.jpg)
.jpg)
패치 못하는 타당한 사정도 있어...백업은 옵션 아닌 필수
업계 내 존재하는 ‘밈’에 너무 휩쓸리지 않을 수 있어야
[보안뉴스 문가용 기자] 워너크라이 공격과 페트야/낫페트야 랜섬웨어 사태가 한 달 간격으로 겹치면서 전 세계의 사이버 보안 전문가들은 너도 나도 최선의 방안, 앞으로 우리의 나아갈 길, 가장 적합한 정책 도입 방법, 직원들 교육 문제와 조직의 준비 태세에 대한 다양한 의견을 쏟아내기 시작했다. 그런 와중에 보안 커뮤니티 내에 만연한 편견이 고스란히 드러났으니, 가장 도드라진 건 패치에 대한 이해 부족과 백업에 대한 강조 부족이었다.
워너크라이 출현 직후, 소셜 미디어와 블로그는 IT와 사이버 보안 업계들 사이에서만 공유되는 ‘밈’들로 폭발했다. 성을 내는 사람, 조롱을 하는 사람, 우스갯소리를 하는 사람 등 어조와 어투도 다양했다. 그러나 그들이 겨냥한 대상은 딱 하나, ‘게으르거나 무식해서’ 패치를 제대로 하지 않는 IT 및 보안 담당자들이었다. 이유도 타당한 듯 보였다. MS가 패치를 사건 두 달 전에 이미 배포했기 때문이다. 그러나 세상 모든 IT 환경과 회사 사정은 다 다르다. 빨리 패치하면 좋다는 거, 모르는 IT 담당자가 어디 있을까. 하고 싶어도 못하는 그 사정을 왜 한 사람쯤 보듬어주지 못하는 걸까.
기업들은 의외로 오래된 애플리케이션들을 많이 사용한다. 애플리케이션 제조사가 더 이상 지원을 하지 않을 정도로 오래된 것들도 다수다. 그렇게 오래 사용해왔던 애플리케이션을 중심으로 사이버 환경을 구성하고 업무 프로세스를 쌓아왔다. 그러니 패치를 한다는 것 자체가 탑의 맨 아래 깔린 돌을 교체하는 작업처럼 위험 부담이 클 수밖에 없다. 실제로 패치 이후 시스템이 작동하지 않아 롤백을 하거나, 2차, 3차 패치가 나오는 예도 종종 있다. 그래서 기업들은 덮어놓고 패치를 할 수 없다. 단계를 밟아, 조심스럽게 진행한다.
좀 극단적인 예이긴 하지만, 넷스케이프를 꼭 써야만 하는 기업이라면 윈도우 XP를 10으로 쉽게 업그레이드 할 수 없다. 윈도우 10에서는 아예 작동하지가 않기 때문이다. 이런 경우 기업은 넷스케이프를 대체할 애플리케이션을 먼저 찾고, 실험을 해본 후 윈도우 10으로 갈아타야 한다. 산업 현장에서 널리 사용되는 SCADA 시스템이 바로 이러한 어려움을 가지고 있고, 그래서 한 발 한 발 돌다리 두드려가며 패치를 진행하는 게 보통이다.
패치 잘못하면 뭔가가 멈출 수 있다는 위험부담 때문에 패치를 기업 차원에서 관리하는 곳도 많다. 더 솔직히 말하자면, 사업상 서비스를 계속해서 유지해야 하는 기업들은 패치를 생각조차 하지 않는다. 그들에게 패치란 있을 수 없는 옵션이고, 이는 처지에 따라 타당하기까지 하다. 이런 저런 상황을 다 따져보지 않고 그저 ‘패치! 패치! 패치!’만 외치는 건 반대로 말해 화자의 시야와 사고 범위가 지나치게 좁다는 걸 증명하는 꼴이다. 패치 이야기만 나오면 ‘기승전게으름’이 되는 이야기 방식은 옳지 않다.
백업 : 보안의 마지막 방어선
두 번째로 언급하고 싶은 건 ‘백업에 대한 강조 부족’ 현상이다. 워너크라이 랜섬웨어 사태가 터졌을 때 백업 이야기는 의외로 자주 등장하지 않았다. 랜섬웨어의 가장 근본적인 대처법이 백업이라고 작년 한 해 내내 강조되었던 걸 생각하면, 놀라운 일이다. 물론 백업을 하라는 메시지가 아예 없지는 않았다. 백업 프로세스를 어떤 식으로 구축해야 하는지, 그걸 활용해 랜섬웨어 공격에 어떻게 대처해야 하는지 알려주는 글들도 있었다. 그러나 대부분 ‘플랜 B’로서, 혹은 고려해봄직한 한 가지 선택사항으로서만 제시될 뿐이었다. 온갖 위험이 도사리고 있는 오늘날의 사이버 환경을 고려했을 때 백업에 대한 이런 자세는 그 자체로 위협거리다.
백업이 제대로 되고 있을 때 네트워크 관리자 및 해당 업무 당사자들은 랜섬웨어 공격이 들어왔을 때 어떤 반응을 보일까? 표정 하나 바뀌지 않는다. 미리 해둔 백업을 가져와 아무 일도 없었다는 듯 평상시로 돌아간다. 심지어 백업을 잘 해둔 기업의 보안 책임자가 “랜섬웨어는 아예 잊어버리고 산다”고까지 말하는 걸 보기도 했다. 랜섬웨어가 아니더라도 백업을 잘 해둔 기업은 사이버 공격을 받았을 때 그렇지 않은 기업보다 훨씬 빠르게 원상복구 한다. 이런 ‘사실’들이 있음에도 백업은 패치를 할 수 없을 때나 필요한 것 취급하는 건 보안 커뮤니티의 착오다.
그렇다면 어떻게 해야 우린 더 나은 방향으로 나아갈 수 있을까? 편견과 착오를 고쳐야 한다. 패치 못한 걸 게으름 탓으로 돌리는 편견, 백업을 그저 한 가지 옵션으로만 여기는 착오 말이다. 그리고 그건 학습과 교육으로만 해결이 가능하다. 예를 들어 NIST에서 제시한 보안 실천 사항들을 알아두면 패칭과 백업에 대한 기본적이고 안전한 가이드라인을 익힐 수 있게 된다. 여러 교육 및 인증 기관들에서 제공하는 교육 과정을 밟는 것도 큰 도움이 된다.
사이버 보안은 편견과 오해에 발목이 붙들린 사람을 기다려줄 만큼 한가한 분야가 아니다. 지금도 빠르게 앞으로 가고 있다. 그러니 워너크라이 같은 공통의 화젯거리가 생겼을 때 생산적인 이야기를 나누고, 정말 해결해야 할 것을 찾아내야 한다. 패치와 업데이트, 백업에 대해 이야기를 했다는 것 자체만으로 충분치 않다. 한 발 더 나아가 우리가 뭘 잘못하고 있는지, 내가 지금 하고 있는 말이 그저 감정을 쏟아내는 건 아닌지, 정말로 전문가다운 냉철하고 이성적인 발언인지 돌아볼 수 있어야 한다. ‘밈’을 농처럼 즐길 줄 아는 건 괜찮지만, 그것이 진리인냥 설파하는 건 곤란하다. 보안 전문가들만이 사건의 본질에 가 닿을 수 있고, 그렇게 하는 것이 우리의 책임이다.
글 : 프랭크 다운즈(Frank Downs)
[국제부 문가용 기자(globoan@boannews.com)]
업계 내 존재하는 ‘밈’에 너무 휩쓸리지 않을 수 있어야
[보안뉴스 문가용 기자] 워너크라이 공격과 페트야/낫페트야 랜섬웨어 사태가 한 달 간격으로 겹치면서 전 세계의 사이버 보안 전문가들은 너도 나도 최선의 방안, 앞으로 우리의 나아갈 길, 가장 적합한 정책 도입 방법, 직원들 교육 문제와 조직의 준비 태세에 대한 다양한 의견을 쏟아내기 시작했다. 그런 와중에 보안 커뮤니티 내에 만연한 편견이 고스란히 드러났으니, 가장 도드라진 건 패치에 대한 이해 부족과 백업에 대한 강조 부족이었다.
[이미지 = iclickart]
워너크라이 출현 직후, 소셜 미디어와 블로그는 IT와 사이버 보안 업계들 사이에서만 공유되는 ‘밈’들로 폭발했다. 성을 내는 사람, 조롱을 하는 사람, 우스갯소리를 하는 사람 등 어조와 어투도 다양했다. 그러나 그들이 겨냥한 대상은 딱 하나, ‘게으르거나 무식해서’ 패치를 제대로 하지 않는 IT 및 보안 담당자들이었다. 이유도 타당한 듯 보였다. MS가 패치를 사건 두 달 전에 이미 배포했기 때문이다. 그러나 세상 모든 IT 환경과 회사 사정은 다 다르다. 빨리 패치하면 좋다는 거, 모르는 IT 담당자가 어디 있을까. 하고 싶어도 못하는 그 사정을 왜 한 사람쯤 보듬어주지 못하는 걸까.
기업들은 의외로 오래된 애플리케이션들을 많이 사용한다. 애플리케이션 제조사가 더 이상 지원을 하지 않을 정도로 오래된 것들도 다수다. 그렇게 오래 사용해왔던 애플리케이션을 중심으로 사이버 환경을 구성하고 업무 프로세스를 쌓아왔다. 그러니 패치를 한다는 것 자체가 탑의 맨 아래 깔린 돌을 교체하는 작업처럼 위험 부담이 클 수밖에 없다. 실제로 패치 이후 시스템이 작동하지 않아 롤백을 하거나, 2차, 3차 패치가 나오는 예도 종종 있다. 그래서 기업들은 덮어놓고 패치를 할 수 없다. 단계를 밟아, 조심스럽게 진행한다.
좀 극단적인 예이긴 하지만, 넷스케이프를 꼭 써야만 하는 기업이라면 윈도우 XP를 10으로 쉽게 업그레이드 할 수 없다. 윈도우 10에서는 아예 작동하지가 않기 때문이다. 이런 경우 기업은 넷스케이프를 대체할 애플리케이션을 먼저 찾고, 실험을 해본 후 윈도우 10으로 갈아타야 한다. 산업 현장에서 널리 사용되는 SCADA 시스템이 바로 이러한 어려움을 가지고 있고, 그래서 한 발 한 발 돌다리 두드려가며 패치를 진행하는 게 보통이다.
패치 잘못하면 뭔가가 멈출 수 있다는 위험부담 때문에 패치를 기업 차원에서 관리하는 곳도 많다. 더 솔직히 말하자면, 사업상 서비스를 계속해서 유지해야 하는 기업들은 패치를 생각조차 하지 않는다. 그들에게 패치란 있을 수 없는 옵션이고, 이는 처지에 따라 타당하기까지 하다. 이런 저런 상황을 다 따져보지 않고 그저 ‘패치! 패치! 패치!’만 외치는 건 반대로 말해 화자의 시야와 사고 범위가 지나치게 좁다는 걸 증명하는 꼴이다. 패치 이야기만 나오면 ‘기승전게으름’이 되는 이야기 방식은 옳지 않다.
백업 : 보안의 마지막 방어선
두 번째로 언급하고 싶은 건 ‘백업에 대한 강조 부족’ 현상이다. 워너크라이 랜섬웨어 사태가 터졌을 때 백업 이야기는 의외로 자주 등장하지 않았다. 랜섬웨어의 가장 근본적인 대처법이 백업이라고 작년 한 해 내내 강조되었던 걸 생각하면, 놀라운 일이다. 물론 백업을 하라는 메시지가 아예 없지는 않았다. 백업 프로세스를 어떤 식으로 구축해야 하는지, 그걸 활용해 랜섬웨어 공격에 어떻게 대처해야 하는지 알려주는 글들도 있었다. 그러나 대부분 ‘플랜 B’로서, 혹은 고려해봄직한 한 가지 선택사항으로서만 제시될 뿐이었다. 온갖 위험이 도사리고 있는 오늘날의 사이버 환경을 고려했을 때 백업에 대한 이런 자세는 그 자체로 위협거리다.
백업이 제대로 되고 있을 때 네트워크 관리자 및 해당 업무 당사자들은 랜섬웨어 공격이 들어왔을 때 어떤 반응을 보일까? 표정 하나 바뀌지 않는다. 미리 해둔 백업을 가져와 아무 일도 없었다는 듯 평상시로 돌아간다. 심지어 백업을 잘 해둔 기업의 보안 책임자가 “랜섬웨어는 아예 잊어버리고 산다”고까지 말하는 걸 보기도 했다. 랜섬웨어가 아니더라도 백업을 잘 해둔 기업은 사이버 공격을 받았을 때 그렇지 않은 기업보다 훨씬 빠르게 원상복구 한다. 이런 ‘사실’들이 있음에도 백업은 패치를 할 수 없을 때나 필요한 것 취급하는 건 보안 커뮤니티의 착오다.
그렇다면 어떻게 해야 우린 더 나은 방향으로 나아갈 수 있을까? 편견과 착오를 고쳐야 한다. 패치 못한 걸 게으름 탓으로 돌리는 편견, 백업을 그저 한 가지 옵션으로만 여기는 착오 말이다. 그리고 그건 학습과 교육으로만 해결이 가능하다. 예를 들어 NIST에서 제시한 보안 실천 사항들을 알아두면 패칭과 백업에 대한 기본적이고 안전한 가이드라인을 익힐 수 있게 된다. 여러 교육 및 인증 기관들에서 제공하는 교육 과정을 밟는 것도 큰 도움이 된다.
사이버 보안은 편견과 오해에 발목이 붙들린 사람을 기다려줄 만큼 한가한 분야가 아니다. 지금도 빠르게 앞으로 가고 있다. 그러니 워너크라이 같은 공통의 화젯거리가 생겼을 때 생산적인 이야기를 나누고, 정말 해결해야 할 것을 찾아내야 한다. 패치와 업데이트, 백업에 대해 이야기를 했다는 것 자체만으로 충분치 않다. 한 발 더 나아가 우리가 뭘 잘못하고 있는지, 내가 지금 하고 있는 말이 그저 감정을 쏟아내는 건 아닌지, 정말로 전문가다운 냉철하고 이성적인 발언인지 돌아볼 수 있어야 한다. ‘밈’을 농처럼 즐길 줄 아는 건 괜찮지만, 그것이 진리인냥 설파하는 건 곤란하다. 보안 전문가들만이 사건의 본질에 가 닿을 수 있고, 그렇게 하는 것이 우리의 책임이다.
글 : 프랭크 다운즈(Frank Downs)
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
