일본의 능동적 사이버 방어, 사이버 공격 전 위협 서버를 무력화하는 보안 정책
능동적 보안 위해서는 민간의 정보 공유, 통신정보 제공, 무력화 가능한 권한 필요
[보안뉴스 박은주 기자] 사이버 공간과 현실의 경계가 희미해진 오늘날, 사이버 위협은 일상생활에 큰 영향을 미친다. 그러나 사이버 위협을 대하는 우리의 태도는 수동적이다. 방어대책을 세우고 피해를 복구하는 수준에 머무르고 있다. 앞으로 계속될 사이버 위협에 더 적극적인 조치를 고려해 볼 수 있는 시기다. 수동적인 입장 반대편에 선 적극적인 사이버 보안 정책이 일본에서 논의된 바 있어 우리나라에도 시사점이 크다.
대한무역투자진흥공사(KOTRA) 도쿄무역관에 따르면 일본 정부는 2022년 12월 새로운 사이버 보안 정책 중 하나로 ‘능동적 사이버 방어’를 제시했다. 이를 일본 국가안보정책 관련 방위 3문서인 △국가안전보장전략 △국가방위전략 △국방력정비계획에 명시했다.
능동적 사이버 방어는 공격받기 전 상대방을 ‘무력화’하는 전략이다. 공격으로 인한 피해가 발생하기 전, 또는 피해가 확대되기 전에 공격자를 선제공격하는 조치다. 일본 국가안보전략에는 능동적 사이버 방어 도입 목적을 ‘무력 공격에 이르지는 않더라도, 국가·중요 인프라 등에 대한 안보 우려를 야기하는 중대한 사이버 공격의 우려가 있으면, 이를 사전에 제거하고 사이버 공격이 발생했을 경우 피해 확대를 방지하기 위함’이라고 설명돼 있다.
방위 3문서에 따르면 능동적 사이버 방어 순서는 다음과 같다. 통신사를 포함한 민간기업 및 관공서로부터 공격자 관련 위협 정보를 수집한다. 그 정보를 바탕으로 내각사이버보안센터(NISC)를 개편한 조직이 사령탑이 돼 자위대 등 실행부대가 공격자를 무력화하는 순서다.
무력화의 구체적인 방법은 공격자가 사용하는 C2 서버(Command & Control 서버)를 차단하는 것이다. 공격자와 C2 서버 간 통신을 차단하거나 C2서버에 침입해 설정을 변경하거나, 데이터를 삭제해 서버 기능을 정지시키는 방법이 제시된다. 이때 △민간사업자와의 정보 공유 강화 △통신사업자의 정보 제공 △공격자의 서버 등에 대한 침입이나 무력화를 가능케 하는 권한 부여 등이 뒷받침돼야 한다.
일각에서는 일반 기업의 서버가 공격자 서버로 오인될 경우, 무력화될 수 있다는 의견이 제기된다. 다만, 여러 전문가는 ‘문제 없다’고 입을 모았다. 능동적 사이버 방어는 대화할 여지가 없는 상대에 대한 ‘최후 수단’이기 때문이다. 일반 기업이 운영하는 서버에서 공격 징후를 감지하더라도, 갑자기 공격할 가능성은 극히 낮으며, 공격자의 서버로 오인돼 공격받을 가능성도 거의 없다는 설명이다.
사이버 위협으로 비롯된 능동적 사이버 보안
코트라 도쿄무역관은 본래 일본이 방위가 원칙인 나라로 공격을 받기 전에 대응하는 것이 어려웠다고 설명한다. 사이버 공격에서도 소극적인 태도를 보였다. 미국의 전 정부 고위관료가 미일 동맹의 약점으로 ‘사이버 방어’를 꼽았던 바 있을 정도다.
그러나 일본 정부는 급증하는 사이버 위협에 2022년 사이버 보안을 국가 안보정책의 우선순위로 지정하고, ‘능동적 사이버 방어’라는 사이버 안보의 히든카드를 꺼내 들었다. 정보통신산업진흥청(NIPA)에서 2023년 8월 발간한 ‘일본, 사이버 보안 환경 개선 노력 강화’ 리포트에서는 2022년 한해 일본에서 벌어진 사이버 범죄가 1만 2,369건으로 ‘사상 최고치를 기록한 해’라고 설명했다. 랜섬웨어 공격도 눈에 띄게 증가했고, 사이버 공격을 포함한 의심스러운 인터넷 접속 사례도 하루 평균 7,707.9건으로 인터넷 프로토콜 주소당 최고치를 기록했다고 덧붙였다.
갈 길 먼 능동적 사이버 보안
다만, 능동적 사이버 방어에 대해 언급된 것은 방위 3문서의 내용뿐이다. 일본의 현행법상 능동적 사이버 방어는 아직 전기통신사업법, 부정접속금지법, 자위대법 등에 저촉될 우려가 있다. 따라서 법 개정 또는 해석의 여지가 있다.
법 개정과 해석 또한 갈 길이 먼 상황이다. 정부와 여당에서 공식적인 논의가 시작되지 않았고, 국가안보전략을 수립한 지 11개월이 지났음에도 아직 전문가 회의조차 진행하지 못한 상황이다. 따라서 관련 법 정비는 2025년도 정기국회로 미뤄질 전망이다.
[박은주 기자(boan5@boannews.com)]
능동적 보안 위해서는 민간의 정보 공유, 통신정보 제공, 무력화 가능한 권한 필요
[보안뉴스 박은주 기자] 사이버 공간과 현실의 경계가 희미해진 오늘날, 사이버 위협은 일상생활에 큰 영향을 미친다. 그러나 사이버 위협을 대하는 우리의 태도는 수동적이다. 방어대책을 세우고 피해를 복구하는 수준에 머무르고 있다. 앞으로 계속될 사이버 위협에 더 적극적인 조치를 고려해 볼 수 있는 시기다. 수동적인 입장 반대편에 선 적극적인 사이버 보안 정책이 일본에서 논의된 바 있어 우리나라에도 시사점이 크다.
[이미지=gettyimagesbank]
대한무역투자진흥공사(KOTRA) 도쿄무역관에 따르면 일본 정부는 2022년 12월 새로운 사이버 보안 정책 중 하나로 ‘능동적 사이버 방어’를 제시했다. 이를 일본 국가안보정책 관련 방위 3문서인 △국가안전보장전략 △국가방위전략 △국방력정비계획에 명시했다.
능동적 사이버 방어는 공격받기 전 상대방을 ‘무력화’하는 전략이다. 공격으로 인한 피해가 발생하기 전, 또는 피해가 확대되기 전에 공격자를 선제공격하는 조치다. 일본 국가안보전략에는 능동적 사이버 방어 도입 목적을 ‘무력 공격에 이르지는 않더라도, 국가·중요 인프라 등에 대한 안보 우려를 야기하는 중대한 사이버 공격의 우려가 있으면, 이를 사전에 제거하고 사이버 공격이 발생했을 경우 피해 확대를 방지하기 위함’이라고 설명돼 있다.
방위 3문서에 따르면 능동적 사이버 방어 순서는 다음과 같다. 통신사를 포함한 민간기업 및 관공서로부터 공격자 관련 위협 정보를 수집한다. 그 정보를 바탕으로 내각사이버보안센터(NISC)를 개편한 조직이 사령탑이 돼 자위대 등 실행부대가 공격자를 무력화하는 순서다.
무력화의 구체적인 방법은 공격자가 사용하는 C2 서버(Command & Control 서버)를 차단하는 것이다. 공격자와 C2 서버 간 통신을 차단하거나 C2서버에 침입해 설정을 변경하거나, 데이터를 삭제해 서버 기능을 정지시키는 방법이 제시된다. 이때 △민간사업자와의 정보 공유 강화 △통신사업자의 정보 제공 △공격자의 서버 등에 대한 침입이나 무력화를 가능케 하는 권한 부여 등이 뒷받침돼야 한다.
일각에서는 일반 기업의 서버가 공격자 서버로 오인될 경우, 무력화될 수 있다는 의견이 제기된다. 다만, 여러 전문가는 ‘문제 없다’고 입을 모았다. 능동적 사이버 방어는 대화할 여지가 없는 상대에 대한 ‘최후 수단’이기 때문이다. 일반 기업이 운영하는 서버에서 공격 징후를 감지하더라도, 갑자기 공격할 가능성은 극히 낮으며, 공격자의 서버로 오인돼 공격받을 가능성도 거의 없다는 설명이다.
사이버 위협으로 비롯된 능동적 사이버 보안
코트라 도쿄무역관은 본래 일본이 방위가 원칙인 나라로 공격을 받기 전에 대응하는 것이 어려웠다고 설명한다. 사이버 공격에서도 소극적인 태도를 보였다. 미국의 전 정부 고위관료가 미일 동맹의 약점으로 ‘사이버 방어’를 꼽았던 바 있을 정도다.
그러나 일본 정부는 급증하는 사이버 위협에 2022년 사이버 보안을 국가 안보정책의 우선순위로 지정하고, ‘능동적 사이버 방어’라는 사이버 안보의 히든카드를 꺼내 들었다. 정보통신산업진흥청(NIPA)에서 2023년 8월 발간한 ‘일본, 사이버 보안 환경 개선 노력 강화’ 리포트에서는 2022년 한해 일본에서 벌어진 사이버 범죄가 1만 2,369건으로 ‘사상 최고치를 기록한 해’라고 설명했다. 랜섬웨어 공격도 눈에 띄게 증가했고, 사이버 공격을 포함한 의심스러운 인터넷 접속 사례도 하루 평균 7,707.9건으로 인터넷 프로토콜 주소당 최고치를 기록했다고 덧붙였다.
갈 길 먼 능동적 사이버 보안
다만, 능동적 사이버 방어에 대해 언급된 것은 방위 3문서의 내용뿐이다. 일본의 현행법상 능동적 사이버 방어는 아직 전기통신사업법, 부정접속금지법, 자위대법 등에 저촉될 우려가 있다. 따라서 법 개정 또는 해석의 여지가 있다.
법 개정과 해석 또한 갈 길이 먼 상황이다. 정부와 여당에서 공식적인 논의가 시작되지 않았고, 국가안보전략을 수립한 지 11개월이 지났음에도 아직 전문가 회의조차 진행하지 못한 상황이다. 따라서 관련 법 정비는 2025년도 정기국회로 미뤄질 전망이다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-10-31] .jpg)
