이달의 핫 이슈

H
A
C
K
E
R
S

N
E
W
S

H
A
C
K
E
R
S

N
E
W
S

H
A
C
K
E
R
S

N
E
W
S

H
A
C
K
E
R
S

N
E
W
S

Jan 2005

최근 약 4,000개 변조, php 기반의 게시판 업그레이드 필요

정보통신부와 한국정보보호진흥원(KISA)은 국내 홈페이지가 지속적으로 대량 변조됨에 따라 1월 7일자로 인터넷 침해사고 '주의경보'를 발령하면서 웹서버 관리자 및 홈페이지 운영자에게 관련 프로그램의 신속한 업그레이드를 권고했다.

'주의경보'는 현행 인터넷침해사고 대응 예·경보 4단계(심각, 경계, 주의, 관심)중 3번째로 심각한 상황으로, 민간분야의 경우 2004년에 발령된 적이 없을 정도다.

홈페이지 변조는 주로 취약한 개인이나 중소기업 홈페이지를 대상으로 지난해 12월 29일부터 1월 6일까지 약 4,000건(338개 서버), 하루 평균 430건의 피해가 발생한 것으로 조사됐다.

이에, 정통부와 KISA는 php 사용 게시판(제로보드, 그누보드, phpBB 등)을 이용한 웹변조 피해 방지를 위해 지난 12월 22일 예보를 발령하고, 12월 31일, 1월 5일 웹서버 관리자와 홈페이지 운영자에게 관련 프로그램 업데이트를 권고한 바 있다.

또한, 정통부와 KISA는 인터넷 모니터링을 강화하면서 변조 홈페이지 분석과 기술지원을 실시하고, 웹호스팅 업체에 전화, 메일 등을 통해 프로그램의 업데이트와 홈페이지 관리자에 대한 대응조치 안내를 요청하고 있다.

한편, 이처럼 단기간에 많은 피해가 발생하고 있는 것은 피해 홈페이지들이 동일한 구성 및 프로그램을 활용해 내용만 다르게 구성하는 가상 호스팅(virtual hosting) 홈페이지를 많이 운영하기 때문으로 분석됐다.

해커그룹은 웹서버 관리자들이 홈페이지 보안을 위한 필수 설정사항인 웹 주소를 통한 파일열기 금지설정(allow_url_fopen = Off)을 하지 않고 있다는 것을 이용, 관리자 권한 획득 후 대량 웹변조 피해를 발생시켰다.

홈페이지 변조를 방지하려면 웹서버 관리자 및 홈페이지 운영자는 웹서버 및 게시판 구동 프로그램을 최신버전으로 업그레이드하고 환경설정 보안을 강화하여야 한다. 또한 침해 사고를 당한 서버들은 재발 방지를 위해 공격자가 설치해 놓은 백도어를 제거하고 시스템 보안점검을 반드시 실시해야 한다.

개인 인터넷 사용자라면 위에서 언급된 홈페이지 변조로 인한 직접적 피해는 발생하지 않는다. 다만, 일부 홈페이지 접속이 되지 않는 경우가 발생할 수 있는데, 이를 발견할 경우 각 사이트 운영자 또는 인터넷침해사고대응지원센터(02-118)로 신고해야 한다. 홈페이지 대량변조 사태 관련 참고할 사이트는 아래와 같다.

- 웹변조 방지를 위한 조치사항 (KrCERT 홈페이지 참조 : www.krcert.or.kr)

- PHP 최신 프로그램(PHP 4.3.10 및 PHP 5.0.3) 업그레이드 (www.php.net/downloads.php)

- php.ini 환경설정 파일 내용을 다음과 같이 수정 : allow_url_fopen의 값을 'on'에서 'off'로 수정

- 제로보드 최신버전(4.1 pl5) 업그레이드 (www.nzeo.com/bbs/zboard.php?id=main_notice&no=176)

- 그누보드 최신버전(3.41) 업그레이드
(sir.co.kr/?doc=bbs/gnuboard.php&bo_table=pds&page=1&wr_id=1910)

- phpBB 최신버전(2.0.11) 업그레이드 (www.phpbb.com/downloads.php)

- KorWeblog 취약점 해결방안 : 설치완료 후 불필요한 설치파일 삭제 (kldp.net/tracker/index.php?func=detail&aid=300654&group_id=13&atid=300013)

- 태크노트 취약점 해결방안 : Lib-5.cgi 및 print.cgi에 소스 수정 (www.technote.co.kr/cgi-sys/cgiwrap/cgitour/techtop/technote2/read.cgi?board=notice)

<출처 : ZDNet Korea>

　

1-2. SW개발, 기능보다 '보안'이다 ‥ 웹해킹 급증세

지난해 12월,국내 모 대학의 홈페이지가 전혀 엉뚱한 페이지로 바뀌어 버린 일이 발생했다.

웹사이트의 관리 권한이 탈취돼 일어난 것이다.

이 같은 경우는 이라크전이 시작될 당시 미국 정부기관의 홈페이지에서도 많이 발생했다.

이보다 앞서 지난해 9월엔 해커 두 명이 대형 게임포털 A사를 해킹해 1천6백47억 마일리지 포인트를 불법으로 충전한 후 중개상을 통해 처분,폭리를 취한 사건이 발생했다.

이들은 A사의 "음양오행연인공략법" 서비스 이용대금 결제화면에서 HTML 소스파일의 내용을 변경하면 마일리지 충전이 되는 취약점을 이용했다.

관리가 느슨한 추석 연휴인 9월 24일부터 27일까지 총 2백27회에 걸쳐 마일리지포인트를 불법으로 충전한 후 사이버머니 도매상에게 모두 처분했다.

검색 페이지를 통해 구청 홈페이지에서 개인 정보를 빼냈던 지난해 7월의 사례도 모두 웹 해킹의 사례에 해당된다.

이같은 웹해킹 사례는 최근 급증세를 보이고 있다.

웹 해킹이 부쩍 늘어난 것은 기존 방화벽으로 해결되지 않기 때문이다.

방화벽의 경우 80번 포트와 같은 정해진 포트로 들어오는 트래픽은 모두 합법적이라고 판단하기 때문에 악의적 침투를 막지 못한다.

개발자들이 기능 구현에만 중심을 두고 보안을 고려하지 않은 채 프로그래밍을 하는 것도 하나의 이유다.

실제 보안 마인드와 노하우를 가진 전문 개발 인력이 부족한 것이 현실이다.

개발 소스에 보안 기능을 적용하거나 수정하려면 많은 개발 비용과 인력이 필요하기 때문에 웹 보안 장비를 사용하는 것이 차선책이다.

개인의 중요 정보노출이 큰 웹페이지를 운용하는 담당자는 웹 보안 장비를 사용하는 게 좋다.

관련 제품에는 안철수연구소가 공급하는 미국의 넷컨티넘사의 "NC-1000"과 한국후지쯔가 공급하는 미국 생텀사의 "앱쉴드", STG시큐리티가 공급하는 이스라엘카바도사의 "인터두" 등이 대표적이다.

개개인의 주의도 필수적이다.

자기 집 문단속의 책임은 각 거주자에게 있듯이 개인 정보 역시 당사자들의 관리가 가장 기본적인 사항이다.

무분별하게 아무 사이트에서나 회원 가입을 하거나 경품 이벤트 메일을 받았을 때 아무 생각 없이 개인 정보를 입력하면 내 정보가 함부로 유통될 가능성이 크기 때문이다.

　

1-3. 인터넷전화 보안장치 `허술` 도·감청 해킹에 무방비 노출

인터넷전화 서비스가 올해 본격적으로 활성화될 것으로 예상되면서, 도�감청이나 사이버공격에 사전 대응하는 보안책을 마련해야 한다는 지적이 제기되고 있다.

4일 관련업계에 따르면 KT�하나로텔레콤 등 기간통신사업자를 비롯해 별정통신사업자들은 현재 일반 소비자와 기업, 공공기관에 제공하고 있는 인터넷전화 서비스에 별도의 보안대책을 마련하지 않고 있어 도�감청이나 외부 해킹에 무방비로 노출돼 있는 것으로 알려졌다.

아직은 국내 인터넷전화 사용자수가 20만명을 갓 넘는 수준에 머물고 있고, KT 등 기간통신사업자들이 본격적인 인터넷전화 서비스에 나서지 않고 있어 큰 보안사고가 일어나지 않고 있지만, 서비스가 본격화되면 보안문제는 인터넷전화 활성화의 발목을 잡을 수 있다는 게 전문가들의 지적이다.

업계에 따르면 최근 공기관과 기업들이 통신비용절감 차원에서 인터넷전화 시스템을 도입하면서도 보안 솔루션을 기본 탑재할 것을 요구하는 사례가 부쩍 늘고 있는데, 인터넷전화는 기존 PSTN망과 달리 IP망을 통해 서비스되기 때문에 별도의 보안 기능이 없다면 해킹과 도�감청이 쉬워 기밀정보가 유출될 우려가 높기 때문이다.

인터넷전화의 기간통신역무화와 070 제도화에 따라 올해 일반인 대상의 인터넷전화 서비스가 부쩍 늘어날 경우, 통신보안 대책이 없다면 사생활침해 등 개인정보보호에 심각한 구멍이 뚫릴 것으로 우려된다.

전문가들은 인터넷전화 시스템의 해킹을 막기 위해서는 기존 방화벽�침입방지시스템(IPS) 등 네트워크 보안장비를 비롯해 IP―사설교환기(PBX) 서버에 사용자인증 솔루션 등 별도의 보안솔루션을 적용하는 것이 바람직하다고 충고한다. 또 도�감청을 막기 위해서는 인터넷전화의 음성과 데이터 패킷을 암호화하는 암호화 솔루션을 적용해야 하며, 통신사업자들과 인터넷전화 장비 개발업체들은 소프트스위치�게이트웨이 등 인터넷전화 장비에 반드시 패킷 암�복호화 기능을 탑재해야 한다고 주장했다.

업계에 따르면 IP폰�게이트웨이�IP―PBX 등 인터넷전화 장비를 개발하는 국내외 업체들 가운데 일부 업체만이 암호화나 인증 등의 보안기능을 적용하고 있으며, 대부분 보안기능을 탑재하지 않고 있는 것으로 알려졌다.

업계 관계자는 "인터넷전화의 보안사고는 앞으로 뜨거운 감자로 떠오를 가능성이 높다"며 "사전에 예방하지 않으면 더 큰 화를 불러올 수 있기 때문에 서둘러 보안대책 마련에 나서야 한다"고 말했다.

<출처 : 디지털타임스>

　

1-4. ‘애물단지’ 검색로봇…개인-사업체서버 마비시켜

검색로봇에 공격당한 기록
벤처기업 ‘S’사는 최근 유명 포털사이트의 검색 로봇이 프로그램 오류를 일으켜 자사의 시스템을 마비시켰다고 주장했다. 사진은 검색로봇이 초당 수차례씩 시스템에 접속한 기록. 짧은 시간에 접속 횟수가 많아지면 과부하가 생겨 시스템 성능이 떨어지게 된다.

일부 인터넷 검색 프로그램이 운영 회사의 의도와는 무관하게 불특정 개인이나 기업 서비스에 피해를 주는 등 ‘애물단지’로 전락하고 있다.

인터넷 쇼핑몰 등 소규모 사업체에 인터넷 서비스를 제공하는 벤처기업 S사(社)는 지난해 12월 1일 서비스 시스템이 마비됐다.

시스템에 과부하가 걸려 S사 시스템과 고객 업체 모두 인터넷 서비스가 정지된 것. 범인은 국내 유명 포털사이트가 새로 개발한 검색 프로그램이었다.

프로그램 개발 과정에서의 실수로 포털사이트 등에서 원하는 정보를 찾도록 도와주는 검색 프로그램인 ‘검색 로봇’이 S사 서버에 초당 수십 회씩 반복 접속하면서 시스템에 과부하가 걸린 것이다.

S사 측은 이런 일 때문에 고객이 떠나 상당한 피해를 보았다며 포털 운영회사 측을 상대로 형사 소송을 냈다.

포털 회사 측은 이에 대해 “검색 로봇 개발 과정에서 일상적으로 생기는 일”이라며 “피해가 증명된다면 보상하겠다”고 말했다. 하지만 전문가들의 반응은 이와 다르다.

NHN 검색기획팀의 이재광 대리는 “프로그램 작성 과정 등에서 실수가 발생할 경우 작은 쇼핑몰이나 개인 서버를 마비시킬 수 있다”고 말했다.

애물단지 검색 로봇 때문에 소규모 사업에 인터넷을 사용하는 사람들은 무슨 일인지도 모르고 서비스를 이용하지 못하는 경우가 있다는 것이다.

야후의 정수동 검색팀 차장은 “검색 로봇을 작동시킬 경우 소규모 인터넷 업체는 막대한 피해를 볼 수 있다”며 “외국 유명 검색 업체들은 검색 로봇을 테스트하기 전 타인에게 피해를 주지 않도록 충분한 대비책을 마련한다”고 설명했다.

외국 유명 검색 업체들은 검색 로봇을 시험할 때 다른 사람이나 업체에 피해를 주는 일이 일어나지 않도록 대책을 세워둔다는 것이 전문가들의 의견이다.

또 검색 로봇 운영에서 문제가 나타나면 곧바로 개발 업체로 연락이 가도록 조치를 취한다는 것이다.

일부 전문가들은 이번 일을 두고 “사람들이 통행하는 대로변에서 폭탄 실험을 하는 것과 비슷하다”고 말했다. 또 “검색 사이트 업체가 피해 구제를 즉시 요청받을 수 있는 연락처를 표시하고 보상 범위에 대한 법 규정도 마련해야 한다”고 지적했다.
　

Jan 2005

2-1. [홍윤선의 인터넷 김밥] 디지털 인적기록 유출의 유일한 진실

이번 사태는 책임 소재의 모호함, 동기와 결과의 불확정성, 동전의 양면과 같은 보안과 프라이버시의 관계, 디지털로 기록된 인적 정보의 위험성 등 디지털 세계의 특징이 조금씩 가미된 컨버전스형 사건이다. - 본문 중에서 -

지난 주 한국 사회는 벌집 쑤셔놓은 듯 요란했다. 모두가 알다시피, 한 리서치 회사에서 연예인에 대해 작성한 사생활에 대한 미확인 소문까지 포함된 조사 자료가 인터넷에 유출되면서 시작된 일이었다. 자료 유출의 동기는 아직 분명치 않지만, 그 여파는 진도9의 강진으로 인한 쓰나미 이상인 듯 싶다.

연예인들의 억울함과 분노가 온갖 포탈사이트를 가득 채웠고, 사법적인 절차까지 촉발시켰다. 예기치 못한 사태에 당황한 관련 회사는 조심스런 해명과 사과로 사태를 타진하며, 상황을 어떻게 마무리할지 애태우고 있다. 아직까지는 모두들 감정이 앞서 진지한 논의는 힘들어 보인다. "프라이버시 침해"에 관한 이야기도 나왔으나 이번 사태에 어떻게 적용해야 하는지에 대해서는 뚜렷한 언급이 없다. 소송을 하겠다고 밝혔으나, 소송의 진행 방향에 대한 예측이나 결말에 대해선 아무도 쉽게 말하고 있지 못하다.

과거의 경험 : 동기와 결과의 불확정성

과거에 우리는 이와 유사한 경험이 있다. 어느 한 네티즌이 장난삼아 미스코리아의 수영복 사진을 마치 투시된 사진인 것처럼 위조하여 인터넷에서 친구들과 돌려보다가, 반나절 만에 지구상에 퍼지고 급기야는 당일 저녁 9시 뉴스소재로 등장한 적이 있었다. 이 네티즌은 경찰에 입건되었으나 동기와 결과가 너무도 엉뚱한 사건이기에 법 적용의 골머리를 앓았다.

그 후에도 일부 연예인의 동영상이 인터넷에 유포되는 사건이 몇 차례 있었고, 이 때마다 희생의 당사자들은 항상 더 큰 피해를 감수해야 했으나, 정작 사적 정보를 유출시킨 장본인은 사건의 결과와는 걸맞지 않은 처벌로 마무리되었다. 사실 이번 사건도 피해를 당한 당사자들의 피해는 광범위하고 지속적인 반면, 어떠한 사법적 결정이 내려지던 간에 원인 제공자에 대한 처벌은 과거의 경험이 반복될 것으로 보인다. 이번 사건이 이전의 사건과 다른 점은 두 가지이다. 하나는 피해자가 다수인 관계로 결집력이 발휘될 수 있다는 점이고, 또 하나는 직•간접으로 큰 기업이 관련되어 있다는 점이다. 그러나 본질은 크게 다르지 않다.

법 적용의 혼란

이번 사건의 초반 기사를 보니, 자료 유출의 동기가 리서치 회사의 직원이 가까운 친구에게 재미 삼아 보여준 것이 빌미가 되었다고 한다. 물론 더 정확한 자료 유출 경위를 조사하고 있다고 하지만 앞의 기사대로라면 법 적용에 있어서 곤란을 겪을 가능성이 크다. 광고 대행사로서 광고 모델 후보자들인 연예인들에 대한 자료 수집은 일상적 사업 행위로 보더라도 별 문제가 없어 보인다. 루머나 사생활 자료를 수집하는 것이 프라이버시 침해에 해당하는가의 여부를 떠나, 한 연예인이 광고 모델로서의 상품성을 평가 받는다는 것은 연기력이나 가창력이라는 주특기의 영역을 넘어선 포괄적인 의미를 지니고 있음을 우리 모두 다 알고 있다.

따라서 어지간한 광고 대행사라면 효과적인 의사 결정을 위해 대체적으로 이와 유사한 체계적•비체계적 방법을 이용하고 있다고 볼 수 있다. 이렇다면 문제의 핵심은 유출 경위에 있는데, 그 원인이 단순히 '재미 삼아 보여준 것' 이라면 그야말로 환장할 노릇이다. 살인을 하더라도 살해 동기가 전혀 없었음이 인정된다면 "과실치사" 라는 훨씬 가벼운 처벌 기준을 적용한다. 그렇다면 이 경우 처벌의 기준은 무엇인가? 동기인가? 결과인가?

보안의 책임 소재는?

일부에선 이번 사태의 원인을 기업에 집중하고 있다. 기업이 연예인을 상품과 같이 취급한 것은 인격을 무시한 것이라는 견해도 있지만 조금 더 자신의 직업 세계에 냉정해진다면 이 부분은 크게 문제되지 않을 듯 싶다. 또 다른 하나는 기업이 보안 관리에 허술했다는 지적이다. 이 지적은 일리가 있고 기업 입장에선 분명한 해명이 필요한 부분이다.

주로 이러한 조사 자료는 기업 내부 인트라넷에 한해 열람이 허용된다. 조금 더 보안 의식이 확실한 조직이라면 주요 문서에 대한 열람 기준을 적용하여 내부자에 대해서도 계층을 두어 관리한다. 그러나 지금까지의 경위롤 보건대, 내부 자료인 것은 확실했으나 철저한 통제는 이루어지지 않은 것으로 보인다. 이 점에 대해 분명히 기업의 책임이 있다. 그런데 이 문제가 그리 쉬운게 아니다. 이를 철저하게 시행하기 위해선 직원들에 대한 프라이버시 침해 문제와 또 다시 충돌할 수 있다.

e메일을 비롯한 내부 자료의 외부 전송을 철저하게 모니터링하고 감시해야 하는 것이다. 아이러니하게 무엇인가를 확실하게 보호하기 위해서는 이를 유출할 가능성이 있는 사람들의 프라이버시를 침해할 수도 있는 위험이 상존한다는 점이다. 이러한 것에 대한 기준은 아직 명확하지 않다.

프라이버시는 어디까지?

많은 사람들은 이번 사태를 두고 프라이버시 권리를 높이는 계기로 삼아야 한다고 목소리를 높인다. 사이버 공간의 법 이론 전문가이고 스탠포드 대학 교수인 로렌스 레식은 프라이버시에 관한 개념을 세 가지로 정의했다. 첫째는 부담을 최소화하는 프라이버시이다. 개개인이 방해 받지 않고 자신의 삶의 평화를 유지할 수 있는 수준을 의미한다. 이를테면 주거 침입, 소음 등과 같은 것들이다.

두 번째는 실질로서의 프라이버시이다. 신용카드 사용 기록이나 전화 기록, 현금 인출기 위의 감시 카메라 같은 것들이다. 나의 프라이버시가 기록되지만 우리 스스로 인정하는 부류에 해당한다. 마지막으로 존엄성으로서의 프라이버시이다. 범죄 사건 용의자가 무죄 사실이 입증될 때까지 제한적으로 프라이버시를 침해 당하는 경우를 들 수 있다. 이번 사태는 애당초 실질로서의 프라이버시에서 해당했으나 사적 정보가 누출되며 개인의 존엄성에 피해를 끼친 형태이다. 또다시 '누출'이 핵심이 되었다.

인적 정보와 디지털 문서

사적 정보 유출 문제는 디지털 사회의 가장 큰 골치덩이에 해당한다. 문제는 이러한 유출의 동기가 대부분 의도적이라기 보다는 사소한 부주의나 장난스러운 경우라는 점이다. 과연 누구를 탓해야 할까? 디지털 문서를 만든 장본인? 보안 관리에 소홀한 기업? 남의 사적 정보를 재미 삼아 보여준 직원? 더 나아가 소식을 듣자마자 눈이 벌겋게 달아올라 자료를 찾아 퍼뜨린 네티즌? 모두가 책임이 있지만, 아마도 자신만의 문제는 아니라고 강력하게 항변할 터이다. 어차피 어느 한 쪽을 무리하게 지목할 수 없는 상황이니 만큼 모두가 위로 삼을 만한 범인을 하나 지목해 보자. 바로 "디지털"이란 놈을 집요하게 추궁하는것이 더 나을 듯 싶다.

몇 년전 교육정보화(NEIS)사업 문제로 나라가 시끄러웠던 때를 기억하시는가? 프라이버시 문제가 꽤 크게 부각되었었다. 교육정보화 사업의 일환으로 학생들의 신상 명세까지 네트워크를 통해 흐를 수 있도록 한 것이 논란의 핵심이었다. 문제가 심각하게 흐르자 사업이 중단되고, 문제점을 보완하는 방향으로 정리가 되었다. 이때도 문제는 "디지털기록" 이었다. 자료의 제출이 문제가 아니라 학생 개인의 신상 명세와 같은 민감한 사적 내용이 무한 복제 가능한 전자 문서로 네트워크에 흐른 다는 위험성을 지적했다. 이번 사태도 디지털로 작성된 인적 정보가 네트워크로 흘렀다.

나는 개인적으로 인적 정보를 디지털 기록으로 남기는 것에 대해 큰 우려를 갖고 있다. 따라서 학생기록부와 같은 인적 정보는 수기 식으로 남겨놓는 것이 가장 좋다고 생각한다. 효율이 존엄성을 대신할 수는 없기 때문이다. 기업에서의 인사 기록부, 취업시의 채용 서류, 상담 기록, 의료기록 등은 디지털 시대의 시한폭탄과 같다. 사적 정보 보호에 대한 디지털 시대의 윤리 기준 하나를 더 추가한다면, 유출될 경우 개인의 존엄성과 관련된 민감한 사적 정보는 디지털 문서를 의도적으로 피하라고 권고하고 싶다.

사태 되돌아보기

이번 사태는 책임 소재의 모호함, 동기와 결과의 불확정성, 동전의 양면과 같은 보안과 프라이버시의 관계, 디지털로 기록된 인적 정보의 위험성 등 디지털 세계의 특징이 조금씩 가미된 컨버전스형 사건이다. 법조계는 사건의 '동기'와 ‘결과'의 괴리를 어떻게 해석하여 사건에 적용할지 고민해야 할 것이고, 기업은 프라이버시와 보안책임 사이에서 동전을 세워야 한다는 현실을 더 이상 외면하기 어려울 것이다. 그러나 무엇보다도 '동기'와 '결과'의 상관관계가 불분명한 사이버 세계에 대한 경각심과 함께 인적 정보에 대한 디지털 기록의 위험성이 공개적으로 부각되었으면 하는 바람이다.

이 사건에 대해서 가장 확실한 사실은, 어떠한 노력과 시도에도 불구하고 피해자들의 상처와 손실은 결코 축소되거나 사라지지 않는다는 점이다. 이 것이 디지털 기록 유출 사고의 유일한 진실이다.

2-2. [DT 시론] `X-파일`과 정보리터러시

민경배 경희사이버대 NGO학과 교수

연예인 X-파일을 봤다. 놀랍고 충격적인 것은 그 문서에 담겨진 내용이 아니었다. 기껏해야 뒷골목 선술집의 술안주감으로 흔하게 떠돌던 연예계 뜬소문들을 집대성해 놓은 것에 불과했기 때문이다. 정작 놀랍고 충격적인 것은 99명씩이나 되는 인기 연예인들에게 치명적 피해를 안겨줄 수 있는 이 위험천만한 파일을 인터넷에서 이토록 손쉽게 구할 수 있었다는 사실이다. 굳이 P2P 프로그램으로 애써 찾는 수고조차 필요 없었다. 검색한 기사 밑에 딸린 리플이나 우연찮게 들어간 개인 블로그 등 인터넷 도처에 이 파일을 다운로드 받을 수 있는 주소가 널려 있었다. 늘상 접속하고 있는 메신저에 등록된 지인들도 마치 무슨 선물이나 주는 듯 앞다투어 파일을 전송해 주는 과잉친절(?)을 베풀었다. 곳곳에서 다운로드 받아가라고 불쑥불쑥 고개를 내미는 이 파일을 애써 무시하기란 어지간한 금욕주의자가 아니고서는 힘들 것 같다. 물론 네티즌들의 윤리 의식이 필요한 것은 사실이다. 하지만 모든 네티즌들에게 윤리 의식으로 똘똘 뭉친 금욕주의자가 되어 줄 것을 요구한다는 것은 현실적으로 무리가 아닐까 싶다.

애초에 만들어지지 말았어야 할 파일이었다. 당사자들도 모르게 은밀히 개인정보를 수집하여 파일로 만든 행위부터가 이미 명백한 프라이버시 침해이며 심각한 범죄행위였다. 설령 만들어졌다해도 결코 열리지 말았어야 할 판도라의 상자였다. 정보 보안은 해킹이나 바이러스 같은 외부로부터의 침입을 막는 것이 전부가 아니다. 결국 빗장은 내부자의 손에 의해서 열렸다. 외부의 적을 막기 위해 아무리 시스템 보안을 강화해도 집안 식구 하나 제대로 단속하지 못하면 말짱 허사라는 평범한 교훈을 새삼 깨닫게 한다. 이런 의미에서 이번 사태의 1차적 책임은 연예인들의 프라이버시를 침해한 제일기획과와 정보 보안을 소홀히 한 동서리서치에 물어야 마땅하다. 그럼에도 불구하고 두 회사가 서로 책임을 떠넘기기에 급급해 하는 지금의 모습은 그들이 작성한 이 파일의 내용보다도 훨씬 더 저속하고 추하기 짝이 없다.

어찌됐던 판도라의 상자는 열리고 말았다. 그리고 사이버 공간에는 연예인 X-파일을 둘러싼 거센 광풍이 불어 닥쳤다. 일각에서는 이번 사태를 과거 O양, B양 비디오 사건에 비유하며 인터넷과 네티즌에게 책임을 묻는 목소리도 들린다. 하지만 있는 그대로의 사실 정보가 지나치게 적나라하게 담겨있는 바람에 문제가 되었던 O양, B양 동영상 파일과 이번 연예인 X-파일은 오히려 정반대이다. 사실 정보가 아닌 지극히 주관적이고 일방적인 평가 정보로 구성되어 있다는 점에서 연예인 X-파일은 훨씬 더 고약하다. 또한 인터넷과 네티즌을 탓하는 것도 사태 해결에 별 도움이 되지 않는다. 한글 창제로 문맹률이 지극히 낮아져 누구나 이 문서를 읽을 수 있도록 해준 세종대왕에게 그 책임을 물어야 한다는 식의 말도 않되는 궤변과 크게 다를 바 없기 때문이다.

정작 우려해야 할 것은 따로 있다. 리서치 회사라는 이름에 걸맞는 과학적 조사의 흔적이라곤 눈을 씻고 봐도 찾을 수 없을 정도로 허접한 소문거리와 악의적 평가만 모아 놓은 쓰레기 정보들이 점점 객관화된 사실로서의 권위를 획득하고 있는 기현상이다. 한 여론조사에 따르면 이미 네티즌 중 80%가 이 내용들이 사실일 것이라 생각하고 있다는 결과도 나왔다. 연예계에 대한 막연한 호기심이 대중들에게 믿고 싶은 동기를 부여했고, 제일기획이라는 브랜드 파워가 신뢰성에 대한 명분을 적절히 제공해 주었으며, 언론사와 포털사이트의 선정적 보도가 이런 욕망을 한층 증폭시켜 버린 것이다.

세계 최고의 정보 인프라와 인터넷 열기를 자랑하는 나라에서 이 파일의 유포를 원천적으로 막는다는 것은 아무래도 불가능해 보인다. 이런 일이 생길 때마다 단골메뉴로 등장하는 당위적인 네티즌 윤리에만 막연히 호소할 일도 아니다. 보다 구체적이고 실천적인 정보 리터러시가 요구된다. 과도한 정보의 홍수 속에서 가상과 현실을 구별할 줄 아는 능력, 그리고 소문과 사실을 가려낼 수 있는 능력이 그것이다. 영화 X-파일의 명대사처럼 진실은 늘 저 너머 어딘가에 있기 때문이다.

<출처 : 디지털타임스>

　

2-3. 기업들 인터넷 문단속「비상 걸렸다」

연예인에 대한 평가와 소문을 담은 ‘연예인 X-파일’의 파문이 커지면서 각 기업들이 보안 대책을 재점검하는 등 문단속에 나섰다. 뜻하지 않은 사내 정보가 새 나갈 경우 엄청난 곤욕을 치를 수 있기 때문이다.

‘X파일’ 사건이 터진 직후인 지난 20일 마케팅리서치사에는 비상이 걸렸다. 민감한 자료조사를 하는 회사인 만큼 “보고서를 함부로 유출하다가 사고가 나면 그 피해를 직원들에게 묻겠다”는 경고 메시지를 보냈고, 직원들에게 “문제의 파일을 사내 통신망이나 메일서버를 통해 유포하지 말라”고 단속했다.

일부 기업은 일정 크기 이상의 e-메일은 아예 전송이 안 되도록 묶었다. 사내 정보나 핵심 기술 유출을 막기 위한 조치다.

삼성의 경우 특수한 부서를 제외하곤 메일의 크기가 10메가바이트(MB)가 넘으면 아예 전송이 안 된다. 동보 전송의 수신인도 50명 이내로 제한했다. 특히 PC 안의 자료를 외부 사이트에 업로드하거나 휴대용 저장장치에 복사하지 못 하도록 원천봉쇄했다.

일부 기업에선 사생활 침해라는 지적에도 불구하고 직원들의 e-메일 중 특정 단어가 들어 있을 경우 자동으로 체크되거나 기록으로 남기는 시스템을 갖추기도 한다.

삼성 SDS는 첨단 IT 업체답지 않게 사내 무선랜 사용을 일절 금하고 있다. 이는 무선랜을 사용할 경우 일부 보안이 취약해질 우려가 있고, 또 해킹한 해커 추적이 쉽지 않다는 점 때문이다.

LG, 한화 등은 불특정 다수의 컴퓨터와 파일을 공유하는 P2P 프로그램 접속을 막아 놓았다.

인터넷 의사 소통 통로로 각광을 받고 있는 ‘싸이월드’ 등 블로그(개인 홈페이지) 운영 사이트 접속을 막아 놓은 기업들도 있다. 현대차는 ‘cyworld’가 들어간 문구를 인터넷 주소(URL)창에 입력만 해도 접속이 차단되고 ‘접속금지’ 경고 문구가 뜬다.

KT와 신세계 등도 싸이월드 접속을 금지하는 한편 MSN 등 외부 메신저 대신 인트라넷 메신저를 사용토록 했다.

외부로 나가는 문서를 외부에서는 읽을 수 없게 아예 암호화하는 시스템을 도입하는 곳도 늘고 있다. 하이닉스가 지난해 말 이같은 시스템을 도입한 데 이어 SK㈜도 다음달 중 자체개발한 시스템을 회사전체에 설치하기로 했다.

뉴테크웨이브, 펜타시큐리티 같은 보안업체들은 내부 정보 유출이 이슈화되자 보안 솔루션의 영업을 강화할 채비를 갖추고 있다.

2-4. [디지털 지하드]“가장 강력한 테러무기는 인터넷”

《1996년 12월 17일 페루 일본 대사관에 ‘투팍 아마루 혁명운동(MRTA)’ 소속 테러범 14명이 들이닥쳤다. 400여 명을 인질로 붙잡은 테러범들은 가장 먼저 인터넷 홈페이지 ‘반군의 소리’를 개설했다. 테러범들은 이 홈페이지에 MRTA의 성명과 기자회견 내용을 올렸다. 인질극이 4개월을 끌면서 장기화되자 페루 군경과 대치하고 있는 자신들의 사진을 올리기도 했다. 당시 외신들은 “테러범이 인터넷을 선전도구로 삼은 것은 처음”이라며 “인터넷이 테러의 새로운 무기로 등장했다”고 보도했다.》

그로부터 8년. 국제테러조직 알 카에다를 포함한 세계의 테러조직들은 가장 손쉽게 사용하는 전략의 하나로 ‘디지털 지하드(성전·聖戰)’를 선택하고 있다. 미 평화연구소(UPIS)에 따르면 지난해 말 현재 테러조직이 개설한 웹 사이트는 7년 전보다 5배 가까이 늘었다.

▽미국이 낳은 신조어=디지털 지하드는 2001년 9·11테러 직후 미국이 아프가니스탄을 침공하면서 등장한 신조어. 특히 이슬람권 해커들이 미국과 영국에 가한 사이버 테러를 뜻했다.

파키스탄 해커그룹 지포스는 2001년 10월 19일 해킹전을 선언하고 “미국과 영국에 대한 사이버 지하드를 조직했다”며 미 국립해양환경부 웹 사이트를 해킹했다.

‘닥터 누커’란 이름의 또 다른 파키스탄 해커그룹은 다음날 국제전자상거래 사이트인 월드트레이드서비스를 해킹하고 “9·11테러로 최고의 이득을 본 것은 오사마 빈 라덴이 아니라 미국과 미 중앙정보국(CIA)이다. 미국은 응징을 빌미로 무고한 사람을 학살하지 말라”는 메시지를 남겼다.

단 한 명의 이슬람 테러리스트가 수십에서 수억 명을 상대로 전쟁을 벌이는 셈이다.

영국의 미디어 전문가 폴 에델 씨는 “미군 수백 명을 죽이는 것보다 참수 동영상 1개를 인터넷에 게재하는 게 더 효과적”이라고 말한다. CIA도 “사이버 공격은 비행기를 납치하고 폭탄공격을 가하는 것과 마찬가지로 위험하다”고 평가하고 있다.

▽끊이지 않는 위협=이라크에 세 번째로 많은 병력을 파병한 한국도 디지털 지하드의 주요 타깃이다. 지금까지 한국과 한국군을 공격하겠다는 인터넷상의 위협은 모두 8건이다.

아직은 ‘위협’에 그치고 있지만, 한국 정부와 국민에게 충격을 주기엔 충분했다. 중동 전문가인 선문대 이원삼 교수는 “웹 사이트에 게재된 성명의 사실 여부도 중요하지만 더욱 심각한 것은 이 성명으로 인해 중동에서 반한감정이 높아질 수 있다는 점”이라고 지적했다.

실제 최근 중동의 언론매체에는 한국의 부정적 이미지를 부각시키고 한국에 대한 공격을 간접적으로 촉구하는 글이 실렸다. 이슬람 과격주의 인터넷 신문인 ‘무팍키라 알 이슬람(이슬람 쪽지)’은 10일 ‘한국인 2명을 납치했다’는 최근 성명과 당황해 하는 한국 정부의 모습을 보도했다.

▽뾰족한 대응책 없어=현실적으로 디지털 지하드에 맞설 마땅한 대책은 없다. 사이버테러정보전학회 김창범 이사는 “인터폴을 통해 국제공조를 할 수 있지만 수많은 온라인상의 글을 국제공조로 모두 확인하기는 현실적으로 불가능하다”고 말했다.

이원삼 교수는 “정부가 즉각적으로 대응하는 것은 좋지 않다”고 충고했다. 확인되지 않은 글 하나에 한국 전체가 동요하는 것을 보면 테러조직들은 전략이 먹혀들어갔다고 판단하기 때문이다.

Jan 2005

3-1. "황우석교수 연구 유출 막아라"

서울대 수의대와 수의대 옆에 건립되는 의생명공학연구동이 국가정보원과 대학 당국에 의해 출입제한구역으로 지정될 전망이다. 현재는 수의대 2층의 황우석 교수 연구실과 실험실만 국정원에 의해 특별관리 되고 있다.

서울대는 14일 “황우석 교수팀의 줄기세포 연구 기밀이 유출되지 않도록 수의대 및 의생명공학연구동 전체를 출입제한구역으로 확대 지정하는 방안을 국정원과 논의 중”이라고 밝혔다. 제한구역으로 지정되면 지문인식기를 통해 출입이 통제되며, 신분과 방문사유가 명확하지 않은 일반인은 건물에 드나들 수 없게 된다.

수의대 관계자는 “이르면 2006년 완공되는 의생명공학연구동은 대학 보안심의위원회에 의해 제한구역으로 지정될 것이 확실시되고, 수의대는 건물 전체를 보안구역으로 지정하자는 국정원과 학생들의 불편을 우려하는 일부 대학관계자의 의견이 엇갈려 논의가 계속 진행 중에 있다”고 말했다.

국정원에서 파견한 보안책임팀에 의해 상시적으로 보안상태를 관리받고 있는 수의대는 13일 대학본부와 회의를 갖고, 지난달 28일 국정원 특별점검에서 지적된 보안 취약점에 대해서도 대책을 논의했다.

이날 회의에서는 도청 방지대책이 미비하다는 국정원의 지적에 따라 연구실 내에서 도청에 취약한 무선전화 사용을 자제토록 하는 한편 전기배전반을 이용한 도청에 대비, 도청 방지설비를 구축키로 결정했다. 대학 관계자는 “최근 모 언론사에서 황 교수가 무선전화를 이용해 외국교수와 통화한 내용에 대해 취재를 시도한 바 있어 국정원이 황 교수 연구실 도청에 강한 의구심을 갖고 있다”고 전했다.

또 건물내 안내방송용 스피커를 통해서도 도청이 가능하다는 국정원의 지적에 따라 황우석 교수의 연구실과 실험실 주변에 있는 방송용 스피커 제거여부도 논의됐다. 그러나 회의에 참석한 총무과 관계자는 “스피커 제거가 현행 소방법에 저촉되는 데다 화재나 각종 사고시 황 교수 연구실에만 경보가 작동하지 않을 우려가 있어 실무자들이 대책 마련에 부심하고 있다”고 말했다.

배아줄기세포 배양에 성공한 황우석 교수는 경찰로부터 국가 요인(要人)급 신변보호를 받고 있으며, 연구실과 실험실은 지난해 9월 국가기밀시설로 분류돼 국정원의 특별 보안관리를 받고 있다.

　

3-2. 삼성전자 개발추진 휴대폰디자인 유출

삼성전자가 개발 중인 첨단 휴대폰의 디자인이 대거 유출되는 사건이 발생했다.

7일 업계에 따르면 최근 삼성전자 휴대폰 19종의 사진과 개발 코드명 등이 유출돼 해외의 몇몇 모바일 전문 인터넷사이트에 실린 것으로 밝혀졌다.

유출된 정보에는 앞으로 출시될 제품의 디자인을 한눈에 파악할 수 있는 상세 사진은 물론 ‘B-Bop’ ‘Javelin’ ‘Thor’ 등 각 제품의 고유개발명과 사양ㆍ기능 등의 내용도 포함돼 있는 것으로 알려졌다.

삼성전자는 특히 지난달 29일 “경쟁업체들의 모방과 특허도용 위험을 막기 위해 휴대폰의 첨단 디자인을 공개하지 않겠다”고 이례적 선언을 한 후 불과 일주일 만에 이 같은 일이 발생했다는 데 충격을 받은 모습이다.

삼성전자의 한 관계자는 “회사의 일급 비밀에 해당하는 정보들이 어떤 경로로 유출됐는지 추적하고 있는 중”이라며 “해당 정보가 실린 사이트를 찾아내 삭제를 요청하고 있다”고 말했다.
　

3-3. [특집-산업보안] 첨단기술 지키기…세계는 전쟁중

미ㆍ일 등 `특허수성' 첩보전 방불
고부가제품 자국서 직접 생산도
국내업체 `유출 방어막치기' 활발

각국 정부 및 정보기관들이 치열한 산업보안 활동에 나서고 있는 것과 함께 세계 첨단 기업들도 자사의 기술방어를 위한 갖가지 아이디어와 방어전술을 펼치고 있다.

특히 첨단 IT 기술의 강국인 한국을 비롯해 미국ㆍ일본 기업들은 첩보전을 방불케 할 정도로 산업보안 강화에 나서고 있어 주목된다.

◇보안 위해 해외 공장을 줄이는 일본=일본 기업들은 중요기술 보호를 위해 사내 각종 보안제도를 도입하고, 보안관리를 강화하고 있으며, 특히 제조업체들의 경우도 중국 등 해외현지 공장에서의 핵심기술 유출사고 증가 등을 이유로 자국내 생산공장 설립을 확대하는 추세다.

지난해 8월 일본 니혼게이자이 신문이 주요 제조업체 115개사를 대상으로 자국내 생산공장 건설계획을 조사할 결과, 절반 이상이 향후 3년간 국내 생산을 확대할 예정이라고 응답했다.

중국 등 해외 현지공장 기술유출 사례가 지속적으로 증가함에 따라 기술유출을 사전에 차단하는 동시에 개발ㆍ생산ㆍ출하 과정의 일괄 순환이 가능한 일본에서 공장을 운영하는 것이 유리하다는 판단에서다. 따라서 일본 기업들은 해외공장에서는 범용제품을 지속 생산하되, 고부가가치 제품의 경우는 자국에서 생산하는 방안을 적극적으로 추진하고 있는 실정이다.

니혼게이자이는 일본기업의 이러한 국내 생산의 확대가 구조조정 등 힘겨운 과정을 통해 `Made in Japan'의 경쟁력에 대한 자신감을 회복했기 때문이라고 분석했다.

◇샤프 등 일본 기업의 산업보안 전략=세계적인 LCD 패널 생산업체인 샤프는 첨단 LCD 가공기술의 열람범위를 극소수 임원으로 한정하고, 특허등록도 피하는 등 이른바 `블랙박스'전략을 사용하고 있다.

일례로 올해초 TFT LCD와 TV 등 일괄생산을 위해 1000억엔을 들여 설립한 미에ㆍ가메야마 공장의 경우 공정 전체 정보를 파악할 수 있는 임원을 미치다 가츠히코 사장 등 극소수 임원으로 한정해 첨단 기술유출을 방지하고 있다.

공장 종업원에 대해서도 소속 외 다른 부서의 출입을 엄격히 금지하고 카메라폰의 공장내 반입을 전면 금지했으며, 완제품 공장을 해외에 설립할 경우에는 기술유출의 우려가 높다고 판단, 향후 신설할 5개 공장 모두를 일본 내에 설립하는 방안을 적극 검토하고 있다.

샤프는 또 외부에서 장비를 들여올 경우 장비를 회사 정문 앞까지만 운송시키고, 공장 내에 반입할 때는 자사 직원이 이송해 내부정보의 유출을 막고 있다. 특히 장비를 라인에 들여놓은 이후에 장비에 문제가 발생할 경우 장비공급 업체 직원에게 안대를 착용시키고 라인으로 인도해 장비 주변을 장막으로 둘러싸 납품장비만을 손보게 할 정도로 치밀한 산업보안을 유지하고 있는 것으로 알려져 있다.

반도체 및 LCD 공정의 핵심장비인 노광기를 생산하고 있는 일본 캐논의 경우 제조용 기계의 공구를 회사 외부에서 구입하지 않고 회사 내에서 직접 제작ㆍ사용함으로써 기술관련 정보의 외부 유출을 원천 차단하고 있다.

이밖에 마쓰시타도 가전 디자이너(270명) 중 최상급 연구원이 퇴직할 경우 과제위탁 계약을 체결, 경쟁국 업체로의 취업을 원천 차단하는 엄격한 퇴직자 관리제도를 시행하는 등 일본 기업들이 첨단기술유출 방지에 혼신의 힘을 쏟고 있다.

◇기술 선도국 미국 기업의 빗장걸기=또한 미국 기업들도 자체 보안활동을 강화하고 있는데 IBM은 중요기술 개발 참여연구원에게 외부인사 접촉시 접촉결과 보고서를 제출하도록 의무화했으며, 인근 FBI 지부와 협조해 산업기밀 보호활동을 전개하고 있다.

또 루슨트 테크놀러지는 특정 연구개발 사업에 참여하는 연구원들이 전체 사업내용을 인지하지 못하게 하고, 첨단기술 유출 및 연구원 결원 등에 대비한 보안 대책을 사전에 강구하고 있다. 이같은 미국 기업들은 민간산업보안활동의 적극적인 지원아래 이루어지고 있다.

민간차원의 산업보안활동은 미국 산업보안협회(ASIS)를 중심으로 이루어지고 있는데, 이 단체는 1955년 창립돼 22개국 208개 지부에 총 3만 2000여명의 회원(기업 보안책임자ㆍ임원ㆍ컨설턴트 등)을 두고 있다.

이 단체는 각종 보안 이슈에 대한 해결책 제시와, 교육 프로그램을 개발한 후 보안분야 종사자에게 이를 제공하고, 대정부 정책 건의 등을 주로 하고 있다.

또한 기업정보자산관리과정과, 시설보안 관리과정 등 매년 30여회 연구프로그램을 실시하고 있다. 미국에서는 9.11 테러 이후 기업들의 보안의식이 크게 높아져 보안장비ㆍ보안컨설팅 등 보안산업이 매년 30%씩 급격히 증가하고 있는 추세이며, 보안 컨설턴트가 새로운 직업으로 부상함에 따라 ASIS가 주관하는 보안전문가 자격(CPP) 응시자가 매년 50%씩 증가하고 있을 정도다.

미국의 산업보안 개념은 지적 재산권 보호뿐만 아니라 대테러ㆍ안전 등 기업보호에 대한 전반적인 분야를 총괄하고 있다.

◇국내 기업의 산업보안 첫걸음=지난해 국내 기업들은 그 어느 때보다 많은 첨단기술 유출 사건이 발생하면서 산업보안의 중요성과 필요성을 절실히 느끼고, 문단속에 더욱 힘을 쏟고 있다.

삼성전자는 지난 1995년부터 기흥과 수원 등 지방사업장에 X레이 검색대를 설치해 출입자들의 소지물품을 통한 기밀유출을 막은 데 이어, 2003년 말부터는 서울 삼성본관에도 X―레이 검색대를 설치ㆍ운영하고 있다.

삼성은 총무그룹에서 사내보안을 담당해 특정간부를 보안어사로 임명, 사내 보안점검을 실시하고 그 결과를 인사고과에 반영하는 등 적극적으로 대처하고 있다. 부서장의 허가 없이 메모리스틱과 CD, 디스켓 등의 반출입을 차단하고 카메라폰과 디지털카메라ㆍ캠코더의 내부 사용을 철저히 금지하고 있다.

LG 역시 임직원의 동의 아래 외부 발송 이메일을 검색하고 있으며 극비문서의 원본 파일은 컴퓨터나 디스켓에 담을 수 없도록 해놓았다. 일부 사업장은 문서자체를 암호화해 CEO와 해당 임원만 볼 수 있도록 했고, 중요시설에는 지문인식과 홍채 인식시스템을 설치해 외부인 및 타부서 직원의 출입을 차단하고 있다.

하이닉스는 지난해부터 각종 연구소를 `특별보안구역`으로 설정, 보안장치를 크게 강화하고 출입을 엄격히 통제하고 있다. 영동사옥 시스템IC 연구소와 청주사업장의 메모리연구소 및 시스템IC 제품개발센터, 연구소 등을 `특별보안구역'으로 지정, CCTV와 금속탐지기를 설치 상시 보안요원을 통해 기술유출을 감시하고 있다.

하이닉스는 이 구역에 카드리더 운영, 출입지역 카메라 설치녹화, 개인용 PC에 대한 패스워드 설정 생활화, 특별 보안구역 출입 위반자에 대한 임직원 신고제 도 함께 추진하는 등 산업보안 강화에 박차를 가하고 있다.

국내 기업들은 이같은 산업보안에도 불구하고, 잇따라 발생하고 있는 산업스파이 문제에 대응하기 위해 직원 보안교육 강화 및 연구원들의 복리후생 확대 등 다방면의 기술지키기 전략을 펼치고 있다.

<출처 : 디지털타임스>

　

Jan 2005

4-1. IPS와 바이러스월은 다르다

얼마 전 한 신문에서 최신 신종 웜과 관련된 기사를 접한 적이 있다. 그 웜은 사용자 주소록에 있는 e메일 주소로 웜에 감염된 e메일을 발송하는 것이었다.

최근에는 유명 축구선수 데이비드 베컴의 사진만 열어봐도 감염되는 웜이 나오고 있다. 갈수록 웜의 위력은 강해지고 있다는 얘기다. 그에 따른 피해도 크게 늘고 있는 상황이다.

이런 이유로 새로운 보안 위협에 대응할 수 있는 다양한 제품들이 선보이고 있다. 웜에 대응하는 제품중 주목받고 있는 것은 침입방지시스템(IPS)과 바이러스월이다.

고객들은 각자 회사의 네트워크 사정과 필요에 따라 두 제품을 취사선택할 수 있다.

그런데 두 제품을 놓고 많은 고객들이 혼동하는 것 같다. 어떤 제품이 회사 사정에 맞는 제품인지는 전문가가 아닌 이상 제대로 구별하기가 쉽지 않은 것도 사실이다.

두 제품은 외부의 침입을 차단해주기도 하지만 내부에서 감염된 컴퓨터가 외부를 다시 공격하는 2차 감염도 막아준다. 외부에 존재하는 선의의 사용자를 보호하자는 의미도 포함돼 있다는 얘기다.

그러나 비슷해 보이는 IPS와 바이러스월은 각각의 특성을 갖고 있다. 강점에서도 차이가 있다.

바이러스월과 IPS의 차이를 논하기 위해서는 먼저 컴퓨터 시스템을 파괴하는 악성프로그램인 바이러스와 웜이 어떻게 다른지 살펴보는 것이 좋겠다.

바이러스는 컴퓨터 프로그램이나 실행 가능한 부분을 변형하여 자기 자신 또는 자신의 변형을 복사하는 방법으로 컴퓨터 내에 침투, 자료를 손상시킨다. 또는 다른 프로그램들을 파괴해 작동할 수 없도록 한다.

웜은 바이러스와는 좀 다른 형태로 가장 큰 차이점은 감염 대상이 존재하느냐 존재하지 않느냐 하는 것이다. 웜은 다른 파일을 감염시키지 않고 독립적으로 존재한다.

따라서, 웜은 웜 파일만 삭제하면 치료가 되기 때문에 치료가 쉬운 편이다.반면 바이러스는 실행 파일 및 데이터파일을 수정하기 때문에 감염된 파일을 원래 파일로 복구해야 한다.

이러한 악성 프로그램들은 e메일과 OS 및 응용프로그램 취약점 그리고 네트워크를 통해 감염된다.

IPS와 바이러스월간 차이를 설명한다고 해놓고 느닷없이 웜과 바이러스의 차이를 설명한 것은 여기에 두 제품간 차이가 있다고 보기 때문이다.

바이러스월은 바이러스 백신 엔진을 이용, 네트워크를 통과하는 콘텐츠중 바이러스나 웜 등 악성 프로그램을 검사하는 방식을 취하고 있다. IPS에 비해 보다 정교한 치료 및 차단 기능을 제공한다. 웜은 차단만 하지만, 바이러스나 트로이목마에 대해서는 차단과 치료 기능을 모두 제공한다.

이를 감안하면 바이러스월은 각종 악성코드에 대한 종합적인 대책을 세울 수 있는 솔루션으로 볼 수 있다.

반면 IPS는 네트워크상의 패킷을 검사한 뒤 이를 탐지하고 차단할 수 있는 메커니즘을 채택하고 있다. 네트워크 패턴만 보고 유해 트래픽이나 웜인지 여부를 검사하기 때문에 바이러스월에 비해 속도가 빠르다.

IPS는 서비스거부공격(Dos)이나 웜 등을 차단하는데 강점을 보이고 있다. 웜이외에 바이러스나 트로이목마에 대해서는 방어 능력을 갖고 있지 않다. 웜 차단에 있어서도 바이러스월보다 속도는 빠르지만 정교함은 떨어진다.

현재 각 제품들의 단점을 보완하기 위해 바이러스월은 IPS 강점을 보강하고 IPS도 바이러스월의 강점을 보강하는 흐름이 형성되고 있다. 그러나 하나로 통합된 완벽한 솔루션이 존재하기는 어려운 실정이다.

두 제품을 동시에 도입한다면 금상첨화다.

그러나 비용 부담이 생기는 만큼 IPS나 바이러스월 도입시 그 제품의 특징을 꼼꼼하게 따져보는게 필요할 듯 싶다. 악성코드에 대한 전반적인 대응 능력을 강화해야 하는데도, 웜만을 차단하는 IPS를 선택하는 상황을 막으려면 말이다.

김동순 엑스큐어넷 연구소장

　

4-2. IPv4서 IPv6 트래픽 비정상 코드로 인식

차세대 인터넷 주소 체계인 IPv6 네트워크 확산의 최대 걸림돌은 보안 시스템인 것으로 나타났다.

삼성전자�삼성네트웍스�삼성종합기술원이 지난해 7월부터 12월까지 5개월간 삼성 그룹망을 활용해 `코리아v6' 시범사업을 실시한 결과, 기존의 IPv4 보안시스템들이 IPv6 데이터 트래픽을 비정상 코드로 인식하는 것이 가장 큰 문제점인 것으로 드러났다.

이에 따라 라우터�게이트웨이 등 네트워크 장비만 IPv6를 지원할 것이 아니라, IPv6를 지원하는 방화벽 등 다양한 보안시스템들이 동시에 개발돼야 할 것으로 지적됐다.

삼성전자 통신(TN)연구소의 강병창 상무는 "IPv6 네트워크 품질(QoS)이나 자체 보안성은 뛰어난 것으로 결론을 얻었지만, 방화벽 등 보안시스템에 트래픽이 막혀 실험을 진행하는 데 많은 어려움을 겪었다"며 "IPv6 네트워크가 확산하려면 기업들의 전체 네트워크 자체를 바꿔야 하는 문제점도 있지만, 보안 벤처들의 IPv6 보안장비 개발도 뒤따라야 한다"고 말했다.

삼성전자�삼성네트웍스�삼성종기원은 IPv4와 IPv6를 동시에 지원하는 IP―사설교환기, 라우터를 각각 삼성종기원 아이네트워킹 실험실(LAB)과 삼성전자 수원 통신연구소에 각각 1대씩 설치하고, 두 곳에 IP폰�모바일IP폰(WoWLAN 폰)�웹패드�노트북 등 10여대 가량을 연결한 뒤 삼성 그룹망과 삼성네트웍스의 백본을 통해 한국전산원의 차세대 인터넷 교환노드(6NGIX)와 연동시키는 방법으로 시범사업을 진행했다. IPv6 시범서비스로는 인터넷전화를 비롯해 주문형비디오(VOD), 일반 데이터 서비스 등이 적용됐다.

하지만 삼성전자 등은 코리아v6 시범사업을 올해 확대 시행할 계획은 없다고 밝혔다. 삼성전자 관계자는 "IPv6 통신 장비 시장성이 아직은 낮다"며 "지난해 국내 IPv6 장비 시장은 100억원 가량으로 파악되는데, 개발비만 100억원이 넘게 들어간다"고 말했다. 그는 "국내 휴대인터넷에 VoIP가 킬러 서비스로 도입된다면 KT 등이 적극적으로 나설 것으로 보이며 이 경우, IPv6 통신장비 시장이 다소 커질 수 있을 것"이라며 "시기적 차이가 있지만 IPv6 서비스는 수년내로 본격화될 수 밖에 없어 IPv6 통신장비 개발은 미리 진행할 것"이라고 말했다.

<출처 : 디지털타임스>

　