해커즈뉴스 컬럼

은퇴한 전설적인 해커 케빈 미트닉은 기술에만 치중하는 현재의 보안 전략에 대해 경고하고 있다. 도리어 네트워크를 안전하게 유지하려면 직원들에게 '아니오'라고 말하도록 교육을 시켜야 한다고 주장했다.

모토로라와 노키아 같은 회사들의 네트워크에 침투했던 것으로 잘 알려진 가상공간의 전설적인 인물 미트닉은 지난 3일 도시바 모바일익스체인지 컨퍼런스에서 한차례 연설했다.

FBI는 미트닉 사건 때문에 15년 동안 수사에 매달려야 했고, 1995년 미트닉을 체포하면서 사건을 종결시킬 수 있었다. 거의 4년 동안 복역했던 미트닉은 그간의 기술과 경험을 기반으로 현재 보안 컨설턴트로서 일하고 있다. 컨퍼런스에 모습을 나타낸 그는 나이도 들고 겉보기에도 현명해진 모습으로 변해 있었다.

많은 회사들이 자사의 네트워크를 보호하려고 최신 보안 기술을 도입하는데 막대한 돈을 쏟아 붓고 있다. 이에 대해 미트닉은 최첨단 기술로 철벽처럼 쌓아놓은 장벽조차도 결코 자신을 막지 못했다는 점을 지적했다.

대부분 회사에서 가장 취약한 보안 통로를 무사히 통과하는 데는 회사 직원을 사칭한다는가, 혹은 시간 날 때 쓰레기차를 뒤져보는 것이 훨씬 더 효과적일 수 있다고 말했다.

미트닉은 "쓰레기통에서 놀라운 정보를 찾을 수 있다. 사람들은 공책, 연습장, 편지, 소스 코드나 프로젝트 문서의 출력물 등을 쓰레기통에 버린다. 어떤 경우 사람들은 거기에 암호, 접근 정보, 또는 이야기를 나눈 사람이나 만난 사람들의 신상을 잔뜩 적어놓기도 한다"라고 말했다.

이런 정보는 해커들이 회사로 슬그머니 침입하는 데 상당히 가치있는 정보를 제공한다. 말하자면 직원인 척하고 내부 안내 데스크에 전화를 걸거나 동업자인 척하기도 한다.

수십대의 보안 장비로도 똑똑한 해커 한 명 못 막아
미트닉은 "사람들은 수상한 사람이라고 의심될 때에도 '아니오'라고 말하는 것을 꺼리기 때문에 해커들은 목표로 삼은 회사의 네트워크에 기술적으로 무자비하게 공격하기보다는 유창한 말솜씨로 접근하면서 훨씬 더 근접하게 네트워크에 침입할 수 있다"라고 얘기했다.

현대 기술은 그런 공격을 가능하게 하고 있다. 만약 한 해커가 회의실에 들어오는 데 5분밖에 안 걸린다고 치자. 무선 액세스 포인트(access point)를 네트워크 액세스 포인트에 연결하자마자 네트워크에 공개된 백 도어(back door)가 생긴다. 해커가 건물 밖에 주차했더라도 무선을 통해 회사 네트워크에 침입할 수 있게 되는 것이다.

이런 류의 보안 취약성을 이해하는 건 쉽지만 구현하는 건 때론 어려운 문제다. 방문자들이 회사 내의 물리적 설비들에 대한 정보를 얻는 행위를 막고 접근을 통제하는 등 외부인의 대처에 필요한 명확한 보안 정책을 만들어야 한다.

또 직원들이 해커의 요청을 자연스럽게 들어주거나 임의로 대응하지 못하게 하고 의심스러울 경우 정책을 준수하도록 직원을 교육해야 한다.

회사 직원들에게 조언을 요청하는 사람들에게 다시 전화를 걸겠다며 연락처를 요청하는 것만으로도 많은 해커들이 겁을 집어먹고 도망치게 만들 수 있다.

미트닉은 "우리는 직원들이 ‘인간 거짓말 탐지기’가 되길 기대할 순 없다. 기업 문화에서 가장 어려운 문제 중 하나는 사람들이 자신들의 친절한 본성을 바꾸는 일"이라고 말했다.

"사회 심리학 연구에 따르면, 사람들은 일반적으로 자기 자신의 불편함에 신경을 많이 쓴다고 한다. 뭔가 잘못된 것 같다고 느낀다면 그건 바로 위험하다는 신호이고 즉시 그걸 확인해 보는 것이 낫다. 직원들이 항상 보안 정책을 기억해내지는 못할 것이다. 하지만 보안 정책을 떠올릴 수 있도록 몇 가지 간단한 규칙을 만들어 두어야 한다. 이에 반대하는 사람이 나쁜 사람이다"라고 덧붙였다.

H A C K E R S N E W S H A C K E R S N E W S H A C K E R S N E W S H A C K E R S N E W S H A C K E R S N E W S H A C K E R S N E W S

	사이버 세계의 새 공격자「봇 넷」주의보!!!
	봇 넷은 감염된 컴퓨터들로 구성된 네트워크로, 개인 또는 크래커 그룹에 의해 운영된다. 하니넷 프로젝트 보고서에 따르면 최근 들어 봇 넷의 침투력이 더욱 강화됐고, 신분을 도용하거나 스파이웨어를 설치하는 사례가 계속 늘고 있다고 한다. 14일에 공개된 이 보고서는 연구원들이 지난 여름 이후 100개 이상의 봇 넷에 침투해 얻은 조사 결과를 요약하고 있다. 하니폿(HoneyPot)을 구축하고 운영하는 보안 그룹인 하니넷 프로젝트는 "일부 네트워크는 5만대 이상의 컴퓨터로 구성되어 있다"라고 전했다. 이 네트워크들 중 상당수가 다른 봇 넷을 DoS 공격으로 습격하는 데 사용됐지만, 그 외의 다른 네트워크들은 민감한 개인정보를 수집하고 애드웨어와 스파이웨어를 설치하는 데 사용됐다. 독일 RWTH 아헨 공대 전산학과 학생이자 이번 보고서의 저자인 토스텐 홀즈는 이러한 사례가 점점 늘어나고 있다고 말했다. 하니넷 프로젝트 멤버인 홀즈는 보고서에서 '일부 공격자들은 기술이 매우 뛰어나고 조직적이어서 범죄 단체에 포섭될 수도 있다. 크래킹 기술이 없는 사람들도 봇 넷을 강력한 무기로 쓸 수 있다'고 적고 있다. 영화 속 유령이 사이버 세상에서 생명을 얻다 지난해부터 보안 전문가들은 봇 넷에 대한 경계를 강화해왔다. 감염된 컴퓨터들로 구성된 대형 네트워크인 봇 넷은 지금까지는 온라인 해커들이 서로를 공격하기 위해 주로 사용했지만, 이제는 신분을 도용하거나 애드웨어를 설치해 돈을 버는 조직 범죄의 도구로 악용되고 있는 것이다. 봇 넷 운영자는 봇 소프트웨어에 감염된 컴퓨터로부터 계좌 암호나 신용카드 번호를 몰래 빼낼 수도 있다. 지난 여름 ISP 아카마이 테크놀로지의 서비스가 불통된 것도 봇 넷의 전면적인 공격 때문인 것으로 보인다. 하니넷 연구진들은 전 세계적으로 최소한 100만대의 컴퓨터가 봇 소프트웨어에 감염됐다고 추산했지만, 홀즈는 보고서에서 이러한 추정치가 보수적으로 잡은 것이라고 말했다. 전형적인 봇은 1만대의 컴퓨터에 연결될 수 있고 공격자는 인터넷 릴레이 챗(IRC) 시스템을 통해 봇에 명령을 내리고 제어한다. 홀즈는 "봇은 새로운 기능을 빠르게 추가할 수 있는 플러그인 아키텍처로 만들어졌다"고 지적했다. 이번 보고서는 연구진들이 봇을 어떻게 감시했고 통신 내용을 가로챘는지 기술하고 있다. 하니넷 프로젝트는 자체 개발한 소프트웨어를 개발자와 보안 전문가 공동체에 배포할 계획을 갖고 있다. 홀즈는 한 인터뷰를 통해 연구진이 악성 봇 넷의 흥미로운 애플리케이션을 밝혀냈다고 전했다. 바로 디아블로 2 게임이 설치된 호스트 PC에서 봇 넷 소프트웨어를 발견한 것. 이 프로그램은 게임이 설치되어 있으면 게임 캐릭터로부터 아이템을 빼앗아 온라인 게임내 미리 지정된 곳에 아이템을 떨어뜨린다. 홀즈는 "봇 넷 운영자는 이렇게 아이템을 수집해서 경매 사이트인 이베이에서 판매할 수 있다"라고 말했다. 네트워크 공격 무기에서 첨단 범죄 도구로 발전 홀즈는 봇은 꽤 똑똑하며 감지하기가 어렵다고 말하며 "미래의 봇넷은 P2P 통신으로 발전할 가능성이 높기 때문에 통신을 차단하고 네트워크를 폐쇄하는 것이 어려워질 것"이라고 말했다. 그는 또한 "각 네트워크의 봇 수가 줄어드는 경향까지 있는데, 이는 감염된 컴퓨터 집단을 탐지하는 것을 더욱 어렵게 하기 위한 것"이라며 "또한 3000~8000대가 연결된 네트워크는 2만대로 구성된 네트워크보다 탐지하기 어렵지만 더 큰 피해를 끼칠 수 있다고 덧붙였다. 홀즈는 "이들 소형 봇 넷들도 큰 피해를 줄 수 있다. 특히 감염된 컴퓨터들의 인터넷 접속 환경이 뛰어나고 공격자가 흥미를 느낄 만한 곳에 위치했다면 더욱 그렇다"라고 설명했다.
		Robert Lemos (CNET News.com) 2005.03.17




	전설의 해커 미트닉「보안의 최대 취약점은 사람」
	은퇴한 전설적인 해커 케빈 미트닉은 기술에만 치중하는 현재의 보안 전략에 대해 경고하고 있다. 도리어 네트워크를 안전하게 유지하려면 직원들에게 '아니오'라고 말하도록 교육을 시켜야 한다고 주장했다. 모토로라와 노키아 같은 회사들의 네트워크에 침투했던 것으로 잘 알려진 가상공간의 전설적인 인물 미트닉은 지난 3일 도시바 모바일익스체인지 컨퍼런스에서 한차례 연설했다. FBI는 미트닉 사건 때문에 15년 동안 수사에 매달려야 했고, 1995년 미트닉을 체포하면서 사건을 종결시킬 수 있었다. 거의 4년 동안 복역했던 미트닉은 그간의 기술과 경험을 기반으로 현재 보안 컨설턴트로서 일하고 있다. 컨퍼런스에 모습을 나타낸 그는 나이도 들고 겉보기에도 현명해진 모습으로 변해 있었다. 많은 회사들이 자사의 네트워크를 보호하려고 최신 보안 기술을 도입하는데 막대한 돈을 쏟아 붓고 있다. 이에 대해 미트닉은 최첨단 기술로 철벽처럼 쌓아놓은 장벽조차도 결코 자신을 막지 못했다는 점을 지적했다. 대부분 회사에서 가장 취약한 보안 통로를 무사히 통과하는 데는 회사 직원을 사칭한다는가, 혹은 시간 날 때 쓰레기차를 뒤져보는 것이 훨씬 더 효과적일 수 있다고 말했다. 미트닉은 "쓰레기통에서 놀라운 정보를 찾을 수 있다. 사람들은 공책, 연습장, 편지, 소스 코드나 프로젝트 문서의 출력물 등을 쓰레기통에 버린다. 어떤 경우 사람들은 거기에 암호, 접근 정보, 또는 이야기를 나눈 사람이나 만난 사람들의 신상을 잔뜩 적어놓기도 한다"라고 말했다. 이런 정보는 해커들이 회사로 슬그머니 침입하는 데 상당히 가치있는 정보를 제공한다. 말하자면 직원인 척하고 내부 안내 데스크에 전화를 걸거나 동업자인 척하기도 한다. 수십대의 보안 장비로도 똑똑한 해커 한 명 못 막아 미트닉은 "사람들은 수상한 사람이라고 의심될 때에도 '아니오'라고 말하는 것을 꺼리기 때문에 해커들은 목표로 삼은 회사의 네트워크에 기술적으로 무자비하게 공격하기보다는 유창한 말솜씨로 접근하면서 훨씬 더 근접하게 네트워크에 침입할 수 있다"라고 얘기했다. 현대 기술은 그런 공격을 가능하게 하고 있다. 만약 한 해커가 회의실에 들어오는 데 5분밖에 안 걸린다고 치자. 무선 액세스 포인트(access point)를 네트워크 액세스 포인트에 연결하자마자 네트워크에 공개된 백 도어(back door)가 생긴다. 해커가 건물 밖에 주차했더라도 무선을 통해 회사 네트워크에 침입할 수 있게 되는 것이다. 이런 류의 보안 취약성을 이해하는 건 쉽지만 구현하는 건 때론 어려운 문제다. 방문자들이 회사 내의 물리적 설비들에 대한 정보를 얻는 행위를 막고 접근을 통제하는 등 외부인의 대처에 필요한 명확한 보안 정책을 만들어야 한다. 또 직원들이 해커의 요청을 자연스럽게 들어주거나 임의로 대응하지 못하게 하고 의심스러울 경우 정책을 준수하도록 직원을 교육해야 한다. 회사 직원들에게 조언을 요청하는 사람들에게 다시 전화를 걸겠다며 연락처를 요청하는 것만으로도 많은 해커들이 겁을 집어먹고 도망치게 만들 수 있다. 미트닉은 "우리는 직원들이 ‘인간 거짓말 탐지기’가 되길 기대할 순 없다. 기업 문화에서 가장 어려운 문제 중 하나는 사람들이 자신들의 친절한 본성을 바꾸는 일"이라고 말했다. "사회 심리학 연구에 따르면, 사람들은 일반적으로 자기 자신의 불편함에 신경을 많이 쓴다고 한다. 뭔가 잘못된 것 같다고 느낀다면 그건 바로 위험하다는 신호이고 즉시 그걸 확인해 보는 것이 낫다. 직원들이 항상 보안 정책을 기억해내지는 못할 것이다. 하지만 보안 정책을 떠올릴 수 있도록 몇 가지 간단한 규칙을 만들어 두어야 한다. 이에 반대하는 사람이 나쁜 사람이다"라고 덧붙였다.
		David Braue (CNET News.com) 2005.03.09