업데이트되므로, 탐지 정보를 기준으로 최소 3% ~ 5%의 보안사각이 발생된다.

네트워크 보안사각을 발생시키는 제로데이는, 보안 위협의 생성 이후 해당 위협에 대해 탐지 가능한 정보(TI, Threats Intelligence)가 제공될 때까지의 시간상의 공백 기간을 말한다. 탐지정보(Threats Intelligence, Signature/Backlist IP 정보/C&C 서버 IP 정보 등)가 제공되는 날부터 Day 1이 시작된다.

블랙 리스트(Black list) 기반 보안환경에서 제로데이 기간에 있는 보안위협은 위협으로 판단할 수 있는 정보가 없기 때문에 항상 정상적인 것으로 판단된다. 따라서 네트워크를 통한 악성 코드의 침투 등은 정상 트래픽으로 인지되므로, 항상 성공할 수밖에 없다(False-Negative). 제로데이 기간은 정확한 숫자로 표현할 수는 없으며, 대한민국 육군본부 보안팀 요구사항에 따르면 보통 평균 3개월 정도를 필요로 한다고 한다.

== 보안사각을 이용한 제로데이 공격(Zero-day Attack) ==
제로데이 공격은 제로데이(Zero-day) 라는 특성을 이용한 사이버공격을 말한다. 이는 좁게는 운영체제나 소프트웨어의 취약점이 발견된 후 해당 취약점이 패치되기 전까지 이루어지는 공격을 의미하고, 넓게는 신종, 변종 보안위협의 생성 이후 이를 인지할 수 있는 TI(Threats Intelligence)가 제공되기 전에 이루어지는 공격을 의미한다.

제로데이 공격은 제로데이 기간이라는 시간 특성과 블랙 리스트(Black list) 기반의 침해 대응이라는 특성으로 말미암아 항상 성공할 수밖에 없기에, 이에 대한 대응은 “실시간 방어”가 아닌 “조기 인지를 통한 피해 최소화” 영역에 속하게 된다<ref>{{웹 인용|url=https://www.dailysecu.com/news/articleView.html?idxno=119928|제목=[솔라윈즈 SUNBURST 보안위협 총정리] “한국 병원·대학·기관 등에서도 공격 스캔 발견”|날짜=2021-01-25|언어=ko|확인날짜=2021-09-24}}</ref><ref>{{웹 인용|url=http://www.cctvnews.co.kr/news/articleView.html?idxno=232001|제목=지니언스-엑사비스, 보안솔루션 넷아르고스 통해 제로데이 침투 사례 밝혀|날짜=2021-12-23|언어=ko|확인날짜=2022-01-19}}</ref>.

== 네트워크 보안사각의 종류 ==
[[파일:NSBS_definition_from_a_time_perspective.png|섬네일|558x558픽셀|Definition of NSBS(Network Security Blind Spot) in terms of time|가운데]]
네트워크 보안사각은 하나의 문제가 아니라, 보안 침해의 발생 시점과 탐지 정보(Threats Intelligence)의 제공 시점을 기준으로 따라 세 종류의 문제로 세분화할 수 있다<ref>{{웹 인용|url=https://www.youtube.com/watch?v=8flRP-dXF0M&t=6s|제목=[AIS2021] 타이거CNS-보안사각을 어떻게 대응할 것인가?|성=황석훈|날짜=2021.09.17|확인날짜=2021.09.24}}</ref>.

* 운용상의 보안사각: 침해 발생 이전에 탐지 정보가 제공되는 경우
*시간상의 보안사각: 침해는 과거에 발생했는데, 탐지 정보가 오늘 제공되는 경우
* 언노운(Unknown) 보안사각: 침해는 과거에 발생했는데, 아직 탐지 정보가 제공되지 않는 경우

=== 운용상의 보안사각 ===
[[파일:Nsbs02.jpg|가운데|섬네일|440x440픽셀|N-Day 공격으로 발생할 수 있는 운용상의 보안사각]]
운용상의 보안사각(공백)은 보안 담당자(운용자)의 실수로 위협 정보의 설정이 누락되거나 지연되는 경우를 말한다.

운용자의 실수로 인해 탐지 정보의 설정이 늦어지거나 누락되어 경보 발생이 안되는 경우, “Lost once, Lost forever”이라는 경보 발생의 실시간 특성에 따라 트래픽의 재검사 외에는 경보를 다시 발생시킬 수 있는 방법이 없다.

=== 시간상의 보안사각 ===
[[파일:Nsbs01.jpg|가운데|섬네일|440x440픽셀|Zero-day 공격으로 발생한 시간상의 보안사각]]
시간상의 보안사각(공백)은 새로운 TI(Threats Intelligence)가 제공되더라도 이미 과거에 일어난 침해는 보안 장비들이 경보를 발생시키지 못하는 것을 의미한다<ref>{{저널 인용|제목=네트워크 보안 방법 및 이를 수행하는 시스템(특허등록번호: 1021744620000)|성=엑사비스 주식회사|url=|날짜=2021-10-29|출판사=KIPRIS|언어=ko}}</ref>. 이는 신·변종 보안 위협의 침투 및 유출의 시점(침해 시점)과 이를 검출할 수 있는 위협 정보(TI, Threats Intelligence)의 제공 사이의 시간적인 차이인 제로데이 때문이다.

따라서 매일 배포되는 신규 탐지 정보를 바로 적용한다고 할 지라도 과거에 이미 발생한 보안 위협의 침투와 이로 인한 데이터 유출에 대한 검출 및 대응은 할 수 없게 된다.

=== 언노운(Unknown) 보안사각 ===
[[파일:Nsbs03.jpg|가운데|섬네일|439x439픽셀|제로데이 공격으로 발생한 언노운 보안사각]]
언노운 보안사각은 신·변종 보안 위협이 생성된 후, 아직 이를 탐지할 수 있는 TI(Threats Intelligence)가 제공되지 않아서 침해에 대해 보안 장비들이 경보를 발생시키지 못하는 것을 의미한다. 즉, 아직 해당 보안 위협에 대한 제로데이가 끝나지 않은 상태임을 의미한다.

언노운 보안사각은 관련된 보안 위협의 제로데이가 끝나는 시점에서, 해당 보안위협의 침해는 시간상의 보안사각으로 변하게 된다.

== 보안 사각에 대한 대응 방법<ref>https://www.dailysecu.com/news/articleView.html?idxno=131490</ref> ==
사이버 보안사각은 실시간으로는 경보가 발생하지 않으므로, 가능한 빨리 놓친 경보를 찾아내고, 추적하여 분석함으로써 침해로 인한 피해를 최소화하는 것으로 대응해야 한다<ref>{{웹 인용|url=https://www.checkpoint.com/downloads/partners/checkpoint-xabyss-solution-brief.pdf|제목=(CHECK POINT + XABYSS) INTEGRATED THREAT PREVENTION|성=Check Point Software Technologies Ltd.|날짜=2019-05-27}}</ref><ref>{{웹 인용|url=https://startupworld.tech/xabyss-netargos-eliminates-network-security-blind-spots/|제목=Xabyss NetArgos® Eliminates network security blind spots|날짜=2020-08-26|언어=en-US|확인날짜=2021-07-27}}</ref>. TI(Threats Intelligence)의 제공 여부를 기준으로 대응 방법은 두 가지로 나누어 볼 수 있다<ref>{{웹 인용|url=https://www.hankookilbo.com/News/Read/201907061403724281?t=20210924013857|제목=[판교기업]세계 최초의 사이버보안 CCTV 솔루션을 제공한다” 엑사비스 이시영 대표|날짜=2019-07-06|언어=ko-KR|확인날짜=2021-09-24}}</ref>. 

첫번째는 회귀보안검사로서 TI(Threats Intelligence)가 제공된 상태인 운용상 보안사각과 시간상 보안사각을 해결하는 방법이다. 제공된 모든 탐지 정보로 과거 트래픽을 주기적으로 재검사함으로써 운용상의 보안사각으로 누락된 침해 경보를 찾아내고, 새롭게 제공된 탐지 정보로 조직이 결정한 평균 제로데이 기간 이전부터 오늘까지의 트래픽을 재검사함으로써 시간상의 보안사각으로 누락된 침해 경보를 찾아낼 수 있다<ref>{{웹 인용|url=https://www.dailysecu.com/news/articleView.html?idxno=129312|제목=황석훈 타이거CNS 대표 “제로데이 보안사각, 새로운 접근방식 ZDR로 대응해야”|날짜=2021-09-26|언어=ko|확인날짜=2021-09-28}}</ref>. 

두번째는 이상행위탐지로서 TI(Threats Intelligence)가 제공되지 않은 상태인 언노운 보안사각을 해결하는 방법이다. 언노운 보안사각에 관련된 보안 위협은 TI(Threats Intelligence)가 존재하지 않으므로 회귀보안검사를 수행하는 것은 불가능하다. 따라서 내부의 이상한 행위를 잘 모니터링하여 침해가 발생하였음을 유추하는 것이 유일한 방법이다<ref>{{서적 인용|url=http://dx.doi.org/10.1007/978-3-319-66505-4_5|제목=Using Bayesian Networks to Fuse Intrusion Evidences and Detect Zero-Day Attack Paths|성=Sun|이름=Xiaoyan|성2=Dai|이름2=Jun|날짜=2017|출판사=Springer International Publishing|위치=Cham|쪽=95–115|성3=Liu|이름3=Peng|성4=Singhal|이름4=Anoop|성5=Yen|이름5=John}}</ref><ref>{{저널 인용|제목=Zero-Day Attack Detection and Prevention in Software-Defined Networks|성=Al-Rushdan|이름=Huthifh|성2=Shurman|이름2=Mohammad|url=http://dx.doi.org/10.1109/acit47987.2019.8991124|날짜=2019-12|출판사=IEEE|doi=10.1109/acit47987.2019.8991124|성3=Alnabelsi|이름3=Sharhabeel H.|성4=Althebyan|이름4=Qutaibah}}</ref><ref>{{저널 인용|제목=Utilising Deep Learning Techniques for Effective Zero-Day Attack Detection|저널=Electronics|성=Hindy|이름=Hanan|성2=Atkinson|이름2=Robert|url=http://dx.doi.org/10.3390/electronics9101684|날짜=2020-10-14|권=9|호=10|쪽=1684|doi=10.3390/electronics9101684|issn=2079-9292|성3=Tachtatzis|이름3=Christos|성4=Colin|이름4=Jean-Noël|성5=Bayne|이름5=Ethan|성6=Bellekens|이름6=Xavier}}</ref><ref>{{저널 인용|제목=Hybrid System Between Anomaly Based Detection System and Honeypot to Detect Zero Day Attack|성=Innab|이름=Nisreen|성2=Alomairy|이름2=Eman|url=http://dx.doi.org/10.1109/ncg.2018.8593030|날짜=2018-04|출판사=IEEE|doi=10.1109/ncg.2018.8593030|성3=Alsheddi|이름3=Lamya}}</ref><ref>{{저널 인용|제목=Detecting zero-day attacks using context-aware anomaly detection at the application-layer|저널=International Journal of Information Security|성=Duessel|이름=Patrick|성2=Gehl|이름2=Christian|url=http://dx.doi.org/10.1007/s10207-016-0344-y|날짜=2016-07-20|권=16|호=5|쪽=475–490|doi=10.1007/s10207-016-0344-y|issn=1615-5262|성3=Flegel|이름3=Ulrich|성4=Dietrich|이름4=Sven|성5=Meier|이름5=Michael}}</ref><ref>{{저널 인용|제목=Network Anomaly Detection with Stochastically Improved Autoencoder Based Models|성=Aygun|이름=R. Can|성2=Yavuz|이름2=A. Gokhan|url=http://dx.doi.org/10.1109/cscloud.2017.39|날짜=2017-06|출판사=IEEE|doi=10.1109/cscloud.2017.39}}</ref>. 

시간상/운용상의 보안사각을 해소하는 방법으로 이상행위탐지를 권고하지 않는 이유는 검출의 정확성과 검증의 한계성 때문이다. 이상행위탐지는 행위 패턴의 분석이라는 특성상 “Best Effort”로 동작할 수밖에 없으므로, 정확도에 대한 보장을 할 수 없다. 또한 침투 경로에 대한 검증, 분석, 그리고 추적이 힘들다. 따라서 이상행위탐지 기술은 탐지 정보가 존재하지 않는 언노운 보안사각에서는 의미를 가지지만, 회귀보안검사를 사용하면 100% 정확하게 시간상/운용상의 보안사각의 검출이 가능하고, 과거 트래픽이 존재하므로 검증과 추적을 정확하게 할 수 있으므로, 시간상/운용상 보안사각을 해소하는 데는 적합하지 않다.

== 같이 보기 ==
* [[제로 데이 공격]]

== 각주 ==
<references />

== 외부 링크 ==
* https://blogs.gartner.com/andrew-lerner/2015/11/13/network-security-worst-practices-part-2-friday-the-13th-edition/
* https://www.igi-global.com/chapter/a-three-vector-approach-to-blind-spots-in-cybersecurity/213643
* https://www.computer.org/csdl/magazine/sp/5555/01/09667540/1zTg1nCp584

[[분류:네트워크 보안]]