[지디넷코리아]필자의 직업은 모의 침투자(penetration tester)다. 아마도 이런 직업을 가진 사람을 주위에서 많이 보지 못했을 것이다. 필자 주위를 둘러 봐도 이 직업을 가진 사람은 국내에 통틀어 20~30명도 안 된다. 주로 보안 컨설팅 회사를 중심으로 존재하는 이 사람들은 이른바 ‘해커’ 출신인 경우가 많다.

이러한 모의 침투자 생활을 1년 넘게 하다 보니, 국내 사이트들의 보안 취약점들이 다들 비슷하고 몇 가지 유형으로 나누어진다는 것을 알게 됐다. 이렇게 얻어진 노하우들을 이 지면을 통해 공개하려고 한다. 물론 이러한 공개의 이유는 이 글을 읽는 여러분들이 어느 사이트를 해킹할 때 참고 자료로 사용하라는 것은 아니다. 이러한 정보를 이용해 자신들이 관리하는 기계는 얼마나 안전한지 점검할 수 있는 자료로 사용해 달라는 것이다.

모의 침투의 대상은 일반적으로 생각하는 웹 서버나 메일 서버 등의 서버 장비도 있지만 네트워크 장비나 MS 윈도우 서버, 개인용 컴퓨터들이 포함되는 경우도 많다. 각각의 경우에 모의 침투의 방법이 조금씩 다르고, 초점을 맞춰야 하는 부분이 다르다.
솔직히 필자가 처음 이 직업을 시작할 때 사실은 걱정이 많았다. 많은 사람들이 침투율을 중요하게 생각하는 듯 했고, 스스로도 얼마나 많은 시스템에 침투할 수 있을까 하는 걱정이 있기도 했다. 하지만 몇 달 만에 필자의 걱정은 기우였음이 밝혀졌다. 대상이 되는 대부분의 시스템은 패치가 잘 되어 있음에도 불구하고 침투가 아주 쉬운 경우가 태반이었다.

가끔 TV를 보면 보안 컨설팅사 대표가 나와서 모의 침투를 시행하면 대부분의 사이트가 뚫린다는 식으로 이야기한다. 일반인들은 그냥 회사 광고하려고 저러나 보다 했을지 모르지만 사실이 그러하다. 누군가 마음을 먹고 뚫을 생각을 한다면 대부분의 회사는 뚫릴 가능성이 100%에 가깝다는 이야기다. 그만큼 완벽한 보안을 이루기는 어렵다는 이야기가 된다.

이번에는 보안과 관련해 모든 부분을 살펴보기가 힘들기 때문에 우선 생활에 가장 밀접하고, 외부에 가장 많이 노출되어 있는 웹 애플리케이션 보안에 대한 부분에 중점을 두기로 한다. 여기에서 보여줄 것은 모의 침투의 개요와 실제 모의 침투 보고서 샘플이다. 이 모의 침투 보고서는 가상 사이트인 vulnerablesite.com에 대해 시행한 것으로 실제로 있을 수 있는 내용을 교육적인 목적을 위해 재편한 것이다. 이 보고서를 보면 알겠지만 웹 애플리케이션에 대한 보안만 잘 이루어도 침투율은 엄청나게 떨어질 것이다. 이 글이 침투율 0%에 수렴하는 보안을 이루기 위한 기초가 되기 바란다.

모의 침투의 정의
누군가 모의 침투에 대해 잘 정의해 놓은 사람이 있는지 모르겠다. 모의 침투라는 말을 보안 업계에서 누가 가장 먼저 사용했는지도 잘 모르겠다. 일반적으로 국내에서 통용되는 모의 침투의 의미는 실제 해커의 위치에서 대상이 되는 서버나 네트워크에 침투 시도를 하고 성공 여부를 결론짓는 것을 의미한다.
한마디로 해커들이 대상 네트워크나 시스템에 침투할 수 있는지 미리 테스트하는 것이라고 할 수 있다. 따라서 이러한 모의 침투를 가장 잘 시행할 수 있는 사람은 전직 해커들이라고 할 수 있다. 모의 침투라는 작업이 해커라는 존재와 뗄래야 뗄 수 없는 관계이므로 웬만한 보안 컨설팅 업체에는 이러한 해커라는 존재들이 있다. 그리고 그러한 존재들의 특색은 정말 개인별로 다르고 회사에 따라 다르다. 주로 패스워드 추측에 의존해 대부분의 시스템을 다 뚫어 버리는 무서운 존재들이 있는가 하면, 정석에 의거해 논리적으로 체크 리스트를 준비해서 시행하는 사람들도 있다. 물론 그 사이에서 적절한 위치에서 적절한 방법을 찾는 존재들도 있다.

모의 침투의 대상과 분류
대상은 서버나 PC 또는 네트워크 장비가 될 수 있으며 주로 침입자의 위치 설정에 따라서 외부 모의 침투와 내부 모의 침투로 나눌 수 있다. 외부 모의 침투는 외부에 존재하는 해커들의 입장에서 수행하는 모의 침투이고, 내부 모의 침투는 내부자의 권한을 가진 입장에서 수행하는 모의 침투다. 내부자 해킹의 비율이 높은 만큼 내부 모의 침투의 중요성도 낮지 않다.

해킹과 모의 침투의 차이
해킹과 모의 침투는 기본적으로 같은 일을 수행한다는 의미에서는 같다. 하지만 다른 점은 모의 침투는 대상이 되는 서버나 네트워크를 관리하는 관리자와 관리 기관의 승인을 받고 하는 해킹이라는 점이다. 같은 일을 하더라도 범법 행위가 될 수도 있고 보안 컨설팅을 위한 중요한 과정이 될 수도 있다. 만약 자신이 해커라고 생각하고, 크래킹을 하고 다닌다면, 차라리 보안 컨설팅을 위한 모의 침투자가 되는 것도 아주 현명한 판단이라고 생각한다. 억제할 수 없는 호기심을 아주 합법적인 방법으로 해소할 수 있는 방법이기 때문이다. 물론 그러한 과정이 더욱 합법적이기 위해서는 윤리성이라는 덕목을 필수적으로 갖추어야 한다.

가장 약한 부분의 보안 수준이 전체 보안 수준을 결정
이 가상 보고서는 아마 많은 사이트에 그대로 적용될 수도 있다. 그 만큼 여기에 제시된 항목들은 일반적이면서도 자주 나오는 취약점들이다. 이 보고서를 읽은 독자들은 보고서의 앞부분에 나온 문제의 해답을 얻었을 것이다. 최근 보안의 주요 이슈는 웹 애플리케이션 보안이다. 최근에는 방화벽이나 IDS가 없는 사이트는 아마 없을 것이다. 하지만 웹 애플리케이션 쪽은 아직 많이 신경을 쓰지 않는다. 항상 가장 약한 부분의 보안 수준이 전체의 보안 수준을 결정하게 되는데, 지금 가장 약한 부분은 바로 웹 애플리케이션이다.

웹 애플리케이션은 대부분 내부망의 데이터베이스 서버와 연동되는 경우가 많은데, 이러한 특징은 해커들에게 내부 망에 바로 접근할 수 있는 가능성을 열어줬다. 이 리포트에서도 볼 수 있듯 ‘ 문자 하나를 처리하지 못한 것으로 인해 내부 망의 데이터베이스 서버가 뚫리고, 그를 교두보로 다른 서버들이 차례로 뚫리게 됐다.

완벽한 보안을 위해서 패치만 하면 된다고 생각하면 오산이다. 패치는 기본일 뿐이다. 애플리케이션, 특히 웹 애플리케이션의 보안을 점검하는 것은 보안의 필수 요소다. 지금부터 SQL 인젝션이라든지, XSS(Cross Site Scripting), 파일 업로드 버그와 같은 웹 애플리케이션의 버그들이 자신이 관리하는 웹 사이트의 웹 애플리케이션에 존재하지 않는지 체크하도록 하자. @

▲ 가상 사이트「vulnerablesite.com」실제 침투기

[ 해커에 대한 미신 ] TV나 영화에서 볼 수 있듯 해커들이 머리를 길게 기르고 선글라스를 낀, 그러한 존재들은 아니다. 적어도 필자가 알고 있는 사람들은 다들 평범해 보이는 외모에 오히려 촌스럽기까지 한 패션을 추구하고 있다. 그리고 어디에 가도 그 사람이 해커인지 아닌지 분간하기는 힘들어 보인다. 일반인과의 차이점을 굳이 찾으라면 보통 사람보다 내성적인 사람들이 많고 착하다는 것이다. 물론 그렇지 않은 일반인의 예상에 딱 맞는 해커들도 존재한다. 록 가수를 연상시키는 긴 머리에 터프한 행동을 하는 해커들도 있다. 하지만 한 가지 중요한 것은 외모와 해킹 실력은 전혀 상관관계가 없다는 것이다. 겉으로 보이는 모습과 내면의 실력은 전혀 관계가 없다. 또한 해커에 대한 이야기가 나오면 빠지지 않는 것이 해커와 크래커의 비교다. 하지만 이러한 논의에서 간과되는 사실 하나는 같은 사람이 때에 따라서는 해커로 활동하다가 어느 순간에는 크래커가 될 수도 있다는 것이다. 그리고 한 번 크래커였다고 해서 만년 크래커로만 활동하지는 않는다. 많은 크래커들이 마음을 고쳐먹고 착하게 살기도 하기 때문이다. 자신이 크래커에 스크립트 키디라고 생각한다면 당장에 마음을 고쳐먹고 해커가 되려고 노력이라도 해보기 바란다. 파괴와 창조는 종이 한 장 차이다. 같은 일을 하더라도 상황에 따라서 창조적인 행위가 될 수 있다.