IT 분야에 있어 컴퓨터 바이러스만큼 광범위하게 알려진 주제는 없을 것이다.

전세계 규모의 네트워크가 갖춰진 환경에서 수많은 컴퓨터 바이러스 변종들은 각 시스템의 보안 취약성을 이곳저곳에 노출시키고 있다. 이런 공격에 대응하려면 돈을 많이 들이든가 아니면 공격이 어떻게 일어나는지 철저하게 이해하고 연구하는 작업이 뒷받침돼야 한다.

피터 스조는 ‘컴퓨터 바이러스 연구·방어의 기술(The Art of Computer Virus Research and Defense)’의 집필자다. 그는 이 책에서 바이러스 관련 용어들의 정의를 내리고 공격이 어떻게 전개되며 프로그래머들이 바이러스 방어 시스템을 우회하는 데 어떤 방법을 사용하는지 다루고 있다.

지피지기면 백전백승인 법. 그의 책 9장 ‘컴퓨터 웜의 전략(Strategies of Computer Worms)’은 이 곳에서 다운로드할 수 있다.

이번 인터뷰에서 피터 스조는 컴퓨터 바이러스의 범위가 바뀌고 있다는 점을 언급했다. 특히 그는 바이러스 프로그래머들이 돈과 직결되는 사항에 점차 눈을 돌리고 있다고 지적하며 바이러스나 여타 공격에 제대로 준비하지 않으면 큰 코 다칠 수 있다고 경고의 메시지를 보냈다.

최근까지도 바이러스와 웜은 다른 어떤 것들보다 특히나 더 귀찮은 존재들이다. 이 존재들의 발본색원에는 시간이 많이 걸릴뿐더러 간접적으로는 경제적 손실까지 초래하고 있다.

게다가 근래 들어 악용될 소지가 있는 정보를 빼내도록 만들어진 바이러스 사기 사례가 속출하고 있다. 즉 그러니까 특정한 경제적 이익을 목적으로 하는 바이러스가 등장하고 있다는 말이다. 바이러스 제작자들의 동기에 뭔가 변화가 일고 있다는 불길한 징조가 아닌가?

일단 우리는 바이러스 제작자 개인에게 이처럼 큰 현상금이 내걸린 것을 본적이 없다. 25만달러라는 금액이 특정 제작자 개인에 걸렸다는 점을 고려할 때 상당히 큰 금액이다. 개인적으로 이런 제도가 활성화되면 분명 크래커들의 악의적인 공격은 줄어들 것이라고 본다(역자 주 : 여기서 말하는 25만달러의 현상금은 지난 2003년 11월 MS가 MS블래스트 웜과 소빅 바이러스의 전파 책임자 각각에 대해 내건 것을 말한다.)

사실 바이러스가 문제를 많이 일으키고 있는 건 근래 대두된 현상이다. 전통적인 바이러스 제작자들은 지금과 같은 문제를 일으키지 않으려고 상당히 조심스러워한다. 그러나 분명히 크래커들은 변하고 있다. 새롭게 등장한 공격자들은 이들은 이제 조직된 범죄를 일으키는 심각한 사기꾼들이다.

이들 대다수는 컴퓨터 웜을 범죄에 활용하는 데 관심을 갖고 있다. 즉 웜을 사용하면 전세계의 시스템을 장악할 수 있으며 이렇게 장악한 시스템을 사용해 돈을 벌어볼 목적으로 금융사기에 이용되는 피싱(phising)이나 스팸 공격을 하는 것이다.다.

게다가 웜은 감염된 시스템에서 개인 정보를 훔쳐내는 데 이용될 수 있다. 여기에는 각 개인의 사회 보장 번호, 은행 계좌 정보, 비밀 번호 등이 포함돼 있을 수 있다. 컴퓨터 웜을 이용한 공격이 급격히 증가하는 이유로는 이처럼 공격자들이 돈에 상당한 유혹을 받고 있기 때문이라고 보고 있다.

게다가 이들은 당연하게도 공격을 자행하는 걸 두려워하지 않는다. 바로 이걸로 먹고 살기 때문이다! 즉 돈이 상황을 빠르게 변화시키고 있는 것이다.

바이러스, 웜 등 네트워크를 이용한 공격이 고도로 지능화, 진화되고 있다. 당신의 책에서는 발견돼 제거되지 않도록 프로그램이 자체적으로 자신을 보호하는 방법을 많이 다루고 있다. 네트워크 관리자들과 IT 전문가들은 바이러스 개발자와 ‘군비 경쟁’을 벌이고 있다고 보는가? 그리고 이 싸움에서 ‘착한 사람’이 승리하게 될까?

물론이다. 우린 항상 공격자들과 ‘군비 경쟁’을 벌이고 있다. 공격자들이 진화하면 방어자들도 더 강해진다. 그리고 다시금 공격자들은 자신들에게 닥친 새로운 도전을 극복한다. 결코 멈추지 않는 전쟁인 것이다.

과거엔 시스템 관리자들조차도 네트워크를 타고 돌아다니는 컴퓨터 바이러스가 야기할 엄청난 문제를 이해하지 못했다. 그러나 지난 몇 년동안 인식이 많이 변했다. 옛날엔 아무도 컴퓨터 바이러스를 보안 문제로 생각하지 않았었다.

오늘날엔 가장 조심해야 하는 게 컴퓨터 웜과 취약점을 이용한 공격이다. 문제에 대해 인식하는 분위기가 조성됐으며 결과적으로 공격자들에겐 장애물의 높이가 더 높아지고 있는 셈이다. IT 전문가들은 방어 기술을 좀더 갈고 닦기 위해 공격자들의 전략을 더 많이 알고 싶어한다. 그러니 이미 많이 변했다는 게 느껴지고 있다.

그래도 아직까지는 대다수 사람들은 보안과 관련된 지식을 더 많이 습득해야 할 필요가 있다. 인터넷은 멋진 곳임과 동시에 상당히 폭력적인 곳이라는 점을 이해하고 나면 사람들은 자가 방어책을 알고 싶어 한다. 이게 바로 ‘착한 사람’이 승리할 수 있는 길이다.

보안을 먹이 사슬에 비유해본다면 가장 약한 존재는 바로 최종 사용자가 아닌가? 사회공학은 인터넷을 통해 바이러스가 퍼지는 데 중요한 역할을 담당하고 있다. 최종 사용자들이 자신들의 행동으로 유발되는 위험성에 무지한 상태로 남아있는 한 바이러스 제작자들이 유리하지 않겠는가?

맞다. 예전엔 그랬다. 과거에는 바이러스가 퍼져나가려면 최종 사용자가 어떤 형태로든 참여해야만 했다. 그러니까 바이러스에 감염된 파일을 실행한다거나 하는 식으로 말이다.

하지만 많은 것이 변했다. 요즘에 출몰하는 웜 바이러스는 원격 목표의 취약성을 이용해 자동적으로 자기 자신을 실행시킨다. 15년 전만해도 스톤드 바이러스는 2년을 돌고 돌다 헝가리의 작은 마을에 당도해 당시 내가 구입한 최신 PC를 감염시켰다. 나중에 안 사실이지만 이 바이러스는 뉴질랜드에서 만들어졌다.

그러나 오늘날에는 취약성을 가진 시스템을 인터넷에 연결하기만 하면 몇 분 내에 감염될 수 있다. 그리고 공격자들은 지구 반대편에서도 내 시스템에 침투할 수 있다.

디지털 시대가 가져온 가장 위대한 것 중 하나라면 거의 모든 사람들이 인터넷을 검색하고 메신저로 실시간 채팅을 즐기며 이메일을 주고받고 음악을 다운로드하는 것과 같은 용도로 컴퓨터를 다룬다는 것이다.

사람들은 쇼핑하러 어딘가로 간다. 왜냐하면 거기가 안전하다고 믿으니까. 별의별 사람이 다 있는 험한 세상에서 뭘 기대하고 뭘 조심해야 하는지도 대충 알고 있다.

그런데 오늘날 인터넷에는 이런 걸 기대하기가 훨씬 더 어렵다. 자주 믿고 방문하는 웹사이트에 간다 해도 안전하긴 커녕 사이트를 돌아다니는 것만으로도 공격을 받을 수 있다.

지난 몇 달 동안 이런 방법을 사용하는 공격에 대한 정보가 입수됐다. 많은 웹사이트들이 광고와 같은 제3자의 컨텐츠를 담고 있으며 이런 것들에 묻혀 공격이 쉽게 드러나지 않도록 감춰져 있는 것이다.

그렇기 때문에 여러분은 공격에 취약한 웹브라우저로 간접적으로 ‘공격당한’ 웹사이트를 돌아다니는 셈이 되고, 그러다가 트로이 목마 프로그램이 갑자기 컴퓨터에 설치되는 것이다. 물론 공격자들은 여러분의 돈을 노리는 악질 사기꾼들이다.

하지만 오늘날에도 사용자의 반응에 의존하는 공격은 아직 많다. 사용자들 대다수가 자기 컴퓨터에 보안이 필요하다는 걸 깨닫지 못한다. 단순히 컴퓨터를 사용하는 것만 원할 뿐이다.

사람들은 보안에 대해 교육을 받을 필요가 있으며 그런 방식으로 보안 부문도 시스템에 통합될 필요가 있다. 내가 유세를 떠는 것이 아니다.

그리고 교육은 사실 많은 도움이 된다. 특히 전통적인 사회공학적 방법을 이용한 공격은 이런 교육을 통해 상당부분 피할 수 있다는 점을 인지해야 한다.

MS 인터넷 익스플로러(IE) 코드의 취약성을 이용한 바이러스와 웜들이 많이 제작돼 왔다. 이 때문에 일반 대중들은 오픈소스 브라우저로 옮겨가는 모습을 보이고 있다. 그렇지만 테크리퍼블릭의 커뮤니티에서는 오픈소스 브라우저도 역시 문제가 있다고 보기 시작했다.

어떤 웹브라우저가 더 안전한가라는 토론은 과연 의미가 있는 행동인가? 실제 전쟁터는 브라우저간의 전장이 아니지 않은가? 일반적인 토론이 웹브라우저에 과하게 초점이 맞춰져 있으며 네트워크에 무슨 일이 일어나고 있는지에 대해서는 충분한 토론이 없다고 보지 않는가?

오늘날 공격자들은 대상자 PC의 운영체제가 윈도우이며 IE를 사용할 것이라고 약 90%의 확신을 갖고 접근하고 있다. PC에 보안 패치를 제대로 적용하지 않는다면 그것이 바로 공격자들에게 있어 기회다. 이런 기회를 잡을 확률은 적어도 50% 이상이다.

목표를 쉽게 찾을 수 있다는 점도 공격자들에겐 동기 부여가 된다. 한 번 목표를 정해서 공격해도 얻는 게 많지 않다면 공격에 애쓰지도 않을 것이다.

난 사람들 개개인이 자신이 사용하고 싶은 시스템과 브라우저를 자유롭게 선택할 수 있어야 한다고 믿는다. 물론 새로운 환경에서도 애플리케이션을 사용하기 시작하는 사람들이 어느 정도 많아진다면 공격자들도 따라가기 마련이다.

사람들은 서로 쉽게 통신하기를 원해왔기 때문에 오늘날 컴퓨팅 환경이 TCP/IP를 이용한 인터넷처럼 꽤 단일한 형태로 이뤄진 것이다. 그렇기 때문에 윈도우가 아닌, 혹은 IE가 아닌 일반적이지 않은 플랫폼으로 옮겨간다 해서 인터넷에서 자기 방어가 자체적으로 이뤄지며 보안에 대해 걱정할 필요가 없다고 생각한다면 오산이다. 어떤 환경에서든 기본적인 보안에 대해 심사숙고하고 대응할 필요가 있다.

많은 공격자들이 특정 브라우저에 초점을 맞추고 있다면 사람들이 이 브라우저에 곱지 않은 시선을 보내며 의심하는 건 당연한 것이다. 역설적으로 의심을 많이 할수록 브라우저를 더 안전하게 만드는 힘이 될 수 있다.

사실 나는 요즘 클라이언트 측의 취약성이 너무 강조되는 것 같다는 견해에 동의한다. 하지만 웹브라우저를 통해 시스템을 공격하는 게 요즘의 최신 유행이다. 유행은 시간이 지나면서 변한다. 환경도 변하기 때문이다.

위협은 진화되어 가고 있다. 사람들이 위기에 대해 알게 되고 문제를 줄이려고 노력하는 건 매우 바람직한 일이다. 앞으로 갈 길이 멀지만 시작은 아주 좋다! @