국내 ‘공개 웹 게시판’ 다수의 취약점 발견

웹 취약점 원격점검 결과 XSS 관련 취약점 가장 많아

[보안뉴스 호애진] 한국인터넷진흥원(KISA)이 영세중소기업, 비영리 기관들을 대상으로 지원한 웹 취약점 원격점검 결과 XSS 관련 취약점이 가장 많았던 것으로 나타났다.

KISA가 발간한 ‘4월 인터넷 침해사고 동향 및 분석 월보’에 따르면 2010년에 2,385건을 점검한 결과 총 58,000여개의 취약점을 발견했으며 이 중 XSS 관련 취약점이 20,588개로 가장 많았다. 이어 ‘부적절한 에러 유발을 통한 정보 수집’(15,814), ‘SQL 인젝션’(11,922), ‘링크인젝션’(6,507), ‘임시 파일 다운로드’(659) 순이었다.

▲ 출처: KISA ‘2010년도 해킹바이러스 현황 및 대응’ 보고서

특히 XSS 취약점은 사용자 세션 훔치기, 웹사이트 변조, 악성 컨텐츠 삽입, 사용자 리디렉트, 사용자 브라우저에서 스크립트 실행 등이 가능하기 때문에 각별히 주의를 기울여야 한다.

이와 같이 보안이 취약한 웹게시판을 통해 침입하는 것은 홈페이지를 해킹하는 가장 손쉬운 방법 중 하나로 최근 국내 공개 웹게시판에서 다수의 취약점이 발표돼 더욱 주의를 요하는 상황이다.

지난 2010년 한 해 동안 6건의 게시판 취약점이 발표됐던 것에 비해 2011년에는 4월까지 7건의 취약점이 발표돼 이를 악용한 다양한 피해가 우려되고 있다.

이는 해당 기관의 정보 유출과 이미지 실추 등의 1차 피해뿐만이 아니라 침해 사고의 경유지로 악용되거나 악성코드 유포 등으로 추가적인 피해를 발생시킬 수 있기 때문이다.

KISA 인터넷침해대응센터 관계자는 “공개 웹게시판을 이용하는 홈페이지 관리자는 주기적으로 사용하는 게시판의 제조사에서 발표하는 보안업데이트에 대해 주의 깊게 확인해 취약점 및 보안패치가 발표되는 즉시 패치를 적용해야 한다”며 “웹 게시판을 자체적으로 개발해 사용하는 기관 또한 다양한 XSS, SQL 인젝션 등 취약점에 대한 자체적인 취약점 점검을 실시해 침해사고에 대비해야 한다”고 당부했다.

이와 관련, KISA에서는 관리자들이 쉽게 웹서버의 보안수준을 향상시킬 수 있도록 지원하기 위해 공개 웹방화벽, 휘슬, 캐슬 등 웹 보안 강화 도구를 개발해 제공하고 있다.

휘슬의 경우 홈페이지에 삽입된 웹셀이나 악성스크립트를 탐지하는 기능이 있어 기존 수작업 분석으로 많은 시간과 비용이 들었던 불편함을 해소할 수 있게 돼 웹 사이트를 안전하게 운영하는 데 큰 도움이 될 것으로 기대하고 있다.

[호애진 기자(boan5@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다