[지디넷코리아]환자의 정보보호 문제로 대다수 병원 네트워크는 폐쇄적일 수밖에 없다. 그렇다고 병원이 보안의 '안전지대'라고 생각하다간 큰 코 다친다. 한양대병원도 2년 전 웜 바이러스에 감염돼 업무가 마비되는 초유의 사태를 겪었다. 병원 측은 이 사고를 기화로 IPS 장비 도입 등 다중 보안 대책을 수립, 이제는 어떤 웜 바이러스에도 끄떡없는 네트워크를 갖추게 됐다.

업체명 한양대학교의료원 주요 구축솔루션 윈스테크넷 IPS 장비 '스나이퍼 IPS-A2000' 1대 도입 도입 과정 보안 사고 이후 PC 백신 프로그램와 더불어 다중 보안 체계 구축의 일환으로 세이프넷과 함께 IPS 장비를 도입하게 됨. 도입 이유 대역폭이 좁은 ATM망에 물린 윈도우XP용 PC가 웜 바이러스에 감염된 이후 좀더 체계적인 네트워크 자원의 보호 차원에서 IPS 솔루션을 도입하게 됨 도입 효과 트래픽 현황을 분석하고 실시간으로 웜 바이러스를 탐지해 막아준다. 가끔 바이러스에 감염돼도 네트워크 장애가 미미해 업무가 마비된 적은 없음 한양대의료원 서울병원 시스템 인프라 현황 백본 -ATM (알카텔 장비, OCS 용도)-기가비트 (시스코 장비, PACS 용도) 유닉스 약 15대 썬 서버 (주로 OCS, 방화벽, 관리서버 용도) 윈도우 NT 약 30대 (주로 PACS 용도) PC 대수 약 1500대 (이중 약 800대가 OCS 용도) 스팸메일차단 솔루션 모비젠 '크레디 쉴드' 방화벽 체크포인트 네트워크통합자원보호 솔루션 싸이웍스 '세이프넷' PC 뉴테크웨이브 '바이러스 체이서'

한양대학교의료원(http://hmc.hanyang.ac.kr)은 서울병원과 구리병원 두 곳이 있다. 병원 특성상 개인정보보호 차원에서 두 병원 간 전산시스템은 분리돼 있다.

독자망을 갖고 있는 구리병원은 전용선을 타고 한양대학교와, 서울병원과는 512K 사설망으로 연결돼 있다. 사설망은 대역폭이 좁기 때문에 의료영상저장전송시스템(PACS), 온라인처방전달시스템(OCS), 인사 조회 등 꼭 필요한 업무에만 사용된다.

서울병원의 모든 외부 트래픽은 한양대학교 망을 통해 들어온다. 따라서 현재 외부 트래픽은 한양대 방화벽을 통과, 내부망을 거친 뒤 병원의 방화벽과 IPS를 거쳐 병원 내부망으로 들어오도록 구성돼 있다.

한양대병원 백본망은 ATM망과 기가비트 망으로 나뉘어 있다. ATM망은 OCS 등 병원의 기간 업무 용도로, 기가비트 망은 주로 PACS 용도로 사용된다. ATM망은 지난 2000년 OCS를 도입하면서 깔았다.

대부분 병원은 보안상 공인IP를 잘 안 쓰고, 공중망 대신 전용선을 쓴다. 한양대병원도 비공인 IP를 사용하고, 모든 트래픽이 한양대 네트워크를 거쳐오는 망 구조상 보안이 취약한 편은 아니다.

대역폭 비좁은 ATM '네트워크 장애 장본인'
네트워크 장애는 ATM망에서 터졌다. 때는 웜 바이러스가 한창 기승을 부렸던 시기가 약간 지난 2003년 10월 중순 무렵. 뒤늦게서야 윈도우XP 기반 PC가 웜 바이러스에 감염된 것이다.

기가비트 망에서는 바이러스에 감염돼도 네트워크 자체에서 어느 정도 트래픽 처리가 가능하다. 하지만 ATM망은 그렇지 못했다. 대역폭이 좁은 ATM망에다 OCS 용도로 도입한 PC 사양마저도 낮은 탓이었다.

한양대의료원 의료정보과의 이성주 보안 담당자는 "그 당시 불과 10여 대 PC가 바이러스에 감염됐을 뿐인데도, 네트워크의 CPU 사용률이 100%에 달해 마치 네트워크 자체가 죽은 것처럼 보일 정도로 ATM망은 웜 바이러스에 치명적이었다"고 털어놓았다.

당시 ATM망에서는 모니터링 기능도 지원되지 않았고, 모니터링 툴도 없었다. 어쩔 수 없이 ATM망에 노트북을 이더넷으로 직접 연결해 라우팅되는 IP를 모니터링했다. 트래픽의 정상 유무를 직접 눈으로 판별해야 하는 불편을 감수해야 했던 것이다.

결국 사고가 터지던 날, 감염된 PC를 온종일 못 쓰도록 조치했다. 병원에서는 환자 진료와 처방도 절반밖에 못할 만큼 타격이 컸다. 저녁쯤 병원 경영진에서 웜 바이러스에 대한 대책을 지시했다.

이성주 사무원은 "부랴부랴 안철수연구소의 V3 백신을 구해 전 병동의 감염된 PC를 일일이 찾아다니며 밤새 깔았다. 그렇다고 그 사고로 고생만 한 것은 아니다. 그 사고를 통해 병원 임직원들이 보안에 눈을 뜨게 되는 소중한 계기가 됐다"고 귀띔했다.

문제는 여기서 끝나지 않았다. 윈도우2000 계열 PC는 자체 보안 패치를 해줘야 한다. 하지만 한양대의 여러 부속기관들이 백본에 물려 있다 보니, 다운로드 속도가 10M 이하로 나올 때도 있다. 그러다 보니 사용자는 느린 다운로드 속도로 귀찮은 보안 패치를 더더욱 하지 않게 됐다.

아울러 인턴이나 레지던트 등 병원 안팎으로 출입이 잦은 사용자들의 관리되지 않는 노트북도 웜 바이러스 등에 취약하다. 또 내부 사용자들의 정보 유출도 보완할 필요가 있었다.

윈스테크넷 IPS 장비 '스나이퍼 IPS-A2000'

보안 사고로 시스템 전반 '보강'
결국 기존 V3 백신 외에 좀더 체계적인 보안 대책이 필요했다. 결국 그 사고를 기화로 2003년 말부터 보안뿐 아니라 전산시스템 전반을 보강하는 작업에 착수했다. 디스크 신규 도입, CPU와 메모리 증설 등 종합 정보화 대책이 강구됐다. 2004년 3월 LG CNS를 주사업자로 선정해 서버 업그레이드, 디스크와 백업 솔루션, IPS 장비를 새로 도입했다.

한양대병원은 먼저 네트워크 자원 보호용으로 세이프넷(SafeNet) 제품을 검토하는 와중에 이중, 삼중 보안을 위해 IPS 장비까지 추가로 투자하기로 했다.

세이프넷이란 네트워크 자원보호 솔루션은 PC단에서 네트워크로 올라오는 알려지지 않은 웜을 걸러내는 데 사용된다. 세이프넷 서버에 정한 정책을 위반하면 PC에서 PC 랜카드로 나가는 길목을 스스로 끊어버리고, 이를 센터로 통보해준다.

IDS 장비는 2002년쯤 한양대에서 먼저 도입했다. 병원에서는 IDS와 IPS를 놓고 고민하다가 내부 감시 기능이 필요해 IPS 장비를 도입하기로 결정했다. 윈스테크넷(www.wins21.com)의 '스나이퍼 IPS-A2000' 1대를 구입, 2004년 4월 1일 설치 완료와 함께 가동했다.

IPS 장비는 트래픽을 진단하고 어느 PC에서 바이러스가 감염돼 네트워크에 올라왔는지 찾아준다. V3 백신을 걷어내고 새로 도입한 '바이러스 체이서'의 원격 기능을 통해 바이러스를 잡거나 패치 작업을 시행한다.

IPS 장비는 또 패턴 업데이트를 통해 유해한 트래픽을 실시간 모니터링해 한눈에 트래픽 현황을 관찰할 수 있다. GUI 방식을 통해 직관적 파악이 가능하는 게 장점이다. 이밖에 P2P를 제어해준다. 병원 측은 대역폭 정책을 적용해 P2P 등 업무에 불필요한 서비스를 사용하지 못하도록 설정해 놓았다. @

IPS 있는 한 네트워크 마비는 없다

한양대의료원의료정보과이성주 사무원 보안 사고 대책이 어떻게 마련돼 있나. 보안 체계는 크게 3중으로 구성돼 있다. 먼저 바이러스 체이서가 PC 단에서 알려져 있는 바이러스를 차단한다. 하지만 악성코드를 잡는 데는 무리다. 다음으로 세이프넷이 1차로 PC 단에서 알려져 있지 않은 웜을 차단한다. 한양대와 병원 내부에서는 세이프넷이 설치되지 않은 PC는 아예 인터넷 접속이 되지 않도록 해놓았다. 마지막으로 IPS는 트래픽 현황을 분석하고 실시간으로 웜 바이러스를 탐지해 막아준다. 물론 가끔 웜 바이러스에 걸려도 네트워크 장애가 미미해 업무가 마비된 적은 없다. 네트워크 트래픽에 대한 실시간 모니터링 차원에서 IPS 의존도가 높은 편이다. 추가적인 보안 계획은 있나. 현재 스파이웨어, 애드웨어 프로그램을 막는 솔루션 도입을 검토중이다. 이밖에 백본 단의 자원 관리 툴을 알아보고 있다. 네트워크 분야에서는 OCS용 ATM망을 기가비트 망으로 교체하는 검토하고 있다. 대다수 병원이 IT 투자에 인색한데, 보안 투자에 신경쓰는 것 같다. 일단 바이러스에 감염되면 병원 하루 매출이 3분의 1로 줄어들 만큼 타격이 크다. 그 정도 손실액을 보안에 투자하면 막강한 보안 시스템을 구축할 수 있을 것이다. 자동차를 사면 보험 가입을 당연시하는 것처럼, 전산시스템을 도입하면서 보안에도 반드시 투자해야 한다는 인식이 아직은 없는 것이 문제다.