'디도스 대란'에 해당되는 글 1

  1. 2010.07.07 7.7 DDoS 대란 1주년에 생각해 보는 3가지 이슈 (9)

7.7 DDoS 대란 1주년에 생각해 보는 3가지 이슈

보안 이야기 2010.07.07 13:49

7.7 DDoS 대란이 난 지 어느덧 1년이 되었다. ‘벌써라는 기분이 들 정도로 바삐 지나간 한 해였다. 사실 그 동안 사회 곳곳에서 이에 대비한 준비도 많이 이루어졌다. ‘디도스’, ‘좀비 PC’와 같은 전문 용어들이 일상 뉴스에 등장할 정도로 인식도 바뀌었고, 기업이나 기관의 최고 경영층도 관심을 기울이기 시작했다. 실질적인 투자와 준비 태세를 잘 마련한 곳도 있다. 허나 아직도 겉치레적인 준비에 머무르거나 아직 지체되어 있는 곳도 적지 않다.

 

게다가, 사이버 공격의 진원지인 악성코드나 위협의 강도도 세진 것이 현실이다. 다음 단계로 진화하고 있는 악성코드를 볼 때에 고민의 무게는 더해진다. 사회공학적 기법은 기본이고, 전문가도 속아 넘어갈 정도로 악성코드의 유형은 교묘해지고 배포 방식은 다각화하고 있다.

 

7.7 DDoS로 인해 언론 출연, 국정감사 증인 출석, CNN의 라이브 인터뷰 등, 기업인으로서는 색다른 경험도 많이 했다. 그러한 활동으로 인해 부러움과 시샘(?)의 눈초리를 받기도 했다. 여러 곳에 불려 다니는 것을 보면 충분히 그런 생각을 할 수 있다. 그러나, 수 차례 외침이 허공 속에서 사라지는 것을 보았을 때의 허탈함은 결코 즐거운 경험이 아니었다.



보안 전문 인력에 대한 논의가 빠지면 소용 없어 


과거부터 보안 사고가 피상적인 문제점만 노출된 채 넘어간 경우를 숱하게 보아 왔다
. 특히 보안에 대한 대비책을 세우고, 모의 훈련을 하고, 새로운 법과 정책을 만들어야 한다는 논의가 활발한 가운데, 정작 이러한 프로그램의 가장 중요한 요소가 빠져 있었다. 바로 보안 전문 인력 부족 문제다. 실제로 일을 할 인력이 없다면 백방의 대책이 무슨 소용이 있겠는가?

 

어떤 IT 기업 임원이 보안 업체들은 괜히 겁 주어서 돈 벌려고 하는 것 아니야?”라고 하자, 그 옆에서 어떤 분은 사고가 나야 보안 업체들이 좋잖아?”라고 맞장구 친다. 그런 광경을 보게 되면 15년을 정보보안에 종사한 이로서 자괴감마저 느낀다.

 

지금 이 순간에도 우리 회사 24시간 관제 센터에서는 분, 초 단위로 침해 위협의 가능성이 있는 이벤트가 티켓 형태로 끊임없이 올라온다. 10년 경력의 악성코드 분석가가 더욱 정교화되어 가는 악성코드에 난감해 하는 모습을 보면 안타깝다. 하도 답답해서 글로벌 기업의 CEO나 경영진도 만나 봤다. 어느 누구도 이제 보안 기술은 어느 정도 안정화되었다라고 하는 이들은 없다. 악성코드에 대비하는 기술과 아키텍처를 위해 끊임없이 투자하고 연구하는 이유가 여기에 있다.

 


7.7 DDoS 1주년을 맞이해서 키워드가 될만한 3가지를 생각해 보았다.

첫째, 보안 위협은 진행형이다. 이미 사이버 위협은 범죄 행위의 영역으로 들어갔다. 테러, 공격, 협박, 사기, 도둑질 - 모두가 범죄 용어 아닌가? 역사적으로 어느 누구도 범죄 행위의 발생 자체를 막을 수는 없었다. 범죄를 줄이기 위한 법과 제도, 교육은 가능해도 범죄는 인류 역사상 영원히 같이 가야 할 숙제다. 오히려 기술이 발달하고 복잡다단한 사회가 될수록 더욱 지능화되고 조직적 형태를 띄는 것이 범죄의 속성이다. 따라서, ‘이제 디도스는 해결되었다라는 표현은 적절치 않다. 아무도 그런 단언을 할 수는 없다. 기술, 프로세스, 사람의 측면에서 항상 준비하는 자세가 필요하다.

 

둘째, 사이버 공간에서도 일반 사회 생활과 같은 인식이 필요하다. 우리가 살고 있는 사회에는 우범지역도 있고 소매치기도 있다. 법과 제도도 중요하지만 시민 의식이 받쳐주어야 한다. 소매치기로부터 자신의 지갑이나 가방을 지키는 심정으로 사이버 위협으로부터 자신의 PC를 다루면 안 될까? 우범지역을 피하듯이 검증되지 않은 사이트나 콘텐츠를 피하면 안 되는가? 자동차를 가지고 일반 도로에 나오는 마음가짐으로 PC를 통해 인터넷에 들어가면 안 될까? 이미 인터넷은 일반인에게 보편화된 지 오랜 세월이 흘렀고 그 가운데 사이버 위협은 우리 생활 속의 한 요소다. 이를 백분 인정하고 스스로를 지키는 시민 의식이 아쉽다.

 

셋째, 보안 전문가가 인정 받아야 한다. 현재 발생하는 악성코드는 10-20년 전 컴퓨터 바이러스 잡던 시대와는 양적으로나 질적으로 차원이 다르다. 돈을 벌기 위해 혈안이 된 프로 해커들이 악성코드를 만들고 있다. 신형 악성 도구를 유통시키고 청부 공격도 자행한다. 가짜 백신은 웬만한 소프트웨어보다 더 많은 다국어 버전으로 제작되고 있다. 그만큼 암시장이 형성되어 있다는 얘기다. 프로의 상대는 프로일 수 밖에 없다. 그래서 보안에서 스페셜리스트의 역할과 존재가 아주 절실하다. 우수한 보안 전문가를 얼마나 보유하고 있는가가 우리 사회의 사이버 안전도의 척도다.

 


안타깝게도 보안 인력이 되고자 하는 이들은 계속 줄고 있고, 기존 인력들마저 보안 전문가의 길을 떠나고 있다. 아주 심각한 상황이다. 내가 어느 회의에 가든지 한 가지만 얘기하라면 서슴지 않고 보안 전문가의 부족 사태를 꺼낸다. 보안의 중요성을 외치는 수많은 추상적 논의보다 1명의 스페셜리스트가 더 소중하다. DDoS 1년이 지나는 시점에 여전히 아쉬운 부분이다.

IT는 이제 스마트폰, 컨버전스, 클라우드, 소셜네트워크로 지축이 바뀌는 패러다임 변화를 겪고 있다. 그럴수록 인터넷을 중심으로 한 개방형 환경은 사회적 인프라가 될 것이다. 보안은 그 속에서 신뢰와 안전이라는 틀을 지키는 핵심 요소다. 그런 점에서 실력을 갖춘 보안 전문가는 이 사회에 여러 형태로 공헌한다고 확신한다. 가장 큰 투자는 사람에 대한 투자임을 다시 한번 진지하게 호소한다. Ahn


신고