한국호스팅도메인협회, 보안권고 세미나 성료
– 더욱 교묘해진 보안사고, 전향적인 자세로 임해야!
– 금전을 목적으로 한 공격, 해외는 거점일 뿐
– 국가 차원에서 대책을 마련해줄 것에 호소
[2017년 09월 22일] – 온라인 인프라는 첨단 기술이 꽃을 피우는 핵심 산업이자 뿌리를 내릴 수 있게 토대가 되어주는 기간망이다. 그렇지만 수년간 눈부신 성장을 보인 기반이 몇 차례에 달하는 보안 사건/사고를 거듭하면서 급격하게 위축된 상태다. 여기에 다국적 서비스 기업의 육탄 공세로 전망 또한 예전같지 않다.
분명한 것은 특정 기업에 잠식당한 시장은 독점이라는 상황을 마주하게 되고 결국 그 피해는 사용자에게 돌아갈 것이 자명하다. 더구나 한국은 독과점에 대한 인식이 전무해 ‘독점’이라는 낙인을 곧 경쟁력으로 인식하고 있다. 제동이 걸릴 리가 만무하다.
이러한 모습에 대해 우리 인프라 산업이 취해야 할 자세와 가야 할 방향은 어떻게 될까? 관건은 고객의 신뢰 회복이다. 계속된 정보 유출과 보안 사고로 추락할 대로 추락한 신뢰를 확보해 다시 도약하겠다는 것인데, 한국호스팅도메인협회가 총대를 메고 신뢰 회복을 향해 진격을 알렸다.
“종식되다시피 한 DDoS가 다시 활동하고 있어요. 인터넷 대란 이후 엄격해진 삼바 포트 관리가 느슨해진 탓입니다. 보안 정책을 먼저 점검하고 포트를 열어야 하는데 최근 새로운 서비스 출시를 기점으로 무턱대고 열어버린 거예요. 그동안 관리 사각지에 방치다가 개방이 됐으니 취약점이 없겠어요.” – 스마일서브 김병철 대표
“최근 연이어 발생한 랜섬웨어를 조사하는 과정에서 배후를 추적했더니 심상치 않은 정황이 포착되었습니다. 뉴질랜드와 공조해 해킹에 사용된 서버를 입수했고, 분석했더니 KTPC(조선채신회사) 에서 접근한 증거가 발견된 것이죠. 이는 뉴질랜드의 조사 결과입니다.” – 경찰청 테러수사팀 하경수 수사관
“전설의 해커인 케빈미트닉은 인간의 심리를 악용한 사회 공학 기법을 활용한 것으로 유명합니다. 누가 봐도 당연히 그랬을 것이다. 라고 여길만한 정황을 교묘하게 악용해 금전적인 이득을 위하는 것이죠. 사회적으로 큰 논란이 된 온라인 사고 패턴에서도 유사한 점이 발견되었습니다.” – 인터넷진흥원 사이버침해대응본부 손기종 책임
실제 사례를 예로 두고 주의를 당부하는 설명이 계속되자 분위기도 고조됐다. 스마일서브 김병철 대표를 시작으로 경찰청 테러수사팀 하경수 수사관이 마지막으로 인터넷진흥원 사이버 침대대응본부 송기종 책임까지 연이어 단상에 나와 호소에 당부를 재차 강조했다.
사전에 안내한 진행 시간은 낮 2시 30분부터 5시 30분까지 약 3시간 임에도 이날 세미나는 시간이 넘어서까지 계속됐다.
랜섬웨어를 필두로 급기야 금전으로 수습에 나설 정도로 긴박한 피해 사례가 논란이 되는 가운데 관련 업계가 정부를 상대로 대책을 마련해줄 것을 호소했으나 미적거리는 움직임이 계속되자 직접 나선 것. 이날 세미나는 한국을 대표하는 호스팅 인프라 업계의 목소리를 대변하는 단체인 한국호스팅도메인협회 주관으로 마련됐다. 경찰청과 인터넷진흥원도 이들 협회의 뜻에 한마음으로 동참해 업계가 이렇게까지 나서야 하는 절박함에 힘을 더했다.
● 안전한 온라인 생태계, 전방위적인 대책 마련에 호소
다소 억울함마저 들었던 세간의 언론 보도와 달리 호스팅 사업자는 협회 차원에서 혹시나 모를 보안사고에 대비해 엄격한 기준을 세우고 충족에 힘을 기울인 바 있다. 그런데도 허점을 노려 침투하는 공격 앞에서는 힘없이 무너졌다. 얼마나 더 오래 버티는가의 차이가 있을 뿐 결과는 진배없었기에 가능성을 최소화하거나 침입을 했더라도 피해로 이어지지 않는 대책 강구에 초점을 맞췄다.
예컨대 업무시간 외에는 접속에 사용된 PC는 네트워크 접속을 차단하고 반드시 종료 후 퇴근할 것과 같은 필수 지침도 이 자리에서 공개됐다.
조금만 주의하면 예방할 수 있었던 부분에서는 ‘아차’ 하는 반응이, 예상치 못한 허점을 노린 부분에서는 ‘아~’하는 애석한 마음이 녹아난 탄성이 나왔다. 모든 설명은 실제 사례를 기반을 둬 이뤄졌다. 무려 2개월이나 지난 활동을 해 증거조차도 확보하기 쉽지 않았던 오픈마켓 정보 유출 사고와 숙박업소 해킹으로 뭍 남성의 간담을 서늘케 했던 O2O 서비스 피해 마지막으로 고객의 데이터를 미끼로 금전을 노렸던 호스팅 피해가 연달아 도마 위에 올라 긴장하게 했다.
핑계 없는 무덤 없다고 분명 억울한 사건 임에도 분석 과정에서는 이렇게까지 되었던 근본적인 허점이 드러났다. 관리상의 착오 또는 운영상의 실수 혹은 제도적인 누락까지 아주 다양했지만 분명한 것은 최근에 일어난 모든 공격은 하나 같이 금전을 요구했다는 것. 동시에 금전을 요구한 배후에 비록 공격은 해외에서 들어왔지만, 거리상 멀지 않은 곳에서 이뤄졌다는 것이 확인되면서 경악을 금치 못하게 했다.
따라서 사업자의 독단적인 관리 부실로 모든 책임을 몰아가기보다는 국가 차원에서 정책적이며 제도적인 뒤받침이 따라줘야 한다는 것.
이는 한국호스팅도메인협회가 주요 인터넷 사업자를 상대로 자리를 마련하고 인식 전환에 호소하게 된 근본적인 배경이며, 개인의 부실로 치부하기에는 이미 공격이 조직적이고 치밀하게 이뤄지고 있으며 국가 차원에서 이뤄지는 정황까지 포착되고 있어 정부의 대책 마련이 절실하다는 설명이다.
● 대한민국 홈페이지 95% 관리 한국호스팅도메인협회 “더욱 노력할 것”
스마일서브 김병철 대표는 인식의 변화를 요청했다. 안주하는 사이 당했고, 작금의 상황을 초래했다는 것. 이를 보는 김 대표의 마음이 편할 리가 없다. 보안에 관해 누구보다 엄격한 잣대로 내밀었고, 변화를 이끌어왔지만, 그의 눈에는 미비 함투성이다. 이날 자리의 첫 번째 연사로 나온 것 또한 이런 배경에서다.
가장 먼저 단상에 선 스마일서브 김병철 대표는 총 11개에 달하는 세부 항복을 나열한 가이드라인을 공개하고 재차 주지해 달라고 당부했다. 지정, 관리, 제어, 정책, 모니터링, 백업까지 온라인 서비스 제공에 필요한 모든 항목을 세세하게 나열하고 관리자가 해야 할 자세부터 사용자에게 당부하는 내용까지 총망라했다.
가장 심혈을 기울인 부분은 관리환경이다. 범용 OS 기반 환경에서는 아무리 완벽을 기울여도 틈을 비집고 침투가 이뤄지기에 될 수 있는 대로 관리에 유력한 OS를 선택할 것이며, 여기에는 리눅스도 현실적인 한 가지 방편이 될 수 있다.
백업의 중요성도 빠지지 않았다. 과거와 같은 1차 2차로 나누어 진행하는 것은 오늘날의 온라인 서비스 환경에서는 의미를 두기 힘들며, 반드시 분리된 별도의 서버에 하는 것이 요령이라는 것. 단기 백업과 장기 백업으로 나누어 실효성을 높이는 것 또한 사고 발생 시 피해를 최소화할 수 있는 대책이라는 거다.
업계의 대세로 굳혀진 클라우드 서비스 또한 예외는 아니다. 스마일서브는 자체 개발한 한국형 클라우드 기술인 IWINV를 서비스하고 있으며, 아마존이 선보인 AWS 대비 1/120의 파격적인 가격으로 주목받아왔다. 하지만 결국에는 가격보다는 품질에 기댈 것이기에 서비스 안정화에 더욱 비중을 높여갈 것이며, 이는 모든 호스팅 사업자가 공통으로 해야 할 자세임을 재차 강조했다.
“우리가 하지 않으면 대한민국 95% 홈페이지가 죽습니다. 우리의 역할이 그만큼 중요하니, 항상 힘내시고 화이팅 합시다.” – 스마일서브 김병철 대표.의 한 마디에 세미나장에 있던 모두가 조용히 고개를 끄덕였다.
*참고자료 : 호스팅 서비스 보안 및 백업 가이드 라인 v 1.0
http://idchowto.com/?p=38468