개인정보 유출, 서버 보안만으로 역부족 
보안뉴스  [입력날짜: 2008-06-25]

PC 보안 패치율 제고가 예방의 핵심

전 국민 1/4의 정보가 유출된 옥션의 해킹 사고. 주민번호를 비롯한 개인 정보가 범죄를 목적으로 누군가에게 탈취된 대형 사건이다. 이것을 필두로 다음, LG텔레콤 등 보안 관련 사고가 끊임없이 터져 나오면서 점차 사태의 심각성이 부각되었다.

뿐만 아니라 국가 공공기관의 사이버 피해 건수는 두 자릿수 증가세를 보이고 있다. 또한 청와대 전산 시스템이 해킹되어 국가의 중요 자료가 유출되었다는 보도가 IT강국이라는 위상을 무색하게 했다. 기업이나 기관에서는 이러한 일이 재발하지 않도록 보안 대책을 강구하겠다고 목소리를 높이고 있지만 얼마 지나지 않아 비슷한 사고들이 꼬리에 꼬리를 물고 일어나고 있어 일각의 사태를 바라보는 국민들은 불안하기만 하다. 보안 관리 체계에 허점이 있는 것은 분명한데 과연 무엇이 문제일까.
 
보통 데이터베이스의 고객 정보 유출을 목적으로 한 해킹 사고가 외부에서 대상 서버로 직접 이루어진다고 생각하기 쉬운데 서버의 경우 각종 보안 체계가 구축되어 있어 외부로부터의 접근 자체가 용이하지 않기 때문에 직접 해킹이 어렵다. 따라서 공격자들은 상대적으로 보안이 취약한 내부의 업무용 PC를 통해 중앙 서버에 접근을 시도하기도 한다.

보안 패치 관리가 체계적으로 이루어지지 않는 경우, 사내 PC의 보안 패치율은 통상 30% 안팎에 불과하기 때문에 웜 감염에 의해 좀비 PC로 악용될 수 있다. 마치 옆 문이나 뒷 문은 다 열어두고 대문에는 온갖 자물쇠를 채워두는 격이다. 그러므로 내부 업무용 PC 각각의 보안 취약점에 대한 실질적인 해결 방안이 우선적으로 마련되어야 한다.
 
윈도우 운영체계의 취약점을 보완하는 보안 패치가 제대로 설치되지 않은 PC가 사내에 존재하는 한, 대형 보안 사고는 언제라도 터질 수 있는 시한폭탄과 같다. 미패치 PC를 사용하는 한 개인이 무심코 클릭한 첨부 파일이, 또는 모르는 사람이 보낸 이메일이, 정체불명의 파일들이 악성코드 감염의 단초가 될 수 있다.

이러한 경우 해당 PC가 해킹 경유지로 악용되면서 대형 보안 침해 사고를 일으킬 수 있다. 이러한 사태를 미연에 방지할 수 있는 해결책이 바로 보안 패치이다. 보안 패치는 MS에서 윈도우 운영 체제의 보안 취약점을 노리는 악의적인 공격에 대응해 출시하는 최선의 예방책이다.
 
사용자의 정보를 탈취하기 위한 웜이나 악성코드 대부분이 윈도우의 취약점을 공격하는 방식으로 이루어지고 있다는 점을 고려해 볼 때 보안패치의 중요성은 아무리 강조해도 지나치지 않다. 따라서 100% 패치율을 가능하게 하는 시스템에 의한 체계적인 보안 패치의 관리 또한 중요한 정보를 다루는 공공 기관이나 기업에서 반드시 검토해 보아야 할 부분이다.

일련의 보안사고는 단순한 1회성 문제로 끝나는 것이 아니라 피싱, 명의도용 등의 대형 사고로 파생되기 때문에 사전 대응이 필수적이다. 해커들은 분명히 악의적인 목적을 달성하기 위해 움직이고 있기 때문에 각 정보 유출 사고는 언젠가는 실질적인 피해를 입힐 수 있는 잠재적인 위험이 된다. 사후조치보다는 사전 조치가 더욱 중요한 이유가 바로 여기에 있다.

최근 많은 기관과 기업들이 정보 유출 방지 및 보안사고 예방을 위한 솔루션 도입을 서두르고 있다. 그 동안은 대부분의 기관이나 기업에서는 보안 사고가 발생했을 때 문제가 발생한 그 부분만 메우는 방법으로 근본적인 보안 관리 취약점은 간과하고 넘어가는 경우가 많았다. 그러나 이런 때일수록 사태의 원인과 핵심을 정확히 파악하고 그에 알맞은 종합적인 대책을 마련하는 것이 중요하다. 이것이 바로 2차, 3차 옥션 사태를 막을 수 있는 가장 근본적인 대안이라고 할 수 있다.

<글· 최성학 소프트런 연구소장(hakcom@softrun.com)>