인터넷전화, 허술한 보안관리...사업성 '흔들'

접근통제 설정 및 사전에 정의한 콜신호 만을 허용해야...

게이트웨이 장비들에 대한 수동 모니터링 강화 필수

운용중인 VoIP(인터넷전화) 게이트웨이의 관리상의 취약성을 이용하여 인증 받지 않은 사용자가 VoIP 서비스를 불법적으로 이용할 수 있는 것이 확인됐다. 보안관리가 허술하다면 사업성에도 문제가 생길수 있어 관리자들의 적극적인 보안대책이 필요한 상황이다.

불법 사용자는 과금을 회피하여 VoIP 서비스를 불법적으로 사용하기 때문에 사업자에게 손해를 입힐 수 있으므로 주의가 필요하다.

게이트웨이란 게이트키퍼·소프트스위치로부터 콜 신호를 받아 교환기에 신호를 보내는 라우팅 장비를 말한다.

VoIP 통신에서 정상적인 경우는 게이트키퍼(GK)나 소프트스위치(SSW) 장비를 경유 후, 게이트웨이를 통해 라우팅 된다. 하지만 게이트웨이에서 인바운드 트래픽에 대한 접근통제를 하지 않을 경우 공격자에 의해 서비스를 도용당할 수 있다는 경고가 나왔다.

게이트키퍼(GK)란 일반고객으로 부터의 콜 신호를 받아 사용자 인증, 라우팅, 과금을 위한 상세 사용내역을 기록하는 소프트웨어를 말한다. 또 소프트스위치(SSW)란 게이트키퍼와 유사한 역할을 하지만 다양한 VoIP 프로토콜(H.323, SIP, MGCP)을 지원 할 수 있는 장비이다.

공격자는 VoIP 호 발생이 가능한 SW를 설치하고 접속 가능한 VoIP 게이트웨이를 스캐닝하여 정보를 수집 한다. 또 공격자는 공격대상 게이트웨이를 호 라우팅 경로로 설정하여 불법으로 호를 발생시켜 서비스를 사용할 수 있다.

정보보호 전문가들은 VoIP 취약성에 대해 “VoIP 게이트웨이의 인바운드 트래픽에 대한 접근 통제 및 인증 정책을 미 설정된 상태로 놔둘 경우 공격자에 의해 서비스가 오용 될 수 있다”고 경고했다.

이 공격으로 인해 공격자는 과금을 회피해 불법적으로 VoIP 서비스를 이용할 수 있기 때문에 사업자에게 손실을 입힐 수 있고 공격자 근원지가 대다수 해외이기 때문에 추적하기도 힘든 실정이다.

대응 방안에 대해 전문가들은 “허가된 게이트키퍼, 소프트스위치만을 인바운드 트래픽으로 받아들일 수 있도록 접근통제 설정 및 사전에 정의한 콜신호 만을 허용하도록 게이트웨이를 설정해야 한다. 또한 게이트웨이 장비들에 대한 수동 모니터링도 강화해야 한다”고 말했다.

[길민권 기자(reporter21@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)