H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
"자물쇠 많다고 안전한 것은 아니다"
"관리가 빠진 보안 시스템은 안전하지 못할 뿐더러 불편하다."CA의 보안 사업을 총괄하는 러셀 아츠 수석부사장은 지난 25일(미국 현지시각) 'CA월드2004' 참가자들을 상대로 진행한 기조연설에서 "많은 기업들이 방화벽과 침입탐지시스템(IDS) 등 다수의 보안 제품을 설치하고 운영하고 있는데, 이는 현관에서 대문까지 자물쇠만 6개나 걸어 놓은 것과 같다"며 이같이 말했다.
아츠 부사장은 "자물쇠가 많으면 안에 있는 사람이 밖으로 우유 하나 사러 나가기도 어렵지 않겠느냐"며 "이같은 문제는 관리가 안된 것에서 출발하는 만큼, 보안 관리는 갈수록 중요해지고 있다"고 강하게 주장했다.
아츠 부사장의 발언을 보면 CA가 CA월드2004에서 줄기차게 꺼낸 '이젠 관리의 시대'란 슬로건이 보안에도 어김없이 적용돼 있음을 알 수 있다.
아츠 부사장은 보안 관리가 중요한 또 하나의 이유로 보안과 비즈니스의 연관성이 깊어지고 있다는 것을 꼽는다. 관리를 잘하는 기업이 안전한 보안 환경을 갖고 있으며, 그것을 결국 비즈니스 성공과 직결된다는게 그의 지론.
이에 근거해 아츠 부사장은 "IT조직은 지금부터 보안이 기업 비즈니스에 미치는 영향을 분석해야 한다"며 "이는 관리가 부실하면 어려운 작업"이라고 말했다.
이어서 "IT기업들이 1년에 R&D에만 200억달러를 투자함에 따라, IT제품과 서비스에서 새로운 혁신이 쏟아지고 있다"며 "혁신에 대한 관리를 제대로 하지 않으면 시스템은 보안에 취약해지기 마련"이라고 목소리를 높였다.
IT인프라를 개발할 때부터 보안이 포함돼야 한다는 것도 아츠 부사장이 강조하는 대목.
아츠 부사장은 "지금처럼 프로젝트가 끝난 뒤에야 보안을 고려하는 것은 잘못됐다"며 "R&D부터 모든 IT프로젝트 과정에 보안이 결합돼야만 보안을 강화할 수 있다"고 강하게 역설했다.
결국 '보안은 나중에'란 인식아래 진행되는 지금과 같은 IT프로젝트 방식은 바뀌지 않으면 안된다는 얘기다.
한편 CA는 CA월드2004에서 '서비스로서의 SW' 개념을 제시하고, 이를 구체화한 취약점 관리 서비스를 선보였다. 제품과 서비스 그리고 관리를 한꺼번에 제공하겠다는 의지를 드러낸 것이다. 물론 여기에서 관리는 제품과 서비스를 통제하는 야전 사령관 역할을 맡게 된다.
서비스 시장에 대한 아츠 부사장의 시각은 긍정적이다. 보안 시장에서 성장하고 있는 분야가 바로 서비스이기 때문.
아츠 부사장은 "보안 제품을 도입해도 각종 웜 때문에 IT관리자들이 받고 있는 스트레스는 여전하다"며 취약점에 대한 분석과 관리 기능을 제공하는 이번 서비스 상품에 높은 기대감을 표시했다.
그러나 아츠 부사장은 '서비스 성장= 보안 제품 시장 축소'란 이분법적 논리에는 반대한다는 입장.
아츠 부사장은 "제품은 고객이 자사 환경에 맞게 통합할 수 있고, 전문 지식 확보도 가능한게 장점이며, 서비스는 쓴만큼 비용을 지불하고, 제품을 설치할 때 들어가는 고민을 하지 않아도 되는 장점이 있다"며 "제품과 서비스는 둘다 가치가 있는 것이지, 제로섬 게임적인 시각으로 봐서는 안된다"는 견해를 나타냈다.
결국 제품과 서비스는 '일장일단'이 있으며, 선택은 고객이 판단한다는 것이다.
끝으로 아츠 부사장은 미국 보안 서비스 시장과 관련 "일부 기업들이 서비스로 이동하고 있는 것은 사실이지만 여전히 제품 선호도가 강한 상황"이라며 "대다수 기업들이 서비스에 대해 이해하기 시작하는 단계"라고 평가했다.
2004.05.28
최후의 보안 사각지대「봇 소프트웨어」
바로 ‘봇(bot) 소프트웨어’라고 알려진 원거리 해킹 툴로, 보안이 취약한 컴퓨터를 스스로 찾아 침입해 보이지 않는 곳에서 조용히 작동하면서, 컴퓨터 사용자도 모르게 시스템에게 명령을 내릴 수 있도록 한다. 해커들이 개발한 봇 소프트웨어 최신 버전은 채팅 서버와 P2P 네트워크를 통해 감염된 컴퓨터를 해커들이 마음대로 지시를 내릴 수 있으며, 다른 컴퓨터를 공격하도록 명령하거나 감염된 시스템에서 정보를 빼낼 수 있다.
네트워크 해킹을 추적하는 SANS 연구소의 한 부서인 인터넷스톰센터의 최고기술책임자(CTO) 요하네스 울리히는 “봇는 알려지지 않은 가장 큰 보안 문제 가운데 하나다”라고 말했다.
지난 29일 울리히를 비롯한 여러 보안 전문가들은 유명한 봇 소프트웨어 ‘아고봇(Agobot)’이 업그레이드됐다고 밝혔다. 이 프로그램은 LSASS(Local Security Authority Subsystem Service) 보안 컴포넌트의 취약점을 이용해 컴퓨터를 해킹하는데, 지난 5년 동안 판매된 거의 모든 MS 윈도우 시스템에 설치돼 있다.
아고봇 LSASS 버전은 특정한 애플리케이션 데이터 채널이나 포트를 이용해 시스템의 보안 취약점을 공격하는 것이 특징으로, 울리히는 28일 24시간 동안 이 포트를 통과한 트래픽의 양이 급증했다고 말했다.
인터넷 전체를 모니터링하고 있는 보안업체 시만텍 역시 지난 29일 현재 아고봇 LSASS 버전(시만텍은 ‘가오봇(Gaobot)’이라고 부른다)이 확산되고 있다고 밝혔다. 시만텍의 보안대응팀 최고 책임자인 알프레드 휴거는 “문제는 감염된 컴퓨터들이 얼마나 되는지 정확히 알 수 없다는 것이다”라고 말했다.
은밀하게 활동하지만 파급력 막강
봇에 대한 사람들의 우려는 충분히 근거가 있다. 시만텍과 인터넷데이터분석협력협회(CAIDA)는 인터넷 공격과 관련해 가장 공신력이 있다고 알려져 있지만, MS 블래스터 웜이 확산될 당시 피해 규모를 과소평가한 전력이 있기 때문이다.
당시 두 그룹의 연구진들은 MS 블래스터와 그 변종들이 많아야 50만대 정도를 감염시킨 것으로 추정했다. 그러나 지난 달까지 MS 윈도우 업데이트 시스템에서 패치를 다운받아 치료한 시스템의 수를 800만대이며, 지난 28일 현재 950만대를 넘어섰다. 봇의 경우 시만텍은 수십만대 정도가 감염된 것으로 보고 있으나, 다른 보안 전문가들은 수백만대에 이를 것으로 예상하고 있다.
봇 소프트웨어는 웜 프로그램에 비해 은밀하게 침입하기 때문에 알아내는 것이 훨씬 어렵다. 닥치는 대로 자동 확산되는 웜은 새로운 호스트를 감염시킬 때 대량 데이터 트래픽을 발생시키기 때문에, 이런 ‘요란한’ 행동은 네트워크 모니터링 기기들의 주목을 받기 마련이다. 반면 봇은 비교적 작은 네트워크를 목표로 하기 때문에, 감염된 서버가 발생시키는 트래픽이 적어 웜에 비해 적발하기가 쉽지 않다.
은밀한 활동성 이외에도 전문가들은 지적하는 봇의 위험성은 또 있다. 휴거는 그동안 봇 소프트웨어가 눈부신 발전을 거듭했다고 지적했는데, 예를 들어 봇 소프트웨어가 웜이나 바이러스와 힘을 합치면 매우 위험한 변종이 만들어질 수 있다고 말했다. 시만텍 보안대응팀은 인터넷시큐리티시스템(ISS)의 보안 소프트웨어가 설치된 PC를 목표로 했던 위티 웜(Witty worm)의 경우, 봇 소프트웨어에 감염돼 서로 연결된 4200여대의 ‘봇 넷’에서 처음 시작된 것으로 추정하고 있다.
시만텍은 위티 웜이 ISS 소프트웨어를 사용하지 않는 컴퓨터에서 출발해 다른 컴퓨터로 퍼질 수 있다는 사실을 알아냈다. 휴거는 “봇 소프트웨어가 공범자일 가능성이 있다”며 “위티가 봇 넷에서부터 시작되지 않았다고 보기는 매우 어렵다”라고 말했다. CAIDA도 위티 웜의 경우 취약한 시스템이 어떤 것인지 미리 알고 있어 웜의 전파 속도가 더 빨랐다며 ‘씨가 미리 뿌려져 있었던’ 것으로 보고 있다. 그러나 CAIDA 애널리스트에 따르면 위티 웜에 감염된 시스템은 약 110~160대 정도로, 시만텍에서 추정한 것에 비하면 매우 작은 숫자였다.
스팸, 해킹 등 전방위 확산
한편 봇 넷은 스패머들이 위치를 숨긴채 대량 스팸 메일을 보낼 때도 악용되기 시작했다. 소빅과 마이둠 등 일부 바이러스들은 스패머들의 수고를 덜어주기 위해 개발된 간단한 봇과 함께 컴퓨터들을 감염시켰다.
워싱턴 대학 아이스쿨의 정보 보안 연구원 데이빗 디트리치는, 온라인 악한들이 봇 소프트웨어의 다양한 활용 능력을 웹사이트에 어마어마한 데이터 과부하 현상을 주거나 DoS 공격을 하는데 이용하고 있다고 말했다. 특히 일부 해커들은 봇에 감염된 컴퓨터들의 연산처리 능력을 이용해 암호를 깨기 위한 분산형 수퍼 컴퓨터를 만들고 있다고 말했다. 그는 “사람들이 봇에 더 많은 기능을 추가하기 위해 프로그램이 가능한 메커니즘을 추가시킨 것은 필연적인 과정이다”라고 말했다.
실제로 아고봇 개발자는 소스코드를 공개했기 때문에 봇 소프트웨어에 새로운 기능들을 추가하는 것이 얼마든지 가능한 일이다. 아고봇는 채팅 시스템인 IRC를 통신 채널로 이용해 감염된 컴퓨터들을 컨트롤해 이미 수백가지 변종들이 발생했다. 이와 같은 변종에는 암호화된 P2P 네트워크를 형성하는 팻봇(Phatbot)도 포함돼 있는데, 이것은 감염된 시스템에 명령어를 보내주기 위해 만들어진 것이다.
미국 컴퓨터비상대응팀(CERT)은 이달초 팻봇 변종에 대해 경고하며, 기업들에게 새로운 해킹 소프트웨어를 주의하라고 당부했다. 인터넷스톰센터의 울리히는 아고봇 LSASS 버전의 변종이 만들어졌다는 것 자체가 위험에 대한 경고일지 모른다며 이제 웜이 나타나는 것은 시간문제라고 말했다.
소프트웨어의 약점을 이용한 코드는 대체로 스크립트라는 간단한 프로그램에서 시작해서 완전히 자율적인 바이러스로 발전한다. 봇 소프트웨어에 이같은 코드가 들어간다는 것은 일반적으로 이 코드가 바이러스나 웜으로 발전하기 바로 직전의 단계임을 의미한다. 울리히는 “해킹의 세계에서 웜이야말로 생태 순환기에서 마지막 단계다”라고 말했다.
이것은 MS 블래스터의 경우에서도 마찬가지였다. MS 블래스터 웜이 발생해서 똑같은 취약점이 확산되기 몇 주전 여러가지 아고봇의 변종들이 윈도우의 취약점을 이용해서 코드에 합쳐졌다. 그러나 울리히는 이번에는 어떤 웜이 나타나더라도 발견하기가 매우 힘들지 모른다고 경고했다. 그는 “아고봇 LSASS 변종이 광범위하게 확산돼 이미 지나치게 많은 대량 트래픽을 일으키고 있다”며 “이 때문에 웜이 언제 처음으로 나타났는지 알기가 어려울 것이다”라고 말했다.
2004.04.22