염흥열 순천향대 정보보호학과 교수
![[포럼] 정보보안관리체계 운영 필요하다](http://contents.dt.co.kr/images/201702/2017022302102251607001[1].jpg "[포럼] 정보보안관리체계 운영 필요하다")
도를 넘고 있는 국가 주도 사이버 공격에 대한 대비가 필요하다. 지난 몇 년 동안 북한 소행으로 추정되는 사이버 공격이 2014년 한수원 정보유출사고를 포함해 여러 차례 발생한 바 있고, 공격 대상도 인터넷 서비스 사업자, 금융 및 정부 기관에서부터 군 내부 전산망(이후 국방망으로 지칭)에 이르기까지 다양하다.
영국 정부가 운영하는 사이버보안센터는 중국과 러시아로부터 지난 3개월 동안 180여 차례 국가 주도의 사이버 공격을 받았다고 최근 주장했다. 미국과 러시아 간 지난 대선기간 동안 해킹으로 얻어진 미국 민주당 전당대회 정보가 위키리크스에 공개되면서 러시아에 의한 의도적 미국 대선 개입이 확실시됐다. 국가 간 사이버 공격이 총성 없는 사이버 전쟁으로 진전되고 있는 상황이다.
국가 주도 사이버 공격은 충분한 자원을 동원할 수 있다. 작은 비용으로 최대 공격 효과를 얻을 수 있고, 피해 규모도 방대하다. 국민의 생명과 국가 안위까지를 위협하며, 지능화된 공격으로 인해 효과적 방어가 쉽지 않다. 국가 주도 사이버 공격 목적은 사회 혼란이나 국가 경제 사회 체제를 파괴하는 등 국가 근간을 흔들 우려가 있다. 수단도 기밀 정보의 유출, 주요 정보의 파괴와 공개, 그리고 정보 서비스 거부 등 다양하다.
최근 문서 편집기 취약성을 이용해 문서 파일에 악성코드를 삽입해 공격을 감행하거나, 조직이 운영하는 보안 업데이트 서버에 악성코드를 심고 나서 조직 내부의 다른 컴퓨터를 장악하려는 시도가 빈번히 발생했다. 컴퓨터 문서 편집기에 보안 취약성이 존재하면 편집기 제작자는 해당 취약점을 제거하기 위해 패치 프로그램을 만들어 사용자 컴퓨터에 배포한다. 공격자가 패치 프로그램이 사용자 컴퓨터에 설치되기 전에 공격을 감행하면 공격은 필연적으로 성공하게 된다. 공격자는 사용자 컴퓨터를 원격에서 제어할 수 있게 되고, 원하는 정보 유출 등 여러 악성 행위를 추가로 수행할 수 있다.
지난해 국방망이 북한 해커의 소행으로 뚫린 것으로 발표됐다. 국방망은 인터넷에 분리되어 운영되어 안전하다고 알려져 있었다. 인터넷과 완벽하게 분리되는 전산망 운영은 불가능한데 원인이 있다. 국방망 컴퓨터 백신 프로그램은 민간 보안 기업에 의해 제공되고 있다. 국방망 백신 프로그램도 최근 악성코드 패턴을 반영하기 위해 수시로 업데이트돼야 한다. 업데이트는 조직내 개별 컴퓨터 단위로 수행되지 않고, 내부 백신 업데이트 중계 서버를 통해 일괄적으로 수행되고 있다. 해커는 이런 점을 이용해 공격을 감행한 듯 하다.
백신 업데이트 패턴을 다운로드 받기 위해서는 내부 백신 업데이트 중계 서버가 한동안 인터넷에 연결돼야 한다. 관리 부실로 이 인터넷 연결이 방치된다면 해커가 이 인터넷 접점을 통해 백신 업데이트 중계 서버를 공격할 수 있다. 공격이 성공하면 해커는 자신이 제작한 악성코드를 백신 업데이트 중계 서버에 심을 수 있다. 이는 국방망 컴퓨터에 해당 민간 업체 업데이트 프로그램이 설치되는 것이 아니라 공격자가 제작한 악성코드가 대신 설치되게 됨을 의미한다. 이후 국방망 내 해당 악성코드가 설치된 프로그램을 설치한 모든 컴퓨터가 해커에 의해 장악되게 된다. 국방망 컴퓨터에 존재하는 중요 정보가 외부로 유출하거나 파괴할 수 있게 됨을 의미하며, 외부로 유출된 정보는 고스란히 해커의 손에 들어가게 된다.
위에서 언급한 예상 공격 시나리오가 성공하기 위해서는 다음 사항의 점검이 요구된다. 첫째, 내부 백신 업데이트 중계 서버의 외부 인터넷 연결을 제한하거나 연결 시간을 최소화해야 한다. 둘째, 이 백신 업데이트 프로그램의 무결성이 확인돼야 한다. 설치된 백신 업데이트 프로그램이 백신 제조업자가 배포한 프로그램과 동일한지 확인해야 한다. 셋째, 정보가 유출된 백신 업데이트 중계 서버와 국방망 내 여러 컴퓨터간에 유통되는 비정상 정보 흐름을 탐지해 막아야 하며, 백신 업데이트 중계 서버에 대한 철저한 사전 및 사후 정보 흐름에 대한 실시간 또는 사후 감사가 필요하다.
직접적 원인은 관리 부실에 기인한 듯하다. 기술적 보호조치도 중요하지만, 관리적 보호 조치가 더 요구된다. 세계적 보안전문가 브루스 슈나이더는 "보안은 여러 사슬로 구성되고, 보안의 강도는 수많은 사슬 중 가장 약한 사슬만큼 안전하다"고 언급했다. 가장 약한 고리의 보안 강도를 높이기 위한 기술적·관리적·물리적 보안 대책이 필요하다.보안 대책은 장·단기적 대책으로 구성된다. 단기적으로 인터넷 접속을 제한하거나 접속 시간을 최소화하는 등 관리적 보안 대책과 정보유출을 차단하는 기술적 보안대책이 적용돼야 한다. 다시말해 다면적 정보보안 관리체계 운영이 요구된다. 보안 취약점을 스스로 찾고 그 취약점을 제거할 보안 대책을 수립하는 위험 평가 기반의 정보보안 관리체계로 진화돼야 한다. 무엇보다도 국방 특화 정보보호관리체계 인증제도가 도입돼야 한다.
장기적으로 실무적 보안 인력의 운영이 절실하다. 이론으로 무장되는 것보다는 실무적으로 무장된 보안 인력이 요구된다. 상시적으로 대규모 보안 데이터를 분석하고 비정상 행위를 찾아내는 대응 활동이 필요하기 때문이다.
지능정보(인텔리전스) 기반 공격 대응 체계로 진화돼야 한다. 공격자를 추적하고, 공격 의도와 공격 효과까지를 파악할 수 있는 회복 체계로 진화돼야 한다. 군 특화 보안 기술 개발도 필요하다. 악성코드의 계보를 파악하고, 여러 보안 장치와 서버에 설치된 센서로부터 대규모 보안 이벤트를 분석하고, 선제적으로 공격을 탐지할 수 있는 체계 운영이 필요하다. 보안 데이터 분석, 인공지능, 보안 이벤트 관리 기술 등의 대응체계에 대한 기술 개발과 운영하기 위한 마스터플랜도 필요하다.
민간과의 사이버 정보 공유와 공조 강화도도 두말할 나위가 없다. 민간과 공공간의 정보공유를 가능케 하는 효과적인 거버넌스 구축과 운영도 중요하다. 앞으로 다양한 형태로 나타날 국가 주도의 사이버 공격 대응이 국가 안보의 초석임을 유념할 필요가 있다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
