_m.jpg)
올림픽이라는 행사는 워낙 거대하기 때문에 해커들로서는 침투 경로 찾기가 무척 쉬워진다. 게다가 많은 사람들의 이목을 끄는 행사이기 때문에 공격 성공 시 효과가 극대화된다. 세계적 스포츠 행사는 매번 ‘역대 최고로 위험한 행사’가 될 수밖에 없다.
[보안뉴스 문가용 기자] 2018년 평창 동계올림픽 주최 측은 예정보다 훨씬 이르게 행사를 마칠 위기에 봉착했었다. 사이버 공격자들이 개막식에서부터 극성을 부렸기 때문이다. 또한 올림픽이 진행되는 기간 내내 각종 공격들을 퍼부었다. 다행히 당시 IT 담당자들이 잠도 자지 않고 대응한 덕분에 올림픽은 무사히 끝날 수 있었다.
그리고 3년이 지났다. 사이버 공간에서는 많은 변화가 있었다. 공격이라는 측면에서는 훨씬 거세졌다. 따라서 다가오는 도쿄 하계올림픽 역시 해킹 공격으로부터 안전한 것과는 거리가 3백만 광년쯤은 멀다고 볼 수 있다. 어쩌면 평창 동계올림픽 위원회보다 더 큰 위험을 각오해야 할지도 모른다. 아니, IT 기술에 대한 의존도가 해를 거듭할수록 높아지니 모든 올림픽은 역사상 가장 위험한 올림픽이 될 수밖에 없다. 게다가 이번에는 코로나라는 거대한 변수도 존재한다.
올림픽이라는 행사는 원래 사회 기반 시설에 대한 의존도가 높다. 행사 자체의 주목도도 높은데, 기반 시설과도 밀접하게 연계되니 해커들로서는 이상적인 표적이 될 수밖에 없다. 기반 시설은 물리적인 세계와도 연결이 되어 있어 해킹 공격으로 물리적 피해를 가할 수 있는 통로가 된다. 해킹 공격을 성공시켰을 때 눈에 띌 여건이 모두 갖춰진다는 것이다. 올림픽에 출전하는 선수들만큼이나 공격자들에게는 ‘실력을 뽐낼’ 무대가 마련되는 것과 다름이 없다. 자신들의 메시지를 많은 사람들에게 노출시키고 싶어 했던 핵티비스트들에게 더없이 좋은 기회다.
여기에 각종 국제 관계라는 요소들도 해킹 공격의 동기가 된다. 일본이라는 국가에 창피를 선사하고 싶은 나라가 있다면 올림픽만큼 좋은 기회도 없다. 심지어 올림픽 행사가 잘못 진행된다면 그 자체로 경제적 타격을 주는 것도 가능하다. 일본은 과거의 여러 가지 일들 때문에 이웃나라들과 그리 사이가 좋다고만은 할 수 없는 나라이기도 하다.
요약하면 다음과 같다. “공격할 이유도 충분, 공격으로 얻어갈 것도 충분.” 이 두 가지 조건이 갖춰지면 아무리 단단히 보호된 곳이라고 하더라도 사실 보호되지 않은 것이나 마찬가지라고 볼 수 있다. 그러므로 다음과 같은 사실을 기억해야 할 것이다.
1. 보이는 것이 다가 아니다
많은 조직들은 “보유 중인 하드웨어 및 디지털 자산을 전부 알고 있고, 목록화 한 상태”라고 생각한다. 이 조직에서 사용되는 모든 것들을 다 알고 있다고 여기고 보안 아키텍처를 구성하는데, 실제 자신의 내부를 속속들이 다 아는 조직이란 거의 존재하지 않는다. 아니, 오히려 거의 대다수의 IT 담당자들이 조직 내 디지털 자산들을 불완전하게 파악하고 있다. 직원들이 경계심 없이 가져와 연결하는 개인 장비, 무심코 설치하게 되는 업무용 애플리케이션 등 완전하게 파악하는 것이 오히려 불가능에 가까울 정도인 환경이기 때문이다.
그러므로 올림픽 위원회는 물론 모든 조직들이 ‘다 알고 있다’는 전제부터 깔고 시작하면 안 된다. 모든 디지털 자산을 완벽하게 파악하고 있다고 생각하며 보안 아키텍처를 구성하면 현실과의 괴리가 생길 수밖에 없다. 그 괴리 속에서 예상치 못한 사건이 발생하고, 그 괴리 속에서 사건 대응을 제 때 못하고 허둥지둥하게 되는 결과가 야기된다. 당연히 공격의 진원지도 알 수 없고, 따라서 외교적이든 기술적이든 후속 조치를 취하는 것도 어려워진다.
모르긴 해도 도쿄올림픽을 진행하기 위해 동원되는 장비의 수는 가히 천문학적이라고 할 정도로 어마어마할 것으로 예상된다. 올림픽이라는 행사를 진행하는 데에도 그렇지만, 코로나 때문에 관중들을 모니터링하는 데에도 적잖은 수의 장비가 필요할 것이기 때문이다. 따라서 ‘모든 장비와 자산을 전부 파악하고 있다’는 데에서부터 보안을 설계하기 시작하는 건 더 위험하다. 참고로 평창 동계올림픽에 사용된 PC의 수는 1만 대 이상, 모바일 장비는 2만 대 이상, 와이파이 라우터는 6천 대 이상, 서버는 300대 이상이었다고 알려져 있다.
2. 스스로에 대한 과소평가는 금물이다
공격자들은 실력이 뛰어나다. 하지만 그 실력이 반드시 방어자의 것보다 높다고 할 수 없다. 또한 공격자들이 매번 자신이 가진 최고의 실력을 쏟아 부어 공격을 실시하는 것도 아니다. 우리는 공격이 들어오는 것보다 조금씩만 더 똑똑하고 효율적으로 움직이면 된다.
실제로 방어자들이 마음먹고 방어하는 시설이나 자산들은 공격자들 입장에서 대단히 공략하기 힘든 표적이다. 그렇기 때문에 공격자들은 표적을 직접 노리는 게 아니라, 우회에서 공략한다. 공격하고자 하는 시설이나 조직, 자산의 파트너사들을 공격한다는 것이다. 본 공격 표적의 네트워크나 시설물을 대신 관리해 주는 기업 등이 주로 표적이 된다.
이렇게 사업이 이뤄지는 기본 구조를 공략하는 행위를 공급망 공격이라고 하는데, 이게 최근 들어 크게 증가하고 있다는 것도 좋지 않은 소식이다. 우리 조직만 보강하기도 힘든데, 파트너사들까지 참견할 수 없기 때문에 어떤 곳은 분명히 뚫릴 수밖에 없다. 그렇기 때문에 공급망 공격이라는 유행은 한 동안 지속될 것이 분명하다.
올림픽이라는 거대 행사 역시 갖가지 ‘침투 지점’을 보유하고 있을 것이 분명하다. 어떤 식으로든 이 행사에 참여하는 기업들이라면, 자신의 역할이 아무리 작아 보이더라도 실제 올림픽 주최 기관인 것처럼 신중에 신중을 기해야 한다. 자신의 약함이 곧 올림픽이라는 국가적 행사의 약점이 될 수 있기 때문이다. 실제 많은 중소기업들이 스스로의 가치를 낮게 평가하며 ‘누가 우리 같은 곳을 공격하겠어?’라고 하다가 뚫리는 바람에 대형 조직들에서 큰 사고가 발생하는 일이 점점 많아지고 있다.
다행히 이번 올림픽은 한 해가 연기된 상태에서 치러진다. 선수들이나 보안 담당자들이나 1년 더 연습하고 훈련할 기회가 있었다. 공격자들이 올림픽을 염두에 두고 1년 더 연습했을 것 같지는 않다. 그들은 그 1년 동안 다른 조직이나 행사를 공격하느라 정신이 없었을 테니까 말이다. 물론 그것이 어느 정도 훈련 과정으로서의 역할을 했을 수는 있다. 하지만 올림픽이라는 행사와, 그 행사를 치루는 조직은 여느 조직들을 공격하는 것과 사뭇 다르다. 차별점이 존재한다.
그러므로 올림픽과 관여된 모든 보안 담당자들은 자신감을 가지고 해커들과의 시합에 임해야 한다. 행사장에서 운동선수들이 실력을 겨룰 때, 물밑에서는 보안인들과 해커들의 시합이 있을 것이다. 질 것 같다는 생각이 조금이라도 들지 않도록 단단히 준비하자.
글 : 제시카 아마도(Jessica Amado), Sepio Systems
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 2018년 평창 동계올림픽 주최 측은 예정보다 훨씬 이르게 행사를 마칠 위기에 봉착했었다. 사이버 공격자들이 개막식에서부터 극성을 부렸기 때문이다. 또한 올림픽이 진행되는 기간 내내 각종 공격들을 퍼부었다. 다행히 당시 IT 담당자들이 잠도 자지 않고 대응한 덕분에 올림픽은 무사히 끝날 수 있었다.
[이미지 = utoimage]
그리고 3년이 지났다. 사이버 공간에서는 많은 변화가 있었다. 공격이라는 측면에서는 훨씬 거세졌다. 따라서 다가오는 도쿄 하계올림픽 역시 해킹 공격으로부터 안전한 것과는 거리가 3백만 광년쯤은 멀다고 볼 수 있다. 어쩌면 평창 동계올림픽 위원회보다 더 큰 위험을 각오해야 할지도 모른다. 아니, IT 기술에 대한 의존도가 해를 거듭할수록 높아지니 모든 올림픽은 역사상 가장 위험한 올림픽이 될 수밖에 없다. 게다가 이번에는 코로나라는 거대한 변수도 존재한다.
올림픽이라는 행사는 원래 사회 기반 시설에 대한 의존도가 높다. 행사 자체의 주목도도 높은데, 기반 시설과도 밀접하게 연계되니 해커들로서는 이상적인 표적이 될 수밖에 없다. 기반 시설은 물리적인 세계와도 연결이 되어 있어 해킹 공격으로 물리적 피해를 가할 수 있는 통로가 된다. 해킹 공격을 성공시켰을 때 눈에 띌 여건이 모두 갖춰진다는 것이다. 올림픽에 출전하는 선수들만큼이나 공격자들에게는 ‘실력을 뽐낼’ 무대가 마련되는 것과 다름이 없다. 자신들의 메시지를 많은 사람들에게 노출시키고 싶어 했던 핵티비스트들에게 더없이 좋은 기회다.
여기에 각종 국제 관계라는 요소들도 해킹 공격의 동기가 된다. 일본이라는 국가에 창피를 선사하고 싶은 나라가 있다면 올림픽만큼 좋은 기회도 없다. 심지어 올림픽 행사가 잘못 진행된다면 그 자체로 경제적 타격을 주는 것도 가능하다. 일본은 과거의 여러 가지 일들 때문에 이웃나라들과 그리 사이가 좋다고만은 할 수 없는 나라이기도 하다.
요약하면 다음과 같다. “공격할 이유도 충분, 공격으로 얻어갈 것도 충분.” 이 두 가지 조건이 갖춰지면 아무리 단단히 보호된 곳이라고 하더라도 사실 보호되지 않은 것이나 마찬가지라고 볼 수 있다. 그러므로 다음과 같은 사실을 기억해야 할 것이다.
1. 보이는 것이 다가 아니다
많은 조직들은 “보유 중인 하드웨어 및 디지털 자산을 전부 알고 있고, 목록화 한 상태”라고 생각한다. 이 조직에서 사용되는 모든 것들을 다 알고 있다고 여기고 보안 아키텍처를 구성하는데, 실제 자신의 내부를 속속들이 다 아는 조직이란 거의 존재하지 않는다. 아니, 오히려 거의 대다수의 IT 담당자들이 조직 내 디지털 자산들을 불완전하게 파악하고 있다. 직원들이 경계심 없이 가져와 연결하는 개인 장비, 무심코 설치하게 되는 업무용 애플리케이션 등 완전하게 파악하는 것이 오히려 불가능에 가까울 정도인 환경이기 때문이다.
그러므로 올림픽 위원회는 물론 모든 조직들이 ‘다 알고 있다’는 전제부터 깔고 시작하면 안 된다. 모든 디지털 자산을 완벽하게 파악하고 있다고 생각하며 보안 아키텍처를 구성하면 현실과의 괴리가 생길 수밖에 없다. 그 괴리 속에서 예상치 못한 사건이 발생하고, 그 괴리 속에서 사건 대응을 제 때 못하고 허둥지둥하게 되는 결과가 야기된다. 당연히 공격의 진원지도 알 수 없고, 따라서 외교적이든 기술적이든 후속 조치를 취하는 것도 어려워진다.
모르긴 해도 도쿄올림픽을 진행하기 위해 동원되는 장비의 수는 가히 천문학적이라고 할 정도로 어마어마할 것으로 예상된다. 올림픽이라는 행사를 진행하는 데에도 그렇지만, 코로나 때문에 관중들을 모니터링하는 데에도 적잖은 수의 장비가 필요할 것이기 때문이다. 따라서 ‘모든 장비와 자산을 전부 파악하고 있다’는 데에서부터 보안을 설계하기 시작하는 건 더 위험하다. 참고로 평창 동계올림픽에 사용된 PC의 수는 1만 대 이상, 모바일 장비는 2만 대 이상, 와이파이 라우터는 6천 대 이상, 서버는 300대 이상이었다고 알려져 있다.
2. 스스로에 대한 과소평가는 금물이다
공격자들은 실력이 뛰어나다. 하지만 그 실력이 반드시 방어자의 것보다 높다고 할 수 없다. 또한 공격자들이 매번 자신이 가진 최고의 실력을 쏟아 부어 공격을 실시하는 것도 아니다. 우리는 공격이 들어오는 것보다 조금씩만 더 똑똑하고 효율적으로 움직이면 된다.
실제로 방어자들이 마음먹고 방어하는 시설이나 자산들은 공격자들 입장에서 대단히 공략하기 힘든 표적이다. 그렇기 때문에 공격자들은 표적을 직접 노리는 게 아니라, 우회에서 공략한다. 공격하고자 하는 시설이나 조직, 자산의 파트너사들을 공격한다는 것이다. 본 공격 표적의 네트워크나 시설물을 대신 관리해 주는 기업 등이 주로 표적이 된다.
이렇게 사업이 이뤄지는 기본 구조를 공략하는 행위를 공급망 공격이라고 하는데, 이게 최근 들어 크게 증가하고 있다는 것도 좋지 않은 소식이다. 우리 조직만 보강하기도 힘든데, 파트너사들까지 참견할 수 없기 때문에 어떤 곳은 분명히 뚫릴 수밖에 없다. 그렇기 때문에 공급망 공격이라는 유행은 한 동안 지속될 것이 분명하다.
올림픽이라는 거대 행사 역시 갖가지 ‘침투 지점’을 보유하고 있을 것이 분명하다. 어떤 식으로든 이 행사에 참여하는 기업들이라면, 자신의 역할이 아무리 작아 보이더라도 실제 올림픽 주최 기관인 것처럼 신중에 신중을 기해야 한다. 자신의 약함이 곧 올림픽이라는 국가적 행사의 약점이 될 수 있기 때문이다. 실제 많은 중소기업들이 스스로의 가치를 낮게 평가하며 ‘누가 우리 같은 곳을 공격하겠어?’라고 하다가 뚫리는 바람에 대형 조직들에서 큰 사고가 발생하는 일이 점점 많아지고 있다.
다행히 이번 올림픽은 한 해가 연기된 상태에서 치러진다. 선수들이나 보안 담당자들이나 1년 더 연습하고 훈련할 기회가 있었다. 공격자들이 올림픽을 염두에 두고 1년 더 연습했을 것 같지는 않다. 그들은 그 1년 동안 다른 조직이나 행사를 공격하느라 정신이 없었을 테니까 말이다. 물론 그것이 어느 정도 훈련 과정으로서의 역할을 했을 수는 있다. 하지만 올림픽이라는 행사와, 그 행사를 치루는 조직은 여느 조직들을 공격하는 것과 사뭇 다르다. 차별점이 존재한다.
그러므로 올림픽과 관여된 모든 보안 담당자들은 자신감을 가지고 해커들과의 시합에 임해야 한다. 행사장에서 운동선수들이 실력을 겨룰 때, 물밑에서는 보안인들과 해커들의 시합이 있을 것이다. 질 것 같다는 생각이 조금이라도 들지 않도록 단단히 준비하자.
글 : 제시카 아마도(Jessica Amado), Sepio Systems
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-24] 
.jpg)
