[세미나 지상중계] 안철수연구소, 입체적인 보안의 스펙트럼 제시

안철수연구소, 컨버전스 시대의 보안위협 대응을 위한 통합보안 세미나 개최
IT 관리자 및 보안 담당자 등 500여명 참석, 효과적인 보안위협 대응방안 모색 열기 뜨거워

디지털 컨버전스의 물결 속에서 IT 환경이 급변함에 따라 사이버 공격 및 보안 위협은 더욱 고도화되고 있다. 특히 금전적 이윤을 노리며 조직적•지능적으로 변화하고 있는 사이버 범죄로부터 정보자산을 보호하고 비즈니스 연속성을 유지하기 위한 기업 및 기관의 고민이 늘어나고 있다. 이에 안철수연구소는 2010년 10월 JW 메리어트 호텔 그랜드볼룸에서 컨버전스 시대에 따른 기업의 효과적인 보안 위협 대응 방안 모색을 위한 통합보안 세미나 'AhnLab Integrated Security Fair 2010'을 개최했다. 이번 행사에는 금융, 통신, 교육, 유통 업계 IT 관리자 및 보안담당자는 물론, 보안에 관심이 많은 일반인까지 500여 명이 참여해 성황을 이뤘다. 다양한 IT 기기들과 소프트웨어들의 활발한 융합이 일어나는 디지털 컨버전스 시대, 그 흐름 속에서 보안 위협에 맞서기 위해 고민하는 보안 관리자들의 뜨거운 관심을 피부로 느낄 수 있었던 그 현장을 지금부터 함께 살펴보자.

강력한 툴을 가진 개인과의 컨버전스

 

안철수연구소가 최근 개최한 통합보안 세미나 'AhnLab Integrated Security Fair 2010(이하 AISF 2010)'은 나날이 고도화, 지능화되고 있는 IT 보안 이슈들에 대한 상세한 설명과 이에 대한 기업 및 기관의 대응방안을 공유하는 장이었다. 특히 최근 출시된 APC 어플라이언스 등을 가장 먼저 만나볼 수 있는 자리였던 AISF 2010의 전시 부스는 세션 사이의 쉬는 시간마다 참관객들로 발 디딜 틈이 없었다.
AISF 2010의 시작을 알리는 오프닝 영상에 이어 안철수연구소 김홍선 대표가 기조 연설을 위해 강연대에 올랐다. 김홍선 대표는 급변하고 있는 IT 패러다임과 컨버전스(convergence)라는 화두를 던지고 그에 따라 기업이 나아가야 할 방향을 제시했다. 특히 스마트폰, 태블릿 PC 등의 장치와 다양한 앱 등 IT 패러다임의 급격한 변화의 예를 들고 “지금만큼 개인이 파워풀한 정보력과 툴을 가진 적이 없었다”며 “각 개인들이 강력한 장치(device)로 무장하고 있는 만큼 이들과 어떻게 비즈니스로 나아갈 수 있는지를 고민하는 것이 컨버전스(convergence)”라고 말했다. 또한 보안의 패러다임 역시 기존과는 완전히 바뀌고 있다며 “인터넷을 통해 모든 것이 전부 연결, 전부 접속되는 환경이기 때문에 공격의 형태는 복합적이고 입체적으로 변화하고 있다”고 말했다. 이어 날로 심각해지는 DDoS 공격, 제우스(ZeuS)와 같이 글로벌화, 브랜드화되는 해킹 툴, 그리고 최근의 스턱스넷처럼 생산/기반 시설을 공격하는 악성코드를 언급하며 “이제는 한 달에 백만 개 이상의 샘플이 수집되고 공격의 유형이나 기술이 복잡해지고 있는 현실”이라고 강조했다. 이어 “이에 휴리스틱(Heuristic), 샌드박스(Sandbox) 뿐만 아니라 보다 획기적인 방법을 찾기 위해 고심해왔다”며 그 결과물을 설명할 안철수연구소 시큐리티대응센터(ASEC, AhnLab Security Emergency response Center) 전성학 본부장을 소개했다.

(사진 상: AISF 2010에는 500여 명이 참석해 성황을 이뤘다. / 사진 하: 이날 행사는 안철수연구소 김홍선 대표의 기조연설로 시작됐다.)

 

우리는 그 시스템을 쓰지 않으므로 안전하다?!

 

ASEC 전성학 본부장은 우선 애플 퀵타임(QuickTime), 어도비 아크로뱃 리더 취약점 등 소프트웨어 제로데이(zero-day) 취약점을 이용한 공격이 계속되고 있다며 일반적인 상황을 전달했다. 또한 근래 이슈가 되고 있는 악성코드에 대해 “제우스(ZeuS) 봇과 같이 브랜드화, 산업화된 악성코드 제작 툴은 일반인도 이용 가능하며 악성코드가 정교하게 만들어져 분석이 어렵다”며 “뿐만 아니라 유지/보수가 가능하고 새로운 기능들이 업그레이드 되기도 하기 때문에 기존방식으로는 찾아내기 어렵다”고 설명했다. 이어 최근 이란 핵시설 감염으로 이슈가 됐던 스턱스넷(Stuxnet)에 대해 ‘새로운 공격 형태’라고 말하고 “기존 PC기반의 악성코드 패턴에서 변화하고 있다”고 말했다. 즉, 산업 시설이나 기반 시설들이 폐쇄망에서 운영된다는 점을 간파한 해커들이 USB를 통한 전파를 연구한 것이라는 설명이다. 특히 스턱스넷이 독일 지멘스사의 산업자동화 제어시스템을 공격 목표로 제작된 악성코드라는 점과 관련해 “우리는 그 산업 시스템을 쓰지 않으므로 안전하다라는 식의 생각은 잘못”이라며 “이러한 악성코드는 얼마든지 타깃을 바꿀 수 있기 때문에 어떠한 산업 시설이라도 위험할 수 있다는 것이 문제”라고 지적했다.
특히 이러한 새로운 방식의 악성코드들은 기존 방식만으로는 대응하기 어렵다고 설명한 전성학 본부장은 “기존 방식은 샘플을 입수하고 패턴을 업데이트하는 방식이기 때문에 속도가 늦어지고 양도 많아지는 단점이 있다”고 지적했다. 이어 “엔진을 업데이트하지 않고 대응할 수 있는 방법을 고안하게 됐다”며 클라우드 개념의 악성코드 대응 기술인 안랩 스마트디펜스(AhnLab Smart Defense, 이하 ASD)의 배경을 설명했다. 안랩 스마트디펜스 기술은 악성코드 검사 엔진 및 시그니처가 클라이언트 PC가 아닌 서버, 즉 외부에서 작동되고 업데이트 되는 것이 특징이다. 즉, 클라이언트 PC의 리소스에는 전혀 부담을 주지 않으면서 악성코드 DB 업데이트가 클라우드 서버에서 진행되기 때문에 보다 광범위한 데이터 반영으로 더욱 신속하고 즉각적인 악성코드 대응이 가능하다는 것이 전성학 본부장의 설명이다.

전성학 본부장은 이어 안철수연구소가 최근 ASD 기술에 접목한 DNA 스캔 기술 개발을 소개했다. 전성학 본부장은 “1억 4천만 개의 샘플을 수집, 분석한 결과 일정한 룰이 있음을 확인했다”며 “인간의 DNA를 도식화하는 것과 마찬가지로 악성코드도 DNA 룰을 만들 수 있다는 생각에서 시작했다”고 DNA 스캔 기술의 배경을 밝혔다. 전성학 본부장의 설명에 따르면 예를 들어 기존 시그니처 기반의 1대 1 대응방식에서는 600만개 악성코드 차단하려면 600만개 시그니처가 필요했던 것과 달리 이제 DNA 스캔 기술이 적용하면 1천여 개 시그니처만으로 600만개의 악성코드가 차단이 가능하기 때문에 악성코드 사전 대응이 가능하다. 전성학 본부장은 “실제로 ARP Spoofing 악성코드를 시그니처 업데이트를 하지 않고 진단해본 결과 30개 중 28개를 진단했다”며 “룰 하나만 바꾸어 적용하면 새로운 변종에 대해 패턴을 업데이트하지 않아도 이용 가능하다”고 설명했다. 현재 이러한 DNA 룰은 1,500여 개가 적용되고 있으며 추가적인 룰을 업데이트 하고 있어 차후에는 악성코드에 대한 별도의 대응을 전혀 하지 않을 경우에도 신/변종을 포함한 전체 악성코드의 60% 가량을 진단할 수 있을 것으로 기대된다.

(사진: ASEC 전성학 본부장은 ‘악성코드 대응 기술의 새로운 패러다임’에 관해 발표했다.)

고객 입장에서 가장 중요한 것은 비용 이슈

 

쌀쌀한 날씨임에도 불구하고 장내에 에어컨을 틀어야 할 만큼 참관객들의 뜨거운 열기 속에서 급변하는 패러다임이라는 주제와 함께 한 시간여가 금방 지나갔다. 다시 강연대에 오른 김홍선 대표는 “잠시 쉬시면서 제품 부스도 둘러보시고 곳곳에 있는 파란색 셔츠를 입은 안철수연구소 직원들에게 무엇이든 물어보실 수 있다”며 1부의 끝을 알렸다. 그러나 대부분의 참관객들은 한 시간 내내 앉아있던 피로도 느끼지 못 하는 듯 서둘러 제품 부스로 향했다. 참관객들은 다양한 제품들이 실제로 구동, 또는 구현되는 모습을 꼼꼼히 살펴보며 안철수연구소 직원들의 설명을 주의 깊게 듣거나 질문을 던지기도 했다. 특히 이날 행사에는 최근 출시된 어플라이언스 형태의 중앙관리솔루션 AhnLab Policy Center Appliance(이하 APC Appliance)가 전시돼 참관객들의 많은 관심을 끌었다. 김홍선 대표가 앞서 세션 발표 사이에 “고객 입장에서 가장 중요한 것은 비용(cost)”이라고 언급했던 것을 증명이라도 하듯 총소유비용 효과가 탁월한 APC Appliance에 대한 참관객들의 문의가 이어졌다. APC Appliance는 어플라이언스, 즉 하드웨어 형태의 중앙관리솔루션으로 V3 Internet Security 제품군과 V3 Net for Windows Server 및 V3 Net for Unix/Linux Server 제품군을 보다 효율적이고 안정적으로 관리할 수 있다. 특히 라이선스 비용이 거의 발생하지 않는 Linux OS 및 데이터베이스를 지원해 총소유비용(TCO)을 극소화하기 때문에 보안의 효율성과 더불어 비용 문제를 고민하고 있는 보안관리자들을 위한 제품이라 할 수 있다. 이 외에도 앞서 강연에서 언급됐던 스마트디펜스관련 부스를 비롯해 모바일보안 솔루션인 V3 Mobile+ for Transaction 등에도 많은 참관객들이 발길이 이어졌다.

(사진: 쉬는 시간에도 대부분의 참관객들이 제품 부스로 향해 신제품도 만나고 다양한 제품의 시연 및 질의 응답 시간을 가졌다.)

DDoS 공격 대응은 선택이 아니라 “필연”

 

잠시 후 이어진 2부는 지난 2009년 7•7 DDoS 대란 당시 안철수연구소를 찾은 국내외 언론과의 인터뷰 등의 영상으로 시작됐다. 이어 ‘ACCESS 전략 기반의 입체적인 DDoS 공격 대응 기법’이라는 주제로 제품마케팅팀 김우겸 대리가 발표를 시작했다. 김우겸 대리는 우선 2006년부터 2009년까지의 DDoS 공격 양상 변화를 간략하게 설명했다. 특히 지난 2009년 7•7 DDoS 대란으로 크게 이슈화 되었다가 상대적으로 최근에는 DDoS가 이슈가 되지 못 하고 있다고 말했다. 그러나 “안철수연구소 보안관제 고객사 이벤트 분석 결과 매달 2위 또는 1위가 될 만큼 여전히 DDoS 공격이 많이 발생하고 있다”며 DDoS 공격의 심각성을 전했다. 특히 DDoS 공격을 위한 다양한 툴도 나타나고 있으며 공격 툴 제작 의뢰나 청부 공격 형태 등 보다 능동적이고 지능적인 공격이 발생하고 있다고 말했다. 이어 “사업자 입장에서 말하자면 이제 인터넷에서 사업을 하려면 DDoS 대응은 선택이 아니라 필연적으로 해야 한다”고 강조했다. 

또한 김우겸 대리는 “기존에 많은 DDoS 장비들이 있지만 새롭게 발전하고 있는 공격 툴은 물론 소규모 정밀 타격형 DDoS 공격에 대응하기 위해서는 요구사항 정책 자체가 세밀화되어야 한다”고 조언했다. 일반적으로 대다수의 DDoS 장비들은 기존 플러딩(flooding) 형태의 DDoS 공격에만 초점을 맞추고 있다. 그러나 지난 7•7 DDoS 대란에는 소규모의 정밀 타격형 DDoS 공격이 나타나 기존 DDoS 장비들로는 방어가 불가능했으며 서비스 장애가 유발되었다는 것이다. 즉, 단순히 임계치로 DDoS 공격 여부를 판단할 경우 오탐이 발생할 수 밖에 없기 때문에 기존의 임계치 기반과는 차별화된 정상/비정상 트래픽에 대한 정확한 판단이 필요하다. 특히 새로운 공격 분석 유형에 대해 빠르게 대응할 수 있는 기술력이 필요하다는 것이 김우겸 대리의 설명이다. 이어 “단순히 서버뿐만 아니라 서비스 인프라도 보호해야 한다는 것이 우리 안철수연구소의 생각”이라며 “운영적인 영역까지도 DDoS 대응의 카테고리로 생각해야 한다”는 말로 네트워크 기반뿐만 아니라 시스템 기반에서도 대응이 필요하다는 것을 강조했다.

(사진: 제품마케팅팀 김우겸 대리는 “DDoS 대응은 선택이 아니라 필연적으로 해야 한다”고 강조했다.)

다각도의 DDoS 대응 필요해

김우겸 대리는 변화하는 DDoS 공격 양상에 대한 대응책으로 중앙에서 악성코드를 수집, 관리, 배포하는 ACCESS 전략과 연계된 안랩 트러스가드 DPX(AhnLab TrusGuard DPX, 이하 트러스가드 DPX)를 제안했다. 그는 “DDoS 트래픽을 유발하는 악성코드 자체까지 제거하는 인프라를 제공하고 있다”는 말로 자신감을 표했다. 안철수연구소 트러스가드(TrusGuard) 전 제품에는 국제 특허를 받은 DDoS 방어 전용 엔진이 탑재되어 있다. 그리고 그 중에서도 DDoS 공격에 특화된 제품인 트러스가드 DPX는 좀비 감염 방지 업데이트, 신규 공격 방어 업데이트뿐만 아니라 각각의 보호 대상에 따라 정책 설정이 가능하다는 것이 김우겸 대리의 설명이다. 즉, 별도의 정책에 따라 각각의 대상마다 임계치를 따로 설정할 수 있어 정상적인 사용자의 이용을 보호할 수 있을 뿐만 아니라 임계치를 넘지 않더라도 비정상적인 트래픽이면 차단이 가능하다는 것이다. 또한 출발지가 동일한 트래픽에 정상적인 트래픽과 비정상 트래픽이 섞여 있을 경우에도 이를 구분해낼 수 있는 기능을 제공하고 있기 때문에 날로 지능적으로 변화하는 DDoS 공격을 효과적으로 방어할 수 있다. 특히 타사 제품들이 제공하는 인라인(Inline) 구성 방식뿐만 아니라 아웃오브패스(Out of Path) 구성 방식의 클러스터를 동시에 지원하는 제품으로, 네트워크 담당자들의 선택의 폭을 넓게 해준다는 것이 특징이다.

한편 김우겸 대리는 “스마트폰, 아이패드, 갤럭시탭 등 스마트 디바이스들을 업무에 활용할 경우 스마트워크 프로세스에 대응하기 위한 인프라도 제공하고 있다”고 전했다. 이어 행사장의 제약 때문에 동영상으로 시연을 대신했는데, 아이폰을 비롯해 갤럭시 S, 아이패드에서 트러스가드 DPX의 리포팅 화면 구동되는 장면에 참관객들의 시선이 집중됐다. 김우겸 대리는 “장소에 구애 받지 않고 어디에서든 스마트 디바이스로 직접 DDoS 현황을 볼 수 있게 되어있다”며 스마트 워크(smart work)를 구현할 수 있는 인프라라는 것을 강조했다.
이와 같은 김우겸 대리의 발표와 관련해 김홍선 대표는 “지난 2009년 7•7 DDoS 대란 직후, 이후의 대응에 대해 어떻게 관측하느냐는 질문을 받은 적이 있다”면서 “이에 대해 좋지 않은 시나리오는 DDoS 장비 하드웨어를 구입해서 DDoS에 대비했다고 하는 것이라고 답한 적이 있다”고 언급했다. 결국 실제로 그런 일이 많이 일어났다며 안타까움을 표한 김홍선 대표는 “DDoS 공격은 우리가 알 수 없는 PC로부터 발생하는 것인 만큼 악성코드라는 근본적인 원인을 차단해야 하는 것”이라며 “DDoS 대응은 서비스 초점에서 시작해야 하는 것이지 장비 초점에서 시작해서는 안 된다”고 강조했다.

기업의 핵심역량 집중을 위한 보안관제

 

2부의 두 번째 세션은 안철수연구소의 보안관제 서비스에 대한 소개와 보안 관제의 전반적인 트렌드에 관한 내용으로 진행됐다. 아기돼지 삼형제에 관한 그림으로 발표를 시작한 사업기획팀 이상구 차장은 “현존하는 ‘늑대’라는 ‘외부의 위협’에 대응하기 위해서는 그 위협보다 강한 건물, 대응책을 준비해야 하며 늑대가 어떻게 움직이고 있는지 관찰하여 지붕으로 들어오는 것도 대처해야 한다”는 비유로 보안의 전제를 설명했다. 이어 “보안관제란 집을 튼튼하게 잘 짓고 잘 지키는 것”이라며 “기업의 주 업무는 보안관리가 아닌 만큼 핵심 비즈니스에 역량을 집중하고 대신 보안은 관제 서비스에 맡기는 것”이라고 말했다. 이상구 차장은 “안철수연구소는 ASEC과 CERT의 유기적인 결합으로 체계적인 보안 관제 서비스 제공하고 있다”며 “엔드 유저부터 호스트 레벨까지, 또 사전 위협부터 사후 대응까지 전 방위적으로 종합적인 대응 가능하다”고 밝혔다.

이어 웹 2.0 시대의 특징과 더불어 보안 위협도 계속적으로 증가하고 있다고 설명하며 특히 은닉, 다양한 타겟을 대상으로 한 대량 유포형 등 웹을 이용한 위협이 증가하고 있다고 말했다. “웹 취약점을 이용한 공격 증가가 첫 번째 특징”이라며 “특히 우회할 수 있는 웹쉘 같은 공격에는 기존 보안 장비들은 취약하다”고 설명했다. 감염된 웹 서버에 악성코드를 심고 이용자에게 전달되는 콘텐츠의 유해성 탐지 방법이 없기 때문이다. 이상구 차장은 “웹셀은 정상과 비정상을 구분하기가 상당히 어려워 이를 구분하기 위해서는 분석가 수준의 역량이 필요하다”며 “따라서 안철수연구소 같은 보안관제 서비스의 전문가가 필요하다”고 말했다. 또한 “한번 취약점을 개선해도 페이지 업데이트 등의 과정에서 또 다른 취약점 생긴다”고 설명하고 “특히 웹쉘은 자기 인증 부여, 다양한 인코딩, 기능 복합화를 통한 변종/진화 등으로 탐지가 어렵다”고 덧붙였다. 이어 “한정된 인력으로 이를 직접 검사하는 것도 어렵지만 웹쉘 코드의 유해성 여부를 판단하는 것 자체도 전문가가 아니면 어렵다”며 “새로운 웹 위협과 관련해 이용자에게 전달되는 콘텐츠에 대한 방안이 요구된다”는 말로 발표를 마쳤다.

(사진: 사업기획팀 이상구 차장의 '보안 관제 트렌드 및 안랩 서비스 소개'에 기업 보안관리자들의 관심이 집중됐다.)

기업의 파산까지 야기하는 트랜잭션 보안 위협

 

‘트랜잭션 보안’을 주제로 한 3부의 첫 세션 발표에 나선 사업기획팀 김창희 과장은 ‘안랩뱅크닷컴’이라는 가상으로 구성된 인터넷 뱅킹 사이트 화면과 함께 발표를 시작했다. 이어 국내외 은행 해킹 실제 사건과 관련된 언론 보도를 언급한 김창희 과장은 “과거에는 단순한 키로깅 공격, 화면 캡쳐, PC 파일 탈취 등 단위 단의 공격이었다면 최근에는 복합적이고 입체적으로 모든 트랜잭션 자체를 노리고 있다”고 말했다. 실제로 최근 미국의 한 은행을 파산 위기로 몰아넣은 해킹 툴인 제우스(ZeuS)는 HTML 인젝션 공격을 비롯해 웹 페이지 삽입 공격으로 다른 페이지를 삽입하여 그곳에 입력되는 정보를 탈취할 수 있을 뿐만 아니라 이미 설치된 제우스는 다른 용도로 사용 가능한 것으로 알려져 있다. 김창희 과장은 이 외에도 “온라인 뱅킹 뿐만 아니라 온라인 주식 거래에서 주가를 위•변조 하여 작전 주를 편다거나 다른 범죄에 이용할 수 있는 툴도 있다”며 “단순한 공격으로부터 모든 트랜잭션 공격까지 공격이 진화되고 있다”고 설명했다. 이와 관련해 “안랩 온라인 시큐리티 2.0(AhnLab Online Security 2.0, 이하 AOS)은 다양한 환경과 공격에 대응하기 위해 제공되는 솔루션”이라며 “다양한 브라우저를 지원해 웹 접근성의 측면에서도 많은 도움이 되고 있다”고 말했다. 이어 “기존에는 금융권에 많이 적용되어 있었지만 최근에는 주식 분야에도 AOS 시큐어브라우저(Secure Browser)가 도입되고 있다”며 “온라인게임, 포털, 온라인 교육 등 트랜잭션이 있는 곳이라면 어디든 적용 가능하다”고 설명했다. 또한 개인의 트랜잭션 보호를 위해 안랩 사이트가드(AhnLab SiteGuard)를 무료로 배포하고 있으며 “현재 천 2백만 명 사용 중”이라고 밝혔다.

이어 김창희 과장은 ‘웹 환경이 변화하는 가운데 기존의 방화벽들이 제 역할을 할 수 있을 것인가’하는 화두를 던졌다. 그는 일반인들이 많이 이용하는 사이트에서 악성코드가 많이 유포되고 있다는 점을 들며 웹 2.0의 특성을 이용해 유포, 변종이 되기 때문에 맬웨어 2.0으로 불리고 있다고 설명했다. 김창희 과장은 “특히 제휴 등에 의해 타 사이트의 콘텐츠가 들어왔을 경우 웹 방화벽으로 탐지하기 어렵다”며 “웹도 변화하고 있고, 악성코드도 변화하고 있기 때문에 보안도 사용자 관점에서 콘텐츠 중심으로 변화해야 한다”고 강조했다. 이어 “이러한 개념에서 개발된 것이 안랩 사이트케어(AhnLab Site Care)”라며 “웹 브라우저 관점에서의 ‘콘텐츠 검사’를 실현시킨 솔루션”이라고 설명했다.

(사진: 사업기획팀 김창희 과장은 “단순한 공격으로부터 모든 트랜잭션 공격까지 공격이 진화되고 있다”고 말했다.)

‘클라우드’로 모바일 보안의 한계 넘는다

마지막 세션인 스마트폰 보안 솔루션에 관한 발표가 진행되기에 앞서 김홍선 대표는 “전에도 몇 번 언급했고, 블로그에 글을 쓰기도 했지만 스마트폰의 보안 위협에 관해서 과장된 측면이 있다”고 말을 꺼내며 “전문 용어를 사용해가며 위협을 과장해서 일반인들을 협박하는 듯한 행태는 옳지 않다”고 말했다. 그러나 “스마트폰에서는 PC에서 일어나는 모든 문제가 나타날 수 있어 위협적인 것은 사실”이라며 “물론 준비는 해야 하지만 아직 구체적인 위협은 아니다”고 말했다. 이어 선대응의 관점에서 “안철수연구소는 이미 국내 시장에 스마트폰이 도입 전에 해외 고객들을 위한 모바일 보안 솔루션 준비하고 제공해왔다”고 덧붙였다.

이와 관련해 모바일개발팀 최은혁 팀장의 ‘스마트폰 보안 위협 대응 방안’이라는 주제 발표가 이어졌다. 최은혁 팀장은 먼저 “아이폰이 출시된 지 이제 딱 1년”이라며 “그런데 국내 스마트폰 이용자는 전체 휴대전화 사용자 중 15%에 달한다”는 설명으로 급변하는 스마트폰 환경을 언급했다. 이어 “안철수연구소는 피쳐폰부터 시작해서 벌써 10년이나 모바일 보안에 대응해 왔지만 지금만큼 힘든 적이 없었다”며 “너무나 다양한 영역에 대해서 대응해야 하기 때문”이라고 그 이유를 설명했다. 또한 “모바일 오피스를 구현했을 때 이 스마트폰의 보안을 어떻게 할 것인가를 많이 고민하고 계실 것”이라며 현재 많은 기업 보안 담당자들과 의사 결정권자들이 느끼는 어려움을 언급했다. 또한 이에 대해 안철수연구소가 무엇을 제공할 것인지에 관해서도 이야기하겠다고 덧붙였다.

최은혁 팀장은 우선 현재 스마트폰과 관련해 알려진 위협으로 “스마트폰에 다운로드 한 애플리케이션이 실제 용도가 설명되어있던 것과는 다른 경우라든가 기존 PC를 통한 인터넷 위협과 마찬가지로 접속한 웹 페이지가 다른 경우 등이 있다”고 말했다. 또한 해외에서 개발된 모바일 게임에 한글 광고가 표시될 수가 있는데, 이것은 이용자가 한국에 있다는 것이 파악되고 있다는 것이며 이를 통한 개인정보 탈취 등 악용될 소지가 있음을 예측할 수 있다고 설명했다.

최은혁 팀장은 또한 스마트폰의 ‘휴대 전화’로서의 특징을 악용한 위협 요인도 존재한다고 덧붙였다. 일례로 스마트폰에 저장된 ‘주소록’을 이용한 피싱을 생각해 볼 수 있는데, 주소록에 등록된 지인에게 금전 이체를 요구하는 메시지를 전달하는 경우다. 이에 관해 최은혁 팀장은 “보이스 피싱과 달리 스마트폰은 무작위가 아니라 메시지를 보낸 대상을 알고 있다는 것이 문제”라며 “메시지를 보낸 상대방에 대해 의심 없이 믿고 금전 이체를 해주게 된다”고 우려했다.
그러나 이 보다 더 우려해야 할 것은 이처럼 알려진 위협뿐만 아니라 ‘알려지지 않은 위협에는 어떻게 대응할 것인가’라고 최은혁 팀장은 지적했다. 이어 이에 대한 해법으로 행위 기반의 분석 방법이 있다면서도 “문제는 스마트폰은 리소스의 제한이 있는 반면 응답 속도는 빨라야 한다”고 말했다. 즉, 스마트폰의 프로그램은 구동되기까지 10초 이상 지연되면 이용자들에게 외면당하기 때문에 “보안 자체도 일정 시간을 넘어가면 안 된다”는 것이 최은혁 팀장의 설명이다. 이와 더불어 배터리 소모의 이슈와 프로그램 리소스 이슈도 스마트폰용 보안 프로그램의 난제로 지적되고 있다.

이러한 이슈들에 대해 최은혁 팀장은 “그 답은 클라우드와의 연계”라며 “이제는 3G 무제한 이용제나 와이파이가 있어 클라우드 기반이 문제되지 않는다”고 말했다. 특히 클라우드와 연계한 모바일 보안 프로그램은 리소스 문제를 극적으로 해결해 줄 것으로 보인다는 것이 최은혁 팀장의 설명이다. 현재 모바일 보안은 PC에서처럼 주기적으로 업데이트 또는 자동 업데이트를 할 경우 애플리케이션이 지속적으로 작동해야 하기 때문에 리소스 등의 문제로 실시간 검사가 부담이 되는 것이 현실이다. 즉, 디바이스 디펜던시가 높다는 것이다. 그러나 클라우드와의 연계를 통해 스마트폰은 단순히 에이전트 역할만 하고 악성코드 등은 클라우드 서버에서 판단하며 모든 디바이스로 쉽게 접근 가능하게 된다. 또한 사용자가 번번히 업데이트 하는 게 아니라 클라우드의 최신 업데이트 된 정보가 이용되므로 편리하고 더욱 안전하게 스마트폰을 이용할 수 있다는 것이다. 최은혁 팀장은 내년 상반기 제공을 목표로 시큐리티 클라우드 서비스를 연계한 모바일 보안을 진행 중이라고 밝혔다.

(사진: 모바일개발팀 최은혁 팀장은 “시큐리티 클라우드 서비스를 연계한 모바일 보안을 진행 중”이라고 밝혔다.)

모바일 오피스 구현, 스마트폰 보안부터 해결해야 

최은혁 팀장은 클라우드를 통한 모바일 보안의 가장 큰 장점은 “가상화 환경에서의 에뮬레이션(emulation)”이라고 설명했다. 즉, 스마트폰 안에서 발생하는 네트워킹이 외부로 어떤 형태가 되어 나갈지를 클라우드에서 테스트할 수 있다는 것이다.
‘소프트웨어는 유기체’라고 표현한 최은혁 팀장은 “소프트웨어는 설치된 채로만 있는 것이 아니라 늘 업데이트를 한다”며 “업데이트를 하면서 소프트웨어가 어떻게 바뀔지 알 수 없다”고 말했다. 즉, “타임라인을 바꿔가며 어떻게 변화하는지를 분석해야 한다”는 것이 최은혁 팀장의 설명이다.

최은혁 팀장은 앞서 언급했던 대로 모바일 오피스 구현과 관련한 스마트폰 보안에 관해 안철수연구소가 제공하게 될 대응 방안에 대해 언급하며 발표를 마무리했다. 그는 “스마트폰은 그 자체가 회사의 자산”이라며 “스마트폰 추적 기능은 물론 스마트폰 분실 시 원격지에서 데이터를 사용할 수 없도록 하는 락(lock) 기능 등을 제공할 것”이라고 밝혔다. 또한 “기업 내 스마트폰은 하나의 디바이스”라며 “스마트폰 기기들에 대한 관리 정책, 즉 스마트폰에 대한 정책을 설정하고 비정상적인 행위를 파악하는 기능을 제공할 것”이라고 말했다. 특히 ASEC(시큐리티대응센터)의 악성코드 수집 및 분석 능력과 CERT(침해사고대응팀)의 위협 모니터링 및 대응 서비스를 지능형 기술로 융합한 안철수연구소의 ACCESS(AhnLab Cloud Computing E-Security Service) 전략으로 PC 보안과 동일한 수준의 보안 대응 및 PC와 스마트폰이 융합되는 서비스를 제공할 것이라고 최은혁 팀장은 설명했다.

새로운 시대를 헤쳐나가기 위한 입체적인 보안

스마트폰 보안 위협 대응 방안까지 총 6개의 세션이 3시간여 동안 진행된 이번 행사는 김홍선 대표가 마무리했다. 김홍선 대표는 기조 연설에 이어 다시 한 번 급변하는 IT 환경 변화를 강조하고 “이제는 일반인들, 고객들이 더 많이 아는 스마트한 시대”라며 “IT 종사자들이 인지해야 할 부분이 바로 이러한 것”이라고 말했다. 아울러 보안 산업의 미래와 관련해 “정보보안은 끊임없는 지식기반 사회의 핵심이 될 수 밖에 없다”며 “한정된 시각에서 보는 것은 바뀌어야 한다”고 말했다. 특히 “기존의 기술적인 접근이 아니라 행위를 중심으로 접근해야 한다”며 “고객들이 편하게 사용하면서도 안전해야 한다”는 보안의 실효성을 강조했다. 아울러 보안과 관련된 법제 등에 대해서도 기존의 인프라 중심의 정책에서 소프트웨어 및 콘텐츠 등 사용자 중심의 보안 정책이 마련되어야 한다고 강조했다.

또한 “정보를 한정적인 것으로 막는 것이 더 이상 보호가 아니다”라며 “입체적으로 실제 문제를 해결하는 것이 앞으로 보안이 나아가야 할 길”이라고 단언하고 “입체적이라는 것을 강조하는 것은 현장에서 일어나고 있는 일이기 때문”이라고 덧붙였다. 이어 “안철수 연구소의 답은 공격과 위협을 지능적으로 분석하는 엔진과 같은 시스템을 클라우드라는 엔진을 중심으로 유기적으로 대응한다는 것”이라고 설명했다. 또한 김홍선 대표는 CERT와 ASEC의 결합을 통한 복합적• 구조적 대응과 자체 기술력, 즉 원천 기술의 보유를 비롯해 대기업 및 제조업 현장에서 적용하고 있는 다양한 실전 경험 등이 안철수연구소의 강점이라고 자신감을 표했다. 끝으로 “안철수연구소는 포인트 기술이 아니라 근본적인 문제들, 위협의 근본, 사이버 공격의 특성에 맞춘 기술, 솔루션을 제공할 수 있다”고 강조한 김홍선 대표는 “사고의 방향을 바꿔야 스마트 워크 등 새로운 시대를 헤쳐나갈 수 있다”는 말로 참관객들의 뜨거운 박수를 받으며 이 날의 행사를 마무리 지었다.

[mini interview]

실질적인 진단율 1위 V3, 고객이 함께 만든다

“국내 유통되는 악성코드 처리는 V3가 단연 1위”
“고객들의 악성코드 샘플 수집 동의가 국내 백신 독립과 발전에 상당한 기여”

악성코드는 신속하고 전문적인 분석 능력이 요구된다. 게다가 새로운 방식의 악성코드들은 기존 방식만으로는 대응하기 어려운 것이 현실이다. 이와 관련해 악성코드를 잡아내는 백신의 기본, 즉 진단율에 대해 안철수연구소 ASEC팀 전성학 본부장의 말을 들어봤다.

전성학 본부장은 일반적으로 진단율을 비교하는 전제부터가 오해의 소지가 있다고 설명했다. 그는 “일반적으로 ‘진단율이 높다’고 말하는 것은 글로벌 샘플들에 대한 진단율이 높다는 것”이라며 “이것은 국내와는 전혀 상관없는 환경인 경우가 많다”고 말했다. 즉, 글로벌 샘플에 대한 진단율 비교는 당연히 해외에서 수집된 글로벌 샘플에 대한 DB를 운용하는 글로벌 회사의 백신 및 해외 백신 엔진의 높게 나올 수 밖에 없다는 것. 그러나 국내에서 실제 발생되고 유통되고 있는 악성코드에 대해서는 외산 백신의 진단율이 국산 백신인 V3 보다 낮을 수 밖에 없다고 전성학 본부장은 지적했다. “우리는 국내 고객들로부터 접수되는 샘플을 이용하고 있으며, 따라서 국내에서 발견, 접수되는 진단율 통계에서는 V3가 단연 1위”라는 것이 전성학 본부장의 설명이다. 결국 실질적으로 가장 뛰어난 진단율에도 불구하고 해외 악성코드 샘플을 기준으로 한 비교 때문에 V3는 실제에 못 미치는 평가를 받거나 오해를 살 수도 있다는 것이다.

 

그렇다면 이에 대한 적극적인 대응이 필요하지는 않을까? 이와 관련해 전성학 본부장은 “물론 얼마든지 해외 샘플을 구입하고 그에 대한 DB를 업데이트해서 통계를 높일 수는 있다”면서도 “하지만 국내 환경에는 대부분 무관한 악성코드들에 대한 진단율을 높여 마케팅 측면에서의 통계 수치만 높이는 것은 무의미하다고 생각한다”고 확고한 소신을 밝혔다. .

 

 

이어 전성학 본부장은 “외산 백신을 이용하고 있는 국내 백신 업체들 중이 진단율과 관련해 긍정적인 평가를 받는 경우도 있다”며 “그러나 문제는 국내에서 발견된 악성코드 샘플을 처리하는데 시간이 걸린다는 것”이라고 지적했다. 즉, 이러한 업체들은 샘플을 외산 엔진의 본사로 보내 분석을 요청하고 엔진 업데이트가 되기를 기다려야 한다는 것이다. 이에 반해 안철수연구소는 ASEC과 CERT를 동시에 보유해 V3는 업데이트까지 소요되는 시간이 훨씬 적다고 전성학 본부장은 설명했다. 또한 “안랩 스마트디펜스 기술과 DNA 스캔 기술까지 접목돼 보다 효과적으로 악성코드를 분석, 대응하고 있다”며 “그 결과 현재 V3의 진단율은 전 세계 어느 백신과 비교해도 뒤지지 않는다”며 자신감을 드러냈다.

안랩 스마트디펜스(AhnLab Smart Defense, 이하 ASD) 기술은 클라우드 안티바이러스(Cloud Anti-Virus) 시스템으로, 악성코드에 대한 모든 정보는 인터넷 서버상에 보관되고 사용자 PC에서는 인터넷 서버에 정보를 요청해 악성코드를 검사하는 방식으로 운영된다. 즉, ASD 서버는 막대한 양의 악성코드 정보를 갖고 있을 뿐만 아니라 실시간으로 새로운 악성코드에 대한 정보를 분석해 사용자에게 제공하기 때문에 사용자 PC의 리소스 부담은 극소화하면서도 악성코드 차단 효과는 극대화된다는 것이다. 최근 안철수연구소는 이러한 ASD 기술에 DNA 스캔 기술까지 접목했다. 이에 관해 전성학 본부장은“기존의 탐지 기술보다 더욱 뛰어난 기술, 신속한 대응을 위한 기술 개발 및 적용에 노력을 기울이고 있다”며 “그렇기 때문에 안철수연구소의 V3가 국내 접수된 악성코드 처리에서 가장 뛰어난 성적을 거둘 수 있는 것”이라고 말했다.

 

또한 전성학 본부장의 설명에 따르면 일반적으로 같은 악성코드의 경우에도 수십, 수천 개의 변형파일을 만들어 낸다. 그러나 이렇게 만들어진 변형파일은 새로운 변형이라도 파일 DNA 특성이 같은 경우가 대부분이다. 전성학 본부장은 “1억 4천만 개의 샘플을 수집, 분석한 결과 일정한 룰이 있음을 확인했다”며 이를 토대로 DNA 스캔 기술을 개발했다고 설명했다. 예를 들어 ASD 서버에 새로운 파일이 접수되어 파일 DNA를 추출했는데 이것이 기존 악성코드의 DNA와 일치한다면 이것은 즉시 악성코드로 분류된다. 따라서 변형된 악성코드도 V3Lite와 ASD를 사용하는 환경에서는 더 이상 확산되지 않고 사전방역 된다는 것이 전성학 본부장의 설명이다.

한편 지난 10월 26일을 기준으로 안철수연구소의 개인용 무료 백신 V3 Lite의 사용자가 2,000만 명을 돌파했다. 이와 관련해 전성학 본부장은 “그 중 800만 명의 이용자들이 매일 V3 Lite를 가동시키고 사전 동의를 통해 자동적으로 우리에게 샘플을 제공해주고 있다”며 “따라서 V3는 고객이 같이 만들어가는 백신”이라고 말했다. 즉, V3 Lite 사용자는 최신 엔진에 대한 혜택을 보는 동시에 V3 Lite가 더욱 최신 엔진이 되도록 수 있도록 적극적인 동참을 하고 있는 셈이다. 이에 전성학 본부장은 “V3 V3 Lite 고객들의 악성코드 샘플 수집 동의는 V3의 성능뿐만 아니라 더 나아가 외산 엔진을 쓰지 않는 국내산 백신의 독립과 발전에 상당한 기여를 하고 있는 것이다”며 V3 Lite 이용자들의 악성코드 자동 수집 동의에 진심 어린 감사의 뜻을 표했다. 아울러 더 많은 인터넷 이용자들이 V3 Lite를 통한 악성코드 자동 수집에 동의해주기를 바란다는 희망을 전했다. 더 많은 사람들이 V3 Lite를 사용하면 그 만큼 신종 샘플이 제공될 확률이 높아지는 것이고, 그 만큼 더 빨리 악성코드를 찾아내 보다 안전한 인터넷 환경을 구축할 수 있기 때문이다. 그것이 바로 전성학 본부장이 말하는 “안철수연구소가 더욱 뛰어난 기술을 개발하기 위해 노력”하는 이유’다.@

 

사진: 안철수연구소 ASEC팀 전성학 본부장