.jpg)
.jpg)
한국정보보호산업협회 20년사를 통해 본 한국 정보보호 20년 역사
2004년, 국가사이버안전센터와 인터넷침해사고대응지원센터 설립
KISIA, 법정법인으로 우뚝... 제6대 오경수 회장 선출
한국 정보보호 업계를 대표하는 한국정보보호산업협회(KISIA, 회장 이민수)가 꽃다운 나이 만 스무 살을 지나고 있다. 아직 완전하진 않지만 무한한 가능성과 희망으로 가득 찬 20살이라고 할 수 있다. 이를 기념하고자 지난 20년 동안의 정보보호산업과 함께 한 협회의 역사와 활동, 그리고 산업의 흐름을 모아 ‘한국정보보호산업협회 20년사’가 발간됐다. KISIA 20년사는 ‘이슈로 살펴본 정보보호 20년’이라는 주제로 KISIA의 역사와 함께 한 정보보호의 역사 20년을 되짚어보고 국내 정보보호산업의 발전방향을 전망하는 ‘읽을거리’가 풍성한 역사서로 제작됐다. 이번 KISIA 20년사의 기획·제작에 참여했던 <보안뉴스>는 KISIA의 동의를 얻어 20년사에 담긴 정보보호 역사의 생생한 현장을 주 1회 연도별로 소개하는 특별기획을 마련했다. [편집자주]
[보안뉴스 문가용 기자] 1.25 인터넷 대란이 가져다준 선물이 있다면 ‘인터넷의 공공성’을 국가가 실제적으로 인정하고, 마치 영토를 보호하듯 인터넷 공간을 보호하는 데에 관심을 가지기 시작했다는 것이다. 그런 의미에서 국가사이버안전센터가 대란이 터지고서 1년 만에 개소했다는 건 정부의 이러한 ‘깨우침’이 가시적으로 드러나는 부분이라고 볼 수 있다. 그러나 국가사이버안전센터는 시작부터 논란에 휩싸였다. 왜 그랬을까?
인터넷 공간 보호 위한 국가차원의 선택, 국가사이버안전센터 설립
국가 차원에서 설립된 정보보호 전문기관의 역할을 살펴보려면 먼저 당시 인터넷 등 정보통신과 관련된 사업을 진행했던 정부기관들에 대하여 알아야 한다. 먼저 우리나라에서는(그리고 다른 여러 나라에서도) 우편물 배달과 집계 및 분류를 담당하던 체신부가 있었고, 이것이 발전하여 정보통신부가 되었다. 그리고 2008년 2월, 기능별로 흩어져 지식경제부, 방송통신위원회, 행정자치부, 문화관광부 등 다른 부서에 편입되기 전까지 존재했다. 즉 1.25 인터넷 대란이 있고서도 한동안은 정보통신부가 주무부처였던 것이다.
또 하나 알아두어야 할 기관은 한국인터넷진흥원이다. 지금의 한국인터넷진흥원인 KISA와 다른 기관으로 한글 이름은 같으나 영어 이름은 NIDA였다. NIDA는 1999년 6월 29일 한국인터넷정보센터로 출범했고, 1.25 인터넷 대란이 발생하고 이듬해인 2004년 한국인터넷진흥원이 됐다. 그리고 2009년 7월 당시 한국정보보호진흥원이라는 이름을 가지고 있던 KISA를 비롯해 정보통신국제협력진흥원(KIICA)와 통합해 오늘날의 한국인터넷진흥원인 KISA가 되었다. 즉, 1.25 인터넷 대란이 발생한 직후에는 NIDA와 KISA가 따로 존재했다는 것이다. 지금의 KISA는 한국인터넷진흥원이고, 그때의 KISA는 한국정보보호진흥원이다. 지금의 한국인터넷진흥원은 KISA이고, 그때의 한국인터넷진흥원은 NIDA다.
KrCERT, 사이버테러 대응의 중심이 되다
1.25 인터넷 대란이 일어나고 정보통신부는 재발 방지를 위한 여러 가지 대책을 마련했는데, 그 중 하나가 한국정보보호진흥원 안에 인터넷침해사고대응지원센터를 설립하는 것이었다. 이것이 KrCERT다. 인터넷 서비스 제공업자(ISP)를 중심으로 민간 정보통신망을 상시 관제함으로써 이상 징후를 조기에 탐지하고 분석하는 것을 목적으로 했다. 이상 징후가 발견될 경우 국민들에게 알리고 복구 작업을 지원하는 역할을 담당하도록 했다. 일종의 사이버 테러를 방지하고 대응하기 위해 설립한 것이었다.
당시 정보보호업계는 인터넷침해사고대응지원센터가 갈 길이 험할 것이라고 예상했다. 많은 기관과 협력체계를 이룰 것인데, 이게 말이 쉽지 실제 수집하고 처리해야 할 데이터의 양이 엄청날 것이기 때문이었다. 분명 어마어마한 양의 데이터가 KrCERT로 흘러들어갈 것인데, 이를 얼마나 잘 활용하느냐에 따라 운영 효과에 대한 평가가 나뉠 것이라는 전망이었다. 또한, 이런 범국가적인 대응센터란 것이 세계적으로 유례를 찾기 힘든 개념이기 때문에 실질적인 성과를 내기 힘들 것이라는 분석도 있었다. 그렇기에 이러한 대응센터가 마련된 것 자체가 갖는 상징성에서 더 큰 의미를 찾기도 했다. 실질적인 기능보다 정부와 민간 차원의 정보보호 인식 확산과 의식 제고를 위한 상징적 가치를 가질 것이라는 예상이었다.
참고로 CERT란, 침해사고대응센터(Computer Emergency Response Team)를 부르는 말로, 하나의 기관에게 붙여진 고유명사격의 이름이 아니라 각 산업이나 기관·국가별로 마련된 사이버사고 대응기능이다. 한국 전체의 침해사고대응센터는 KrCERT, 호주의 센터는 AusCERT, 브라질에서는 CERT.br, 캐나다는 CanCERT, 프랑스는 CERT-FR 등으로 불린다. 나라만이 아니라 여러 기관들에서도 독자적으로 이러한 기능을 가지고 부서의 형태로 운영하고 있다.
각 산업별로 뭉쳐서 대응하자, ISAC 우후죽순 생겨나
비슷한 개념으로 ISAC이 있다. 정보 공유 및 분석 센터(Information Sharing and Analysis Center)의 준말로 CERT와 마찬가지로 국가나 기관을 뜻하는 글자와 조합되어 명칭이 만들어진다. 자동차 산업 분야의 ISAC은 Auto-ISAC, 금융 산업에서는 금융ISAC, 석유 및 가스 산업에서는 ONG-ISAC 등으로 불린다. 사이버 보안 위협이 증가함에 따라 각 산업별로 ‘뭉쳐서 대응하자’는 움직임이 일면서 ISAC이 우후죽순 생겨났다.
이름이 길어서 헷갈릴 수 있는데, 정보통신부가 한국정보보호진흥원 내에 새로이 설립한 범 국가적 사이버보안센터는 국가사이버안전센터가 아니라 인터넷침해사고대응지원센터였다. KrCERT는 2003년 12월 17일 개소식을 가졌는데, 이와 비슷한 시기에 비슷한 성격의 기관이 준비되고 있었다. 주체는 정보통신부가 아닌 국가정보원으로, 여기서 무르익고 있었던 기관의 이름이 바로 국가사이버안전센터다. 국가정보원의 대통령 보고에 따르면 국가사이버안전센터의 목적은 국가 사이버테러 대응에 필요한 민·관·군의 역할을 정립하고, 협력을 이끌어내며, 국가 차원의 사이버테러 예보와 경보 체계를 구축하는 것이었다. 보기에 따라 국가사이버안전센터와 인터넷침해사고대응지원센터의 역할이 겹친다고도 해석할 수 있었다.
논란이 제일 처음 발생했던 건 바로 이 때문이었다. 이미 같은 역할을 담당하는 기관이 있는데 왜 굳이 비슷한 기관을 또 만드느냐는 것이었다. 비슷한 업무를 두 기관이 맡아서 진행할 경우, 실제 상황 발생 시 큰 혼선이 있을 수 있다는 우려였다. 민간 기업들 입장에서도 유관 기관과 관계를 맺어가는 데 있어 혼란스러울 수밖에 없었다.
이에 국가정보원은 당시 운영하고 있었던 ‘정보보안 119’를 확장시킨 것이라며, 각 기관 및 산업별로 흩어져 있었던 수많은 CERT와 ISAC을 전부 아우르고 일원화한 종합상황실의 역할을 할 것이라고 답했다. 아직 CERT나 ISAC을 갖추지 못한 기관의 경우는 국가정보원이 직접 연계를 추진할 계획이라고 밝히기도 했다. 무엇보다 관심을 끈 건, 국가사이버안전센터가 당시 한국정보보호진흥원 내부에 마련된 인터넷침해사고대응지원센터를 통제하는 상위 개념이었다는 것이다.
하지만 그것만으로는 충분한 답이 되지 않았다. 왜냐하면 국가정보원이 국내 모든 CERT와 ISAC을 통제할 수 있게 해주는 법적 근거가 없었기 때문이다. 일각에서는 정보를 한 곳에 취합하는 정도가 아니라 그 이상을 국가정보원이 할 수 있게 된다면 부작용이 있을 수 있다고 걱정하기도 했다. 그러면서 국가사이버안전센터를 국가안전보장회의(NSC) 산하에 두고, 정보통신부와 국가정보원이 공동으로 참여하는 형태가 제안되기도 했으나, 받아들여지지 않았다. 대신 국가정보원은 흩어져 있던 기능들을 일원화하는 수준일 뿐이라고 답하며 법의 테두리 안에서만 일을 꾸려가겠다고 설명했다.
인터넷침해사고대응지원센터와 국가사이버안전센터의 역할
그렇게 해서 현재까지 인터넷침해사고대응지원센터와 국가사이버안전센터는 유지되고 있다. 현 한국인터넷진흥원의 인터넷침해사고대응센터는 민간 부문을, 국가사이버안전센터는 경찰청의 사이버테러대응센터와 함께 공공 부문을 담당하고 있다. 국방과 관련된 부분은 국방정보전대응센터가 맡고 있는 게 현재의 형태다.
논란 중에 개소된 국가사이버안전센터는 설립하고 바로 다음 달인 3월, 첫 사업의 결과물을 발표했다. 국가사이버안전매뉴얼과 월간 사이버시큐리티의 창간호를 펴낸 것이다. 국가사이버안전매뉴얼은 민·관·군에서 활용될 수 있는 사이버테러 대응용 실무 지침서이며, 월간 사이버시큐리티는 매달 발행되는 소책자 및 보고서로, 국가사이버안전센터가 한 달 동안 탐지하고 분석한 데이터를 근거로 한 여러 통계자료 및 분석결과가 수록되어 있었다. 지침서는 보안을 담당하는 자들을 위한 내용을 주로 담고 있었고, 월간지는 주로 일반인들이 사이버 공간에서 일어나는 일들과 그곳에 도사린 위험들을 좀 더 폭넓게 이해할 수 있도록 하는 방향으로 편집됐다. 또한, 지침서를 통해 보다 선 굵은 대응 방법들을 알려주면서 동시에 월간지로 끊임없이 변하는 사이버 공간 내 위협 요소들을 그때그때 보충한다는 의미도 담긴 조합이었다.
월간 사이버시큐리티를 통해 매월 발간되는 보고서는 여러 뉴스 매체에 인용되어 보도됐다. 국가사이버안전센터는 당시 한국을 노리는 사이버 위협에 어떤 것들이 있는지, 공격이 어떤 추세로 증가하고 있는지, 한국 웹 공간에 어떤 공격이 있었는지 등을 분석해 이를 공개했다. 하지만 2006년 5월을 끝으로 더는 발행되지 않고 있다. 국가사이버안전센터의 공식 홈페이지에도 2006년 5월호까지만 업로드 되어 있다.
PC 해킹 프로그램 ‘변종Peep’, 국가기관 농락하다
국가사이버안전센터가 설립된 2004년 7월에는 ‘변종Peep’라는 PC 해킹 프로그램이 국가기관에 침투하는 일이 발생하기도 했다. 국회를 비롯해서 다수 기관이 여기에 당했다. 국가사이버안전센터는 변종Peep이 중국으로부터 유입됐으며, 국가기관 내에 있는 PC 211대가 감염됐다고 발표했다. 또한, IP 주소를 추적해 해커 중 한 명이 중국 인민해방군 소속 외국어학교에서 한국어 과정을 밟고 있는 학생일 가능성이 높다는 것도 밝혀냈다. 이에 따라 외교 비화까지 언급됐고, 당시 여러 매체에서 국가 간 정보전의 막이 올랐다고 보도했다. 심지어 주한미군도 여기에 당한 것이 추가로 밝혀지면서 ‘사이버 전쟁’은 더욱 화제가 됐다.
게다가 같은 달에 리벡(Revacc)이라는 백도어가 추가로 정부기관들에서 발견됐다. 변종Peep과 차이점을 보이는 부분도 있었지만 유사점도 많았기 때문에 같은 공격자가 유포했을 것이라는 결론이 내려졌다. 변종Peep나 리벡 모두 정보를 유출시키는 유형의 멀웨어였으며, 국가사이버안전센터는 이 두 가지 멀웨어를 발견함에 따라 주의 경보를 발령했다. 또한, 점검해야 할 IP 주소 목록과 파일 목록을 홈페이지를 통해 공개했다.
북한 추정 해커조직과의 사이버전쟁, 본격적인 막 오르다
그러면서 자연스럽게 물망에 오른 것이 북한이다. 변종Peep나 리벡을 포함한 이메일 제목 등에 ‘워크숍 내용과 일정’ 등의 자연스러운 한글이 섞여 있었기 때문이다. 따라서 북한의 해커가 중국을 경유해 공격을 실시했거나 공격 집단 중에 북한인이 섞여 있을 수 있다는 추측이 나오기 시작했다. 국가간 사이버전 상황에서 공격자가 다른 나라의 IP 주소로부터 공격을 실시하는 건 지금도 흔한 일이다. 게다가 국방과 밀접한 기관들이 집중 공격당했으므로, 당시까지도 총구를 겨누고 있는 북한이 공격했을 가능성이 결코 낮다고 볼 수 없었다. 북한이 해킹 부대를 양성하고 있다는 소리가 공공연하게 나오기 시작한 것도 바로 2004년부터다.
한편, 이 Peep 트로이목마는 다른 나라에서도 발견됐다. 중국 해커들이 대만 정부로부터 정보를 빼앗기 위해 사용한 것이었다. 재미있는 건 이 트로이목마의 제작자가 대만인이라는 것이다. 대만 경찰은 왕안핑(Wang An-ping)이라는 당시 30세의 엔지니어를 체포했고, 그는 순순히 자신이 Peep의 개발자임을 자백했다. 원래는 트로이목마를 유료로 판매할 생각이었는데, 갑자기 마음을 바꿔 자신이 운영하는 웹사이트를 통해 무료로 뿌리고 있었다. 중국 해커들이 이를 발견해 다운로드한 후, 약간의 수정을 거쳐 공격용 무기로 조작한 것이었다. 왕 안 핑의 체포는 5월 말 경에 있었고, 한국 정부기관이 변종Peep로 시끌벅적해진 것은 6월의 일이었다.
이런 저런 사업을 진행하고, 국가기관 해킹 사고까지 겪으면서 국가정보원과 국가사이버안전센터는 논란이 언제 있었냐는 듯 자연스럽게 한국의 사이버보안 통합관제센터로서 자리를 잡기 시작했다. 하지만 1.25 인터넷 대란과 범국가적 사이버 안전기구 설립, 그 후에 있었던 변종Peep 공격 사건 등에 버금가는 또 다른 굵직한 사건이 기다리고 있다는 건 아무도 눈치 채지 못하고 있었다.
‘사전방역’ 서비스가 키워드로 부상한 백신 업계
정보보호 솔루션 가운데 바이러스 백신의 경우 ‘정보보호=백신’이라는 말이 성립될 정도로 백신은 정보보호 솔루션을 대표하는 분야였고, 일반인들에게 가장 친숙한 솔루션으로 꾸준히 발전해 왔지만, 변화 폭이 가장 적었던 분야였다. 그러나 2004년 들어서는 백신 업체에도 ‘서비스’라는 새로운 화두가 등장했다.
국내 백신 업체인 안철수연구소와 하우리, 그리고 외산 업체인 트렌드마이크로가 서비스 개념으로 내놓고 있는 사전방역 서비스가 주목을 끌었기 때문이다. 사전방역 서비스는 게이트웨이나 이메일 서비스 등에 백신 관리 시스템을 적용해 바이러스가 발견될 경우 이들 위협을 사전에 격리·방역·치료 및 복구 등의 과정을 통해 기업의 네트워크를 보호하는 서비스로, 기존 백신 솔루션이 갖는 업데이트 방식에서 벗어나 네트워크에 대한 포괄적인 관리 서비스를 수행하는 것을 의미했다. 이때부터 백신이 PC 뿐만 아니라 네트워크 장비, 핸드폰, PDA와 같은 다양한 제품에 탑재되는 등 그 범위가 상당히 넓어지는 것과 동시에 각종 장비에 백신이 접목되면서 서비스 산업으로의 전환이 이루어지기 시작한 것이다.
이와 함께 2004년에는 패치관리 시스템(Patch Management System)이 틈새시장을 노리면서 성장하기 시작했다. 대형 해킹사고들이 소프트웨어의 취약점을 악용함에 따라 발생하면서 이를 바로 잡기 위한 ‘패치’ 작업을 원활하게 관리해주는 패치관리 솔루션이 부각됐다. 2004년의 경우 닉스테크의 ‘Safe PC 2.5’, 소프트런의 ‘인사이터’, 패치링크의 ‘패치링크’ 등의 솔루션이 시장에서 열띤 경쟁을 펼쳤다.
KISIA, 법정법인으로 우뚝 서다
2004년은 2003년 1.25 인터넷 대란 이후, 주요기반시설과 기간통신망에 대한 정보보호 대책 수립과 보안수준 향상이 가장 큰 숙제가 된 한해였다. 이에 따라 인터넷침해사고대응지원센터와 국가사이버안전센터가 설립되었다. 이러한 가운데 협회는 2003년 12월 법정법인으로 승격된 이후 후속 행정절차에 만전을 기했고, 2004년 9월 드디어 「정보통신망법」제59조의2의 규정에 의해 법정법인 설립 인가를 취득하게 됐다.
2월에는 정기총회를 개최하고 시큐아이닷컴 오경수 사장을 제6대 회장으로 선임했다. 이와 함께 2013년 신설된 수석부회장에 김재근 이니텍 사장이 선출됐으며, 부회장으로는 김대연 윈스테크넷 사장, 임병동 인젠 사장, 안창준 소프트포럼 사장, 장문수 어울림정보기술 사장, 백태종 에이쓰리시큐리티컨설팅 사장, 김광태 퓨쳐시스템 사장, 조석일 코코넛 사장, 권석철 하우리 사장이 각각 선출됐다. 또한, 안철수 전 회장은 고문으로 추대됐다. 이 외에도 협회는 InfoSecurity-China 와 CSI 2004 전시회에서 한국공동관을 운영했으며, 호주 IT시큐리티 포럼과 협력 조인식을 체결하는 등 회원사들의 해외시장 진출을 지원하는데도 만전을 기했다.
[KISIA 역대회장 인터뷰] 오경수 제6대 회장(현 제주특별자치도개발공사 사장)
“1.25 대란 계기로 주요기반시설 정보보호대책 수립이 화두”
회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 2000년 벤처 붐을 시작으로 2004년은 IT산업이 한창 발전하던 시기였지만 기능적·외형적 성장에 치중하다보니 각 기업의 정보보호 수준과 대책이 그리 높지 않은 시기였습니다. 특히 국가기간통신망이나 인프라에 대한 보안수준이 매우 낮은 상태였고, 이러한 이유로 2003년 1.25 대란이 발생하기도 했죠. 이 사건을 계기로 정부의 주요기반시설과 기간통신망에 대한 보안수준 점검 및 정보보호 대책 수립이 시장의 가장 큰 화두가 됐습니다.
회장 재임기간 중 정보보호산업 발전을 위해 가장 중점적으로 추진했던 사업과 그 성과는 첫째는 산업계가 1.25 대란과 같은 국가적 보안사고 대응이나 국가의 정보보호정책 수립에 대해 제3자가 아닌 이해당사자로 직접적인 참여가 필요했고, 정보보호산업이 정보화 사회를 선도하는 핵심 산업으로의 위상을 강화하기 위해 협회의 성격을 민간협회에서 ‘특별법정법인단체’로 승격시켰던 게 가장 기억이 많이 남습니다. 이후에도 법정단체로서의 기반을 견고히 다지기 위해 예산 확보와 수출 확대에 주력했습니다.
둘째는 정보보호산업 육성을 위해 2003년 처음 시행된 ‘공공기관 정보보호 수준제고’ 사업을 확대 시행할 것을 정부에 건의함으로써 정보화 역기능에 대한 정부기관의 대응력 강화와 정보보호 수준 확대에 적극 나섰던 점을 꼽고 싶습니다. 이의 일환으로 국정원-KISA-ETRI-업계를 잇는 산·학·연·관 ‘사이버보안대응’ 협력체계를 구축하기도 했죠.
마지막은 정보보호 업체들 간에 과열, 덤핑 경쟁을 자제하고 서로 상생할 수 있도록 협력방안을 마련하는 등 정보보호산업의 규모 및 경쟁력 확대를 도모했으며, 정보통신 서비스에 대한 일정 수준의 정보보호 의무를 부과하는 정보통신망법 개정을 이끌어내면서 정보보호산업 진흥에 이바지했다는 점도 큰 보람이었던 것 같습니다.
2004년 당시에 국내 정보보호업계를 주도했던 기업들의 면면에 대해 기억하신다면 당시 정보보호 산업계는 크게 백신 업체, 네트워크 솔루션 업체, 컨설팅 업체, 보안관제 서비스 업체 등이 시장을 이끌었던 것으로 기억합니다. 백신 분야는 안철수연구소와 하우리가, 방화벽은 시큐아이닷컴, 시큐어소프트, 어울림정보기술 등이, 컨설팅은 대기업계열 정보보호업체와 에이쓰리시큐리티컨설팅, 이니텍 등이, 보안관제는 이글루시큐리티, 코코넛 등의 회사가 시장을 리딩했다고 볼 수 있습니다.
회장 재임 당시에 가장 주목을 받았던 보안기술이나 솔루션은 당시에는 IT 발전에 비해 정보보호에 대한 인식과 정보보호 전문인력이 매우 부족한 상태라 정보보호체계 수립, 취약점 진단, 정보보호 인증 등을 수행해주는 정보보호 컨설팅 분야와 전통적인 방화벽 등 네트워크 보안 솔루션이 가장 큰 인기를 누렸으며, 1.25 대란을 겪고 나서는 대용량 처리 Giga 방화벽, 디도스(DDoS) 방어 등 네트워크 보안 솔루션에 대한 관심이 폭발적으로 증가했다고 봅니다. 또한, 금전을 노린 공격이나 정보탈취보다는 웹사이트에 대한 디페이스(위·변조) 공격 등이 많았던 시절이라 웹사이트 위·변조 감시나 침해 모니터링(관제) 관련 보안 솔루션이 막 태동을 하는 시기였습니다.
회장 재임 당시에 공공기관이나 기업들의 보안인식 수준과 도입하는 정보보호 솔루션에 대해 가장 중점적으로 요구했던 사항은 앞서 말씀드린 대로 정보보호 인식이나 전문인력이 매우 부족한 상태였기에 대부분의 기관과 기업들이 백신만 설치하면 어느 정도 보안이 되고, 좀 더 나아가 방화벽 정도만 있어도 보안이 가능할 것이라 생각했습니다. 또한, 정보보호는 DB나 웹사이트를 운영하는 최종 사용자가 알아서 할 부분이지 기간통신망 사업자와 같은 인프라 공급자들은 큰 관심이 없었던 상황이기도 했죠. 하지만 1.25 대란을 계기로 정보보호가 단위 사용자뿐만 아니라 통신망 전체, 인프라 전체에 영향을 줄 수 있다는 생각으로 인식이 바뀌었고, 인프라 서비스 제공자, 공공 서비스를 제공하는 공공기관 등에서 정보보호 투자를 늘려 나가기 시작했습니다.
이 당시 기관 및 기업들이 도입하는 솔루션에 대해 가장 중점적으로 요구했던 사항은 ‘성능’ 측면이었는데, 이는 다른 인프라들에 비해 보안 솔루션들을 설치하면 서비스 성능이 낮아지는 문제에 기인했던 것으로 판단됩니다. 또한, 네트워크 설비가 Mega bps에서 Giga bps로 속도가 높아지면서 보안장비들의 요구 성능도 덩달아 높아지는 상황이었습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[문가용 기자(globoan@boannews.com)]
2004년, 국가사이버안전센터와 인터넷침해사고대응지원센터 설립
KISIA, 법정법인으로 우뚝... 제6대 오경수 회장 선출
한국 정보보호 업계를 대표하는 한국정보보호산업협회(KISIA, 회장 이민수)가 꽃다운 나이 만 스무 살을 지나고 있다. 아직 완전하진 않지만 무한한 가능성과 희망으로 가득 찬 20살이라고 할 수 있다. 이를 기념하고자 지난 20년 동안의 정보보호산업과 함께 한 협회의 역사와 활동, 그리고 산업의 흐름을 모아 ‘한국정보보호산업협회 20년사’가 발간됐다. KISIA 20년사는 ‘이슈로 살펴본 정보보호 20년’이라는 주제로 KISIA의 역사와 함께 한 정보보호의 역사 20년을 되짚어보고 국내 정보보호산업의 발전방향을 전망하는 ‘읽을거리’가 풍성한 역사서로 제작됐다. 이번 KISIA 20년사의 기획·제작에 참여했던 <보안뉴스>는 KISIA의 동의를 얻어 20년사에 담긴 정보보호 역사의 생생한 현장을 주 1회 연도별로 소개하는 특별기획을 마련했다. [편집자주]
[이미지=iclickart]
[보안뉴스 문가용 기자] 1.25 인터넷 대란이 가져다준 선물이 있다면 ‘인터넷의 공공성’을 국가가 실제적으로 인정하고, 마치 영토를 보호하듯 인터넷 공간을 보호하는 데에 관심을 가지기 시작했다는 것이다. 그런 의미에서 국가사이버안전센터가 대란이 터지고서 1년 만에 개소했다는 건 정부의 이러한 ‘깨우침’이 가시적으로 드러나는 부분이라고 볼 수 있다. 그러나 국가사이버안전센터는 시작부터 논란에 휩싸였다. 왜 그랬을까?
인터넷 공간 보호 위한 국가차원의 선택, 국가사이버안전센터 설립
국가 차원에서 설립된 정보보호 전문기관의 역할을 살펴보려면 먼저 당시 인터넷 등 정보통신과 관련된 사업을 진행했던 정부기관들에 대하여 알아야 한다. 먼저 우리나라에서는(그리고 다른 여러 나라에서도) 우편물 배달과 집계 및 분류를 담당하던 체신부가 있었고, 이것이 발전하여 정보통신부가 되었다. 그리고 2008년 2월, 기능별로 흩어져 지식경제부, 방송통신위원회, 행정자치부, 문화관광부 등 다른 부서에 편입되기 전까지 존재했다. 즉 1.25 인터넷 대란이 있고서도 한동안은 정보통신부가 주무부처였던 것이다.
또 하나 알아두어야 할 기관은 한국인터넷진흥원이다. 지금의 한국인터넷진흥원인 KISA와 다른 기관으로 한글 이름은 같으나 영어 이름은 NIDA였다. NIDA는 1999년 6월 29일 한국인터넷정보센터로 출범했고, 1.25 인터넷 대란이 발생하고 이듬해인 2004년 한국인터넷진흥원이 됐다. 그리고 2009년 7월 당시 한국정보보호진흥원이라는 이름을 가지고 있던 KISA를 비롯해 정보통신국제협력진흥원(KIICA)와 통합해 오늘날의 한국인터넷진흥원인 KISA가 되었다. 즉, 1.25 인터넷 대란이 발생한 직후에는 NIDA와 KISA가 따로 존재했다는 것이다. 지금의 KISA는 한국인터넷진흥원이고, 그때의 KISA는 한국정보보호진흥원이다. 지금의 한국인터넷진흥원은 KISA이고, 그때의 한국인터넷진흥원은 NIDA다.
KrCERT, 사이버테러 대응의 중심이 되다
1.25 인터넷 대란이 일어나고 정보통신부는 재발 방지를 위한 여러 가지 대책을 마련했는데, 그 중 하나가 한국정보보호진흥원 안에 인터넷침해사고대응지원센터를 설립하는 것이었다. 이것이 KrCERT다. 인터넷 서비스 제공업자(ISP)를 중심으로 민간 정보통신망을 상시 관제함으로써 이상 징후를 조기에 탐지하고 분석하는 것을 목적으로 했다. 이상 징후가 발견될 경우 국민들에게 알리고 복구 작업을 지원하는 역할을 담당하도록 했다. 일종의 사이버 테러를 방지하고 대응하기 위해 설립한 것이었다.
당시 정보보호업계는 인터넷침해사고대응지원센터가 갈 길이 험할 것이라고 예상했다. 많은 기관과 협력체계를 이룰 것인데, 이게 말이 쉽지 실제 수집하고 처리해야 할 데이터의 양이 엄청날 것이기 때문이었다. 분명 어마어마한 양의 데이터가 KrCERT로 흘러들어갈 것인데, 이를 얼마나 잘 활용하느냐에 따라 운영 효과에 대한 평가가 나뉠 것이라는 전망이었다. 또한, 이런 범국가적인 대응센터란 것이 세계적으로 유례를 찾기 힘든 개념이기 때문에 실질적인 성과를 내기 힘들 것이라는 분석도 있었다. 그렇기에 이러한 대응센터가 마련된 것 자체가 갖는 상징성에서 더 큰 의미를 찾기도 했다. 실질적인 기능보다 정부와 민간 차원의 정보보호 인식 확산과 의식 제고를 위한 상징적 가치를 가질 것이라는 예상이었다.
참고로 CERT란, 침해사고대응센터(Computer Emergency Response Team)를 부르는 말로, 하나의 기관에게 붙여진 고유명사격의 이름이 아니라 각 산업이나 기관·국가별로 마련된 사이버사고 대응기능이다. 한국 전체의 침해사고대응센터는 KrCERT, 호주의 센터는 AusCERT, 브라질에서는 CERT.br, 캐나다는 CanCERT, 프랑스는 CERT-FR 등으로 불린다. 나라만이 아니라 여러 기관들에서도 독자적으로 이러한 기능을 가지고 부서의 형태로 운영하고 있다.
각 산업별로 뭉쳐서 대응하자, ISAC 우후죽순 생겨나
비슷한 개념으로 ISAC이 있다. 정보 공유 및 분석 센터(Information Sharing and Analysis Center)의 준말로 CERT와 마찬가지로 국가나 기관을 뜻하는 글자와 조합되어 명칭이 만들어진다. 자동차 산업 분야의 ISAC은 Auto-ISAC, 금융 산업에서는 금융ISAC, 석유 및 가스 산업에서는 ONG-ISAC 등으로 불린다. 사이버 보안 위협이 증가함에 따라 각 산업별로 ‘뭉쳐서 대응하자’는 움직임이 일면서 ISAC이 우후죽순 생겨났다.
이름이 길어서 헷갈릴 수 있는데, 정보통신부가 한국정보보호진흥원 내에 새로이 설립한 범 국가적 사이버보안센터는 국가사이버안전센터가 아니라 인터넷침해사고대응지원센터였다. KrCERT는 2003년 12월 17일 개소식을 가졌는데, 이와 비슷한 시기에 비슷한 성격의 기관이 준비되고 있었다. 주체는 정보통신부가 아닌 국가정보원으로, 여기서 무르익고 있었던 기관의 이름이 바로 국가사이버안전센터다. 국가정보원의 대통령 보고에 따르면 국가사이버안전센터의 목적은 국가 사이버테러 대응에 필요한 민·관·군의 역할을 정립하고, 협력을 이끌어내며, 국가 차원의 사이버테러 예보와 경보 체계를 구축하는 것이었다. 보기에 따라 국가사이버안전센터와 인터넷침해사고대응지원센터의 역할이 겹친다고도 해석할 수 있었다.
논란이 제일 처음 발생했던 건 바로 이 때문이었다. 이미 같은 역할을 담당하는 기관이 있는데 왜 굳이 비슷한 기관을 또 만드느냐는 것이었다. 비슷한 업무를 두 기관이 맡아서 진행할 경우, 실제 상황 발생 시 큰 혼선이 있을 수 있다는 우려였다. 민간 기업들 입장에서도 유관 기관과 관계를 맺어가는 데 있어 혼란스러울 수밖에 없었다.
이에 국가정보원은 당시 운영하고 있었던 ‘정보보안 119’를 확장시킨 것이라며, 각 기관 및 산업별로 흩어져 있었던 수많은 CERT와 ISAC을 전부 아우르고 일원화한 종합상황실의 역할을 할 것이라고 답했다. 아직 CERT나 ISAC을 갖추지 못한 기관의 경우는 국가정보원이 직접 연계를 추진할 계획이라고 밝히기도 했다. 무엇보다 관심을 끈 건, 국가사이버안전센터가 당시 한국정보보호진흥원 내부에 마련된 인터넷침해사고대응지원센터를 통제하는 상위 개념이었다는 것이다.
하지만 그것만으로는 충분한 답이 되지 않았다. 왜냐하면 국가정보원이 국내 모든 CERT와 ISAC을 통제할 수 있게 해주는 법적 근거가 없었기 때문이다. 일각에서는 정보를 한 곳에 취합하는 정도가 아니라 그 이상을 국가정보원이 할 수 있게 된다면 부작용이 있을 수 있다고 걱정하기도 했다. 그러면서 국가사이버안전센터를 국가안전보장회의(NSC) 산하에 두고, 정보통신부와 국가정보원이 공동으로 참여하는 형태가 제안되기도 했으나, 받아들여지지 않았다. 대신 국가정보원은 흩어져 있던 기능들을 일원화하는 수준일 뿐이라고 답하며 법의 테두리 안에서만 일을 꾸려가겠다고 설명했다.
▲인터넷침해사고대응지원센터와 국가사이버안전센터 비교[표=보안뉴스]
인터넷침해사고대응지원센터와 국가사이버안전센터의 역할
그렇게 해서 현재까지 인터넷침해사고대응지원센터와 국가사이버안전센터는 유지되고 있다. 현 한국인터넷진흥원의 인터넷침해사고대응센터는 민간 부문을, 국가사이버안전센터는 경찰청의 사이버테러대응센터와 함께 공공 부문을 담당하고 있다. 국방과 관련된 부분은 국방정보전대응센터가 맡고 있는 게 현재의 형태다.
논란 중에 개소된 국가사이버안전센터는 설립하고 바로 다음 달인 3월, 첫 사업의 결과물을 발표했다. 국가사이버안전매뉴얼과 월간 사이버시큐리티의 창간호를 펴낸 것이다. 국가사이버안전매뉴얼은 민·관·군에서 활용될 수 있는 사이버테러 대응용 실무 지침서이며, 월간 사이버시큐리티는 매달 발행되는 소책자 및 보고서로, 국가사이버안전센터가 한 달 동안 탐지하고 분석한 데이터를 근거로 한 여러 통계자료 및 분석결과가 수록되어 있었다. 지침서는 보안을 담당하는 자들을 위한 내용을 주로 담고 있었고, 월간지는 주로 일반인들이 사이버 공간에서 일어나는 일들과 그곳에 도사린 위험들을 좀 더 폭넓게 이해할 수 있도록 하는 방향으로 편집됐다. 또한, 지침서를 통해 보다 선 굵은 대응 방법들을 알려주면서 동시에 월간지로 끊임없이 변하는 사이버 공간 내 위협 요소들을 그때그때 보충한다는 의미도 담긴 조합이었다.
월간 사이버시큐리티를 통해 매월 발간되는 보고서는 여러 뉴스 매체에 인용되어 보도됐다. 국가사이버안전센터는 당시 한국을 노리는 사이버 위협에 어떤 것들이 있는지, 공격이 어떤 추세로 증가하고 있는지, 한국 웹 공간에 어떤 공격이 있었는지 등을 분석해 이를 공개했다. 하지만 2006년 5월을 끝으로 더는 발행되지 않고 있다. 국가사이버안전센터의 공식 홈페이지에도 2006년 5월호까지만 업로드 되어 있다.
PC 해킹 프로그램 ‘변종Peep’, 국가기관 농락하다
국가사이버안전센터가 설립된 2004년 7월에는 ‘변종Peep’라는 PC 해킹 프로그램이 국가기관에 침투하는 일이 발생하기도 했다. 국회를 비롯해서 다수 기관이 여기에 당했다. 국가사이버안전센터는 변종Peep이 중국으로부터 유입됐으며, 국가기관 내에 있는 PC 211대가 감염됐다고 발표했다. 또한, IP 주소를 추적해 해커 중 한 명이 중국 인민해방군 소속 외국어학교에서 한국어 과정을 밟고 있는 학생일 가능성이 높다는 것도 밝혀냈다. 이에 따라 외교 비화까지 언급됐고, 당시 여러 매체에서 국가 간 정보전의 막이 올랐다고 보도했다. 심지어 주한미군도 여기에 당한 것이 추가로 밝혀지면서 ‘사이버 전쟁’은 더욱 화제가 됐다.
게다가 같은 달에 리벡(Revacc)이라는 백도어가 추가로 정부기관들에서 발견됐다. 변종Peep과 차이점을 보이는 부분도 있었지만 유사점도 많았기 때문에 같은 공격자가 유포했을 것이라는 결론이 내려졌다. 변종Peep나 리벡 모두 정보를 유출시키는 유형의 멀웨어였으며, 국가사이버안전센터는 이 두 가지 멀웨어를 발견함에 따라 주의 경보를 발령했다. 또한, 점검해야 할 IP 주소 목록과 파일 목록을 홈페이지를 통해 공개했다.
북한 추정 해커조직과의 사이버전쟁, 본격적인 막 오르다
그러면서 자연스럽게 물망에 오른 것이 북한이다. 변종Peep나 리벡을 포함한 이메일 제목 등에 ‘워크숍 내용과 일정’ 등의 자연스러운 한글이 섞여 있었기 때문이다. 따라서 북한의 해커가 중국을 경유해 공격을 실시했거나 공격 집단 중에 북한인이 섞여 있을 수 있다는 추측이 나오기 시작했다. 국가간 사이버전 상황에서 공격자가 다른 나라의 IP 주소로부터 공격을 실시하는 건 지금도 흔한 일이다. 게다가 국방과 밀접한 기관들이 집중 공격당했으므로, 당시까지도 총구를 겨누고 있는 북한이 공격했을 가능성이 결코 낮다고 볼 수 없었다. 북한이 해킹 부대를 양성하고 있다는 소리가 공공연하게 나오기 시작한 것도 바로 2004년부터다.
한편, 이 Peep 트로이목마는 다른 나라에서도 발견됐다. 중국 해커들이 대만 정부로부터 정보를 빼앗기 위해 사용한 것이었다. 재미있는 건 이 트로이목마의 제작자가 대만인이라는 것이다. 대만 경찰은 왕안핑(Wang An-ping)이라는 당시 30세의 엔지니어를 체포했고, 그는 순순히 자신이 Peep의 개발자임을 자백했다. 원래는 트로이목마를 유료로 판매할 생각이었는데, 갑자기 마음을 바꿔 자신이 운영하는 웹사이트를 통해 무료로 뿌리고 있었다. 중국 해커들이 이를 발견해 다운로드한 후, 약간의 수정을 거쳐 공격용 무기로 조작한 것이었다. 왕 안 핑의 체포는 5월 말 경에 있었고, 한국 정부기관이 변종Peep로 시끌벅적해진 것은 6월의 일이었다.
이런 저런 사업을 진행하고, 국가기관 해킹 사고까지 겪으면서 국가정보원과 국가사이버안전센터는 논란이 언제 있었냐는 듯 자연스럽게 한국의 사이버보안 통합관제센터로서 자리를 잡기 시작했다. 하지만 1.25 인터넷 대란과 범국가적 사이버 안전기구 설립, 그 후에 있었던 변종Peep 공격 사건 등에 버금가는 또 다른 굵직한 사건이 기다리고 있다는 건 아무도 눈치 채지 못하고 있었다.
[이미지=iclickart]
‘사전방역’ 서비스가 키워드로 부상한 백신 업계
정보보호 솔루션 가운데 바이러스 백신의 경우 ‘정보보호=백신’이라는 말이 성립될 정도로 백신은 정보보호 솔루션을 대표하는 분야였고, 일반인들에게 가장 친숙한 솔루션으로 꾸준히 발전해 왔지만, 변화 폭이 가장 적었던 분야였다. 그러나 2004년 들어서는 백신 업체에도 ‘서비스’라는 새로운 화두가 등장했다.
국내 백신 업체인 안철수연구소와 하우리, 그리고 외산 업체인 트렌드마이크로가 서비스 개념으로 내놓고 있는 사전방역 서비스가 주목을 끌었기 때문이다. 사전방역 서비스는 게이트웨이나 이메일 서비스 등에 백신 관리 시스템을 적용해 바이러스가 발견될 경우 이들 위협을 사전에 격리·방역·치료 및 복구 등의 과정을 통해 기업의 네트워크를 보호하는 서비스로, 기존 백신 솔루션이 갖는 업데이트 방식에서 벗어나 네트워크에 대한 포괄적인 관리 서비스를 수행하는 것을 의미했다. 이때부터 백신이 PC 뿐만 아니라 네트워크 장비, 핸드폰, PDA와 같은 다양한 제품에 탑재되는 등 그 범위가 상당히 넓어지는 것과 동시에 각종 장비에 백신이 접목되면서 서비스 산업으로의 전환이 이루어지기 시작한 것이다.
이와 함께 2004년에는 패치관리 시스템(Patch Management System)이 틈새시장을 노리면서 성장하기 시작했다. 대형 해킹사고들이 소프트웨어의 취약점을 악용함에 따라 발생하면서 이를 바로 잡기 위한 ‘패치’ 작업을 원활하게 관리해주는 패치관리 솔루션이 부각됐다. 2004년의 경우 닉스테크의 ‘Safe PC 2.5’, 소프트런의 ‘인사이터’, 패치링크의 ‘패치링크’ 등의 솔루션이 시장에서 열띤 경쟁을 펼쳤다.
▲KISIA가 주관했던 정보보호 첨단제품 전시 행사 모습[사진=KISIA]
KISIA, 법정법인으로 우뚝 서다
2004년은 2003년 1.25 인터넷 대란 이후, 주요기반시설과 기간통신망에 대한 정보보호 대책 수립과 보안수준 향상이 가장 큰 숙제가 된 한해였다. 이에 따라 인터넷침해사고대응지원센터와 국가사이버안전센터가 설립되었다. 이러한 가운데 협회는 2003년 12월 법정법인으로 승격된 이후 후속 행정절차에 만전을 기했고, 2004년 9월 드디어 「정보통신망법」제59조의2의 규정에 의해 법정법인 설립 인가를 취득하게 됐다.
2월에는 정기총회를 개최하고 시큐아이닷컴 오경수 사장을 제6대 회장으로 선임했다. 이와 함께 2013년 신설된 수석부회장에 김재근 이니텍 사장이 선출됐으며, 부회장으로는 김대연 윈스테크넷 사장, 임병동 인젠 사장, 안창준 소프트포럼 사장, 장문수 어울림정보기술 사장, 백태종 에이쓰리시큐리티컨설팅 사장, 김광태 퓨쳐시스템 사장, 조석일 코코넛 사장, 권석철 하우리 사장이 각각 선출됐다. 또한, 안철수 전 회장은 고문으로 추대됐다. 이 외에도 협회는 InfoSecurity-China 와 CSI 2004 전시회에서 한국공동관을 운영했으며, 호주 IT시큐리티 포럼과 협력 조인식을 체결하는 등 회원사들의 해외시장 진출을 지원하는데도 만전을 기했다.
[KISIA 역대회장 인터뷰] 오경수 제6대 회장(현 제주특별자치도개발공사 사장)
“1.25 대란 계기로 주요기반시설 정보보호대책 수립이 화두”
▲오경수 KISIA 제6대 회장
회장 재임기간 중 정보보호산업 발전을 위해 가장 중점적으로 추진했던 사업과 그 성과는 첫째는 산업계가 1.25 대란과 같은 국가적 보안사고 대응이나 국가의 정보보호정책 수립에 대해 제3자가 아닌 이해당사자로 직접적인 참여가 필요했고, 정보보호산업이 정보화 사회를 선도하는 핵심 산업으로의 위상을 강화하기 위해 협회의 성격을 민간협회에서 ‘특별법정법인단체’로 승격시켰던 게 가장 기억이 많이 남습니다. 이후에도 법정단체로서의 기반을 견고히 다지기 위해 예산 확보와 수출 확대에 주력했습니다.
둘째는 정보보호산업 육성을 위해 2003년 처음 시행된 ‘공공기관 정보보호 수준제고’ 사업을 확대 시행할 것을 정부에 건의함으로써 정보화 역기능에 대한 정부기관의 대응력 강화와 정보보호 수준 확대에 적극 나섰던 점을 꼽고 싶습니다. 이의 일환으로 국정원-KISA-ETRI-업계를 잇는 산·학·연·관 ‘사이버보안대응’ 협력체계를 구축하기도 했죠.
마지막은 정보보호 업체들 간에 과열, 덤핑 경쟁을 자제하고 서로 상생할 수 있도록 협력방안을 마련하는 등 정보보호산업의 규모 및 경쟁력 확대를 도모했으며, 정보통신 서비스에 대한 일정 수준의 정보보호 의무를 부과하는 정보통신망법 개정을 이끌어내면서 정보보호산업 진흥에 이바지했다는 점도 큰 보람이었던 것 같습니다.
2004년 당시에 국내 정보보호업계를 주도했던 기업들의 면면에 대해 기억하신다면 당시 정보보호 산업계는 크게 백신 업체, 네트워크 솔루션 업체, 컨설팅 업체, 보안관제 서비스 업체 등이 시장을 이끌었던 것으로 기억합니다. 백신 분야는 안철수연구소와 하우리가, 방화벽은 시큐아이닷컴, 시큐어소프트, 어울림정보기술 등이, 컨설팅은 대기업계열 정보보호업체와 에이쓰리시큐리티컨설팅, 이니텍 등이, 보안관제는 이글루시큐리티, 코코넛 등의 회사가 시장을 리딩했다고 볼 수 있습니다.
회장 재임 당시에 가장 주목을 받았던 보안기술이나 솔루션은 당시에는 IT 발전에 비해 정보보호에 대한 인식과 정보보호 전문인력이 매우 부족한 상태라 정보보호체계 수립, 취약점 진단, 정보보호 인증 등을 수행해주는 정보보호 컨설팅 분야와 전통적인 방화벽 등 네트워크 보안 솔루션이 가장 큰 인기를 누렸으며, 1.25 대란을 겪고 나서는 대용량 처리 Giga 방화벽, 디도스(DDoS) 방어 등 네트워크 보안 솔루션에 대한 관심이 폭발적으로 증가했다고 봅니다. 또한, 금전을 노린 공격이나 정보탈취보다는 웹사이트에 대한 디페이스(위·변조) 공격 등이 많았던 시절이라 웹사이트 위·변조 감시나 침해 모니터링(관제) 관련 보안 솔루션이 막 태동을 하는 시기였습니다.
회장 재임 당시에 공공기관이나 기업들의 보안인식 수준과 도입하는 정보보호 솔루션에 대해 가장 중점적으로 요구했던 사항은 앞서 말씀드린 대로 정보보호 인식이나 전문인력이 매우 부족한 상태였기에 대부분의 기관과 기업들이 백신만 설치하면 어느 정도 보안이 되고, 좀 더 나아가 방화벽 정도만 있어도 보안이 가능할 것이라 생각했습니다. 또한, 정보보호는 DB나 웹사이트를 운영하는 최종 사용자가 알아서 할 부분이지 기간통신망 사업자와 같은 인프라 공급자들은 큰 관심이 없었던 상황이기도 했죠. 하지만 1.25 대란을 계기로 정보보호가 단위 사용자뿐만 아니라 통신망 전체, 인프라 전체에 영향을 줄 수 있다는 생각으로 인식이 바뀌었고, 인프라 서비스 제공자, 공공 서비스를 제공하는 공공기관 등에서 정보보호 투자를 늘려 나가기 시작했습니다.
이 당시 기관 및 기업들이 도입하는 솔루션에 대해 가장 중점적으로 요구했던 사항은 ‘성능’ 측면이었는데, 이는 다른 인프라들에 비해 보안 솔루션들을 설치하면 서비스 성능이 낮아지는 문제에 기인했던 것으로 판단됩니다. 또한, 네트워크 설비가 Mega bps에서 Giga bps로 속도가 높아지면서 보안장비들의 요구 성능도 덩달아 높아지는 상황이었습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
