그동안 기업 이메일 보안은 메일 속 '내용'에 초점을 맞춰왔다. 스팸 필터, 악성코드 검색, 피싱 탐지 등등. 하지만 이러한 개별 메일의 특성을 분석하는 방식으로는 계속 진화하는 공격자를 따라잡기 어렵다.
이메일 공격이 고도화돼도 바뀌지 않는 한 가지가 있다. 공격 메일을 '어딘가에서 발송'해야 한다는 물리적 사실이다. 누구나 속을 만한 정교한 BEC(Business Email Compromise) 공격도 결국은 메일 서버를 통해야만 기업의 받은 편지함에 도달한다.
메일 발송 서버는 자신의 IP 주소를 숨길 수 없다. 실제 도메인의 메일 서버는 계정이 탈취되지 않는 한 절대 위장할 수 없다. 발송 메일 서버의 생성 이력은 지워질 수 없다는 것이 핵심이다.
이메일 보안 패러다임을 전환할 시점이다. 메일 '내용'이 무엇인지 검사하기 전에 '어디서 왔는가'를 검증하고 제어해야 한다.
차세대 이메일 보안의 핵심은 이러한 '발송 메일 서버 탐지기술'이다.
정상적인 기업 메일 서버는 오랜 기간 운영으로 긍정적 평판을 축적하고, 일관된 발송 패턴을 유지한다. 당연히 국제 표준도 준수한다.
반면 해킹 목적의 불법 메일 서버는 짧은 기간만 활동하거나 지리적으로 의심스러운 국가의 인프라를 사용한다. 국제 표준 인증(DMARC, SPF, DKIM 등)을 준수하지 않는 등 불법 요소를 반드시 포함하고 있다.
차세대 이메일 보안은 발송 메일 서버의 IP 정보, 도메인 정보, 인증 프로토콜, DNS 정보, 네트워크 세션 데이터 등을 종합 분석해 정상 서버와 불법 서버를 구분한다.
'발송 메일 서버 탐지기술'은 공항 보안의 관점을 개별 승객에서 비행기로 전환하는 것과 같다. 승객의 짐을 하나하나 검사하는 것도 중요하지만, 테러 조직이 탑승한 것으로 의심되는 비행기 자체를 공항에 착륙하지 못하도록 막는 것이 더 근본적이고 효율적이다.
이 기술은 메일 내용을 아무리 정교하게 위장해도 영향을 받지 않는다. 앞서 강조한 것처럼 문구를 바꾸고 기술을 고도화해도 메일을 보내는 서버 자체를 바꿀 수 없기 때문이다.
차세대 이메일 보안은 계층적 방어 아키텍처다. 네트워크 전송 보안, 발신 인프라 평판 검증, 국제 표준 인증 검증, 행위 분석이 서로 보완하면서 단일 방어선이 뚫려도 다음 계층에서 차단하는 탄력적 체계다.
기업은 네트워크 경계에서 위협을 원천 차단할 수 있고 사용자는 받은 편지함에 도달하는 해킹 메일 자체를 줄일 수 있다. 이메일 보안의 미래는 발송자의 '정체성'을 추적하는 것에 달렸다.
sky@realsecu.net