호스팅 업체 보안 취약점은 전체 호스팅 사이트에 퍼질 수 있어

중소형 웹사이트들의 해킹이 증가하고 있어 웹 호스팅 업체의 홈페이지 보안성 강화가 제기되고 있다.

얼마 전 국내 219개의 쇼핑몰 업체를 해킹해 결제 계좌를 바꾸는 방식으로 물품대금을 빼낸 범죄일당이 붙잡혔다. 이들 일당은 대형 인터넷쇼핑몰 대행 서비스에서 취약점을 파악해 해킹을 시도했으며, 피해 쇼핑몰들은 이 대행 서비스를 이용한 것으로 전해지고 있다.

보안전문가들은 이번 사례가 많은 웹사이트들이 이용하는 웹 애플리케이션이나 호스팅 서비스에서 보안 취약성이 드러날 경우 큰 피해를 야기할 수 있음을 보여주고 있어 의미가 크다고 설명한다. 특히 우리나라의 경우, 웹호스팅 기반 웹사이트 구축 사례가 많기 때문에 호스팅 업체들의 각별한 보안관리가 요구된다는 주장이다. 아울러 호스팅 이용자들이 보안에 취약한 공개 무료 게시판을 이용하는 사례도 많아, 무료 게시판 취약점을 통해 호스팅 업체의 보안을 위협하는 사례도 적지 않다.

이에 대해 서진원 KISA 수석연구원은 최근 개최된 해킹보안워크샵에서 “공개 게시판 등 취약한 공개용 웹 애플리케이션 사용과 보안 적용 코딩이 부족한 웹 애플리케이션 환경, 침투 시도 분석 등 지속적인 보안성 검증 절차 부족이 웹 보안 위협을 높이고 있다”고 주장했다.

그리고 서 수석연구원은 이런 위협을 줄이기 위한 웹 보안 강화 팁을 몇 가지 소개했다. 일단 그는 공개 애플리케이션의 취약성으로 인한 해킹 위협이 증가함에 따라, 공개 애플리케이션의 신규 패치나 업그레이드를 빼놓지 말아야한다고 전한다. 특히 구버전 제로보드나 테크노트 등의 공개 게시판 애플리케이션의 경우, 보안패치를 적용이 절실하다고 말한다. 아울러 관리자는 서버 로그에서 국외 IP에서 접속한 계정을 점검해 침입시도를 파악하고 공격자에게 유출된 계정 확인도 필요하다고 당부했다. 또한 SSH를 사용하면서 FTP를 동시 서비스 하는 등 불필요한 포트의 개방에 대해서도 경계하라고 조언한다.

주요 OS 파일 무결성 검사를 실시하고 주요 애플리케이션의 환경설정 파일 등을 확인해 위협에 노출돼 있는지 확인하는 작업도 강조했다. 그리고 영세한 기업의 경우, 공개 도구를 최대한 활용하면 어느 정도 보안위협을 해소할 수 있다고 강조했다.

서 수석연구원은 “KISA는 홈페이지 주요 취약성을 파악하는 보안성 강화도구 캐슬(CASTLE)과 웹 서버에 숨겨진 웹셀을 탐지해 관리자에게 통지하는 휘슬(ＷHISTL)을 보급하고 있기 때문에 이를 이용하는 것도 좋은 방법”이라고 말했다.

[오병민 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>