공격 대상 ‘누구나’...기본적인 취약점부터 해결해야

 

“이제 더 이상 보안이 왜 중요성을 강조하지 않아도 될 만큼 충분히 당했고 당하고 있으며 당할 것이다.” 얼마 전 만난 국내 한 보안 전문가의 이야기다.

[보안뉴스 오병민] 그동안 보안의 중요성을 이야기하기 위해서는 유명한 보안 사고의 예를 들어야 했고 이런 사고의 피해자는 당신이 될 수 있다는 이야기를 해야만 했다. 그러나 이제는 이런 이야기는 불필요 할 것 같다. 이미 충분히 봐왔고 당했기 때문이다. 그러나 더 중요한 것은 그동안 운이 좋아 사이버공격을 피했다 하더라도 이제는 더 이상 운으로 피할 수만은 없다는 사실이다.

“왜 그럴까?”

최근 나타나는 사이버 공격을 살펴보면 두 가지 유형을 찾아볼 수 있다. 하나는 중요한 기관이나 기업을 정해 꾸준히 공격하는 유형이고 또 하나는 광범위하게 불특정 다수를 노린 해킹 공격이다. 물론 전자처럼 공격자가 특정 대상을 노리고 공격할 때 이를 막는 다는 것은 불가능하다. 그리고 모든 인터넷사이트와 이용자들은 후자의 유형 때문에 아무리 운이 좋아도 언젠가는 해킹공격에 피해자가 될 수 있다.

게다가 후자의 불특정 다수를 노린 공격은 대부분 자동화된 공격으로 진행된다. 스스로 웹취약점을 찾아 공격하는 방식이기 때문에 공격자들도 더 이상 일일이 사이트를 찾아 공격할 필요가 없어졌다. 이런 공격이 가능한 이유는 기본적인 해결돼야 할 보안 취약점들이 방치돼 있기 때문이다.

이런 문제는 예전부터 있어왔지만 이를 이용한 공격은 최근 부쩍 늘어났다. 인터넷을 이용한 금융거래가 증가하고 온라인게임을 통한 아이템거래가 돈이 된다는 것을 범죄자와 범죄 집단들이 알게 됐기 때문이다. 법을 무서워하지 않는 그들은 사이버공격처럼 큰 희생과 노력 없는 범죄수단은 흔치 않다고 여기면서 점차 물리적인 범죄에서 사이버범죄로 눈을 돌리고 있다.

돈을 노리는 범죄자들이 얼마나 악독하고 끈질긴지 굳지 당해보고 싶지 않다면 대책을 세워야한다. 그러나 대책을 세우기전에 우선 인정해야할 것이 있다. 첫 번째는 우선 모든 인터넷 사이트들은 크고 작은 보안취약점을 가질 수밖에 없다는 점이고 두 번째는 이런 취약점들을 전지전능한 능력이 없는 한 단번에 해결할 수 없다는 점이다. 그리고 세 번째는 투자 없이 지금까지의 인력과 기술로만 해결하려고 하면 안된다는 사실이다.

일단 기업이나 기관에 맞게 적당한 전담인력을 꾸려 해결할 수 있는 기본적인 취약점부터 해결하길 권유한다. 우리나라의 대부분의 웹 사이트들은 SQL인젝션을 비롯한 기본적인 취약점만 해결해도 자동화된 공격에 어느 정도 대응할 수 있다. 그리고 타깃 공격을 막기 위해 취약점을 꾸준히 찾고 개선하는 작업이 병행돼야 할 것이다. 이제는 더 이상 피할 수 없다.

[오병민 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>