사이버 공격 기법은 날로 정교해지고 있습니다. 특히 대형 기업을 직접 공략하는 대신, 보안이 취약한 중소 협력사를 먼저 장악한 뒤 연결된 네트워크를 따라 침투하는 '아일랜드 호핑(Island Hopping)' 공격이 새로운 위협으로 떠오르고 있습니다. 이 글에서는 아일랜드 호핑의 개념과 유래, 공격의 전형적인 단계, 그리고 이를 막기 위한 실질적인 대응 방법까지 정리해 드립니다.
사이버 보안에서 아일랜드 호핑이란?
아일랜드 호핑은 사이버 범죄자들이 대규모 조직을 겨냥해 고안한 침투 기법입니다. 공격자는 보안 역량이 상대적으로 약한 중소기업이나 파트너사의 취약점을 먼저 악용해 침투한 후, 서로 연결된 네트워크를 따라 수평적으로(laterally) 이동하며 최종 목표인 대형 조직까지 확장합니다. 즉, 작은 회사들이 공격자의 '발판'이 되어 큰 기업이 화망에 노출되는 구조입니다.
군사 전략에서 유래한 용어
'아일랜드 호핑'이라는 이름은 제2차 세계대전에서 유래했습니다. 연합군은 일본 제국과의 전투에서 요새화된 적성 섬을 하나씩 점령하기보다, 방어가 허술한 섬들을 골라 섬에서 섬으로 건너뛰며 전선을 확장하는 전술을 사용했습니다. 사이버 공격 세계에서도 완벽하게 방어된 표적을 정면 돌파하기보다 취약한 경유지를 거쳐 들어간다는 점에서 같은 논리가 적용됩니다.
사이버 공격은 어떤 단계로 진행될까?
사이버 킬 체인(Cyber Kill Chain) 7단계
록히드 마틴(Lockheed Martin)이 정립한 '사이버 킬 체인' 모델에 따르면, 하나의 사이버 공격은 다음과 같은 7단계를 거칩니다.
- 정찰(Reconnaissance) – 공격자가 표적을 선정하고 관련 정보를 수집합니다.
- 무장화(Weaponization) – 수집한 정보를 바탕으로 악성 코드를 제작합니다.
- 전달(Delivery) – 피싱 메일 등을 통해 악성 코드를 표적에게 전달합니다.
- 악용(Exploitation) – 시스템의 취약점을 이용해 침투를 시작합니다.
- 설치(Installation) – 지속적인 접근을 위해 백도어를 설치합니다.
- 명령·통제(C2) – 원격 조정 체계를 구축해 시스템을 통제합니다.
- 목표 실행(Actions on Objectives) – 데이터 유출 등 공격자의 최종 목적을 달성합니다.
탐지 시점에서 본 공격 단계
공격 단계는 언제 탐지되는지를 기준으로도 구분할 수 있습니다. 정찰 단계는 통상 탐지 몇 달 전부터 시작되고, 내부망 안에서의 측면 이동(lateral movement)은 탐지 몇 주~몇 달 전, 권한 상승(privilege escalation)은 탐지 며칠~몇 주 전에 일어나는 경우가 많습니다. 즉, 탐지되기 훨씬 전에 이미 침투가 진행되고 있다는 뜻입니다.
VLAN 호핑(VLAN Hopping) 공격이란?
VLAN 호핑은 가상 근거리 통신망(VLAN)을 우회하는 네트워크 공격 기법입니다. 공격자는 원래 접근이 불가능해야 하는 엔드 시스템의 포트로 패킷을 전송함으로써, VLAN 간 분리라는 보안 장치를 무력화하고 다른 세그먼트의 트래픽에 접근하려 시도합니다.
VLAN을 보안 목적으로 활용하기
VLAN은 트래픽과 충돌을 줄이고 비용 효율성을 높이는 동시에 보안을 강화하는 데에도 기여합니다. 장비를 부서별로 VLAN으로 분리해 두면 감염된 컴퓨터가 전체 네트워크로 번지는 것을 막기 쉬워지고, 네트워크 트래픽과 방화벽 공격의 영향도 함께 줄일 수 있습니다.
VLAN 호핑을 막는 방법
- 모든 포트에서 DTP(동적 트렁킹 프로토콜)를 비활성화해 자동 트렁크 협상을 차단합니다.
- 기본 VLAN인 VLAN 1은 절대 사용하지 않습니다.
- 사용하지 않는 포트는 별도의 미사용 VLAN에 배정합니다.
- 모든 트렁크 포트에는 반드시 VLAN ID를 명시합니다.
주요 사이버 공격 유형
아일랜드 호핑 외에도 알아두어야 할 공격 유형은 다양합니다.
- 랜섬웨어(Ransomware) – 데이터를 암호화한 뒤 잠금 해제 코드를 대가로 금품을 요구합니다.
- 스파이웨어(Spyware) – 사용자가 모르게 하드디스크에서 정보를 은밀히 수집합니다.
- DoS·DDoS 공격 – 트래픽을 집중시켜 시스템 기능 자체를 마비시킵니다.
- 중간자(MitM) 공격 – 통신 경로 사이에 끼어 데이터를 가로채거나 변조합니다.
- 스피어 피싱(Spear Phishing) – 특정 대상을 정밀하게 겨냥한 다단계 이메일 공격입니다.
- SQL 인젝션, 드라이브바이 다운로드, 자격 증명 탈취 등도 빈번하게 사용되는 수법입니다.
공급망 공격의 대표 사례
공급망 공격(supply chain attack)은 조직 자체보다 보안이 취약한 외부 요소—협력업체, 소프트웨어 공급망 등—를 공략해 간접적으로 피해를 입히는 사이버 공격입니다. 대표적인 예로 미국 리테일업체 타깃(Target)의 보안 사고, 동유럽에서 발생한 ATM 악성코드 사건, 그리고 이란 핵시설을 노린 스턱스넷(Stuxnet) 웜을 꼽을 수 있습니다.
최근 주목받은 사이버 공격 사건들
- IT 관리 솔루션 업체 SolarWinds를 통한 대규모 공급망 침해 사고
- 인도 백신 접종 예약 앱 CoWIN을 노린 표적 공격
- 마이크로소프트 Exchange 서버의 취약점을 악용한 Black Kingdom 랜섬웨어
- 트위터(Twitter)와 링크드인(LinkedIn)에서 발생한 사기·스캠
- 에어 인디아(Air India)에 대한 사이버 공격
5세대 사이버 공격이란?
5세대 사이버 공격은 네트워크, 가상머신, 클라우드 인스턴스 등 디지털 인프라 전반을 동시에 노리는 대규모·다중 벡터(multi-vector) 공격을 의미합니다. 이전 세대의 공격이 단일 경로에 의존했다면, 5세대 공격은 여러 공격 경로를 동시에 활용하기 때문에 단일 방어 솔루션이나 개별 대응으로는 막기 어렵습니다.
사이버 보안의 핵심 영역
효과적인 방어를 위해서는 보안이 적용되는 영역별 특성을 이해해야 합니다.
- 중요 인프라 보안 – 전력, 통신 등 국가 기반 시스템 보호
- 네트워크 보안 – 외부 위협으로부터 네트워크를 차단·보호
- 클라우드 보안 – 프라이버시 보호 기능 덕분에 성장한 클라우드 환경의 보안 확보
- IoT 보안 – 수많은 연결 기기를 보호
- 애플리케이션 보안 – 소프트웨어 수준에서 민감 데이터를 보호
- 운영 보안(Operational Security) – 일상 운영 과정 전반의 보안 관리
사이버 도메인의 4가지 구성 요소
Collins 등의 연구에 따르면 사이버 보안은 물리(physical), 정보(information), 인지(cognitive), 사회(social)의 네 가지 도메인으로 나뉩니다. 물리 도메인은 하드웨어와 소프트웨어를, 정보 도메인은 정보의 무결성과 가용성을 담당합니다. 인지·사회 도메인은 윤리, 사회 규범, 사회적 연결성 등 사람과 조직의 요소를 다룹니다.
사이버 보안 생명주기 5단계
조직의 보안 체계는 일회성 구축이 아니라 순환적인 생명주기로 관리해야 합니다.
- 평가(Assessment) – 프로세스, 정책, 기술을 점검하고 갭 분석(gap analysis)을 수행합니다.
- 전략 수립 – 평가 결과를 바탕으로 보안 전략을 정의합니다.
- 프레임워크 개발 – 전략을 실행 가능한 보안 프레임워크로 만듭니다.
- 통제 구현 – 실제 통제 장치와 정책을 배포·적용합니다.
- 감사(Audit) – 효과를 검증하고 개선점을 도출해 다음 사이클로 이어갑니다.
꼭 알아야 할 5대 사이버 위협
- 랜섬웨어
- 피싱
- 데이터 유출
- 해킹
- 내부 위협(Insider Threat)
마무리: 아일랜드 호핑 방어의 핵심
아일랜드 호핑 공격은 '협력사·파트너 네트워크를 신뢰한다'는 관습을 역이용합니다. 따라서 자사 내부 보안만 강화해서는 부족하며, 공급망 전체의 보안 수준을 함께 점검해야 합니다. 네트워크 분할(VLAN), 최소 권한 원칙, DTP 비활성화 같은 기술적 통제와 더불어 파트너사 보안 평가, 지속적인 모니터링, 정기적인 감사를 병행하는 것이 가장 효과적인 방어 전략입니다.