Cloudflare R2는 Amazon S3와 유사한 객체 저장소다. 공격자는 이를 이용해 다음과 같은 활동을 수행할 수 있다.
Cloudflare Pages는 정적 웹사이트를 쉽게 배포할 수 있는 서비스다. 공격자는 이를 이용해 다음을 만들 수 있다.
Workers는 Cloudflare 엣지 네트워크에서 실행되는 서버리스 코드다. 공격자는 이를 이용해 다음을 수행할 수 있다.
Cloudflare Tunnel은 내부 서버를 인터넷에 노출하면서 실제 IP 주소를 숨길 수 있게 하는 기능이다.
공격자는 이를 이용해 악성 서버를 Cloudflare 뒤에 숨기고 다음을 수행할 수 있다.
말레이시아 사례는 단발 사건이 아니라 동남아시아 전반에서 나타나는 사이버 첩보 트렌드와 맞물린다.
이 지역에서 활동하는 여러 APT 그룹도 비슷한 전략을 사용한다.
말레이시아에서 발견된 Cloudflare 기반 활동이 특정 그룹의 소행이라고 공식적으로 확인되지는 않았지만, 맞춤형 도구·지역 집중 타깃·은밀한 인프라 운영 같은 특징은 국가 연계 첩보 조직의 전형적인 전술과 일치한다.
보안팀이 직면한 가장 큰 문제는 트래픽이 완전히 정상처럼 보인다는 점이다.
Cloudflare 스토리지나 서버리스 엔드포인트로 향하는 네트워크 요청은 일반적인 HTTPS 웹 트래픽과 거의 구별되지 않는다. 게다가 많은 기업이 Cloudflare를 실제 업무에 사용하기 때문에 서비스 전체를 차단하는 것도 현실적으로 어렵다.
그래서 최근 보안 대응은 도메인 차단 중심에서 행동 기반 탐지로 이동하고 있다.
의심할 수 있는 징후는 다음과 같다.
이번 말레이시아 공격은 공격 인프라 전략의 변화를 보여준다. 공격자는 더 이상 노골적인 악성 서버를 운영하지 않고, 전 세계적으로 신뢰받는 클라우드 플랫폼 내부에 ‘숨어’ 활동한다.
이 환경에서는 “Cloudflare는 안전한 서비스”라는 단순한 허용 정책만으로는 충분하지 않다. 앞으로 보안은 트래픽의 목적지보다 행동 패턴, 사용자 신원, 데이터 이동 방식을 분석하는 방향으로 발전할 필요가 있다.
신뢰받는 플랫폼 내부에 공격자가 숨어 있을 때, 보안의 핵심 질문은 더 이상 "어디로 연결되는가"가 아니라 **"그 연결이 어떤 행동을 하고 있는가"**가 된다.
Comments
0 comments