웹 보안위협 판정 제각각 `혼선`

KISA '웹체크'-안연구소 '사이트가드' 상이한 결과… 기준마련 필요

최근 방송통신위원회와 한국인터넷진흥원(KISA)이 본격 배포를 시작한 웹 보안 위협 알림 프로그램 '웹체크'와 안철수연구소가 제공하는 위험사이트 차단 보안 서비스 '사이트가드'가 일부 사이트에서 상이한 판정을 제공해 혼선을 주고 있다.

18일 관련 업계에 따르면 700만명 이상의 사용자를 확보하고 있는 안철수연구소 사이트가드는 모 만남주선 사이트가 126개의 악성코드 웹페이지를 포함, 접속시 악성코드 감염이나 개인정보 유출 등의 위협이 있다고 공지하고 있다.

반면 정부가 배포하고 있는 웹체크는 똑같은 사이트에 대해 악성코드가 은닉돼 있지 않으며 악성코드가 은닉됐던 이력도 없는 안전한 사이트라는 전혀 다른 결과를 제공하고 있다.

안철수연구소는 자사의 사이트가드가 실시간 감시 기능을 통해 사용자가 방문하는 사이트의 내용을 분석하고 있으며 다수의 사용자 서비스를 통해 많은 위험 정보 데이터베이스(DB)를 구축하고 있어 사이트가드의 판정에 문제가 없다고 주장하고 있다.

방송통신위원회 또한 웹체크가 KISA가 수집한 정보를 바탕으로 실시간으로 위협을 확인하기 때문에 오진이 아니라는 입장이다.

하지만 정부가 공식적으로 배포하는 프로그램과 700만명 이상이 사용하는 국내 대표 기업이 제공하는 프로그램이 다른 결과를 나타내는 것은 국민들에게 혼란을 줄 수 있다는 지적이다.

웹체크와 사이트가드의 판정이 엇갈리는 이유에 대해 전문가와 업계는 웹 보안 위협을 판정하는 기준이 다르기 때문이라고 분석하고 있다. 한 보안 전문가는 "해당 사이트에 대해 분석을 해본 결과 일부 의심스러운 요소가 있었는데 이를 어떻게 해석하느냐에 따라 위험사이트와 안전한 사이트로 각각 판정한 것"이라고 말했다.

이에 따라 향후 유사한 혼란을 막기 위해 웹 위협에 대한 기준 마련이 필요하다는 주장이 제기되고 있다. 또 지난 7월 7일 분산서비스거부(DDoS) 대란 후 정부와 보안업계의 정보교류의 필요성이 제기됐지만 이번 사건으로 정보교류가 여전히 미흡한 것으로 나타나 이에 대한 대책도 필요하다는 지적이다.

강진규기자 kjk@