웹 사이트 관리자 및 개발자의 부주의 심각

펜타시큐리티, ‘2011년 상반기 웹 공격동향 보고서’ 발표

[보안뉴스 김태형] 애플리케이션 보안 솔루션기업 펜타시큐리티시스템(대표이사 이석우, www.pentasecurity.com, 이하 펜타시큐리티)은 ‘2011년 상반기 웹 공격동향 보고서’(Web Application Threat Report, Trends for the first half of 2011)를 지난 22일 발표했다.

이번 보고서는 2011년 1월 1일부터 6월 30일까지의 통계 내용을 담고 있으며 해당기간 동안 웹 공격의 주요 내용을 살펴보면 ▲와플(WAPPLES)의 룰 탐지 기준으로 익스텐션 필터링(Extension Filtering)이 21.97%로 가장 많았는데 이는 정상적인 웹사이트의 파일들에 대한 접근이 아닌 취약성이 존재하는 파일들에 대한 접속시도를 의미하며 자동화된 공격도구의 접속시도뿐 아니라 웹사이트 관리자와 개발자의 부주의로 인한 취약성의 노출이 많았음을 의미한다.

▲올해부터 국내 최초로 펜타시큐리티에서 서포터로 활동하며 웹 보안 관련 정보를 공유하고 있는 OWASP(Open Web Application Security Project)의 공격유형으로는 잘못된 보안설정(Security Misconfiguration)이 34.63%로 가장 많았으며 이 역시 웹사이트 관리자의 부주의로 인한 웹 사이트 및 웹 서버 운영의 중요정보가 일반 사용자에게 노출될 수 있음을 의미한다.

▲웹 공격의 목적으로는 ‘취약성 파악’ 공격이 61.89%로 가장 많았으며 이는 201년 하반기 대비 20% 늘어난 수치이고 그 다음으로 웹사이트 변조(14.26%) 및 정보유출(9.77%) 순으로 나타났다.

펜타시큐리티 김덕수 연구소장은 “2011년 상반기 웹 공격유형을 살펴보면 웹의 취약성 파악이 목적인 공격 시도가 급증했다. 이는 자동화 된 공격도구의 사용뿐 아니라 내부의 잘못된 보안 설정 및 관리자와 개발자의 부주의로 인한 취약성의 노출이 많았다”고 말하며 오는 9월 30일 개인정보보호법 시행에 앞서 “보안 전문가로부터 내/외부 보안정책의 점검과 동시에 강력한 보안시스템을 구축해야 할 것”이라고 말했다.

‘2011년 상반기 웹 공격동향 보고서’는 펜타시큐리티 홈페이지(www.pentasecurity.com)내의 다운로드 센터에서 내려 받을 수 있다.

[김태형 기자(boan@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)