[지디넷코리아]은퇴한 전설적인 해커 케빈 미트닉은 기술에만 치중하는 현재의 보안 전략에 대해 경고하고 있다. 도리어 네트워크를 안전하게 유지하려면 직원들에게 '아니오'라고 말하도록 교육을 시켜야 한다고 주장했다.

모토로라와 노키아 같은 회사들의 네트워크에 침투했던 것으로 잘 알려진 가상공간의 전설적인 인물 미트닉은 지난 3일 도시바 모바일익스체인지 컨퍼런스에서 한차례 연설했다.

FBI는 미트닉 사건 때문에 15년 동안 수사에 매달려야 했고, 1995년 미트닉을 체포하면서 사건을 종결시킬 수 있었다. 거의 4년 동안 복역했던 미트닉은 그간의 기술과 경험을 기반으로 현재 보안 컨설턴트로서 일하고 있다. 컨퍼런스에 모습을 나타낸 그는 나이도 들고 겉보기에도 현명해진 모습으로 변해 있었다.

많은 회사들이 자사의 네트워크를 보호하려고 최신 보안 기술을 도입하는데 막대한 돈을 쏟아 붓고 있다. 이에 대해 미트닉은 최첨단 기술로 철벽처럼 쌓아놓은 장벽조차도 결코 자신을 막지 못했다는 점을 지적했다.

대부분 회사에서 가장 취약한 보안 통로를 무사히 통과하는 데는 회사 직원을 사칭한다는가, 혹은 시간 날 때 쓰레기차를 뒤져보는 것이 훨씬 더 효과적일 수 있다고 말했다.

미트닉은 "쓰레기통에서 놀라운 정보를 찾을 수 있다. 사람들은 공책, 연습장, 편지, 소스 코드나 프로젝트 문서의 출력물 등을 쓰레기통에 버린다. 어떤 경우 사람들은 거기에 암호, 접근 정보, 또는 이야기를 나눈 사람이나 만난 사람들의 신상을 잔뜩 적어놓기도 한다"라고 말했다.

이런 정보는 해커들이 회사로 슬그머니 침입하는 데 상당히 가치있는 정보를 제공한다. 말하자면 직원인 척하고 내부 안내 데스크에 전화를 걸거나 동업자인 척하기도 한다.

수십대의 보안 장비로도 똑똑한 해커 한 명 못 막아
미트닉은 "사람들은 수상한 사람이라고 의심될 때에도 '아니오'라고 말하는 것을 꺼리기 때문에 해커들은 목표로 삼은 회사의 네트워크에 기술적으로 무자비하게 공격하기보다는 유창한 말솜씨로 접근하면서 훨씬 더 근접하게 네트워크에 침입할 수 있다"라고 얘기했다.

현대 기술은 그런 공격을 가능하게 하고 있다. 만약 한 해커가 회의실에 들어오는 데 5분밖에 안 걸린다고 치자. 무선 액세스 포인트(access point)를 네트워크 액세스 포인트에 연결하자마자 네트워크에 공개된 백 도어(back door)가 생긴다. 해커가 건물 밖에 주차했더라도 무선을 통해 회사 네트워크에 침입할 수 있게 되는 것이다.

이런 류의 보안 취약성을 이해하는 건 쉽지만 구현하는 건 때론 어려운 문제다. 방문자들이 회사 내의 물리적 설비들에 대한 정보를 얻는 행위를 막고 접근을 통제하는 등 외부인의 대처에 필요한 명확한 보안 정책을 만들어야 한다.

또 직원들이 해커의 요청을 자연스럽게 들어주거나 임의로 대응하지 못하게 하고 의심스러울 경우 정책을 준수하도록 직원을 교육해야 한다.

회사 직원들에게 조언을 요청하는 사람들에게 다시 전화를 걸겠다며 연락처를 요청하는 것만으로도 많은 해커들이 겁을 집어먹고 도망치게 만들 수 있다.

미트닉은 "우리는 직원들이 ‘인간 거짓말 탐지기’가 되길 기대할 순 없다. 기업 문화에서 가장 어려운 문제 중 하나는 사람들이 자신들의 친절한 본성을 바꾸는 일"이라고 말했다.

"사회 심리학 연구에 따르면, 사람들은 일반적으로 자기 자신의 불편함에 신경을 많이 쓴다고 한다. 뭔가 잘못된 것 같다고 느낀다면 그건 바로 위험하다는 신호이고 즉시 그걸 확인해 보는 것이 낫다. 직원들이 항상 보안 정책을 기억해내지는 못할 것이다. 하지만 보안 정책을 떠올릴 수 있도록 몇 가지 간단한 규칙을 만들어 두어야 한다. 이에 반대하는 사람이 나쁜 사람이다"라고 덧붙였다. @