인터넷과 몸, 그리고 악성코드와 암

[보안&책] 홍혜걸 의학 전문기자의 닥터 콘서트 중에서

암과 멀웨어, 발생과 활성화 및 대책 측면에서 ‘닮은꼴’

[보안뉴스 문가용] 요즘 네티즌들 사이에서 ‘발암’ 혹은 ‘암 걸리겠다’는 표현이 종종 등장하는 걸 볼 수 있다. 어떤 현상이나 인물에 대해 ‘보고 있으니 답답하다’라는 마음을 담은, 바로 이전에는 ‘눈이 썩는다’는 것의 발전된 표현이라고 볼 수 있다. 잠깐만 보면 눈만 버리고 말걸 계속 보고 있으니 인체 내의 병으로까지 발전할 지경이라는 이 말 표현의 진화 현상은 병리학으로 봐도 참 합당하다.

암은 그 치료방법이 불완전하게나마 발전했다고는 하지만 여전히 한국인의 생명을 가장 많이 앗아가는 원인 중 하나이고, 그래서 지난 25일에 있었던 CISO협의회 총회에 초청된 홍혜걸 의학 전문기자의 ‘의사들이 해주지 않는 이야기’ 강연 내용 중 거의 대부분을 차지했다. 워낙 암 발병률이 높아 암에 대한 기본 상식을 대부분 알고 있지만 한해를 마무리하며 제일 먼저 돌봐야 할 건 건강이라는 생각에 강연내용을 알아듣기 쉽게 ‘보안의 언어’로 정리해 보았다.

먼저 알아야 할 건 사람의 몸이 굉장히 많은 세포로 이루어져 있다는 것과 이 세포들은 계속해서 새로운 것으로 바뀐다는 것이다. 새로운 것으로 바뀐다는 건 오래된 것이 사라진다는 건데, 우리 몸의 세포는 시간이 지나면 스스로 죽음을 택한다고 한다. 인터넷이란 공간 전체를 인체라고 볼 때, 각종 애플리케이션과 소프트웨어가 세포라고 할 수 있다. 사람 몸에서처럼 이 소프트웨어들도 계속해서 업데이트되며 업데이트 되는 순간 방금 전 버전의 소프트웨어는 사라지고 없어지는 것이니(롤백이 있긴 하지만) 둘은 굉장히 닮았다. 건강이란, 몸이나 인터넷을 이루는 각 개체의 업데이트가 계속해서 이루어지는 상태를 뜻한다.

그렇다면 ‘아픈 상태’는 간단히 말해 이 반대라고 볼 수 있다. 업데이트가 이루어지지 않는 상태 말이다. 원래는 자기 때가 지나면 자살을 하는 게 우리 몸의 세포라고 하는데, 아주 가끔 진시황제처럼 수명을 넘어 계속 살고자 하는 녀석이 나타난다. 이게 바로 암세포다. 안드로이드 4.1.1버전을 4.1.2로 업데이트를 아무리 해도 계속해서 4.1.1로 남아있다고 상상해보라. 심지어 서비스가 종료된 윈도우 XP를 아무리 밀고 수십 번 포맷해도 계속해서 시스템에 남아있다고 생각해보라. 당신은 수리센터가 아니라 종교기관에 찾아갈 지도 모른다.

멀웨어(악성코드)가 이렇게 탄생하는 건 물론 아니다. 대부분의 경우 멀웨어, 즉 인터넷의 암세포는 누군가의 의도에 의해 제작된다. 그러나 이런 멀웨어가 시스템에 침입하는 경로 중 가장 대표적인 게 ‘업데이트 되지 않은 상태’라는 건 암세포의 기원과 굉장히 흡사하다. 몸이나 인터넷이나 업데이트의 게으름 혹은 이상현상 때문에 질병이 활성화된다는 게 공통점이라는 얘기다.

이런 이상 현상이 나타나게 되는 이유 역시 인터넷이나 사람 몸이나 비슷하다. 바이러스, 석면, 방사선, 흡연 등의 발암물질이 세포를 불량하게 만든다. 피싱 메일, 가짜 인증서, 악성 인터넷 광고 등 우리의 클릭은 어쩌면 지뢰밭을 지나가는 산책인지도 모른다. 보안에 조금이라도 민감하면 메일 하나 여는 데에도 고민이 필요하고, 메신저 친구가 뜬금없이 ‘바빠?’하고 말을 걸어도 긴장하게 된다. 발암물질이 우리 생활 전반에 깔려있듯, 우리 화면 속 인터넷이라는 공간도 결코 안전하지 않다. 이런 직접적인 현상의 가장 깊숙이에 깔려 있는 근본적 이유는, 홍혜걸 기자에 따르면, “세포가 워낙 많기” 때문인데, 이는 인터넷과 소프트웨어의 관계에서도 통용이 가능하다. 관리할 수 있는 영역보다 소프트웨어나 애플리케이션이 많기 때문에 구멍이 생기는 것이다. 누가 그랬던가, 인구수를 비대하게 늘린 냉장고야 말로 인류 최악의 발명품이라고.

게다가 암세포가 걷잡을 수 없이 자라게 되는 건 세포를 점검하면서 돌아다니는 NK세포라는 보안 솔루션 같은 녀석이 가짜 인증서에 속는 것으로 시작된다. 인증기관에서 인증서가 나오듯, 솔루션 정품에 시리얼 번호가 붙어있듯, 우리 세포는 자기인식 단백질 조각이라는 증거품을 하나하나 가지고 있는데, NK세포가 이를 정상으로 인식하는 순간 비극이 시작된다는 것이다. 의학이 아무리 발달해도 이를 원천 차단할 수 없듯이 값비싼 최첨단 솔루션이라도 시간이 지나면 결국 멀웨어의 증식을 허락하기 마련이다. 이는 우리의 처방이나 솔루션의 방어체제가 ‘과거의 데이터’를 기반으로 하기 때문이다. 새로운 뭔가가 등장하는 순간 우리 몸이나 시스템은 속수무책이 된다. 그리고 새로운 뭔가는 반드시 등장할 것이다. 그것도 계속해서.

암이나 멀웨어나 그 속성은 은밀할 수밖에 없다. 은밀하니 못 찾아내고, 찾아냈다 하더라도 이미 늦은 경우가 많은 것이다. 홍혜걸 기자는 책에서 암세포들이 증상을 유발하려면 3cm정도의 종양으로 자라야 한다고 한다. 이는 9년이 족히 걸리는 크기라고 하는데 요즘 멀웨어가 이런 방식으로 사용자를 공격한다. 한 번에 필요한 모든 걸 해치우는 게 아니라 발각되지 않는 걸 최우선으로 여겨 오래 잠복해 아주 조금씩 필요한 일들을 해내는 것이다. 최근에 있었던 다크호텔의 경우가 이랬다. 한국인이 섞여 있는 것 같다고 추정되는 배후 단체가 제작한 멀웨어는 180일이나 아무런 활동 없이 잠복만 해있었다. “암이 무서운 이유는 암세포 한 개가 면역세포의 공격을 피해가며 무려 9년 동안 자라나서야 겨우 증세가 나타나기 시작한다는 것이다.” 책의 일부 내용이 멀웨어의 진화 방향과 겹친다.

암과 멀웨어를 증식시키는 우리 일반인들의 오해 역시 닮은꼴이다. 책에서 꼽는 ‘안이함’이 바로 그것이다. 멀웨어에 당하는 사용자 중 태반이 여러 사고 소식을 듣고서도 ‘설마 나를 공격하겠어?’라고 생각한다. 암 환자들도 ‘설마 내가 걸릴까?’라는 생각에 검진도 안 받고 있다가 암을 키운 경우가 굉장히 많다.

이런 안이함이 암이나 멀웨어의 가장 효과적인 대처법과 정확히 반대급부에 서있다. 바로 조기 발견이다. 경각심이 있다면 꾸준한 건강 검진을 통해 암을 미리 발견해서 완치될 수 있다. 경각심을 가진 사용자가 꾸준한 업데이트나 점검을 통해 피싱메일을 신고하고 멀웨어를 하나라도 차단할 수 있다. 병은 낫는 것보다 걸리지 않는 게 최선이고, 이를 위해선 미리미리 발견해야 한다. 위에서 말했듯 암세포들이 모여 3cm가 되는 데에 9년이 걸린다는 건 발견할 기회가 9년이나 주어진다는 것이다. 정보유출 사고소식을 캐다보면 적게는 3~4개월 전에서 많게는 십 수년까지 이미 멀웨어가 활동해왔음을 알 수 있다. 유출사고라는 커다란 헤드라인이 말하는 건 ‘장시간의 기회 활용 실패’일 수도 있다.

멀웨어와 관련해 보안산업의 가치는 ‘미리 방지’냐 ‘후속 조치’냐로 갈리고 있고 사실상 후속 조치 혹은 충격 완화(mitigation)에 힘이 많이 실리고 있다. 하지만 한편에서는 지속적인 감시라는 것도 꾸준히 발전하고 있다. 델소프트웨어나 아버, 테너블 등이 지속적인 감시를 모토로 삼고 있는 기업의 예다. 아마 이 둘은 하나가 다른 하나를 완전히 대체하지는 못할 것이다. 의학도 마찬가지일 것이다. 홍혜걸 기자는 조기발견이 최고의 대처라고 책에서 말하지만 설사 그것이 모두가 동의하는 사실이라고 해도 다른 한편에서는 후속 조치에 해당하는 치료법을 개발해야 하고, 그럴 것이다.

“나 혼자 암에 걸리지 않겠다고 공기 맑은 시골에 가서 따로 수십 년 살 수도 없는 일이다”라고 홍혜걸 기자는 말한다. 동의한다. 지구상에 그런 완벽한 시골이 더 이상 남아있지도 않을 뿐더러 있다고 해도 곧 오염될 것이 뻔하기 때문이다. 이미 인터넷이라는 공간에 연결된 이상 옆 회사가 정보 유출사건으로 도산하고 어떤 연예인의 속살이 적나라하게 퍼져나가도 나만 아니면 되는 문제가 아니다.

그렇다면 해결책은? 없다. 더 정확히 말하면 멀웨어나 암세포나 전체의 문제를 각개전투 방식으로 풀어갈 수밖에 없다. 담배 연기, 스트레스 등 발암 요인은 너도 나도 만들어내기 때문에 전체 문제이지만 그것들이 도착하는 종착지는 결국 개개인이라는 것이다. 취약점을 만들어내는 개발자의 허술함이나 그걸 업데이트 하지 않는 사용자의 안이함 등 멀웨어가 침투하고 만들어질 여지 역시 너와 내가 모두 만들어내지만 결국 당하는 건 내가 가진 PC나 내가 속한 네트워크라는 의미다. 기적의 치료기구가 등장하지 않는 이상 CISO협의회 총회에서 강연한 홍혜걸 기자의 말처럼 평소에 관리를 잘 하고 검진을 잘 받는 게 최선이다. 그 강연에서 홍혜걸 기자는 영양제와 오메가 쓰리를 섭취하라고 했다. PC 및 모바일 사용자들도 마찬가지다. 백신을 깔고 업데이트를 잘 하는 게 최선이다. 각개전투로 풀어가라는 것이다.

그렇다면 이것은 그저 개인 문제로의 귀결인가? 꼭 그렇지만도 않다. 강연 끝에 홍 기자는 의료 업계의 지나친 상업화에 대한 우려를 표현했다. 상업화의 추구가 의료 본연의 목적을 상실케 하는 경우가 종종 발생하고 있다는 것이다. ‘보안업계 전체’로서는 이 점에 주목해야 할 필요가 있다. 보안은 IT의 의료업계나 다름없는데, 언젠가 상업화로의 노력이 심화된다면 지금 의료계 일부가 받고 있는 비난을 그대로 받을 지도 모르겠다. 업계 불황 속에서 살아남으려는 시도가 꼭 필요한 것은 사실이나 보안업계가 가진 ‘치료 능력’이 돈 벌이 수단에 그쳐서는 안 될 것이다. 2015년은 건강하기를, 암에 걸리지도 말고 돈독에 오르지도 않기를 바란다.

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)