꿈꾸는코난

VoIP 보안이 IT 정보보안 시장의 새로운 엘도라도로 주목받고 있다. 다양한 장점이 있지만, 위협에 의해 장점이 희석될 수 있는 요소가 많은 것이 바로 VoIP 서비스다. 따라서 안전한 VoIP 이용을 위한 정보보안은 VoIP 확산의 필요충분조건이라고 할 수 있다. VoIP 보안 시장을 살핀다. <편집자>

VoIP(Voice over Internet Protocol)는 기존 유선 전화를 대체할 수 있는 신대륙이다. 기존에 사용하고 있는 데이터 통신 패킷망, 즉 인터넷망을 이용해 음성 통화를 이용하는 기술을 말한다. IP 망을 이용하기 때문에 다양한 서비스가 가능하다는 장점이 있으며, 기존 전화에 비해 저렴한 요금의 서비스가 가능하다.

하지만 VoIP 서비스는 IP를 근간으로 하기 때문에 오늘날 인터넷에 존재하는 다양한 위협요소의 영향을 그대로 받을 수 있다는 점이 단점으로 꼽힌다. 보안이 전제되지 않는다면, VoIP 서비스는 황금의 도시 엘도라도가 아닌 한낱 신기루가 될 수 있는 것. 도청, 스팸, 서비스거부공격(DDoS), 과금회피 등 VoIP에서 발생할 수 있는 위협을 해소할 수 있어야 VoIP의 본격적 확산이 가능하기에 VoIP 서비스와 함께 VoIP 보안에 대한 관심도 아울러 높아지고 있으며, VoIP 보안은 보안 시장의 엘도라도로 부상하고 있다.

IP기반 위험 상존 VoIP를 보호하라!
IDC 가 발표한 자료에 따르면, 국내 VoIP 서비스 시장은 연평균 53%로 성장해 2011년에는 약 1조4000억원 규모에 이를 것으로 전망된다. 또 방송통신위원회는 2012년까지 유선전화의 60%를 VoIP 기반으로 전환하겠다고 밝히고 있어 국내 VoIP 시장 전망을 더욱 장밋빛으로 만들고 있다.

VoIP 시장 확대는 VoIP 보안 시장에게도 호재다. 다양한 인터넷 위협요소를 그대로 갖고 있는 것이 VoIP이기에 서비스 확대는 VoIP 보안 수요 증가를 가져올 것이기 때문이다. 이에 따라 국내외적으로 VoIP 전용장비가 속속 등장하고 있다.

VoIP 전용장비에 대해서는 의견이 갈린다. VoIP에서 보안이 중시되는 것은 사실이지만, 별도의 VoIP 전용장비에 대해서는 의문을 제시하는 전문가들도 존재한다. “VoIP 서비스에서 보안이 중시되는 것은 IP를 기반으로 하기 때문인데, 이를 다시 말하면 기존 보안장비를 통해 VoIP 보안이 가능하다는 얘기가 된다. 또 VoIP에서 보안이 선행조건이기 때문에 SBC와 같은 VoIP 장비에서는 기본적으로 보안 기능이 탑재돼 있어 별도의 보안 장비가 시장을 형성하기는 쉽지 않다.”

시스코는 이러한 주장을 뒷받침하는 기업이다. UC(Unified Communication) 전략의 주요 구성요소로 VoIP 서비스 솔루션을 공급하고 있는 시스코는 솔루션 내에 보안 기능을 탑재해 VoIP 서비스의 안전을 보장하고 있다.

최우형 시스코코리아 차장은 “VoIP 솔루션을 공급하는 시스코는 SIP(Session Initiation Protocol) 등 VoIP 프로토콜에 대한 이해가 가장 깊다”고 언급하면서 “프로토콜에 대한 높은 이해도를 바탕으로 VoIP 솔루션의 보안 기능을 충실히 탑재하는 한편 시스코가 공급하는 방화벽, IPS 등의 보안 장비를 통해서도 VoIP 서비스를 보호할 수 있는 기능을 탑재하고 있다”고 강조했다.

김권용 한국쓰리콤 과장도 “과금회피 방지 등 VoIP 솔루션의 기본 사항이며, 이외 웜이나 DDoS 공격 등은 IPS로 방어할 수 있다”며 “세계 최고의 IPS를 제공하는 티핑포인트 사업부, 디지털 백신 등을 통해 쓰리콤은 VoIP에 대한 철저한 보안을 제공한다”고 밝혔다.

VoIP 보안 장비 봇물
VoIP 솔루션에서 기본적 보안 기능을 제공하지만, VoIP 전용 보안 장비는 쏟아져 나오고 있다. 나우콤이 출시한 VoIP 전용 IPS인 ‘스나이퍼IPS V’를 비롯해 모니터랩의 ‘UC인사이트SG’, 시큐아이닷컴의 ‘시큐아이 NXG 5000T’ 등이 바로 VoIP 전용보안을 내세워 출시된 솔루션이다. 외산 제품들 중에서는 크로스위브테크놀로지를 국내 총판으로 선정하면서 한국시장에 대한 강한 의지를 보이고 있는 VoIP쉴드시스템즈, 사이패라시스템즈 등이 전용 솔루션을 선보이고 있다.

VoIP 솔루션 벤더에서 보안 솔루션을 제공함에도 이렇듯 VoIP 전용장비가 쏟아지는 까닭은 무엇일까. 이에 대해 한국정보보호진흥원(KISA) IT기반보호단 보호기술부의 정현철 부장은 이렇게 설명한다. “방화벽으로 기본적 보안이 가능하지만 웹 공격에 대한 보다 정교한 방어를 제공하는 웹 애플리케이션 방화벽(WAF)가 요구되는 것처럼 VoIP에 대한 보안 강화를 위해 VoIP 보안이 각광받는 것”이라고 설명했다.

세계 VoIP 보안 시장을 우리나라가 주도하기 위해 KISA는 지난 2006년부터 보안이 강화된 VoIP 서비스 제공을 위한 기술개발(SIP 응용 서비스 보호를 위한 침입 대응 시스템 개발)을 진행해오고 있으며, 이를 통해 개발한 기술을 시큐아이닷컴, 모니터랩 등에 이전하는 성과를 거뒀다. KISA는 기술이전 이후에도 VoIP 보안기술 개발과제를 계속 개발하고 있다.

VoIP 보안을 위한 가장 대표적인 솔루션은 바로 SBC다. VoIP는 일종의 VoIP 전용 방화벽으로 볼 수 있다. SIP 메시지 암호, DoS 공격차단, NAT/파이어월 등 다양한 기능을 통해 VoIP 인프라에 대한 보호를 진행하는 것이다.

SBC 부문에서 전세계적으로 주목받고 있는 것은 애크미패킷(AcmePacket), 사이패라(Sipera) 등이며, 국내에서는 시큐아이닷컴, 네이블커뮤니케이션즈 등이 SBC 솔루션을 선보이고 있다. 이 가운데 시큐아이닷컴의 솔루션(시큐아이 NXG 5000T)은 KISA가 VoIP 보안을 위해 개발한 보안 세션제어콘트롤러 기술을 이전받은 것이다.

SBC는 VoIP 전용 방화벽으로 볼 수 있지만, VoIP 단말이 서비스 시스템에 접근할 때 소프트스위치와 IP를 통한 통신을 가능하게 하는 역할을 수행하는 기능도 있어 VoIP 서비스 제공을 위해서는 필수적이다.

정 현철 부장은 “전세계적으로 애크미패킷의 점유율이 높지만, 아직은 초기시장이란 점을 고려하면 큰 격차는 아니다”면서 “SBC에서 보안 또한 중요한 요소이기에 SBC의 보안을 보다 강화할 수 있는 기술을 개발해 시큐아이닷컴에 이전했다”고 설명했다.

KISA 로부터 기술이전을 받아 시큐아이5000T를 개발, 출시한 시큐아이닷컴은 “호/미디어 접근제어, 토폴로지 하이딩, NAT/파이어월 등 SBC의 주요 기능 외에도 SIP 헤더 필터링, VoIP 스팸방어, SQL인젝션 공격 방어, SIP 기반 DDoS 방어 등 강력한 보안 기능을 제공한다”고 밝혔다.

비용 효율적 보안 구축
하지만 VoIP 보안을 위한 대표적 솔루션인 SBC는 ‘VoIP 전용 보안 장비’의 논란에서는 한 발 비켜서 있다. SBC는 이미 VoIP 서비스 제공을 위한 필수 솔루션으로 자리잡고 있기 때문이다. 앞서 언급한 VoIP 전용 보안 장비에 대한 논란은 SBC가 아닌 VoIP 전용 IPS, VoIP 전용 방화벽 등에 대한 의문이라고 할 수 있다. 즉 ‘SBC가 있는데 왜 또다른 VoIP 전용 보안 장비가 필요한가’에 대한 의문인 것이다. 더욱이 앞서 살핀 것처럼 SBC 솔루션은 경쟁력 강화를 위해 제공 보안 기능을 더욱 넓혀나가고 있기도 하다.

이에 대해서는 SBC 기반의 보안 기술과 VoIP 방화벽/IPS 기술, VoIP 스팸 차단 기술 등에 대한 개발을 모두 진행한 KISA의 답변이 힌트가 될 것 같다. 정현철 KISA 부장은 “VoIP 보안에 대한 방법은 매우 다양하다”며 “초기 시장인 지금, 여러 VoIP 보안 방안 중 가장 비용효율적이면서 동시에 효과적인 방법을 찾아가는 과정에서 다양한 시도가 이뤄지는 것”이라고 설명했다.

SBC가 매우 높은 가격대를 형성하고 있다는 점은 VoIP 전용 IPS 등의 필요성에 대한 근거로 제시되는 부문이다. 현재 SBC는 대당 수억원의 비용을 투자해야 한다. SBC를 통해서만 VoIP 서비스 보호를 진행하려 한다면, 다양한 수많은 악성 트래픽으로 인한 부하로 인해 더 많은 SBC를 구비해야 해 막대한 손해가 발생하게 된다. 이에 더해 대량 트래픽을 발생시켜 공격을 감행하는 DoS/DDoS 공격의 경우에는 더욱 심각한 상황이 발생하게 된다.

예를 들어 동시에 1만 콜을 처리하는 SBC 장비를 보유하고 있는데, 2만여 콜이 발생했다면 SBC 장비를 더 구비해야 한다. 하지만 이들 콜 중 1만2000콜 이상이 악성 콜이었다면 추가한 SBC는 불필요한 투자가 된다. 더욱이 앞서 언급한 것처럼 SBC 장비 가격은 만만치 않다. SBC 앞 단에서 이러한 악성 트래픽을 차단할 수 있는 보안 솔루션이 요청되는 것으로 비용효율적인 VoIP 보안을 위해 VoIP 전용 IPS 등이 주목받고 있다.

시장 경쟁 ‘치열’
VoIP 전용 IPS로 주목받는 것은 VoIP쉴드시스템즈이다. 회사명에서 짐작할 수 있듯 VoIP 전문 보안 기업을 표방하면서 탄생한 VoIP쉴드시스템즈는 최근 크로스위브테크놀로지스와 국내 독점 총판 계약을 체결하면서 국내 시장 공략의 불을 당겼다.

VoIP 쉴드시스템즈의 솔루션은 ▲VoIP 네트워크의 취약성 분석을 제공하는 VoIP오딧 ▲새로운 VoIP 보안위협과 공격에 대한 포괄적인 보안을 제시하는 VoIP가드 ▲VoIP스팸 공격에 대한 보안 솔루션인 VoIP블록 ▲VoIP NAC 전용 솔루션인 VoIP스크린(VoIPscreen) 등 다양한 보안 기능을 제공, VoIP 네트워크에 대한 보다 세밀한 보호를 제공할 수 있다는 점에서 관심을 끌고 있다.

크로스위브테크놀로지스 심재은 팀장은 “크로스위브는 VoIP 보안 분야에 역량을 집중해 VoIP 보안 선도기업이 되도록 할 것”이라고 밝히면서 “VoIP쉴드의 솔루션은 이미 해외시장에서 다양한 기업에 공급돼 성능과 안전성에 대한 검증을 끝마친 제품으로 국내 시장에서도 위력을 발휘할 것”이라고 자신했다. 이어 최 팀장은 “보다 포괄적인 VoIP 네트워크 보호를 위해 VoIP쉴드 외에 또다른 솔루션 공급을 기획하고 있다”고 덧붙였다.

국내 보안 기업 중에서는 모니터랩이 눈에 띈다. VoIP 전용 솔루션으로 ‘UC인사이트SG’를 출시한 모니터랩은 엠프론티어를 파트너로 영입, 시장 공략을 자신하고 있다. 엠프론티어는 한국타이어의 정보시스템 운영경험을 바탕으로 컨설팅에서부터 솔루션, 정보서비스 아웃소싱에 이르는 토털 IT 솔루션과 서비스를 제공하고 있는 기업으로 UC인사이트SG의 영업, 마케팅은 물론 고객기술지원까지 책임지게 된다.

UC인사이트SG는 IPS 기반으로 개발되는 전용 VoIP 보안 솔루션과 달리 방화벽 기술을 기반으로 VoIP 보안을 구현한 솔루션이란 점에서 차별화 요소를 갖고 있어 시장 공략의 가능성이 높다는 것이 모니터랩 측의 기대다.

모 니터랩은 “단순 패턴매칭 방식의 IPS 기반 기술이 아니라 방화벽에 기반하기 때문에 다양한 정책적용이 가능하다”며 “VoIP 표준 프로토콜인 SIP, RTP 프로토콜 파싱을 통해 다양한 보안위협에 대해 완벽한 대응할 수 있다는 점이 장점”이라고 소개했다.

UC 인사이트SG 영업을 총괄하는 강영중 엠프론티어 부장은 “UC인사이트SG는 KISA 연구개발을 이전받은 것이지만 WAF 시장에서 축적한 모니터랩의 역량이 녹아들어 있다”며 “UC인사이트SG의 우수성에 엠프론티어의 서비스 역량을 결합해 안전한 VoIP 서비스 네트워크가 구현되도록 할 것”이라고 밝혔다.

나우콤은 VoIP 전용 IPS로 ‘스나이퍼IPS V’를 출시했다. 스나이퍼IPS V는 VoIP 서비스 프로토콜을 분석함으로써 보다 안전한 VoIP 서비스가 이뤄지도록 한다. 송신자/수신자 ID를 구분하고, 통화 상태 모니터링함으로써 VoIP 서비스를 대상으로 한 스팸, DDoS 공격 등에 대한 방어를 제공하는 것이다.

스 나이퍼IPS V는 4월 중순 EAL4 수준의 CC인증을 획득했다. 1월 평가계약이 체결됐다는 점을 고려하면, 3개월 만에 신속하게 인증을 완료한 것이다. VoIP IPS와 관련한 CC인증은 나우콤 스나이퍼IPS V가 국내 최초의 사례로 나우콤은 빠른 CC인증을 바탕으로 CC인증이 도입의 사전 조건이 되는 공공시장은 물론 CC인증으로 공인받은 신뢰성을 통해 민간시장에서의 공급확대를 기대했다.

이인행 나우콤 상무는 “스나이퍼IPS V는 나우콤이 이미 KT 등 통신사업자의 요구로 개발, 공급한 솔루션을 상용제품으로 개발한 것”이라며 “이는 통신3사가 모두 스나이퍼IPS V의 레퍼런스라고 볼 수 있어 안정성과 보안성에 대한 시장 검증이 완료된 것으로 볼 수 있다”고 말했다.

전용 IPS Vs. 범용 IPS
VoIP 보안 전문기업을 표방하면서 탄생한 기업을 제외하면, 기존 IPS 기업 중 VoIP 전용 IPS를 출시한 것은 나우콤이 최초이며, 유일하다. 티핑포인트, 시스코 등의 글로벌 기업들은 VoIP 전용 IPS를 출시하고 있지는 않다.

글로벌 IPS 벤더들은 “VoIP 보안을 위한 다수의 시그니처, 패턴을 제공하고 있으며, 이를 통해 VoIP 보안 위협에 대응할 수 있다”고 한 목소리로 밝혔다. 즉 VoIP 시그니처, 패턴 위주로 구성해 VoIP 시스템 앞단에 위치시킨다면 VoIP 서비스에 대한 충분한 보호를 제공할 수 있다는 것. 이어 이들은 “VoIP 시스템 앞단에 위치한다고 해서 VoIP 보안 전용장비라고 할 수 없다는 점에서 VoIP 전용 IPS라고 하지 않는다”면서 “최근 등장하는 VoIP 전용 IPS에 대해 보다 면밀하게 검토를 진행해봐야 보다 정확한 평가를 내릴 수 있겠지만, 일단은 시장 진입을 위해 신생 기업이 VoIP를 차별화 요소로 가져가려는 것이 아닐까 추측된다”고 덧붙였다.

이러한 설명은 기존 IPS 벤더 중에서는 유일하게 VoIP 전용장비로 선보인 나우콤 스나이퍼IPS V에 대한 의구심을 불러일으킨다. ‘기존 IPS에 몇 가지 VoIP 관련 시그니처를 추가해 VoIP 장비로 포장한 것이 아니냐’는 의구심이 그것이다.

게다가 스나이퍼IPS V의 빠른 CC인증은 이러한 의구심을 더욱 증폭시키는 요소가 되고 있다. 나우콤 측은 “개발을 위한 검토 단계에서부터 공공시장을 겨냥한 CC 평가준비를 해왔으며, 다년간 다수의 네트워크 보안제품으로 CC 평가를 받아온 경험을 기반으로 VoIP 보안기능에 대한 국내 첫 평가에도 유연하게 대응할 수 있었다”고 설명했지만, 통상 첫 번째 인증의 경우, 프로파일 생성 문제도 있어 이후의 평가보다 오랜 작업이 소요되는 것이 일반적이다.

따라서 VoIP IPS 관련 국내 첫 CC인증이었던 스나이퍼IPS V가 신속하게 인증을 획득할 수 있었던 배경은 CC인증평가가 ‘스나이퍼IPS’의 재평가 형태로 진행됐다는 것이 보다 더 본질적 요인으로 지적된다. 기존 CC인증을 획득한 스나이퍼IPS에 VoIP 보안 기능을 추가한 형태로 진행돼 신속하게 평가를 마칠 수 있었던 것. 이러한 재평가 형태의 CC인증은 일각에서 나우콤 스나이퍼IPS V에 대해 보내는 의구심에 기름을 붓는 결과가 되고 있다.

이에 대해 나우콤 측은 “VoIP에 특화된 엔진이 탑재됐다”며 “기존 IPS와 같다는 것은 억측”이라고 해명했다. 나우콤 측은 “패턴만으로는 구현할 수 없는 통화 상태의 실시간 모니터링 등 세밀한 기능이 스나이퍼IPS V에서 제공된다는 것은 VoIP를 위한 새로운 개발 엔진이 탑재된 증거”라면서 “스나이퍼IPS V에는 실시간 트래픽 흐름상에서 VoIP 트래픽을 분류해 송신자/발신자 ID와 상태에 대해 분석하는 엔진이 별도로 추가돼 기존 IPS 기능은 물론 VoIP 보안 기능까지 포괄적으로 제공하고 있다”고 덧붙였다.

이어 나우콤은 “단순 패턴에 의존하는 범용 IPS의 방어로는 정상 통화 차단 등 오탐에 의한 통화장애가 발생할 수 있는 한계가 있다”면서 “이것이 VoIP 프로토콜 분석 엔진이 탑재된 전용 IPS가 요구되는 이유”라고 주장했다.

VoIP IPS를 둘러싼 논란은 그만큼 VoIP 보안 시장이 각광받고 있다는 방증일 수 있다. 또 VoIP 보안에 대한 정석 빌드가 아직 나와 있지 않음을 의미하는 것으로도 볼 수 있다. VoIP 서비스와 아울러 VoIP 보안의 진화방향이 주목된다.

http://www.datanet.co.kr/special/special_view.asp?id=45912&acate1=2&acate2=1&page=1

[데이타넷]

http://www.sek.co.kr/cddos/greeting.asp

http://www.boannews.com/media/view.asp?idx=16934&kind=0

인터넷의 발전으로 많은 온라인게임이 등장한 가운데 이를 타깃으로 한 해킹툴과 악성코드도 비례해 증가하고 있어 게임업체와 사용자의 보안을 위협하고 있다. 이런 해킹툴과 악성코드는 인터넷카페를 기반으로 둔 불법 게임 카페를 통해 네티즌들에게 유입되고 있어 대책이 시급해 보인다. 업계에 따르면, 이런 불법 게임 카페의 등장은 온라인 게임을 좀 더 쉽게 하고 싶어 하는 네티즌들에 의해 나타난 것으로 추정되고 있다.

게임업계의 한 관계자는 “국내 한 유명 온라인 게임이 수출 과정에서 나타난 파일 유출로 사용자가 스스로 사설 온라인 게임을 구축할 수 있는 프리서버가 나타났다”면서 “이런 프리게임은 실제 게임보다 경험치나 아이템 등의 배율이 높아 여러 사용자들이 이용하고 있는 것으로 파악되고 있다”고 설명했다. 많은 불법 게임 카페들이 네이버나 다음 등 대형 포털사이트에 개설됐고 비공개로 카페를 운영하면서 은밀하고 폐쇄적인 악성프로그램들을 유통하고 있는 것으로 알려지고 있다. 특히 특정 게임의 불법 클라이언트 프로그램과 사설 서버운영을 비롯해 악성 프로그램을 회원 간 공유하고 있어 문제가 되고 있다.

한 게임업체의 보안 담당자는 “일부 게이머들은 온라인 게임에서 캐릭터의 빠른 성장과 많은 게임머니 또는 아이템 등을 얻기 위한 수단으로 프리서버를 이용하고 있고, 이런 서버는 인터넷 카페를 통해 활성화 되기 시작했다”며 “문제는 이런 카페들에서 유통되는 해킹프로그램들이 점차 도를 넘어서기 시작해 DDoS 공격을 위한 넷봇이나 다른 사용자의 계정정보를 탈취하는 악성코드까지 유통되기 시작했다는 데 있다”고 지적했다.

불법 게임 카페들이 늘어나면서 클라이언트 프로그램 빙자해 키로거 등 바이러스에 노출된 파일의 배포도 늘고 있다는 것. 아울러 카페 간 견제나 사용자들의 앙심으로 인해 카페나 서버 운영에 문제가 발생하도록 하는 ‘폭파’라는 행위도 서슴지 않고 있다. 이런 폭파는 DDoS 공격을 일으키는 악성 프로그램을 이용하거나 게시판 도배 등으로 문제를 만들어 서비스를 이용하지 못하도록 하고 있다.

문제는 이뿐 아니다. 이들 카페에서는 바이러스에 노출된 파일이나 키로거, DDoS 공격툴 등과 더불어 온라인 게임 운영에 지장을 주는 핵프로그램까지 공유하고 있는 것으로 알려져 게임업체와 게이머의 보안을 위협하고 있다.  아울러 특정게임에서 비롯된 이런 카페들은 여러 다른 온라인 게임에도 영향을 미치고 있다. 한 온라인 게임의 담당자는 “얼마 전부터 게임 내 핵(능력치를 강화하거나 게임머니 획득을 높이는 프로그램) 사용자들이 부쩍 늘었다는 것을 파악하고 조사해본 결과 특정 게임의 프리서버나 폭파카페들에서 핵 프로그램이 유포되고 있는 것을 파악했다”면서 “이렇게 공유된 핵 프로그램은 건전하게 게임하는 사용자들에게 영향을 줄 뿐 아니라 악성코드가 포함돼 있는 경우도 있어 사용자 보안에도 큰 문제를 야기하고 있다”고 말했다.

▲포털사이트에 개설돼 있는 폭파 카페들. 대부분 비공개 카페이기 때문에 노출된 경우는 극히 일부라고 업계는 전한다. ⓒ보안뉴스

허나 인터넷카페를 운영하고 있는 포털사이트 들은 이들 카페에 대한 단속이 쉽지만은 않다고 이야기한다. 포털 사이트의 한 관계자는 “이들 카페들이 친목 도모라는 명분으로 비공개 카페를 세웠을 뿐 아니라, ‘프리게임’이나 ‘핵프로그램’ 등의 불법 카페에서 이용하고 있는 키워드를 체크해 단속하고 있지만 카페 내에서는 은어를 사용하고 있어 단속이 잘되지 않고 있다”고 토로한다.

게임업계의 한 담당자는 “이런 악성 프로그램 유포를 막기 위해 내부적으로 악성프로그램 근절 캠페인을 주기적으로 진행하고 있으며 적발 시에는 고소를 통해 사법처리하는 방안도 검토 중에 있다”면서 “이렇게 강력한 제지 수단을 사용하지 않으면 악성 프로그램 유포를 막기는 힘들다는 것이 회사 내부적인 입장”이라고 전했다.

[오병민 기자(boan4@boannews.com)]

http://www.boannews.com/media/view.asp?idx=16842&kind=18

10GigE 네트워크 환경이 요구하는 ‘Flexibility’ 가능

미국 DDoS 방어장비 전문업체 리오레이사는 한국 총판인 모젠소프트를 통해 자사의 DDoS 방어 장비인 RG-10을 발표했다. 리오레이의 플랫폼은 10GigE(10Gigabit Ethernet) 네트워크 환경이 요구하는 ‘Flexibility’를 가능하게 하는 Bladed 인프라구조에 기반을 두고 있으며 이 플랫폼은 필요에 따라 Blades를 변경함으로써 사용자 네트워크에 따라 Scalable하게 적용할 수 있다. 이번 신제품 발표를 위해 방한한 리오레이 Kwok Li(곽 리) CEO에게 리오레이의 신제품 RG-10와 DDoS공격 동향에 대해 들었다.

이번 10G급 신제품 출시 배경은 무엇인가?

RG-10은 거대 네트워크 인프라 구조를 가지고 있는 고객의 요구에 따라 개발되었다. 이는 10GigE 멀티 네트워크 규모에 지원이 가능하도록 설계된 제품으로 리오레이의 RG-10 아키텍쳐는 최대 초당 14.5mpps(14,500,000pps)를 처리하는 각각의 10G 링크의 Full Protection을 제공하는 것이 특징이다. 

RG10에서 강화된 기능은 무엇인가?

리오레이 플랫폼은 10GigE 네트워크 환경이 요구하는 ‘Flexibility’를 가능하게 하는 Bladed 인프라구조에 기반을 두고 있으며 이 플랫폼은 필요에 따라 Blades를 변경함으로써 사용자 네트워크에 따라 Scalable하게 적용할 수 있다. 또한 이러한 구조로 인해 Critical Individual 구성요소가 서비스 하는 동안에도 네트워크에 영향을 주지 않고 교체될 수 있으며 Packaging은 매우 조밀한 구성으로 인하여 콤팩트 한 공간에서 대량의 Computing Power를 가능하게 한다.

한국 내 주요 타깃 시장은 어디이며 올해 한국 시장 마케팅 전략은?

리오레이 RG-10의 고객은 대용량 네트워크를 사용하는 고객이다. 대형 통신사, ISP 사업자, 포탈 컨텐츠 사업자, 금융서비스 사업 등이 RG-10의 주요 고객이 될 것이다. 리오레이의 가장 큰 장점과 특징은 고객 측면에서 제품이 만들어 진다는 것이다. 이에 따라 이번에 출시한 RG-10 모델도 대용량 트래픽 처리를 원하는 고객들의 요구에 의해 만들어 졌다. 때문에 이러한 고객들의 요구와 이를 연결하는 제품의 우수한 기술력이 리오레이의 가장 큰 마케팅 전략이다.

리오레이가 타사 경쟁제품과의 차별점과 강점은 무엇인가?

마이크로 행태분석, M.B.A.알고리즘에 기반한 리오레이의 혁신적인 아키텍처는 네트워크 최전방에 위치시키는 RioRey의 혁신적인 경계보안 DDoS 방어 전용 플랫폼이다. 리오레이는 전체 네트워크의 Line Rate필터링을 통해 높은 처리량을 자랑하며 전체 네트워크로 들어오는 트래픽을 분석하여 정상 트래픽은 통과시키고 DDoS공격으로 분류된 트래픽은 차단한다는 점이 강점이다.

라우터 앞에 인라인으로 설치되는 리오레이는 과다하게 밀집된 트래픽을 완화시켜 DDoS 공격 중에도 네트워크가 정상적으로 작동할 수 있게 하며 리오레이는 DDoS공격 중이나 공격 이후에도 접속리스트를 업데이트하는 등의 수동적 조작이 필요 없다. 또한 수천의 Null Routing Table들을 업데이트할 필요가 없고 공격 이후 Clean up할 필요도 없다.

이와 관련된 이점이라고 하면 네트워크를 장악하는 DDoS패킷 흐름을 차단함으로써 네트워크상에 있는 다른 보안 시스템과 분리되지 않게 함으로써 네트워크 방화벽과 IDS(Intrusion Detection Systems)는 전형적인 해킹 공격을 모니터 하고 필터링 할 수 있도록 정상적으로 가동된다. 또 DDoS 공격이 이루어지는 동안 보안 데이터를 손상, 유출 하는 Plant Worm 또는 Malware를 동반한다는 것을 고려할 때 리오레이가 다른 네트워크 보안 시스템과 분리되지 않는 다는 점은 큰 장점으로 꼽을 수 있다.

올해 들어 DDoS 공격이 한국 내 최대 보안이슈가 되고 있다. 이러한 DDoS 공격에 적절한 대응방안은?

DDoS 공격은 지난 몇 년간 그 양이나 질적인 면에서 극적인 변화가 있었다. 교묘하고 다양해진 DDoS 공격의 진화는 지금도 계속되고 있다. 최근 대다수의 DDoS 공격은 전통적인 네트워크 시스템과 보안 기술에 피해를 주는데 IDS(Intrusion Detection System)와 방화벽으로는 복잡한 DDoS 공격을 방어할 수 없다.

우리는 DDoS 공격을 막아낼 수 있는 유일한 방법은 DDoS 방어 전용 장비를 네트워크 앞에 설치하여 DDoS 공격이 네트워크에 손상을 입히기 전에 방어하도록 하는 것이라고 본다. 이러한 DDoS 전용장비는 DDoS 공격 방법의 진화에 따라 신속히 업그레이드되어야 한다. 리오레이는 DDoS 공격을 방어하는 전용 솔루션이며 어떤 크기와 형태의 DDoS 공격이든 그에 따라 방어할 수 있다. 리오레이는 신종 DDoS 공격이 생기면 그에 따라 바로 적용, 방어 가능하게 설계되어 있으며 모든 DDoS 공격으로부터 고객을 보호하는 것에 100% 초점을 맞추고 있다.

DDoS 공격과 관련, 한국 내 각 기업 보안 담당자들이 꼭 알아두어야 할 것이나 하고 싶은 말이 있다면?

보안 담당자들은 지속적인 네트워크 보안 위협에 대응하는 다양한 무기를 가지고 있다. IPS장비, ANTI-VIRUS 소프트웨어, 방화벽은 그 각각의 장비의 역할을 훌륭히 하고 있다. 그러나 DDoS 공격은 전 세계적으로 네트워크 보안을 위협하는 요소로 급격히 부각되고 있으며 이에 보안 담당자는 2009년 또는 그 이후 다른 목적으로 설계된 기존 보안장비에 의존해서는 안되며 반드시 DDoS공격을 방어할 수 있는 전용 장비를 도입해야 한다고 생각한다.

DDoS전용 장비 도입이 필요한지에 대한 검토는 간단하다. 보안담당자는 스스로에게 다음과 같은 질문을 하면 된다.  “우리 회사의 네트워크가 다운된다면 큰 문제로 이슈화되기까지 얼마의 여유 시간이 있는가?”

만약 자사의 네트워크 시스템이 몇 분, 시간 또는 몇 일 동안 다운되었을 때 기업에 부정적 영향을 끼치지 않는다면 DDoS전용 보안 솔루션이 꼭 필요하지 않을 수도 있다. 하지만 자사의 시스템이 단 몇 초, 몇 분 또는 며칠 동안 다운되었을 때 기업에 치명적인 손해를 끼칠 수 있다면 반드시 DDoS전용 보안 솔루션을 도입해야 하며 리오레이는 효율적인 DDoS공격 방어의 Best Solution이 될 것이다.

중국 발 해킹이나 DDoS 공격이 점점 증가하고 있는데 방어 대책은?

DDoS 공격은 한국에 한정된 공격이나 피해가 아니다. DDoS 공격은 전 세계적으로 발생하는 새로운 위협이며 다만 한국은 중국과 가까이 있고 Network 인프라 보급이 다른 나라보다 매우 우수하기 때문에 그만큼 위협에 더 많이 노출되어 있다. DDoS 공격은 이제 특정 사이트를 대상으로 금전적 요구를 하던 시기를 벗어나 사회 전반적인 위협으로 부각 되고 있다. 누구나 인터넷을 통해 봇넷 프로그램을 구입 할 수 있으며 이를 이용한 공격이 잦아 지고 있는 추세다.
 
또한 들어오는 DDoS 공격을 막는 것도 중요하지만 봇넷으로 이용되는 PC의 공격을 차단 하는 것도 매우 중요하다. 봇넷으로 이용되는 PC의 DDoS 공격 트래픽을 원천적으로 차단 한다면 DDoS 공격 피해는 상당히 줄어들 것이다. 그러기 위해서는 PC사용이 많은 네트워크 환경에서는 Out Bound되는 DDoS 트래픽을 제어 할 수 있는 보안 정책이 필요할 것으로 본다.
 
최근 전 세계적인 보안 이슈는 무엇인가?

전체 인터넷 트래픽 중 5%가 DDoS 트래픽인 것으로 추정되며 그 비율이 점점 증가 추세이다. 불과 몇 년 전만 해도 DDoS 공격에 이용되는 봇넷이 수백대였는데 이제는 수천에서 수만대의 컴퓨터가 봇넷으로 이용 되고 있다.

또 DDoS 공격을 위한 경제적인 자극 요인도 늘고 있다. 게다가 DDoS 공격이 정치적 목적 달성을 이유로 다른 나라의 상업경제를 위협하기 위한 도구로도 쓰인다. 그리고 이러한 정치적 이유의 DDoS 공격이 기존의 DDoS 공격보다 더 위협적이다.

이러한 DDoS 공격의 적절한 방어 대책은 각 네트워크 책임자들이 DDoS 공격이 발생하기 전에 먼저 조치를 취해야 한다는 것이며 그것은 바로 DDoS 전용 장비를 도입하는 것이라고 할 수 있다.

<글 /사진 : 김태형 기자(is21@boannews.com)>

http://www.boannews.com/media/view.asp?idx=16850&kind=0

온라인게임으로 인한 보안문제가 여럿 제시되고 있는 가운데 가장 큰 피해는 사용자들의 개인정보 유출과 이를 악용하는 사례로 볼 수 있다. 특히 국내 여러 인기게임은 중국에서 개발된 악성 프로그램으로 인한 계정정보 노출이 가장 큰 피해로 나타나고 있다. 인기게임일수록 이런 피해는 가장 많이 나타나고 있다. 특히 온라인 게임 순위에 상위권에 있는 게임들의 경우에는 게임을 시작하거나 로그인할 때 행동을 개시하는 악성코드가 나타나고 있으며 이런 악성코드는 안티바이러스 프로그램의 업데이트할 때 마다 변종이 새롭게 나타나고 있다.

이런 악성코드의 목적은 온라인 게임을 이용하는 사용자들의 계정을 탈취하는 데 있다. 게임보안관리자는 “온라인 게임을 대상으로한 악성코드가 기승을 부리고 있으며 이런 악성코드는 사용자들의 계정을 탈취해 개인정보나 아이템이나 게임머니 등 사적재산 빼내 이용하고 심지어는 빼낸 계정정보로 로그인한 캐릭터로 불법거래를 일삼곤 해 문제가 되고 있다”고 말한다.

온라인 게임도 다른 인터넷 서비스와 마찬가지로 다양한 정보를 수집하고 있다. 주민등록번호부터 시작해 주소와 연락처 등 각종 사이버 범죄에서 이용할 수 있는 다양한 정보로 볼 수 있다. 따라서 온라인게임 업체는 인터넷 서비스 중 가장 보안이 철저한 인터넷뱅킹 수준의 보안서비스를 제공하고 있다. 특히 많은 온라인 게임 업체들이 휴대폰을 이용하는 U-OTP를 도입한 상황이다. U-OTP 서비스는 일회용 비밀번호를 사용해 로그인하는 이중 보안 서비스다. 기존 게임 계정과 비밀번호 입력 후, 휴대전화로 전송 받은 일회용 비밀번호인 'U-OTP 인증번호'를 추가로 입력해 로그인하는 방식으로, 이를 통해 유저들은 개인 정보 유출의 피해로부터 보호받을 수 있다.

넥슨의 채은도 실장은 “로그인 시 매번 새로운 인증번호가 발급되는 U-OTP를 통해 개인정보 유출로부터 유저를 보다 안전하게 보호할 수 있을 것”이라며, “향후에도 유저들이 더욱 안심하고 게임을 즐길 수 있는 시스템을 갖추기 위한 노력을 계속할 것”이라고 덧붙였다. 이외에도 보안카드나 마우스를 이용한 로그인 보안 체계를 구축하는 온라인 게임업체도 늘고 있다.
계정정보를 탈취하는 악성코드 근절을 위한 캠페인도 늘고 있다. 인기게임인 프리스타일과 고스트X를 제공하는 JC엔터테인먼트의 경우, 6월 3일부터 7월 2일까지 악성코드나 해킹 프로그램을 집중단속하고 사용자 스스로 악성코드 근절에 관련된 UCC나 팬아트, 연설 등 다양한 아이디어 제작물을 공모하고 있다. JC엔터테인먼트의 관계자는 “집중단속 기간에는 해당정책이 강화돼 악성 프로그램 사용시, 경고 없이 영구제재 당할 수 있으며 악성 프로그램 사용은 범법행위로 간주돼 고발 조치를 취할 방침”이라고 전한다.

업계에서는 여러 가지 보안 체계를 가지고 있어도 사용자들이 이를 이용하지 않는 사례가 많아 문제가 되고 있다고 이야기한다. 온라인게임업계의 한 관계자는 “문제는 사용자들 중에서 자신의 계정 외에 가족이나 다른 사람의 명의를 이용해 게임을 하는 사례가 있어 보안 서비스를 이용하지 못하는 경우가 많다”며 “그중 대부분은 미성년자가 부모나 다른 가족의 명의로 게임을 하고 있거나 계정 거래를 통해 얻은 게임 계정을 이용하고 있어 실명인증을 이용하는 보안서비스를 이용하지 못하고 있다”고 말한다.

사실 이런 부분은 온라인 게임업계에서도 그동안 무분별하게 개설된 계정을 단속하지 못했다는 문제점도 제기되고 있다. 하지만 이미 개설된 계정의 경우 약관상 수칙을 어기지 않은 이상 이를 막을 수는 없다는 것이 업계의 이야기다. 결국 이런 이유로 인해 주민등록번호 대체 수단인 ‘아이핀’이나 실명인증 수단의 이용률을 낮추고 있으며, 온라인 게임업체가 제공하는 보안서비스가 사실상 사용자들에 의해 외면되는 문제로 전이되고 있다.

사용자들의 보안서비스 외면은 고스란히 사용자 피해로 이어지고 있다. 중국에서 개발된 악성코드로 인해 사용자 계정을 탈취하는 사례가 증가하고 있으며, 이렇게 탈취된 계정은 중국으로 추정되는 집단 악성해커들을 포함한 작업장에 이용되고 있다는 것이다. 게임업계의 한 관계자는 “중국의 한 작업장의 경우, 보안서비스를 이용하지 않은 국내 주요게임의 사용자들을 대상으로 계정 정보를 수집하고 있으며, 이렇게 수집한 계정으로 불법 핵프로그램을 이용한 게임머니 생산활동을 하고 있는 것으로 파악된다”며 “이런 게임머니 생상활동과 아울러 불법 거래도 해킹으로 수집한 계정으로 이용하고 있기 때문에 이들에 대한 단속은 사실상 불가능한 상태”라고 토로했다.

국내 아이템 거래량은 작년기준 1조원을 넘기고 있는 가운데 이중 불법으로 생산되는 게임머니 및 아이템은 70% 정도로 추정되고 있다. 결국 사용자의 개인정보가 불법 생산 활동에 이용되는 악순환을 반복하고 있다. 

게임 보안업계의 한 관계자는 “불법 계정을 일일이 추적하는 데 한계가 있기 때문에 결국 게이머 스스로 불법 악성코드에 노출되지 않도록 노력하고 가급적 게임업체들의 보안 서비스를 이용해 이를 방지하는 수밖에 없다”고 말했다.

[오병민 기자(boan4@boannews.com)]

http://www.boannews.com/media/view.asp?idx=16818&kind=0

우리나라의 온라인 게임은 높은 게임성과 디자인 성으로 인해 전세계 통틀어 수준급으로 성장하고 있지만 이에 따른 부작용이 나타나고 있기도 하다. 특히 온라인 게임으로 인한 다양한 보안 문제 발생은 더 이상 묵과할 수 없을 정도로 심각해지고 있다.

업계에서 바라보는 온라인 게임 보안은 두 가지 관점으로 볼 수 있다. 하나는 유저의 관점이고 또 하나는 온라인 게임사의 관점이다. 유저의 입장에서 보안 위협은 해킹으로 인한 계정 도용과 이를 위한 악성코드 증가로 볼 수 있다. 게임사 입장에서는 게임 플레이를 불공정하게 이끄는 오토 플레이나 메모리 조작 등 해킹 툴의 증가 등의 보안 위협을 찾아볼 수 있다.  
유저 관점에서 아이템 거래, 현금 거래 피해 규모는 구체적으로 파악되지는 않았지만 업계에서 게임 아이템과 현금 거래 등으로 추정했을 때 파생되는 블랙마켓의 규모는 전체 온라인 게임 시장 규모에서 최대 70~80%, 최저 50~60% 정도로 파악하고 있다.
 

▲올해 발견 온라인 게임 해킹 툴(한국,중국,동남아) 종류 별 증가  ⓒ안철수 연구소

나타나는 가장 흔한 사례는 트로이목마 형태로 PC에 설치되어 있다가, 게임을 위한 클라이언트 프로그램이 구동되거나 특정 게임의 사이트에 접근하면 자동으로 키로킹을 시작해 정보를 빼낸 후 특정 서버로 보내는 방법이 나타나고 있다.
이런 방법에 이용되는 악성코드는 국내 악성코드의 가장 큰 비율을 차지하고 있을 정도로 심각한 수준이다.

▲올해 온라인 게임 해킹 툴 월 별 증가  ⓒ안철수 연구소

게임 업체 입장에서 가장 큰 문제로 떠오르고 있는 보안 문제는 오토 플레이나 메모리 조작 등으로, 게이머가 온라인 게임에서 보다 빠른 레벨 업이나 능력강화를 위한 불법 해킹 툴이다. 아울러 온라인 게임을 정식으로 이용하지 않고 사용자들이 스스로 만든 프리서버도 보안 문제의 온상이 되고 있다.

오토 플레이나 메모리 해킹 툴은 대형 포털사이트의 프리서버 인터넷 카페를 통해 보급되고 있으며 일부의 인터넷 카페에서는 DDoS 툴이나 키로깅 해킹 툴을 배포하는 등 인터넷 보안 문제를 사용자 중심으로 옮기는 무서운 매개수단이 되고 있기 때문이다.

사용자의 정보를 보호하기 위한 게임 업체의 노력은 계속 늘어가고 있다. 엔씨소프트와 넥슨, JC엔터테인먼트, 한게임, 네오위즈 등 메이저 게임사 대부분은 온라인 게임 보안 솔루션과 키보드 보안 솔루션을 도입해 게임 이용 시 작동하게 하고 있다. 또한 온라인 게임 등장 초기에 많지 않았던 개별 보안팀의 구성도 점차늘어 엔씨소프트의 경우 20여 명의 보안팀이 해킹에 대응하고 있다. 업계에 따르면 2~3년 전에는 이러한 움직임이 거의 없었다고 이야기한다.

국내 업체에 비해 외국 업체의 대응은 미온적이다. 한 예로, 국내에 온라인 게임을 서비스하는 블리자드사는 보안 프로그램 도입이 미진한 상황이다.

한편, 최근 오토마우스와 관련해 문제가 많아 법적으로 해결하려는 움직임이 나타나고 있다. 하지만 업계에서는 법적으로만 제재를 가하면 오히려 블랙마켓만 더 키울 수 있기 때문에 온라인 게임사 내부에서 기술적으로 방어하기 위한 투자를 선행하는 것이 좋다는 의견이 제시되고 있다.

[오병민 기자(boan4@boannews.com)]

마이크로 블로그라 불리는 트위터(twitter)가 전 세계적으로 선풍적인 인기를 얻고 있다. 트위터는  작은 블로그라고 볼 수 있다.

 

새의 지저귐이라는 듯의 이 소셜 네트워킹 서비스는 누군가를 따라다니며 정보를 얻고자하는 심리에 근거에 탄생됐다. 누군가의 트위터를 구독하면 그 대상이 업데이트 하는 140바이트 내외 메시지를 문자메시지나 메신저, 이메일 등 다양한 환경에서 받아볼 수 있다. 특히 우리나라에서는 피겨 퀸인 김연아 선수가 트위터를 이용한다 해서 널리 알려지기도 했다. 

샌프란시스코의 한 벤처기업에서 탄생한 이 서비스는, 관심 있는 누군가를 쫓아다니며 더 많은 정보를 알고 싶어 하는 심리와 나에게 관심 있어 하는 다수에게 나를 알리고 싶어하는 심리를 바탕으로 하고 있다. 따라서 많은 유명인들이 트위터를 이용하고 있으며 일반인들도 트위터를 통해 널리 알려지기도 한다. 현재 트위터를 모방한 많은 소셜 네트워킹 서비스가 나타나고 있으며 이런 서비스는 앞으로도 계속 증가할 것으로 예상된다.

문제는 이 서비스가 인기를 얻어갈수록 이를 노리는 많은 보안 위협이 나타나고 있다는 것. 특히 유명인을 노린 보안 위협이 크게 증가하고 있어 문제가 되고 있다. 유명인의 트위터는 많은 이용자들에게 파급효과를 가지고 있어 이를 악용할 경우 큰 사회적인 문제를 낳을 수 있다는 것이다. 가령 얼마 전엔 오바마 대통령의 트위터나 브리트니 스피어스의 트위터도 계정이 해킹당해 큰 사회적 이슈를 낳은 적 있다. (생각해보자. 유명인들의 트위터를 통해 변조된 메시지가 전달된다면... 상상만해도 심각해보인다.)

초기에 트위터를 노린 해킹은 단순 유추형 해킹이었다. 특정인의 계정에 패스워드를 임의로 대입하는 기초적인 해킹이라고 볼 수 있다. 하지만 최근들어 트위터의 프로파일(누군가의 트위터를 구독한 사용자 목록)을 노린 웜이나 이를 통해 변조된 메시지를 전달하는 웜이 기승을 부리고 있다.

이런 웜은 보내지는 메시지를 통해 전파되는 특성도 가지고 있어 그 위협은 점차 커져가고 있다. 특히 트위터가 이동통신이나 여러 통신수단을 이용하고 있기 때문에 향후 스마트폰과 같은 모바일 기기까지 위협이 번질 수 있다는 경고는 많은 보안전문가들 사이에서 늘어가고 있다.

따라서 트위터와 같은 다중 네트워크 소셜네트워킹 서비스를 이용할 경우 각별한 보안 관리가 요구된다. 일단 패스워드 관리가 가장 중요하다. 패스워드가 노출 될 경우 큰 문제가 나타날 수 있기 때문에 패스워드는 수시로 바꿔야 하며 유추가 불가능한 패스워드의 이용이 필수다. 아울러 트위터를 이용하는 환경이 보안 취약점에 노출되지 않았는지도 체크해 봐야한다. 따라서 안티바이러스를 이용한 바이러스 검사나 스파이웨어 검사에도 많은 노력을 기울여야 할 것으로 보인다.

[오병민 기자(boan4@boannews.com)]

http://www.boannews.com/media/view.asp?idx=16767&kind=1

10억 규모 사업, “조달청에 공고 내고 7월 경 사업계약을 맺을 것”

방송통신위원회 주도하에 인터넷망에 DDoS 대응시스템 도입이 확산되고 있는 가운데 행정안전부는 DDoS공격에 우선적으로 대응이 필요한 행안부를 포함한 3개 기관 13개 영역 인터넷 구간에 10억여원 규모로 DDoS 대응시스템을 구축하는 내용을 담은 로드맵을 마련했다.

 

 

행안부는 지난 4월 21일 국가정보원, 지식경제부, 방송통신위원회와 합동으로 정보해킹 및 개인정보 유출 실태와 2009년 역점 추진과제를 국무회의에 보고한 바 있다. 이날 행안부가 발표한 정보보호와 관련한 8개 역점 과제 중에는 최근 급속히 증가하고 있는 DDoS공격에 대한 국가적 대응체계를 구축하기 위해 DDoS 대응시스템을 구축할 것이라는 내용이 담겨 있었다. 그리고 그러한 준비기간을 거쳐 행안부는 이번에 ‘DDoS 대응체계 구축사업’을 벌인다.

최근 전자정부서비스 오류 및 사이버 공격으로 인한 침해사고 발생 등 정부·공공기관에 대한 지속적인 DDoS 공격이 지속적으로 발생하고 있으며, 공격 규모두 수 기가에서 수십 기가로 지속적으로 증가하고 있어 대응체계가 아직 갖추어지지 않아 DDoS공격에 취약했던 것이 사실이다. 이에 따라, 대국민 서비스에 심각한 영향을 미치는 비정상적인 대량의 통신 트래픽을 감지하고, 경보를 발생시키는 시스템을 구축하려는 것이다.

3개 기관 13개 영역에 DDoS 대응체계 구축

이번 ‘DDoS 대응체계 구축사업’은 시·도 및 시군구와 연계된 4대 접점 구역에 DDoS 전용장비를 설치하고 교육과학기술부와 보건복지부의 대민서비스를 위한 인터넷 접점 중 각각 5개, 4개 영역에 설치된다.

여기서 4대 접점구간 별 DDoS 대응지역은 ▲중앙청사-경북도청 및 외부기관 중앙부처 ▲별관청사-서울·인천시청 및 강원·경기·충북도청 ▲과천청사-부산·대구·울산시청 및 경남도청 ▲대전청사-대전·광주시청 및 전북·전남·제주·충남도청이다.

이에 행안부 관계자는 “중앙행정기관 대민서비스에 대한 보안관제를 지원하는 ‘교육 관제시설’과 ‘보건·의료 관제시설’에 우선 시범적용된다”며 “시·도 및 시군구와 연계된 4대 접점 구역에 DDoS 대응체계를 구축해 행안부의 통합보안관제센터 및 지역정보개발원의 보안관제센터와 정보공유를 통해 DDoS공격을 사전에 차단할 것”이라고 밝혔다.

또한 그는 “구축된 시스템의 서비스거부 대응 효과 검증을 위한 모의 훈련을 실시하고 기관별 시범적용을 통한 장비운용 DDoS 대응 임계치를 설정하는 한편 시험 구축 결과를 바탕으로 서비스거부 대응지침 및 매뉴얼 개발 등의 DDoS 대응시스템 시험적용 및 확산 방안 마련할 계획”이라고 말했다.

사업자, 정부납품 위한 보안요구사항 충족 등 갖춰야

이번 사업의 제한요청 내용을 살펴보면, 구축되는 시스템은 정부납품을 위한 보안요구사항을 충족해야 하며, 기관의 특성에 적합한 대역폭을 충분히 처리할 수 있는 시스템을 구축해야 한다. 또한 백본 통신장애는 업무 영향도가 높기 때문에 비상시를 대비해 목적시스템의 설치 위치에 따라 ‘백본 통신경로 선상에 설치하는 방식’과 ‘백본 통신경로 외에 설치하는 방식’ 중 택해 구성해야 한다.

그 외 ▲통신 트래픽 분석 기능은 하드웨어·펌웨어 기반으로 처리 ▲기존 네트워크 장비 및 보안시스템 구성에 영향 주지 않고, 호환되는 시스템 구축 ▲생성 대용량 로그의 효율적 관리 방안 제시·구축 ▲향후 인터넷 회선 대역폭 증가 시 안정적으로 비정상 트래픽을 처리할 수 있도록 모듈 추가 및 업그레이드 등 목적시스템 확장 방안 제시 ▲설치기관의 정책에 따라, 기존 시스템과 연계가 가능해야 하는 등의 내용을 담고 있다.

이에 행안부 관계자는 “DDoS 대응체계 구축 경험을 보유한 한국정보보호진흥원을 통해 시스템을 구축하게 되는 본 사업은 대상기관과의 유기적 협력을 통한 맞춤형 DDoS 대응체계를 구축하게 될 것”이라고 추진전략을 밝히고 “해당기관의 기존 네트워크 변경 없이 목적시스템을 설치해 통신 안정성을 확보하고 향후 사용자의 급증 등 환경변화에 대처가 용이하고, 유지보수성이 높은 범용적인 목적시스템을 설치해 경제성 및 효율성을 확보할 것”이라고 덧붙였다.

또한 그는 “이번 사업은 빠르면 금일 저녁이나 내일 중으로 조달청에 공고를 내고, 7월 경 사업계약을 맺고 본격적인 구축사업을 시작하게 될 예정”이라며 사업진행 시기를 밝히고 “이번 사업은 시스템 구축 3개월과 2개월의 안정화 기간을 거쳐 완료될 예정”이라고 말했다.

한편 행안부가 중앙행정기관의 DDoS 대응을 위해 정부통합전산센터에서의 체계적 운영 방안을 마련하는 한편 보건복지분야 및 과학기술분야에 시범적용을 통한 유효성 검증을 위해 진행되는 이번 사업은 사업규모가 그렇게 크지는 않지만 공공의 DDoS 대응체계 구축의 첫 시도라는 점에서 이후 확대 구축이 예상됨에 따라 DDoS업계의 분주한 움직임이 있을 것으로 예상된다.

[김정완 기자(boan3@boannews.com)]

아버네트웍스 보안연구 매니저

“DDoS 공격, 한국만의 위협 아니다”
“DNS 기술 이용하는 컨피커C, 정리 끝났다”

반가운 얼굴을 만났다. 지난해 ISEC 2008 강연을 위해 한국을 처음 방문했던 정보보안 연구의 권위자 호세 나자리오(Jose Nazario) 박사가 지난달 개최된 “2009 Hacking Defence & Conference”의 기조연설을 위해 두 번째로 한국을 방문했다. 본지는 현 봇넷 조망에 대해 발표한 호세 나자리오 박사를 만나 봇넷과 DDoS 공격에서부터 컨피커에 이르기까지 최근의 보안 위협에 대해 포괄적으로 살펴봤다. 한편 컨피커 워킹 그룹(Conficker Working Group)의 일원으로 활동하고 있는 그는 본지와의 인터뷰에 앞서 KISA 연구원들과 컨피커에 관한 미팅을 갖기도 했다.

해외 기사를 검색하다보면 몇 번이고 그 이름을 보게 되는 아버네트웍스(Arbor Networks)의 보안연구 매니저 호세 나자리오 박사는 특히 DDoS 공격, 봇넷, 웜, 소스코드분석 툴, 데이터 마이닝 등에 관한 연구로 전 세계 인터넷 트렌드 연구에 상당한 영향을 끼치고 있다. 또한 블랙햇(Blackhat)을 비롯해 CanSecWest, PacSec, NANOG 등 전 세계 수많은 컨퍼런스의 강연자로 초청받고 있는 그는 국내에서 개최된 이번 해킹대회에서 DDoS 봇넷, 스파이웨어 봇넷, 그리고 컨피커에 관한 기조연설을 했다.


이번 해킹 대회에서 발표한 기조연설 “The botnet landscape”에 대해 간단히 말해 달라.

2009년 중반에 접어들고 있는 현재의 봇넷 조망에 관해 발표했다. 특히 현재 확인되고 있는 봇넷의 종류와 변화, 그리고 그에 대해 우리가 어떻게 지속적으로 대응할 필요가 있는지에 관한 전반적인 내용을 설명하고자 했다. 몇 년 전만 해도 대부분의 봇넷은 IRC와 일부 코드베이스들을 기반으로 했다. 그러나 현재 HTTP를 이용하는 봇넷이 나타나고 있으며 더욱 더 많은 봇넷들이 자체 프로토콜을 이용하고 있다. 또한 봇넷이 단지 DDoS나 소프트웨어 설치에 이용되고 있을 뿐만 아니라 종종 스팸이나 정보 탈취의 목적으로 이용되고 있음이 확인되고 있다.


최근 세계적인 DDoS 공격 트렌드나 특징이 있다면?

과거와의 가장 큰 변화는 무엇인가? 작년 혹은 재작년부터 보다 교묘한 공격자들이 ISP 업체들과 운영업체들의 핵심 장비를 공격해 사용자들과 주요 e-상거래 업체들에 대한 서비스 불능을 유발하고 있다. 그들은 또한 주요 호스팅 업체들과 클라우드 공급업체들을 공격하고 있어 수많은 사용자들에게 영향을 끼치게 된다.

공격자 메소드(attacker method) 또한 변화하고 있다. 상당수 공격이 피해자의 광대역을 차지하도록 고안된 브루트 포스 플러드(brute force flood)를 여전히 이용하고 있다. 그러나 또한 공격자들은 애플리케이션 리소스를 소모하는 애플리케이션 메소드로 피해자의 서버를 공격하고 있는 것으로 확인됐다. 이것은 백엔드 데이터베이스 서버 등 전체 서비스 인프라스트럭처에 영향을 끼칠 수도 있다. 이러한 공격은 특별히 빠른 속도가 필요한 것도 아니며 특히 정상 클라이언트와 구별하기가 어려운 점이 특징이다.


이에 대응하기 위해서는 무엇이 필요한가?

성공적인 DDoS 완화를 위해서는 최소 두 가지가 필요하다. 우선 특정한 트래픽을 차단하기 위한 정확하고 통찰력 있는 애플리케이션 레이어 필터링이 필요하다. 둘째 ISP를 통한 고속 필터링 업스트림으로 트래픽이 고객의 네트워크를 다 차지하기 전에 그 트래픽을 차단하는 것이다. 이와 같은 방법은 공격을 막을 뿐만 아니라 고객들에 대한 서비스 손실을 최소화할 수 있게 해준다.


국내에서는 한국이 유난히 DDoS 공격에 노출되어있다는 의견도 있는데, 이에 대해 어떻게 생각하는가?

한국뿐만 아니라 거의 모든 국가들이 DDoS 공격의 위험에 처해있다. DDoS 공격자들의 구미를 당기는 것은 e-가버먼트(e-government), ISP 인프라스트럭처, e-상거래 사이트, 호스팅(포르노나 게임, 또는 도박 사이트를 호스팅하는) 업체, 사람들의 참여도가 높은 유명 포럼 등 외에도 상당히 많다. 이와 관련해 한국의 수많은 온라인 서비스와 엄청난 온라인 이용자들이 한국을 DDoS 공격에 취약하게 만든다고 할 수 있다. 공격자들은 자신들이 사용자 경험에 영향을 끼칠 수 있다는 것을 알고 있으며 공격을 통해 피해자들로부터 금품을 갈취할 수 있다는 것도 알고 있기 때문에 이러한 공격이 많이 발생하고 있다. 아울러 한국에 가해지고 있는 대부분의 공격이 중국 봇넷으로부터 발생한 것이라는 한국의 주장은 사실이라고 볼 수 있다. 전 세계 트래픽을 모니터링하고 있는 우리(아버네트웍스)가 중국 봇넷과 한국 트래픽을 모니터링 한 결과에 따르면 수많은 중국 봇넷이 한국 사이트를 공격하고 있는 것으로 확인되고 있다.

그러나 한국만이 유독 DDoS 공격의 타겟이 되고 있는 것은 아니다. 미국에서도 은행 등을 대상으로 하는 DDoS 공격이 발생하고 있으며 이미 금품을 요구하는 DDoS 공격도 있었다. 그러나 현재 미국에는 인터넷 금융 거래(Financial Transaction)에 관한 엄격한 제재(strict rules)가 있어 대부분의 관련 사이트들은 버퍼 오버플로우를 완전히 제거한(clean) 상태다.

페이팔(Paypal) 등은 매우 구미가 당기는 타겟이기 때문에 금품을 요구하는 공격을 받기도 했지만 이제는 그에 대한 대책을 충분히 세워놓고 있다. DDoS 공격으로 서비스 제공을 하지 못하게 되는 것은 그들 자신의 사업에 심각한 문제가 될 수 있기 때문이다.


DDoS 공격에 대한 대응과 관련해 한국의 기업들 또는 보안 담당자들에게 조언해준다면?

공격 받을 것을 우려하고 있다면 ISP 업체의 DDoS 공격 방어 대책에 대해 확인하는 것이 가장 중요하다. 즉, 그들이 DDoS 공격 방어 서비스를 제공하고 있는지, 대응 시간은 얼마나 걸리는지, 또 공격이 가해지는 동안 당신의 온라인 비즈니스가 안전하게 지켜질 수 있는지 등을 확인해야만 한다.


최근에는 맥 운영체제를 노리는 맬웨어가 맥 봇넷을 구축했다는 보도도 있었는데?

HTTP와 기타 자체 프로토콜을 이용한 봇넷의 변화가 나타나고 있다고 언급한 바와 같이 봇넷은 스팸 소프트웨어 설치뿐만 아니라 정보 탈취 소프트웨어 등과 같은 공격에 이용되고 있다. 봇넷은 그야말로 공격자들을 위한 서비스 툴이 되었다. 그러나 맥(Mac) OS X 봇넷은 대부분 개념증명(PoC : proof of concept) 정도의 수준이며 일반 PC 봇넷에 비해서는 아주 극히 일부 이용자들만이 맥 봇넷으로 이용되고 있음을 확인했다. 특히 맥 OS X 봇넷 소프트웨어는 사용자에 의해 설치되어야만하기 때문에 루트 패스워드를 입력해야만 한다. 이 때문에 대개 사용자가 인식하지 못 한 상태에서 설치되는 PC 봇넷에 비해 맥 봇넷이 생성되기는 훨씬 어렵다.


컨피커워킹그룹에서 활동하고 있는 것으로 아는데 단체의 목적, 그리고 성과에 대해 말해 달라.

개체수 뿐만 아니라 언론의 관심이라는 측면에서 볼 때 컨피커는 최근 몇 년간 있었던 웜 중에 가장 심각한 웜이다. 나는 4~5개월 동안 매일 반나절을 컨피커와 관련된 일로 보내고 있다. 나를 포함한 컨피커 워킹 그룹(Conficker Working Group)의 멤버들은 이 봇넷을 조사하고 감염된 네트워크를 정화하기 위해 매우 분주하게 보내고 있다.

컨피커 워킹 그룹은 컨피커에 대응하기 위해 MS를 비롯해 시만텍, F-시큐어, 아버네트웍스 등 IT 및 보안 기업들과 쉐도우서버 파운데이션(Shadowserver Foundation), 그리고 개인 연구자들이 모인 단체다. 처음에는 장난삼아 컨피커 카발(Conficker Cabal, 컨피커 결사대)라고 이름 붙이기도 했지만, 이제는 컨피커 워킹 그룹이라고 부른다. 컨피커 워킹 그룹은 컨피커 웜이 P2P를 이용해 통신하는 방법 등에 관해 연구하고 있고 이러한 호스트를 식별하기 위한 센서를 배포해왔으며 보고서를 작성하고 있다. 특히 우리는 현재 사용자 PC의 컨피커 웜 제거라는 더 큰 과제와 대면하고 있으며, 상당히 어려운 일임에도 불구하고 전 세계 대부분의 컨피커 웜 감염자들과 컨택하기 위해 노력하고 있다. 그러나 DNS를 이용하는 컨피커C는 현재 깨끗이 정리됐다고 자신할 수 있다. 특히 컨피커C가 이용한 도메인에는 .kr이 상당히 많았기 때문에 우리는 한국의 이용자들에게 닿기 위해 최선의 노력을 기울이고 있다. 한편, 컨피커 배후세력과 관련해 우리는 일부 의심되는 배후는 추측하고 있으나 아직 정확하게는 알지 못 한다.


앞서 언급한 내용 외에 올해 가장 큰 보안 위협 또는 이슈가 될 것이 있다면?

페이스북이나 트위터와 같은 소셜 네트워킹 사이트들은 유럽과 북미 지역에서 가장 큰 위협이 되고 있다. 트위터 사이트 자체를 공격하거나 그 이용자들에 대한 직접적인 공격이라기보다는 그러한 사이트를 통한 스팸, 악성코드, 그리고 피싱 공격 등이 문제가 된다. 즉, 스팸이 이메일을 이용했던 것과 마찬가지로 이제는 소셜 네트워킹을 이용하고 있다. 스패머들과 악성코드가 이러한 사이트를 이용해 전파를 시도하고 있는 만큼 한국에도 이 같은 문제가 곧 발생할 것이라고 생각한다. 특히 사용자들은 이러한 네트워크 내에서 자신들을 보호하는 방법을 아직 모르고 있는 반면, 공격자들은 이들 사이트가 사용자들을 공격하기 위한 새로운 땅(fresh ground)이라는 것을 잘 알고 있다는 것이 문제다.
 
한편 기업의 경우, 경기 침체 속에서 보다 적은 인력과 장비 예산으로 기업의 데이터와 인프라스트럭처를 보호하는 것이 가장 큰 어려움이 될 것으로 생각된다. 모든 이들이 ‘더 적게’들여 ‘더 많이’ 얻기 위해 애쓰고 있다. 우리 모두는 우리의 네트워크를 안전하게 유지하기 위해, 또 지금 해야만 하는 일을 하기 위해 잘 훈련받고 의견을 교환하도록 해야만 한다고 생각한다. 이것은 특히 그 어느 때보다 지금과 같이 힘든 시기에 더욱 중요한 일이다.

글 : 김동빈 기자(foreign@boannews.com)

[월간 정보보호21c 통권 제106호 (info@boannews.com)]