[지디넷코리아]인텔이 루트킷과 싸우고 있다는 지난 주 뉴스에 일부는 놀랐겠지만, 인텔의 연구진들은 이 보안 기술을 지난 몇 년전부터 연구하고 있었다.

인텔의 시큐리티 아키텍트인 트래비스 슐루슬러는 인텔 연구소는 컴퓨터를 루트킷으로부터 보호하려는 데에만 관심이 있는 것이 아니라고 CNET 뉴스닷컴에 말했다. 캘리포니아주 산타클라라에 위치한 인텔은 웜과 바이러스라는 보다 친숙한 위협에도 자사가 도움이 될 수 있기를 희망한다.

인텔 시큐리티 아키텍트인 트래비스 슐루슬러는 인텔 랩이 복잡한 위협을 어떻게 처리하는지 설명했다. 놀라운 것은 인텔이 하드웨어 회사라는 점이다. PC와 서버의 보안은 전통적으로 소프트웨어에 의해 공급됐으며, 시만텍이나 맥아피, 트렌드마이크로 그밖의 중소업체가 이런 소프트웨어를 판매해 왔다.

그러나 전통적인 보안 업체는 점점 더 복잡해지는 위협에 대처하는데 문제를 겪고 있다. 소니 BMG의 복제방지 논쟁에 의해 유명해진 루트킷은 보안 소프트웨어 업체가 처리하고 있는 위협의 일례이다.

슐루슬러는 인텔이 ‘하드웨어와 소프트웨어의 결합’을 통해 컴퓨터를 보호하려고 한다고 말했다. 그와 인텔 통신기술연구소의 연구진은 컴퓨터에서 수행되는 운영체제와 주요 애플리케이션을 관찰함으로써 복잡한 공격을 막을 수 있는 방법을 개발했다.

현재 시스템 인테그리티 서비스라는 이름의 이 프로젝트는 개발 단계라고 슐루슬러가 CNET 뉴스닷컴에 말했으며, 어떻게 이 하드웨어 기반 방식이 동작하는지 그리고 가정용 PC에서 웜이나 바이러스를 어떻게 격퇴할 수 있는지 설명했다.

인텔이 참여하게 된 동기는?
글쎄, PC는 몇 가지 재미있는 위협에 직면해 있다. 인텔이 지켜보고 있는 것 중에 하나는 우리가 ‘플랫폼화’라고 부르는 모델이다. 이는 시스템의 구성요소들을 그들의 합보다 훌륭하게 만드는 것이다. 우리는 이 기술을 ‘시스템 인테그리티 서비스’라고 부르며 이는 플랫폼화의 일례라고 할 수 있다.

인텔이 웜, 바이러스, 루트킷과 싸우는데 도움이 될 수 있다고 믿는 이유는?
웜과 바이러스가 현재 악용하고 있는 문제 중 많은 부분은 프로그램 메모리와 관계가 있다. 많은 해커들이 메모리의 약점을 악용한다.

CPU에서 동작하는 보안 소프트웨어의 한계점의 하나는 해커가 루트킷 등을 사용해 루트 수준의 특권을 얻게 되자마자 시스템에서 동작하는 모든 소프트웨어에 해를 가할 수 있는 특권이 생긴다는 점이다. 인텔이 제공할 수 있는 것은 훼손하기 훨씬 어려운 플랫폼 하드웨어와 펌웨어를 제공하는 것이다. 그 이유는 이것이 주 운영체제와 CPU로부터 격리돼 있기 때문이다.

우리의 시스템 인테그리티 서비스가 잘 해결할 수 있는 문제의 하나는 보호영역의 프로그램의 변화를 감지하거나 이런 프로그램이 바이러스, 웜, 루트킷에 의해 중단된 상황을 감지하는 것이다.

당신은 특히 루트킷이 생성하는 문제에 대해 언급했으며 내 생각에 이는 웜과 바이러스가 시스템에 가하는 위협을 초월하는 것으로 본다.
그렇기도 하고 아니기도 하다. 문제는 비슷하다. 루트킷은 현재의 의미로 파악할 때 사용자로부터 스스로를 감추는 페이로드(payload)를 일컫는다. 우리의 시스템 인테그리티 서비스가 잘 해결할 수 있는 문제의 하나는 보호영역의 프로그램의 변화를 감지하거나 이런 프로그램이 바이러스, 웜, 루트킷에 의해 중단된 상황을 감지하는 것이다.

간단하게 인텔이 어느 기술을 개발할 수 있는지 설명할 수 있는가? 하드웨어인가 소프트웨어인가?
시스템 인테그리티 서비스라는 기술을 개발하고 있다. 이 기술은 하드웨어와 펌웨어에 모두 기반한 플랫폼 기술이다. 우리는 플랫폼에 하드웨어를 일부 추가해 격리된 실행환경을 제공하려 한다. 이 환경에서 호스트 운영체제나 CPU와 관련이 없는 펌웨어를 실행할 수 있다.

이 기술을 사용하면 해커들이 격리된 실행 환경을 오염시키기 위해 해야 하는 일이 복잡해짐으로써 진입장벽을 높이는 효과가 있다.

이 기술이 어떻게 사용될 수 있다고 보는가?
가정과 직장의 PC에 사용될 수 있다. 웜이나 바이러스가 운반할 수 있는 페이로드의 침입을 탐지하길 원하는 곳이면 어디서는 적용이 가능하며 그 곳에서 가치를 찾을 것이다.

또한 안티바이러스 소프트웨어와 같은 기존 소프트웨어 솔루션을 많이 보완한다. 이 기술은 안티바이러스가 시그니처를 갖고 있지 않은 문제점을 찾는데 치중하고 있다. 또한 이 기술을 사용해 안티바이러스 소프트웨어나 파이어월과 같은 보안 에이전트가 해커들에 의해 폐쇄되는 것을 막을 수 있다.

이 기술이 하드웨어와 펌웨어, 즉 소프트웨어를 포함한다고 말했는데 데스크톱에서 클라이언트와 같은 추가의 실행 개체가 필요한가?
아니다. 단지 보호하려는 프로그램의 협조만이 필요하다.

무슨 뜻인가?
프로그램의 구성요소가 메모리에서 수행될 때 바뀌지 않는다는 점을 확인할 필요가 있다.

이를 위해 프로그램의 초기 상태가 무엇인지 알 필요가 있다. 드라이버 시그니처의 역할과 개념상 비슷하다. 좋은 상태에 있는 프로그램이 실제로 로드되며 그렇게 유지된다는 점을 확실히 해야 한다.

루트킷, 바이러스, 웜과 같은 보안 위협은 보다 악랄해지고 있다. 당신의 기술이 미래의 위협에 대해 컴퓨터를 보호할 수 있는가? 아니면 일종의 업데이트 메커니즘이 필요한가?
바로 그런 이유 때문에 이 기술을 설계한 것이다. 아직 모르는 문제를 탐지하는 것이다. 이런 문제를 산업계에서는 데이-제로 웜과 바이러스라고 부른다. 이들 웜과 바이러스가 나오면 어떤 모양인지 알 수가 없다.

이 기술은 프로그램을 보호하기 위해 단지 변화만을 감시한다. 어떤 종류의 변화가 될 수도 있다. 웜 페이로드나 바이러스 페이로드 혹은 루트킷이 될 수도 있다. 보호되는 프로그램이 변경되거나 감시중인 보안 에이전트가 중지된다면 실제 시그니처가 무엇인지에 상관없이 이를 감지할 수 있다.

다른 모든 기술처럼 이 기술은 성배는 아니다. 제약도 있다.

보호되는 프로그램을 계속 감시한다. 내 PC상의 모든 애플리케이션을 보호하는가 아니면 운영체제 자체만 혹은 주요 애플리케이션만 보호하는가?
PC의 주요 애플리케이션 보호에 사용하고 싶다. 다른 모든 기술처럼 이 기술이 성배는 아니다. 제약점이 존재한다. 특정 프로그램을 보호하는데 사용될 수 있다. 그러나 격리된 실행환경은 운영체제를 보는 관점에서 제약을 가진다. 운영체제의 모든 복잡성을 볼 수 없으며 이는 이미 수행되고 있는 보안 에이전트도 마찬가지다. 이들 보안 에이전트를 보완하는 역할이라고 볼 수 있다.

예를 들면, 어떤 애플리케이션을 보호할 수 있을까?
안티바이러스 소프트웨어나 방화벽을 보호할 수 있다. 현재 웜이나 바이러스는 페이로드 실행을 위해 보안 에이전트를 폐쇄하려고 할 것이다. 보안 에이전트는 그들을 저지할 수 있기 때문이다. 시스템 인테그리티 서비스 기술이 할 수 있는 것은 이러한 상황을 감지해 보안 에이전트를 보호할 수 있다는 것이다.

만약 시스템을 감시한다면, 컴퓨터가 느려지지는 않을까?
격리된 실행환경에서 검사를 하기 때문에 CPU의 MIPS(million instructions per second, 컴퓨터가 1초에 처리할 수 있는 연산의 횟수)에 영향을 주지 않을 것이다. 메모리 대역폭의 일부도 사용한다.

과정을 설명한다면?
다른 일에 필요한 호스트 프로세서의 사이클을 사용하지 않는다. CPU에서 필요한 처리 용량에 영향을 주지 않지만 메모리 대역폭의 일부는 사용한다. 프로그램이 수행중인 메모리를 감시해야 하기 때문이다.

예를 들어, 루트킷과 같은 기술의 적법적 사용에 어떤 영향을 끼칠까? 만약 내가 기업 사용자이고 루트킷과 같은 기술을 이용해 직원의 데스크톱에 있는 보안 소프트웨어의 존재를 숨긴다면 당신의 기술이 여기에 끼칠 영향은? 이런 이용은 중지될까?
전혀 아니다. 우리는 원하지 않는 변화만 감시한다. 특정 변화가 시스템에 적용되는 것을 허용한다면 시스템 인테그리티 서비스는 물론 이를 허용한다.

당신이 내게 얘기하고 있는 것은 2년전 MS가 하던 주장과 비슷하다. ‘팰러디움’이라는 것, 그 다음엔 ‘차세대 보안 컴퓨팅 기반’이었다. 유사한가?
그 기술에 전문가는 아니므로 비교할 수 없다.

기술 준비가 언제 완성될 것으로 보는가?
연구원인 나로서는 인텔의 제품 계획에 대해 잘 모르지만 프로토타입이 실행되고 있으며 디바이스 드라이버 보호와 같은 시연도 커널 디버거와 같은 고급 개체에 대해 수행했다.

프로토타입에 대해 좀 더 자세히 설명할 수 있는가? 실제 동작하는 하드웨어인가? 아니면 아무 기능도 없는 플라스틱 덩어리인가?
실제 동작하는 하드웨어이다. 인텔 엑스케일 프로세서의 형태로 보안이 존재하며 호스트에서 수행되는 보호받는 프로그램을 감시할 수 있다.@