제이 알렌은 그의 블로그 사이트에 ‘악플’을 계속해서 올리는 전 애인을 ‘냄비 속의 토끼’로 생각한다.

그래서 그는 클로킹(망토 두르기)이라는 기술을 이용해 전 애인이 자신의 블로그에 접근하는 것을 막아보려 했다. 전 애인이 그의 블로그 사이트에 접속하려 하면 클로킹을 사용해 웹 사이트가 전혀 업데이트되지 않고 버려진 것처럼 보이게 한 것이다. 그러나 다른 사람들은 그가 올리는 글들을 볼 수 있었다.

작가이자 소프트웨어 개발자인 알렌은 “그녀의 IP 주소를 알아냈고 그녀가 방문할 때마다 업데이트되지 않은 예전 내용이 담긴 정적인 페이지 하나를 보냈다. 정말 잘 동작했는데 어느 날 그녀가 인터넷 카페에서 지난 한달 반 동안의 글들을 본 뒤 다시 ‘악플’들을 올렸다”고 말했다.

알렌은 “그렇지만 페이지에 망토를 두르는 것은 정말 멋진 아이디어”라고 덧붙였다.

인기를 더해가는 IP 기반 필터링
여러 해 동안 존재해온, IP 기반 필터링이라고도 알려진 이 개념은 전 애인을 피하는 것 외에 비즈니스 세계에서도 다양하고 유용하게 응용되어 왔으나 잘 알려지지는 않았다.

시인하는 사람은 별로 없겠지만 이러한 관행은 웹 사이트 운영자 및 경쟁사와 첩보전을 벌이는 기업에게 점점 더 인기를 얻고 있는 전략이다.

웹 트래픽 로그 형태로 남겨진 웹 사이트 방문 정보는 관음증 환자를 다른 곳으로 보내기도 하고 경쟁사에게 경쟁적인 정보를 주기도 한다.

예를 들어 어떤 온라인 유통업체가 고객들에게는 디지털 카메라의 원래 가격을 보여주고 경쟁사에게는 15% 높은 가격을 보여줄 수 있다. 결과적으로 경쟁사는 가격을 높게 책정해 고객을 잃을 수도 있다.

플로리다의 개인 투자가인 크리스 콕스는 “발신자 ID처럼 사람들은 누가 접속하는지 알고 싶어 한다. 컴퓨터 기술 역시 현재 이 추세를 반영해 발전하고 있다. 누가 자신의 웹 사이트를 보는지 알고 싶어하기 때문이다. 이러한 관음증은 마케팅 같은 분야에서는 꽤 자연스러운 것이지만 정말 나쁜 곳에 사용될 수도 있다”고 말했다.

인터넷이 주요 매체로 떠오름에 따라 음반사에서 불법 음악 파일 다운로드 사용자를 대상으로 시작한 유명한 소송들은 프라이버시가 온라인에서 보장되지 않는다는 것을 증명했다.

하지만 사람들은 여전히 검색 도중에 자신의 신분이 잘 감춰져 있다고 생각한다. '안전한 검색'이나 가입 기반 프라이버시 도구가 아직 고객들에게 본격적으로 다가가지 못하는 것은 바로 이 때문이다.

비즈니스 세계의 필수품
마케터들이 당신의 모든 일거수일투족을 감시할 수 있다는 두려움은 점차 사라졌고 대신 기업들이 내부 비밀 유출에 대해 전전긍긍하기 시작했다.

따라서 기업들이 웹 검색 도중에 자신의 트래픽에 ‘망토’를 두를 수 있게 하는 새로운 도구는 매력적인 방어 수단이 되고 있다.

비공개 기업 어노니마이저는 2003년 엔터프라이즈 카멜레온이라는 기업용 인터넷 클로킹 서비스를 판매하기 시작했다. 기업 서버에 연결된 하드웨어와 소프트웨어로 이뤄진 이 제품은 자사의 동적 IP 서버로 모든 직원의 트래픽을 통과시키고 추적이 불가능한 IP 주소를 임의로 발생시킨다.

2003년에서 2004년의 기간 동안 엔터프라이즈 카멜레온의 판매는 500% 증가했으며 어노니마이저는 올해 전체 매출의 절반이 기업 시장에서 나올 것으로 기대하고 있다(나머지 절반은 개인용 시장에서 나온다). 어노니마이저의 솔루션은 정부기관과 제약 및 생명화학 업체들과 같은 기업의 요구를 충족시키는 것이다.

일반적으로 클로킹은 웹 서버가 특정 IP 주소를 탐지했을 때 미리 정해진 웹 페이지를 보내도록 프로그래밍된 간단한 스크립트를 통해 동작한다.

이 IP 주소 탐지를 통해 IP 주소가 속한 ISP를 추적할 수 있고 특수한 도구를 사용하면 IP 주소의 지리적 위치도 알아낼 수 있다. IP 주소는 정적인 경우가 많으므로 이 스크립트는 또한 특정 ISP·지역·기업·정부기관에 할당된 IP 주소 블록 자체를 표시할 수 있다.

IP 기반 필터링의 실용적인 예로 지오-타게팅(geo-targeting)을 들 수 있다. 온라인 유통업체는 접속자 IP 주소의 지리적 위치를 탐지해 접속자가 알래스카 거주자라면 폴라 플리스(Polar Fleece) 의류를 보여줄 수 있다.

광고주들도 동일한 기술을 사용해 고객에게 특정 프로모션을 보낼 수 있고 검색 엔진은 IP 주소를 탐지함으로써 사용자의 로캘(locale)에 기반을 둔 검색 결과(예를 들면 한국 사용자에게는 한국어 검색 결과)를 보여줄 수 있다.

프라이버시는 많은 온라인 고객들에게 있어 부수적인 것이긴 하다. 하지만 웹 사이트를 운영하는 기업이나 인터넷 관련 연구를 수행하는 업체들은 인터넷에는 너무 많은 데이터가 존재하며 이것들은 쉽게 탐지될 수 있다는 위험성에 대해 인식하기 시작했다.

기업 정보전의 무기
프라이스워터하우스쿠퍼스(PricewaterhouseCoopers)의 전국 프라이버시 실천(national privacy practice) 공동 대표 알렉스 파울러는 “더 많은 정보가 쉽게 추적되기 때문에 IP 주소를 보고 그 소유주를 알거나 IP 블록을 보유한 기업을 알 수 있다. 또한 특정 업체가 특정 종류의 행사를 지원한다는 따위의 일을 찾아볼 수도 있으며 특정한 패턴을 발견할 수 있게 된다”고 말했다. 그는 “클로킹을 사용하면 이들 데이터 로깅을 방지할 수 있다”고 덧붙였다.

프라이버시 전문가들은 제약과 생명과학 업체들은 온라인 행동을 비밀에 부치고 싶어 한다고 말했다. 외부인들이 특정 기업이 공공 데이터베이스에서 무엇을 참조했는지 알아낸 후 리버스 엔지니어링을 할 수 있기 때문이다. 특정 업체가 무엇을 연구하는지 추적하면 외부인들은 그 기업의 미래 제품에 대해 알 수 있다.

어노니마이저 사장인 랜스 코트렐은 기업들이 IP 필터링을 통해 리버스 엔지니어링을 해 새로운 직원을 찾아내 고용할 수 있다고 말했다. 예를 들어 구인이 어려웠던 닷컴 시기에 쓰리콤은 시스코 직원이 쓰리콤 사이트를 방문한다는 사실을 발견하고 웹 페이지를 변경해 구직 기회를 강조했다. 파울러는 감사 업체인 언스트 & 영이 경쟁사인 프라이스워터하우스쿠퍼스에 대해 동일한 행위를 했다고 주장했다.

코트렐은 최대 90%의 업체가 자사의 웹 로그 파일을 이용해 경쟁적인 정보를 얻어낸다고 말했다. 그는 “경쟁사 사이트에 방문하면 어디에서 일하는지 어느 제품에 관심이 있는지 등 상당한 정보를 유출하게 된다”고 주장했다.

그는 기업 인수에 대한 일례를 들었다. A사는 B사를 인수하는 데 관심이 있었기 때문에 A사의 관리자, 투자 은행, 기업 변호사들이 주기적으로 B사 웹 사이트를 방문해 재정 정보나 관련 데이터들을 모았다.

B사는 트래픽이 갑자기 늘어나는 것을 발견하고 로그를 분석했다. 인수 시도를 눈치 챈 B사는 다른 경쟁사에게 매입 정보를 흘려 가격 전쟁을 유발했다. 그는 “인수가가 예상보다 1500만 달러나 더 들었을 것”으로 추정했다.

또 다른 일례가 있다. 한 컬러 프린터 업체가 경쟁사로부터 자사 신제품에 대한 트래픽이 증가하고 있으며 이는 자사의 마케팅 문건에 대한 관심에서 비롯된 것임을 알게 됐다.

이는 경쟁사가 새로운 제품으로 같은 시장에 뛰어들 수 있다는 점을 시사했다. 그 회사는 기자 회견을 열어 기존 제품의 업그레이드 버전을 발표함으로써 경쟁사의 시도를 저지했다.

코트렐은 “경쟁사의 웹 사이트에 정직하게 접속한다면 이는 마치 카드를 상대에게 보여주고 포커를 치는 것과 같다”고 말했다.

접속하는 순간 새는 정보, 그 대책은?
콕스는 어노니마이저 도구를 사용해 그의 온라인 조사 활동이 추적당하는 것을 막는다. 따라서 그의 온라인 활동 목적은 비밀로 유지된다. 그는 업체들에 고용되어 기업에서 훔친 물건을 판매한다고 의심되는 직원들을 조사했다고 말했다.

콕스는 “사람들은 자신들이 특정 사이트를 방문하기만 해도 누군가가 자신의 개인 정보를 알아낼 수 있다는 위험을 잘 모른다”고 말했다.

그러나 IP 탐지는 부정확할 수 있다. 알렌은 그의 전 애인에게서 이 같은 경험을 했다. 그는 “누군가 그날 집에서 일한다면 어떻게 되겠는가? 아니면 원격 사무실을 가졌다면?”이라고 말했다.

위험요소(리스크) 관리 절차는 네트워크를 안전하게 만들기 위한 설계, 실행 과정에서 중요한 위치를 차지하고 있다.

만약 위험요소에 대해 사정 과정을 밟는다면 기업의 네트워크가 제대로 보호받지 못하고 있으며 이를 개선하려면 별도 하드웨어, 소프트웨어를 구매하거나 관리자를 충원하고 사용자 훈련 과정을 밟아야 한다는 점을 발견하게 될지도 모른다.

네트워크 보안은 보안, 사용자 기능성, 그리고 전송 속도 사이에서 균형을 맞추는 작업이다. 액티브X를 끄는 것과 같은 운영기능의 축소를 정당화하려면 반드시 기업 자산과 사용자들에게 보다 안전한 환경을 제공한다는 별도의 절차를 정의해 놓아야 한다.

규모에 상관없이 모든 기업들은 위험요소 관리 원칙에 따라 위험요소를 정의하고 취약한 부분을 집어내야 하며 이에 따라 행동 과정을 실행에 옮겨야 한다.

대다수 기업들은 조직에 배분된 IT 예산을 줄이고 있는 추세다. 그러나 관리자들은 고용주들에게 IT 예산 확장을 독촉해야 한다. 보안 위험요소를 정의하고 감소, 완화시키는 것이 기업 의사결정에 왜 긍정적인지 논증하는 것과 같은 행동을 취함으로써 말이다.

위험요소 관리의 초석은 바로 보안 위험요소 사정이다. 위험요소 사정은 네트워크의 가치를 결정하고 위협 요소를 정의하며 취약요소를 결정하는 3단계 과정으로 진행된다.

1. 네트워크 가치 결정
기업 네트워크 자산의 가치를 사정할 때 유·무형의 가치를 모두 고려해야 한다는 점을 잊지 말라. 검토해야 할 질문들은 다음과 같다.

　

1. 시스템 오류는 기업의 수익에 얼마나 영향을 미치는가?
   　

2. 네트워크 회복에 관련된 인건비는 얼마인가?
   　

3. 네트워크에 저장된 정보를 재구성하는 데 소요되는 비용은 얼마인가?
   　

4. 네트워크에 있는 정보가 손상된다면 재정적인 책임은 누가 지는가?

2. 위협 요소 결정
기업의 네트워크와 데이터는 환경적인 요소와 내/외부로부터의 위협에 취약하다. 각 위협요소 유형들을 처리해 나가야 하며 가능한 한 많은 잠재 위험요소들을 식별해야 한다.
대다수 관리자들은 환경적인 위협요소에 대해서는 매우 잘 인식하고 있다. 이들은 데이터 센터를 침수 지역에 위치시키거나 스프링쿨러 밑에 서버를 두거나 하진 않는다. 또한 내부 위협요소도 대체로 잘 정의되는 편이다.

위 두 가지를 제외하고 외부 위협요소를 정의할 때, 합당한 권한이 없음에도 불구하고 네트워크에 접속한 사용자에 의해 환자 기록이나 신용카드 번호와 같은 데이터의 기밀 요소가 파괴될 때 누가 이득을 보는지 명확하게 정의하라. 고객 정보를 몰래 빼가려는 경쟁업체나 목표물을 찾는 해커가 데이터를 수정, 변경하거나 통합성, 유용성을 파괴하려 결심할지도 모른다.

3. 취약 요소 결정
취약 요소는 식별해놓은 위협요소가 일어날 가능성을 추산해준다. 식별된 각 위협요소에 대해 취약 수준이 어떠한지 분류해놓도록 하자.

　

1. 위협은 어떻게 전개될 것으로 보이는가? 관리자는 자신이 속한 업계 내에서 얼마나 높은 지명도를 확보하고 있는가? 지명도가 높으면 높을수록 해커의 공격 대상이 될 가능성도 높다.
   　

2. 위협요소의 실행 가능성은 어느 정도인가?

사실 대다수 사람들은 취약요소 사정을 가장 어려워한다. 본인이 할 수 있는 충고는 현실적인 측면에서 고려해 보라는 것뿐이다.

위험 관리 과정의 마지막 단계는 보안 솔루션을 실행하는 것이다. 여기에는 사용자나 관리자의 훈련, 네트워크 재설계나 보안 하드웨어 투자 등이 수반할 수도 있다. 반면 취약한 자산을 유지한 상태에서 불필요한 서비스를 꺼버리거나 서비스 패치를 점검·실행하는 것처럼 간단한 것일 수도 있다.

네트워크의 위험요소를 사정하려 할 때 위험 사정 작업이 네트워크 보안 프레임워크 내에서 어떻게 운영되는지 직접 확인할 수 있는 샘플을 발견할 수도 있다. 전국에 걸친 지점망을 보유한 자동차 정비 업체의 보안 관리자가 네트워크 위험 사정을 하는 것을 예로 들어보자.

정비 업체의 네트워크는 우선 종업원의 업무 시간, 출석 기록 그리고 자동차 수리 정보 등을 유지한다. 인터넷 접속은 이메일이나 인터넷 트래픽 처리 등의 목적으로만 활용된다. 분석이 완료된 사정 평가서는 이와 같은 내용을 담고 있을 것이다.

이제 네트워크의 가치를 결정해보자. 네트워크가 제거된다 해도 정비공은 여전히 자동차를 수리할 수 있으며 고객들도 자동차 타이어의 정기 검사를 받지 않았다는 사실을 해커가 알아낸다고 고심하진 않을 것이다. 그러나 네트워크가 없다면 시간, 출석 등을 계산하는 데 있어 임금 지불 시기와 지역에 따라 평균 4시간 정도가 더 소요될 것이다.

다음으로 위협요소를 정의해보자. 환경, 내부 위협요소 이외에 가장 발생하기 쉬운 외부 위협요소는 바로 부당 이득이나 초보적인 대처로 인한 것들이다.

마지막 단계인 취약요소의 결정에서 네트워크는 적대적인 인터넷 트래픽과 이메일에 첨부된 바이러스 등에 취약한 것으로 평가될 것이다.

자, 이제 해결책을 모색해보자. 간편하고 저비용인 해결 방법은 워크스테이션에 안티바이러스 솔루션을 탑재, 실행시키고 액티브X와 자바, 그리고 워크스테이션에서의 스크립트 작업 등을 제한하는 것이다. 또한 네트워크 영역 내에서 http, https, DNS 요청, SMPT 등을 통한 트래픽 발송을 제한하라. 내부로 유입되는 트래픽은 반드시 규정된 트래픽과 DNS 쿼리 반환, SMTP 등으로만 구성돼 있어야 할 것이다.

결론
만약 직무 책임 범위 내에서 솔루션을 찾을 수 있다면 즉시 행동을 취하라. 그리고 비용이 수반된다면 네트워크에 대한 재정적인 책임을 지는 직원에게 이전하라. 관리자가 5만달러의 가치가 있는 데이터와 하드웨어를 보호하기 위해 백만달러짜리 솔루션의 구입을 승인할 것이라고 기대하진 마라.

위험요소 관리 절차는 네트워크를 안전하게 만들기 위한 설계, 실행 과정에서 중요한 위치를 차지하고 있다. 만약 위험요소에 대해 사정 과정을 밟는다면 기업의 네트워크가 제대로 보호받지 못하고 있으며 이를 개선하려면 별도 하드웨어, 소프트웨어를 구매하거나 관리자를 충원하고 사용자 훈련 과정을 밟아야 한다는 점을 발견하게 될지도 모른다.
오히려 분석 결과로 네트워크에 쏟아야 하는 관심을 그대로 유지하면서도 잘 보호하고 있다는 것이 입증되는 경우가 더 드물 것이다.

필자 소개
마이크 멀린스는 미 연방 보안국의 데이터베이스, 네트워크 관리자와 네트워크 관리자로 일해왔으며 현재 미 국방부 정보 시스템 기구의 네트워크 보안 관리자로 일하고 있다.