스펙터, 멜트다운, 아파치 스트러츠, 사이버 공간 속 숨겨진 지뢰들
생체 정보 활성화되기 시작하면서 실수 터져 나오기 시작할 듯

[보안뉴스 문가용 기자] 2018년도 그랬지만, 2019년도 보안 전문가들에게 있어 만만치 않은 한 해가 될 전망이다. 새로운 위협과 새로운 공격 단체, 새로운 정책들이 등장하면서 이미 복잡하기 짝이 없는 보안 위협 지형도를 더 복잡하게 만들 것이기 때문이다. 이러한 것들에 대해, 전문가들의 의견을 빌려 조금 더 구체적으로 예측해보았다.


스펙터 관련 오류들, 더 많이 나온다
2018년은 새해부터 스펙터(Spectre)와 멜트다운(Meltdown) 취약점이 등장하면서 IT 업계 전체가 들끓었다. 이 취약점은 지난 10년 동안 생산되고 전 세계로 퍼진 각종 장비들의 칩셋에서 발견된 것으로, 사실상 현대 컴퓨터 장비 모두를 취약하게 만드는 오류였다. 게다가 너무나 근본적인 구조에서부터 발생한 문제이기 때문에 패치 몇 개로 해결될 수 없었다. 그래서 한 해 내내 멜트다운과 스펙터 변종 취약점들이 등장했고, 이 흐름은 2019년에도 지속될 것으로 보인다.

사물인터넷 공격, 더 정교해진다
몇 년 째 말만 많았던 것 같은 사물인터넷 시장이 올해는 그야말로 폭발할 것으로 예상된다. 네트워크와 컴퓨팅 파워가 이러한 폭발을 지탱해줄 정도로 발전할 것이기 때문이다. 하지만 예전부터 지목됐던 보안 문제는 해결되지 않은 채 소비될 가능성이 매우 높다. 우리는 2016년 미라이(Mirai) 봇넷부터 시작해 올해 사물인터넷 장비를 겨냥한 암호화폐 채굴 공격까지 목격했다. 사물인터넷 시장이 중흥기를 맞기 시작하면서 이러한 공격은 더 극성을 부릴 것으로 보인다. 사물인터넷 랜섬웨어, 사물인터넷 APT 공격, 사물인터넷 데이터 유출 사고가 예상된다.

랜섬웨어, 다시 전성기로 돌아간다
비트코인이나 모네로를 비롯해 각종 암호화폐 코인들의 가치가 오르면서 암호화폐를 채굴하려는 공격자들의 시도가 그 어느 해보다 사납게 진행된 것이 2018년의 특징이다. 그에 따라 랜섬웨어가 왕좌에서 내려오기도 했었다. 그러나 현 시점에서 암호화폐 채굴 공격이라는 유행은 한 풀 꺾였다는 게 전문가들의 의견이다. 암호화폐의 가격이 다시 올라가지 않는 이상, 암호화폐 채굴 공격은 계속해서 하락세를 보일 것이다. 그러면서 랜섬웨어가 예전 악명을 되찾고 있다. 이미 삼삼(SamSam)과 갠드크랩(GandCrab) 등이 활동적으로 감염자를 늘리고 있고, 앞으로 더 많은 랜섬웨어 패밀리들이 등장할 것으로 보인다.

OT와 IT, 융합한다
산업 현장에서는 원격 모니터링 기술이 빠르게 도입되고 있다. 그러면서 운영 기술(OT)과 정보 기술(IT)이 빠르게 융합하고 있다. 동시에 가장 중요한 시스템들이 사이버 공격에 노출되는 경우가 늘어났다. 앞으로 IT 인프라와 OT 환경의 경계가 더욱 흐려질 전망인데, 그럴수록 기존 OT 시스템을 위협하는 요소들이 비례적으로 늘어날 것으로 보인다. 이는 사회 기반 시설을 노리는 공격자들의 노림수와 맞물려 큰 사고로 이어질 가능성도 높다.

패치 속도, 더 빨라진다
2018년 동안 가장 많이 나왔던 보안 조언 중 하나가 있다면 ‘패치하라’를 꼽을 수 있다. 또한 많은 업체들이 ‘90일’이라는 기간을 암묵적으로 지켜내기도 했다. 취약점을 발견한 자가 그 내용을 공개하려면 패치가 나오기까지 최소 90일을 기다려야 한다는 이 ‘90일의 규칙’은 2017년까지 논란의 대상이었다가 2018년 정착했다. 하지만 얼마 전부터 “90일도 너무 길다”는 목소리가 나오기 시작했다. 현대 공격자들이 보여주는 속도를 생각하면 이것이 30일 이하로 줄어들어야 한다는 주장이 나오고 있는데, 2019년에는 이 논란이 본격적으로 이뤄지고, 패치 주기가 실제로 줄어들 것으로 보인다.

생체 정보, 여전히 불안하다
2018년에는 생체 인증이 빠르게 확산되기 시작했다. 특히 은행 등 주요 기관에서 사용자를 인증하는 데에 있어 생체 정보가 널리 도입된 것이다. 2019년에도 이러한 흐름은 지속될 것으로 보이는데, 이 때문에 생체 인증 데이터베이스와 관련된 보안 사고들이 터질 것으로 예상된다. 클라우드가 활성화되면서 여러 ‘환경설정’ 오류들이 등장했던 것처럼(이 때문에 해커가 훔친 정보보다, 실수로 흘린 정보가 더 많기도 했다) 생체 정보라는 걸 익숙하게 다루지 못하면서 생기는 구멍들이 2019년 드러날 것이다.

공급망 공격, 멈출 이유가 없다
해커들에게 있어 2018년 가장 큰 성과라면, 공급망 공격을 계속 성공시켰다는 것이다. 현대의 기업들이 오밀조밀한 관계성을 유지한 채 살아가고 있고, 디지털 경제 체제가 자리를 잡아가기 시작하면서 형성되는 각종 기업 간 네트워크에 취약점들이 도사리고 있다는 걸 보안 커뮤니티에 알린 것이다. 우리는 엉성한 주제에 빠르게 연결되어 가고 있고, 그걸 해커들이 기똥차게 알아채 공격을 시작한 것인데, 마땅한 해결책이 없다. 기업들 사이의 네트워크 전체를 관리할 수 있는, 엄청난 권한을 가진 단일 조직이 등장하는 것이 아니라면 해결이 어려워 보이는 것이 사실이다. 따라서 해커들은 이 부분을 마음껏 유린할 것으로 보인다.

프라이버시 관련 법안, 많아진다
2018년은 페이스북을 위시로 해 여러 ‘거인들’이 프라이버시 침해를 일으켜 뭇 사람들의 손가락질을 받은 해다. 이 때문에 사람들은 프라이버시 문제에 더 민감해졌고, 이에 상응하는 논의들이 이뤄졌으며, 법안들이 마련되기 시작했다. 그 결실이 2019년에 구체적으로 열릴 전망이다. 아마도 유럽연합이 설정한 GDPR과 비슷한 맥락에 있는 규정들이 여러 곳에서 생겨나지 않을까 하는데, 이 때문에 실리콘밸리는 물론 정치판에서도 시끄러운 소리들이 적잖게 나올 것으로 보인다. 보안을 강조하는 사람들과 자유와 사생활 보호를 외치는 목소리가 ‘적과의 동침’을 이뤄내야 할 것이다.

GDPR, 효력이 나타나기 시작한다
2018년 5월 GDPR이 도입됐다. 그 후로는 조용했다. GDPR의 진정한 효과는 2019년부터 발휘될 것이라는 전망들이 나오고 있다. GDPR이 예고했던 무시무시한 벌금을 가장 먼저 부여받은 기업이 2019년에 나올지 모른다. 하지만 그 전에 기업들은 GDPR을 준수하기 위한 전문가 고용과 솔루션 마련, 직원 훈련을 실시할 것으로 보인다. 한 전문가는 “GDPR 준수를 위한 노력은 물밑에서 계속 진행되고 있으며, 그 흐름은 내년에도 쭉 이어질 것”이라고 전망했다.

아파치 스트러츠, 지뢰밭을 만든다
에퀴팩스(Equifax) 해킹 사건의 중심에 있던 아파치 스트러츠(Apache Struts) 취약점이 다시 한 번 사고를 칠 것이라는 예측들이 나오고 있다. 왜? 아파치 스트러츠가 인터넷에 연결된 수많은 프로그램에 통합되어 있는 요소이기 때문이다. 따라서 전통적인 취약점 스캐너로는 탐지가 어려우며, 아직까지도 많은 요소들이 발견되지 않은 채 남아있을 가능성이 매우 높다. 즉 우리의 인터넷 공간에 아파치 스트러츠라는 지뢰들이 숨어있다는 소리다. 이런 건 보안 전문가들보다 공격자들이 잘 발견해왔다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>