지난 1월 25일 일어난 인터넷 침해사고의 원인은 윈도우 서버 취약점을 이용하는 `슬래머` 웜 공격으로 네트워크 트래픽이 급증했기 때문인 것으로 최종 확인됐다.
정보통신부는 2월 18일 인터넷 침해사고를 관계 전문가와 함께 조사·분석한 결과를 발표했다.
정통부는 이번 조사를 위해 수사기관·주요 ISP·정보보호업체·연구기관 등 민·관 전문가 12명으로 `정보통신망 침해사고 합동조사단`을 구성, 19일 동안 KT·데이콤 등 주요 ISP와 IDC 등을 대상으로 현장 조사와 로그자료·트래픽 자료 등을 분석했다.
조사 결과 슬래머 웜은 수십 분만에 전 세계적으로 7만5000개의 시스템을 감염시켰는데, 국내에는 지난 1월 25일 14시 10분쯤 미국·호주 등지에서 유입, 전 세계 감염대수의 11.8%에 해당하는 8,800여 개가 감염된 것으로 밝혀졌다.
◇ 원인 = 먼저 슬래머 웜은 취약점이 있는 윈도우 서버(Microsoft SQL서버 2000)를 감염시켰고, 이 서버가 저절로 초당 1만∼5만개의 공격패킷을 만들며 여러 대의 다른 컴퓨터를 공격해 네트워크 트래픽을 폭발적으로 증가시켰다. 이 때문에 감염 서버가 있는 대학·연구소·기업은 물론 주변 지역 이용자들도 인터넷 접속경로가 차단됐다.
또 감염된 서버가 있는 인터넷 사이트는 서비스를 제공할 수 없게 돼 접속경로에 장애가 없는 이용자들도 인터넷 서비스를 이용할 수 없었다.
특히 정보통신시설이 모인 인터넷데이터센터(IDC)에서 랜(LAN)으로 연결된 서버 중 하나가 감염된 경우 내부망 트래픽이 폭주해 연결된 서버 전체(포탈·쇼핑몰·게임 등)에 인터넷 접속장애가 생겼다. 실제 주요 24개 IDC를 조사한 결과, IDC에 있는 전체 MS-SQL서버 3,974개 가운데 40.3%인 1,603개가 감염된 것으로 나타났다.
이렇게 감염된 서버에서 만들어진 공격패킷의 목적지 IP주소는 임의로 부여되는데, 국제 인터넷 주소 할당 분포 상 확률적으로 93.2%가 국제관문국에 집중되므로 각 인터넷서비스 업체(ISP) 국제관문국에서 심한 병목현상이 생겨 해외 루트 DNS에 접속할 수 없었다. 아울러 재접속을 시도하면서 각 ISP들의 DNS에 과부하가 생겼고 이것이 국내 인터넷 소통에 지장을 준 것으로 분석됐다.
◇ 낮은 보안의식도 문제 = 외국보다 우리나라 피해가 컸던 것은 ▲MS-SQL서버가 상대적으로 많이 감염(일본의 약 7배, 중국의 약 2배)된데다 ▲국내에 루트 DNS가 없어 국제 회선 포화에 따른 국내 DNS 과부하 현상이 심각하고 ▲초고속통신망과 IDC를 통해 급속히 확산됐기 때문이다.
그리고 무엇보다도 일반 이용자들이 보안 패치나 백신 업데이트를 잘하지 않는 낮은 보안의식도 문제인 것으로 지적됐다.
한편 지난 1월 30일 KT ADSL망에서 이상 패킷이 생겨 몇 몇 지역에서 인터넷 장애가 일어난 것은 `1·25 대란`을 일으킨 슬래머 웜과 무관하고 트로이목마의 이종·변형 또는 새로운 형태의 공격 등일 것으로 추정됐다.
◇ 교훈과 정부 대책 = 이번 인터넷 침해사고의 특징은 ▲네트워크 자체의 트래픽을 증가시켜 인터넷접속 장애를 일으켰고 ▲감염 피해자가 자신도 모르게 저절로 가해자가 되면서 대규모 피해를 입혔으며 ▲일부 문제가 전체 문제로 급속히 확산되기 때문에 정부·기업·국민이 총체적으로 공조해야만 효과적으로 대응할 수 있다는 교훈을 얻게 됐다.
또 정책적으로는 정보보호 인식 제고, 루트 DNS 국내 유치, 인터넷 트래픽 관리를 통한 조기 예·경보체제 확립, IDC에 대한 긴급조치 권한 부여 등 각종 제도를 개선해야 하는 과제도 안게 됐다.
정통부는 앞으로 이번 인터넷 침해사고의 특징과 나타난 문제점을 바탕으로 국가 차원에서 정보보호 수준을 획기적으로 높일 수 있도록 종합적인 `정보보호 강화 대책` 마련, 추진할 방침이다.
※ 붙임 : 정보통신망 침해사고 조사결과
※ 문의 : 정보화기획실 정보보호기획과 최성준 사무관
(750-1264, SungJoon_Choi@mic.go.kr)
d100-2948-1-01.hwp (2.09MBytes)
