코드엔진을 통해 본 ‘진정한’ 보안취약점 찾기

제10회 코드엔진 컨퍼런스 성황리 개최...초중급 세션으로 나눠 진행

심준보 멘토 “근본부터 분석해 취약점 알아내는 것이 진정한 취약점”

[보안뉴스 민세아] 지난 5일 전문건설회관에서 코드엔진 컨퍼런스가 성황리 개최됐다. 이날 컨퍼런스는 10회 째를 맞아 보안에 관심 있는 사람이면 무료로 입장할 수 있도록 했고, 초급세션과 중급세션을 시간대별로 나누어 진행했다.

이날 행사는 딜로이트안진회계법인 김경곤 매니저가 보안전문가를 꿈꾸는 사람들이 선택할 수 있는 다양한 진로를 소개한 ‘사이버보안 커리어 로드맵’ 강연으로 시작됐다.

이어 ‘급전이 필요합니다’를 주제로 발표한 심준보 BoB 멘토는 과거에 취약점을 찾는 것은 개인적인 취미 혹은 연구목적이었으나 이제는 얼마든지 돈을 벌기 위한 수단이 될 수 있다고 전했다.

보안사고는 소프트웨어 취약점에 기인하는 경우가 많지만, 개발자들은 소프트웨어를 개발할 때 취약점을 생각하며 프로그래밍하기가 어렵다는 것. 그러나 해커는 다르다는 게 심준보 멘토의 설명이다.

“예를 들어 웹 취약점을 점검해보기 위해 해커가 SQL 인젝션 공격을 시도한다면 기본적으로 잘 알려진 따옴표와 짝대기를 먼저 입력해볼 겁니다. 그런데 공격이 막히겠죠. 그럼 해커는 ‘어떻게 막았지?’하는 궁금증을 갖게 되고 해당 웹사이트에서 어떤 문구를 필터링하는지 결국 알아냅니다. 그리고 해커는 그것을 응용해 새로운 SQL인젝션 공격문구를 만들어내는 것이죠.”

이처럼 해킹공격을 할 줄 아는 사람과 개발만 해온 사람의 시각이 다르므로 소프트웨어 이상징후의 원인이 뭐고 프로그래머가 실수하는게 무엇인지 생각해낼 수 있어야 한다는 얘기다.

또한, 공격이 가능한지만 생각하지 말고 근본부터 분석해서 취약점을 알아내야 진정으로 취약점을 찾은 것이라고 심준보 멘토는 설명했다.

한편, 이날 오전부터 진행된 초급세션은 △김경곤 ‘사이버보안 커리어 로드맵’, △심준보 ‘급전이 필요합니다’, △장기헌 ‘삽을 만들어야 땅을 파지’, △조제경 ‘너도 나도 다같이 리버싱’, △이창민 ‘모바일 게임 해킹을 해보자’ 순으로 진행됐다.

중급세션으로는 △정광운 ‘안드로이드에서도 한번 후킹을 해볼까?’, △최원혁 ‘숨겨진 베일을 벗겨라’, △노용환 ‘디버거 개발-삽질기’, △김학수 ‘하이퍼바이저 루트킷, 어디까지 가봤니?’의 강연이 펼쳐졌다.

[민세아 기자(boan5@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)