우회기법 많아 1회성 아닌 지속적인 대응이 필수

2·3차 피해 막기 위해서는 OS보안패치와 백신 사용 중요

Web 2.0 환경에서 가장 큰 보안위협은 XSS라 해도 과언이 아닐것이다. MySpace의 개인정보를 유출했던 Samy웜도 XSS 원리를 이용한 웜이었을 정도로 XSS의 파급효과는 대단하다.

국내에서도 방문자추적 프로그램 등이 XSS의 원리를 이용하여 이뤄질 정도로 XSS는 보안업계 종사자에게는 골칫거리로 알려져 있다.

이에 모 포털 보안담당자는 “XSS 취약점 공격에 대해서는 1회성이 아닌 지속적인 대응이 필수적이며 2차 피해를 막기 위해서는 사용자들의 보안 강화 노력도 상당히 중요하다”고 밝혔다.  

모 포털사 보안담당자는 “현재  웹소스 단에서 모든 파라미터에 입력되는 문자들을 검증하고 있다고 한다. 하지만 우회 기법이 많아서 지속적인 점검이 필수적이다. 포털은 특성상 외부업체와의 제휴가 많은데, 이러한 CP업체들과의 업무제휴 이전에 XSS를 비롯한 주요 웹취약성들을 점검해 보안성을 강화하고 있다”고 밝혔다.

또한 1회성에 그치는 것이 아니라 분기별로 전체 서비스 페이지에 대해서 웹취약성 점검을 시행하고 있다고 한다.

그중 XSS는 신규패턴이 늘어남에 따라 지속적으로 관심을 갖고 점검하는 것이 가장 중요한 대응방법이라고 밝혔다.

한편 2차 피해를 막기 위해서는 사용자들의 보안강화 노력도 중요하다고 전문가들은 말하고 있다.

모 포털 보안담당자는 “XSS 자체로는 직접적 개인정보가 유출되기 어렵다. 이미 대부분의 포털이나 주요 인터넷 사업자들은 쿠키를 암호화 하는 등의 1차적인 대응은 하고 있다”며 “하지만 XSS에 취약한 게시판을 이용해  제3의 페이지로 연결시켜 악성코드를 다운로드받게 할 수도 있고 패치가 안된 PC를 웜에 감염시킬 수도 있기 때문에 주의를 기울여야 한다”고 말했다.

덧붙여 그는 “이러한 2·3차 피해를 최소화하기 위해서는 사용자들 역시 OS패치에 신경쓰고 안티바이러스 백신 등을 설치하는 노력을 게을리 해서는 안된다”고 강조했다.

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>