콘텐츠 보안이란 —
파일이 아니라 파일 속 능동 요소를 통제하는 보안

메일 첨부 하나, 민원 게시판에 올라온 파일 하나, 망연계로 넘어온 보고서 하나가 침투의 출발점이 된다. 오늘의 업무 문서는 읽히는 데이터이면서 실행될 수 있는 요소를 품은 컨테이너이기 때문이다. 콘텐츠 보안은 이 컨테이너 안의 능동 요소를 독립된 통제 대상으로 다루는 보안 영역이다. 이 글은 공개 파일 형식 표준, MITRE ATT&CK, 시큐레터 공식 자료를 근거로 그 정의와 경계를 정리한다. 판정·관찰·변환이라는 세 가지 접근이 각각 할 수 있는 일과 할 수 없는 일, 유입 경로별 설계, 도입 전 점검 항목도 함께 다룬다.

보안 영역은 보통 무엇을 보호 대상으로 삼느냐로 나뉜다. 네트워크 보안은 트래픽을 본다. 엔드포인트 보안은 단말에 놓인 파일과 단말에서 돌아가는 프로세스, 그 행위를 본다. 신원 보안은 계정과 권한을, 데이터 보안은 무엇이 어디로 나가는지를 본다. 콘텐츠 보안은 조직의 경계를 넘나드는 파일과 그 안의 내용을 대상으로 삼는다.

대상과 위치가 다르면 던지는 질문도 다르다. 엔드포인트 보안은 "이 단말에 있는 파일과 프로세스가 위험한가"를 단말에서 묻는다. 이 영역은 "이 파일이 열리는 순간 무엇을 할 수 있도록 만들어져 있는가"를 파일이 전달되는 경로에서 묻는다. 앞의 질문은 단말에서, 뒤의 질문은 단말에 닿기 전에 답한다. 두 질문은 서로를 대신하지 않는다.

이 글은 다음과 같이 정의한다. 파일 형식의 구조 안에 들어 있는 코드, 외부 참조, 필드 기반 외부 연결, 내장 객체, 형식 해석 경로를 식별하고, 그것이 사용자 환경에서 동작하기 전에 판정하거나 격리하거나 제거하는 통제의 집합. 이 정의에는 세 요소가 있다. 대상은 파일 속 능동 요소이고, 시점은 사용자가 열기 전이며, 수단은 판정·관찰·변환 세 가지다. 세 수단은 5장에서 자세히 다룬다.

범위도 정해 둘 필요가 있다. 주로 다루는 대상은 업무 문서다. HWP·HWPX, DOC·DOCX, XLS·XLSX, PPT·PPTX, PDF가 여기에 속하고, 이를 감싸는 압축 파일, 이미지, 웹 업로드 파일, 메일에 첨부된 HTML 파일도 포함된다. 실행 파일(PE)은 성격이 다르다. 실행 파일은 '정화해서 쓰는' 대상이 아니다. 반입을 허용할지 말지를 정하는 정책 대상으로 분리하는 편이 설계상 명확하다.

문서를 별도 대상으로 떼어내는 이유는 공격 흐름에 있다. MITRE ATT&CK은 스피어피싱 첨부파일을 초기 침투 기법으로 분류한다^[3]. 사용자가 악성 파일을 직접 열어 실행이 일어나는 경우는 '사용자 실행' 기법으로 따로 정리한다^[4]. 이 두 기법이 이어지면 침투는 문서를 연다는 정상 업무 행위로 완성된다. 공격자에게 필요한 것은 취약한 서비스나 탈취한 계정이 아니라, 받는 사람이 열어 볼 만한 파일 하나다. 메일 첨부, 웹 업로드, 망간 전송처럼 문서가 오가는 경로는 업무를 위해 닫을 수 없는 경로이기도 하다. 닫을 수 없는 경로로 들어오는 파일이 공격의 운반체가 된다는 점에서, 문서는 별도로 다룰 만한 공격 표면이다.

파일을 바이트 덩어리로만 보면 별도 통제의 필요성이 잘 보이지 않는다. 형식 사양을 펼쳐 보면 사정이 달라진다. 현대 문서 형식은 표시할 내용 외에도 무언가를 하도록 지시하는 요소를 담을 수 있게 설계되어 있다. Office Open XML(ECMA-376)^[5], Office VBA 파일 구조 사양(MS-OVBA)^[6], PDF 2.0(ISO 32000-2)^[7] 모두 이런 요소를 정식 기능으로 정의한다.

앞의 네 계열에는 공통점이 있다. 모두 사양에 정의된 정상 기능이라는 점이다. 매크로는 업무 자동화에 쓰이고, 원격 템플릿은 사내 서식 관리에 쓰인다. OLE는 엑셀 표를 보고서에 그대로 붙이는 데 쓰인다. 공격자는 새 기능을 만들지 않는다. 이미 있는 기능을 다른 목적으로 쓴다. 템플릿 주입이 ATT&CK에 별도 기법으로 등록된 것도 이 때문이다^[8]. DDE 필드는 내장된 파일이나 개체가 아니라, 문서를 원본 데이터를 가진 다른 애플리케이션과 연결하도록 지시하는 필드다. 원래 목적은 애플리케이션 간 데이터 교환이며, ATT&CK은 이를 프로세스 간 통신 기법으로 분류한다^[9].

마지막 계열은 성격이 다르다. 사양을 벗어난 값을 넣어 문서 뷰어의 파서에 있는 결함을 건드리는 방식이다. 이 경우 문서 안에 '매크로'처럼 이름 붙은 요소가 없을 수도 있다. 위협은 구조의 어긋남 자체에 있다.

국내 환경에서는 HWP를 따로 볼 필요가 있다. 한컴이 공개한 한글 문서 파일 형식 5.0은 복합 파일(Compound File) 구조 위에 본문, 바이너리 데이터, 스크립트 저장소를 스트림으로 나눠 담는다. HWPX는 XML 기반 패키지 구조다. 같은 '한글 문서'라도 두 형식은 구조가 다르다. 그래서 분석 도구가 무엇을 지원하는지는 형식별로 따로 확인해야 한다.

"문서를 열면 감염된다"는 말은 절반만 맞다. 능동 요소가 실제로 동작하려면 조건이 맞아야 한다. 그 조건은 소프트웨어 버전, 설정, 파일이 들어온 경로, 사용자의 선택에 따라 달라진다. 설계는 이 조건을 하나로 뭉뚱그리지 않는 데서 출발한다.

인터넷 출처 표시와 매크로. Windows에서 인터넷으로 받은 파일에는 출처 표시(Mark of the Web)가 붙을 수 있다. Microsoft는 이 표시가 붙은 Office 파일의 VBA 매크로를 기본 차단하도록 동작을 바꿨다^[10]. 다만 적용 대상 버전과 플랫폼이 정해져 있다. 신뢰할 수 있는 위치, 신뢰할 수 있는 게시자, 조직 정책에 따라 결과도 달라진다. 출처 표시는 파일이 옮겨지는 경로에 따라 이어지지 않을 수도 있다. ATT&CK은 압축 해제 도구나 컨테이너 형식을 이용해 표시를 우회하는 기법을 별도로 정리한다^[11]. 망연계 시스템이나 파일 서버를 거쳐 내부로 들어온 파일은 '인터넷 출처'로 인식되지 않을 수 있다는 점도 설계에서 따져야 한다.

제한된 보기와 사용자 선택. Office는 외부 출처 파일을 읽기 전용 제한 모드로 여는 기능을 제공한다. 위험을 줄이는 장치지만, 사용자가 편집 사용이나 콘텐츠 사용을 누르면 제한이 풀린다. 공격 문서 본문에 "보안 문서이므로 편집 사용을 눌러야 내용이 보입니다" 같은 문구가 자주 들어가는 이유다. 기술 통제의 마지막 판단을 사람이 내리는 구조에서는 사회공학이 실행 조건을 대신 충족시킨다.

열 때 가져오는 콘텐츠. 원격 템플릿처럼 외부 참조를 쓰는 문서는 전달 시점의 파일에 악성 코드가 없을 수 있다. 파일에는 외부 주소를 가리키는 관계 하나만 있다. 실제 내용은 열리는 시점에 원격에서 내려온다^[8]. 전달 시점에 파일만 보는 검사는 '참조가 있다'는 사실만 확인할 수 있다. 참조 너머의 내용은 그 시점의 원격 서버 상태에 달려 있다.

네트워크에서 보이지 않는 파일. HTML 스머글링은 브라우저 안에서 스크립트로 파일을 조립해 내려받게 한다^[12]. 메일 게이트웨이나 웹 프록시가 보는 것은 HTML과 스크립트이고, 최종 문서는 단말에서 처음 만들어진다. 파일 통제 지점을 메일 게이트웨이 한 곳에만 두면 이런 경로를 놓칠 수 있다.

새 영역을 정의할 때는 그 영역이 다루지 않는 것을 함께 밝혀야 한다. 콘텐츠 보안은 이메일 보안, 웹 보안, 엔드포인트 보안과 통제 지점을 공유한다. 그래서 역할이 겹친다고 오해받기 쉽다. 아래 표는 인접 영역과의 관계를 '주된 질문'으로 구분한다.

엔드포인트와의 관계는 특히 정확히 짚어야 한다. 엔드포인트 보호 제품은 파일이 내려받아지거나 디스크에 기록되거나 접근되는 시점에 검사해, 실행 전에 차단·격리할 수 있다. 열린 뒤에는 문서를 연 Office 프로세스가 명령 해석기나 스크립트 엔진을 자식 프로세스로 띄우는 행위를 탐지하고 막을 수 있다. Windows 공격 표면 축소(ASR) 규칙에도 Office 애플리케이션의 자식 프로세스 생성을 막는 항목이 있다. 문서 위협이 엔드포인트의 사각지대라고 단정할 수는 없다. 차이는 배치 위치와 역할에 있다. 엔드포인트 보호는 파일이 이미 단말에 도착한 뒤 그 단말에서 판정하고 행위를 통제한다. 콘텐츠 보안은 메일·웹 업로드·망간 이동 같은 전달 경로에 놓여, 파일이 사용자 단말에 닿기 전에 판정하거나 능동 요소를 걷어낸 새 파일로 바꿔 전달한다. 엔드포인트 보호의 기본 동작은 판정 결과에 따른 차단·격리이며, 파일을 재구성해 쓸 수 있는 형태로 넘겨주는 것은 일반적인 역할이 아니다. 앞쪽에서 위험 표면을 줄이면 뒤쪽 방어선이 처리할 사건이 줄어들고, 뒤쪽 방어선은 앞쪽이 놓친 것을 잡는다.

위협 인텔리전스와의 관계는 양방향이다. 판정 방식은 알려진 지표와 패턴에 기대므로 인텔리전스를 소비한다. 반대로 전달 경로의 파일 통제 지점은 실제로 조직에 들어오는 악성 문서를 가장 먼저 만나는 위치다. 여기서 나온 분석 결과는 다시 인텔리전스가 된다.

이 영역 안에는 성격이 다른 세 수단이 있다. 셋은 경쟁 관계가 아니라 서로 다른 질문에 답하는 도구다. 각 수단이 할 수 있는 일과 할 수 없는 일을 같은 기준으로 나란히 놓아 보면 조합의 근거가 분명해진다.

판정(정적 분석·탐지). 파일을 실행하지 않고 서명, 구조 특징, 휴리스틱, 기계학습 모델로 악성 여부를 가린다. 처리가 빠르고 대량 처리에 적합하다. 알려진 악성 계열에는 강하다. 잘 만든 구조 규칙과 행위 특징 기반 모델은 변형마다 새 패턴을 만들지 않아도 계열 단위로 다수 변형을 잡아낸다. 한계는 처음 보는 구조와 판정 경계에 있다. 기준을 엄격하게 잡으면 오탐이, 느슨하게 잡으면 미탐이 늘어난다. 판정은 결국 '악성인가'라는 질문에 답해야 하므로 확률의 문제를 피할 수 없다.

관찰(동적 분석·격리 실행). 통제된 환경에서 파일을 실제로 열고 무슨 일이 일어나는지 기록한다. 실행 증거를 남기고, 통신 대상과 생성 파일 같은 지표를 뽑아 인텔리전스로 돌릴 수 있다는 점이 강점이다. 한계도 있다. 악성코드는 가상 환경, 분석 도구, 사용자 활동 부재를 감지하면 동작을 멈추거나 늦출 수 있다^[13]. 분석 환경의 Office·한글 버전과 언어 설정이 실제 사용자 환경과 다르면 공격이 재현되지 않을 수 있다. 관찰에는 시간이 들기 때문에 실시간 업로드 응답 같은 경로에는 그대로 넣기 어렵다.

변환(무해화·CDR). 악성 여부를 판단하지 않고, 정책상 허용하지 않는 능동 요소를 제거한 새 파일을 만든다. 판정이 필요 없으므로 처음 보는 공격 문서라도 공격이 제거 대상 요소에 의존한다면 효과가 있다. 한계는 기능 손실, 형식 지원 범위, 암호화 파일, 그리고 4장에서 본 회색 지대다. 업무에 필요한 매크로도 함께 사라진다. 지원하지 않는 형식에는 적용할 수 없다. 비밀번호로 잠긴 파일은 열지 않고는 다룰 수 없다.

공개 지침도 비서명 방식을 정식 수단으로 다룬다. NIST SP 800-53 Rev.5의 SI-3(악성코드 방어) 통제는 시스템 진입·반출 지점에 서명 기반 또는 비서명 기반 보호 메커니즘을 두도록 한다^[15]. 영국 국가사이버보안센터(NCSC)는 콘텐츠 기반 공격 방어 지침에서 들어오는 콘텐츠를 검증하거나 더 단순한 형식으로 변환하는 접근을 다룬다^[14]. 판정 하나에만 기대지 않는 다층 구성이 지침 차원에서도 상정되어 있다는 뜻이다.

CDR(Content Disarm and Reconstruction)은 변환 수단의 대표 구현이다. 제품마다 세부 구현은 다르다. 아래는 이 방식이 일반적으로 거치는 흐름을 기술 일반론으로 정리한 것이다.

여기서 핵심은 4단계다. '악성 부분을 지우고 나머지를 그대로 저장하는' 방식과 '허용된 부분만으로 새로 만드는' 방식은 결과가 다를 수 있다. 앞의 방식은 분석기가 인식하지 못한 영역을 그대로 남긴다. 뒤의 방식은 인식한 영역만 옮기므로, 인식하지 못한 데이터는 새 파일에 들어가지 않는다. 대신 재생성 품질, 즉 원본과 얼마나 같은 모양으로 보이고 편집되는지가 새로운 평가 항목이 된다.

시큐레터 제품 가운데 CDR이 들어 있는 것은 MARS 탐지와 함께 CDR을 기본 탑재한 SLF·SLE, CDR 전용 제품인 SLCDR, MS 365·Gmail용 SaaS 이메일 보안 제품인 DISARM이다. 각 제품의 구성은 11장에서 정리한다. 시큐레터 공식 자료는 CDR 평균 무해화 소요시간을 파일당 0.034초(34ms)로 제시한다^[2]. 위의 다섯 단계는 CDR 방식을 이해하기 위한 일반론이며, 특정 제품이 각 단계를 어떤 순서와 기준으로 수행하는지를 뜻하지 않는다. 평균값은 처리 대상 파일의 크기·구성과 운영 환경에 따라 달라질 수 있으므로, 도입 검토 시에는 조직의 실제 파일 표본으로 확인하는 것이 맞다. 4단계에서 말한 재생성 품질도 수치보다 현업 담당자가 결과 파일을 직접 열어 보는 방식으로 확인하는 편이 정확하다.

같은 파일이라도 들어오는 경로에 따라 허용 가능한 지연, 사용자 상호작용, 기록 요구가 다르다. 콘텐츠 보안을 하나의 장비로 생각하지 말고 경로마다 통제 지점을 정하는 설계로 보는 편이 실무에 맞다.

제품별로 탐지와 무해화의 구성이 다르다. 메일 환경 하나만 봐도 구축형 메일 서버인지, 해외 SaaS 메일인지, 국내 메일 서비스인지에 따라 제품과 기능 조합이 갈린다. 각 제품의 구성은 11장에서 정리한다.

이메일. 사용자가 메일을 수 초 늦게 받는 것은 대체로 수용된다. 그래서 판정·변환·관찰을 함께 넣기 좋은 경로다. 다만 첨부만 처리하고 본문의 링크나 HTML 첨부를 놓치면 3장에서 본 스머글링 경로가 남는다. 원본 요청이 들어왔을 때 누가 승인하고, 원본에 어떤 추가 분석을 할지도 미리 정해 두어야 한다.

웹 업로드. 제출자는 업로드 버튼을 누른 뒤 결과를 기다린다. 처리 시간이 길면 재시도와 중복 제출이 생긴다. 이 경로에서는 변환을 기본으로 두고, 시간이 드는 분석은 저장 이후 비동기로 돌리는 구성이 흔히 검토된다. 업로드 파일은 내부 담당자가 나중에 열어 보는 경우가 많다. 따라서 '저장소에 들어간 원본을 누가 언제 여는가'가 실제 노출 시점이다.

망간 이동. 경계를 넘는 지점은 기록 요구가 가장 강하다. 무엇이 언제 누구 승인으로 넘어갔는지, 넘어가면서 무엇이 제거됐는지가 남아야 한다. 이동 승인과 콘텐츠 처리의 순서도 정해야 한다. 승인 후 처리하면 승인자는 원본을 보고 판단하게 된다. 처리 후 승인하면 승인자는 사용자가 받을 파일을 보고 판단한다.

사용자 직접 다운로드와 협업 도구. 사용자가 브라우저로 직접 받거나 외부 협업 공간에서 동기화하는 파일은 위 세 경로를 거치지 않을 수 있다. 이 경로는 웹 프록시, 엔드포인트 통제, 출처 표시 기반 Office 정책으로 보완한다. 파일 통제 지점이 없는 경로를 목록으로 남겨 두는 것도 설계의 일부다.

2장에서 본 대로 능동 요소는 정상 기능이기도 하다. 그래서 정책 표가 곧 통제의 성격을 결정한다. 아래는 공공·금융 환경에서 출발점으로 쓸 만한 기본안이다. 조직의 업무 특성에 따라 조정한다.

정책 표만큼 중요한 것이 원본 처리 절차다. 재생성된 파일로 업무가 안 되는 경우는 반드시 생긴다. 이때 원본을 요청하는 사람, 승인하는 사람, 원본에 추가로 적용할 분석(판정·관찰), 전달 방식, 기록 보존 기간을 정해 두어야 한다. 이 절차가 없으면 현업은 개인 메일이나 이동식 매체처럼 통제 밖 경로를 찾는다. 그러면 파일 통제가 오히려 우회로를 만드는 결과가 된다.

"이미 탐지 솔루션이 있는데 왜 또 필요한가." 겹치는 부분은 분명히 있다. 메일 게이트웨이의 판정 엔진과 엔드포인트 보호 제품은 문서 위협의 상당 부분을 다룬다. 차이는 처음 보는 공격에 대한 의존 구조에 있다. 판정 기반 통제는 '악성으로 판단할 근거'가 있어야 막는다. 변환은 근거가 없어도 정책상 허용하지 않는 요소를 걷어낸다. 기존 통제를 걷어내자는 것이 아니다. 판정이 불확실한 영역에 다른 원리의 층을 하나 더 두자는 것이다.

"기능이 깨진다." 맞다. 매크로가 필요한 서식, 외부 데이터에 연결된 차트, 편집 가능한 내장 개체는 정책에 따라 동작하지 않는다. 이것은 결함이 아니라 설계상 선택이다. 8장의 정책 표와 원본 처리 절차가 이 비용을 관리하는 수단이다. 도입 전 PoC에서 조직의 실제 문서로 재생성 결과를 확인하는 이유도 여기에 있다.

"변환이면 충분하다." 이것도 사실이 아니다. 4장의 회색 지대는 구조적 무해화로 다루지 못한다. 형식 지원 범위 밖의 파일과 암호화 파일도 남는다.

국내 공공 영역에서는 국가망 보안체계(N2SF)가 논의의 틀을 바꾸고 있다. 국가정보원 국가사이버안보센터가 공개한 N2SF 가이드라인은 업무 정보와 시스템을 등급으로 분류하고 등급에 맞는 보안 통제를 적용하는 방향을 제시한다^[16]. 일률적인 물리 분리에서 등급 기반 통제로 옮겨 가면, 영역 사이를 오가는 자료가 늘어날 수 있다. 그 이동 지점에서 파일이 무엇을 품고 넘어가는가를 통제하는 일은 콘텐츠 보안의 몫이다. 구체적인 통제항목과 CDR의 대응 관계는 별도 글에서 다뤘다. 여기서는 관점만 정리한다.

금융권에서도 망분리 규제 완화 논의와 함께 외부 자료 반입 지점의 통제가 다시 설계 대상이 되고 있다. 두 영역의 공통 요구는 세 가지로 모인다. 첫째, 경계를 넘는 파일에 대한 사전 통제. 둘째, 무엇을 넘기고 무엇을 제거했는지에 대한 감사 증적. 셋째, 업무 연속성을 해치지 않는 처리 시간이다.

감사 증적은 특히 도입 효과를 설명하는 데 쓰인다. "이번 분기에 외부 유입 문서에서 매크로가 몇 건 제거되었고, 그중 원본 요청은 몇 건이었으며, 원본 분석 결과 악성으로 확인된 것은 몇 건이었다"는 식의 기록이 쌓여야 한다. 그래야 정책의 적정성을 점검하고 경영진에게 위험 감소를 보고할 수 있다. 처리 로그 형식과 보존 기간은 도입 단계에서 감사 부서와 함께 정한다.

시큐레터는 탐지와 무해화를 함께 쓰는 구조로 콘텐츠 보안을 구성한다. 어떤 탐지도 모든 공격을 잡을 수는 없으므로, 탐지가 놓친 것을 CDR 무해화가 막도록 두 층을 겹친다. 탐지 엔진은 MARS다. MARS는 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원(Exploit)을 찾아낸다. 5장에서 본 관찰 방식의 한계, 즉 가상환경 회피·시간차 공격·사용자 행위 조건 같은 우회 기법은 행위 기반 방식이 놓치기 쉬운 지점이다. MARS는 결과를 지켜보는 대신 근본 원인을 분석해 이런 우회 공격을 잡는다. 탐지 범위는 문서에만 머물지 않는다. 문서·이미지·압축 파일 같은 문서형 공격은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다.

MARS 탐지는 SLF와 SLE에 기본 탑재되며, 두 제품에는 CDR도 함께 들어 있다. 나머지 제품은 배치 형태와 대상 환경에 따라 탐지·무해화 구성이 다르다. 7장의 경로 표에서 메일 환경별로 제품이 갈린 이유가 여기에 있다.

공식 자료로 확인되는 대외 수치는 아래와 같다. 각 수치가 무엇을 재는지 함께 적었다.

표의 수치는 서로 다른 것을 잰다. 12초는 TTA GS 인증 시험에서 실측한 분석 시간이고, 34ms는 CDR 무해화의 평균 소요시간이다. 두 숫자를 하나의 '처리 속도'로 묶으면 오해가 생긴다. 탐지율 인증도 마찬가지다. 시험 표본에 대한 결과는 엔진의 탐지 성능을 보여준다. 그러나 4장과 9장에서 본 범위 밖 위험까지 덮는다는 뜻은 아니며, 탐지와 무해화를 함께 쓰는 이유도 여기에 있다. 수치는 비교와 선별의 출발점으로 쓰고, 최종 판단은 조직의 실제 파일로 내린다.

제품 비교보다 먼저 조직의 현황을 정리해야 한다. 아래 항목은 PoC·BMT 범위를 정하기 전에 답해 둘 질문이다. 답이 없는 항목이 곧 설계에서 다뤄야 할 공백이다.

PoC·BMT에서는 제조사가 준비한 시험 파일보다 조직의 실제 문서 표본이 더 많은 것을 알려준다. 매크로 서식, 표가 많은 HWP 보고서, 서명이 들어간 PDF, 여러 단계로 압축된 첨부를 섞어 넣는다. 재생성 결과를 현업 담당자가 직접 열어 보게 하면 8장의 정책 표를 현실에 맞게 조정할 근거가 생긴다.