[연중기획]<2부>보안은 생존이다-'슈퍼 웜'의 기습

2006년 12월 D-day. 오전 8시. 주말을 보내고 월요일 출근길에 인터넷이 불안해졌다는 뉴스가 흘러나왔다. 일요일 밤 11시부터 시작된 인터넷 웜 공격이 시작돼 기간망에는 아직까지 큰 이상이 없으나 국지적으로 트래픽 장애가 발생하고 있다는 것. 정부 보안기관들이 이날 새벽부터 비상대응팀을 가동해 원인 분석에 들어갔지만 원인을 알 수 없었다.

오전 8시50분 일부 금융기관들이 특정 웜 공격으로 인터넷 업무가 전면 중지됐다. 정부는 즉각 최고 사이버 경보단계인 적색(Red) 경보를 발령했다. 그러나 금융권에서 시작된 웜 공격은 이어 대기업과 주요 관공서로 빠르게 확산되기 시작했다. 피해기관들이 안절부절하다가 망 사업자들에게 도움을 요청했지만, 정작 어떤 트래픽이 문제가 있는지 아직 원인규명이 되지 않았다는 답변을 들었다.

오전 11시50분. 이날 오전에만 인터넷 불통기업이 주요기관의 30%를 넘어섰다. 특히 주요 금융기관들과 국가기관들이 줄줄이 전산자원이 마비되면서 이날 인터넷뱅킹 시스템과 전자민원서비스마저 중단됐다. 국민들은 일대 혼란에 빠져들기 시작했다. 정부는 즉각 합동 대응팀을 구성해 비상체제에 돌입했다. 그러나 현실적으로 개별기관을 모두 지원하거나 감시할 수 없기 때문에 인터넷 복구를 통한 금융 및 공공기관의 업무 재개는 늦어도 화요일이나 재개 가능할 것으로 보인다. 정상적인 트래픽을 가장한 스텔스 기능과 특정 기관에 도착하면 그 기관에서만 집중적으로 동작하는 슈퍼 웜에 당한 것이다.

이는 이른바 차세대 슈퍼 웜(Next Super Worm)에 의한 제로데이 공격(Zero-Dey Attack)을 가정한 가상 시나리다.

차세대 슈퍼 웜은 기존 보안 제품이나 방어체제로 탐지나 치료가 불가능한 새로운 공격수법으로, 국내외 일부 보안 전문가들은 조만간 차세대 슈퍼 웜 공격이 현실화될 수 있다고 경고하고 있다.

이 경우, 지난 2003년 '1.25 인터넷 대란' 사태를 능가하는 대형 전산망 피해는 물론 대규모 정보유출 사태에 직면할 수 있다는 게 보안 전문가들의 우려다.















◆슈퍼 웜 '막을 시간 안준다'= 빠른 전파성과 막강한 파괴력을 갖춘 슈퍼 웜은 지난 몇년 사이 이미 전세계 사이버 공간의 최대 위협으로 자리잡고 있다.

지난 2003년 우리나라 1.25 인터넷 대란을 촉발시킨 SQL 슬래머 웜이 그 효시다. 당시 슬래머 웜은 10분도 안되는 시간동안 전세계 50만대 이상의 컴퓨터를 감염시켰다.

일반적인 인터넷 웜은 이메일이나 메신저의 첨부파일 형태로 전파돼, 사용자들이 이를 클릭할 시에만 전파됐다. 이 때문에 확산속도가 늦고, 파괴력도 미미했다. 전파속도가 빠르지 않다보니 이를 막기 위한 보안대책도 얼마든지 가능하다.

반면, 슈퍼 웜은 시스템의 신규 취약점을 발견하는 순간 곧바로 웜 코드가 실행되고, 감염된 컴퓨터에 연결된 또다른 모든 컴퓨터로 순식간에 전파된다. 무엇보다 슈퍼 웜은 사용자들이 보안패치 등을 통해 각자의 컴퓨터를 보호할 시간적 여유를 주지않고 이루어지기 때문에, 전파력과 파괴력이 기존 웜과는 비교도 안될 정도로 막강하다.

이같은 슈퍼 웜의 가장 큰 특징은 시스템의 보안취약점이 발견되자마자 그 취약점을 이용한 웜 공격이 이루어지는 일명, '제로데이(Zero-Day) 공격'이다.

지난달 출현한 '조톱(Zotob)' 웜이 대표적인 사례다. 신규 취약점인 윈도 플러그앤플레이(PnP) 취약점이 발표된 지 5일 만에 출현한 이 웜은 ABC, CNN, 뉴욕타임즈 등 美 언론사는 현지 전역를 강타한 것을 비롯 아시아 지역으로까지 순식간에 피해가 확산됐다.

무엇보다 주 공격대상인 윈도2000 사용자들이 미처 보안패치할 시간적 여유를 주지않았다. 의외로 피해규모가 컸던 것도 이 때문이다.

웜 출현주기가 점차 빨라지면서 앞으로는 제로데이 공격이 주류를 이룰 것이란 게 보안 전문가들의 경고다.

지난 2001년 9월 발생한 님다(Nimda)의 경우, 윈도 취약점이 발표된지 336일만에 등장한 반면, 2003년 1.25대란을 일으킨 슬래머 웜의 경우, 183일로 웜 출현시기가 절반으로 줄어들었다.

2003년 8월 발견된 블래스터 웜은 26일, 새서 웜은 18일만로 등장하더니 지난해 첫 등장한 위티웜은 보안 취약점이 발견된 지 불과 이틀만에 출현한 적도 있다.

◆지능화된 차세대 슈퍼 웜= 전문가들이 가장 우려하는 것은 기존 슈퍼 웜들보다 지능화된 차세대 슈퍼 웜(Next Super Worm)의 출현이다.

차세대 슈퍼 웜은 이제까지와는 차원이 다른 전혀 새로운 공격기법이 될 것이란 게 전문가들의 예측이다.

아직 알려지지 않은 신규 취약점을 이용한 제로데이 공격은 기본. 윈도뿐 아니라 리눅스 등 다양한 복수 시스템을 한꺼번에 공격 가능하며, 이메일, 공유폴더 취약점, P2P, 메신저, 취약한 애플리케이션과 시스템 등 전파경로 또한 자유자재로 바꿀 수 있다.

또한 막강한 스캔(취약점 탐지) 기술로 강력한 전파력을 갖춘 반면에, 정상적인 트래픽과 패턴을 가장해 정작 방화벽, 침입탐지시스템(IDS), 백신 등 기존 보안제품으론 탐지 자체가 어렵다. 일명 은밀히 전파되는 스텔스 공격기법이다.

대량의 트래픽을 발생해 시스템자원(CPU)를 고갈시키거나, 전체 네트워크 가용성에 타격을 주는 서비스거부(DoS) 공격도 가능하지만, 시스템에 저장된 주요 정보를 몰래 빼내는 해킹도구로 활용할 수도 있다.

여기에 감염된 컴퓨터 안에서 수시로 파일명을 바꾸며 숨는가 하면, 하드 드라이브에는 어떠한 파일도 남기지않고 메모리에서만 실행되는 지능형 공격도 가능하다.

또한 발각시 로그분석시스템 등 사이버범죄수사시스템(포렌식)에 증거가 포착되지 않도록 스스로 지워지는 안티 포렌식 기능도 갖추고 있다.

건국대 임채호 교수는 "차세대 슈퍼 웜은 이같은 다양한 첨단기법들이 혼합된 형태로 등장하게 될 것"이라며 "이같은 슈퍼 웜은 특정 네트웍이나 시스템 기능을 일시에 마비시키는 가용성 장애 공격형태로도 대두될 수도 있지만, 사회공학적 기법과 맞물려 개인정보나 회사정보를 빼내는 국지전 형태로도 얼마든지 사용될 수 있다"고 전했다.

◆조용한 기습 노린다= 사실 아직까지 국가기관과 업계의 일부 전문가들은 이같은 슈퍼 웜 출현 가능성에 대해 부정적인 시각이다. '1.25 인터넷 대란' 이후 전국적인 네트워크 실시간 감지체계를 갖춰 이상 징후 발견시 즉각적인 대응이 가능한데다, 망 분리 및 차단 등 비상체제를 갖춰 전국적인 인터넷 마비사태는 일어나기 힘들 것이란 게 그 이유다.

그러나 새로운 공격기법들이 그래왔듯이 차세대 슈퍼 웜도 우리가 눈치채지 못한 사이에 전혀 색다른 공격기법으로 다가올 것이란 게 일부 전문가들의 예측이다.

이 때문에 보안 전문가들은 이같은 슈퍼 웜 공격에 공격에 대비하기 위해선 기존 보안체계와는 전혀 새로운 개념의 대응 체계를 구축할 필요가 있다고 입을 모으고 있다.

사이버테러리스트들은 언제나 대응기관들이 예상한 비상 시나리오대로 움직여주지 않는다는 것.

임 교수는 "악성코드나 새로운 공격수법이 모습을 드러낸 뒤에야 그에 따른 대응기술이 개발되는 기존 보안체계로는 차세대 슈퍼 웜 공격에 무기력할 수 밖에 없다"며 "어떤 웜 형태이든 사전에 위협요소을 탐지해낼 수 있는 지능형 예방시스템 기술과 체계가 조속히 확보돼야한다"고 강조했다.