데이터 탐지 및 응답(DDR)이란 무엇인가요?

DDR이 중요한 이유는 무엇인가요?

데이터 침해로 인한 위험이 전례 없는 수준으로 확대된 오늘날의 역동적인 사이버 보안 환경에서는 데이터 탐지 및 대응이 필수적입니다. 2024년 데이터 유출 조사 보고서(DBIR)에 따르면, 현재까지 확인된 데이터 유출 건수가 10,626건으로 역대 최고치를 기록하는 등 우려스러운 상황을 보여주고 있습니다.

광범위한 데이터 유출 환경 이해하기

DBIR에서 분석된 침해 사고의 68%는 인적 요소와 관련된 것으로, 조직이 인적 오류를 신속하게 식별하고 대응할 수 있는 DDR 솔루션의 우선순위를 정해야 할 필요성을 강조합니다. 이 보고서는 취약점 악용을 통해 시작된 침해가 전년도에 비해 180%나 급격히 증가했다는 점을 강조하며 문제를 더욱 복잡하게 만듭니다.

그리고 랜섬웨어가 있습니다. 아무도 이런 일이 일어날 것이라고 생각하지 않지만, 2024년 DBIR에 따르면 랜섬웨어와 갈취 기법이 전체 침해 사고의 32%를 차지했습니다. 효과적인 데이터 탐지 및 대응 전략을 구현하면 조직은 위협을 신속하게 식별하고 그 영향을 완화하여 중요한 데이터를 보호하고 조직의 평판과 재정 상태를 유지하는 데 도움이 됩니다.

데이터의 가장 큰 위험에 대해 자세히 살펴보기

위에서 언급했듯이 인적 오류를 포함한 여러 가지 요인으로 인해 데이터가 위험에 처할 수 있습니다. 이와 함께 섀도 데이터와 데이터 조각화는 각각 데이터의 무결성, 기밀성, 가용성을 손상시킬 수 있는 고유한 취약점을 야기합니다.

인적 오류: 근본적인 위험

인적 오류는 여전히 데이터 보안에 가장 널리 퍼져 있는 위협입니다. 실수로 정보를 삭제하거나, 민감한 정보를 잘못 관리하거나, 암호를 잘못 설정하거나, 피싱 공격의 희생양이 되는 등 개인은 종종 의도하지 않은 취약점을 만들어냅니다. 아무리 정교한 보안 시스템도 단 한 번의 실수로 인해 손상될 수 있으며, 인적 오류는 데이터 보안의모든 측면에 스며들어 있는 근본적인 위험 요소입니다.

섀도 데이터

인적 오류의 가장 우려스러운 부산물 중 하나는 섀도 데이터의확산입니다. 이 용어는 공식적으로 관리되고 보안이 유지되는 시스템 외부에 존재하는 데이터로, 승인되지 않은 클라우드 서비스, 개인 디바이스 또는 잊어버린 백업에 저장되어 있는 경우가 많습니다.

섀도 데이터는 일반적으로 일반 보안 프로토콜의 범위를 벗어나기 때문에 특히 침해에 취약합니다. 직원들은 자신의 행동이 초래하는 위험을 인식하지 못한 채 실수로 이러한 데이터를 생성하거나 안전하지 않은 위치에 저장할 수 있습니다. 섀도 데이터의 숨겨진 특성으로 인해 조직의 보안 전략에 사각지대가 생깁니다.

멀티클라우드 생태계의 데이터 세분화

멀티클라우드 환경에서는 데이터 파편화가 내재된 위험 요소입니다. 데이터가 여러 클라우드 플랫폼에 분산되어 있고 보안 표준과 관리 방식이 서로 다른 경우가 많기 때문에 일관된 보호를 유지하는 것이 점점 더 어려워지고 있습니다. 물론 세분화는 일관된 보안 정책의 적용을 복잡하게 만들고 특히 클라우드 간에 데이터를 전송하는 동안 공격 표면을 증가시킵니다. 파편화된 데이터에 대한 가시성과 제어 기능이 부족하면 데이터 이동추적, 이상 징후 감지, 규정 준수 여부 확인이 어려워져 위험이 더욱 악화됩니다.

위험의 교차점

인적 오류로 인해 섀도 데이터가 생성되고, 데이터가 멀티클라우드 환경에 걸쳐 파편화되면 데이터 위험 요소가 교차하여 위험이 증가합니다. 이제 데이터가 한 위치에서 다른 위치로 이동하는 등 자주 이동한다고 생각해 보세요. 이러한 위험은 효과적으로 보호하지 않으면 일종의 버뮤다 삼각지대를 형성합니다.

동적 모니터링을 통한 DSPM 솔루션 개선

지금까지 설명한 DSPM 기능은 주로 정적 위험, 즉 민감한 데이터를 찾아 분류하고 해당 데이터에 적용된 액세스 제어 및 구성을 검토하는 것을 말합니다.

하지만 효과적인 데이터 보안 태세를 유지하려면 데이터 액세스 패턴과 사용자 행동을 지속적으로 모니터링하고 분석해야 합니다. 데이터 감지 및 응답(DDR)이 바로 그 역할을 합니다.

DDR은 실시간 모니터링 및 알림 기능을 제공하여 보안 팀이 잠재적인 위협과 의심스러운 활동을 신속하게 탐지하고 대응할 수 있도록 지원하며, 민감한 데이터를 위험에 빠뜨리는 문제의 우선 순위를 지정합니다. DDR은 머신 러닝 알고리즘과 고급 로그 분석을 활용하여 계정 손상 또는 내부자 위협을 나타낼 수 있는 사용자 행동 및 접속 패턴의 이상 징후를 식별할 수 있습니다.

데이터 탐지 및 응답(DDR) 자세히 살펴보기

DDR은 클라우드 데이터가 유출되지 않도록 보호하는 데 사용되는 일련의 기술 지원 솔루션을 설명합니다. CSPM 및 DSPM 도구가 제공하는 정적 방어 계층 위에 동적 모니터링을 제공합니다.

오늘날의 조직은 PaaS (예: Amazon RDS), IaaS (데이터스토어를 실행하는 가상 머신), DBaaS(예: Snowflake) 등 다양한 클라우드 환경에 걸쳐 데이터를 저장하기 때문에 모든 데이터 작업을 모니터링하는 것은 불가능합니다. DDR 솔루션은 실시간 로그 분석을 사용하여 데이터를 저장하는 클라우드 환경을 모니터링하고 데이터 위험이 발생하는 즉시 이를 감지합니다.

DDR 솔루션 작동 방식

데이터 탐지 및 대응 솔루션은 DSPM 기능을 통합하여 데이터 자산을 검색 및 분류하고 , 암호화되지 않은 민감한 데이터 또는 데이터 주권 침해와 같은 위험을 식별하며, 데이터 소유자 또는 IT 부서가 우선적으로 해결해야 할 문제를 파악합니다. 민감한 데이터 자산이 매핑되면 DDR 솔루션은 퍼블릭 클라우드에서 제공되는 클라우드 네이티브 로깅을 통해 활동을 모니터링하여 모든 쿼리 또는 읽기 요청에 대한 이벤트 로그를 생성합니다.

DDR 도구는 거의 실시간으로 로그를 분석하여 위협 모델을 적용하여 외부 계정으로 유출되는 데이터와 같은 의심스러운 활동을 탐지합니다. 새로운 위험을 식별하면 DDR은 경고를 발령하고 즉각적인 조치를 제안합니다. 이러한 알림은 SOC 또는 SOAR(보안 오케스트레이션, 자동화 및 대응) 솔루션에 통합되어 더 빠르게 해결하고 기존 운영과 원활하게 연계되는 경우가 많습니다.

DDR 사용 사례

DDR 솔루션이 처리하는 인시던트 유형을 상상해 보려면 사용자들 사이에서 볼 수 있는 몇 가지 사례를 생각해 보세요.

데이터 주권 문제

최근 몇 년간 제정된 법률에 따라 특정 지역(예: EU 또는 캘리포니아)에 데이터를 저장해야 하는 의무가 생겼습니다. DDR은 데이터가 승인되지 않은 물리적 위치로 흘러가는 시점을 감지하여 규정 준수 문제를 방지합니다.

암호화되지 않은/보안되지 않은 스토리지로 이동된 자산

데이터가 데이터베이스와 클라우드 스토리지 간에 이동하면서 안전하지 않은 데이터스토어로 이동할 수 있습니다(일시적이지만 잊혀진 해결 방법의 결과인 경우가 많습니다). DDR은 이러한 유형의 움직임을 보안 팀에 알립니다.

스냅샷 및 섀도 백업

팀들은 데이터로 더 많은 일을 해야 한다는 압박감에 시달리고 있으며, 이로 인해 승인된 워크플로우 외부에서 섀도 분석이 널리 사용되고 있습니다. DDR은 침해를 유발할 수 있는 방식으로 저장되거나 공유된 데이터의 사본을 찾는 데 도움이 됩니다.

DDR은 클라우드 데이터 보안 환경에 어떻게 적합할까요?

DDR 대 CSPM 및 DSPM

클라우드 보안 태세 관리

CSPM은 클라우드 인프라의 상태를 보호하는 것입니다(예: 지나치게 관대한 권한 부여 또는 잘못된 구성). 데이터의 컨텍스트와 데이터가 여러 클라우드 서비스에서 어떻게 이동하는지를 직접적으로 다루지는 않습니다.

데이터 보안 태세 관리

DSPM은 내부자에서 외부로 데이터를 보호합니다. DSPM 도구는 저장된 데이터를 스캔하고 분석하여 PII 또는 액세스 코드와 같은 민감한 정보를 식별하고 데이터를 분류하며 관련 위험을 평가합니다. 이 프로세스를 통해 보안 팀은 데이터 위험과 데이터 흐름을 보다 명확하게 파악하여 침해로 인해 가장 큰 피해가 발생할 수 있는 클라우드 자산의 우선순위를 정할 수 있습니다.

DSPM은 보다 세분화된 클라우드 데이터 보호 기능을 제공하는 반면, CSPM과 DSPM은 모두 정적이며 자세에 초점을 맞추고 있습니다. 이를 통해 조직은 위험이 어디에 있는지 파악할 수 있지만 실시간 인시던트 대응 측면에서는 거의 도움이 되지 않습니다.

이와 대조적으로 DDR은 동적입니다. 실시간으로 발생하는 데이터 이벤트에 집중하여 경고를 전송하고 보안 팀이 개입하여 심각한 피해를 예방할 수 있는 기회를 제공합니다. DDR은 특정 이벤트 수준을 모니터링하는 반면, 다른 솔루션은 미사용 상태의 구성과 데이터를 살펴봅니다.

잠재적 상황

직원이 고객 데이터가 포함된 데이터베이스에 권한이 있는 역할 기반 액세스 권한을 가지고 있는 시나리오를 생각해 보세요. 이 직원은 퇴사를 계획하고 관리자에게 퇴사 의사를 알리기 전에 데이터베이스를 개인 노트북에 복사하여 다음 회사로 가져갑니다.

이 예에서는 권한이 있는 직원이 데이터베이스에 액세스할 수 있지만, 주요 데이터 유출 이벤트가 발생하고 있습니다. 잘 보정된 위협 모델을 갖춘 DDR 솔루션은 이 내보내기에 포함된 비정상적인 데이터 배치(및 기타 불규칙한 데이터)를 탐지합니다. DDR 도구는 보안 팀에 경고를 보내고 전체 포렌식을 제공하여 유출에 관련된 정확한 자산과 행위자를 찾아냅니다. 내부자 위협이 목표를 달성하기 전에 보안 팀이 개입하여 중요한 시간을 절약합니다.

CISO 아젠다에 추가적인 사이버 보안 도구가 필요한가요?

DDR은 기존 클라우드 보안 스택에 없는 미션 크리티컬 기능을 제공합니다. 상담원을 배치할 수 없는 경우에는 데이터와 관련된 모든 활동을 모니터링해야 합니다. DDR은 데이터 유출이나 오용은 물론 규정 준수 위반으로부터 데이터를 보호합니다. DDR은 SIEM 및 SOAR 솔루션과 통합하여 팀이 한 곳에서 알림을 소비할 수 있도록 함으로써 운영 오버헤드를 줄이는 데 도움을 줍니다.

에이전트 없는 DLP의 필요성

데이터 자산을 실시간으로 모니터링하는 것은 당연한 것처럼 보이지만 대부분의 조직에서는 민감한 데이터를 보호할 수 있는 적절한 방법이 부족합니다. 기존의 온프레미스 환경에서는 주로 인트라넷을 통해 서버에 연결된 개인용 컴퓨터에서 업무를 수행했습니다. 보안 팀은 조직 데이터에 액세스할 수 있는 모든 디바이스와 엔드포인트에 에이전트(안티바이러스 도구와 같은 소프트웨어 구성 요소)를 설치하여 트래픽과 활동을 모니터링했습니다.

하지만 Amazon이나 Google에서 호스팅하는 데이터베이스에 에이전트를 설치하거나 수천 개의 데이터스토어 앞에 프록시를 배치할 수는 없습니다. 클라우드 인프라로 전환하려면 데이터 손실 방지(DLP)에 대한 새로운 접근 방식이 필요합니다.

업계에서는 잘못된 구성과 노출된 데이터 자산을 탐지하여 클라우드 데이터스토어의 보안 태세를 개선하는 데 초점을 맞춘 정적 솔루션(CSPM, DSPM)에 집중했습니다. 하지만 데이터 흐름의 문제는 DDR이 등장하기 전까지는 해결되지 않았습니다.

정적 방어 레이어만으로는 충분하지 않을 때: 보안 침해가 주는 교훈

2018년 Imperva 침해 사고는 공격자가 민감한 데이터가 포함된 Amazon RDS 데이터베이스의 스냅샷에 액세스하는 것으로 시작되었습니다. 공격자는 공개적으로 액세스 가능한 잘못된 구성의 컴퓨팅 인스턴스에서 훔친 AWS API 키를 사용했습니다.

CSPM과 DSPM이 유출을 방지할 수 있었을까요?

CSPM 솔루션은 잘못된 구성을 식별할 수 있고, DSPM은 잘못 구성된 인스턴스에 저장된 민감한 데이터를 탐지할 수 있습니다. 하지만 두 도구 모두 공격자가 정상적으로 보이는 액세스 권한을 얻은 후에는 비정상적인 동작을 식별할 수 없었습니다.

그리고 2018년에 발생한 임퍼바 침해 사건은 10개월 동안 제3자를 통해 발견되지 않았습니다. 공격자는 데이터베이스 스냅샷을 알 수 없는 장치로 내보냈고, 이를 인지하지 못한 회사는 민감한 데이터가 유출되었다는 사실을 사용자에게 알리지 못했습니다.

DDR 솔루션이라면 이벤트 로그 수준에서 AWS 계정을 모니터링하여 이 격차를 해소할 수 있었을 것입니다. 실시간으로 공격을 식별할 수 있었다면 내부 보안 팀에 경고를 보내 즉시 대응할 수 있었을 것입니다.

보안을 유지하면서 혁신 지원

클라우드는 마이크로서비스 및 컨테이너와마찬가지로 앞으로도 계속 유지될 것입니다. 사이버 보안 전문가로서 우리는 조직이 혁신을 가속화하고 개발자에게 더 많은 유연성을 제공하는 기술을 채택하는 것을 막을 수 없습니다. 하지만 데이터 유출을 방지하기 위해 할 수 있는 모든 조치를 취해야 합니다.

DDR이 포함된 DSPM은 데이터 검색, 분류, 정적 위험 관리, 복잡한 멀티클라우드 환경에 대한 지속적이고 동적인 모니터링 등 기존 클라우드 보안 환경에서는 제공되지 않던 중요한 기능을 제공합니다. 조직에 데이터 보안 태세를 효과적으로 관리하는 데 필요한 가시성과 제어 기능을 제공하면 조직은 사고를 조기에 발견하여 치명적인 데이터 손실을 방지하거나 최소화할 수 있습니다.

DSPM 및 데이터 탐지 및 대응 FAQ