우리 나라 사이버 정보 보호 를 어떻게 할 것 인가 ? - 정부 인터넷 민원서류 위변 조 사태 에 즈음 하 여 임채호 , 시큐리티 맵 ( 주 ) 대표 이사 , 건국대 학교 겸임 교수 chlim @ securitymap . co . kr ■ 민원서류 위변 조 와 인터넷 뱅킹 해킹 기법 은 유사 22 일 모 의원 이 제기 한 행정자치부 의 21 종 민원서류 위변 조 가 가능 함 을 보인 기사 1 ) 는 금년 전반기 에 나타난 인터넷 뱅킹 해킹 문제점 에 대한 사건 과 유사 한 점 이 있 다 . 악 성 코드 를 이용 한 정보 의 감시 와 위변 조이 라는 점 이 다 . 바이러스 및 웜 등 은 이미 국민 들 에게 널리 알려진 악 성 코드 이 며 , 최근 악 성 코드 는 정상 적 인 소프트웨어 에 들어가 활동 하 는 트로이 목마 , 스파이 웨 어 , 사이버 광고 등 에 활용 하 는 애드웨어 등 이 많이 출현 중 에 있 다 . 인터넷 뱅킹 해킹 에 는 스파이 웨어 로 분류 된 트로이 목마 가 , 이번 민원서류 위변 조 에 도 유사 한 악 성 코드 가 이용 되 었 다 . ■ 어떤 해킹 공격 이 문제 인가 ? 최근 사이버 정보 보호 의 상황 은 정말 최악 의 상태 인 것 으로 보인다 . 항상 모순 ( 矛盾 ) 의 상태 를 유지 하 던 공격 기술 ( 해커 ) 과 방어 기술 ( 정보 보호 ) 이 언제 부터 인가 공격 기술 이 우위 를 가지 기 시작 하 고 있 으니 답답 한 노릇 이 다 . 악 성 코드 에 의한 공격 의 진보 와 제 로데이 ( Zero - Day ) 공격 이 가장 큰 문제 이 다 . 또한 국민 들 은 사기 기법 인 사회 공학 공격 도 주의 하 여야 한다 . 트로이 목마 , 스파이 웨어 등 의 악 성 코드 는 갈수록 늘 어 가 고 향후 의 해킹 기법 의 방향 을 보여 주 고 있 었 는데 정부 나 전문가 들 이 이 를 경고 하 지 못하 였 다는 사실 이 다 . 인터넷 뱅킹 해킹 경우 에 는 키보드 입력 을 감시 하 는 스파이 웨 어이 었 으며 , 이번 위변 조 해킹 도 정보 보호 기능 의 프로그램 이 다른 시스템 과 연동 할 경우 정보 가 이동 할 때 가로채 는 방법 이 었 다 . 다양 한 방법 의 코버트 채널 을 이용 하 는 악 성 코드 가 너무나 많 다 . 코버트 채널 은 보안 정책 을 위반 하 여 정보 시스템 에서 정보 를 유출 할 수 있 는 통신 경로 이 다 . 최근 알려진 “ Win - Spy " 라는 해커 의 도구 는 비밀 감시 , 모니터 복제 , 파일 폴더 숨기 기 , 비밀리 파일 삭제 , 키보드 로 깅 , 웹캠 감시 등 원격 지 컴퓨터 를 내 마음 대로 조정 할 수 있 다 . 또한 현재 제 로데이 공격 은 매우 심각 한 지경 까지 이르 고 있 다 . 지금 까지 정보 보호 제품 은 알려진 공격 을 탐지 하 였 지만 최근 에 는 알려진 취약점 이 발표 되 면 곧장 공격 이 실행 되 어 모든 정보 보호 제품 은 마치 알려 지 지 않 은 생물학 적 바이러스 에 의하 여 극심 한 피해 를 보 는 것 과 마찬가지 상황 이 되 고 있 다 . 즉 제 로데이 란 뜻 은 예전 에 는 취약점 이 발표 된 후 최소한 1 달 이후 나 업체 의 취약점 제거 후 공격 이 나타났 지만 이젠 취약점 이 발표 됨 과 동시 에 공격 이 발생 하 여 막 기 어렵 다는 뜻 이 다 . 사이버 공간 에서 사회 공학 공격 은 더욱 심각 한 피해 를 줄 수 있 다 . 많 은 정보 보호 기술 이 존재 하 므로 속임수 및 트릭 을 이용 하 여 중요 정보 를 획득 하 거나 타인 에 대한 신뢰 를 이용 한 인간 본성 자체 의 취약 성 을 이용 하 는 등 특정 조직 의 기술 적 / 물리 적 보안 장벽 을 가장 손쉽 게 무력 화 할 수 있 는 사기 기법 이 다 . 유형 으로서 는 ① : 특정 사람 의 신분 및 직권 에 대한 신뢰 를 이용 , ② 자신 이 좋 아 하 는 사람 에 대한 신뢰 이용 , ③ 자신 을 도와 준 사람 에 대한 도움 을 줄 려는 경향 , ④ 구두 상 의 정책 및 규칙 들 에 대해 상대방 이 따르 도록 한 후 패스워드 등 기타 중요 정보 예측 , ⑤ 일반 적 으로 공인 된 형태 의 설문 조사 를 통하 여 상대방 으로 부 터 중요 정보 획득 , ⑥ 특정 대상 에 대한 일정 및 수량 한정 이벤트 를 통한 사용 자 심리 동요 이용 등 의 방법 이 있 다 . 이러 한 사이버 공간 의 사기 행각 은 비대 면 상태 이 므로 누구 나 쉽 게 동조 하 여 금융 상 의 피해 나 조직 의 중요 한 정보 가 유출 된다 . ■ 어떻 게 대비 하 여야 하나 첫째 정보 보호 기술 의 발전 양상 의 문제점 , 둘째 , 정보 보호 정책 추진 상 의 문제점 , 셋째 , 관리 운영 상 의 문제점 으로 살펴보 고자 한다 . 먼저 기술 적 인 문제 를 살펴보 면 알 고 있 는 공격 만 탐지 하 지 않 고 알려 지 지 않 은 공격 을 탐지 하 는 기술 을 개발 하 여야 한다 . 그런 방법 은 정상 적 인 시스템 이나 네트워크 상태 를 기본 으로 시스템 과 네트워크 가 비 정상 상태 가 되 면 이 를 분석 하 는 방법 이 다 . 갑자기 예상 치 못한 상황 이 발생 할 때 가장 일찍 파악 하 여 대응 함 으로서 피해 규모 를 줄이 는 것 이 좋 은 정보 보호 의 방향 이 된다 . 정부 는 정보 보호 정책 개발 을 위하 여 많 은 노력 을 기울여 온 것 은 사실 이 지만 , 정책 개발 이 지금껏 한 순간 의 커다란 문제점 만 해결 하 는 식 이 었 음 이 드러나 고 있 는 셈 이 다 . CIH 바이러스 , DDoS 사고 시 의 정책 개발 , 코 드레드 사고 시 에 도 또 다른 정책 개발 , 125 대란 이후 정책 개발 등 큰 사고 마다 정책 을 다시 개발 하 였 다 . 작년 트로이 목마 , 올해 인터넷 뱅킹 등 이 나타났으니 다시 정책 을 업데이트 하 여야 할 것 이 다 . 하지만 정책 은 공격자 의 동향 파악 과 많 은 의견 수렴 을 겪 어 이루어지 고 또 한 장기 적 인 정책 을 개발 한 후 세부 적 인 수정 이 필요 할 것 이 라고 본다 . 정보 보호 기술 에 의한 제품 을 도입 하 여 정보 보호 를 잘 운영 하 여야 하 는 기관 도 책임 을 피하 기 어려울지 모른다 . 100 % 정보 보호 를 만족 하 는 제품 이 없 다는 것 을 잘 알 면서 도 오로지 정보 보호 제품 의 불 안정 만 을 따지 고 제대로 운영 을 하 지 못하 는 기관 이 많 을 지도 모른다 . 유관 기관 들 사이 에 긴밀 한 협조 를 통한 공동 대응 의 장 을 더욱 넓혀야 할 것 이 다 . ■ 정보 보호 는 정보 보호 기술 만 이 능사 가 아니 다 ? " Applied Cryptography " 를 쓴 유명 한 암호학 의 권위 를 가진 슈나 이 어 박사 는 “ 디지탈 네트워크 보안 의 진실 과 거짓말 ” 이 라는 저서 에서 “ 문제 를 기술 로 해결 할 수 있 다고 믿 는 사람 은 바보 다 ” 라고 거론 하 였 는데 스스로 도 암호학 교수 로 근무 할 당시 에 는 암호 만 이 인터넷 정보 보호 문제 를 해결 하 는 유일 한 길 이 라고 생각 하 였 던 것 이 다 . 지금 은 “ CounterPane " 이 라는 업체 를 운영 하 면서 스스로 판단 해 보 니 보 안 문제 를 해결 하 는 데 에 는 암호 기술 이 2 - 3 % 도 안 된다는 사실 을 깨달 은 것 이 다 . 정보 보호 는 정보 보호 제품 이 중요 한 것 이 아니 라 정보 보호 프로세스 즉 , 막 고 ( Protection ) , 탐지 하 고 ( Detection ) , 대응 ( Response ) 하 는 프로세스 관리 및 운영 이 중요 함 을 깨달 은 것 이 다 . 우수 하 고 경쟁력 있 는 제품 을 도입 하 고 , 이 들 을 상호 연동 시켜 , 그 들 의 결과 보 고 체계 를 갖추 는 프로세스 가 중요 하 다 . ■ 정보 보호 운영 정책 은 생명 주기 를 가져야 한다 . 행자부 등 의 인터넷 민원서류 위변 조 , 인터넷 뱅킹 해킹 사고 에 대비 하 여 또 새로운 정책 이 나타나 고 업그레이드 된 정보 보호 기술 이 나타날 것 이 다 . 하지만 주의 할 점 은 해커 등 공격자 는 정보 보호 기술 보다 앞선 혹은 우회 하 는 기술 을 쓸 것 이 라는 점 이 다 . 100 % 만족 하 는 기술 과 정보 보호 는 존재 하 지 않 는다 . 다만 모자라 는 부분 은 정책 , 인식 제고 및 운영 프로세스 의 적용 과 안정 적 인 운영 에 있 음 을 명심 하 여야 한다 . 출처 : 블로그 > 정보 보호 단상 | 글쓴이 : 임채호 [ 원문 보 기 ]