[네트워크 타임즈 연재 2회]높아진 내부 위협에 대한 올바른 대응 '절실'

**아래는 '네트워크 타임즈(2010년 4월호)에 게재된 기고문입니다. 첨부 파일은 기사 원문입니다.**

네트워크 타임즈_4월호_내부보안의 문제와 L2.PDF

높아진 내부 위협에 대한 올바른 대응‘절실’

VoIP·스마트폰 등 신기술 등장으로 필요성 증대 … IT보안 강화 내부보안이‘첫걸음’

7·7 대란’으로 인해 사이버 보안의 중요성에 대한 인식은 매우 높아졌으며, 분산서비스거부(DDoS) 공격을 막기 위한 솔루션과 서비스도 대거 출시되고 있다. 하지만 시각을 바꿔 생각하면, DDoS 공격은 힘의 근원인 좀비PC를 제거할 경우, 위험도를 크게 낮출 수 있다. 즉 외부 공격에 대한 대응만큼 기업 내 취약성을 제거하는 내부 보안이 더욱 중요한 것이다. <편집자>
----------------------------------------------------------------------------------------------------------

   지난‘7·7 인터넷 대란’이후 삼성경제연구소에서 자사 회원 4531명을 대상으로 한 리서치 결과를 발표했다. 이에 따르면 우리나라가 IT보안 강국이 되기 위해서는‘보안에 대한 국민들의 의식수준 제고’가 가장 절실한 것으로 나타났다.또 보안 출판업체에서 실시한 보안의식 조사 결과에 따르면, 보안담당자들은 자신이 근무하는 회사의 보안점수가 매우 낮은 것으로 평가했다. 설문조사에 참가한 보안담당자는 일반 사용자들의 보안의식 변화 없이는 보안에 대해 장담할 수 없다는 입장을 보였다고 한다. 국내기업 약 54%에서 보안 담당자들은 자사의 보안점수를 60점 이하로 평가한 것이다.

이러한 설문 내용들을 살피면, 하나같이 문제로 삼고 있는 부분이 바로‘보안의식 변화’또는‘보안인식 전환’인 것으로 확인됐다는 점은 일반 사용자들의 보안의식에 대해 그만큼 불신하고 있다고 볼 수 있다. 이를 다른 측면에서 생각하면 그만큼 내부사용자들의 보안의식이 취약하고, 그 사용자들이 접속하는 내부 네트워크 보안 안전이 크게 위협받고 있다는
증거라고 말할 수 있다. 즉 이미 내부 네트워크 보안에 대해여 많은 문제점이 제기되고 있으며, 그 해결책에 대해 보안담
당자와 네트워크 관리자가 고민하고 있는 것이다.

“2010년, 스마트폰 DDoS공격 우려된다”
   2010년 가장 위협이 되는 공격 형태 중 하나가 바로‘스마트폰을 이용한 DDoS 공격’이다. 스마트폰 보급이 증가하면서 IT관련 매체에서 스마트폰을 이용한 DDoS 공격의 위험성을 얘기하고 있으며, 대부분의 보안 전문가들과 IT관련 업종 종사자들도 이에 동의하고 있다. 올해도 변함없이 지난 7·7 인터넷 대란 때 목격된 것처럼 변형돼 공격의 형태를 예측하기 어려운 DDoS 공격이 있을 것으로 예상된다. 아울러 최근 급격하게‘Must Have’아이템으로 떠오른 스마트폰의 경우 보안적인 부분에서 충분한 검토가 이뤄지지 않고 있어 매우 손쉬운 공격 대상으로 전락할 가능성이 커 우려를 더하고 있다.

그도 그럴 것이 작년 초반까지 국내 사용자 수가 약 30만 명 정도였으나, 하반기부터 줄줄이 매력적인 스마트폰들이 출시되면서 급격하게 사용자가 증가해 현재 약 100만명 정도에 이를 것으로 추산되고 있다. 또 올해 각 이동통신사에서는
약 400만에서 500만 정도의 사용자 증가를 예상하고 있다. 글로벌 스마트폰 기업들은 올해 전체 이동통신 시장에서 스마트폰이 약 17%를 차지할 것이라는 전망을 내놓고 있으며, 시장조사기관인 스트래티지애널리틱스(SA)는 올해 스마트폰 사용자 수가 작년보다 약 두 배 증가한 4억4850만 명에 이를 것이라는 예측을 발표했다.

그렇다면 과연 스마트폰이 왜 위협이 된다는 말인가. 그것은 바로 스마트폰 자체가 일반 PC와 같이 OS위에 애플리케이션들을 설치해 사용하는 형태이기 때문이다. 쉽게 말해서 손안의 작은 컴퓨터라고 생각하면 된다. 더군다나 스마트폰은 기존의 일반 모바일폰과 달리 쉽게 무선을 통한 다른 디바이스 액세스는 물론 네트워크, 인터넷 연결이 가능하다. 바꿔 말하면, 네트워크를 통해 악의적인 공격자에 쉽게 노출될 수 있다는 것이다.

요즘 한창주가를 올리고 있는 스마트폰의 경우, 이미 여러 차례 보안 위험이 경고됐으며, 실제로 스마트폰의 모바일 OS
를 겨냥한 웜·바이러스 등 보안을 위협할 수 있는 각종 요소가 벌써 출현한 상황이다. 나아가 스마트폰의 경우는 모바일
용 백신이 있기는 하지만 인식부족과 구입비용 등의 요인에 의해서 사용하지 않는 경우도 허다해‘좀비폰’이 될 수 있는
가능성이 매우 크다고 볼 수 있다.

좀비폰’만 문제? VoIP는 어쩌라고?
   그렇다면 비단“좀비폰”만이 문제가 될 것인가. 그렇지 않다. VoIP의 경우 그 사용량은 계속해서 증가하고 있지만 보안취약성에 대한 문제들은 여전히 거론되는 수준에 머물러있다. 행정안전부의 경우, 올해 정부‘20대 중점 과제’중에서 인터넷 전화 확산 방침에 부응하고 대내외의 환경변화에 대응하기 위해 행정기관 인터넷 전화 도입촉진과 안정적인 전환 등을 중장기 계획으로 발표했다. 다시 말해 앞으로 모든 행정기관은 인터넷 전화로 변환이 된다는 얘기다. 그렇다면 여기서 인터넷 전화 기술 즉, VoIP의 보안에 대해서 짚고 넘어가지 않을 수 없다.

얼마 전에 기업이 자체 구축한 VoIP 사업자의 교환장비가 해킹을 당하는 사고가 있었다. 이미 1000만 인터넷 전화 가입자를 바라보고 있는 대한민국에서 그 동안 우려로만 여겨졌던 일이 실제로 발생한 것이다. 앞서 언급한 바와 같이 정부는 앞으로 전 공공사업장에 VoIP를 구축한다는 안을 발표했으며 대부분의 국민들이 이제 집에서 알게 모르게 인터넷
전화를 사용하고 있는 현실에서 이러한 보안위협의 현재화는 충격적인 일이 아닐 수 없다.

VoIP의 보안 문제는 현재진행형으로 이러한 보안문제로 인해 일부 공공기관, 일부 기업에서는 인터넷 전화망을 분리해 구축하는 곳도 나타나고 있다. 동일한 네트워크 상에서는 ARP 스푸핑 공격을 이용한 도감청 및 비밀정보 누출이 가능하기 때문이다. 하지만 이러한 대응은 오히려 비용절감을 위해 도입한 VoIP가 망분리로 인한 추가비용 발생 및 관리자의 리스크 포인트 증가라는 문제점을 만들고 있다는 점을 간과할 수 없다.

VoIP에서도 7·7 인터넷 대란과 비슷한 무작위로 대량의 전화를 걸어 인터넷 전화를 마비시키는 특화된 공격이 발생할 소지는 충분하다. 더구나 VoIP의 경우 일반 포털 사이트에서 쉽게 구할 수 있는 해킹 툴로 쉽게 도청이 가능하다는 점에서 더더욱 그 보안의 중요성이 각인돼야 한다.

외부는 철통방어! 증폭되는 내부 문제는 걱정만
   그렇다면 이제 내부 네트워크 보안에 대해 좀 더 체계적이고 적극적인 대처방안을 세우고 준비해야 하는데, 현실은 그렇지 않은 게 사실이다. 그 예로 볼 수 있는 것이 네트워크타임즈의 설문조사다.

네트워크타임즈에 따르면, 보안사고의 원인을 묻는 문항에서 대부분의 보안담당자들은 그 첫 번째로‘공격기술의 고도화’를 꼽았고, 바로 이어 두 번째로‘내부사용자의 보안정책 미준수’를 꼽았다. 그 외에‘공격 횟수의 증가’라든지‘공격보다 뒤쳐진 보안기술 진화 문제’등을 보안사고의 원인으로 생각했다.

또한 최근 가장 위협이 되는 보안 문제를 묻는 문항에서는 ‘사용자들의 보안정책 미준수’, ‘웜/바이러스’등 내부 네트워크 보안에 관련된 사항과 더불어‘경영진의 보안의지 부족’까지 합친 응답 비율은 무려 32.90%에 달했다. 이는 현업 담당자가 내부 네트워크 보안의 위협성과 필요성을 분명히 인식하고 있음을 보여준다.

   하지만 현재 사용중인 보안 솔루션에 대한 질문에 대해 대부분의 설문자들이 외부 방어 체제인 방화벽, IPS, VPN, 게
이트웨이형 안티 바이러스, PMS, UTM, 등만 절반이상 도입한 것으로 답변했다. 반면 내부 네트워크 보안 솔루션에서
는 백신이 95.6% 도입돼 있는 것이 전부이고, 기타 NAC가 약 18.6% 정도로 명맥만 유지하고 있다. 이외에 나머지 내부
네트워크 보안 솔루션의 도입은 전무한 것이다.

이러한 결과는 보안담당자 역시도 내부 네트워크 보안에 대해서 분명 문제가 있다. 걱정하고 있지만, 막상 기업에 도입되는 보안 솔루션은 모두 외부 방어만 하는 솔루션임을 확인할 수 있다. 정작 보안담당자 본인도 인식하고 걱정은 하고
있지만 실상 기업에 도입이 안 되고 있는 것이다.

그렇다면‘왜 내부 네트워크 보안과 관련된 솔루션들이 필요성은 있으면서도 도입이 되지 않는 것인가’란 생각을 하지
않을 수 없다. 이 점에 대해 여러 네트워크 장비업체의 담당자와 얘기를 나누면서 확인을 해 본 결과는 이러하다.
첫째로 보안담당자들은 필요성을 인식하고 있으나 서버단이 아닌 액세스단에 추가돼야 하는 문제로 예산 수립과정에서
뒤로 밀린다는 것이다. 그리고 두 번째로 외부 보안솔루션에 비해서 내부 네트워크 보안솔루션이 가격적으로 저렴하다는 이유로 끼워팔기 식으로 영업을 하고 있다는 어느 영업사원의 얘기를 들었다. 특정 내부 네트워크 보안솔루션을 입찰의 옵션정도로 사용하며, 단독으로는 영업이 힘들다는 말이었다.

안타까운 건 이러한 정치적인 사항과 영업적인 전략에 의해서 정말 필요한 내부 네트워크 보안 솔루션들의 도입이 늦어지고 있다는 점이다. 분명 필자가 만나본 네트워크 담당자들은 내부 네트워크 보안에 대해 걱정하고 어떠한 솔루션과
장비들이 있는지 정보를 나누고 있었다. 하지만 현실적으로는 여러 가지 외부적인 요인으로 인하여 도입에 대한 검토 자
체가 안 되는 경우가 허다했다.

그나마 다행인 것은 대부분의 기업들이 보안투자 예산에 대해서 적어도 예년 수준이나 보다 향상된 예산작업을 한다는 것이다. 그렇다면 아마도 다음호에 언급할 얘기들이 내부 네트워크 보안 솔루션 도입에 대해 다시 한 번 생각해 볼 수
있는 계기가 되리라고 기대한다.

날이 갈수록 강조되는 액세스 레벨 보안
    지금까지 언급한 바와 같이 우리는 이처럼 생각보다 많은 액세스 레벨 보안에 대해 취약성을 드러내고 있으며, 그 중요성에 대해서 분명히 인지하고 있다. 하지만 현실은 외부보안에만 집중되어 있다고 해도 과언이 아니다. 실제로 2009년 IDC에서 발생한 주요 보안사고 유형을 보면, 우리가 가장 많이 알고 있고 2009년 가장 큰 문제가 됐던 DDoS공격을 제외하면, 두 번째로 빈번한 보안사고 유형이 바로 ARP 스푸핑으로 확인됐다. 동일 네트워크 상에서만 문제가 되는 이 공격이 IDC 보안을 위협하는 두 번째로 무서운 공격이었다는 말이다.

오늘날은 P2P, 웹페이지, 이메일, 메신저 등 다양한 경로로 각종 악성코드에 감염되고 또, 상대방을 감염시킬 수 있는
환경이다. 더구나 요즘과 같이 유선과 무선으로 자유롭게 네트워크 및 인터넷에 접속할 수 있는 시대에서 그 위험성은 시시각각 급증하고 있다.

그렇다면 위험요소가 증가한다고 낙담하고만 있을 수는 없지 않는가. 이제부터는 엑세스 레벨 보안의 방법들이 어떤 것들이 있으며, 외부보안과 내부 네트워크 보안을 어떻게 적절하게 도입해 가장 이상적인 네트워크 무결성을 이룩할 수 있는지에 대해 서로 의견을 나누고 아이디어를 보태야 할 때다.

(3회 계속)