무차별 대입 공격이란?

무차별 공격은 여러 형태로 나타날 수 있습니다. 간단한 무차별 대입 공격은 올바른 조합을 찾을 때까지 가능한 모든 숫자나 문자 조합을 체계적으로 시도하는 것을 포함합니다. 이 방법은 시간이 많이 걸리고 리소스도 많이 필요할 수 있습니다. 특히 길거나 복잡한 비밀번호나 암호문구의 경우 더욱 그렇습니다.

더욱 집중적인 기술은 사전 공격인데, 이는 가능한 비밀번호나 문구의 미리 정의된 목록을 사용합니다. 기존의 무차별 대입 공격처럼 숫자나 문자를 가능한 모든 조합으로 시도하는 대신, 공격자는 사전에 있는 각 단어나 구문을 체계적으로 시도해 올바른 단어나 구문을 찾아냅니다. 사전 공격은 단순한 무차별 대입 공격보다 빠르지만, 비밀번호가 충분히 복잡하거나 특수 문자를 사용하거나 사용 중인 사전에 포함되지 않은 경우 여전히 실패할 가능성이 있습니다. 또한, 동일한 로그인 프롬프트에 사전 공격을 사용하면 속도 제한 및 계정 잠금 제어가 빠르게 실행됩니다.

하이브리드 무차별 대입 공격은 사전 공격과 단순 무차별 대입 공격의 요소를 결합한 것입니다. 하이브리드 공격에서 공격자는 기존의 무차별 대입 공격에서처럼 무작위 문자 집합을 사용하고, 사전 공격에서처럼 일반적인 단어와 구문 목록을 사용합니다. 이러한 하이브리드 방식은 사전의 일반적인 비밀번호와 예측하기 어려운 문자 조합을 모두 활용하여 성공 가능성을 높입니다.

또 다른 공격 형태는 역방향 무차별 공격입니다. 공격자는 특정 계정에 대해 다양한 비밀번호를 연속으로 시도하는 대신, 일반적으로 사용될 것으로 생각되는 특정 비밀번호(예: "password1234")를 대량의 계정 사용자 이름에 적용합니다. 이 방법은 대상 계정 중 적어도 일부가 선택한 비밀번호를 사용한다는 가정에 의존하며, 로그인 시도 실패 횟수에 따라 완화 조치가 실행될 가능성이 낮습니다.

하는 동안 신임장 채우기 일반적으로 무차별 공격의 한 형태로 간주되지는 않습니다(공격자가 이미 사용자 이름과 비밀번호 목록을 알고 있음). 계정에 대한 무단 액세스를 얻는다는 목적이 공유되며, 그 후 종종 계정 인수(ATO) 와 사기가 뒤따릅니다. 크리덴셜 스터핑은 자동화된 스크립트나 도구를 사용하여 이전 데이터 침해나 다크 웹에서 얻은 사용자 이름/비밀번호 조합 등의 대량의 손상된 자격 증명을 다양한 온라인 로그인 양식에 빠르게 적용합니다. 신임장 정보 입력에는 무차별 대입 공격처럼 가능한 모든 조합을 철저히 테스트하는 것은 포함되지 않지만, 여전히 무단 액세스를 시도하는 자동화된 방법이므로 심각한 보안 위협이 됩니다. 두 가지 유형의 공격 모두 OWASP Top 10 및 OWASP Automated Threats 프로젝트에서 가장 큰 위험으로 간주됩니다.

취약하거나 손상된 인증은 무차별 대입 공격자가 침입할 수 있는 또 다른 수단입니다. 일부 인증 시스템은 특정 기간 내 로그인 시도 횟수를 제한하는 잠금 또는 조절 메커니즘을 구현하지 않습니다. 이러한 보안 장치가 없으면 공격자는 아무런 제한 없이 반복적으로 비밀번호를 추측하려고 시도할 수 있으며, 무차별 대입 공격이 성공할 가능성이 커집니다.

무차별 대입 공격은 세션 ID를 추측하거나 세션 관리 메커니즘의 취약점을 악용하여 유효한 세션 ID를 획득하거나 하이재킹하는 데 사용될 수도 있습니다. 공격자가 유효한 세션 ID를 얻으면 이를 사용해 인증된 사용자를 가장하고 보호된 리소스에 대한 무단 액세스를 얻을 수 있습니다.

해커가 무차별 공격을 감행하는 동기는 매우 다양하지만, 일반적으로는 악의적인 목적으로 시스템, 네트워크 또는 계정에 대한 무단 액세스를 얻는 것입니다.

일반적인 동기로는 금전적 이득이 있습니다. 공격자가 사기나 도난을 저지르기 위해 신용카드 번호나 은행 자격 증명과 같은 금융 정보를 훔치려고 할 때의 예입니다. 또한 판매될 수 있는 개인 식별 정보(PII), 지적 재산권 또는 기밀 비즈니스 데이터에 대한 액세스를 표적으로 삼을 수도 있습니다. 공격자는 개인 계정에 접근해 다른 사람을 사칭하고 사기 행위에 가담할 수도 있습니다.

범죄자는 또한 다른 형태의 악의적인 행동을 위해 시스템을 하이재킹할 수도 있습니다. 예를 들어, 공격자가 여러 소스를 조정하고 분산 서비스 거부(DDoS) 공격을 실행하는 제어되는 장치 네트워크인 봇넷을 구성할 수 있습니다.

무차별 대입 공격을 통해 시스템 및 계정에 무단으로 접근하면 맬웨어나 스파이웨어가 퍼질 수도 있고, 외설적이거나 공격적인 텍스트와 이미지를 웹사이트에 뿌리는 공격을 통해 회사나 웹사이트의 평판을 위협할 수도 있습니다. 해커는 무차별 대입 공격을 통해 광고나 활동 데이터를 악용할 수 있으며, 승인되지 않은 액세스를 통해 웹사이트에 스팸 광고를 게재하여 광고 수수료를 얻거나 의도한 웹사이트의 트래픽을 악성 사이트로 리디렉션하여 자격 증명을 훔치거나 사용자를 사기할 수 있습니다. 

OWASP (Open Worldwide Application Security Project) 웹 애플리케이션에 대한 자동화된 위협 프로젝트에서는 무차별 대입 공격을 신임장 해독 공격(OAT-007) 의 한 유형으로 식별합니다. F5는 OWASP의 자동화된 위험 대부분을 해결하기 위한 솔루션을 제공합니다. F5 Distributed Cloud Bot Defense는 봇과 악의적인 자동화를 차단하여 ATO를 방지하고 기존 봇 관리 솔루션을 우회할 수 있는 사기와 남용을 방지합니다. Distributed Cloud Bot Defense는 실시간 모니터링과 인텔리전스는 물론 ML 기반 회고적 분석을 제공하여 무차별 대입 공격을 포함한 자동화된 공격으로부터 조직을 보호합니다.

F5 웹 애플리케이션 방화벽(WAF) 솔루션은 OWASP에서 식별한 광범위한 위험을 차단하고 완화합니다. F5 WAF 솔루션은 F5 Labs의 위협 인텔리전스와 ML 기반 보안을 비롯한 서명 및 행동 보호 기능을 결합하여 새로운 위협에 대응합니다. 무차별 대입 공격을 방지하기 위해 WAF는 구성된 로그인 URL에 도달하려는 시도가 실패한 횟수를 추적합니다. 무차별 대입 공격 패턴이 감지되면 로그인 실패율이 크게 증가하거나 로그인 실패가 최대 임계값에 도달한 경우 WAF 정책은 이를 공격으로 간주합니다.

F5 WAF 솔루션은 F5 봇 방어 솔루션과 통합되어 취약성 악용 및 자동화된 무차별 대입 공격을 포함한 심각한 보안 위험에 대한 강력한 완화책을 제공합니다.