[지디넷코리아]인터넷 보안은 10년이 채 되지 않아 소수만의 화제거리에서 현대 컴퓨팅의 핵심 부분으로 자리잡기에 이르렀다. 그러나 정보 보안을 단지 IT 부서의 문제에서 벗어나 모든 직원들에게 적용되는 중요 업무로 간주하는 기업은 아직도 찾아보기 드문게 현실이다.

불행하게도 대다수 기업, 특히 고위 경영진들은 기보유한 컴퓨터 시스템이 안전하다고 착각하는 경우가 많다. 사실 여부를 떠나 이것이 실제로 맞는지 검증하는 유일한 방법은 컴퓨터 시스템에 대해 철저한 감사를 실시하는 것이다. 그러나 많은 회사들이 일단 정기적인 보안 감사를 수행하고 있다 하더라도 업무 프로세스 내부에 완전히 통합시키진 못하고 있다.

본인은 기업들이 인터넷·정보 보안 전략을 가설에 의존해 수립하는 경우를 수없이 봐왔다. 게다가 대다수 담당자들은 가설을 설정하는 데 별 고민없이 적용하는 통용 문구에 너무 친숙한 것도 사실이다.

여기서 주기적인 컴퓨터 보안 감사를 수행하는 데 실패했다고 기업들을 비난하려 하는 것은 아니다. 솔직히 컴퓨터 시스템을 포괄적으로 처리, 해석하는 작업의 복합성과 다양성은 그 컴퓨터 시스템 자체에 필적하는 수준의 난이도를 보인다.

현재 수십가지의 상용 네트워크·컴퓨터 보안 감사 프로그램이 제공되고 있다. 이 중 몇가지 툴을 직접 사용해봤지만 솔직히 그렇게 눈에 쏙 들어오는 제품을 발견하진 못했다. 대다수 툴들이 유용한 정보를 산더미처럼 쏟아냈지만 이렇게 배출되는 데이터로 뭘 할수 있는지 이해한다는 것부터가 그리 간단한 작업이 아니다.

맞는 정보인지 판별하는 눈을 가져라
컴퓨터 네트워크와 시스템 보안 감사는 거의 대부분 동일한 방법에서 시작한다. 우선 자동화된 프로그램이 네트워크 장비의 유형을 식별하고 네트워크 내에 위치한 호스트의 정보를 수집한다. 또한 가능한 수준 내에서 호스트에 연결돼 ‘리스닝(listening)’ 상태에 있는 TCP/UDP 서비스 등도 탐색해내며 심지어는 인터넷 서비스를 공급하는 소프트웨어의 버전도 감지해내기까지 한다.

이 프로세스는 최소 2개 이상의 자동화된 탐색 절차에 기반을 두고 있다. 먼저 보통 방화벽 뒤에 위치한, 내부 네트워크에 대한 것이 있으며 다른 하나는 기업이 활용하는 인터넷 서브넷에 관한 것이다. 만약 보안 감사에 모든 내/외부 탐색 작업이 포함돼 있지 않다면, 네트워크 상에서의 호스트 위치에 대해 완벽한 구성도를 그리지 못할 것이다.

이에 덧붙여 본인은 기업들에게 가능할 때마다 자체 감사를 수행하도록 권장한다. 만약 그렇지 못하다면 인터넷 보안 서비스 업체와 계약을 맺고 이들의 서비스를 이용하도록 하라.

앞에서도 언급했지만 보안 감사는 막대한 양의 데이터를 산출해 낸다. 감사를 통해 혜택을 보고 싶다면 정보를 검토할 만반의 준비를 갖춰야 한다. 또한 컴퓨터 보안 감사가 실제로 공격받을 가능성이 없는 부분에서도 잠재적인 문제가 존재한다고 보고할 수 있다는 것을 이해해야 한다.

예를 들어보자. 몇 년간 내부 네트워크에서 고립된 상태로 유지되는 스위치의 펌웨어가 DoS 공격치 치명적인 결함을 가졌다고 판단될 수도 있는 것이다. 여기에 팔을 걷어붙이고 달려들어야 할까? 아마도 아닐 것이다.

또한 잘 알려지지 않은 TCP 시퀀스 번호 악용 대상으로 보고되는, 이미 날짜가 지난 보이스 메일 SW를 구동하는 구형 윈도우 NT 4 시스템에 관해서도 염려할 필요가 없다. 이 솔루션은 방화벽 뒤편에 위치해 보이스 메일 서비스와 관련한 특정 애플리케이션을 제외하고는 아무 것도 운영하지 않는다.

그러나 몇몇 문제들은 신중히 검토해봐야 한다. 예를 들어 특정한 목적으로 사용되는 윈도우 서버의 게스트 계정을 비활성 상태로 만드는 것은 바람직한 생각이다. 또한 DNS 서버에서는 DNS를 제외하고는 다른 서비스를 운영하면 안된다. 즉 윈도우 도메인 컨트롤러에서 IIS를 구동하면 안된다는 말이다.

그렇다고 보안 감사가 이런 이슈들을 항상 탐지해 내는 것은 아니다. 발견된 문제점들이 보안 상태에 실제로 영향을 끼치는 문제인지에 대해서는 토론을 진행할 수도 있을 것이다. 일단 의심이 가면 사용하지 않는 서비스는 비활성 상태로 만들고 필요한 보안 솔루션을 도입하는 결정을 내려야 한다.

하지만 보안 감사 그 자체에 있어 큰 문제는 보통 너무 많거나 또는 충분하지 않은 데이터를 산출해 낸다는 점이다. 데이터 부족, 또는 과잉은 잘못된 해석이나 심지어는 정보의 낭비로도 연결될 수 있다. 이로 인해 유발되는 두려움은 보안을 제대로 이해하지 못하는 기업들을 불필요한 설비나 서비스를 구매하도록 유도하는 데 있어 매우 효과적인 수단으로 자리잡고 있다.

예를 들어 한 회사에서 최근 행한 인터넷 보안 감사는 내부 네트워크에 대한 VPN 연결과 외부에서의 다이얼업 접속에 대한 보안 이슈를 완전히 무시한 바 있다. 이들 각각은 방화벽을 완전히 둘러싸고 있다.

이로 인해 감사를 수행한 기업은 취약한 펌웨어 때문에 작동 중인 내부 네트워크 설비의 기능을 보완하느라 바빴던 반면 VPN을 통해 외부 지점으로부터 유입된 베이글(Bagel) 웜 바이러스가 내부에 정신없이 확산되고 있었다.

무엇이 중요하고 무엇이 중요하지 않은지 아는 것은 인터넷·정보 보안을 이해하는 데 있어서 가장 핵심적인 부분으로 연결된다. 가설들은 옳을 수도 있는 반면 철처히 잘못된 경우도 부지기수다.

이를 확실히 하려면 조직 내 네트워크에 대한 정기적인 보안 감사를 실행하라. 또한 만약 특정한 TCP/UDP 서비스를 사용하고 있지 않다면, 모두 비활성화 하도록 하라. @