[디지털데일리 이종현기자] 미국 캘리포니아주 샌프란시스코에서 24일부터 27일까지 진행된 세계 최대 사이버보안 전시회 ‘RSA 콘퍼런스 2023(이하 RSAC2023)’가 막을 내렸다. 10개 기업이 한국 공동관으로 참가한 가운데 유독 많은 관심을 끈 기업이 있다. 20초 내에 알려지지 않은 위협을 탐지(Unknown Threat Detection within 20 Seconds)한다는 슬로건을 내건 시큐레터다.

시큐레터는 한국정보보호산업협회(KISIA)와 대한무역투자진흥공사(KOTRA)가 함께 준비한 한국 공동관에 전시 부스를 마련했다. HWP나 PDF, DOC와 같은 문서 및 이미지와 같은 비실행형 파일에 대한 보안을 제공하는 플랫폼 ‘마스(MARS)’를 해외 무대에 알렸다.

시큐레터의 핵심 기술은 비실행형 파일에 대한 원천 보안을 제공한다는 점이다. EXE와 같은 실행파일의 경우 그간 공격 숱하게 공격 수단으로 활용됨에 따라 이를 지키기 위한 기술이 많이 발전했지만 비실행형 파일의 경우 아직 대응이 미흡한 상태다.

이에 문서파일 속 매크로와 같은 기능을 사전에 탐지하고 유해 요소를 제거하는 콘텐츠 무해화(CDR)와 같은 기술이 해결책으로 등장했다. 또 웹 격리(Isolation) 기술을 통해 설령 악성코드가 포함돼 있는 파일이라 할지라도 실제 기기에는 위협이 이어지지 않도록 하는 방법도 제시되고 있다.

그러나 CDR이나 웹 격리로는 해결하지 못하는 문제들도 남는다. CDR의 경우 문서파일의 취약점을 이용하는 공격에는 대응할 수 없다. 또 웹 격리의 경우 웹브라우저 환경에서만 이용할 수 있어 편의성이 떨어질 수밖에 없다. 문서파일의 경우 보는 것에 그치지 않고 편집을 해야 하는 경우가 적지 않은데, 격리 웹에서 안전하다 할지라도 이를 다운로드받으면 위협에 노출될 수 있다.

시큐레터가 내놓은 해결책은 역공학(리버스 엔지니어링)이다. 역공학은 악성코드 분석가가 메모리나 중앙처리장치(CPU) 레지스터, 익스플로잇체인, 취약점 등 분석과 같은 기법을 활용해 어셈블리 레벨에서 악성 유무를 판단하는데 활용하는 방식이다. 시큐레터는 이를 자동화한 소프트웨어(SW)로 제공한다.

임차성 시큐레터 대표는 “역공학을 이용한 악성코드 탐지의 가장 큰 이점은 알려지지 않은 위협, 제로데이에 대응할 수 있다는 점이다. 일반적으로 많이 활용되는 시그니처 기반 보안의 경우 제로데이 공격은 막을 수 없다. 이후 등장한 것이 샌드박스 기반 지능형지속위협(APT)이지만 해커들은 이 역시도 우회하기 시작했다”고 말했다.

이어서 “시큐레터는 검사 대상 파일의 어셈블리, 그러니까 프로그래밍 언어 단에서 정상 파일인지, 악성 파일인지를 진단한다. 정상 파일일 경우 사용할 수 있도록 하고, 만약 의심스러운 파일이라면 자체 CDR을 통해 무해화를 하거나 차단하는 것이 일련의 흐름”이라고 부연했다.

악성 행위가 이뤄지는 것을 기점으로 탐지 및 대응을 하게 되는 솔루션과도 차별화됐다. 다만 기술적으로는 다를지라도, 근본적인 개념에서는 유사점을 찾을 수 있다.

행위 기반 솔루션이 데이터의 유출이나 변조, 이상 행위를 발견한 뒤 대응한다면 시큐레터는 이상 행위를 하려는 ‘전조’를 탐지한다. 문서파일인데 비정상적으로 램(RAM) 사용량이 많아질 경우 이를 식별하는 것인데, 이상 행위의 가능성이나 전조, 트리거를 파악한다는 면에서 제품의 근본적인 지향점은 닮았다. 다만 보다 앞단에서 작동해 위협을 더 근본적으로 막는다는 것이 차별점이다.

또 시큐레터의 기술이 시장에서 주목받는 것은 이와 같은 과정에 필요한 시간이 20초 이내라는 점이다. 시큐레터는 검색엔진인 마스의 고도화를 통해 악성코드 진단에 필요한 시간을 계속 줄이고 있다. 2021년 45초였던 진단 시간은 현재 12초로 줄였다. 올해 내 10초 내에 진단이 가능하도록 성능이 강화되리라는 것이 임 대표의 설명이다.