[지디넷코리아]웹사이트 홈페이지에 ‘중국인들이 해킹하다’는 메시지가 떴다는 사실을 알았는가? 이와 관련된 전자우편이나 전화 문의 내용은 웹 서버에 이상이 있다는 사실을 어떻게 발견하느냐 하는 것이 아닌 얼마나 많은 사이트 관리자들이 자신들이 관리하고 있는 시스템이 코드 레드 웜에 감염됐는지를 어떻게 알 수 있느냐 하는 것이다. 관리자들은 어떤 조치를 취할 것인지를 결정해야 한다.

이 문제의 해결책을 찾고 해결책에 따라 조치를 취하는 것이 기업 보안 4단계 ‘대응’의 내용이다. 보안 허점에 대응하는 방법으로는 해킹을 방지하는 것 뿐 아니라 해킹을 통해 배우고 앞으로의 해킹을 미연에 방지하는 것도 포함된다.

웜, 바이러스, 전용 크래커 툴 등을 통한 공격에 대응하기 위해서 취해야 할 기술적인 절차는 사업 부문이나 공격받은 시스템의 목적이 무엇이건 간에 상관없이 본질적으로 동일하다. 데이터베이스나 전자상거래 시스템과 같은 미션 크리티컬 시스템의 감염에 대한 적극적인 대처는 논리적인 것처럼 보이지만 감염되지 않은 시스템조차도 위험하기는 마찬가지이다.

공격에 대한 비기술적인 대응은 사업 유형에 따라 각기 달라진다. 예를 들어, 정부 기관은 사기업들과는 다른 방식으로 대응을 하게 된다. 어떤 경우에나 공격에 대한 대응에는 다음과 같은 절차들이 필수적으로 포함돼야 한다.

공격을 중지시킨다
감염된 시스템은 즉시 인터넷 연결을 끊고 감염된 프로그램의 확산을 차단해야 한다.
문제를 알리는 전자우편을 받거나 IDS(Intrusion Detection System)에서 공격을 감지하거나 시스템에서 설명할 수 없는 파일을 발견한 경우를 가정해보자. 문제를 해결하는 도중에도 시스템을 계속 운영하고 싶겠지만 절대로 그렇게 해서는 안된다. 기업의 웹사이트 혹은 중요한 서버일 경우에는 백업 시스템을 설치해야 한다.

웜이나 크래커의 공격을 받은 경우 시스템이 접속돼 있다면 네트워크의 다른 시스템이 감염되거나 다른 회사의 시스템이 공격을 받을 수도 있다. 다른 업체의 대응 전략에 의존할 수는 없다. 이러한 전략들이 실효성이 없을 수도 있기 때문이다.

그러나 의심이 간다고 해서 무조건 시스템을 꺼버리라는 것은 아니다. 연결을 끊는 것만으로도 충분하다.

경험에서 배운다
감염된 시스템은 깨끗하게 정리해야 하지만 먼저 시스템이 어떻게 감염됐는지 원인을 파악해야 한다. 코드 레드와 같은 웜들은 손상된 부분이 금방 드러나기 때문에 발견하기가 어렵지 않다. 그러나 어떤 웜들은 감염 여부를 쉽게 알아낼 수 없고 크래커가 시스템을 마음대로 조정한 경우 원인을 찾는 것이 거의 불가능할 수도 있다.

IDS는 기업 시스템의 불법적인 사용을 감지할 수 있지만 크래커와 웜은 네트워크 트래픽과 일반 포트에 숨을 수도 있다. 그러나 원인을 찾기 위한 여러 가지 조치를 취할 수 있다.