* 정보보호 수준 점검과 기본 보안사항 인식

사람들은 주기적인 자신의 건강을 검진하여 문제가 있으면 치료를 통해 문제를 제거하고, 최상의 건강 유지를 위하여 운동 등 다양한 건강 활동을 한다. 우리 생활의 일부분인 컴퓨터도 마찬가지이다. 이는 해킹·바이러스 등에 의한 보안문제가 우리 주변의 보안문제가 아닌 바로 '나' 자신의 보안문제가 되어버린 환경 때문이다. 따라서 작은 컴퓨터 환경부터 국가 정보통신 인프라까지 정기적인 보안 점검을 하여 정확한 보안 진단을 바탕으로 적절한 보안조치를 해야 한다.

다음 표는 한국정보보호진흥원의 해킹 바이러스상담지원센터에서 미국의 MIT Information Security Program 등을 참조하여 재작성한 우리 자신들의 정보보호수준(Security Quotient)을 점검해 볼 수 있는 목록으로, 이를 통하여 우리의 정보보호 수준(의식)이 어느 정도 되는 지, 부족한 점이 무엇인지 알아 볼 수 있다.

[정보보호 수준 점검 목록]

　

* To be or not to be, that is question

지금 전 세계는 급성호흡기증후군 사스(SARS) 바이러스 때문에 초긴장 상태에 있다. 국제보건기구(WHO)에 의하면, 사스바이러스가 발생한지 2달여 사이에 20여 개국 4천여 명이 감염되어 250여 명이 사망한 것으로 보고되고 있으며, 지금도 전 세계로 확산되고 있다. 눈에 보이지 않는 아주 미세한 바이러스가 순식간에 인류를 상대로 엄청난 재앙과 불안을 가져다 주고 있는 것이다.

사스(SARS)와 같은 바이러스와 함께 사이버 공간에서도 무서운 파괴력과 전파력을 동시에 가지고 있는 해킹과 바이러스가 엄청난 경제적 피해와 함께 21세기의 총아라고 할 수 있는 정보기반(Information Infrastructure)을 마비 또는 파괴시키고 있다.

사실 현실공간에서 발생하고 있는 바이러스나 사이버공간에서 발생되고 있는 해킹•바이러스는 아주 손쉬운 방법으로 기본적인 예방을 할 수 있는데, 순간적인 판단 미숙과 부주의 그리고 평소의 무관심으로 인하여 겉잡을 수 없는 사태로 발전되고 있는 것이다.

특히 사이버 공간을 통하여 발생되고 있는 해킹•바이러스 사고의 근본적인 원인을 자세히 살펴보면, 거의 대부분이 기술적인 문제보다는 인적인 문제가 더 크다는 것이 사실이다. 한때 국내 정보시스템에 엄청난 피해를 야기시킨 CIH, CodeRed 그리고 Nimda 등에 대한 예방 및 조치 방법들이 이미 나온 지가 오래되었지만 아직도 해킹•바이러스 피해의 상당부분을 차지하고 있다.

1999년 발생한 CIH바이러스는 아직도 매년 4월 26일 전후로 활동하여 이에 대한 피해 최소화를 위하여 막대한 비용과 인력이 소요되고 있다. 최근에는 사회적인 이슈가 생기면 어김없이 나타나는 컴퓨터 바이러스나 해킹행위, 사스바이러스, Y2K바이러스, 미-중 해킹전쟁, 걸프전 관련 해킹전쟁, 역사왜곡관련 한/중/일 해킹공격 등이 또 다른 사회적 이슈로 등장 하고 있으며, 최악의 경우에는 개인, 기업 그리고 국가의 경쟁력까지 악화시키고 있는 실정이다.

　

* Code and Happy Together

나는 우리말 중 윗사람을 지칭할 때 쓰는 ‘당신과 우리’라는 단어를 상당히 좋아하는데, 얼마 전 운명을 달리한 홍콩의 인기배우가 열연한 영화제목인 ‘Happy Together’와 요즈음 정치권에서는 유행하고 있는 것 중에서 ‘코드’라는 단어를 최근에 와서 좋아하고 있다. 특히 이 말의 의미를 ‘함께 뜻을 맞추면서 재미있게 일을 한번 해보자’라는 말로 자의적으로 해석해보면, 더욱 더 호감이 간다. 이는 다양한 전산환경상에서 진행되는 보안업무를 추진하는데 있어서 중요한 의미를 주고 있는데, 내가 알고 있는A와 B회사의 경우에서 쉽게 찾아볼 수 있다.

A기업은 소규모의 웹 호스팅 서비스 사업을 하는 업체로, 일년에 겨우 한 사람의 인건비도 되지 않는 비용으로 대•내외적으로 안정적이고 신뢰성 있는 서비스를 제공하여 고객들로부터 상당한 호감을 받고 있는 반면에, B기업은 한 해에 많은 보안예산과 내•외부의 전문 인력
을 투입하고도 보안사고가 터질 때마다 갈팡질팡하여 내•외부의 고객에 대한 서비스에 차질을 일으켜 고객들의 불만을 듣고 있는 상황을 지켜본 적이 있었다.

단적인 사례이기 하지만, A기업은 고객이 원하는 것이 무엇인지, 자체 전산환경에 꼭 필요한 보안환경이 무엇인지, 담당자뿐만 아니라 전사적으로 보안에 대한 중요성을 인식하고 있으며, 무조건적인 보안제품 구입을 자제하면서 이에 대한 비용절감을 임직원의 인식교육과 보안담당자의 전문적인 기술교육을 지원하였고, 담당자 자신의 지속적인 노력과 자체개발인력을 십분 활용하여 유용한 공개보안제품을 자체환경에 맞도록 수정•보완하여 적재적소에 이를 적용하고 지속적인 관리를 하고 있었다.

그러나 B기업은 풍부한 내부인력과 내외적으로 보안전문가를 투입하고도 투자대비 효과측면에서 만족할 만한 결과를 내지 못한 이유는 아주 간단하였다. 보안과 회사간의 적절한 코드가 맞지 않았다는 사실이다. 그때그때 유행처럼 나타나는 보안제품을 제대로 활용하지 못하면서 할당된 예산집행을 위해서 구입하거나, 내부 인력들의 자만심과 전사적인 보안마인드 부족으로 문제가 발생하며, 혼란만 가중시키는 결과를 낳았다. 다소 상대적인 측면도 있지만 두 기업을 통하여 두 가지 측면에서 주목할만한 사항을 찾아볼 수 있다.

첫 번째는 해킹 및 바이러스 등 침해사고에 대비하거나 안전과 신뢰성 있는 내•외부 고객서비스를 위해서는 조직 전체의 보안인식 확립과 체계구축이 중요하다는 사실과, 두 번째는 보안은 유행이 아니라는 사실이다. 그때그때 유행처럼 나타나는 보안제품을 무조건적으로 도입하여 구축할 것이 아니라, 나의 시스템이나 나의 조직과 코드가 맞는 보안기능을 적재적소 적절히 적용해야 한다는 사실과 이를 지속적으로 관리•운영될 수 있는 시스템이 구성되어 있어야 한다는 사실이다.

　

* What Should I Do To Secure My Information?

보안을 이야기하면, 많은 사람들이나 조직에서는 불편함과 완벽성을 요구함과 더불어 엄청난 기술사항이 필요하다고 생각하고 있으며, 한번 특정 보안제품이 설치되면 영원한 보안이 보장된다고 생각하는 경우가 많다. 그러나 보안은 정보기술과 더불어 진화해 가는 생명체라고 할 수 있기 때문에 지속적인 관심, 기술적 보완 그리고 고수준의 가용성과 신뢰성이 반드시 보장되어야 하며, 프라이버시와 피할 수 없는 상관관계를 가지고 있기 때문에 충분한 고려가 필요하다.

따라서 해킹과 바이러스 등 사이버테러로부터 나의 정보를 보호하기 위해서는 가장 먼저 해야 할 것은 나의 정보의 가치를 판단하고, 이에 따라 적절한 유•무형의 비용과 시간투입과 지속적인 관리유지를 해야만, 어떠한 사이버테러 공격도 예방하여 피해를 최소화 시킬 수 있다.

그런데 문제는 우리들은 항상 수준 있는 고급 보안을 추구하고 있다는 사실이다. 보안을 개인 (Personal Security), 가정(Home Security), 조직/기업(Enterprise Security) 그리고 기반(Infrastructure Security) 단계로 볼 때, 기반보호가 최우선이고, 개인보안을 가치 없는 것처럼 생각하는데, 정말로 잘못된 생각이다. 항상 사이버테러 피해의 근원은 사소한 개인으로부터 시작하여 기반시설로 확산되고 있다는 사실을 잊으면 절대로 아니 된다. 그래서 미국 등 보안분야의 선진국가에서는 기반보호뿐만 아니라 개인 및 가정보안에 대한 관심을 집중시키고 있다. 다음은 미국의 CERT (www.cert.org)에서 발표한 Home Network Security와 Home Security 내용 중, 개인 및 가정에 있는 컴퓨터를 보호하기 위한 행동지침의 일부 내용과 우리가 잘못 알고 있는 기본 보안 권고사항을 정리한 것이다.

　

① 부족한 부분에 대해서는 관련 전문기관이나 전문가의 자문을 구하라. 그러나 이 부분은 개인이나 가정에서 해결하기에는 어려운 점이 많다. 따라서 시스템과 네트워크를 공급한 기업에서 개인과 가정에서 꼭 해야 할 보안행동에 대한 기본 지침을 제품설명서에 포함시켜야 하지만, 어렵다면, 개인과 가정에서 현재 국내에서 무료서비스하고 있는 기관에 문의를 하거나 공개된 보안지침을 참고 또는 보안관련 메신저 www.certcc.or.kr의 시큐어메신저1.5를 설치 운영하는 것도 좋을 것 같다.

② 반드시 컴퓨터바이러스 백신을 설치하고 주기적으로 백신을 갱신하라. 그러나 개인용 컴퓨터 사용자들은 컴퓨터 바이러스 백신이 모든 것을 해결할 것으로 생각하는데, 절대로 맹신하지 말라. 요즈음 해킹•바이러스 등 사이버 공격은 백신을 무력화시키고 있으며, 이에 대한 백신갱신이 늦거나, 잘못 제작•배포되면 또 다른 피해를 야기 시킬 수 있다. 또한 근본적인 치료가 되지 않는 한계를 가지고 있다.

따라서 기본적으로 백신을 충분히 활용하면서 부족한 부분은 긴급 보급되는 임시 보안조치 정보와 운영체제 제공기업에서 주기적으로 배포하는 보안패치를 반드시 병행하여 운영하는 것이 좋을 것 같다.

③ 가지고 있는 정보에 대해 주기적으로 항상 백업하라. 그러나 개인이나 가정에서 가지고 있는 정보를 백업하기에는 어려움이 많다. 기업처럼 이중백업이나 백업장치로 하기는 불가능하기 때문에 개인이나 가정에서는 백업할 수 있는 정보를 아주 최소화하여 디스켓을 이용하거나, 요즈음 무료로 디스크 용량을 제공하는 업체들이 있으므로 이를 적극 활용하는 방법도 좋을 것 같다.

　

④ 무료로 주는 소프트웨어 이용을 최대한 자제하고, 가급적 정품 소프트웨어 사용을 생활화하라. 그러나 개인이나 가정에서 사용하는 모든 소프트웨어를 정품으로 구입하는 데에 비용 부담을 느낄 수 있으며, 특히 보안소프트웨어는 고가가 많으므로, 검증된 공개 Freeware나 Shareware 소스트웨어 이용도 생각해 볼 필요가 있다. 정품 소프트웨어보다 성능
이나 기능면에서 우수한 공개 보안 소프트웨어도 많으므로 이를 적극 이용하는 것도 좋을 것 같다.

⑤ 인터넷을 통한 정보서비스를 하는 기업들이 요즈음 회원제로 운영하고 있어, 이를 이용하는 개입가입자들의 개인정보가 오용되거나, 피해를 당할 수 있으므로, 항상 조심하라. 그러나 직접적인 피해를 느끼지 않으면, 나의 정보가 오용이나 남용되는지 확인하기에 상당히 어려운 점이 많다. 따라서 사소한 피해라도, 관련기관 http://www.cyberprivacy.or.kr에 신고하여 도움을 요청하라.

⑥ 인터넷이나 웹 메일을 사용할 때, 호기심을 유발하는 메일, 수신자가 불분명한 메일 등은 절대로 메일 열람을 하지 말고, 바로 영구•삭제하라. 그러나 수신된 메일에서 알고 있는 수신자에 대한 확인은 열어보지 않고는 완벽하게 잘못된 것이지 확인하기에는 부족한 점이 많다. 특히 최근의 광고성 메일이나 음란물 메일인 경우, 상당히 신빙성 있도록 만들어져 혼란스러울 수 있다. 따라서 이런 점을 감안하더라도 원칙은 반드시 준수하라. 메일로 인한 컴퓨터바이러스 피해가 가장 크고, 나 자신의 피해뿐만 아니라, 국가 기반시설까지 피해를 야기시킬 수 있는 원인을 제공하기 때문에 특히 주의를 요하는 부분이다.

⑦ 마지막으로 보안 정보를 제공하는 신뢰성 있는 기관 홈페이지 1개 이상을 반드시 숙지하고 있어라. 그러나 대부분의 보안정보 서비스를 제공하는 사이트의 특징은 개인이나 가정에서 알기 어려운 전문 보안용어로 되어 있는 정보를 제공하는 경우가 많다는 것이다. 물론 이 점에서는 관련 기관에서 관심을 가져야 할 부분이고, 신경을 써야 할 사항이다. 따라서 개인과 가정에서는 전문기관의 정보를 다 이해할 필요는 없고, 바이러스 예•경보 정보라도 반드시 알 수 있도록 해야 한다.
　

"千里之行始於足下"

한국의 일부 사람들은 한 걸음 한 걸음 어떤 목표를 달성해 가는 것보다 단번에 모든 것을 성취하려고 하는 나쁜 습성을 가지고 있다. 요즈음 로또복권으로 인생역전을 하자는 복권선전 문구에서도 단적으로 나타나고 있는데, 이는 알게 모르게 전 국민을 대상으로 사행심 조장과 열심하고 있는 사람들을 허탈하게 만들고 있다.

이러한 문제는 비단 특정 부분에만 있는 것이 아니라, 사회전반에 걸쳐 일어나고 있다는 사실이 심히 걱정이 앞선다. 특히 IT기술분야 중에서 보안분야는 더욱 더 심하지 않나 하는 생각이 든다.

보안 선진국에서는 수십 년 전부터 보안의 중요성을 인식하고 차근차근 준비를 하여 국제적인 경쟁력이 있는 제품을 공급하고 있는데 우리나라는 관련기업, 정부 그리고 이를 사용하는 사용자까지 모든 것을 순간적으로 급조하여 한번에 모든 보안문제를 해소하려고 하는 성급성 때문에 일을 망치는 경우가 많다..

정확한 문제가 무엇인지 제대로 파악하지도 않은 상태에서 “남들이 하니까”, “경쟁기업에서 하고 있으니까”, 우리도 해야 하지 하는 성급함으로 보안을 망치고 있다는 사실이다. 이는 보안을 하기 앞서 생각해야 할 부분을 모두 무시하거나, 우선순위가 무엇인지, 체계적인 보안대책도 없으면서, 단지 그때그때 책임만 면해 보자는 소 잃고 외양간 고치는 식의 보안을 하고 있다는 사실이다.

우리 속담에 “시작이 성공의 반이다” 말이라는 있다. 지금부터라도 다양하고 복잡한 IT환경에 맞도록 어려운 보안문제를 해결하기 위해서 “천리길도 한 걸음부터(千里之行始於足下)“ 라는 격언에 맞게 가장 기본적인 부분부터 차근차근 시작을 하는 것이 중요할 것이다.
　

“知彼知己 百戰百勝”

나는 한때 모 기관에 근무하면서 한 쪽 팔이 순간적으로 마비된 적이 있다. 가족에게까지 걱정할까봐 이야기도 못하고 혼자 한동안 병원에 다니면서 치료를 한 적이 있는데, 담당의사의 이야기로는 어느 한 순간에 증상이 나타난 것이 아니라 본인도 모르게 조금씩 증세가 찾아왔으며, 원인은 평소에 건강을 보살피지 않은 것이 문제와 과중한 업무에 따른 스트레스 등 복합적인 원인에 의한 것이라고 하여 그 회사를 떠나면서 휴식과 가벼운 운동을 통하여 다소나마 건강(?)을 찾은 적이 있다.

이것은 단순히 개인적인 문제이기 하지만, 우리들의 가정이나 직장생활에서 높은 비중과 영향을 주고 있는 컴퓨터 사용에서 발생되는 나타나는 보안문제의 해결 방법에도 똑같이 적용되는 것 같다. 우리가 알고 있는 고사성어에 “적을 알고 나를 알면 백전백승이다(知彼知己 百戰百勝)” 라는 말처럼 컴퓨터 사용에 따른 보안문제도 문제의 원인을 파악한 후, 나타난 문제에 대한 해결책을 적시적소에 적용한다면 “작은 구멍이 큰 물난리를 만든다는” 말처럼 피해를 확대시키지 않고, 안정적인 사용환경을 만들 수 있지 않을까 생각이 든다.
　

내 컴퓨터의 보안정도를 파악하자

먼저 내 컴퓨터의 보안정도를 파악하자. 이는 사용 용도가 무엇인지나 누가 사용하는지에 따라 어떤 부분을 보호해야 하는지가 결정된다. 그리고 나서 적절한 보안 조치를 취하면 된다. 물론 궁극적인 목표는 컴퓨터 바이러스와 해킹으로부터 피해가 발생되지 않도록 하여 안전한 작업을 할 수 있어야 한다.

그런데 무엇을 보호해야 할지는, 사용용도와 사용자가 누구인지에 따라 달라질 수 있다. 만약 미성년자가 사용한다면, 미성년자에게 유해한 정보 접근을 막는 보안 소프트웨어를 설치하여 유해한 컨텐츠 사용을 방지해야 한다.

사이버 금융 등 전자상거래를 목적으로 주로 사용한다면, 개인정보 보호와 거래내용에 대한 적절한 보안조치를 해야 할 것이다.

또한 전자메일을 통해 필요한 정보를 송수신한다면, E-mail에 대한 보안 보완작업을 해야하며, 모르는 사람이 보낸 메시지의 첨부파일은 절대로 열지 않고 바로 삭제해야 한다. 또한 아는 이름이라도 전달되어 온 첨부파일은 주의해야 하며, 첨부 파일을 열고자 할 경우 항상 컴퓨터 바이러스 백신으로 확인한 후 열어보아야 한다.

보안위험을 평가하는 방법은 여러 가지가 있지만 현재의 내 컴퓨터에 어떤 보안 문제가 있는지 먼저 확인하는 것이 중요하다.

미국의 MS사에서는 윈도우즈 운영체제의 보안문제점 및 보안패치 설치여부 등에 대한 기본적인 보안 분석도구로 “Microsoft Baseline Security Analyzer(MBSA)”를 무료로 제공하고 있는데, 이를 십분 활용하여 현재 내 컴퓨터의 보안현황을 파악하는 것이 중요하다.

Microsoft Baseline Security Analyzer는 윈도우즈 운영체제(Windows OS) 점검, IIS 점검, SQL 점검, 보안패치 설치 여부 점검, 비밀번호 점검 등을 하고, 35개의 세부 보안 점검을 제공하여 내 컴퓨터의 보안상황을 손쉽데 평가 및 파악할 수 있다. 그 외 MS사에 제공하는 다양한 보안도구 및 점검목록을 이용하여 내 컴퓨터의 보안문제를 파악할 수 있다.

　

내 컴퓨터에 컴퓨터바이러스 백신을 사용하자

하루에도 수 십개의 치명적인 컴퓨터바이러스가 만들어져 엄청난 피해를 야기 시키고 있는데, 내 컴퓨터를 지키기 위해서는 반드시 컴퓨터바이러스 백신을 설치, 운영해야 기본적인 보안문제로부터 해방될 수 있다. 그러나 무조건적으로 컴퓨터바이러스 백신을 맹신하면 곤란함으로 컴퓨터바이러스 백신 사용과 더불어 보안패치를 동시에 실행해야만 근본적으로 문제를 조기에 해결할 수 있다.

현재 한국정보보호진흥원의 해킹바이러스상담지원센터에서 제공하고 있는 컴퓨터바이러스 피해현황 통계를 살펴보면 재미있는 사실을 확인해 볼 수 있는데, 피해를 주고 있는 상위 10가지 컴퓨터바이러스가 항상 반복적으로 나타나고 있어, 조금만 관심을 가지고 집중적인 대응책을 가지며 매년 반복적으로 나타나는 피해를 최소화할 수 있다고 볼 수 있다.

  - 해킹바이러스상담지원센터 : http://www.certcc.or.kr,     http://www.cyber118.or.kr
  - 안철수 연구소 : http://info.ahnlab.com/download/
  - 하우리 : http://www.hauri.co.kr/down/
  - 시만텍코리아 : http://www.symantec.co.kr/region/kr/downloads/index.html
  - 트랜드마이크로 : http://www.trendmicro.co.kr/download/index.asp
　

내 컴퓨터에 최신 소프트웨어로 업데이트하자

최신 Windows 운영체제(XP, ME 등)에서는 자동 업테이트 기능을 제공하고 있어, 이전의 운영체제 업테이트에 따른 사용자의 부담감을 해소시켜 주고 있다.

이는 "패치"나 "서비스 팩" 이라고 알려져 있는 업데이트들은 내 컴퓨터와 개인 데이터를 보호해 주어, 불법 침입자로부터 악용될 수 있는 상황을 근본적으로 차단하거나 응용프로그램을 보호해 주는 핵심적인 조치임으로 최신 소프트웨어로 주기적으로 업테이트해야 한다.

MS의 보안패치 및 보안권고문 이용사이트
  - http://www.microsoft.com/korea/security/
  - http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/notify.asp

　

내 컴퓨터의 보안설정을 확인하자

내 컴퓨터에 대한 운영체제는 기본적인 보안수준으로 설정되어 있어, 사용환경이나 용도에서 따라 적절한 보안 수준으로 조정할 필요가 있다.
즉, 원하는 보안 수준을 개인 기호에 맞게 개인정보 및 보안설정을 변경할 수 있다. Internet Explorer의 도구메뉴에서 인터넷 옵션을 선택하며 원하는 보안수준을 정의 할 수 있다.

1) Internet Explorer 브라우저 설정 확인하기

  - Security(보안) 탭 설정 확인하기
  - Privacy 탭 설정 확인하기
  - Internet Explorer 5.X와 6.X에서 Content Advisor 활성화시키기

2) Outlook 설정 확인하기
3) 전자 메일 메시지의 개인 정보를 보호하려면 Microsoft Outlook에 암호화를 설정하기

　

내 컴퓨터의 일상적인 보안 유지관리를 수행하자

언제나 내 컴퓨터를 지키기 위한 작업은 일상적인 보안 유지관리가 무엇보다도 중요하다. 대부분 사람들은 한번 보안작업을 한 후에 이것으로 보안문제는 완전히 해결하겠지 하는 자만에 빠질 수 있다. 그러나 보안문제는 언제나 발생할 수 있기 때문에 주기적인 보안관리가 반드시 필요하다.

사용환경이나 정도에 따라서 달라지겠지만, 내 컴퓨터를 안전하게 지키기 위해서라도 보안관리의 습관을 가지는 것이 중요하다. 현재 국내에서도 매월 15일 보안점검의 날을 정하여 실행하고 있고, 미국의 경우도 “Cyber Security Day”를 정하여 민관이 공동으로 보안점검 실행과 10가지의 자기 보안 평가(Cyber Security Test)를 하고 있다.

개인별로 각자 일정한 날을 정하여 자신의 컴퓨터의 보안점검을 지금부터라도 한번 해 보는 습관을 가져, 나로 인한 보안문제가 주변으로 더 이상 확대되지 않도록 하는 마음가짐과 보안의 중요성을 인식할 필요가 절실히 요구된다. 보안전문가조차 좋은 습관을 기르기 위해 새로운 작업이 일상적인 작업이 될 때까지 스스로에게 상기시키고 있다는 사실이 상기할 필요가 있다.

“. . . . . 공허한메아리”

혹자는 인간은 망각의 동물이며, 망각을 해소하기 위해 반복적인 학습을 통하여 이를 극복한다고 한다. 특히 좋은 기억보다는 나쁜 기억을 오랫동안 기억한다는데...

그런데 금년 초에 그렇게 혹독하게 당한 웜바이러스의 피해(인터넷 대란)에 대한 우리들의 대응 자세가 점점 공허한 메아리처럼 느껴지는 이유가 무엇인지? 그저 일상의 일처럼 느껴지는 기분이 드는 이유는 무엇이지? 보안 분야에 오랫동안 일해 온 나부터 이런 느낌이 조금씩 느껴지는 상황이라면 제대로 알지 못하는 일반 사용자들의 느낌은 어떠한지 궁금해진다.

무엇인지 모르지만 분명히 우리들의 대응 자세의 문제가 있다는 이야기이다. 매년 반복되는 보안사고에 대한 한계인지, 아니면 대응체계의 문제인지, 직접 피해를 당한 사용자들의 안일한 대응 자세 때문인지, 문제 해결방법의 문제인지...

이번에도 블래스터 웜바이러스가 발생한지 10여일 만에 만여대의 컴퓨터가 피해를 당했다고 대응기관에서 공식 발표하고 있지만, 실상은 국내 모든 개인용 컴퓨터의 60 ~ 70%가 피해를 당했다고 해도 과언이 아닌가 생각이 든다. 도대체 무엇부터 잘못되었는지, 잘못되었다면 어디에서부터 문제를 해결해야 하는지 다시 한 번 고민하게 된다.

늦었다고 느낄때 시작해도 늦지 않다고 말하는 것처럼, 지금이라도 공허하게 느껴지는 보안사고에 대한 적절한 대응방법에 대해 생각해 볼 필요가 있다. 사실 피해 예측을 통한 신속한 조기대응 체계와 알기 쉬운 대응방법 전달체계를 강조하는 대응기관이나 인터넷 서비스업체(ISP) 등을 통한 문제 해결책도 중요하지만, 왠지 모르게 공허하게 느껴지는 대응 시스템을 믿는 것보다는 개인 각자가 내 컴퓨터를 지키는 자세가 무엇보다도 중요한 것 같다는 생각이 나를 비껴가는 것 같다.
　

“다시 한 번 생각해 보는 보안사고 대응 및 조치방법”

웜바이러스 등 보안문제가 발생하면 가장 먼저 생각해야 할 사항이 신속한 대응과 조치방법이다. 그러나 막상 문제가 발생하면 사용자 뿐만 아니라 조직들은 어떻게 해야하는지 우왕좌왕하는 경우가 대부분이고, 백신 업체나 대응기관을 바라보는 경우가 대부분일 것이다. 이제부터라도 지난 인터넷 대란의 속 아픈 기억을 되새기면서 긴급대응 및 조치방법에 대하여 생각해보자.

내 컴퓨터 보안문제 점검하기

지난호에서 언급한 바와 같이 MS사에서 제공하는 기본 보안 분석기(MBSA, Microsoft Baseline Security Analyzer)를 이용하여 내 컴퓨터의 현재 보안상태, 패치 상태 등을 점검해 볼 수 있다. Windows를 만든 MS사가 제공하는 보안도구임으로 어느 보안도구보다 신뢰성을 보장해 주기 때문에 안전한 운영체제를 유지해줄 수 있을 것 같다.

　

☞ MBSA 다운로드 사이트
    http://download.microsoft.com/download/8/e/e/8ee73487-4d36-4f7f-92f2-2bdc5c5385b3/mbsasetup.msi
　

자동갱신 설정 및 변경하기

바이러스 백신은 현재 치료 가능한 컴퓨터 바이러스만 치료하고 탐지할 뿐 근본적인 치료가 불가능하여 항상 재발 가능성을 가지고 있는 큰 단점을 가지고 있다. 그래서 보안 문제가 발생하면 백신 활용과 더불어 반드시 문제에 대한 보안패치를 해야 한다. 그러나 일반 사용자가 개별적으로 하나 하나 보안패치 사이트에 가서 필요한 보안패치 정보를 보고 패치를 하기에는어려움이 많다.

따라서 Windows 자체에서 제공하는 자동 갱신 기능을 활용하면, 이 문제를 어느 정도 해결할 수 있다. 특히 지난 8월에 발생한 블래스터 웜에 대한 취약점도 이미 7월에 MS사에서 필요한 보안패치를 권고한 바 있다.

　

그러나 사용자들이 이를 방관하고 넘어가고, 대응기관 또한 이에 대한 적절한 대응조치를 하지 못하여 문제의 심각성을 키우고 말았다. 따라서 사용자나 조직에서 보안문제 등 운영체제에 대한 문제점을 시기적절하게 자동 갱신할 수 있도록 조치하면 컴퓨터 바이러스 백신이 가지고 있는 대응의 한계를 극복하고 피해를 최소화할 수 있을 것으로 보인다.

　

내 컴퓨터 이상유무 분석하기

① 네트워크 상태를 확인하기
     - Local 시스템에서 열린 포트를 확인한 후 비정상적인 포트나 일반적인 접속이 아닌 접속자의 서비스 및 IP를 확인한다.

     ☞ [시작] →[실행] →[cmd] →netstat -na 로 네트워크 상태 확인

② 실행중인 프로세스 확인하기
     - 시스템 설치·운영시 불필요한 서비스는 미리 제거하고, 프로세스 중에서 의심가는 프로세스의 CPU 사용량과 메모리 사용량을 확인한다.

     ☞ [Ctrl+Alt+Del] →[작업관리자] →[프로세스]

③ 이벤트로그(뷰어) 분석하기
     - Windows 시스템은 기본적으로 시스템 로그, 보안 로그, 응용프로그램 로그를 제공하는데, 특히 보안 로그는 로컬 보안설정에서 감사정책을 설정한 로그가 남기 때문에 정기적인 점검이 필요하다.

     ☞ [시작] →[프로그램] →[관리도구(공용)] →[이벤트표시기(뷰어) ]

④ 사용자 계정과 그룹 점검하기
     - 불법적인 계정이나 일반사용자의 Administrators 그룹 권한여부 및 불법 그룹의 생성여부를 점검하고, guest 계정이 사용안함으로 되어있는지 점검한다.

     ☞ [시작] →[프로그램] →[관리도구] →[컴퓨터관리]

　

⑤ 시스템 부팅시 실행되는 프로그램 조사하기
     - win.ini, system.ini 파일에 백도어 관련 실행파일이 설정되어 있지 않은가 검사하거나, 부팅시에 자동으로 실행되게 설정하는 레지스트리를 점검한다.

⑥ 변경된 시스템 바이너리 파일을 점검하기
     - 이상 증상이 나타난 전후로 수정된 파일을 찾아 예전의 시스템의 원본 바이너리 정보와 비교해 본다.

     ☞ [탐색기] →[검색] →[날짜] →[수정된파일] →[기간설정]

⑦ 비인가된 공유 및 연결을 점검
     - 특정 바이러스나 침입자가 특정 폴더를 공유하여 외부에서 액세스하는 경우가 있으므로 주기적으로 점검한다.

     ☞ [시작] →[프로그램] →[관리도구] →[컴퓨터관리] →[공유폴더] →[공유]

     ☞ net share 명령어 점검: [시작] →[프로그램] →[관리도구] →[컴퓨터관리] →[공유폴더] →[세션]

     ☞ 불법접속 차단: [시작] →[프로그램] →[관리도구] →[컴퓨터관리] →[공유폴더] →[열린파일]

⑧ 실행중인 스케줄러를 점검하기
     ☞ [시작] →[설정] →[제어판] →[예약된작업]

⑨ 불법 프로세스를 점검하기
     ☞ [작업관리자] →[보기] →[열선택] →[사용자이름]
　

Windows 시스템 복구

컴퓨터 바이러스 및 해킹으로 인하여 시스템이 정상적으로 부팅되지 않을 경우가 발생하는경우가많다. 이 때 CD-ROM이나 부팅 디스크로 부팅한 후 시스템을 점검해야 한다.

① CD-ROM으로 부팅
     - CD-ROM 부팅을 위해서는 먼저 CMOS상에서 Boot-Sequence가 CD-ROM이 우선 실행되도록 설정해주어야 한다.

     ☞ 시스템 부팅시: CMOS 화면.‘BIOS FEATURES SETUP’→CD-ROM이 최우선 순위로 변경 및 저장

② 부팅 디스켓으로 부팅
     - 정상적으로 부팅이 되지 않는 경우 Windows 설치때 만든 부팅 디스켓을 이용하고, 만약 부팅 디스켓을 만들어두지 않았다면, Windows가 설치되어 있는 다른 컴퓨터에서 만들 수 있다.

③ 보호된 시스템 파일 검색 및 시스템 복원
     - 보호된 시스템 파일을 검색 및 검사하는 'sfc' 명령을 하거나 시스템 복원 모드를 통하여 문제가 생긴 이전으로 시스템을 되돌려 놓을 수 있다.

     ☞ 시스템복원: [시작] →[보조프로그램] →[시스템도구] →[시스템복원/백업]

     ※ Windows 2000 : 백업, Windows XP : 시스템복원
　

Windows 시스템 보안설정

① 적절한 사용자 계정 관리를 하자. 모든 사람들에게 계정을 주는 임시 Guest 계정 사용을 중지하고, 계정만료 기한을 주는 것이 불가능하여 크랙시도가 가능한 Administrator 계정이름을 변경하면서 불필요한 계정을 시스템에서 제거해야 한다.

　

② 시스템 패스워드를 다양하게 설정하고 보호하자. 컴퓨터 부팅시 CMOS 설정화면에서 시스템 패스워드를 설정하고, 컴퓨터 부팅된 후에는 시스템 화면을 보호하는 화면보호기 기능을 설정한다.

③ 시스템 파일에 대한 공유기능을 제한하자. 내 컴퓨터의 자원을 다른 사용자들과 공유하는 경우가 많은데, 이를 매개체로 바이러스 등이 전파되는 경우가 많으므로 공유기능을 제한해야 한다.

④ 컴퓨터 바이러스 백신 프로그램을 사용하자. 시스템에 반드시 설치하여 주기적으로 검사하고 항상 최신 버전으로 갱신해야 한다.

⑤ NTFS 파일 시스템 사용하자. FAT/FAT32 파일 시스템은 파일 수준의 보안을 지원하지 않으므로 NTFS를 이용하여 파일 시스템을 포맷해야 한다.

⑥ 불필요한 서비스 중지 및 포트를 차단하자. 시스템 설치시 기본으로 설치되는 여러 서비스들 중 사용하지 않는 불필요한 서비스를 제거해야 한다.

⑦ 정기적으로 데이터를 백업 및 관리하자. 문제 발생에 대비해 분리된 장소에 긴급복구 디스크를 준비하고, 실제 운영되고 있는 데이터와 같은 수준으로 관리해야 한다.

⑧ 각종 소프트웨어 원본 및 복사본을 관리하자. 소프트웨어가 손상될 경우를 대비해 원본파일의 복사본, 소프트웨어 시리얼번호(제품번호), 부팅디스켓(시동디스켓) 등을 별도로 보관·관리해야 한다.

알고 보면 쉬운 것을...

얼마 전 나는 모 기관의 직원 대상으로 "정보사회와 정보보호"라는 주제로 2시간 동안 두서 없이 떠든 적이 있는데, 자기가 사용하고 있는 개인 컴퓨터를 잘 지키는 것이 정보보호의 시작이라고 결론을 맺자, 맨 앞줄에 앉아 있는 한 분이 "저, 지금까지 무슨 말씀인지 대충은 알겠는데, 도대체 무엇을 어떻게 시작해야 하는지 모르겠는데요"라는 한 마디에 아직까지 보안에 대한 경험이나 지식이 부족한 점이 많은 나로서는 순간적으로 어떤 대답을 해야 할 지 몰라 "열심히 해야지요"라고 그 순간을 썰렁하게 모면한 적이 있다(순간 강의실은 웃음바다가 되었지만...).

지금까지 "내 컴퓨터는 내가 지킨다" 연재 코너를 통하여 많은 사람들이 어렵게만 생각하고 있는 정보보호를 나름대로 이해하기 쉽게 표현하려고 노력해 온 나로서는 그 당시의 갑작스러운 질문에 자신있게 "...이렇게 하면 됩니다"라고 답변하지 못한 것을 생각하면 쑥스럽게만 느껴진다.

이는 나를 포함한 자칭 보안전문가라고 하는 사람들이나 보안관련 전문기관에서 평소에 정보보호를 기술적인 면만 강조한 나머지 진정 일반 사용자들이 꼭 지켜야 할 사항들을 제대로 일깨워 주지 못한 책임이 크다고 생각한다.

보안문제가 발생할 때마다 천편일률적으로 기술적으로 그때그때 "어쩌고저쩌고..." 하는 바람에 간단한 문제도 복잡하게 하여 단순한 답을 원하는 일반 사용자들에게 헷갈리게 하는 경우가 많았고, 정보보호가 특정인과 특정기관들의 전유물인 것처럼, 일반 사용자들이 근접하기 어려운 분야인 것처럼 만든 결과가 아닌가 싶다.

그럼 일반 사용자들이 정보보호를 하는 것이 진짜 어려운 것인가?

다소 관점의 차이는 있겠지만 나는 절대로 아니라고 단언하고 싶다. 물론 보안문제를 정확하게 판단하고 시기적절한 대책을 제시하는 것은 전문적인 지식과 경험이 요구되지만, 일반 사용자들이 해야 할 정보보호 행동요령은 분명하고 아주 단순하며 무엇보다도 내 컴퓨터의 지킴이는 내 자신이기 때문에 내 컴퓨턴의 눈높이에서 알고 지켜야 할 정보보호는 분명히 존재한다.

그런데 이러한 단순한 지킴이 행동요령이 일반 사용자에게 전달되는 과정에서 이들의 눈높이를 생각하지 많고 전문가 입장으로 전달되어 보안문제가 발생할 때마다 우왕좌왕하게 만들어, 결국은 일반 사용자들이 정보보호를 접하기 어렵게 만드는 상황까지 몰고 가고 있어, 다음 사항을 내 컴퓨터를 보호하는 지킴이 행동요령으로 반드시 숙지하자.

① 나만의 비밀번호를 사용하고,
② 중요하다고 판단되는 데이터는 따로 보관하거나 백업하며,
③ 컴퓨터 바이러스를 퇴치할 수 있는 프로그램을 내 컴퓨터에 설치하여 사용하자.
④ 그리고 내 컴퓨터를 사용하지 않을 때에는 반드시 인터넷과 전원을 차단시키고,
⑤ 이상하다 싶은 e-mail은 절대로 열어보지 않으며,
⑥ 정기적으로 보안패치를 하여 문제의 근원을 원천적으로 봉쇄하자.

그러나 정보보호 행동요령을 잘 지키는 자세도 중요하지만, 이 자세를 지키기 위한 과정이 필요하다. 그것은 바로 "정보윤리"이다.

정보윤리가 로또복권의 당첨 행운처럼 문제 많고 탈도 많은 보안문제를 일거에 해결할 수 있는 것도 아니지만, 올바른 정보윤리를 차근차근 실천한다면 멀지 않은 장래에 우리 주변에서 보안문제라는 말조차 사라질 것으로 생각한다.

올바른 정보윤리가 정보보호의 첫걸음이다

정보윤리가 정보보호의 시작이라는 말에는 조금 확대하여 해석하는 부분도 없지 않겠지만, 정보윤리의 파괴가 정보보호에 얼마나 큰 영향을 미치는지 그리고 얼마나 심각한지 내가 알고 있는 사례를 하나 소개하고자 한다.

몇 년 전, 모 기관에서 침해사고 대응업무를 할 때 여러 측면에서 업무에 도움을 준 컴퓨터 범죄 수사관에게 황당한 이야기를 들은 적이 있었다.

어떤 학생이 국내 인터넷서비스 제공기업(ISP, Internet Service Provider)의 고객정보를 파괴한 컴퓨터 범죄를 저질러 수사관이 학생의 가정을 방문하였는데, 마침 해당 학생이 없고 학생 어머님만 있어, 아들의 컴퓨터 범죄사실을 이야기하자, 그 어머니는 "그럼 우리 아들은 이제 대학도 그냥 들어가고 좋은 회사에서 스카웃 제의가 들어오겠네"라고 말해 당시 수사관들을 어리둥절하게 만들었다는 이야기를 들은 적이 있다.

황당한 이야기라고 생각할 수 있지만, 심각한 정보윤리의 파괴가 정보보호의 파괴로 이어지고 있는 어두운 한 단면을 보여주는 사례가 아닌가 생각이 든다.

말길을 알아듣기 시작하는 어린이에게 부모님들이나 사회에서는 사회적 윤리규범과 도덕적인 이야기를 귀에 딱지가 앉도록 하고 있지만, 정보화에 깊숙히 들어와 있는 우리 청소년에게 얼마나 정보윤리에 대하여 이야기를 하고 있는지 반성을 해야 한다.

아마도 겨우 하는 말이 "이 놈이 또 전자오락해! 이번에 성적 떨어지면 알아서 해" 정도의 이야기만 하고 있을 것이다. 현실세계의 도덕적 윤리규범이나 가상세계에서의 윤리규범은 정도의 차이는 있겠지만 다른 사람, 사회 그리고 국가들에게 피해를 주지 말아야 하는 측면에서 분명히 같다고 생각한다.

개인과 가정에서 시작하는 정보윤리가 바로 작은 정보보호의 시작이며, "내 컴퓨터는 내가 지키는 첫 걸음이라고 할 수 있다. 만약 사회의 기쁨인 가정에서 제대로 된 정보윤리를 일깨워 주지 않는다면, 정보화는 한 순간에 무너질 것이며, 사이버 범죄는 줄어들지 않을 것이다. 그러므로 오늘부터라도 가정에서 올바른 정보윤리의 자리매김을 책임진다면 반드시 정보보호는 자연스럽게 생활 속에서 이루어질 것으로 본다.
　

연재를 마무리하면서

세상은 바뀌고 있다. 사회적 생활패턴이나 의식 자체도 변화하고 있다. 특히 최근에는 정보화 사회의 새로운 패러다임인 유비퀴터스 사회가 멀지 않은 미래에 도래할 것이며, 이 속에서 우리들은 싫지 않은 새오할을 영위할 것이다.

거미줄보다 더 복잡하게 엉켜져 있는 네트워크 환경에서 지금도 생활의 밑부분으로 되어 있는 컴퓨터조차 사용한다는 인식조차 하지 않으면서, 어떤 장소에서나 우리들이 원하는 것을 신속정확하게 서비스 받을 수 있는 그런 사회가 눈 앞에 다가와 있다.

그런데 우리들은 아직도 웜 바이러스 하나 때문에 전 세계가 난리가 난 것처럼 헤매고 있고, 결국은 우리들이 만든 문제 때문에 하지 않아도 될 고생과 노력을 반복하고 있는 것이다.

다가오는 유비퀴터스 컴퓨팅 사회의 편리함을 공유하기 위해서락도 우리 가정 내에서 정보윤리의 중요성과 당위성을 이야기하고 실천한다면 우리들의 정보윤리는 바로 설 것이며, 자연스럽게 정보보호는 해결될 것으로 감히 이야기하고 싶다.

아무리 어렵운 보안문제도 기본만 지켜준다면 그리고 정보윤리만 지켜준다면 정보보호는 단순하며 간단하다. 내 컴퓨터의 지킴이는 결국 나 자신의 올바른 정보윤리로부터 시작되는 것이며, 특히 새로운 정보화 사회의 주역이자 수혜자인 어린 청소년에게 우선적으로 가정에서부터 교육되어야 한다. 2003년 한 해를 마무리하는 시점에서 내년부터는 정보통신 대국답게 인터넷 대란과 같은 불미스러운 일이 발생되지 않도록 지금부터 준비하고 시작하자.

" 내 컴퓨터의 지킴이는 나 자신이라는 사실도 잊지 말고..."
　

[출처] 정보보호뉴스 (발행처 : 한국정보보호진흥원)
[저자] 박정현, 전 KISA 센터장