사용자 삽입 이미지
국제 해커조직으로 이름을 날린 ‘어나니머스(Anonymous)’ 조직원 25명이 지난 2월 인터폴에 의해 검거됐습니다.

인터폴 주도로 유럽과 남미 경찰과 공조해 벌인 성과입니다.

인터폴은 유럽과 남미 15개 도시에서 ‘언마스크(Unmask)’라는 작전명으로 대대적인 검거작전을 벌여, ‘어나니머스’가 벌인 해킹, 디도스(DDoS, 분산서비스거부) 공격 등에 가담한 용의자들을 체포했습니다. 

이 작전에는 지난해 4월 콜롬비아에서 어나니머스의 디도스 공격이 발생한 것을 계기로 콜롬비아를 포함해 도미니카 칠레 스페인 아르헨티나 5개국이 참여했다고 합니다.

이 작전을 주도한 하이메 안시에타(Jaine Ansieta) 인터폴 재정·하이테크범죄 분과 부국장이 최근 방한했습니다. 그는 지난 26일부터 27일까지 서울 대한상공회의소에서 경찰청 사이버테러대응센터와 인터폴이 공동 개최한 ‘2012 국제사이버범죄 심포지엄’에서 이 수사사례와 시사점을 풀어냈습니다. 

안시에타 부국장은 이 자리에서 “당시 작전으로 인터폴은 15개 도시에서 47건의 가택을 급습했고, 32명을 체포했다. 아직도 이들을 대상으로 수사가 계속되고 있다”고 말했습니다. 

놀라운 점도 공개했는데요. 이들을 검거한 지 넉 달이 지난 아직까지도 압수한 휴대폰·IT시스템 등을 이용한 데이터분석을 못하고 있고, 기소할 방법도 결정하지 못했고 합니다.

공조수사는 성공적으로 벌여 용의자들을 검거하긴 했는데, 피의자를 기소하고 처벌하는 국제적인 사이버범죄 관련 사법체계와 절차가 아직 제대로 마련돼 있지 않기 때문입니다.

안시에타 부국장은 “국가마다 사법체계가 다르다보니 어떠한 사법체계를 적용해야 할 지, 기소 주체는 검찰이 해야할 지, 경찰 또는 지방법원이 할 지 합의가 되지 않았다”며, “사업적인 문제가 해결되지 않기 때문이며, 공조시스템이 아직은 부재하다”고 말했습니다.

다음 단계로 이 작전에 참여한 수사·경찰관들이 모임을 갖고 데이터 분석을 포함해 국가 간 수사공조·조율 시스템을 논의할 예정이라고 합니다.

사이버공격은 이미 특정한 국가나 기업만의 문제가 아니라는 것을 잘 알고 있습니다. ‘어나니머스’처럼 전세계에 걸쳐 활동하는 국제해커조직이 존재하고 있지요. 어떤 국가나 기업도 공격자들의 대상이 될 수 있습니다.

우리나라의 경우, 대표적로 대규모 개인정보를 유출한 SK커뮤니케이션즈, 넥슨 사건이 아직까지 제대로 수사가 마무리되지 않는 큰 이유 가운데 하나도 해당 공격자가 우리나라에 있지 않기 때문입니다.  

우리나라에서 발생하는 많은 디도스, 해킹 및 개인정보유출과 같은 사이버범죄도 국가 간  공조수사가 아주 중요합니다. 

하지만 현실에선 어려운 점이 너무나 많지요. 국가마다 법체계가 다르고 정치·사회적인 입장과 문화도 다르다보니 공격자들보다도 국가라는 경계를 넘어 서로 공조하기 어려운 상황에 있습니다.

공격근원지로 간주되는, 또는 범죄용의자가 있는 국가에서 협조해주지 않으면 우리나라에서 막대한 피해를 입은 경우에도 수사가 어렵다는 것은 충분히 예상할 수 있습니다. 

안시에타 부국장은 “만일 디도스 공격을 범죄로 간주하지 않는 국가가 있다면 수사를 함께 진행하기 어렵다”는 것을 예로 들었는데요. 실제로 디도스를 범죄로 여기지 않는 국가가 있다고 합니다.

그는 “전세계 사법체계가 ‘우리’의 편에 서있지 않다는 생각마저 든다”고 토로하면서 “실질적으로 공조할 수 있도록 사법부를 포함한 법조계, 국회 등 정치권에서 함께 이를 위해 논의해야 하며, 학계도 지원해야 한다”고 강조했습니다.

안시에타 부국장이 한가지 더 강조한 것이 민간의 협조입니다.

사이버공격은 국가차원에서 해결해야 할 심각한 문제가 됐지만 공격대상이 기업인 경우가 많습니다. 기업의 경우, 자칫 회사 이미지나 비즈니스에 큰 타격을 입을 수 있기 때문에 정보를 공개하는 것을 꺼립니다.

안시에타 부국장은 “민간이 열의를 갖고 참여해야 사이버범죄 수사가 진전될 수 있다”면서 “사회 전체가 힘을 합쳐 변화를 이끌어 내 사이버범죄 조직범죄를 무찔러야 한다”고 지적했습니다.

2012/07/01 16:28 2012/07/01 16:28

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단④]

안관제 효과를 높이려면 각종 취약점, 보안위협 정보를 신속하게 습득하는 것이 아주 중요합니다.

민간 보안 솔루션, 서비스 제공업체들은 대부분 각자 해외와 국내 관련 정보공유 커뮤니티에 참여하거나 고객사에 설치된 시스템·서비스 인프라, 분석체계 등을 통해 자체적으로 보안위협 정보를 확보하고 분석하기 위해 노력하고 있습니다.

하지만 새로운 공격기술과 이를 통한 심각한 침해사고가 발생할 때에는 각자 정보를 습득하는 것보다는 민간기업과 정부기관, 사고대상 기업, 인터넷서비스제공업체(ISP) 등이 서로 공유하는 것이 더욱 효율적이고, 보다 신속하게 대응할 수 있습니다.

그 때문에 특히 국가 차원에서 심각한 사이버공격이나 위협 상황이 발생할 경우에 신속한 침해사고 대응을 위해서는 정보공유와 협력의 중요성이 강조됩니다.

지능화된 신종 공격기법이 점점 더 빠르게 개발되고 있기 때문에, 새로운 위협에 관한 분석정보를 신속하게 보안업체와 주요 관제업체를 포함한 사이버보안 관련 주체들이 공유, 전파될 수 있는 국가적 체계 마련이 필요하다는 지적이 나오고 있습니다.

물론 그동안에도 국가정보원 국가사이버안전센터(NCSC), 행정안전부, 방송통신위원회 한국인터넷진흥원(KISA) 등에서 민간업체들과의 정보공유체계를 운영해오긴 했는데요. 대체적으로 형식적이거나 정보의 범위가 제한적이라는 평가가 이뤄지고 있습니다.

그 이유 중 하나는 이해를 따질 수밖에 없기 때문인데요.

국가적인 사이버 위기상황 발생시에 사명감과 책임감을 갖고 일하긴 하지만 민간 보안업체들은 엄연히 보안을 사업으로 합니다. 따라서 보안 솔루션이나 서비스 업체들은 사이버위협 정보가 자사의 서비스 품질과 차별성을 좌우하는 중요한 요소가 됩니다. 서로 같은 수준으로 도움이 되는 정보를 공유한다는 것이 쉽지 않겠지요.

서로 각자 다른 쪽에서 나오는 정보를 받으려고만 하는 태도로는 정보공유와 협력은 요원할 것입니다.

정부기관과 민간업체들 간의 정보공유 환경도 비슷하다고 지적됩니다. 민간업체들 입장에서는 ‘정부기관이 일방적으로 받으려 한다’는 볼멘소리가 나옵니다. 아무 대가도 없이 말이지요.

상생할 수 있는 협력과 공조가 이뤄지지 않고 있습니다. 또 국가 안보 차원에서 접근하는 정부기관 입장과 민간업체의 입장이 다르다는 점을 감안하면 모든 정보를 서로 오픈하는 것이 쉽지는 않아 보입니다.

그 때문에 최근 정보공유분석체계 강화 필요성이 제기되는 한편으로, 이는 현실적으로 불가능 하다는 회의적인 시각도 존재합니다.

하긴, 민·관의 협력을 이야기하기에 앞서 정부기관 간 체계적인 협력체계도 미흡했군요. 지난 2009년 7.7 DDoS(분산서비스거부) 공격 당시 문제점이 여실이 드러났었죠. 이 사고 이후 사이버보안 ‘컨트롤타워의 부재’로 인한 문제가 수없이 지적됐습니다.

아직도 사이버위기대응 주체라 할 수 있는 민·관·군(NCSC, 사이버사령부, 보안업체), 더 나아가 수사기관인 검찰과 경찰 간의 정보공유와 협력의 중요성이 크게 강조됨에도 불구하고 원활하고 일사분란한 체계가 운영되지 못했습니다.

민간업체들 입장에서 관과의 협력에 힘들어 하는 이유가 여기에도 있습니다. 한 업체가 여러기관에 불려가다보니(?) 창구를 통일했으면 한다는 바람을 한목소리로 이야기하고 있습니다.

사용자 삽입 이미지

여하튼 현재 국가 사이버 위기관리 차원에서 정보공유와 협력을 강화하기 위한 많은 시도가 현재 이뤄지고 있습니다.

국가정보원은 최근 ‘국가 사이버안보 마스터플랜’을 NCSC를 중심으로 국가 안보차원에서 각 정부부처와 기관이 사이버공격에 공동으로 대응할 수 있는 체계를 강화하고, 이를 위한 실행계획을 구체화하고 있습니다.

그 중 핵심이 바로 각 민·관·군 합동 대응체계, 통합정보공유체계 강화입니다. (관련기사 국정원 “민간전문가 참여, 사이버보안 사고 조사·검증체계 운영”, 국가 사이버안보 마스터플랜 수립…“사이버공간도 국가수호 영역”)

민간 부문의 사이버 침해사고 대응 역할을 담당하고 있는 KISA 인터넷침해대응센터 역시 민간 주요 인터넷서비스사업자(ISP), 백신업체를 비롯한 보안업체, 정부기관과의 정보공유와 협력을 강화하기 위한 활동을 벌이고 있습니다.

국가기관과 민간 주요 보안업체들과의 정보공유가 체계적으로 이뤄지지 못하고 있다는 점에서 내년 초 오픈을 목표로 ‘정보공유체계(가칭)’를 개선하기 위한 시스템을 개발 중에 있습니다.

이 시스템은 보안권고문과 유포 중인 악성코드 등 보안위협, 유포사이트 차단 등 대응조치 사항을 포괄해 양방향 정보공유 체계와 프로세스 자동화를 목표로 하고 있다고 합니다. 

행정안전부 정부통합전산센터 역시 올해 초에 사이버위협 정보 공유시스템을 개통했습니다. 이 시스템은 중앙행정기관, 지방자치단체의 시스템 관제기관이 제공하는 통합 모니터링 자료와 침해 시도 분석결과를 정보보호 전문업체 20곳과 공유해, 사이버위협에 즉각 대응할 수 있도록 지원하기 위해 구축한 것입니다.

이 역시 크게 활성화돼 있지는 못하다는 평가가 나오긴 합니다만, 사이버 공격유형이나 공격 IP, 대응방법을 공유하기 위해 센터는 민간업체들과 MOU를 체결해 체계적인 정보공유 체계를 마련했습니다. 자체적으로 악성코드분석센터도 운영하고 있지요.

*** 참고 : 그림은 지난 7월 국가정보화전략위원회 주최로 열린 ‘제2회 국가정보화전략포럼’ 에서 서종렬 KISA 원장 발표자료임.


2011/10/12 11:24 2011/10/12 11:24

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단②]

지금까지 보안관제시스템 등을 토대로 구축해 놓은 침해사고대응체계를 발전시켜, 각종 공격과 침해사고를 미연에 막을 수 있고 신속하게 조치해 피해를 최소화할 수 있는 방안은 찾기 위해, 현재 부족한 것이 무엇인지 진단해보고자 합니다.

전문가 분들에게 서면을 통해서나 직접 만나 의견을 구해봤습니다. 한국인터넷진흥원 인터넷침해대응센터, 삼성SDS, LG CNS, 싸이버원, 안철수연구소, 윈스테크넷, 이글루시큐리티, 인포섹의 전문가분들과 공공·기업의 보안관제센터 등에서 관제업무를 담당하시는 여러분들이 도움을 주셨습니다.

사용자 삽입 이미지

일단 보안관제의 목표는 중요자산을 보호하는 것입니다. 쉽게 말해 궁극적인 보안관제는 각종 침해사고를 막는데 목적이 있습니다. 그런데 지금의 보안관제체계에서 침해사고를 막을 수 있을까요? 

보안관제가 침해사고를 탐지하고 대응하는데 상당한 효과가 있다는 점은 인정되고 있지만, 공격 예방과 실시간 탐지 측면에서는 아직도 부족하다는 진단이 내려지고 있습니다.

더욱 큰 문제는 알려지지 않은 취약점을 이용한 공격, APT(Advanced Persistent Threat) 공격, 사회공학적 공격 등 지능화된 최신 공격에 한계를 노출하고 있다는 점입니다.

우리가 기억하는 최대규모 고객정보를 유출한 옥션이나 SK커뮤니케이션즈의 사고가 보안관제체계가 부재했기 때문은 아닙니다.

그래서 사고 이후 “보안관제서비스를 받고 있는데 왜 못 막았냐?”, “보안관제 업체의 책임 아니냐”며, 이를 둘러싼 많은 논란이 대두되기도 했습니다. 

전체적으로 보면 보안관제시스템을 제대로 운영해온 기간이 짧기도 하지만, 그동안에는 대형사고 경험 역시 부족한 탓이 있습니다.

또 보안관제를 제대로 하려면 기본적인 보안 투자가 기반이 돼야 하는데, 아직도 정부와 금융기관, 기업의 보안 투자는 부족합니다. 더욱이 지속적으로 새로운 공격수법이 빠르게 개발되고 있는데, 보안시스템을 보강하는 계획을 수립하고 투자를 벌이기 위한 의사결정은 느립니다.

보안관제는 방화벽, 침입탐지시스템(IDS), 침입방지시스템(IPS), 분산서비스거부(DDoS) 공격 대응시스템 등 보안 장비를 기반으로 합니다.

그동안 보안투자는 주로 외부에서 내부로의 차단에 집중한 보안시스템을 구성해 보안정책을 설정하는 분야에서 이뤄져 왔지만, 이 또한 일부일 뿐입니다.

이들 장비에서 나오는 이벤트와 로그를 취합하거나 이상징후를 파악한 뒤 침해 여부를 분석해야 하기 때문에 대부분 보안사고가 발생한 뒤의 시점이 됩니다. 때문에 사전탐지 보다는 보안사고를 확인하고 사후대응하는 것, 같은 유형의 2~3차 피해를 예방하는데 더 기능적이라고 할까요. 

더욱이 관제 대상과 범위는 주로 네트워크 분야로 한정돼 있고 외부로부터 들어오는 공격과 침입에 집중돼 있는 체계여서 내부PC단을 대상으로 하는 최신 공격기법이나 지능형지속위협(APT)과 같은 정교하고 지능적인 위협을 대응하는데 역부족이라고 평가됩니다.

최근의 해킹은 주로 상대적으로 취약한 내부 사용자의 PC를 악성코드 등을 통해 감염시켜 내부 시스템 접근한 후 중요정보를 탈취하는 식으로 이뤄집니다. 이로 인해 보안관제의 내·외부의 균형적인 운영에 대한 필요성과 특정한 부문이 아니라 전체 시스템을 유기적으로 연동하는 노력이 요구되고 있습니다.

즉, 인바운드 트래픽뿐만 아니라 내부에서의 정보 흐름, 아웃바운드 트래픽에 대한 통합된 보안관제의 필요성과 함께 관제의 대상도 단순 네트워크 장비, 서버에서 나아가 PC, 저장매체 활용 등 사용자단까지 확대돼야 한다는 것입니다.

일부 기관 등에서는 이미 PC 보안관제도 함께 수행하고 있다고 하는데요. 백신·PC보안 중앙관리시스템 등을 기반으로 한 PC단과 네트워크단의 포괄적인 탐지·분석이 이뤄져야 합니다.

개인정보유출 문제가 확산되면서 최근 잇달아 출시된 정보유출 방지시스템처럼 사용자들의 행위를 통합적으로 추적·감사하고 외부로의 불법적인 정보유출이나 이상행위를 통제·차단하는 시스템을 도입해 보안관제시스템과 연동하는 작업도 필요할 것입니다.

내부망에서 외부로 나가는 것을 차단할 수 있는 정책 수립도 검토해봐야 합니다.

이를 위해서는 먼저 내부에서 외부로 이루어지는 서비스 정의를 수행한 뒤 외부로 나가는 것에 대한 정책을 수립해야 합니다. 다만 추가적인 보안투자와 함께 사용자의 불편함이 대두될 수 있어 보안 수준 사이에서 정책을 어느 정도로 수립할 것인지 결단이 필요할 듯합니다.

보안관제시스템 자체의 기술적인 한계도 지적됩니다.

먼저 보안관제시스템이 다양한 이기종 보안장비 지원에 한계가 있을 경우의 문제입니다. 또 여러 장비에서 나온 이벤트를 동일한 기준으로 탐지·분석·대응할 수 있는 관리체계를 반영하지 못한다면 전적으로 보안관제서비스 수준 자체에 문제가 됩니다. 

공격 여부 등을 판단하는 기본 정보가 되는 탐지 이벤트에 대한 신뢰성 문제도 크게 지적됩니다. 

공격 탐지센서로 활용되는 각각의 보안 제품의 수준이 떨어지는 것과도 연관돼 있습니다. 오탐지(False Positive)된 이벤트가 많을 경우 실제 위협을 판별해내기는 당연히 어렵습니다.

때문에 최적화 작업이 아주 중요한 것으로 인식됩니다.

보안장비에서 발생하는 엄청난 이벤트를 바탕으로 위협에 대응하기가 매우 어렵기 때문에 현실적으로 커스터마이징 처리된 이벤트를 중심으로 분석이 이뤄지게 되기 때문입니다.

보안장비에서 발생하는 수많은 오탐 이벤트를 커스터마이징 작업을 통해 최적화된 탐지·분석·대응체계를 갖출 수 있다는 얘기입니다.

제로데이 공격에 대한 탐지가 어렵다는 점도 한계로 지적됩니다. 만일 솔루션마다 신규 공격에 대한 패턴 업데이트 주기가 길어지면 최신공격 대응이 어려울 수밖에 없습니다. 

솔루션 업체들의 업데이트, 능력에 대한 의존도가 높기 때문에 만일 솔루션 개발업체에서 신규 공격 패턴을 곧바로 제공하지 못할 경우 보안관제시스템에서도 탐지하는데 한계가 있을 수 있습니다.

따라서 기반이 되는 보안 솔루션의 수준이 아주 중요합니다.

패턴이 제대로 제공된다 하더라도 보안관제시스템의 최적화 작업을 계속해서 벌이지 않을 경우에도 문제는 발생합니다.

백신의 경우 설치만 하고 업데이트를 하지 않게 되면 새로운 바이러스를 막지 못하는 것처럼 보안관제시스템도 지속적인 커스터마이징이 필요하다는 게 전문가들의 지적입니다. 각사마다 IT환경과 사업환경 차이로 인해 같은 패턴을 적용하더라도 시스템상에서 충돌이나 오류가 발생해 오탐지로 이어지는 경우도 있기 때문입니다.

전문 보안관제서비스 업체 역시 침입탐지에 전문성을 갖고 지속적으로 신규 공격 탐지 패턴에 관해 연구하며 이같은 능력을 갖춰야 하는 노력도 요구됩니다.

그래야 예방과 실시간 탐지를 수행할 수 있는 신규 공격을 시스템에 반영할 수 있기 때문입니다.

사전예방 기능을 강화하기 위해 최근에는 보안관제의 범위에 취약점 진단과 모의해킹 업무도 포함되고 있는 추세입니다.

지속적인 신규 패턴 업데이트, 커스터마이징 및 최적화 작업, 사전진단 등을 강화하려면 보안관제서비스 업체나 관제업무 담당자를 대상으로 적절한 보안관제서비스 비용을 지불하고 그 업무의 중요성을 인정하는 것도 반드시 병행돼야 할 것입니다.

2011/10/12 11:23 2011/10/12 11:23

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단①]

사용자 삽입 이미지

사이버위협이 날이 갈수록 심각해지면서 보다 보안관제에 대한 중요성이 어느 때보다 높아지고 있습니다.

기업이나 기관 중요 정보자산을 악성코드, 해킹, 분산서비스거부(DDoS), 정보유출과 같은 악의적인 행위와 위협으로부터 보호하기 위해선 실시간 모니터링을 실시해 공격을 탐지, 분석하고 대응하는 체계를 갖추는 보안관제가 필수적으로 요구됩니다.

그 이유로 정부는 사이버공격이 발생하면 신속하게 탐지·대응하기 위한 각 부처와 시·도 등 각 영역별로 보안관제센터를 구축해 침해사고대응체계를 선도적으로 구축·운영해왔습니다.

보안관제는 방화벽, 침입탐지/방지시스템(IDS/IPS), 그리고 통합보안관리시스템(ESM), 위협관리시스템(TMS) 등 단위 보안시스템과 보안관리시스템에서 발생하는 이벤트, 네트워크 트래픽 정보를 통합 모니터링하고, 상관관계를 분석해 사고를 처리 대응하며, 정보를 공유하는 기능을 포괄적으로 수행합니다. 

2000년대 초반부터 일원화된 보안관리체계 운영과 침해사고 대응협력의 필요성이 대두되면서 금융, 통신 등 각 영역별로 정보공유·분석센터(ISAC)를 만들기 시작했었죠. 벌써 까마득한 이야기입니다. 하지만 원래 목적대로 운영되지 못하면서 크게 활성화되지 못했습니다. 그나마 금융ISAC 정도만 운영이 되고 있다고 할까요.

본격적인 보안관제체계가 마련된 것은 현재 한국인터넷진흥원에서 운영하고 있는 인터넷침해대응센터가 만들어지면서부터가 아닐까 싶습니다. 2003년 12월에 신설됐죠.

이후 2003년 1월 25일, 우리나라 인터넷이 몇 시간 동안 마비되는 사상초유의 사태가 발생합니다. ‘인터넷대란’이라고 불리고 있죠. 이때부터 본격적으로 사이버보안에 대한 국가차원의 종합적이고 체계적인 대응 필요성이 제기됐습니다. 그 이듬해 정부는 국가정보원에 국가사이버안전센터를 설립합니다.  

국가사이버안전센터 운영이 본격화되고, 행정안전부 정부통합전산센터가 출범하죠. 이 때부터 본격적으로 보안관제센터가 정부·공공 분야에서 확산됩니다.

전자정부 보안관제센터가 구축된 2005년부터 지난해까지 정부부처 등 20여개 영역, 16개 시·도 광역자치단체까지 보안관제센터와 사이버안전센터가 마련되면서 실시간 발생하는 사이버위협을 탐지·대응할 체계를 구축했습니다. 

이제는 국가사이버안전관리규정이 개정돼 정부·공공기관은 보안관제센터 구축과 운영이 의무화돼 있습니다.

정부가 이달 중 보안관제 전문업체를 지정하게 되면, 예산과 전문인력 부족 등의 이유로 구축해 놓은 정부·공공기관의 보안관제센터 운영업무를 자체적으로 담당하기 힘들 경우 민간 전문업체에게 위탁하게 됩니다.

그 사이에 은행 등 금융기관, 대기업들도 자회사를 통해 보안관제를 운영할 센터를 구축하면서, 민간분야에서도 보안관제체계 도입이 확대되고 있습니다.

이제는 보안관제 인프라를 제대로 구축해 놓는 것뿐만 아니라 어떻게 하면 제대로 운영해 효과를 볼 수 있을지 총체적인 고민이 시작된 것 같습니다. 과연 보안관제체계를 본래의 목적에 맞게 구축해 운영하고 있는가 하는 점입니다. 

그러면서 짧은 시간 동안 보안관제의 중요성이 강조되는 동시에 한계성 또한 부각되기 시작했습니다. 최근 2~3년 간 발생한 사이버침해사고로 인한 결과는 치명적으로 다가왔기 때문입니다.

분산서비스거부(DDoS) 공격으로 정부기관·은행 등 주요사이트가 다운되고 금융전산망이 마비됐으며, 인터넷사용 인구 대부분이라 할 수 있는 정도의 개인정보가 유출됐습니다.

지난 2009년 발생한 7.7 DDoS 공격, 올해 발생한 농협 전산망 장애, 네이트·싸이월드 해킹사고 이야기입니다.

앞으로 어떤 강력한 공격이 우리나라의 정보통신망이나 시스템을 대상으로 발생할지, 그 피해는 대체 어느 규모가 될지 예측하기 어려운 상황에서 불안감만 커지고 있습니다. 

앞으로 해결해야 할 도전과제는 무엇일까요. 보안관제센터를 중심으로 사이버침해사고 예방과 탐지, 대응조치를 포함해 사이버보안에 대한 전방위적이고 종합적인 역할을 수행할 수 있도록 지속적으로 발전시켜야 할 것입니다. 

사이버위협은 계속 지능화되고 강력해지고 있기 때문에 보안관제체계를 구축했다고 안심할 게 아니라 계속해서 업그레이드, 보강해야 하는 것이 우리가 처한 현실입니다.


2011/10/12 11:23 2011/10/12 11:23

최근 사이버보안위협이 엄청나게 늘어나는 요인이 지하경제에서 거래되는 공격용 툴킷 때문이라는 분석이 지배적이죠.

윈도, 오피스, 어도비 아크로뱃과 같은 여러 애플리케이션의 제로데이 취약점은 공격용 툴킷을 통해 사이버공격에 보편적으로 악용되고 있습니다.

이같은 공격용 툴킷은 ‘지능적지속가능위협’으로 (사실 딱 와닿지 않게) 번역되는 은밀한 공격인 APT(Advanced Persistent Threat) 유형의 표적공격을 만들어내는데 크게 기여하고 있다고도 합니다.

시만텍은 최근 발표한 ‘인터넷보안위협보고서(ISTR)’ 최신호(16호)에서 이같은 공격용 툴킷의 확산과 진화가 소셜네트워킹서비스(SNS)의 악성코드 전파 통로 부상, 모바일 보안위협 증가와 표적공격의 진화·확산 등과 더불어 2010년의 보안위협의 주요 특징으로 지목했습니다. (관련기사 “SNS·모바일이 사이버위협 온상”)

공격용 툴킷은 합법적인 소프트웨어처럼 공개적으로 처음 등장한 날짜와 진행상황을 파악하기 어려운데요.

시만텍은 갈수록 증가하고 있는 사이버 범죄에 대한 경각심을 일깨우기 위해 그동안 역추적해 확인한 주요 공격용 툴킷들의 종류와 특징들을 심도있게 분석한 보고서를 내놨습니다.

이 자료를 인용해 ‘공격용 툴킷의 변천사’를 소개합니다.

사용자 삽입 이미지

▲1990년대: 바이러스 키트

1990년대 초, 비주얼 베이직(Visual Basic)을 이용해 제작된 기본적인 기능의 초기 공격용 툴킷이 발견됐지만 기능은 제한적이었다. 웹 인터페이스, 통계 수집, C&C(명령·제어) 관리 기능 등 후기 공격용 툴킷에서 볼 수 있는 기능은 대부분 빠져있었고, 주로 개발 및 전파 목적의 바이러스들이 포함돼 있었다. 초기 바이러스 제작 킷 중에서 가장 발전된 툴킷은 1998년 처음 발견된 VMPCK이었다. VMPCK 이후 곧 CPCK 키트가 등장했는데, 두 킷 모두 ‘바이코딘(Vicodines)’란 악명 높은 프로그래머에 의해 개발됐다. CPCK는 탐지 회피를 위한 다형성 엔진을 포함하고 있었는데 당시로서는 매우 획기적인 시도였다.

▲2001년: VBSWG 웜 킷

스팸 메일 공격시 주로 사용되는 제목 때문에 안나 쿠르니코바(Anna Kournikova) 웜으로도 불리며, 2001년 아르헨티나에서 처음 발견됐다. 비주얼 베이직으로 개발된 VBSWG 웜은 단순하지만 효과적인 암호화 기술을 채택했으며, 이메일 및 IRC 클라이언트를 통한 전파를 위해 다양한 루틴을 내장하고 있었다. 정보 탈취를 우선으로 제작되는 최근의 공격용 툴킷과 달리 초기에는 파괴적 공격이 주요 목적이었다. 예를 들어, VBSWG 웜에는 ‘크래시 시스템’과 ‘크레시 시스템2’로 불리는 공격코드가 탑재돼 시스템이 다운될 때까지 메모리 기능을 계속 복사, 실행한다.

▲2006년: 웹어태커(WebAttacker)의 등장

2006년 초에 처음 모습을 드러낸 웹어태커는 첫번째 공격용 툴킷으로, 2003년에 발견된 7개의 취약점을 이용한 악성코드를 내장하고 있었다. 후기 공격용 툴킷과 마찬가지로 웹어태커는 클라이언트측 취약점을 이용했는데, 마이크로소프트 윈도OS 에 설치된 인터넷 익스플로러나 모질라 파이어폭스 사용자들을 주요 공격대상으로 삼았다.

처음 웹어태커 발견했을 당시 지하경제에서는 15달러에 거래되고 있었다. 이렇게 낮게 가격이 형성된 이유는 첫번째 상용 공격용 툴킷이었기 때문으로 분석된다. 웹어태커 판매자는 구매자에게 약정 서비스 형태로 툴킷을 제공했으며, 이후 수많은 툴킷들이 약정 모델을 차용했다. 또한 웹어태커는 업데이트가 가능하고 후속 버전에는 새로운 취약점을 이용할 수 있는 코드를 포함시켰다. 2006년 9월 웹어태커는 인터넷 익스플로러의 벡터언어 컴포넌트와 관련된 제로데이 취약점을 이용해 눈길을 끌었다. 대다수 툴킷들이 이미 잘 알려진 취약점을 이용한 반면, 악성코드에 제로데이 취약점을 적용한 보기 드문 경우였기 때문이다.

▲2006년: 앰팩(MPack)

웹어태커 다음으로 등장한 주목할만한 공격용 툴킷은 2006년 6월에 발견된 앰팩이다. 앰팩은 웹어태커를 토대로 하고 있지만 개선된 인터페이스를 통해 공격 데이터의 지리적 분류, 공격받은 호스트 위치, 국가별 성공률 등 확장된 통계 정보를 제공한다. 또한 IP 주소나 국가별 사용자, 동일한 IP 주소에서 반복적으로 방문하는 사용자를 차단하는 기능을 지원한다. 특히 중복 방문자를 차단하는 기능은 분석을 위해 툴킷 공격을 호스팅하는 웹사이트를 반복적으로 방문하는 안티바이러스 보안 연구소 및 보안업체들이 앰팩 툴킷을 탐지하기 어렵게 만들었다.

앰팩은 다양한 기법을 통해 보다 공격적으로 배포된 툴킷이다. 예를 들어, 앰팩의 호스트 사이트로 피해자의 경로를 재조정하기 위해 합법 웹사이트에 아이프레임(iframe)을 주입하거나 유사한 이름의 도메인을 등록시켜 인기 웹사이트의 주소를 실수로 잘못 입력한 피해자를 유인했다. 더욱이 스팸을 통해 악성 사이트로 연결된 링크를 유포하고, 맞춤형 악성코드 다운로더를 생성함으로써 피해자가 공격에 걸려들었을 때 배포할 악성코드의 유형과 위치를 직접 정할 수 있도록 했다. 앰팩의 첫 판매 가격은 1000 달러로, 이는 15달러에 판매됐던 웹어태커에 비해 매우 높은 가격이다. 그럼에도 앰팩이 성공을 거두고 오래도록 판매될 수 있었던 이유는 공격자들이 기꺼이 거금을 투자하더라도 투자한 만큼의 충분한 이익을 거두었기 때문인 것으로 분석된다.

▲2007년: 앰팩을 기반으로 한 아이스팩(IcePack)

2007년 7월 등장한 아이스팩은 앰팩과 유사하다. 특정 IP 주소나 국가별 사용자는 물론 중복 방문자를 차단하는 등 앰팩과 동일한 기능을 대거 포함하고 있었다. 아이스팩의 첫 판매 가격은 앰팩보다 낮은 400달러였으나 웹어태커보다는 훨씬 비쌌다. 2007년 11월 시만텍은 아이스팩 및 앰팩과 관련된 하나의 트렌드를 발견했는데, 바로 개발자들이 아이스팩 및 앰팩의 불법복제판으로 입은 손실을 만회하기 위해 할인된 가격이나 무료로 지하경제에서 제공하고 있는 것이었다.

할인 또는 무료 버전에는 공격 피해자를 또 다른 악성 사이트로 유인하는 백도어 코드가 포함돼 있었다. 즉, 무료 툴킷을 사용한 공격자들은 백도어 코드의 존재를 알지 못했고, 그 결과 백도어 버전 툴킷의 공격을 받은 피해자들은 백도어 버전 툴킷 공격으로 득을 보게 된 툴킷 개발자들에 의해 2차 피해를 입었다.

▲2007년: 봇의 제왕, 제우스(Zeus)

시만텍은 2007년 처음으로 제우스 툴킷을 발견했다. ‘Z봇(Zbot)’으로도 알려진 제우스는 온라인 금융 정보 등 민감한 데이터를 수집하기 위해 개발됐고, 지금도 매우 광범위하게 사용되고 있다. 제우스는 PHP 기반 C&C(명령제어) 서버 웹 애플리케이션과 함께 트로이목마 생성기를 포함하고 있지만 트로이목마 설치나 전파 수단은 포함하고 있지 않다. 대신 판덱스(혹은 컷웨일)와 같은 대형 봇넷이 스팸이나 드라이브바이다운로드(Drive-by-downloads: 사용자 모르게 다운로드되어 실행되는 악성 프로그램)를 통해 제우스 툴킷을 유포한다.

제우스는 수많은 사기 및 사이버범죄 사건에 연루됐다. 2010년 9월, 미국, 영국 및 우크라이나 출신의 다국적 범죄집단이 제우스 봇넷을 사용해 18개월간 온라인 금융 및 거래 계좌에서 7000만 달러 이상을 훔친 혐의로 검거된 것 외에도, 영국의 수많은 계좌에서 100만 달러 가량의 돈을 빼돌린 사건이나 수십 개의 미 은행 계좌에서 300만 달러의 돈이 불법 인출된 사건도 있었다. 제우스가 인기가 높은 이유는 피해자 컴퓨터에서 금전적 이득을 볼 수 있는 민감한 정보를 쉽게 빼돌릴 수 있는 기능이 포함돼 있기 때문이다.

▲2007-2008년: 네오스플로이트(NeoSploit), 애드팩(Ad’pack), 토네이도(Tornado)

2007년에는 제우스와 비견할만한 다양한 툴킷이 등장했다. 3월 네오스플로이트, 9월 애드팩, 10월 토네이도 등이 등장했고, 그 중 네오스플로이트의 영향력이 가장 컸다. 겉으로 보기에는 웹어태커의 업그레이드 버전으로 보이지만 향상된 통계 정보 수집과 표시 능력을 지녔다. 안티바이러스 프로그램의 탐지 및 분석을 피하기 위해 은폐 기능(obfuscation) 및 난독화(anti-decoding) 기능이 포함됐다. 발견 당시 네오스플로이트는 기능 및 버전에 따라 1500~3000 달러까지 다양한 가격대의 제품으로 제공되고 있었다.

발표되는 신규 버전마다 새로운 악성코드를 추가했던 네오스플로이트는 공격시 탐지우회기법이 포함된 자바스크립트를 이용하는 혁신 기술을 포함하기도 했다. 그동안 발견된 툴킷과 달리 네오스플로이트는 통계정보를 저장하기 위해 MySQL과 같은 대중적인 데이터베이스를 사용하는 대신 맞춤형 데이터베이스를 포함했다. 또한 공격자가 툴킷 버전 업그레이드 시 데이터베이스도 함께 업그레이드할 수 있도록 스크립트를 제공해 네오스플로이트를 간편하게 최신 버전으로 유지할 수 있도록 지원했다. PHP 인터프리터, 연관 데이터베이스 서버 등 공격용 툴킷에 반드시 필요한 부가 기능을 없애 네오스플로이트의 설치 및 유지보수 작업을 단순화시켰다.

2008년 중반 네오스플로이트의 러시아 출신 제작자들은 네오스플로이트의 개발 중단을 선언했다. 개발에 투자한 시간에 비해 수익성을 담보할 수 없다는 게 그 이유였다. 그럼에도 불구하고 네오스플로이트를 사용한 공격 활동은 이후 계속 감지되고 있다.

시만텍은 2008년 4월 처음 토네이도 툴킷을 발견했지만, 이미 6개월 정도 전부터 탐지를 피해 활동해 온 것으로 보인다. 토네이도는 개발자들의 신중하고 제한적인 유포 활동으로 탐지가 어렵다. 또한 단골 방문객들에게 사이트 소유자의 계좌가 정지되었다는 메시지를 띄우는 등 트래픽 유형에 따라 다른 행동을 취할 수 있는 기능을 갖추고 있었다. 이러한 전술은 다른 IP 주소로 방문자에 대한 공격을 실제 지속하면서도 툴킷 호스팅 사이트가 악의적이라는 의심을 누그러뜨릴 수 있다.

▲2008년: 파이어팩(FirePack)과 엘 피에스타(El Fiesta)

2008년에는 2월과 8월에 각각 소형 툴킷인 파이어팩(FirePack)과 엘 피에스타(El Fiesta)가 시만텍에 의해 발견됐다. 이전에 발견된 툴킷과 동일한 기능이 대거 포함돼 있었지만 가격이나 제공하는 악성코드는 달랐다.

▲2009년: 공격용 툴킷의 전성기

2009년에는 럭키스플로이트(LuckySploit), 리버티(Liberty), 예스 익스플로이트 시스템(YES Exploit System), 엘리노어(Eleonore), 프라거스(Fragus), 유니크 팩(Unique Pack), 마리포사(Mariposa), T-아이프래머(T-IFRAMER), 저스트익스플로이트(justexploit), 시베리아(Siberia), 크라임팩(CRiMEPACK) 등 주목할만한 많은 공격용 툴킷이 발견됐다. 그 중 엘리노어는 거의 매월 후속 버전이 나올 정도로 활발한 활동을 했고, 피닉스 역시 원래 2007년 발견됐지만 2009~2010년 사이 공격이 급증해, 10개 이상의 버전이 공개됐다.

프라거스 툴킷의 경우, 첫 번째 버전은 2009년 7월 발견됐다. 프라거스는 공격용 툴킷의 불법복제를 방지하기 위해 PHP 난독화 기술을 처음으로 사용했다. 또한 IP 주소를 바인딩하거나, 툴킷 라이선스 기간이 초과하면 특정 파일을 만료시키는 등 다양한 불법복제 방지 기법을 적용했다.

▲2009년 10월: 마리포사(Mariposa) 등장

마리포사(Mariposa) 역시 주목해야 할 또다른 공격용 툴킷이다. 시만텍의 분석에 따르면, 마리포사의 클라이언트 트로이목마는 주로 실리FDC(SillyFDC) 웜의 변종 형태로 나타났다. 실리FDC는 2009년 세 번째로 가장 많이 발견된 악성코드 샘플이다. 마리포사는 다형성, 은폐, 안티바이러스 회피, 상태 업데이트 및 인코딩 전송 등의 기능을 갖췄다. 다형성 및 은폐 기능을 통해 악성코드를 실행할 때마다 모습이 바뀌었고, 이로 인해 안티바이러스 프로그램이 악성코드 시그니처를 생성하기 어렵게 했다. 마리포사는 USB 디바이스, P2P 클라이언트, 네트워크 공유 및 MSN 메신저를 통해 전파할 목적으로 개발됐다. 마리포사가 공격에 자주 사용되는 가장 큰 이유는 안티바이러스 애플리케이션이 마리포사를 차단하기 어려운데다 다양한 전파 기법을 갖추고 있기 때문이다.

이밖에 마리포사가 MS 인터넷 익스플로러의 HTTP POST 요청 데이터를 가로챌 수 있다는 점을 주목할 필요가 있다. 사용자가 웹사이트에 로그인 할 때 인증정보를 탈취할 수 있으며, 요청 데이터가 암호화되어 있어도 상관없는데, 이는 탈취가 암호화가 적용되기 전 인터넷 익스플로러 내부에서 발생하기 때문이다.

시만텍 조사 결과, 마리포사는 기본형 450 달러를 시작으로 포함된 기능에 따라 고급형의 경우 1,400 달러 이상에 판매되고 있었다. 3, 6, 12개월 단위의 업데이트 지원 서비스 패키지를 구입할 수도 있으며, 12개월 패키지의 가격은 520달러에 달했다. 개발자들은 보안 소프트웨어 탐지 회피 기능을 지원하기 위해 이틀마다 업데이트를 제공하고 있었다. 한편 마리포사는 2009년 약 1,270만대의 컴퓨터를 감염시키고 기능을 마비시킨 마리포사 봇넷이 발견되면서 언론의 뜨거운 관심을 받았다. 마리포사 봇넷 코드를 제작한 용의자들은 2010년 스페인과 슬로베니아에서 검거됐다.

▲2010년: 제우스(Zeus) 2.0, 스파이아이(SpyEye), 스트라이크(Strike)

- 제우스 2.0

2010년 제우스의 신규 버전인 제우스 2.0이 출시됐다. 제우스 2.0 버전은 기본 패키지가 최고 8000달러에, 500~2,000 달러의 추가 모듈까지 제공한다. 특히 스파이아이(SpyEye)의 ‘킬 제우스(Kill Zeus)’ 기능을 방어할 수 있도록 해, 공격용 툴킷 개발자들간의 경쟁이 점점 뜨거워지고 있음을 짐작할 수 있다. 제우스 2.0 버전에는 업그레이드된 탐지 회피 및 삭제 거부 기능뿐만 아니라 MS 윈도우 7 지원 및 한 대의 컴퓨터에 다양한 버전의 제우스 툴킷을 설치할 수 있는 새로운 기능도 추가됐다.

제우스 2.0은 임의의 고유한 레지스트리 키 값 및 파일명을 탐지우회하는 기법과 환경설정파일의 RC4 암호화 기능도 제공한다. 향상된 탐지우회기법 및 무작위 배정법에 따라 다양한 제우스 버전을 단일 컴퓨터에 동시에 설치할 수 있다. 다시 말해, 여러 공격자들이 표면상 단일 호스트를 여러 번 감염시킬 수 있게 된 것이다. 제우스 2.0은 또한 봇 생성 애플리케이션을 단일 컴퓨터와 연계하는 하드웨어 기반의 잠금 메커니즘을 사용한 불법복제 방지 기능을 지원한다.

- 스파이아이

2010년 등장한 스파이아이는 광고를 통해 초기 제우스와 비견할만한 강력한 툴킷으로 포지셔닝했다. 특히 감염 컴퓨터에서 모든 제우스 버전을 삭제하는 ‘킬 제우스’ 기능을 내장하고 있다. 이후 제우스 신규 버전에는 킬 제우스 기능을 무력화시키는 방어기능이 포함돼 공격용 툴킷 간 경쟁이 보다 심화되고 있음을 확인할 수 있다.

스파이아이는 광고를 통해 스파이아이를 저렴한 제우스 대용품으로 소개하며, 최고 8,000 달러에 이르는 제우스에 비해 매우 낮은 500~1500 달러 수준의 가격을 제시하고 있다. 킬 제우스의 백업 기능으로, 스파이아이와 제우스가 동일한 컴퓨터에 설치돼 있고 스파이아이가 제우스 버전을 감지 또는 삭제하지 못할 경우, 스파이아이는 제우스 C&C 서버로 전송하는 데이터를 가로채거나 탈취할 수 있도록 프로그래밍돼 있다.

흥미롭게도 2010년 10월 스파이아이 개발자 하더만(Harderman)은 오리지널 제우스 개발자 슬래빅(Slavik)으로부터 소스코드를 공식 인수했다고 밝혔다. 슬래빅은 더 이상 제우스 개발, 판매, 지원에 관여하지 않는 것으로 보인다. 하더만은 기존 제우스 고객에게 지원 서비스를 제공하겠다고도 발표했으며, 향후 더욱 강력한 툴킷을 제공하기 위해 스파이아이와 제우스의 소스코드를 통합하는 작업을 진행하고 있다.

스파이아이는 키스트로크 로거를 사용해 네트워크 트래픽과 웹 브라우저의 정보를 가로채 사용자 정보를 확보할 수 있는 기능이 포함되어 있다고 광고하고 있다. 일례로, 웹 브라우저 입력란에 ‘사회보장번호를 입력하세요’ 등의 항목을 몰래 추가한 후 사용자가 정보를 입력하면 전송 데이터를 중간에 가로채 피싱 스타일의 공격을 진행하고, 피해자가 제공한 인증 정보를 이용할 수 있게 된다.

- 스트라이크

2010년 등장한 스트라이크 툴킷은 윈도 XP, 윈도 비스타, 윈도 7 등 신규 OS를 목표로 한다. 스트라이크의 봇 클라이언트에서 주목할 점은 일반 사용자로 가장해 신규 윈도 OS의 사용자접근관리(UAC) 보안 기능을 회피하기 위해 개발되었다는 점이다. 스트라이크가 UAC 기능을 회피하는 방식은 윈도우의 ‘임시 인터넷 파일’ 폴더에만 파일을 작성하는 데 있다. 이로써 스트라이크는 키스트로크 로거, 백도어 등과 같은 악성 애플리케이션을 사용자 몰래 설치할 수 있다.

스트라이크는 윈도를 비롯한 200개 애플리케이션의 시리얼 번호를 빼내기 위해 개발됐으며, 스트라이크 광고에 따르면 윈도 호스트 방화벽을 우회해 자유롭게 네트워크에 접근할 수 있고 TCP 접속을 통해 DDoS(분산서비스거부, 디도스) 공격을 감행할 수 있다고 한다.


2011/04/06 16:04 2011/04/06 16:04

사용자 삽입 이미지
우리가 추석명절과 중부지방에 쏟아진 ‘물폭탄’ 피해·복구에 관심이 온통 쏠려있을 때인 지난 24일, BBC·뉴욕타임즈·파이낸셜타임스(FT) 등 여러 외신은 이란의 핵시설 파괴를 노린 것으로 추정되는 악성 웜의 확산 소식을 전하느라 분주했습니다.

문제의 이 웜은 마이크로소프트 취약점을 악용한 ‘스턱스넷(Stuxnet)’으로, 주로 USB 이동식저장장치를 통해 감염시키는 악성코드입니다. 지멘스의 산업시설 제어장치를 감염시킨 후 산업시설에 침투해 오작동을 일으키거나 작동을 중단시키는 것으로 알려져 있습니다. 이 웜은 지난 6~7월 처음 발견됐지만 1년 전부터 활동한 것으로 추정되고 있습니다.

시만텍 등 보안업계는 이 웜이 산업시설을 대상으로 제작된 최초의, 아주 정교한 악성코드라는 분석을 내놓고 있는데요.

이미 이란 뿐 아니라 인도네시아, 파키스탄, 인도 등에서도 감염 사고가 보고된 상황입니다. 그중에서도 이란에서 가장 많은 피해를 본 것으로 분석되고 있지요. 

뉴욕타임스는 26일(현지시간), 이란 정부 관계자의 말을 인용해 “이 웜이 이란 내 컴퓨터 3만대에 영향을 미쳤다. 이는 이란에 대한 사이버(전자적) 전쟁의 일부”라고 보도했습니다. (<-링크)

일부에서는 스턱스넷에 감염된 4만5000여 대의 컴퓨터 중 60%가 이란에 집중돼 있다는 보도도 나오고 있습니다.

그 때문에 이란의 나탄즈(Natanz) 우라늄 농축 시설과 부셰르 원자력발전소 파괴를 노리고 특정국가가 제작했거나 배후에 있는 것이 아니냐는 추측이 나오고 있는 겁니다. 당연히 핵 개발과 실험에 반대하는 미국과 이스라엘, 영국, 그리고 프랑스, 독일, 심지어 중국까지도 용의(?)선상에 올라와 주로 언급되고 있는 국가입니다. 

무엇보다 우리가 주목해야 할 점은 이 스턱스넷 웜의 등장과 감염 확산이 “웜이 ‘무기’화된 첫 사례이자, 사이버전쟁이 ‘파괴공격’ 단계로 진입한 것을 알리는 신호탄”이라고 하는 해외 보안전문가들의 경고일 것입니다.

지능형전력망(스마트그리드) 구축사업이 한창인 지금, 또 자동차·조선 등 각 산업에서 IT와의 융합이 가속화되는 이때 ‘스턱스넷’ 웜으로 인한 이란의 피해를 교훈삼고 대책을 마련하고 미리 점검해봐야 할 것입니다.

이번 사례는 몇 년 전, 사이버공격의 위험성에 경각심을 불러일으켰던 브루스윌리스 주연의 영화인 ‘다이하드4.0’을 다시 생각나게 하네요.(
관련기사-다이하드4.0의 ‘파이어세일’ 공포)
전문가 경고처럼 각종 사회 기간인프라를 단계적으로 파괴하는 것을 보여준 이 영화의 시나리오가 이미 현실화된 시기가 된 것일까요? 

그나저나 우리나라 산업시설에는 혹시라도 이 ‘스턱스넷’ 웜의 악영향이 없는지 궁금하네요.

(덧붙임) 그러고보니 얼마전에 안철수연구소가 산업용 시스템 전용 보안 솔루션을 선보였군요. 예전에 하우리도 산업용PC 전용 백신을 발표한 적이 있었던 것으로 기억합니다. (
관련기사 참고 - 안철수연구소, 첨단생산라인·POS 전용 보안 제품 출시)

2010/09/26 22:39 2010/09/26 22:39
작년에 발생한 7.7 분산서비스거부(DDoS) 공격이 원래는 미국 정부기관을 대상으로 했다가 성공을 거두지 못해 한국으로 공격대상을 바꾼 것이란 분석이 나왔습니다.

이미 공격을 겪은 이후인 지금 시점에선 크게 의미는 없지만, 색다른 분석이어서 포스팅해봅니다.


헤럴드 프로콥 아카마이 수석 엔지니어 부사장은 7일 국내 출시한 아카마이 클라우드 보안 서비스(관심있는 분은 여기로)를 소개하기 위해 가진 기자간담회에서 작년에 미국에서 발생한 7.4 DDoS 공격 분석결과와 대응과정을 소개했습니다.


그 과정에서 프로콥 부사장은 “미국 정부사이트를 대상으로 공격을 벌였지만 아카마이가 철저히 방어해 결국 포기하고, 한국으로 대상을 옮겨 공격한 것”이라고 말했습니다.


개인적으로 스스로 자사의 분산형 네트워크 구조를 기반으로 한 보안 서비스가 DDoS 공격 대응에 탁월하다는 점을 강조하려다보니 과한 분석을 내놓지 않았나 싶은데요.  


이미 다들 알고 있다시피, 작년 7월 7일 오후 6시 40분쯤에 우리나라 주요 웹사이트를 대상으로 공격이 일어나기 이전에 미국의 독립기념일인 7월 4일에 미국 정부기관 등의 사이트를 대상으로 공격이 시작된 것은 맞습니다.


아카마이 분석에 따르면, 7월 4일 오후 2시에 아카마이의 네트워크 운영센터에서 경보가 발생했고, 오후 4시에 공격자 근원지를 발견했습니다. 그 이후 급속도로 트래픽이 증가해 평상시의 598배인 124Gbps에 달했다고 하는데요.


아카마이는 앞서 두시간 진행된 공격은 테스트였다고 보고 있습니다. 


공격 트래픽은 4시간 만에 100Gbps 이상 올라갈 정도로 빠르고 규모도 컸으며, 3일 동안 방식을 바꿔가면서 공격이 이뤄졌다고 합니다.


이 정도의 공격규모라면 정상 서비스를 유지하기 위해선 2500대의 백업 서버가 필요한 수준이라네요.


제대로 공격이 통하지 않자 7월 5일에는 공격 방식을 바꾸면서 트래픽이 낮아졌다고 합니다.


공격 IP의 90% 이상이 한국의 IP로 들어온 것으로 분석됐답니다. 우리나라의 많은 사용자 PC가 봇에 감염돼 공격에 악용된 좀비PC였기 때문입니다.


아카마이가 공격진원지도 분석하고 있는지를 물어봤는데요.
프로콥 부사장은 “공격근원지(IP)는 한국이지만, 그 배후에 누가 있는지는 모른다”며, “실제 공격근원이 한국에 있을 가능성은 낮은데, 한국은 고대역폭의 광대역망이 잘 갖춰져 있어 한국에 있는 PC를 이용한 것”이라고 설명했습니다.

한국의 7.7 DDoS 공격이 발생한 원인과 관련해 아카마이의 분석이 맞는지 아닌지, 아무도 모릅니다. 그럴 수도 있고, 아닐 수도 있겠죠.


한국 사이트 대상 공격 이전에 백악관 등 미국의 주요기관 사이트를 대상으로 먼저 공격이 있었다는 점에서는 개연성이 아예 없다고 볼 수는 없습니다. 


그런데 한국인터넷진흥원(KISA)과 우리 정부는 우리나라 주요사이트 22개를 대상으로 7월 7일부터 3일 간 공격이 발생하던 같은 기간에 14개 미국 사이트를 대상으로 공격이 계속 있었다고 분석하고 있는데요. 이 분석과는 배치됩니다. 


아카마이의 분석을 토대로 짧게 생각해보면, 만일 공격자가 미국을 대상으로 한 공격에서 큰 효과를 봤다면 우리나라의 7.7 DDoS 공격은 없었을 수도 있겠습니다만... 사실 이런 가정은 큰 의미는 없습니다.


혹시 그랬다 하더라도 이후 언제라도 DDoS 공격은 발생할 수 있을테니 말입니다. 


작년 7.7 DDoS 공격을 누가했는지, 왜 했는지
아직도 오리무중입니다. 

국가정보원에서는 공격진원지를 북한을 지목했는데요, 이 때문에 논란도 많았습니다. 많은 분들이 심증을 갖고 있을 지는 모르겠는데요, 우리정부나 미국정부도 아직까진 공격배후에 관해선 ‘공식적으로’ 밝힌 바는 없습니다.



2010/09/08 18:17 2010/09/08 18:17

방송통신위원회가 국민의 정보보호 인식제고를 위해 정보보호 홍보 TV방송을 시작합니다.

작년 7.7 분산서비스거부(DDoS) 공격 사태를 거치면서 이용자들의 PC보안 인식과 보안생활화가 아주 중요하게 부각된 것이 계기가 됐습니다.

이번 7월에도 작년에 치료되지 않은 좀비PC가 주요 국가기관, 은행, 포털 등의 웹사이트에 DDoS 공격을 가했었죠. 

방송통신위원회는 지상파 TV(KBS, MBC, SBS)와 보도전문채널(YTN, MBN)을 통해 평시엔 사이버침해 유형, 안전한 PC 이용방법, 악성코드 감염 방지 요령 등 정보보호 실천수칙을, 비상시에는 사이버침해 관련 상황과 대국민 행동요령을 신속히 전파한다는 계획입니다.

우선은 정보보호의 중요성을 알리기 위한 캠페인방송, 시사/교양정보 프로그램, 다큐멘터리 등의 형태로 시작될 예정입니다. 

원래는 TV 뉴스에서 제공하는 일기예보처럼 매일 국민들이 알아야 하는 정보보호 동향이나 사이버위협, 조치방안 등을 알려주는 형태로 기획이 됐었던 것으로 알고 있었습니다만, 아무래도 사회적으로 심각한 파급력을 주는 사이버공격은 예기치 않게 생겨 그런지 예보 보다는 홍보방송 형태가 되는 것 같습니다.

래도 1.25 인터넷대란이나 전자금융거래 관련 보안사고, 7.7 DDoS 공격, 대규모 개인정보유출 사고처럼 큰 사건이 나지 않는 이상, 평소에 TV방송에서 정보보호를 이슈로 집중적으로 다뤄지진 않았던 점을 생각하면 고무적입니다.

일단 시작할 방송사별 프로그램입니다.

사용자 삽입 이미지

앞으로 시청자들뿐 아니라 특히, 정보보호 전문가 등 관계자분들이 관심있게 살펴보고 방송사와 방송통신위원회, 한국인터넷진흥원에 의견을 적극적으로 개진하는 것이 중요할 것 같습니다.


 

2010/07/14 13:35 2010/07/14 13:35