[알아봅시다] 화이트 해커의 축제 `해킹 방어대회`

사이버 세상 속 '깨끗한 전쟁'
보안 취약점 개선 '파수꾼' 역할
방화벽 뚫고 임무수행
IT 환경 위험성 대비 효과
한국팀 작년 '데프콘 대회' 우승
각종 기관 자문역할도
인터넷진흥원, 전략적 지원


"깃발을 잡아라(Capture the Flag)"

전쟁은 치열합니다. 상대방보다 먼저 깃발을 잡지 못하면 패배합니다. 승리를 위한 열정은 지혜와 전략으로 이어집니다. 국제해킹방어대회는 화이트해커가 '깃발을 먼저 잡기 위해' 미션을 수행해내는 경쟁입니다. 전 세계에서 수 많은 대회가 열리는데 우리나라를 비롯해 미국, 일본, 유럽, 대만 등지에서 각각 대규모 대회를 개최하고 있습니다.

화이트해커(화이트햇)란 무엇일까요. 우리는 흔히 해커라는 단어를 들으면 남의 시스템에 무단으로 침입해 정보를 빼가고 금전적 이익을 얻는 이들을 생각합니다. 하지만, 해커는 시스템 자체를 망가뜨리는 일을 저지르기도 하고, 최근 유행하는 랜섬웨어처럼 굳이 정보를 빼가지 않고도 금전적 수익을 얻는 경우도 있습니다. 화이트해커는 역으로 이러한 범죄 집단에 대해 역으로 반격을 가해 시스템을 무력화시키거나, 해커가 시스템에 침투하기 전에 미리 취약점을 발견해 이를 보완할 수 있는 역할을 하고 있습니다. 국내외 대표적인 보안 업체는 물론 일부 대기업에서도 이러한 화이트해커를 양성하고 있습니다. 물론 화이트해커끼리 모여서 보안업체를 직접 설립해 운영하는 경우도 있습니다.

해킹방어대회에 나가면 화이트해커는 무엇을 할까요. 정해진 시간 안에 일정한 미션을 수행하게 됩니다. 주로 특정 구역 안에 저장해 둔 내용을 먼저 풀어내는 방식인데, 이를 얻기 위해 방화벽을 비롯한 각종 보안 장벽을 뚫고 침투를 진행합니다. 대회마다 규정이 조금씩 다른데, 대회장 안에서 참가자 수를 제한하는 대신 다른 참가자는 외부에서 원격으로 접속해 참여하는 형태를 취합니다. 물론 시상식에는 대회에 참가한 전체가 시상대에 오를 수 있습니다. 몇 년 전 한 대회에서는 우승팀 시상식에 무려 60명에 가까운 참가자가 등장해 이후 원격 접속 참가자 수를 제한하는 조치가 잠시 취해지기도 했습니다.

여러 대회 중 세계 최대 해킹방어대회로 꼽히는 대회는 바로 미국 라스베이거스에서 열리는 '데프콘(DEFCON)'입니다. 이 대회는 1992년 시작해 현재까지 이어지는 오랜 역사를 가진 대회로, 지난해 8월에 열린 최근 대회(DEFCON 23)에서는 우리나라의 '데프코(DEFKOR)' 팀이 우승을 차지했습니다. 고려대 정보보호동아리와 라온시큐어 연구원이 연합해 구성한 이 팀은 세계 최고 대회에서 우승하며 실력을 입증했습니다. 올해 대회(DEFCON 24)는 오는 8월 4일부터 7일까지 열릴 예정입니다.

국내에서 가장 유명한 해킹대회는 미래창조과학부와 한국인터넷진흥원(KISA)이 주관하는 KISA 해킹방어대회(HDCON), 국방부와 국가정보원이 주관하는 화이트햇콘테스트(WITHCON) 등이 있습니다.

우리나라 화이트해커의 위상은 어느 정도일까요. 지난해 데프콘 우승을 비롯해 지난해 우리나라 화이트해커는 7월에 열린 시큐인사이드(SECUINSIDE)와 히트콘(HITCON), 트렌드마이크로 CTF 등에서 우승을 차지하며 저력을 보여줬습니다.

지난달 27일 미래부와 인터넷진흥원은 서울에서 올해 주요 국제해킹방어대회에 참가하는 화이트해커를 위한 출정식을 진행했습니다. 이 기운을 받아서인지 사흘 뒤 일본 도쿄에서 열린 세콘(SECCON) 대회에서 우리나라 사이코키네시스(Cykorkinesis) 팀이 우승을 차지했다는 소식을 전해왔습니다. 우리나라는 2014년 대회에서도 1위(TOEFL Beginner)를 비롯해 우수한 성적을 거둔 적이 있었는데, 그 전통을 이어가게 됐습니다.

화이트해커는 이처럼 뽐낸 실력을 바탕으로 국내 IT 환경의 보안 취약점을 찾아내 위험성을 덜어주는 역할도 하고 있습니다. 인터넷진흥원은 이들을 '사이버 가디언스'로 위촉해 사회적 기여를 할 수 있도록 지원하고 있습니다. 지난해에는 정보보호 특성화 고등학교에서 진행하는 진로체험 행사 '정보보호 드림(DREAM) 공작소'에 참가해 특강과 멘토링을 진행하고, 신규 취약점 신고포상제 평가·자문위원으로 참여했습니다. 또 제어시스템이나 주요 정보통신기반시설에 대한 취약점 분석과 주요 보안위협 기술자문에 참여하는 등 국가적인 대규모 시스템에 대한 해킹방어에도 나섰습니다. 이들은 올해 4월에 있을 20대 총선에 대비해 중앙선거관리위원회와 함께 선관위 시스템 , 후보자 홈페이지 등에 대한 보안 취약점을 점검하고, 핀테크 보안기술과 모의해킹 시나리오 적절성 평가도 수행할 예정입니다. 나아가 2018 평창 동계올림픽조직위원회와 함께 대회 공식 홈페이지와 사물인터넷(IoT) 기반 시설 보안 위협에 대한 자문을 제공하고, 향후 2020년 도쿄 하계올림픽에도 자문을 제공한다는 목표를 갖고 있습니다.

이재운기자 jwlee@dt.co.kr

도움말: 한국인터넷진흥원