염흥열 순천향대 정보보호학과 교수
익숙한 웹사이트를 클릭만 해도 악성코드에 의해 감염돼 해커가 원격 조정하는 좀비PC가 되는 것은 상상만 해도 불안하지만 국내 사이버 공간에서는 비일비재하게 발생하고 있다.
지난해 7월 7일 우리는 11만5000여대의 국내외 좀비PC가 원격 해커가 기획한대로 사흘도안 청와대를 비롯한 주요 국가 웹사이트를 집중 공격해 해당 사이트의 인터넷 서비스가 중단된 `7ㆍ7 사이버 테러'를 경험했다.
봇넷은 좀비PC와 이를 제어하는 여러 명령제어 서버의 집합을 지칭하며, 봇은 사용자 PC를 감염하기 위해 이용되는 악성코드이다. 해커가 만든 악성코드인 봇(bot)에 감염된 PC로부터 불필요한 대량의 악성 트래픽이 인터넷사업자의 망과 통신로를 대부분 차지하게 되면, 인터넷사업자의 서비스에 영향을 줄뿐 아니라 인터넷사업자는 추가 악성 트래픽을 전달하기 위해 추가설비 투자를 요구받게 된다.
지난 15일 독일 정부와 인터넷사업자들은 `안티봇 이니셔티브'라는 사업을 시작한다고 선언했다. 필자도 이 사업 추진을 기념하는 국제학술대회에 초대받아 우리의 봇넷 공격 경험과 대응방법을 소개했다. 안티봇 이니셔티브 사업의 골자는 인터넷사업자가 봇에 감염된 이용자 PC를 검출해 감염사실을 해당 이용자에게 통보하고, 봇 치료 프로그램을 웹사이트에서 무료로 제공해 이용자가 봇을 치료하게 하며, 이를 적절히 치료할 수 없는 이용자를 위해 독일인터넷사업자연합회의 원격 상담원이 이용자 PC에서 봇을 치료하도록 도움을 주는 것이다. 이 사업은 내년 말까지 시험 운영되며, 내년 하반기에 사업 전반을 평가해 지속 여부를 결정하기로 했다. 독일 정부는 이 사업에 30억원 이상을 투자하는 것으로 알려졌다.
일본에서도 일본통신정보공유센터가 이용자 PC에 감염돼 있는 봇을 검출, 치료하기 위한 사이버크린센터(사이버방역센터)를 운영하고 있으며, 호주 정부도 봇에 감염된 컴퓨터로부터 오는 트래픽을 인터넷사업자가 자율적으로 차단하도록 권장하고 있다. 현재 각 국에서 추진하고 있는 봇넷 대응사업의 핵심은 인터넷사업자와 이용자에게 봇 치료를 위한 적극적인 역할을 갖도록 하는 것이다.
한국도 2005년부터 봇넷 대응을 위해 한국인터넷진흥원이 DNS 싱크홀(sinkhole) 기법을 운용하고 있다. 이 기법은 봇 감염 PC와 해커의 봇 명령제어 서버간 통신을 차단, 해커가 봇 감염 PC에 공격명령을 전달하지 못하게 해 사이버 공격을 막는 방식으로 작동한다. 이 방식은 지금까지 적절히 작동해 왔으나 근원지인 좀비PC를 치료하지 못하고 봇 명령제어 서버가 없는 경우 적절하게 작동하지 못하는 단점이 있다. 특히 지난해 7ㆍ7 디도스 공격과 같이 명령제어 서버가 없는 경우 봇넷 사이버공격을 적절히 막을 수 없다.
이러한 상황에서 우리가 취해야 할 조치는 무엇일까?
먼저 우리의 기술적ㆍ관리적 봇 대응체계를 봇 위협환경에서 적절하게 작동하도록 개선해야 하며, 이용자와 인터넷사업자의 역할을 강화할 필요가 있다. 한국인터넷진흥원이 수집한 봇 감염정보를 주요 인터넷사업자에게 통보하고, 해당 IP 주소에 대응하는 이용자의 연락처를 사용해 인터넷사업자가 감염 이용자에게 봇 감염사실과 치료방법을 제공해 봇을 치료하도록 하는 체계를 구축할 필요가 있다.
또 이용자, 한국인터넷진흥원, 인터넷사업자, 백신회사의 책임과 역할 강화를 도모하고 각 주체의 협력을 촉진할 수 있는 법ㆍ제도적 바탕을 마련할 필요가 있다. 이를 위해 최근 한국인터넷진흥원이 추진하고 있는 것으로 알려진 일명 `좀비PC 방지법'을 조속히 제정할 필요가 있다.
이와 함께 최근 국경을 넘어선 사이버 공격이 일반화되고 있는 추세를 고려하면, 우리나라의 봇 감염정보와 명령제어 서버 등의 정보를 소지한 것으로 알려진 일본 등 주요 외국의 컴퓨터침해사고대응기관들과 봇넷 정보 교류와 협조를 선제적으로 추진할 필요가 있다. 또 봇 치료를 위한 컴퓨터 이용 소외계층에 대한 기술적 지원을 강화할 필요가 있다.
현재 우리나라 봇넷 대응체계의 우수성은 외국의 정보보호 전문가들도 인정하고 있지만, 봇넷의 사이버 공격이 날로 지능화되고 있음을 고려하면, 봇넷 대응체계 역시 지속적으로 개선되고 진화돼야 한다.
지난해 7월 7일 우리는 11만5000여대의 국내외 좀비PC가 원격 해커가 기획한대로 사흘도안 청와대를 비롯한 주요 국가 웹사이트를 집중 공격해 해당 사이트의 인터넷 서비스가 중단된 `7ㆍ7 사이버 테러'를 경험했다.
봇넷은 좀비PC와 이를 제어하는 여러 명령제어 서버의 집합을 지칭하며, 봇은 사용자 PC를 감염하기 위해 이용되는 악성코드이다. 해커가 만든 악성코드인 봇(bot)에 감염된 PC로부터 불필요한 대량의 악성 트래픽이 인터넷사업자의 망과 통신로를 대부분 차지하게 되면, 인터넷사업자의 서비스에 영향을 줄뿐 아니라 인터넷사업자는 추가 악성 트래픽을 전달하기 위해 추가설비 투자를 요구받게 된다.
지난 15일 독일 정부와 인터넷사업자들은 `안티봇 이니셔티브'라는 사업을 시작한다고 선언했다. 필자도 이 사업 추진을 기념하는 국제학술대회에 초대받아 우리의 봇넷 공격 경험과 대응방법을 소개했다. 안티봇 이니셔티브 사업의 골자는 인터넷사업자가 봇에 감염된 이용자 PC를 검출해 감염사실을 해당 이용자에게 통보하고, 봇 치료 프로그램을 웹사이트에서 무료로 제공해 이용자가 봇을 치료하게 하며, 이를 적절히 치료할 수 없는 이용자를 위해 독일인터넷사업자연합회의 원격 상담원이 이용자 PC에서 봇을 치료하도록 도움을 주는 것이다. 이 사업은 내년 말까지 시험 운영되며, 내년 하반기에 사업 전반을 평가해 지속 여부를 결정하기로 했다. 독일 정부는 이 사업에 30억원 이상을 투자하는 것으로 알려졌다.
일본에서도 일본통신정보공유센터가 이용자 PC에 감염돼 있는 봇을 검출, 치료하기 위한 사이버크린센터(사이버방역센터)를 운영하고 있으며, 호주 정부도 봇에 감염된 컴퓨터로부터 오는 트래픽을 인터넷사업자가 자율적으로 차단하도록 권장하고 있다. 현재 각 국에서 추진하고 있는 봇넷 대응사업의 핵심은 인터넷사업자와 이용자에게 봇 치료를 위한 적극적인 역할을 갖도록 하는 것이다.
한국도 2005년부터 봇넷 대응을 위해 한국인터넷진흥원이 DNS 싱크홀(sinkhole) 기법을 운용하고 있다. 이 기법은 봇 감염 PC와 해커의 봇 명령제어 서버간 통신을 차단, 해커가 봇 감염 PC에 공격명령을 전달하지 못하게 해 사이버 공격을 막는 방식으로 작동한다. 이 방식은 지금까지 적절히 작동해 왔으나 근원지인 좀비PC를 치료하지 못하고 봇 명령제어 서버가 없는 경우 적절하게 작동하지 못하는 단점이 있다. 특히 지난해 7ㆍ7 디도스 공격과 같이 명령제어 서버가 없는 경우 봇넷 사이버공격을 적절히 막을 수 없다.
이러한 상황에서 우리가 취해야 할 조치는 무엇일까?
먼저 우리의 기술적ㆍ관리적 봇 대응체계를 봇 위협환경에서 적절하게 작동하도록 개선해야 하며, 이용자와 인터넷사업자의 역할을 강화할 필요가 있다. 한국인터넷진흥원이 수집한 봇 감염정보를 주요 인터넷사업자에게 통보하고, 해당 IP 주소에 대응하는 이용자의 연락처를 사용해 인터넷사업자가 감염 이용자에게 봇 감염사실과 치료방법을 제공해 봇을 치료하도록 하는 체계를 구축할 필요가 있다.
또 이용자, 한국인터넷진흥원, 인터넷사업자, 백신회사의 책임과 역할 강화를 도모하고 각 주체의 협력을 촉진할 수 있는 법ㆍ제도적 바탕을 마련할 필요가 있다. 이를 위해 최근 한국인터넷진흥원이 추진하고 있는 것으로 알려진 일명 `좀비PC 방지법'을 조속히 제정할 필요가 있다.
이와 함께 최근 국경을 넘어선 사이버 공격이 일반화되고 있는 추세를 고려하면, 우리나라의 봇 감염정보와 명령제어 서버 등의 정보를 소지한 것으로 알려진 일본 등 주요 외국의 컴퓨터침해사고대응기관들과 봇넷 정보 교류와 협조를 선제적으로 추진할 필요가 있다. 또 봇 치료를 위한 컴퓨터 이용 소외계층에 대한 기술적 지원을 강화할 필요가 있다.
현재 우리나라 봇넷 대응체계의 우수성은 외국의 정보보호 전문가들도 인정하고 있지만, 봇넷의 사이버 공격이 날로 지능화되고 있음을 고려하면, 봇넷 대응체계 역시 지속적으로 개선되고 진화돼야 한다.
