[전남인터넷신문]AI 침투 도구를 쓴 보안 비전공자 1명이 40여일 만에 국내 업체 60곳을 침해한 사실이 확인되면서, 침투 이후 단계의 C2 통신과 데이터 유출을 탐지할 필요성이 커지고 있다.NDR 전문 보안기업 씨큐비스타(대표 전덕조)는 암호화 트래픽을 복호화하지 않고 명령·제어(C2) 통신과 데이터 유출을 실시간으로 탐지하는 암호화 트래픽 분석(ETA) 신제품 '패킷사이버 EVA 2.2.6'(PacketCYBER EVA)를 출시한다고 4일 밝혔다.

서울경찰청 사이버수사과에 따르면, 보안 비전공자인 총책 A씨는 AI 자율 침투 테스트 도구 '아르텍스'(ARTEX)를 쓴 40여일 동안 국내 업체 60곳을 침해했다. AI 도입 전 1년간 30곳(월 2~3곳)을 침해한 것과 비교하면 공격 속도가 하루 1곳 이상으로 빨라졌다. 학원·병원·대기업 계열사 등 90여 곳에서 탈취한 데이터는 820만 건을 넘어섰다.

AI는 침투 속도를 높이지만 침투 이후의 통신까지 없애지는 못한다. 데이터를 유출하려면 공격자는 C2 서버와 통신하고 데이터를 외부로 전송해야 하며, 이 통신은 대부분 암호화된 채널을 통해 이뤄진다. 그러나 웹 트래픽의 약 95%가 암호화되면서(구글 투명성 보고서) 통신 내용을 검사하던 IDS·IPS, 네트워크 DLP 등 기존 보안 장비는 판단 근거를 잃고 있다. 이를 보완해 온 복호화 솔루션도 개인정보 보호 규정과 충돌하고 처리 성능을 저하시킨다. 여기에 ECH·QUIC·PQC 등 차세대 암호화 기술이 확산되면서, 복호화에 의존하는 기존 보안 솔루션은 대부분 무력화되고 있다는 지적이 나온다.

트래픽 원본을 모두 저장해 사후 분석하는 전수 패킷 저장(Full Packet Capture) 방식의 솔루션도 같은 한계를 가진다. TLS 1.3의 전방향 안전성(PFS)은 세션마다 임시 키를 생성하고 폐기하므로, 패킷을 저장해 두더라도 나중에 복호화 키를 복원할 수 없다.

'패킷사이버 EVA'는 이러한 한계를 행위·메타데이터 분석을 통해 해결했다. 서버 이름이나 TLS 핑거프린트(JA3·JA4)가 아니라 송수신량, 통신 주기, 연결 그래프, 목적지 희귀도 등 24개 탐지 지표로 통신 행위를 분석해 악성 여부를 판정하고, 모든 탐지 결과를 MITRE ATT&CK 기법에 매핑한다. 포트 미러링(SPAN)·TAP으로 복제된 트래픽만 수신하므로 복호화 키나 인라인 장비 설치가 필요하지 않다. 이는 미국 국립표준기술연구소(NIST) 제로 트러스트 아키텍처 지침(SP 800-207)이 제시하는 메타데이터 기반 탐지 방식에 부합한다.

탐지 성능은 실측으로 검증했다. SNI를 제거한 ECH 동등 조건, QUIC C2 시험 조건 12종, 하이브리드 PQC 실환경 트래픽 모두에서 탐지 성능 저하가 없었다. 공개 악성 트래픽 샘플 47종을 동일한 조건에서 비교한 결과, '패킷사이버 EVA'는 46종(98%)을 탐지했고, 해외 A사 제품은 37종을 탐지했다. 오탐은 패킷사이버 EVA가 공용 DNS 리졸버 1종에 국한된 반면, A사는 샘플 30종에서 정상 서비스의 주기성 통신을 위협으로 판정했다.

'패킷사이버 EVA'는 11월 하드웨어 어플라이언스와 가상 어플라이언스 형태로 1차 출시되며, 클라우드(SaaS) 제공은 후속 로드맵에 포함됐다. 씨큐비스타는 국내 공공·금융 시장을 시작으로 APAC 지역 유통 파트너를 통해 글로벌 ETA 시장에 진출할 계획이다.

전덕조 씨큐비스타 대표는 "AI 침투 기술이 고도화·확산되면서 공격 속도가 기존 방어 체계의 대응 속도를 넘어섰지만, 침투에 AI를 활용하더라도 데이터를 유출하려면 결국 외부와 통신해야 한다"며 "C2 통신과 데이터 유출은 대부분 암호화 채널에서 이뤄지므로 이를 복호화 없이 탐지하는 기술이 필수"라고 말했다. 이어 "패킷사이버 EVA는 ECH·QUIC·PQC 등 고도화된 암호화 환경에서도 탐지 성능을 유지한다"고 덧붙였다.