[2002/03/22]

해킹을 위한 최고의 경로「정문으로 들어가라?」

다니엘 루코비츠는 보안상 결함을 보여주는 데 있어서 아주 색다른 방법을 사용하는 것으로 알려져 있다.

루코비츠는 내가 그의 파이어월을 결코 통과할 수 없을 것이라고 확신하던 CIO가 있었다. 그는 자신의 모자를 먹을 것이라고 약속까지 하려 했다. 나는 양복을 차려입고 정문으로 들어갔다. 사실 그의 부하들은 문을 열어 주기까지 했다. 나는 파이어월의 플러그를 뽑아 그것을 그의 책상에 놓으면서, 모자에 어떤 소스를 곁들여 먹을 것이냐고 물었다라고 말했다.

이러한 태도는 아마도 하나의 좋은 예일 것이다. 이는 IT 서비스 제공업체인 CMG에서 수석 보안 컨설턴트로 일하는 그의 역할이 침입이 불가능하다고 여겨지는 IT 시스템에 침투하는 것이기 때문이다. 물리적 보안 분야의 배경을 가진 그는 파이어월을 초월하는 것을 강조하며 기업들이 기술뿐만 아니라 보안의 물리적이고 절차적인 면에 집중하도록 독려한다.

악의적인 해커들이 시스템에 침입할 때 필요한 정보의 많은 부분을 회사로부터 쉽게 얻을 수 있다고 가정하는 그는 기업 전반에 걸친 표준 운영환경의 적용뿐만 아니라 내부 정보교환을 신중하게 제한할 것을 주장하고 있다.

핵(Hack) 2002에서의 발표에서 그는 불필요한 포트와 서비스를 막는 것을 비롯해 서버를 견고히 만드는 것, 다수의 보안계층 적용, 일관된 로그 분석 등과 같은 반해킹 조치를 언급함과 동시에 기업 전반에 걸친 교육과 정책을 더욱 강조할 것을 주문했다.

그는 회사 직원중 한 명이 의심스런 이메일을 미처 알아보지 못하고 열어버리는 경우 상상 가능한 인프라스트럭처 모두가 1초만에 사라질 수 있다. 정책, 인력, 인프라스트럭처는 효율적으로 상호 작용해 조직내의 진정한 보안을 제공할 수 있어야 한다고 말했다.

위협의 인지

IT 보안 실패가 전세계에서 우후죽순처럼 나타나면서 해커라는 용어는 긴머리, 주근깨 투성이의 '스크립트 키디'의 이미지를 떠올리게 한다. 이들은 맹목적으로 그들이 잘 이해도 하지 못하는 도구를 만들어 전세계의 시스템에서 문제를 일으키려고 한다.

90이스트(90East)에서 수석 과학자로 일하는 팀 크래니 박사에 따르면(그는 이 회사에서 연방정부기관의 4분의 1을 감시한다), 이러한 네트워크의 최상위 계층에서 발견된 탐사(probe) 패킷의 숫자는 9월 11일 이후 30만개에서 120만개로 증가했다. 그는 우리는 중동과 동남아시아에서 나온 패킷이 엄청나게 증가한 것을 관찰했다고 말했다.

그는 이러한 공격 대부분이 비교적 무해하다는 것을 인정했지만, 그 규모로 인해 정교하며 목표가 뚜렷한 공격이 위장될 수 있다고 말했다. 그는 해커들이 정교한 도구를 사용해 유닉스 시스템에 침입하는데는 성공하지만 그후 무엇을 해야할지 모르는 경우가 드물지 않다. 어떻게 로그오프할지를 모르기 때문에 우리는 이런 사람들을 잡을 수가 있다. 비록 대부분의 공격이 심각하지는 않지만 보다 정교한 작전을 가릴 수가 있다고 말했다.

역시 핵 2002에서 발표를 한 크래니 박사는 전세계에서 1조 달러 이상이 인터넷으로 거래되고, 인터넷에 연결되는 기기가 빠른 속도로 다양화되는 시점에서 얼마 지나지 않아 IT 보안은 훨씬 더 많은 커뮤니티에 좀 더 구체적인 방법으로 영향을 끼칠 것이라고 말했다.

그는 만약 육류 취급소의 냉장장치를 꺼버리는 수백만 달러 짜리 해킹이 발생한다면, 이것이 전환점이 될 것이라고 말했다. 그는 또한 부상중인 무선 프로토콜과 관련된 미지의 어려움에 관해서도 경고했다. IT 보안은 점점 더 기업의 문제가 돼간다. 이것이 보험규약에 통합되고 보험료가 오르는 것을 봐도 알 수 있다. 또한 기업의 경각심과 책임 문제도 있다고 말했다.

루코비츠와 마찬가지로 크래니 박사도 그의 발표를 이용해 좀더 유연하고 쉽게 키울 수 있으며, 미리 대비하고 어디에서나 찾을 수 있는 보안 조치가 기업계 전반에 걸쳐서 구축될 것을 요청했다.

Jeanne-Vida Douglas (ZDNet Australia)