미국 국토안보부, 마이크로소프트의 보안문화를 지적하다

2023년 마이크로소프트 Exchange 온라인 플랫폼 사이버 공격 

2023년 여름, 마이크로소프트의 Exchange 온라인 이메일 플랫폼은 중국 기반 위협 행위자인 Storm-0558에 의해 대규모 사이버 공격을 받았습니다. 이 공격은 여러 고위급 미국 정부 관리자 및 조직의 이메일 계정을 침해했습니다. 미국 국토안보부(Cyber Safety Review Board, CSRB)는 마이크로소프트의 보안 문화가 "부적절하다"고 결론 지은 34페이지 분량의 보고서를 발표했습니다. 🚨

주요 발견 사항

• 보안 문화 부족: CSRB는 마이크로소프트의 보안 문화가 부적절하다고 결론지었습니다. 이는 피할 수 있었던 오류들, 암호화 키의 침해 감지 실패, 그리고 부정확한 공개 성명의 시기적절한 수정 부족 등을 포함합니다. 
• Storm-0558 공격: Storm-0558에 의한 이 공격은 마이크로소프트 시스템 내에서 2023년 가장 큰 충격을 준 사이버 공격 중 하나로 기록되었습니다. 

미국 국토안본부(CSRB)의 권고 사항

• 보안 중심 개혁: 마이크로소프트의 CEO와 이사회는 회사와 그 제품 전반에 걸친 근본적인 보안 중심의 개혁을 개발하고 공개적으로 공유할 것을 권고받았습니다. 
• 기능 개발 우선 순위 하락: 새로운 기능을 배포하기 전에 보안 위험이 완전히 평가되고 해결될 때까지 기능 개발을 우선 순위에서 낮추도록 권고했습니다.

반응형

사이버 공격: 피할 수 있었던 오류들의 연속

2023년 여름, 마이크로소프트는 중국과 연계된 사이버 공격으로 인해 큰 타격을 입었습니다. 미국 국토안보부 산하 사이버 안전 검토 위원회(CSRB)는 이 공격의 성공이 마이크로소프트의 피할 수 있었던 일련의 오류들 때문이라고 지적했습니다. 특히, 마이크로소프트가 자사의 암호화 키가 침해된 것을 감지하지 못한 것과 고객이 아닌 자체적으로 침해를 발견하지 못한 것을 큰 문제로 꼽았습니다. 

주요 문제점

• 암호화 키의 침해 감지 실패: CSRB는 마이크로소프트의 암호화 키가 침해된 것을 감지하지 못한 것을 큰 문제로 지적했습니다. 이 키들은 "왕관의 보석"과 같은 중요한 자산으로 간주됩니다. 
• 독립적인 침해 감지 실패: 마이크로소프트는 고객이 아닌 자체적으로 이상 현상을 식별하는 데 실패했습니다.

클라우드 서비스 제공업체(CSP)와 산업에 미치는 영향

미국 국토안보부 산하 사이버 안전 검토 위원회(CSRB)는 2023년 여름 마이크로소프트 Exchange 보안침해 사건에 대한 보고서를 발표하며, CSP들이 디지털 생태계의 더 나은 관리자가 되고 고객의 보안 결과에 대한 책임을 지도록 촉구했습니다. 이 보고서는 CSP들이 시스템 수준의 침해 위험을 줄이기 위해 현대적인 제어 메커니즘과 기본적인 관행을 도입하고, 클라우드 서비스에서 기본 감사 로깅의 최소 기준을 채택할 것을 권장했습니다. 또한, 현대 위협 환경에서 흔히 악용되는 위험을 해결하기 위해 디지털 신원 표준을 정제하고 업데이트할 것을 관련 표준 기관에 촉구했습니다. CSP들이 규제 의무가 없는 경우에도 사건과 취약점을 공개하는 데 있어 더 큰 투명성을 보여줄 것을 요구했습니다. 

산업 전문가들은 이 새로운 CSRB 보고서가 여러 가지 이유로 중요하다고 지적합니다. 2023년 마이크로소프트 교환 사건이 최근 시간 동안 가장 중요한 사이버 공격 중 하나였다고 지적하며, 이 사건이 모든 규모의 조직에 광범위한 영향을 미쳤기 때문에 자세히 검토해야 할 사건이라고 언급습니다.  또한, 이 공격이 예방 가능한 사례였기 때문에 앞으로 더 나은 방어를 구축하는 것이 중요하다고 강조했습니다. 

업계 데이터 보안 최고 전문가는 마이크로소프트가 IT 환경과 그 데이터에 접근할 수 있는 위험에 처한 수많은 키를 가진 첫 번째이자 유일한 조직이 아니며, 이러한 키를 이용해 어떻게 접근이 이루어졌는지 결정할 수 없는 마지막 조직도 아닐 것이라고 언급했습니다. 그는 조직들이 자신들이 보유한 데이터에 대한 접근 상태를 적극적으로 평가하고, 가장 중요한 데이터의 키 사용을 모니터링해야 한다고 제안했습니다.

이 보고서는 마이크로소프트 내부 보안 역량의 상태에 대한 비판적인 보고서일 뿐만 아니라, 다른 조직들이 주의를 기울여야 할 큰 경종이라고 강조했습니다.

 

이 사건은 기업들이 사이버 보안에 더 많은 투자와 관심을 기울여야 한다는 중요한 교훈을 제공합니다.