능동적 방어 전략 등 해법 모색

미국 사우스다코타주에 사무실을 둔 정보기술(IT) 보안 전문가 존 스트랜드는 최근 한 말레이시아계 은행으로부터 은밀한 제안을 받았다. 자신들을 사이버 공격한 해커들을 찾아내 그들이 확보한 데이터를 모두 없앨 수 있느냐는 것이었다. 스트랜드는 “간혹 보안시스템 강화 이외에 이 같은 ‘사적인 응징(vigilante justice)’까지 의뢰하는 고객이 있다”며 “하지만 현행 법체제 하에서 사이버 자경단 행위는 명백한 불법”이라고 잘라 말했다. 최근 사이버 공격이 잇따르면서 능동적 방어 전략을 펴는 기업들이 늘고 있다고 영국 파이낸셜타임스(FT)가 전했다.

◆갈수록 커지고 세지는 사이버 공격

기업을 겨냥한 대형 사이버 공격이 끊이지 않는다. 지난해 미국의 대형 유통업체 타깃과 금융기관 JP모건체이스, 소니픽처스가 사이버 공격을 받은 데 이어 지난달 20일(현지시간) 글로벌 이성교제 사이트 ‘애슐리 메디슨’이 해킹을 당해 회원 개인정보 3700만건이 외부로 유출됐다.

사이버 보안망 구축 전문기업 아카마이에 따르면 지난 1분기 동안 전 세계 분산서비스거부(DDos) 공격은 전년 같은 기간보다 117% 늘었다. 이 기간 디도스 공격 시간은 평균 24.8시간이었는데 웹사이트가 24시간 동안 마비되면 평균 806만달러의 경제적 피해를 보는 것으로 추산된다. 보안전문업체 매카피는 사이버 공격에 따른 전 세계 경제 피해 규모가 2013년 기준으로 3750억∼5750억달러(약 439조∼674조원)이며 해마다 약 33%(4450억달러)씩 커지고 있다고 분석했다.

사이버 공격 수법도 갈수록 진화하고 있다. 악성파일 업로드 등 웹 애플리케이션 공격은 1억7885만건으로, 이 가운데 71.54%는 로컬파일인클루전(LFI: 웹 서버 안의 파일을 열고 조작하는 것)이었다고 아카마이는 분석했다. 해커들은 또 사이버 공격에 사물인터넷(IoT: 생활 속 사물들을 유무선 네트워크로 연결해 정보를 공유하는 환경) 기기를 활용하기 시작했다. 아카마이는 “올해부터 상대적으로 보안이 취약한 무선랜공유기나 미디어 서버, 네트워크 프린터 등이 디도스 공격에 활용되기 시작했다”고 경고했다.

올해 전 세계 IT 보안경비는 약 491억4000만달러로 추산된다. 2010년(322억2900만달러)보다 약 37% 증가한 것이다. 보안경비 대부분은 기업들이 지출한다. 

해커들이 고객 신용정보와 재정 현황, 특허 등 직접 돈이 되는 정보를 집중적으로 노리기 때문이다. 기업 입장에서도 사이버 공격에 민감할 수밖에 없다. 해킹을 당할 경우 컴퓨터 시스템 보수와 피해 보상금 등의 직접 비용과 고객 이탈과 이미지 하락에 따른 매출 및 경쟁우위 손실 등의 간접비용을 포함해 수억달러의 손실을 감수해야 한다.

◆역해킹 등 근본적 해법 모색하는 기업들

해킹 방어망 구축에 상당한 돈을 들였는데도 별 소득이 없자 근본적인 대책 마련을 꾀하는 기업들이 나타나기 시작했다.

날로 진화하는 사이버 공격 기술에 일일이 대응하느니 차라리 해커들을 무력화하겠다는 ‘능동적 방어전략’이다. ‘3a’(annoyance, attribution, attack)로 표현되는 능동적 방어 전략은 내부 전산망에 대한 패스워드를 변경하거나 방호벽을 강화하는 데 그치지 않는다. ‘공격이 최선의 방어’라는 기조 하에 자신들을 사이버 공격한 해커들을 괴롭히고(annoyance), 공격자 서버 위치나 신원을 밝혀내며(attribution), 때로는 이들을 역해킹(attack)해 초토화하는 전략을 편다.

가장 온건한 공세적 방어전략은 보안이 취약한 가상 데이터 센터로 해커들을 유인해 골탕먹이는 방법이다. 해커들이 가상 데이터 센터 침입에 씨름하는 동안 이들의 공격 패턴과 신원 등을 파악할 수 있다는 장점이 있다. 두 번째는 귀인(歸因) 전략이다. 자사 시스템에 대한 사이버 공격이 감지될 경우 미리 깔아둔 유인 파일을 통해 해커들의 서버 위치와 신원을 확인해 효과적인 대응 방안을 강구한다. 가장 과격한 방어전략은 해커들을 역으로 사이버 공격 하는 것이다. 자신들을 공격한 것으로 추정되는 해커를 추적해 해킹당해 빼앗긴 데이터를 모두 지우고 더 나아가 이들의 전산망까지 파괴한다는 개념이다.

하지만 역해킹 전략은 한계가 분명해 보인다. 보안업체 주니퍼네트웍스의 크리스 호프 기술담당은 FT에 “클라이언트 열이면 열 모두가 해커들에 대한 철저한 응징을 원한다”며 “하지만 역해킹 전략은 윤리적으로나 법적으로 불가능하다”고 말했다.

해커 집단이 해외 서버를 애용하고 수시로 바꾼다는 점에서 공격 주체를 특정하기도, 처벌하기도 쉽지 않다. 또 정부가 아닌 일개 기업이나 개인이 응징에 나서는 것은 모든 나라 법률이 엄격하게 금지하고 있는 바다. 기업 단위의 어설픈 보복 공격이 전 세계 해커집단을 자극해 더 큰 위험에 처할 수 있다는 점도 기업들이 역해킹을 머뭇거리게 만드는 점이라고 FT는 지적했다.

송민섭 기자 [e-mail]