안써니 자인도메니코, “공격이 자동화되기 시작하면 방어도 자동화로”
매튜 콴, “블록체인, 더 보완해야 할 때”...배준호, “아직 보안은 남의 일”
[보안뉴스 문가용 기자] 현실을 받아들이기 싫을 때가 있다. 너무 뒤늦게 알게 될 때도 있다. 이유야 어떻든 현실에 등 돌린 시간이 길면 길수록, 문득 현실이란 것이 사방을 더 촘촘하게 에워싸고 있는 걸 발견한다. 보안 업계의 경우 이 포위망은 곧장 목을 졸라올 때가 많다. 한 발 늦은 대가가 더 가혹한 게 사이버 공간이다. 그래서 보안 업계는 항상 경고한다. 제발 눈을 뜨라고. 그리고 이 간절한 메시지는 공포 조장, 주의 요구, ‘팩트 폭행’이라는 세 가지 화법으로 전달된다.
1. 공포 조장
어쩌면 가장 많이 애용되는 화술이다. 사이버 공간에서 일어나는 각종 범죄 현황과 사건사고를 예시로 들며, 그들이 어떤 능력을 가지고 있고, 우리는 어떤 피해를 입을 수 있는가에 초점을 맞춘다. 보안 전문 업체 포티넷(Fortinet)의 선임 보안 전략가인 앤써니 지안도메니코(Anthony Giandomenico)의 경우 위협의 지형도가 어떻게 변화하는지 연구하는 게 본업인지라 이런 방면으로 능하다. 그는 지금 이 시점의 사이버 보안 키워드를 “자동화”로 꼽는다. “사이버 공격은 자동화 기술로 이뤄지고 있으니 방어도 그렇게 해야 한다”는 것이다. “공격자들이 총을 들이대는데, 칼을 가지고 방어할 수 없잖아요.”
그 외에도 그는 많은 ‘무서운’ 숫자들을 셈하고 있다. “올해 2사분기에만 나온 숫자들을 한 번 볼까요. 포티가드(FortiGuard)로 봇넷 C&C 공격을 저지한 게 분당 4만 4천 번, 악성 웹사이트로의 접근을 막은 횟수가 분당 26만 번, 제로데이 위협을 발견한 게 총 480번, 네트워크 침투 시도를 막은 게 분당 120만 번, 위협 샘플을 수집한 것이 총 380TB, 멀웨어 프로그램을 무력화 시킨 게 분당 13만 번입니다. 정글이 따로 없습니다. 무사한 게 비정상적으로 보일 지경인 숫자들이죠.”
범죄자들의 반대편, 즉, 일반 소비자들 쪽에서 먹구름처럼 몰려오는 숫자들도 있다. “바로 사물인터넷 기기들입니다. 전 세계적으로 약 200억대가 있는 것으로 알려져 있고, 앞으로도 기하급수적으로 늘어날 전망이죠. 그런데 이 사물인터넷 기기들이 클라우드 환경의 가장 약한 고리입니다. 앞으로 사물인터넷 엔드포인트 기기들을 겨냥한 공격은 더욱 빈번해질 것으로 보입니다. 지금은 라우터가 가장 큰 문제입니다. 사물인터넷 기기들로만 구성한 미라이(Mirai)나 하지메(Hajime) 봇넷은 이미 등장했었지요.”
거의 유일하게 일반 대중들의 관심을 받는 보안 업계 용어인 ‘랜섬웨어’와 관련된 전망도 공포감 가득하긴 마찬가지다. “랜섬웨어 공격은 좀 더 고급화되고 전략의 다양화가 이뤄질 것입니다. 요즘은 최초 가입비나 투자금이 없어도 ‘다단계식’ 회원만 된다면 랜섬웨어 공격을 감행할 수 있습니다. 최근 랜섬웨어는 등급별로 돈을 요구하기도 하죠. 완전히 복구하고 싶으면 얼마, 파일만 복구하고 싶으면 얼마, 같은 랜섬웨어에 두 번 다시 공격당하기 싫다면 얼마, 하는 식으로요. 가격도 점점 내려가고 있는 추세라, 더 많은 사람들이 선뜻 돈을 낼 것으로 예상됩니다.” 이는 일반 사용자들 사이에서 무뎌진 긴장감을 형성할 수도 있다.
“공격자들은 점점 더 똑똑해지고 있습니다. 자동화와 같은 최신 기술의 도입도 매우 빠르죠. 미래에는 봇의 공격이나 사라의 공격이나 구분을 할 수 없을 겁니다. 봇이 사람처럼 공격하기 시작하면 어떤 일이 벌어질까요? 인간은 속도나 범위에 있어서 쫓아가지 못할 겁니다. 방어하는 입장에서도 자동화 기술을 도입해야만 합니다. 똑똑한 공격엔 똑똑한 방어로 대응해야지요.”
2. 주의 요구
한쪽의 현실에서 범죄자들이 포위망을 좁혀오고 있다면, 다른 한쪽에서는 법과 정책을 다루는 권력 기관들이 무섭게 다가오고 있다. 가장 가까이에 있는 것이 내년부터 시행될 유럽연합의 GDPR이다. 범죄자들이 극성을 부리니 정부와 기관들이 가만히 있을 수 없어 규제와 정책을 엄격하게 만드는 것인데, 어째 목을 졸리는 느낌을 받는 건 일반 사용자와 일반 기업들이다. 그래도 정해진 현실이니 대비책을 세울 수밖에 없다.
포티넷 아태지역의 솔루션 마케팅 책임자인 매튜 콴(Matthew Kuan)은 이런 또 다른 측면의 현실에 대한 ‘주의를 요구’하는 편이다. 범죄자들도 무섭지만, 우리가 반드시 법적으로 지켜야 할 것들도 변하고 있으니 잘 알아두라는 것이다. “GDPR에서 요구하는 정책을 위반하면 아무리 큰 기업이라도 휘청거릴만한 벌금을 내야 합니다. 최저 천만 유로(한화로 약 133억)거든요. 2016년 11월에 발생한 영국 테스코 은행 데이터 유출사고가 GDPR 시행 이후 발생했다면 테스코는 최대 2조 8천억이라는 벌금을 냈을 것입니다. 주의해야만 하는 이유, 체감되시나요?”
물론 GDPR은 유럽연합 내에서만 적용될 규정이다. 아시아 지역에 있는 기업들에게는 크게 위기감 있게 다가오는 일이 아니다. “그렇지 않습니다. 미리부터 주의를 기울여야 합니다. 정보보호법이나 보안 정책은 세계 모든 나라가 비슷비슷해지거든요. 그러니 GDPR이 벌금을 어떤 식으로 적용하는지 지켜보고, 사고 보고의 의무와 손해 배상이 어떻게 지켜지는지, 어떤 사례가 나오는지도 주시해야 합니다. 유럽에서 일어나던 그 일들이 분명 아시아에서도 일어날 겁니다.”
콴은 유행처럼 번지고 있는 블록체인이라는 신기술에 대해서도 ‘주의를 요구’한다. 일단 블록체인은 가능성이 풍부한 기술이라는 것에 대해 콴은 확신을 가지고 있다. “일시적인 유행이 아닙니다. 마치 인터넷처럼 블록체인은 우리 일상 속에 자리를 잡을 것입니다. 다만 지금의 상태 그대로는 아닙니다. 아직 블록체인은 유아기에 있거든요. 더 발전하고 보완되어야 할 지점들이 존재합니다.”
콴이 꼽은 블록체인의 장점은 1) 데이터의 질이 높다, 2) 탈중앙화 방식이기 때문에 악성 공격에 대한 리스크가 적다, 3) 네트워크에 있는 모든 노드들이 약속된 프로토콜을 지키기 때문에 프로세스의 무결성을 유지할 수 있다. 4) 모든 거래가 공개되니 투명하다, 5) 환경이 단순해진다. 6) 거래가 더 빨라진다, 7) 수수료가 낮아지거나 없어진다, 로 정리할 수 있다. 물론 지금의 ‘유아기’를 벗어났을 때의 일이다.
“악성 공격자가 블록체인 네트워크의 51%의 동의만 이끌어내면 그 블록체인은 공격자가 마음대로 주무를 수 있게 됩니다. 이를 컨센서스 하이재킹(consensus hijacking) 혹은 51% 공격(51% attack)이라고도 합니다. 지금 우리가 겪는 디도스 공격 역시 블록체인을 공격하는 데 사용될 수 있습니다. 가짜 거래를 계속 시도하면 노드가 해당 거래의 무결성을 확인하느라 과부하가 걸립니다. 또 블록체인끼리 연결을 시켜야 할 때, 연결고리가 취약해질 수 있기도 합니다. 무엇보다 거래 방식을 규정하는 ‘스마트 계약서(smart contract)’가 코드로 만들어졌다는 게 악용될 소지가 큽니다.”
3. ‘팩트 폭행’
이쪽을 보면 범죄자, 반대쪽을 보면 벌금과 규제. 이 둘 만으로도 벅찬데 아직 적이 하나 더 남았다. 바로 우리 자신이다. 악의와 공격은 범람하고 있으며, 신기술에 대한 주의도 충분히 갖추지 못하고 있는데, 우리는 아직 “보안, 그거 중요하죠. 알긴 아는데...”하는 수준에 그치고 있다. 이 부분에 대해서는 포티넷의 배준호 이사가 정보를 가지고 있다.
“16개국의 다양한 업체나 기관에서 IT 관련 결정권을 가지고 있는 1,801명의 인사들을 대상으로 설문을 실시했는데, 일단 보안에 대한 투자 상황은 나쁘지 않습니다. 전체 IT 예산의 1/5 정도 혹은 그 이상을 보안에 할당한다는 응답자가 절반 가까이 되었거든요. 물론 한국은 그런 응답자가 30%에 그쳤습니다만.” 그리고 이 투자액의 절반 이상은 기존 솔루션의 업그레이드나 새로운 솔루션 구매에 사용된다. 나머지는 교육, 프로세스, 정책, 감사로 나뉜다. 아직은 보안을 기술로 해결하고자 하는 태도가 많이 엿보인다.
“그렇다면 결정권자들은 유출 사고가 일어났을 때 누구에게 책임을 물을까요? IT 담당자들이라고 말한 응답자가 70%, 다른 임직원을 지목한 응답자가 28%, 투자 자체가 너무 적었다는 응답자가 60%였습니다.” 보안을 ‘전문 기술’과 ‘예산’의 프레임 안에서 이해하려는 태도가 또 다시 드러나는 부분이다. 보안이 중요하긴 한데, 내가 직접 하기 싫다는 게 아직 결정권자를 포함한 일반 사용자들 사이에 만연한 태도라는 것이다.
“또한 응답자의 절반 가까이(48%)가 ‘보안이 운영 회의 때 중요한 안건으로 채택되지 않는다’라고 말해주기도 했습니다.” 사이버 보안이 중요하게 다뤄질 때는 워너크라이 사태처럼 대형 사이버 보안 사고가 발생했을 때(49%), GDPR과 같은 새로운 법안이나 정책이 마련됐을 때(34%), 관리자 변경 등 내부적인 변화가 있었을 때(35%)인 것으로 나타났다. 그밖에 감사를 앞두고 있을 때 보안에 집중한다는 응답자는 39%였다. 보안은 발등에 불이 떨어지기 전까지 남의 일이다.
그렇다면 어떤 주제가 주로 운영 회의 때 언급될까? “지금 이 시점에서는 클라우드로의 전환입니다.” 배준호 이사는 이것이 보안에 있어서 긍정적이라고 설명한다. “클라우드로의 전환은 보안을 고민할 수밖에 없게 만듭니다. 실제 이번 설문에서도 클라우드 때문에 보안의 우선순위가 높아질 것이라고 예상한다는 응답이 76%였습니다. 그리고 응답자의 50%가 1년 안에 클라우드로의 투자를 감행할 계획을 가지고 있기도 하고요.”
정보보안의 눈으로 세상을 보면 압박이 사방으로부터 들어온다. 혹자는 보안 업계가 ‘공포 마케팅’을 버려야 한다고 주장하지만, 공포를 가질만한 상황이 현실이라면 그 주장은 “사실이야 어쨌든 지금 당장 듣기 좋은 소리만 해달라”는 요구나 다름이 없다. 포티넷도 그렇고, 앞으로 수많은 사용자들에게 무서운 잔소리를 해야 할 보안 종사자들도 그렇고, 들어줄 수 없는 말이다. 지금은 공포를 느끼고, 염려하고, 솔직한 진실에 마음이 찔리는 게 더 건강한 때다.
[국제부 문가용 기자(globoan@boannews.com)]
매튜 콴, “블록체인, 더 보완해야 할 때”...배준호, “아직 보안은 남의 일”
[보안뉴스 문가용 기자] 현실을 받아들이기 싫을 때가 있다. 너무 뒤늦게 알게 될 때도 있다. 이유야 어떻든 현실에 등 돌린 시간이 길면 길수록, 문득 현실이란 것이 사방을 더 촘촘하게 에워싸고 있는 걸 발견한다. 보안 업계의 경우 이 포위망은 곧장 목을 졸라올 때가 많다. 한 발 늦은 대가가 더 가혹한 게 사이버 공간이다. 그래서 보안 업계는 항상 경고한다. 제발 눈을 뜨라고. 그리고 이 간절한 메시지는 공포 조장, 주의 요구, ‘팩트 폭행’이라는 세 가지 화법으로 전달된다.
[이미지 = iclickart]
1. 공포 조장
어쩌면 가장 많이 애용되는 화술이다. 사이버 공간에서 일어나는 각종 범죄 현황과 사건사고를 예시로 들며, 그들이 어떤 능력을 가지고 있고, 우리는 어떤 피해를 입을 수 있는가에 초점을 맞춘다. 보안 전문 업체 포티넷(Fortinet)의 선임 보안 전략가인 앤써니 지안도메니코(Anthony Giandomenico)의 경우 위협의 지형도가 어떻게 변화하는지 연구하는 게 본업인지라 이런 방면으로 능하다. 그는 지금 이 시점의 사이버 보안 키워드를 “자동화”로 꼽는다. “사이버 공격은 자동화 기술로 이뤄지고 있으니 방어도 그렇게 해야 한다”는 것이다. “공격자들이 총을 들이대는데, 칼을 가지고 방어할 수 없잖아요.”
그 외에도 그는 많은 ‘무서운’ 숫자들을 셈하고 있다. “올해 2사분기에만 나온 숫자들을 한 번 볼까요. 포티가드(FortiGuard)로 봇넷 C&C 공격을 저지한 게 분당 4만 4천 번, 악성 웹사이트로의 접근을 막은 횟수가 분당 26만 번, 제로데이 위협을 발견한 게 총 480번, 네트워크 침투 시도를 막은 게 분당 120만 번, 위협 샘플을 수집한 것이 총 380TB, 멀웨어 프로그램을 무력화 시킨 게 분당 13만 번입니다. 정글이 따로 없습니다. 무사한 게 비정상적으로 보일 지경인 숫자들이죠.”
[이미지 = 포티넷코리아]
거의 유일하게 일반 대중들의 관심을 받는 보안 업계 용어인 ‘랜섬웨어’와 관련된 전망도 공포감 가득하긴 마찬가지다. “랜섬웨어 공격은 좀 더 고급화되고 전략의 다양화가 이뤄질 것입니다. 요즘은 최초 가입비나 투자금이 없어도 ‘다단계식’ 회원만 된다면 랜섬웨어 공격을 감행할 수 있습니다. 최근 랜섬웨어는 등급별로 돈을 요구하기도 하죠. 완전히 복구하고 싶으면 얼마, 파일만 복구하고 싶으면 얼마, 같은 랜섬웨어에 두 번 다시 공격당하기 싫다면 얼마, 하는 식으로요. 가격도 점점 내려가고 있는 추세라, 더 많은 사람들이 선뜻 돈을 낼 것으로 예상됩니다.” 이는 일반 사용자들 사이에서 무뎌진 긴장감을 형성할 수도 있다.
“공격자들은 점점 더 똑똑해지고 있습니다. 자동화와 같은 최신 기술의 도입도 매우 빠르죠. 미래에는 봇의 공격이나 사라의 공격이나 구분을 할 수 없을 겁니다. 봇이 사람처럼 공격하기 시작하면 어떤 일이 벌어질까요? 인간은 속도나 범위에 있어서 쫓아가지 못할 겁니다. 방어하는 입장에서도 자동화 기술을 도입해야만 합니다. 똑똑한 공격엔 똑똑한 방어로 대응해야지요.”
2. 주의 요구
한쪽의 현실에서 범죄자들이 포위망을 좁혀오고 있다면, 다른 한쪽에서는 법과 정책을 다루는 권력 기관들이 무섭게 다가오고 있다. 가장 가까이에 있는 것이 내년부터 시행될 유럽연합의 GDPR이다. 범죄자들이 극성을 부리니 정부와 기관들이 가만히 있을 수 없어 규제와 정책을 엄격하게 만드는 것인데, 어째 목을 졸리는 느낌을 받는 건 일반 사용자와 일반 기업들이다. 그래도 정해진 현실이니 대비책을 세울 수밖에 없다.
[이미지 = 포티넷코리아]
물론 GDPR은 유럽연합 내에서만 적용될 규정이다. 아시아 지역에 있는 기업들에게는 크게 위기감 있게 다가오는 일이 아니다. “그렇지 않습니다. 미리부터 주의를 기울여야 합니다. 정보보호법이나 보안 정책은 세계 모든 나라가 비슷비슷해지거든요. 그러니 GDPR이 벌금을 어떤 식으로 적용하는지 지켜보고, 사고 보고의 의무와 손해 배상이 어떻게 지켜지는지, 어떤 사례가 나오는지도 주시해야 합니다. 유럽에서 일어나던 그 일들이 분명 아시아에서도 일어날 겁니다.”
콴은 유행처럼 번지고 있는 블록체인이라는 신기술에 대해서도 ‘주의를 요구’한다. 일단 블록체인은 가능성이 풍부한 기술이라는 것에 대해 콴은 확신을 가지고 있다. “일시적인 유행이 아닙니다. 마치 인터넷처럼 블록체인은 우리 일상 속에 자리를 잡을 것입니다. 다만 지금의 상태 그대로는 아닙니다. 아직 블록체인은 유아기에 있거든요. 더 발전하고 보완되어야 할 지점들이 존재합니다.”
콴이 꼽은 블록체인의 장점은 1) 데이터의 질이 높다, 2) 탈중앙화 방식이기 때문에 악성 공격에 대한 리스크가 적다, 3) 네트워크에 있는 모든 노드들이 약속된 프로토콜을 지키기 때문에 프로세스의 무결성을 유지할 수 있다. 4) 모든 거래가 공개되니 투명하다, 5) 환경이 단순해진다. 6) 거래가 더 빨라진다, 7) 수수료가 낮아지거나 없어진다, 로 정리할 수 있다. 물론 지금의 ‘유아기’를 벗어났을 때의 일이다.
“악성 공격자가 블록체인 네트워크의 51%의 동의만 이끌어내면 그 블록체인은 공격자가 마음대로 주무를 수 있게 됩니다. 이를 컨센서스 하이재킹(consensus hijacking) 혹은 51% 공격(51% attack)이라고도 합니다. 지금 우리가 겪는 디도스 공격 역시 블록체인을 공격하는 데 사용될 수 있습니다. 가짜 거래를 계속 시도하면 노드가 해당 거래의 무결성을 확인하느라 과부하가 걸립니다. 또 블록체인끼리 연결을 시켜야 할 때, 연결고리가 취약해질 수 있기도 합니다. 무엇보다 거래 방식을 규정하는 ‘스마트 계약서(smart contract)’가 코드로 만들어졌다는 게 악용될 소지가 큽니다.”
3. ‘팩트 폭행’
이쪽을 보면 범죄자, 반대쪽을 보면 벌금과 규제. 이 둘 만으로도 벅찬데 아직 적이 하나 더 남았다. 바로 우리 자신이다. 악의와 공격은 범람하고 있으며, 신기술에 대한 주의도 충분히 갖추지 못하고 있는데, 우리는 아직 “보안, 그거 중요하죠. 알긴 아는데...”하는 수준에 그치고 있다. 이 부분에 대해서는 포티넷의 배준호 이사가 정보를 가지고 있다.
[이미지 = 포티넷코리아]
“그렇다면 결정권자들은 유출 사고가 일어났을 때 누구에게 책임을 물을까요? IT 담당자들이라고 말한 응답자가 70%, 다른 임직원을 지목한 응답자가 28%, 투자 자체가 너무 적었다는 응답자가 60%였습니다.” 보안을 ‘전문 기술’과 ‘예산’의 프레임 안에서 이해하려는 태도가 또 다시 드러나는 부분이다. 보안이 중요하긴 한데, 내가 직접 하기 싫다는 게 아직 결정권자를 포함한 일반 사용자들 사이에 만연한 태도라는 것이다.
“또한 응답자의 절반 가까이(48%)가 ‘보안이 운영 회의 때 중요한 안건으로 채택되지 않는다’라고 말해주기도 했습니다.” 사이버 보안이 중요하게 다뤄질 때는 워너크라이 사태처럼 대형 사이버 보안 사고가 발생했을 때(49%), GDPR과 같은 새로운 법안이나 정책이 마련됐을 때(34%), 관리자 변경 등 내부적인 변화가 있었을 때(35%)인 것으로 나타났다. 그밖에 감사를 앞두고 있을 때 보안에 집중한다는 응답자는 39%였다. 보안은 발등에 불이 떨어지기 전까지 남의 일이다.
그렇다면 어떤 주제가 주로 운영 회의 때 언급될까? “지금 이 시점에서는 클라우드로의 전환입니다.” 배준호 이사는 이것이 보안에 있어서 긍정적이라고 설명한다. “클라우드로의 전환은 보안을 고민할 수밖에 없게 만듭니다. 실제 이번 설문에서도 클라우드 때문에 보안의 우선순위가 높아질 것이라고 예상한다는 응답이 76%였습니다. 그리고 응답자의 50%가 1년 안에 클라우드로의 투자를 감행할 계획을 가지고 있기도 하고요.”
정보보안의 눈으로 세상을 보면 압박이 사방으로부터 들어온다. 혹자는 보안 업계가 ‘공포 마케팅’을 버려야 한다고 주장하지만, 공포를 가질만한 상황이 현실이라면 그 주장은 “사실이야 어쨌든 지금 당장 듣기 좋은 소리만 해달라”는 요구나 다름이 없다. 포티넷도 그렇고, 앞으로 수많은 사용자들에게 무서운 잔소리를 해야 할 보안 종사자들도 그렇고, 들어줄 수 없는 말이다. 지금은 공포를 느끼고, 염려하고, 솔직한 진실에 마음이 찔리는 게 더 건강한 때다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
