7.7 DDoS 대란, 좀비 PC는 '피해자'이면서 '가해자'

16일 개최된 7.7 DDoS 대란에 대한 패널 토론

16일 코엑스 그랜드컨퍼런스룸에서 개최된 ‘한 여름밤의 사이버전쟁, DDoS 공격과 대응방안’ 세미나에서는 이번 7.7 DDoS 대란에 대한 패널 토론이 펼쳐졌다.

이번 대란 대응의 가장 큰 문제로 민간과 정부를 아우르는 컨트롤타워의 부족을 손꼽았다. 특히 지휘계통에서 전문가가 부족했다는 점도 지적됐다.

장영환 행안부 정보보호정책과장은 “CSO들이 모여 정보를 공유하고 대응전략을 신속히 하는데 미숙해 정보공유가 잘 안됐다”며 “대응체계 투자도 중요하지만 통신, 보안, 정부기관이 모여 문제를 집중적으로 분석하고 패턴을 분석해 의사결정을 신속히 해서, 바로 대응하고 전파하는 체계를 갖춰야한다”고 주장했다.

임종인 고려대 교수는 “정통부가 사라지고 기능이 축소되면서 여러 부처로 나뉘어 협조 조정이 안됐으며, 정통부 당시는 국장급 지휘계통이 있었지만 지금은 팀장수준이기 때문에 의사결정을 신속하게 못하고 민간사업자와 관계기관의 공조도 잘 이뤄지지 않았다”며 “각 부처마다 역할이 있고 사각지대도 있기 때문에 하나로 통일하자는 것보다 하나처럼 조정을 잘하는 것이 중요하다”고 강조했다.

체계적인 대응이 안 된 이유로 전문가의 부재도 거론됐다.

장영환 과장은 “이번 대란에서 가장 큰 문제점은 전문가가 없었다는데 있으며, 가령 각 기업이나 보안업체에서 메시지를 주면 이를 알아서 조치할 수 있는 선수가 있어야하는데 상당히 미흡했다”고 지적했다

임종인 교수는 “일단 이번 사태에서 코드분석이 늦었다는 것은 기술적 한계를 드러낸 것이라 볼 수 있다. 이런 기술적 한계는 전문가의 부족으로 인력 인프라 수준이 낮았다고 볼 수 있다”며 “인적 인프라가 부족한 것은 전문가를 키우는 대학이 부족하다고 볼 수 있는데, 가령 해킹을 좋아해도 고등학교를 졸업하면 갈만한 대학이 없어 해킹은 취미로 전락하고 있는 상황이기 때문에 수도권 대학에 정보보호 학과 설치를 유도하는 방법도 제시 돼야 한다”고 제안했다.

김광조 KAIST 교수 “우리는 앞으로 뭘 할 것인지 학습을 해야 한다. 이번에 민군(민간사업자)이 해결했다면 다음에는 관군(정부)이 해결했다는 이야기가 나오도록 해야 한다. 그러기 위해서는 전문가가 필요하지만 그러기 위해서는 근본적인 원인을 해결해야한다. 현재 IT의 매력이 떨어지고 있고 IT가 추락해 이런 환경이 됐다. IT가 추락하니 산업인력도 없고 학생도 없다. 근본적인 문제를 해결하지 않는다면 전문 인력이 없어 방법이 없다. 이 사태는 핵심적인 고급인력이 가장 필요하다”고 주장했다.

정보보호 산업이 커져야 전문 인력도 늘어난다는 주장도 나왔다. 현재 정보보호 산업의 특성상 전문인력을 양성하기 힘든 구조라는 것.

박동훈 지식정보보안산업협회장은 “현재 정보보호산업은 영세하기 때문에 정보보안 인력이 오래 있지 못하게 하는 구조로 돼 있다”며 “정보보호 산업이 커져야 전문가도 나올 수 있다”며 정보보호산업 구조를 거론했다.

박동훈 회장은 “현재 IT로 발생할 수 있는 경제혜택은 엄청난데 비해 역기능으로 일컬어지는 보안 쪽에 대한 투자는 매우 미비한 상황으로, 가령 IT의 일부분인 전자상거래 규모만 해도 작년 630조원에 이르렀지만 정보보안 시장의 규모는 7천억원에 그치고 있다”고 설명하면서 “정부도 정보보호 산업 육성의 중요성은 알지만 집행과 개선이 안 되는 것 같다”고 지적했다.

이는 정부가 정보보호산업육성을 이야기하지만 유지보수율 조정이나 정부의 정보보호 예산비율 상향에 대한 소극적인 태도를 지적한 것으로 볼 수 있다.

한편, 이번 대란의 중심에는 사용자 인식이 가장 크게 작용했다는 지적도 있었다.

박철순 방통위 서기관은 “IT수준보다 보안수준은 낮은 상태에서 그 차이가 벌어져 이런 사태가 발생한 것 같다”며 “PC감염자는 피해자면서 가해자인 아이러니한 상황으로, PC이용자들이 개인 정보보호를 생활화 했다면 DDoS 공격이 없었거나 약했을 것”이라고 밝혔다.

조시행 안철수연구소 상무 “이번 공격에 대한 정보를 사용자들에게 알려도 사용자들은 크게 반응하지 않았다”며 “그러나 사용자 하드디스크 파괴라는 직접적인 피해가 있다는 이야기가 나오면서 비로소 관심을 갖더니 안철수연구소 사이트에서만 300만개의 대응백신이 다운로드 됐다”고 밝혔다.

윤웅희 KT 상무는 “이번 악성코드 샘플 수집 때 공격대상자 명단을 파악해 연락하고 협조를 구했지만 거의 수긍을 안해, 직접 접촉해 승인을 받는 데만 2시간이 걸렸다”며 “인터넷망은 오픈성 기술을 활용하기 때문에 불안정한 망에서 완전함을 추구한다고 볼 수 있어, 도로에서 교통법규를 지키듯 네트워크에 접속했을 때는 네트워크의 일원이라는 의무감을 가져야할 것”이라고 강조했다.

마지막으로 법제에 대한 부분도 도마에 올랐다. 법제에서 어느 정도의 의무성이 있어야 보안에 신경쓴다는 것. 하지만 긴급사태에 대한 대응 내용이 담긴 정보통신망법 개정안도 아직 국회에 머물러 있어 정치인들도 관심을 가져야한다고 지적했다.

박철순 서기관은 “현재 계류 중인 정보통신방법 개정안의 핵심내용 중 악성코드에 대한 삭제 요청권과 침해사고 발생시 망에 접속해 파악하고 조치할 수 있도록 하는 망접속요청권 신설이 포함돼 있다”며 “망접속요청권은 개인 정보나 회사의 기밀 노출을 막기 위해 침입과 관련된 내용만 볼 수 있도록 했다”고 설명했다.

[오병민 기자(boan4@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)