.jpg)
재택 근무자들을 보호하려면 어떻게 해야 할까? 원격 근무 체제가 확산되면서 CISO들의 고민은 깊어져 가고 있다. 이럴 때는 이것 저것 한꺼번에 고려할 것이 아니라 문제를 하나하나 해결해가야 한다. 1번은 무조건 와이파이다.
[보안뉴스 문가용 기자] 코로나로 인해 급작스럽게 퍼진 재택 근무 체제가 의외로 뚝심 있게 지속되고 있다. 팬데믹 전에도 재택 근무자가 꾸준히 증가하고 있었다는 걸 생각해 보면 놀라울 것도 없는 일이긴 하지만, 코로나 충격이 워낙 커 갑작스러워 보이기도 한다. 이러한 추세라면 2025년까지 전체 노동인구의 22%가 집에서 근무할 것이라는 예측도 나오고 있다.
기업들의 경우, 재택 근무 체제를 통해 보다 유연하게 생산성을 높일 수 있을 것으로 기대되지만, 그만큼 보안 문제도 더 심각해질 것이라는 전망이 등장하고 있다. 특히 가정용 와이파이망의 보안이 시급한 문제로 꼽히고 있다. 덕분에 CISO들의 업무 범위가 임직원들의 가정으로까지 확대되고 있는 상황이다.
자택의 소유권은 공공 정보다. 따라서 공격자는 표적으로 삼은 조직의 임직원의 집 근처를 어슬렁거리며 와이파이망에 접근할 수 있다. 와이파이 크리덴셜을 훔친다던가, 트래픽을 공격자의 의도대로 우회시킬 수 있게 된다는 뜻이다. 여기까지 공격을 진행했다면, 그 다음부터는 공격자 마음대로다. 랜섬웨어를 심을 수도 있고, 기업 정보를 빼돌릴 수도 있으며, 그 외 여러 악성 공격을 실시할 수도 있다.
IBM이 최근 발표한 바에 의하면 사이버 사건의 95%가 인간의 실수에서부터 비롯된다고 한다. 사람이 워낙 실수가 많은 존재이긴 하지만, 95%라는 수치는 의외다. 이는 보안 사고를 일으키는 실수라는 것이 사실은 ‘무지’에서 비롯된다는 걸 뜻한다. 정보를 어떻게 보호해야 하는지, 어떤 정보를 보호해야 하는지, 정보를 왜 보호해야 하는지를 정확하고 구체적으로 모른다는 것이다. 예를 들어 가정용 와이파이망 보호의 핵심인 라우터 펌웨어 업데이트를 실제로 할 줄 아는 임직원이 얼마나 되는가를 생각해 보면 수긍이 갈 것이다.
일반 가정용 라우터는 WPA2-PSK라는 방식으로 설정되어 있다. 단 한 개의 비밀번호만으로 모든 장비와 사용자가 그 라우터에 연결된다는 뜻이다. 이 WPA2-PSK는 가장 널리 퍼진 인증 방식이며, 이는 보안 담당자의 입장에서 매우 안타까운 현실이다. 비밀번호 하나만 공격자가 가져간다면, 사실상 모든 장비에 손을 뻗칠 수 있다는 뜻이 되기 때문이다.
물론 WPA2-PSK에도 나름의 장점이 있다. 비밀번호를 평문 상태로 훔칠 수는 없다는 것이다. 공격자는 비밀번호를 훔쳐내도 복호화 과정을 한 번 더 거쳐야 한다. 다만 사용자가 비밀번호를 강력하게 설정해야만 효과를 볼 수 있는 특징이다. 현실은 어떨까? 보안 업체 어베스트(Avast)가 조사한 바에 의하면 약 79%의 가정용 라우터가 취약한 비밀번호(1234 등)로 보호되어 있었다고 한다. 보안 기능이 없지는 않은데, 그나마도 사용자들의 ‘비협조’로 발휘되지 않고 있다는 뜻이다. 이러한 상황에서 CISO가 할 수 있는 일은 다음과 같이 요약된다.
1. 임직원들을 교육하라
일단 제일 중요한 건 당사자들의 위에 설명한 와이파이망의 현실을 깨닫고 직시하는 것이다. 또한 공격자들의 흔한 수법 중 하나인 소셜엔지니어링에 대해서도 알려주어야 한다. 악성 이메일이 어떻게 생겼으며, 가짜 웹사이트의 보편적인 특징이 무엇이고, 로그인 크리덴셜을 입력할 때는 무조건 한 번 더 생각해야 한다는 사실을 계속해서 강조하는 것이 좋다.
중요한 건 교육을 아무리 꾸준하게 했다고 하더라도 임직원들이 실수를 한 번도 저지르지 않는 완벽한 사람으로 다시 태어난다고 기대하지 않는 것이다. 교육의 질과 양에 상관없이 사람은 누구나 실수를 저지르기 마련이다. 교육 효과를 너무 기대하면 쉽게 지친다.
2. 가정용 와이파이망도 기업용 망처럼 단단히 만들 수 있다
기업들이 가장 선호하는 네트워크 프로토콜은 WPA2-Enterprise이다. WPA-Enterprise는 레이디어스(RADIUS)라는 서버를 활용하는데, 이 서버는 EAP라는 프로토콜을 지원한다. 이 프로토콜 덕분에 레이디어스 서버로 전송되는 정보가 보호된다. 그러므로 재택 근무 중인 직원이 회사의 중요한 정보에 자주 접근해야만 할 때, 이 WPA2-Enterprise가 적용되도록 하는 것이 좋다. 즉 가정용 와이파이에도 이 프로토콜을 구축하는 방편을 모색하라는 뜻이다. 최근 여러 가지 방법들이 나오면서 WPA2-Enterprise의 구축이 더 쉬워졌다.
이른 바 ‘엔터프라이즈 그레이드(enterprise-grade)’ 즉 대기업 수준의 인프라를 중소기업이나 가정에서 구축한다는 건 불가능한 일이었다. 비용 측면에서 도저히 고려 대상이 아니었던 것이다. 하지만 모든 기술이 그러하듯 기업용 인프라의 가격도 크게 하락하고 있으며, 이미 ‘불가능’이라는 표현과는 어울리지 않는 수준으로 내려온 상태다. 게다가 최근 나오는 WPA2-Enterprise 지원 라우터들은 클라우드에서도 제어가 가능하기 때문에 원격 근무 체제에 더 알맞다.
원격 근무 보안의 핵심은 와이파이
코로나로 인해 ‘뉴 노멀’이 예상보다 빨리 도래했다. 이 ‘뉴 노멀’은 ‘보안 우선주의’라고도 볼 수 있다. 원격 근무가 유행하면서 앞으로 보안은 더욱 중요한 요소로서 다뤄질 것이다. 몇몇 통계에 따르면 재택 근무자의 90%가 ‘코로나가 끝나도 집에서 일하고 싶다’라는 의견을 피력하는 때에, 보안을 고려하지 않는다는 것처럼 어리석은 일은 없다. 그리고 지금 시점에서 ‘재택 근무자의 보안’은 ‘가정용 와이파이망의 보호’와 직결되어 있다.
글 : 버트 카시얍(Bert Kashyap), CEO, SecureW2
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 코로나로 인해 급작스럽게 퍼진 재택 근무 체제가 의외로 뚝심 있게 지속되고 있다. 팬데믹 전에도 재택 근무자가 꾸준히 증가하고 있었다는 걸 생각해 보면 놀라울 것도 없는 일이긴 하지만, 코로나 충격이 워낙 커 갑작스러워 보이기도 한다. 이러한 추세라면 2025년까지 전체 노동인구의 22%가 집에서 근무할 것이라는 예측도 나오고 있다.
[이미지 = utoimage]
기업들의 경우, 재택 근무 체제를 통해 보다 유연하게 생산성을 높일 수 있을 것으로 기대되지만, 그만큼 보안 문제도 더 심각해질 것이라는 전망이 등장하고 있다. 특히 가정용 와이파이망의 보안이 시급한 문제로 꼽히고 있다. 덕분에 CISO들의 업무 범위가 임직원들의 가정으로까지 확대되고 있는 상황이다.
자택의 소유권은 공공 정보다. 따라서 공격자는 표적으로 삼은 조직의 임직원의 집 근처를 어슬렁거리며 와이파이망에 접근할 수 있다. 와이파이 크리덴셜을 훔친다던가, 트래픽을 공격자의 의도대로 우회시킬 수 있게 된다는 뜻이다. 여기까지 공격을 진행했다면, 그 다음부터는 공격자 마음대로다. 랜섬웨어를 심을 수도 있고, 기업 정보를 빼돌릴 수도 있으며, 그 외 여러 악성 공격을 실시할 수도 있다.
IBM이 최근 발표한 바에 의하면 사이버 사건의 95%가 인간의 실수에서부터 비롯된다고 한다. 사람이 워낙 실수가 많은 존재이긴 하지만, 95%라는 수치는 의외다. 이는 보안 사고를 일으키는 실수라는 것이 사실은 ‘무지’에서 비롯된다는 걸 뜻한다. 정보를 어떻게 보호해야 하는지, 어떤 정보를 보호해야 하는지, 정보를 왜 보호해야 하는지를 정확하고 구체적으로 모른다는 것이다. 예를 들어 가정용 와이파이망 보호의 핵심인 라우터 펌웨어 업데이트를 실제로 할 줄 아는 임직원이 얼마나 되는가를 생각해 보면 수긍이 갈 것이다.
일반 가정용 라우터는 WPA2-PSK라는 방식으로 설정되어 있다. 단 한 개의 비밀번호만으로 모든 장비와 사용자가 그 라우터에 연결된다는 뜻이다. 이 WPA2-PSK는 가장 널리 퍼진 인증 방식이며, 이는 보안 담당자의 입장에서 매우 안타까운 현실이다. 비밀번호 하나만 공격자가 가져간다면, 사실상 모든 장비에 손을 뻗칠 수 있다는 뜻이 되기 때문이다.
물론 WPA2-PSK에도 나름의 장점이 있다. 비밀번호를 평문 상태로 훔칠 수는 없다는 것이다. 공격자는 비밀번호를 훔쳐내도 복호화 과정을 한 번 더 거쳐야 한다. 다만 사용자가 비밀번호를 강력하게 설정해야만 효과를 볼 수 있는 특징이다. 현실은 어떨까? 보안 업체 어베스트(Avast)가 조사한 바에 의하면 약 79%의 가정용 라우터가 취약한 비밀번호(1234 등)로 보호되어 있었다고 한다. 보안 기능이 없지는 않은데, 그나마도 사용자들의 ‘비협조’로 발휘되지 않고 있다는 뜻이다. 이러한 상황에서 CISO가 할 수 있는 일은 다음과 같이 요약된다.
1. 임직원들을 교육하라
일단 제일 중요한 건 당사자들의 위에 설명한 와이파이망의 현실을 깨닫고 직시하는 것이다. 또한 공격자들의 흔한 수법 중 하나인 소셜엔지니어링에 대해서도 알려주어야 한다. 악성 이메일이 어떻게 생겼으며, 가짜 웹사이트의 보편적인 특징이 무엇이고, 로그인 크리덴셜을 입력할 때는 무조건 한 번 더 생각해야 한다는 사실을 계속해서 강조하는 것이 좋다.
중요한 건 교육을 아무리 꾸준하게 했다고 하더라도 임직원들이 실수를 한 번도 저지르지 않는 완벽한 사람으로 다시 태어난다고 기대하지 않는 것이다. 교육의 질과 양에 상관없이 사람은 누구나 실수를 저지르기 마련이다. 교육 효과를 너무 기대하면 쉽게 지친다.
2. 가정용 와이파이망도 기업용 망처럼 단단히 만들 수 있다
기업들이 가장 선호하는 네트워크 프로토콜은 WPA2-Enterprise이다. WPA-Enterprise는 레이디어스(RADIUS)라는 서버를 활용하는데, 이 서버는 EAP라는 프로토콜을 지원한다. 이 프로토콜 덕분에 레이디어스 서버로 전송되는 정보가 보호된다. 그러므로 재택 근무 중인 직원이 회사의 중요한 정보에 자주 접근해야만 할 때, 이 WPA2-Enterprise가 적용되도록 하는 것이 좋다. 즉 가정용 와이파이에도 이 프로토콜을 구축하는 방편을 모색하라는 뜻이다. 최근 여러 가지 방법들이 나오면서 WPA2-Enterprise의 구축이 더 쉬워졌다.
이른 바 ‘엔터프라이즈 그레이드(enterprise-grade)’ 즉 대기업 수준의 인프라를 중소기업이나 가정에서 구축한다는 건 불가능한 일이었다. 비용 측면에서 도저히 고려 대상이 아니었던 것이다. 하지만 모든 기술이 그러하듯 기업용 인프라의 가격도 크게 하락하고 있으며, 이미 ‘불가능’이라는 표현과는 어울리지 않는 수준으로 내려온 상태다. 게다가 최근 나오는 WPA2-Enterprise 지원 라우터들은 클라우드에서도 제어가 가능하기 때문에 원격 근무 체제에 더 알맞다.
원격 근무 보안의 핵심은 와이파이
코로나로 인해 ‘뉴 노멀’이 예상보다 빨리 도래했다. 이 ‘뉴 노멀’은 ‘보안 우선주의’라고도 볼 수 있다. 원격 근무가 유행하면서 앞으로 보안은 더욱 중요한 요소로서 다뤄질 것이다. 몇몇 통계에 따르면 재택 근무자의 90%가 ‘코로나가 끝나도 집에서 일하고 싶다’라는 의견을 피력하는 때에, 보안을 고려하지 않는다는 것처럼 어리석은 일은 없다. 그리고 지금 시점에서 ‘재택 근무자의 보안’은 ‘가정용 와이파이망의 보호’와 직결되어 있다.
글 : 버트 카시얍(Bert Kashyap), CEO, SecureW2
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
