공공기관 파일 보안 현황 —
문서가 들어오는 5개 경로와 탐지·무해화 배치

공공기관의 업무는 결국 문서로 오간다. 민원 서류, 협력사 납품물, 기관 간 공문, 외부 회신이 모두 HWP·PDF·오피스 파일로 들어온다. 그래서 공공기관 파일 보안은 '어떤 파일이 악성인가'보다 '문서가 어느 경로로, 어떤 신뢰를 업고 들어오는가'를 먼저 물어야 한다. 이 글은 문서가 들어오는 다섯 경로를 기준으로 공격 기법, 기존 탐지 방식이 할 수 있는 것과 놓치는 것, N2SF 관점의 설계 기준을 차례로 정리하고, 탐지와 무해화를 어디에 어떻게 배치할지를 실무 점검표로 제시한다.

공공 부문의 업무 절차는 대부분 문서 단위로 설계되어 있다. 접수·검토·결재·회신이 파일 하나를 중심으로 움직이고, 외부와의 접점도 첨부파일·업로드·전송 요청 형태로 이루어진다. 공격자 입장에서 이 구조는 분명한 기회다. 실행 파일을 보내면 의심을 사지만, 공문 양식의 HWP나 회의 자료 PDF는 열어 보는 것 자체가 담당자의 업무이기 때문이다.

MITRE ATT&CK은 이 수법을 '피싱: 스피어피싱 첨부파일(T1566.001)'과 '사용자 실행: 악성 파일(T1204.002)'로 나눠 정리한다^[3][4]. 앞의 것은 파일을 목표 조직 안으로 들여보내는 단계이고, 뒤의 것은 수신자가 그 파일을 열게 만드는 단계다. 두 단계를 나눠 보면 방어 지점도 둘로 갈린다. 파일이 조직 경계를 넘는 순간과, 사용자가 그 파일을 여는 순간이다. 공공기관 파일 보안 설계는 결국 이 두 순간 사이에 무엇을 둘지 정하는 일이다.

앞의 분류가 '스피어피싱 첨부파일'이라는 이름을 쓰는 데서 보듯, 이메일은 악성 문서를 들여보내는 대표적인 통로로 다뤄진다. 많은 기관이 이메일 보안부터 강화하는 것도 그래서다. 그러나 이메일 통제가 두껍다는 것이 나머지 경로가 안전하다는 뜻은 아니다. 공공기관은 이메일 외에도 민원 게시판, 망연계 자료 전송, 협력사 자료 반입처럼 이메일과는 다른 통제 체계로 운영되는 경로를 함께 갖고 있다. 이메일 보안이 아무리 두꺼워도 다른 경로의 통제 수준이 낮다면, 공격자는 그쪽으로 옮겨 간다.

이 글은 그래서 '위협 유형'이 아니라 '유입 경로'를 축으로 삼는다. 같은 매크로 문서라도 이메일로 들어올 때와 망연계로 들어올 때 적용되는 통제가 다르고, 사용자가 받는 경고도 달라진다. 경로를 먼저 그려야 어떤 통제가 실제로 작동하고 어떤 통제가 빈칸으로 남는지 보인다.

기관마다 구성은 다르지만, 공공기관에서 외부 문서가 업무망까지 도달하는 경로는 대체로 다섯 갈래로 정리된다. 아래 표는 각 경로에서 주로 들어오는 파일, 공격자가 빌려 쓰는 신뢰, 흔히 운영되는 기존 통제를 함께 놓은 것이다.

① 이메일은 가장 많이 연구되고 가장 많은 통제가 집중된 경로다. 발신자 위장, 회신 체인 탈취, 업무 일정에 맞춘 표적 메일이 이 경로의 전형이다. 통제가 두꺼운 만큼 공격자도 정교해진다. 압축 파일에 암호를 걸어 본문에 비밀번호를 적거나, 첨부 대신 다운로드 링크를 보내 경로 자체를 ⑤로 바꾸기도 한다.

② 민원·웹 게시판은 공공기관에만 있는 특수한 경로다. 일반 기업이라면 수상한 첨부는 열지 않으면 그만이지만, 민원 담당자는 제출된 서류를 검토할 의무가 있다. 공격자 입장에서는 사회공학 문구를 공들여 쓸 필요가 줄어든다. 게다가 게시판 업로드는 이메일 보안 체계와 별개로 운영되는 경우가 있어, 같은 파일이라도 이메일로 왔다면 받았을 검사를 거치지 않을 수 있다.

③ 망연계는 망분리 환경에서 인터넷망의 자료를 업무망으로 옮기는 유일한 공식 통로다. 전송을 요청하는 사람이 내부 직원이고 결재까지 거치기 때문에, 이 경로를 지난 파일은 '이미 확인된 파일'처럼 취급되기 쉽다. 그러나 결재자가 확인하는 것은 대개 파일명·용량·전송 사유이지 파일 내부 구조가 아니다. 이 문제는 5장에서 따로 다룬다.

④ 협력사·용역 납품물은 공급망 경로다. 협력사의 메일 계정이나 작업 PC가 먼저 침해되면, 공격자는 기관이 기다리고 있던 납품 파일에 악성 요소를 섞어 보낼 수 있다. 반복 거래에서 오는 익숙함이 경계심을 낮추고, 대용량 압축 묶음은 검사 시간이 길어 예외 처리 대상이 되기도 한다.

⑤ 웹 다운로드는 공식 사이트를 사칭하거나 실제 사이트의 게시물을 변조해 문서를 내려받게 하는 경로다. URL·평판 기반 차단은 알려진 악성 인프라를 걸러내는 데 효과가 있지만, 새로 만든 도메인이나 정상 사이트에 올라온 파일까지 판단하기는 어렵다. 망분리 환경에서는 이렇게 받은 파일이 결국 ③망연계를 거쳐 업무망으로 넘어온다는 점도 함께 봐야 한다.

문서형 공격의 공통점은 문서 포맷이 원래 갖고 있는 기능을 빌려 쓴다는 것이다. 매크로, 외부 템플릿, 개체 연결, 필드 갱신은 모두 업무 편의를 위해 만들어진 기능이다. 공격자는 새 기능을 만들지 않는다. 이미 있는 기능이 원래 의도와 다른 일을 하게 만들 뿐이다. 아래 표는 대표 기법을 동작 조건 중심으로 정리한 것이다. 조건을 함께 보는 이유는, 같은 기법이라도 제품 버전·보안 설정·파일 출처에 따라 사용자가 겪는 동작이 달라지기 때문이다.

표에서 눈여겨볼 지점은 '사용자 상호작용'의 폭이 기법마다 다르다는 것이다. 매크로와 DDE는 사용자의 허용 동작이 필요한 경우가 많아, 사용자 교육과 Office 보안 설정이 일정 부분 방어선 역할을 한다. 반대로 구성요소 취약점을 노리는 문서는 패치가 되지 않은 환경에서 문서를 여는 것만으로 성립할 수 있다. 원격 템플릿 주입은 그 중간에 있다. 처음 받은 문서에는 매크로가 없어서 첨부 시점의 검사에서는 문제가 보이지 않을 수 있고, 실제 악성 요소는 열람 시점에 외부에서 들어온다.

이 차이가 경로별 설계에 중요한 이유는, 사용자 측 방어(교육·경고·기본 차단)가 성립하는 조건이 경로마다 다르기 때문이다. 예를 들어 Office 인터넷 매크로 기본 차단은 파일에 인터넷 출처 표시가 붙어 있고, 신뢰할 수 있는 위치나 신뢰 게시자 서명 같은 예외에 해당하지 않을 때 작동한다^[7]. 이 조건이 망연계를 지난 파일에도 그대로 유지되는지는 5장에서 다시 본다.

국내 공공기관의 문서 환경에서 HWP를 빼놓을 수 없다. 공문서·보고서·서식 상당수가 HWP로 오가며, 외부 기관과 주고받는 문서도 마찬가지다. 그래서 국내 공공기관을 노리는 공격자에게 HWP는 수신자가 가장 자연스럽게 여는 포맷이다.

한글과컴퓨터가 공개한 HWP 5.0 문서 파일 형식은 복합 파일(Compound File) 구조 위에 본문, 문서 정보, 바이너리 데이터, 스크립트 같은 저장소를 나눠 담는 방식이다^[10]. 이 구조에서 공격 표면이 되는 지점은 대체로 세 갈래로 볼 수 있다. 첫째, 바이너리 데이터 영역에 담긴 이미지·개체 같은 내장 요소다. 다른 포맷의 데이터를 품을 수 있기 때문에, 그 데이터를 해석하는 구성요소의 취약점이 곧 문서의 공격 표면이 된다. 둘째, 문서에 포함될 수 있는 스크립트와 하이퍼링크 같은 능동 요소다. 셋째, 문서 본문을 해석하는 파서 자체의 취약점이다. 개방형 XML 기반인 HWPX는 압축된 XML 묶음이라는 점에서 구조가 다르지만, 내장 개체와 외부 참조라는 공격 표면의 성격은 비슷하게 남는다.

공공 분야를 겨냥하는 위협 그룹이 HWP를 활용해 왔다는 점은 국내외 자료에서 반복해서 확인된다. MITRE ATT&CK의 Kimsuky(G0094) 항목은 이 그룹이 한국을 포함한 대상에게 스피어피싱 첨부파일을 활용해 왔다고 정리하고^[11], 미국 CISA 등이 2020년 공동 발표한 권고문도 이 그룹의 표적과 초기 침투 수법을 다룬다^[12]. 문서 포맷 자체보다 중요한 것은 수신자가 의심 없이 여는 포맷을 고른다는 공격자의 선택 기준이다. 국내 공공기관에서는 그 답이 HWP인 경우가 많다.

실무에서 생기는 질문은 단순하다. 기관이 운영하는 보안 제품이 HWP 내부 구조를 얼마나 깊이 해석하느냐다. 해외 오피스 포맷 중심으로 설계된 검사 체계는 HWP를 확장자 수준에서만 다루거나, 분석 환경에 HWP 편집기를 갖추는 데 별도 노력이 드는 경우가 있다. 공공 환경의 PoC나 BMT에서 HWP·HWPX 샘플 비중을 실제 업무 비율에 맞춰 구성해야 하는 이유가 여기에 있다.

공공기관은 오랫동안 업무망과 인터넷망을 분리하는 것을 기본 보안 원칙으로 삼아 왔다. 망분리는 네트워크 연결을 끊어 원격 제어와 직접 침투 경로를 크게 줄인다. 그러나 업무에는 외부 자료가 필요하고, 그 자료는 망연계를 통해 건너온다. 연결은 끊었지만 문서는 여전히 오간다. 공공기관 파일 보안에서 망분리가 '파일 검증을 대신해 주는 장치'로 오해되면 안 되는 이유다.

망연계 구간의 통제는 대체로 '누가, 무엇을, 왜 보내는가'에 맞춰져 있다. 전송 요청자 인증, 결재, 확장자 정책, 로그 보존이 그것이다. 이 통제들은 책임 소재와 정보 유출 방지에는 효과적이지만, 파일 내부의 능동 요소까지 보지는 않는다. 결재자는 '회의자료.hwp'라는 이름과 전송 사유를 보고 승인할 뿐, 그 안에 외부 템플릿 참조나 내장 개체가 있는지는 알 수 없다.

여기에 한 가지 조건이 더 붙는다. 3장에서 본 Office 인터넷 매크로 기본 차단은 파일에 붙은 인터넷 출처 표시(Mark of the Web)를 근거로 작동한다^[7]. 이 표시는 브라우저나 메일 클라이언트가 파일을 저장할 때 붙이는 메타데이터다. 망연계 시스템이 업무망 쪽에 파일을 새로 기록하는 방식이라면, 구현에 따라 이 표시가 따라오지 않을 수 있다. 그 경우 업무망 단말에서 같은 문서를 열어도 '인터넷에서 온 파일'로 인식되지 않아, 인터넷 출처를 전제로 한 기본 차단이 적용되지 않을 수 있다. 공격자 쪽에서도 압축·디스크 이미지 같은 컨테이너를 이용해 이 표시를 우회하는 기법이 알려져 있다^[13].

망분리의 착시는 사람의 인식에서도 나타난다. "업무망은 인터넷과 끊겨 있으니 문서를 열어도 외부와 통신하지 못한다"는 생각이다. 실제로 원격 템플릿처럼 외부 접속이 필요한 기법은 업무망에서 성공하지 못할 수 있다. 하지만 구성요소 취약점을 노려 문서 안에 이미 담긴 코드를 실행하는 방식은 외부 통신 없이도 단말을 장악하는 첫 단계를 만들 수 있다. 외부 통신이 끊긴 환경은 공격자의 다음 단계를 어렵게 할 뿐, 첫 단계를 막아 주지는 않는다.

국가정보원 국가사이버안보센터가 제시한 국가 망 보안체계(N2SF)는 일률적인 망분리 대신, 업무 정보와 시스템을 중요도에 따라 기밀(C)·민감(S)·공개(O)로 분류하고 등급별로 보안통제를 적용하는 방향을 담고 있다^[14]. 보안통제 항목이 260개 수준으로 확대·고도화된다는 보도도 이어졌고^[15][16], KISA는 실증 사례를 묶은 자료를 공개했다^[17].

공공기관 파일 보안의 관점에서 이 변화가 갖는 의미는 경계의 수가 늘어난다는 데 있다. 기존 체계에서 파일 검증 지점은 사실상 망연계 한 곳에 모였다. 등급 기반 체계에서는 공개 등급 영역의 외부 서비스 활용 폭이 넓어질 수 있고, 그만큼 외부에서 들어온 파일이 민감·기밀 등급 영역으로 이동하는 경계가 여러 곳에 생긴다. 경계가 하나일 때는 그 한 곳만 두껍게 지키면 되었지만, 경계가 여럿이면 각 경계에서 같은 수준의 내용 검증이 이루어지는지를 따져야 한다.

N2SF의 구체적 통제 항목이 기관의 파일 검증 요구와 어떻게 연결되는지는 기관의 등급 분류 결과와 시스템 구성에 따라 해석해야 한다. 항목 번호를 기계적으로 대응시키기보다, 최신 가이드라인 원문을 기준으로 "외부에서 들어온 파일이 더 높은 등급 영역으로 이동하는 모든 지점에서, 내용 검증이 이루어지고 그 결과가 기록되는가"를 먼저 묻는 편이 실무적이다.

경계에서 파일 내용을 검증하는 방식은 크게 '판정'과 '무해화'로 나뉜다. 판정은 파일이 악성인지 가려내는 일이고, 무해화는 판정과 별개로 파일에서 위험할 수 있는 요소를 제거하는 일이다. 먼저 판정, 즉 탐지 방식부터 본다. 각 방식은 분명한 강점이 있고, 그 강점이 성립하는 조건 밖에서 한계가 드러난다.

행위 기반 방식의 한계는 그 방식이 '관찰'에 의존한다는 데서 나온다. 관찰하려면 악성 행위가 분석 환경 안에서 실제로 일어나야 한다. MITRE ATT&CK의 가상화·샌드박스 회피(T1497) 항목은 공격자가 시스템 특성 확인, 사용자 활동 확인, 시간 기반 지연으로 분석 환경을 피하는 기법을 정리한다^[18]. 문서가 가상 머신 흔적을 발견하면 조용히 있고, 마우스 움직임이나 일정 시간 경과를 기다리고, 특정 편집기 버전에서만 동작하도록 조건을 걸면, 관찰 창에서는 아무 일도 일어나지 않는다.

그렇다고 행위 기반 방식이 쓸모없다는 뜻은 아니다. 실제 실행 결과를 증거로 남기는 능력은 사고 분석과 위협 이해에 유용하고, 회피 기법을 쓰지 않는 공격은 효과적으로 잡아낸다. 쟁점은 분석 환경이 공격자가 기다리는 조건을 재현하지 못할 때 생기는 공백이며, 이 공백을 다른 원리의 방식으로 메워야 한다는 것이다.

7장의 공백을 메우는 한 가지 방법은 결과가 아니라 원인을 보는 것이다. 시큐레터의 MARS 엔진은 자동화된 리버스 엔지니어링으로 문서를 어셈블리 수준까지 분해해, 악성 행위가 일어나기 전에 취약점의 근원(Exploit)을 찾아낸다. 행위 기반 방식이 놓치는 가상환경 회피·시간차 공격·사용자 행위 조건 같은 우회 기법은 '행위가 일어나느냐'를 기다리지 않는 근본 원인 분석에서는 판단의 전제가 되지 않는다.

탐지 범위도 문서에 한정하지 않는다. 문서·이미지·압축 파일 같은 문서형 공격은 리버스 엔지니어링으로, 실행 파일은 백신·YARA·평판 분석으로 탐지한다. 공공기관의 유입 파일은 HWP·PDF가 다수를 차지하지만 압축 묶음 안에 실행 파일이나 바로가기가 섞이는 경우도 있으므로, 파일 유형에 따라 적합한 방식으로 나눠 보는 구성이 필요하다.

탐지 성능에 관해서는 KISA로부터 100% 악성코드 탐지율 인증을 받았다^[1]. 이 인증은 정해진 시험 조건과 샘플에서의 결과다. 현실의 모든 공격을 탐지할 수 있다는 의미로 읽어서는 안 되며, 시큐레터도 그렇게 설명하지 않는다. 어떤 탐지 방식도 실제 환경에서 100%를 보장할 수 없기 때문에, 탐지가 놓친 것을 무해화가 막는 구조가 필요하다. 탐지와 무해화를 함께 쓰는 것이 다음 장의 출발점이다.

CDR(Content Disarm and Reconstruction)은 파일이 악성인지 가리는 일과 별개로 작동한다. CDR 방식은 일반적으로 파일을 포맷 명세에 따라 구성 요소 단위로 분해하고, 매크로·스크립트·외부 참조·내장 개체처럼 능동적으로 동작할 수 있는 요소를 제거하거나 정책에 맞게 바꾼 뒤, 허용된 요소로 파일을 새로 만든다. 판정이 틀려도, 즉 악성 요소가 아직 알려지지 않았어도 그 요소가 능동 요소 범주에 속한다면 재생성된 파일에는 남지 않는다는 것이 이 방식의 출발점이다.

시큐레터의 SLF는 MARS 탐지와 CDR을 기본 탑재해, 망연계와 웹 게시판 구간에서 탐지와 무해화를 한 흐름으로 처리한다. 구축형 메일 서버 환경의 SLE도 MARS 탐지와 CDR을 기본 탑재한다. 8장에서 본 것처럼 탐지가 모든 공격을 잡을 수는 없으므로, 판정을 통과한 파일에도 무해화가 한 번 더 적용되는 구성이 탐지와 무해화를 함께 쓰는 구조의 핵심이다. 공공기관 파일 보안에서 이 조합이 중요한 이유는 3장의 기법 표를 다시 보면 드러난다. 원격 템플릿 참조, DDE 필드, 매크로는 모두 능동 요소다. 첨부 시점에 판정이 애매한 문서라도 능동 요소가 제거된 상태로 전달되면, 열람 시점에 그 요소가 동작할 여지가 줄어든다.

무해화에는 대가도 있다. 업무에 필요한 매크로가 들어 있는 서식 파일, 외부 데이터 연결이 필요한 통계 문서는 무해화 이후 일부 기능이 동작하지 않는다. 이는 결함이 아니라 설계상의 선택이지만, 운영 정책 없이 도입하면 현업 불만으로 이어진다. 그래서 CDR 도입 시에는 다음 세 가지를 함께 정해야 한다.

• 기능 보존 범위 — 경로·부서·파일 유형별로 어떤 능동 요소를 제거하고 어떤 요소를 허용할지
• 원본 처리 방식 — 무해화 전 원본을 어디에 얼마나 보관하고, 누가 어떤 절차로 열람을 승인할지
• 재생성 품질 확인 — 기관이 실제로 쓰는 HWP 서식·표·도형이 재생성 이후에도 업무에 쓸 수 있는 상태로 유지되는지

2장의 다섯 경로에 7~9장의 통제를 겹치면 배치 설계가 나온다. 아래 표는 경로별로 탐지와 무해화를 어디에 두는지, 시큐레터 제품으로 구성한다면 어떤 조합이 되는지 정리한 것이다. 실제 구성은 기관의 망 구조와 기존 솔루션에 따라 달라진다.

표에서 보듯 ④와 ⑤는 별도 장비를 두기보다 기존 경로로 수렴시키는 편이 관리하기 쉽다. 협력사가 이메일, 이동식 매체, 개인 클라우드 링크 등 제각각의 방법으로 자료를 보내면 경로마다 통제 수준이 달라진다. 납품 창구를 하나의 업로드 경로나 망연계 경로로 정해 두면, 같은 검사·같은 무해화 정책·같은 로그가 적용된다.

탐지 엔진 없이 무해화만 별도로 두고 싶은 구간도 있다. 이미 다른 계층에서 탐지를 운영하고 있어, 특정 구간에는 CDR만 추가하려는 경우다. SLCDR은 이런 구성을 위한 CDR 전용 제품이며, 탐지는 백신·YARA·평판 분석으로 수행한다. 리버스 엔지니어링 기반 탐지가 필요한 구간이라면 SLF나 SLE 구성을 검토해야 한다.

경계 통제 도입에서 현업이 가장 먼저 묻는 것은 "얼마나 기다려야 하느냐"다. 민원 처리 기한과 결재 일정이 정해진 공공 업무에서 파일 하나에 몇 분씩 걸리면, 예외 요청이 쌓이고 통제는 형식만 남는다. 공공기관 파일 보안 설계가 처리 시간을 핵심 요구로 다뤄야 하는 이유다.

이 장에서 처리 시간과 처리 범위를 가늠하는 데 쓰는 시큐레터 공개 수치는 세 가지다. 분석 시간은 12초(TTA GS 실측 12.027초)이며^[1], CDR 평균 무해화 소요 시간은 파일당 34ms다^[2]. 처리할 수 있는 범위를 보여 주는 지원 파일 포맷은 309종 이상이다^[1]. 탐지 성능을 보여 주는 KISA 인증은 8장에서 따로 다뤘으므로, 여기서는 현업의 대기 시간과 운영 부담에 직접 닿는 세 수치만 본다. 이 수치를 해석할 때는 각각이 무엇을 잰 것인지 구분해야 한다.

평균값은 출발점일 뿐이다. 공공기관의 유입 파일에는 수백 쪽짜리 보고서, 고해상도 이미지가 들어간 HWP, 여러 겹으로 압축된 납품물이 섞인다. PoC에서는 평균보다 분포를 봐야 한다. 상위 몇 퍼센트의 대용량 파일이 얼마나 걸리는지, 업무 피크 시간대에 대기열이 어떻게 변하는지, 지원하지 않는 포맷이 들어오면 차단·격리·통과 중 무엇을 할지가 실제 운영 품질을 결정한다.

경로 기반 설계를 제안하면 내부 검토 과정에서 몇 가지 반론이 반복된다. 각 반론에는 일리가 있으며, 그 일리를 인정한 위에서 답을 찾아야 한다.

아래 항목은 현재 운영 중인 환경을 점검하는 용도다. '아니오'나 '모름'이 나오는 항목이 우선 보완 대상이다.

점검표의 순서에도 의미가 있다. 앞의 항목일수록 '보이지 않는 경로'를 찾는 질문이고, 뒤로 갈수록 '이미 있는 통제의 품질'을 묻는 질문이다. 경로를 모르는 상태에서 통제 품질을 높이면, 통제가 잘된 경로 옆으로 통제가 없는 경로가 그대로 남는다.

점검 결과를 실제 도입 검토로 옮길 때는 아래 네 단계를 거치면 의사결정 근거를 남기기 쉽다. 장비 선정보다 경로와 샘플을 먼저 정리하는 것이 핵심이다.

PoC 단계에서 가장 흔한 실수는 공개 악성 샘플만으로 시험하는 것이다. 공개 샘플은 이미 많은 탐지 계층이 알고 있어 제품 간 차이가 잘 드러나지 않는다. 기관의 실제 정상 문서로 무해화 품질과 처리 시간을 보고, 회피 기법이 적용된 문서와 HWP 기반 샘플로 탐지 차이를 보는 구성이 공공기관 파일 보안 의사결정에 더 유용한 근거를 준다.