내 컴퓨터는 내가 지킨다 - 해킹 대응법 (1) 참고:안철수연구소(이동)
* 기본과 상식(基本과 常識)이 통하는 사이버 세상
지난 1월 25일 토요일 오후, "여보! 인터넷이 이상해. 지금 결재하고 있는데…어떻게 하지…" 열심히 인터넷 쇼핑을 하고 있던 아내의 한마디에 나는 아무 생각 없이 "조금 후에 하면 되지 뭐" 하면서 아들 놈 하고 열심히 블록놀이를 하고 있었다. 그런데 얼마 지나지 않아 TV에서는 전국 인터넷 통신망 마비라는 뉴스 속보가 나오기 시작했다.
아차하는 생각과 직업의식이 발동되어 아내가 하고 있던 컴퓨터에 앉아, 인터넷을 접속해 보았지만 전혀 접속되지 않았다. 드디어 올 것이 왔구나 하는 생각과 2년 전에 비슷한 사항 (CodeRedⅠ/Ⅱ웜으로 당시 국내에 보급된 WindowNT/2000시스템 40여만대 감염된 것으로추정되었던 사건)을 경험한 나로서는 주마등(走馬燈)처럼 사고대응과 처리를 위해 당시 직원들과 고생했던 생각이 교차했던 하루였다.
며칠 간 온 나라가 긴급대응이라고 알린 내용을 보면, 조금만 주의하면 되는 그런 사항들 이었다. 이유야 어찌되던 보안 사고가 발생할 때마다 강조되었던 보안의 기본과 상식이 또 다시 거론된다는 사실이… 인간은 망각의 동물이라고 했지만 정말 너무하다는 생각과 수년간 국내 보안사고 예방과 대응활동을 하고, 많은 사람들에게 보안 중요성과 심각성을 열변을 토하며 다녔던 나 자신도 과연 보안에 대한 기본과 상식을 제대로 지키고 있는지 반성을 해본다.
지난 2월 11일 대구 지하철에서 발생한 대 참사를 일본의 아사히(朝日)신문은 이례적으로 사설을 통해 "개통한 지 6년밖에 안된 대구 지하철의 참사는 객차와 역 구내에는 가연 물질을 사용하지 않는다는 세계적 상식을 어긴 결과"라고 꼬집었던 것처럼, 인터넷 IP 할당률이 겨우 전 세계의 0.6% 정도만 차지하고 있는 우리나라가 각종 대형 보안사고 세계 2위라는 사실에 놀라움을 금할 수 없다.
그럼 보안의 기본과 상식은 무엇일까? 대답은 아주 간단하다. 초등학교 5학년생인 처 조카가 하루는 "이모부, 오늘 학교에서 컴퓨터바이러스에 대하여 선생님께 들었는데, 너무 시시했어. 나뿐만 아니라 반 친구들은 이미 다 알고 있는 사실인데, 선생님은 우리보다 더 모르고 있어", "그래, 그럼 컴퓨터바이러스는 뭐고, 어떻게 하면 예방할 수 있니?"하고 내가 묻자, 조카는 아주 명확하게 대답을 했다. "그건 간단해, 컴퓨터바이러스는 나쁜 것이고, 예방은 백신을 PC에 깔고, 정기적으로 업데이트하고 패치하면 되지, 뭐" 이 말에 나는 순간적으로 어린 조카 녀석이 보안의 기본과 상식을 알고 있다는 사실에 충격을 받았다. 만약 1.25 인터넷 대란도 나의 조카처럼 국내 인터넷 서비스 제공자나 사용자들이 평소에 기본과 상식을 준수했다면 이런 엄청난 사고는 나지 않았을 것을…
비단 이번의 1.25 인터넷 대란(大亂)뿐만 아니라, 사회적 문제가 되고 있는 개인 프라이버시 문제, 스팸 메일 그리고 해킹·바이러스 등도 사이버 공간에 대한 기본과 대처할 수 있는 보안 상식이 부족에서 왔다고 볼 수 있다.
그럼 지금부터 차근차근 보안의 기본이 무엇이며, 필요한 보안 상식이 무엇인지 살펴보자. 의외로 쉽게 우리들 주위에서 살펴볼 수 있다. 간단한 예로 우리들의 집을 생각하는 것처럼 우리의 컴퓨터도 생각해 보자. 우리들은 집에서 외출할 때 집의 안전을 위해 열린 창문이 있으면 이를 닫고, 출입문을 열쇠로 잠그고 외출을 한다.
컴퓨터도 마찬가지로 내부나 외부로부터의 불법행위를 예방하고 대응하기 위하여 적절한 조치가 필요하다. 특히 최근에 문제가 되고 있는 해킹·바이러스가 유발시키고 있는 행위들은 대단히 짧은 시간에 정보통신망 인프라를 마비시켜 엄청난 피해를 주는 파괴성과 전염성을 동시에 가지고 있어, 심각성을 배가(倍加)시키고 있다. 또한 사고가 발생을 하여도 근본적인 원인이 무엇이며, 어떤 곳에서 공격을 했는지, 영향은 어느 정도 되는지를 파악하기가 점점 어려워지고 있는 실정임으로 기본부터 충실히 하는 체계를 갖추어, 피해를 최소화하는데 최선의 노력을 해야 한다.
* 정보보호 수준 점검과 기본 보안사항 인식
사람들은 주기적인 자신의 건강을 검진하여 문제가 있으면 치료를 통해 문제를 제거하고, 최상의 건강 유지를 위하여 운동 등 다양한 건강 활동을 한다. 우리 생활의 일부분인 컴퓨터도 마찬가지이다. 이는 해킹·바이러스 등에 의한 보안문제가 우리 주변의 보안문제가 아닌 바로 '나' 자신의 보안문제가 되어버린 환경 때문이다. 따라서 작은 컴퓨터 환경부터 국가 정보통신 인프라까지 정기적인 보안 점검을 하여 정확한 보안 진단을 바탕으로 적절한 보안조치를 해야 한다.
다음 표는 한국정보보호진흥원의 해킹 바이러스상담지원센터에서 미국의 MIT Information Security Program 등을 참조하여 재작성한 우리 자신들의 정보보호수준(Security Quotient)을 점검해 볼 수 있는 목록으로, 이를 통하여 우리의 정보보호 수준(의식)이 어느 정도 되는 지, 부족한 점이 무엇인지 알아 볼 수 있다.
[정보보호 수준 점검 목록]
질 문 대답
1.부팅 시 패스워드와 화면보호기의 패스워드가 설정되어 있는가?
2.특수문자(*, #, > 등)와 알파벳, 숫자가 조합된 긴 패스워드를 사용하고 있는가?
3.컴퓨터를 사용하지 않을 때 전원을 끄거나 네트워크에서 분리시키는가?
4.네트워크를 공유할 때 읽기/쓰기 권한을 제한하고 패스워드를 사용하는가?
5.백신 S/W를 사용하여 주기적으로 바이러스 점검을 실시하는가?
6.주기적으로 백신 S/W를 업데이트하는가?
7.PC의 해킹 공격을 차단하기 위하여 해킹방지 프로그램을 사용하고 있는가?
8.내 PC의 취약점을 점검한 적이 있는가?
9.파일이나 프로그램을 다운로드받는 사이트의 신뢰성을 고려하는가?
10.다운로드받은 파일과 프로그램의 바이러스 감염여부를 백신으로 확인하는가?
11.출처가 분명하고 용도가 분명한 전자메일만 읽어보는가?
12.전자메일의 첨부파일 중 출처와 용도가 분명하지 않은 파일은 삭제하는가?
13.나의 아이디와 패스워드를 아는 사람이 없다고 보는가?
14.회원으로 가입하는 사이트의 보안정책을 확인한 후 가입하는가?
15.회원으로 가입된 사이트의 패스워드를 주기적으로 바꾸는가?
16.중요한 데이터를 저장할 때 암호화하여 저장하는가?
17.중요한 데이터에 대한 정기적인 백업 작업을 실시하는가?
18.정식으로구입한 정품 소프트웨어를 사용하는가?
총 18개 간단한 질의 항목으로 질문의 답은 YES와 NO 두 가지 중 하나를 선택하여 만약 "Yes"의 개수가 14개 이상이면 정보보호 의식이 철저한 이용자이고, "Yes"의 개수가 11개∼14개 미만이면 정보보호 의식이 양호한 이용자이며, "Yes"의 개수가 7개∼11개 미만이면 정보보호 의식이 부족한 이용자, "Yes"의 개수가 7개 미만이면 정보보호 의식이 위험한 이용자로 보안의 기본을 갖추지 않아, 많은 노력이 필요한 사람이다.
비록 정보보호 수준을 아주 간단히 점검하는 것이지만, 나타난 결과로 우리의 보안 기본과 상식을 잘 표현해 줄 수 있다. 이는 아주 간단한 기본 보안사항을 평소에 인식하고 있다면 어떠한 보안문제도 쉽게 해결하고 대응할 수 있다는 얘기이다. 또한 정보보호 기본 수준 점검 항목을 보다 세부화하고 전문화하면, 개인 컴퓨터부터 서버 시스템까지 모두 적용할 수 있고, 관리하는 조직이나 사람들에게도 기본적으로 적용해 볼 수 있다.
다음은 정보보호를 위한 기본 보안사항의 인식항목으로 미국의 침해사고대응팀(CERT, Computer Emergency Response Team, www.cert.org)에서 컴퓨터를 보호하기 위하여 기본적으로 무엇을 해야 하는가? 라는 질문의 답으로 총 9가지를 제시해 주고 있다.
① 백신은 반드시 설치하고 점검하라
② 보안패치(Security Patch)된 상태로 시스템을 유지하라
③ 첨부파일이 있는 이메일( E - m a i l )은 조심하여 이용하라
④ 불법적인 침입을 차단할 수 있는 프로그램을 설치하고 사용하라
⑤ 중요한 파일 및 폴더를 반드시 백업하라
⑥ 비밀번호를 철저히 보호하라
⑦ 공개 프로그램을 설치하거나 다운로드할 때 조심하라
⑧ 하드웨어로 된 침입 차단장치를 설치하고 사용하라
⑨ 중요 파일은 가급적 암호화를 하거나 접근 통제할 수 있는 프로그램을
설치하고 사용하라
마지막으로 우리가 알아야 할 사항은 부족한 보안부분을 채워줄 수 있는 전문 기관이나 사이트 또는 관련 전문가에 대한 정보를 미리 숙지하고 있어야 한다는 점이다. 엄청나게 많은 보안사이트가 있지만 우리가 알아야 할 내용이 잘 정리된 사이트를 수시로 확인하고 적절한 정보를 수집한 다음, 이용하면 된다. 또한 사고대응 연락처, 법집행 기관 및 보안기술 등을 찾고, 해당 기관의 홈페이지를 이용하면 원하는 정보를 쉽게 이용할 수 있다.
지금까지 보안의 기본과 상식에 대하여 살펴보았다. 기본과 상식을 바탕으로 앞으로 좀 더 구체적인 해킹·바이러스 등 침해사고 대응법에 대하여 살펴보고자 한다.
저자 : 박정현 ((주)시큐브레인 CTO)
출처 : 정보보호뉴스 2003년 3월호
1
Copyright ⓒ 2000-2025 BCPARK Inc. All Right Reserved.
