Windows 11은 성능 향상과 인터페이스 변화를 포함한 대규모 업데이트를 선보였습니다. 하지만 소프트웨어 개발에서 흔히 그렇듯이, 대부분의 변경 사항은 별도의 언급 없이 조용히 적용되곤 합니다. 이번에는 바로 Windows 11의 보안 업데이트가 그 대상이 되었습니다.
새롭게 디자인된 Microsoft Defender의 모습
Windows 11의 보안 기능
앞선 Windows 11 전체 리뷰에서 업데이트된 Microsoft Defender를 언급한 바 있습니다. 그 글에서 소개했듯이 Defender는 보안 취약성이 줄어들고 전력 효율도 크게 개선되었습니다. 하지만 이러한 변화는 이번 업데이트에서 Defender에 일어난 일들의 4분의 1에도 미치지 못합니다.
Microsoft는 시스템 보안 패러다임을 '제로 트러스트(Zero Trust)' 방식으로 전환했습니다. 기존에는 사용자가 설치한 프로그램은 악성이 아니라고 가정하고 외부 멀웨어로부터 시스템을 방어하는 것이 보안의 핵심이었다면, Windows 11(그리고 Windows 10 21H2)의 Defender는 그 어느 때보다 강력한 휴리스틱 분석과 행동 분석을 도입했습니다.
공격 표면 감소(Attack Surface Reduction)
Microsoft Defender의 새로운 메커니즘은 주로 기업 네트워크를 겨냥하지만 개인 시스템에도 적용할 수 있습니다. 첫 번째 눈에 띄는 요소는 '공격 표면 감소'입니다. 이 기능은 잠재적으로 위험한 요소들을 훨씬 더 엄격하게 통제할 수 있게 해줍니다. Defender는 정의되지 않은 서버에 연결해 무언가를 다운로드하려는 프로그램에 특별한 주의를 기울이며, 특정 기업 네트워크에서 한 번도 사용된 적 없는 프로그램이나 난독화된 스크립트를 극도로 정밀하게 검사합니다.
이러한 개선 사항은 위협에 어떤 기회도 남기지 않겠다는 Microsoft의 대응 조치입니다. 개별 취약점을 일일이 추적하는 대신, 악성 코드가 실행되기 시작하는 순간 이를 차단하는 방식을 선택한 것입니다. 이 방식은 매우 효과적이지만, 취약점 패치의 중요성을 대체할 수는 없습니다.
네트워크 보안
최근의 일부 공격은 익스플로잇을 이용해 멀웨어를 주입하는 악성 랜딩 페이지를 통해 실행됩니다. 이전까지 Microsoft의 맬웨어 방지 솔루션은 표준적인 네트워크 모니터링 방식을 사용했는데, 이는 알려진 악성 사이트나 피싱 사이트에는 효과적이었지만 제로데이(0-day) 공격을 막는 데는 무용지물이었습니다.
업데이트된 보안 기능을 통해 Defender는 사용자가 웹사이트와 상호작용하기 전에 샌드박스 환경에서 해당 사이트의 활동을 먼저 검사합니다. 물론 이러한 검사는 신뢰할 수 없는 페이지, 즉 침해되었거나 의심스러운 도메인을 사용하거나 비보안 연결을 사용하는 페이지에만 적용됩니다. 현재로서는 공격자가 샌드박스와 실제 시스템을 구분할 수 없기 때문에 이러한 보호 방식은 매우 효과적입니다.
제어된 폴더 액세스(Controlled Folder Access)
사용자나 지정된 프로그램만 접근할 수 있는 안전한 공간을 시스템 내부에 만드는 아이디어는 지난 몇 년간 사이버 보안 업계에서 회자되어 왔습니다. 일부 보안 업체들이 이런 솔루션을 일반 시장에 내놓기도 하지만, 해당 제품들은 기업을 대상으로 하며 가격도 상당히 비쌉니다.
Microsoft가 TPM 2.0 모듈을 필수로 요구한 것은 단순히 지원 CPU 목록을 줄이기 위해서만은 아닙니다. 바로 '제어된 폴더 액세스' 기능이 파일 시스템 내부에 안전 구역을 만들기 위해 필요하기 때문입니다. 이 영역은 생성한 사용자와 허용된 프로그램만 접근하고 편집할 수 있습니다. 이 폴더에는 어떤 종류의 중요 데이터든 보관할 수 있으며, 랜섬웨어, 스파이웨어, 정보 탈취 프로그램 등 어떤 멀웨어에도 안전합니다.
Windows 11의 엔드포인트용 새로운 기능
이러한 전반적인 개선 외에도 Microsoft는 'Microsoft Defender for Endpoint(MDFE)'를 공개했습니다. 이 기능은 기업 보안팀이 위협을 추적, 탐지, 제거할 수 있도록 돕는 다양한 도구로 구성되어 있습니다. Microsoft는 모든 사이버 보안 사고의 전체적인 상황을 파악할 수 있도록 로그가 저장되는 클라우드 스토리지를 제공하며, 이 클라우드에서 데이터는 방대한 위협 데이터베이스로 학습된 AI 기반 메커니즘에 의해 분석됩니다. MDFE는 기업 보안을 위한 완벽한 솔루션이 될 것을 약속합니다. 물론 실제로 그들이 주장하는 대로 작동한다는 전제하에 말입니다.
Windows Defender for Endpoint의 작동 방식
Windows 11의 애플리케이션 제어
다양한 애플리케이션이나 프로토콜의 취약점을 악용하는 것은 멀웨어를 주입하는 가장 흔한 방법 중 하나입니다. Defender의 새로운 하위 모듈인 'Windows Defender Application Control(WDAC)'은 바로 이런 공격을 막기 위해 만들어졌습니다. 앞서 언급했듯이, 기존 Windows 보안 시스템은 사용자 PC에서 실행되는 애플리케이션 코드를 신뢰할 수 있다고 가정했습니다. 이제 WDAC는 애플리케이션 내부에 잠복해 있을 수 있는 악성 코드를 검사합니다. 이 조치는 익스플로잇 공격 가능성을 실질적으로 차단합니다. 누군가 익스플로잇을 통해 멀웨어를 주입하는 데 성공하더라도, 공격은 Defender에 의해 저지됩니다.
Windows Defender Application Control(WDAC) 알림 화면
이러한 조치들은 다소 엄격해서 성능에 부담을 줄 수 있지만, 효과는 확실합니다. Microsoft는 또 다른 애플리케이션 제어 도구인 'AppLocker'도 함께 공개했습니다. AppLocker는 WDAC를 대체하거나 보완하는 용도로 모두 활용할 수 있습니다. 예를 들어 특정 앱의 권한 상승이 필요한 상황처럼 까다로운 경우에 특히 유용합니다. WDAC는 이를 악성 코드 실행으로 간주해 차단할 가능성이 높지만, AppLocker를 사용하면 일부 작업에 대해 예외를 적용할 앱을 직접 선택할 수 있습니다.
Windows Defender Application Guard
업데이트된 Defender의 이 기능은 이름이 WDAC와 비슷하지만, 두 기능은 약어 이상으로 큰 차이가 있습니다. WDAG(Windows Defender Application Guard)는 프로그램 주변에 격리층을 만들어 코드에 포함된 잠재적 악성 요소를 검사할 수 있게 합니다. 일종의 샌드박스이지만 목적이 다르고 최대 수준의 가상화를 사용합니다. 많은 바이러스는 일반적인 샌드박스(또는 다른 테스트 환경)와 실제 시스템을 구분할 수 있습니다. WDAG는 단순히 뚫을 수 없는 격리층을 만드는 데 그치지 않고, 앱이 마치 일반 시스템에서 실행되는 것처럼 인식하도록 환경 전체를 조성합니다.
현재 Application Guard가 보호하는 항목:
- Word 문서
- PowerPoint 문서
- Excel 문서
- Edge 브라우저에서 열리는 웹사이트
- Google Chrome, Mozilla Firefox 등 다른 브라우저용 확장 프로그램
Microsoft는 또한 'AppContainer'라는 특수한 프로그램 실행 환경도 제공합니다. 이것 역시 샌드박스처럼 작동하며, 프로그램 코드를 실행하되 시스템 및 PC의 다른 구성 요소와 상호작용할 수 없게 하는 영역입니다. 널리 사용되는 컨테이너화 도구인 Docker가 제공하는 기능과 상당히 유사합니다. 앱 개발자에게 매우 유용한데, 이전에는 WSL, 듀얼 부팅, 심지어 가상 머신을 통해서만 Docker를 사용해야 했기 때문입니다.