사이버 보안 기본 원칙, 충실히 지키는 정신적 마인드 무장 필요

지난 5월 전 세계 150여 개국 50여만 대의 컴퓨터를 강타하며 세상을 떠들썩하게 만든 워너크라이(WannaCry) 랜섬웨어 사건이 발생하고 불과 얼마 지나지 않아 우리들의 기억 속에서 말끔하게 사라졌다.

지난 5월 12일을 기억해보면 방송 뉴스와 인터넷 포털 사이트의 실시간 검색 1위를 차지하며 당장 엄청난 인터넷 대란이 발생될 것만 같은 느낌이었다. 하지만 우리나라는 다행히도 발 빠르게 상황을 전파해 피해를 최소화 할 수 있었다. 물론 사건의 시작이 주말에 시작된 데다가 해외 보안전문가의 킬 스위치 작동으로 확산이 느려지는 행운이 따랐고, 이에 정부, 기업, 개인이 대응할 수 있는 시간을 충분히 벌수 있었다.

워너크라이 랜섬웨어에 대한 위험성을 머릿속에서 지워버린 우리와 반대로 워너크라이 랜섬웨어는 여전히 진행 중이었다. 지난 21일, 22일에 일본 혼다 공장의 자동차 생산 차질과 호주의 빅토리아주 55개 교통카메라 감염 등의 워너크라이 랜섬웨어 공격사례가 보고됐으며, 이같은 사례는 오래된 컴퓨터를 시의적절하게 조치하지 않아 발생한 사건이다. 이는 비단 외국에서 발생한 사건사고라고만 볼 수 없다. 우리나라에서도 언제 어디서든 일어날 수 있는 가능성이 농후하다는 일부 의견을 부정할 수 없을 것이다.

이러한 우려가 현실로 이어졌다. 지난 27일 밤 페트야(Petya) 랜섬웨어가 크게 퍼지더니 러시아, 우크라이나, 프랑스, 스페인 등 전 세계적으로 감염이 보고되었다. 더욱 큰 문제는 공항, 방사능 탐지 시스템, 선박회사 등 사회 인프라 부문이 집중적으로 타격을 받아 충격을 더했다는 점이다. 또한, 우리나라에서도 감염 규모는 작지만 페트야 랜섬웨어에 감염되었다는 글이 트위터에 속속 올라오고 있다.

페트야 랜섬웨어는 새로운 취약점을 이용하여 감염시키는 방식이 아니고 지난 5월에 전 세계를 강타한 워너크라이와 같은 SMB(Server Message Block) 취약점을 이용하는 것으로 알려졌다. 그렇다면 지난 27일에 페트야에 의해 감염된 시스템은 워너크라이가 전 세계 PC를 상대로 맹위를 떨칠 당시 아무런 조치를 하지 않아 발생했다는 것을 입증하고 있는 셈이다.

우리나라는 지난 10년간 국민들을 불안에 떨게 할 만큼 굵직한 사이버 공격을 여러 차례 받았다. 그럴 때마다 국가적 차원의 사이버 컨트롤타워 설립 추진, 사이버 보안 예산 증액, 시스템적 보안 솔루션 도입, 사이버 보안 인력 확충 등 다양한 보완책이 제시되었고, 이로 인해 과거에 비해 다양한 분야에서 사이버 보안 역량이 크게 향상되었다. 하지만 이렇게 시스템적 사이버 방어 프레임워크가 잘 수립되었다고 한들 개인 스스로가 사이버 보안의 기본 원칙을 무시하거나 간과한다면 이러한 시스템은 무용지물이 될 것은 불 보듯 뻔하다.

“인간은 본성상 망각하는 동물”이라고 한 니체의 말대로 과거 농협사태, 3.20 사이버테러, 한수원 사고 등 주요 테러급 사이버 공격을 살펴보면, 우리 스스로가 사이버 보안의 기본 원칙을 무시하거나 간과하여 발생했다. 사이버 공격이 발생할 때마다 정보자산을 보호하기 위해 사이버 보안 솔루션 도입, 사이버 보안 프로세스 개선, 방어 시스템 고도화 등 부단한 노력을 지속해 왔다. 하지만 주요 사이버 공격에 대한 분석 보고서 결과가 말해주듯 대부분의 문제의 시작은 본인 스스로가 사이버 보안 기본 원칙을 무시하거나 간과했기 때문에 발생됐다.

현재는 PC 뿐만 아니라 스마트폰은 물론 더 나아가 IoT(Internet of Things) 기술이 발전되면서 인터넷이라는 네트워크는 우리가 움직이는 모든 곳에 연결되어 있다. 이로 인해 삶이 윤택해지고 편리해진 것은 사실이나 하루에도 수십 개씩 쏟아지는 소프트웨어 버그리포트 등 취약점이 발표되는 것 등을 볼 때 인터넷을 통한 사이버 위협은 점점 확대되고 있다. 이렇듯 개인 스스로 지켜야 할 대상이 과거에는 PC에 한정되었지만 현재는 PC 뿐만 아니라 스마트폰, IoT 기기까지 확대되었음을 스스로 깨달아야 한다.

또한, 글로벌 보안업체인 시만텍에 따르면 하루 약 6만여 개의 새로운 악성코드가 생성되고 있으며, 지속적으로 증가하는 추세다. 더욱 문제가 심각한 것은 카이스트 사이버보안연구센터(CSRC: Cyber Security Research Center)의 발표 자료를 살펴보면 최근 발견된 새로운 악성코드 중 분석환경을 회피하는 지능형 악성코드가 68%에 이른다고 한다. 이는 새롭게 발견되는 악성코드를 분석하기 위한 노력과 시간이 과거에 비해 늘어나고 있음을 실증하는 것이며, 분석이 완료되어 백신 업데이트, 보안 패치 등의 조치가 이뤄질 때까지 우리의 시스템은 ‘물가에 내다 놓은 아이처럼’ 분석되지 않은 악성코드에 그대로 노출 및 방치되고 있다는 사실을 대변하고 있는 셈이다.


따라서 우리는 개인 스스로 지켜야 할 개인 정보체계가 PC에서 스마트폰 및 IoT 기기까지 확대됨에 따라 사이버 보안을 위해서 국가정보원에서 권고하고 있는 정보보안 생활 수칙, 사이버 보안 관련 기관 및 주요 보안전문 업체에서 권고하는 보안 이슈사항에 대해 본인 스스로 관심을 키워 나가야 하며, 특히 사이버 보안 기본 원칙을 충실히 지키는 정신적 마인드가 어느 때보다 필요한 시점이다.

국가정보원에서 권고하는 정보보안 생활 수칙 10가지 사항은 본인 외에 다른 누군가에 의해 지켜질 수 없는 항목들이다. 집에 도둑이 드는 것을 대비하여 외출할 때 현관문을 잠그듯이 우리의 시스템을 보호하기 위해서 스스로 정보보안 생활 수칙을 지켜야 한다. 사실 워너크라이나 페트야 랜섬웨어의 공격 방식은 전 세계를 강타하기 이전에 이미 취약점 및 위험이 예견되어 여러 차례 경고가 있었다. 하지만 결론적으로 말하자면 워너크라이 및 페트야 랜섬웨어에 감염된 시스템 및 PC 사용자는 이러한 사이버 위협에 무방비 상태로 스스로를 노출시킨 것이나 마찬가지다.


백신 업데이트나 보안 취약점 패치 등 사이버보안 기본 원칙을 스스로가 준수한다면 다양한 사이버 위협에 대한 노출을 최소화할 수 있을 것이며, 개인이 방어할 수 있는 수준의 사이버 공격은 100% 완벽히 방어할 수 있다. 또한, 개인의 방어체계 하나하나가 해커의 중요한 공격 포인트를 차단시켜 해킹사태가 조직으로 확대되거나 더 나아가 전 세계적으로 확대되는 것을 효과적으로 방지할 수 있다.

최근의 사이버 위협 추이를 볼 때 날로 위험성이 커지고 있으며, 다양한 기법을 통해 시시 때때로 우리를 노리는 사이버 위협을 차단 및 방어하기 위해 이제는 보안담당 기관 및 전문 보안 업체에 위임하는 수동적 자세에서 벗어나서 스스로를 지키는 능동적인 정신적 마인드가 절실히 필요하다. 개개인이 사이버 보안을 지키는 능동적인 정신적 마인드로 똘똘 뭉쳐 10, 20년 후에도 세계 최고의 IT 강국 위상을 지켜내는 대한민국을 상상해 본다.
[글_ 육군본부 정보화기획참모부장 소장 임영갑]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>