[연중기획-따뜻한 디지털 세상]<2부>보안은 생존이다- 공격받는 보안SW

'보안제품이 해커들의 표적?'

지난 3월 국정원 국가사이버안전센터(NCSC). 상황관제실 모니터에는 xx기관에서 다른 기관 전산망을 해킹한 시그널이 포착됐다. NCSC측은 즉각 해당 기관에 요청해 로그 데이터 등 관련 자료를 확인했다. 조사 결과 공격 트래픽을 유발한 시스템이 그 기관의 침입차단시스템(방화벽)인 것으로 밝혀졌다.

그러나 이 때만해도 설마 '방화벽' 자체가 해킹 당했을 것이란 생각은 아무도 못했다. 당시 사고조사팀은 공격자 IP가 해당기관 내부망에서 포착된 점을 근거로 사고의 원인이 내부망에 있는 것으로 추정, 실제 공격시스템을 찾기 위해 로그를 샅샅이 분석했으나, 허사였다.

그러던 중 방화벽 해킹 가능성쪽으로 조사방향이 급선회됐고, 결국 방화벽 자체가 해킹당했다는 사실을 뒤늦게 확인했다. 공격자는 방화벽 해킹에 성공한 뒤 무려 11종의 해킹 프로그램까지 설치했던 것으로 확인됐다.

게다가 사고조사가 진행되는 순간에도 해커는 설치된 해킹프로그램을 이용해 약 500여대의 외부 전산망을 대상으로 공격표적을 찾고 있었던 것.

다행히 피해 시스템에는 업무 관련 중요 자료가 저장되지 않아 자료유출 피해는 없었으며, 내부 전산망으로는 공격하지 않은 것으로 조사됐다.

◇방화벽이 해킹 당하다

이 사건은 내부 전산망 보안을 책임지는 '방화벽' 자체가 해킹됐다는 점에서 충격적이다. 방화벽은 네트워크 최상단에서 외부의 침입을 막아주는 보안제품으로, 기업이나 기관 전산망 보안의 가장 중추적인 역할을 담당한다.

이번 사고의 원인은 방화벽 시스템 자체보다는 허술한 관리체계에 있었다. 해당 기관이 방화벽 공급업체에게 관리상의 편의를 제공하기 위해 외부에서 쉽게 접속할 수 있도록 했던 것. 이 때문에 해커는 원격접속서비스(telnet)의 취약점을 이용해 해당 시스템에 쉽게 침투할 수 있었다. 한마디로 관리상 심각한 허점이 발견된 것이다.

이 뿐 아니다. 실제 이 기관은 사용하지도 않는 네트워크 서비스 포트들에 대해서도 접속 권한을 허용했으며, telnet의 관련 취약점 패치정보가 이미 발표됐다는 사실조차 모르고 있었던 것으로 알려졌다.

과거 내부 네트워크에 침입하기 위해 방화벽이나 안티 바이러스 등 보안망 자체를 우회하는데 주력해왔던 해커들이 이처럼 '보안시스템' 자체에 눈길을 돌리고 있는 것이다.

방화벽이나 안티 바이러스 등 보안제품들은 외부 침입으로부터 내부 전산망 전체를 보호해주는 반면, 반대로 해킹을 당할 경우, 내부전산망 전체가 외부에 직접적으로 노출되는 위험성을 안고 있다. 한번 뚫리면 이는 곧 전사 차원의 무장해제를 당하는 셈이다.

해외에서는 보안시스템 해킹사건은 보고되지 않고 있다. 그러나 그 가능성은 점차 높아지고 있다는 게 보안 전문가들의 지적이다.

지난해부터는 보안 시스템을 통째로 장악하진 않더라고 실행중인 백신이나 방화벽 시스템 기능을 강제로 종료시키거나 이용자들의 패치 업데이트를 방해하는 등 보안 SW자체를 무력화시키는 웜 공격도 시도되고 있다. 주로 전세계 유명 백신이나 방화벽들이 이들 웜의 주된 타깃이 되고 있다.

최근에는 맥아피의 ‘맥아피AV' 실행파일이나 안철수연구소의 'v3' 업데이트 파일로 위장한 웜이 등장했다. 정상적인 보안 SW가 실행되는 것처럼 속이기 위해서다.

심지어는 세계 유명 보안회사의 홈페이지를 공격하는 웜까지 등장했다. 올해 7월 발견된 ’Lebreat' 웜의 경우, 불특정 다수의 PC에 설치되면, 감염된 PC에서 일제히 보안업체인 시만텍 사이트(www.symantec.com)에 분산서비스거부(DoS) 공격을 감행하도록 제작돼 있다.

◇보안제품 허점을 노린다

올해 7월 美 라스베이거스에서 개최된 세계적인 규모의 보안 컨퍼런스'블랙햇'에서는 안티 바이러스 등 보안제품들의 취약점 문제가 새로운 화두로 떠올랐다.

실제, 지난해부터 시만텍, 맥아피, 트렌드마이크로, F-시큐어, 소포스, CA, 카스퍼스키랩을 비롯한 유명 보안 제품들에서 해킹에 악용될 수 있는 취약점들이 줄줄이 발견됐다. 최근에는 MS 윈도 방화벽 자체에 대한 취약점도 보고됐다.

물론 취약점이 발견됐다고 해서 모두 해킹이 가능하다는 얘기는 아니다. 보안제품은 통상 개발 초기단계부터 철저히 '보안'개념을 염두해두기 때문에 OS(운영체제)나 다른 SW에 비해 훨씬 견고하다고 보안업계는 주장하고 있다. 또 이제껏 발표된 유명 보안제품들의 취약점이 대부분 보안 전문회사나 화이트(White) 해커들에 의한 경우로, 이들이 먼저 개발업체에 통보해준 사례들이다.

그러나 우려스러운 것은 악의적인 목적의 해커들 역시 이들과 마찬가지로 여전히 보안시스템의 '구멍'을 찾고 있으며, 미처 생각지도 못했던 위험한(?) 취약점을 찾아 이미 침투경로로 이용했을 가능성도 배제할 수 없다는 점이다.

해커들이 이처럼 보안제품으로 눈길을 돌리는데는 그만한 이유가 있다. 인터넷 보안의 중요성이 높아지면서 안티 바이러스 등 보안SW 사용이 대중화되고 있기 때문. 그만큼 침투경로로서 활용할 가치가 높아졌다는 얘기다.

OS(운영체제)나 브라우저 등 그동안 해커들의 주요 침투 경로로 이용돼왔던 SW들의 보안 취약점이 크게 개선된데 비해, 보안 SW의 경우, 이제껏 무풍지대로 남아있었다는 것도 해커들이 보안 SW에 눈독을 들이는 이유다.

세계적인 취약점 분석업체인 시큐니아 관계자는 최근 발표된 시만텍의 기업용 보안제품의 취약점과 관련 “백신 등 보안제품은 날로 진화하고 있는 다양한 위협에 대응하기 위해 다층적이고 복잡하게 설계됐기 때문에, 그 어떤 제품도 취약점에서 자유로울 수 없다”면서 “보안 SW의 특성상, 앞으로도 취약점은 계속 발견될 것”이라고 지적했다.