GN⁺: 2023년 추수감사절 보안 사건

2023년 추수감사절 보안 사건

• 2023년 11월 23일 추수감사절에 Cloudflare는 자체 호스팅된 Atlassian 서버에서 위협 행위자를 탐지함.
• 보안 팀은 즉시 조사를 시작하고 위협 행위자의 접근을 차단함.
• 11월 26일에는 CrowdStrike의 포렌식 팀을 독립적인 분석을 위해 불러들임.
• CrowdStrike는 조사를 완료하고 Cloudflare는 이 블로그 포스트를 통해 보안 사건의 세부 사항을 공유함.
• Cloudflare 고객 데이터나 시스템은 이 사건으로 인해 영향을 받지 않았음을 강조함.
• 접근 제어, 방화벽 규칙, Zero Trust 도구를 사용한 하드 보안 키 강제 적용으로 인해 위협 행위자의 수평 이동 능력이 제한됨.

“코드 레드” 복구 및 강화 작업

• 위협 행위자가 환경에서 제거된 후, 보안 팀은 회사 전반에 걸쳐 필요한 모든 사람들을 동원하여 침입 조사 및 접근 차단을 완료함.
• 11월 27일부터 기술 인력을 동원하여 "코드 레드"라는 프로젝트에 집중함.
• 이 프로젝트는 환경 내 모든 제어를 강화하고 검증하여 미래의 침입에 대비하고 위협 행위자가 환경에 다시 접근하지 못하도록 하는 것이 목표임.
• CrowdStrike는 위협 행위자의 활동 범위와 정도에 대한 독립적인 평가를 수행함.

공격 타임라인

• 공격은 10월 Okta의 보안 침해로 시작되었으며, 위협 행위자는 11월 중순부터 Okta 침해로 얻은 자격 증명을 사용하여 Cloudflare 시스템을 대상으로 함.
• 10월 18일 Okta 침해로 인해 위협 행위자가 자격 증명에 접근함.
• 11월 14일부터 위협 행위자는 시스템 탐색 및 접근 시도를 시작함.
• 11월 15일에는 Atlassian Jira와 Confluence에 성공적으로 접근함.
• 11월 16일에는 Atlassian 사용자 계정을 생성함.
• 11월 17일부터 20일까지는 Cloudflare 시스템에 접근하지 않음.
• 11월 22일에는 지속적인 접근을 위해 Sliver Adversary Emulation Framework를 설치함.
• 11월 23일에는 보안 팀이 위협 행위자의 존재를 감지하고 접근 차단을 시작함.

결론

• 이 사건은 국가 주도의 공격자에 의한 것으로 추정되며, Cloudflare는 이 사건의 영향을 제한하고 미래의 공격에 대비하기 위해 많은 노력을 기울임.
• Cloudflare의 엔지니어링 팀은 시스템을 보호하고 위협 행위자의 접근을 이해하며 즉각적인 우선 사항을 해결하고 전반적인 보안을 개선하기 위한 계획을 수립함.
• CrowdStrike는 독립적인 평가를 수행하였으며, 최종 보고서가 완료된 후 Cloudflare는 내부 분석과 침입에 대한 조치에 자신감을 가지고 이 블로그 포스트를 공개함.

GN⁺의 의견:

1. 이 사건은 Cloudflare의 Zero Trust 아키텍처의 중요성을 강조함. 이는 시스템 간의 격리를 통해 전체 조직에 대한 위협의 확산을 제한하는 방식으로 작동함.
2. Cloudflare의 신속한 대응과 "코드 레드" 프로젝트를 통한 보안 강화 노력은 기업이 사이버 보안 위협에 대응하는 방식에 대한 통찰력을 제공함.
3. 이 글은 사이버 보안 사고가 발생했을 때 조직이 어떻게 대응하고, 어떤 조치를 취해야 하는지에 대한 이해를 돕는 유익한 사례로 작용함.