김세헌 KAIST 교수ㆍ인터넷 정보보호협의회 의장
우리나라는 OECD 가입국가들 중에서 IT 인프라는 최고로 깔려 있는 반면 정보보호 수준은 그렇지 못하다. 이렇다 보니 사이버 공간의 온갖 문제들이 우리나라에서 가장 먼저 발생하고 있다. 그리고 이런 문제가 발생하였을 때 그 대책을 어떻게 수립할지 가서 보고 배울 나라가 없다. 오히려 우리가 어떻게 대응했는지가 세계 다른 나라의 벤치마킹 대상이 되고 있다.
최근의 DDoS 사태가 이러한 상황을 확실하게 보여 주고 있다. 이러한 대규모의 진화된 형태의 DDoS 공격은 세계적으로 처음이었다. 그리고 우리는 주어진 여건 하에서 훌륭하게 대응하였다. 정부를 중심으로 정보보호 업체, 그리고 ISP들이 협력하여 단기간 내에 사태를 진정시킨 이번의 대응과정은 세계 여러 나라에 좋은 사례가 될 것으로 생각한다.
그러나 문제가 다 해결된 것은 아니다. 아직 공격자를 역추적하지 못하고 있다. 다음에 같은 공격이 시도될 때 사전에 이를 막을 수 있는 대책이 마련된 것도 아니다. 다음에도 공격이 시작되면 한동안 네트워크가 또 마비될 것이다. 그리고 사태가 진정되면 다음의 공격이 발생할 때까지 또 잊어버리고 지낼 것이다. 우리는 얻어맞기를 각오하고 있는 것은 아닌가? 다음에는 좀 살살 때려 주기만을 바라고 있는 것은 아닌가?
DDoS 사건은 2003년도에 발생한 슬래머 웜 사고와는 성격이 다르다. 슬래머 웜은 SQL 서버에 있는 취약점을 이용하여 공격한 웜이기 때문에 취약점들을 없애면 이러한 식의 웜 공격이 다시 발생할 수는 없다. 그러나 이번의 DDoS 공격은 시스템의 취약점을 이용한 것이 아니고 인터넷 사용자들을 감염시켜서 발생시킨 것이다. 인터넷에 있는 1000만대 이상의 PC들을 바이러스에 전혀 감염시키지 않을 재간은 없다. 앞으로 DDoS 공격은 세계 여러 곳에서 시도 때도 없이 다양한 형태로 발생할 것이다.
한 나라의 정보보호 문제는 IT기술이나 경제문제로만 볼 수 없는 사회 문화적인 요소가 매우 강하다. 인터넷이 한 동안 마비되는 것에 대해 어떻게 생각하는지? 개인정보 유출에 대해 국민들이 어떻게 생각하는지? 타인을 비방하는 댓글에 대해 국민들은 어떻게 생각하는지와 같은 그 나라의 사회 문화적인 요소가 그 나라의 정보보호에 대한 수요를 결정짓기 때문이다.
DDoS 공격이 오면 잠시 장애를 겪으면 된다. 좀 얻어맞으면 어떠냐? 개인정보가 유출되면 잘 달래면 된다. 설마 집단 소송을 해서 멀쩡한 기업을 죽이겠느냐? 댓글로 타인을 좀 비방하면 어떠냐? 서로 조금만 참으면 되지. 이렇게 조금씩만 참으면 정보보호에 대한 투자금을 아낄 수 있는데 무엇하려고 그 막대한 금액을 수익을 창출하지도 못하는 정보보호에 투자를 하는가? 이러한 사고방식을 가진 나라나 기업이 세계의 리더가 된 적은 역사상 한 번도 없었다.
미국의 오바마 대통령은 지난 4월 미래 미국의 경제적 번영과 사회적 안정은 사이버 공간의 보호에 달려 있다고 천명하였다. 전력, 가스, 물, 교통 등의 사회 기간망을 위시하여 전자상거래의 혼란과 같이 사이버 공간이 난장판이 되면 미국이 지난 세기 동안 가졌던 리더십은 더 이상 유지되지 못할 것이라는 것이다. 이것이 세계를 이끌어 가는 나라의 사고방식이다.
이번의 DDoS 사건은 우리에게 절호의 기회다. 이번 사건을 통해 얻은 경험은 전 세계적으로 첨단의 것이다. 그리고 DDoS 공격은 앞으로 전 세계 여러 나라에서 수없이 계속적으로 발생할 것이다. 우리의 이번의 경험을 기반으로 최첨단의 DDoS 방지 기술을 개발하여 다른 나라에 전수시킨다면 우리나라는 지금과 같은 IT인프라만 강국인 이미지를 안전한 IT 강국의 이미지로 바꿀 수 있는 절호의 기회를 가질 수 있다. 지금이 기회다.
최근의 DDoS 사태가 이러한 상황을 확실하게 보여 주고 있다. 이러한 대규모의 진화된 형태의 DDoS 공격은 세계적으로 처음이었다. 그리고 우리는 주어진 여건 하에서 훌륭하게 대응하였다. 정부를 중심으로 정보보호 업체, 그리고 ISP들이 협력하여 단기간 내에 사태를 진정시킨 이번의 대응과정은 세계 여러 나라에 좋은 사례가 될 것으로 생각한다.
그러나 문제가 다 해결된 것은 아니다. 아직 공격자를 역추적하지 못하고 있다. 다음에 같은 공격이 시도될 때 사전에 이를 막을 수 있는 대책이 마련된 것도 아니다. 다음에도 공격이 시작되면 한동안 네트워크가 또 마비될 것이다. 그리고 사태가 진정되면 다음의 공격이 발생할 때까지 또 잊어버리고 지낼 것이다. 우리는 얻어맞기를 각오하고 있는 것은 아닌가? 다음에는 좀 살살 때려 주기만을 바라고 있는 것은 아닌가?
DDoS 사건은 2003년도에 발생한 슬래머 웜 사고와는 성격이 다르다. 슬래머 웜은 SQL 서버에 있는 취약점을 이용하여 공격한 웜이기 때문에 취약점들을 없애면 이러한 식의 웜 공격이 다시 발생할 수는 없다. 그러나 이번의 DDoS 공격은 시스템의 취약점을 이용한 것이 아니고 인터넷 사용자들을 감염시켜서 발생시킨 것이다. 인터넷에 있는 1000만대 이상의 PC들을 바이러스에 전혀 감염시키지 않을 재간은 없다. 앞으로 DDoS 공격은 세계 여러 곳에서 시도 때도 없이 다양한 형태로 발생할 것이다.
한 나라의 정보보호 문제는 IT기술이나 경제문제로만 볼 수 없는 사회 문화적인 요소가 매우 강하다. 인터넷이 한 동안 마비되는 것에 대해 어떻게 생각하는지? 개인정보 유출에 대해 국민들이 어떻게 생각하는지? 타인을 비방하는 댓글에 대해 국민들은 어떻게 생각하는지와 같은 그 나라의 사회 문화적인 요소가 그 나라의 정보보호에 대한 수요를 결정짓기 때문이다.
DDoS 공격이 오면 잠시 장애를 겪으면 된다. 좀 얻어맞으면 어떠냐? 개인정보가 유출되면 잘 달래면 된다. 설마 집단 소송을 해서 멀쩡한 기업을 죽이겠느냐? 댓글로 타인을 좀 비방하면 어떠냐? 서로 조금만 참으면 되지. 이렇게 조금씩만 참으면 정보보호에 대한 투자금을 아낄 수 있는데 무엇하려고 그 막대한 금액을 수익을 창출하지도 못하는 정보보호에 투자를 하는가? 이러한 사고방식을 가진 나라나 기업이 세계의 리더가 된 적은 역사상 한 번도 없었다.
미국의 오바마 대통령은 지난 4월 미래 미국의 경제적 번영과 사회적 안정은 사이버 공간의 보호에 달려 있다고 천명하였다. 전력, 가스, 물, 교통 등의 사회 기간망을 위시하여 전자상거래의 혼란과 같이 사이버 공간이 난장판이 되면 미국이 지난 세기 동안 가졌던 리더십은 더 이상 유지되지 못할 것이라는 것이다. 이것이 세계를 이끌어 가는 나라의 사고방식이다.
이번의 DDoS 사건은 우리에게 절호의 기회다. 이번 사건을 통해 얻은 경험은 전 세계적으로 첨단의 것이다. 그리고 DDoS 공격은 앞으로 전 세계 여러 나라에서 수없이 계속적으로 발생할 것이다. 우리의 이번의 경험을 기반으로 최첨단의 DDoS 방지 기술을 개발하여 다른 나라에 전수시킨다면 우리나라는 지금과 같은 IT인프라만 강국인 이미지를 안전한 IT 강국의 이미지로 바꿀 수 있는 절호의 기회를 가질 수 있다. 지금이 기회다.
