[지디넷코리아]시스코 시스템즈 CSO 존 스튜어트(John Stewart)에게 대량 메일 발송이나 트로이목마는 더 이상 별다른 위협이 되지 못한다. 그가 우려하는 것은 은밀하게 침투해 들어오는 타깃 공격이다.

스튜어트는 몇 년 전만 해도 갑작스레 급증한 최신 컴퓨터 웜 혹은 바이러스와 전면전을 치러야 했다. 그러나 보안 시스템이 향상되고 위협의 형태가 변화되면서 바이러스나 웜에 대한 대처방식도 변했다. 스튜어트와 그의 팀은 이제 기업 비밀을 입수하려는 은밀한 공격을 차단하기 위해 정확한 대응 방식을 이용한다.

스튜어트는 현재 시스코 내 모든 보안 관련 그룹 중에서도 특히 글로벌 IT 보안팀을 총괄하고 있다. 5만여명의 직원들이 사용하는 6만대 이상의 PC와 5만개의 VoIP, 그리고 전화 등 네트워크와 연결된 수많은 디바이스에 대한 보안을 모두 그가 총괄한다.

전문가들은 시스코의 보안 방식이야말로 전 세계 대기업들의 보안 전문가들이 본받아야 하는 일상적인 보안 작업이라고 입을 모은다. 이들이 맞서야 하는 상대는 이제 직접적인 수익을 얻기 위해 보안 결함을 이용하는 범죄 조직이다. 이러한 공격자들은 예전처럼 OS 코드가 아니라 애플리케이션을 직접 겨냥한다.

그러나 스튜어트는 대기업 조직의 최대 위협은 구조화되지 않은 데이터라고 지적한다. 스튜어트가 최근 CNET News.com과 인터뷰를 갖고 자신이 밤늦은 시간까지 고민하는 이유와 데이터 유출을 방지할 수 있는 솔루션에 대해 설명했다.

휴가를 즐기고 싶은 이유가 있다면?
이 세계는 더 이상 새로운 뉴스가 없기 때문에 조용하다. 그리고 우리의 삶도 편안하다. 그런데 한 가지 아이러니한 것이 있다면 개념적으로 위협이 주요 토픽으로 등장하곤 한다는 사실이 우리에게는 유리하다는 점이다. 위협은 이제 사람들의 관심을 끌고 있고 누구나 신경써야 하는 중요한 이슈이기도 하다.

봇넷은 더 이상 차트에 발붙일 곳도 없으며 공격자들의 접근방식은 낮은 수준에서 느린 속도로 진행된다. 공격자들이 더 이상 대량 스팸과 신호를 보내는 양적인 측면의 통제 사슬을 생성하는 데 주력하지 않는다는 것은 전혀 다른 새로운 수준의 공격이 시작됐다는 것을 의미한다.

레이더에 잡히지 않는 타깃 공격 말인가?
타깃 공격이든 그렇지 않든 한 가지 분명한 것은 상대방이 레이더에 걸리지 않는다는 점이다. 그리고 또 하나 확실한 것이 있다면 공격자가 하나의 조직을 목표로 하며 공격의 수위가 치명적이라는 점이다. 최근의 공격 유형을 살펴보면 감염 매개체는 여전히 전통적인 방식에 의존하지만 사용자의 컴퓨터에서 악의적이라는 특징이 곧바로 드러나지는 않는 매우 느리고 조용한 방식으로 움직인다.

	컴퓨터를 구매할 때 번들로 제공되는 모든 종류의 서드파티 소프트웨어가 우려의 대상이다. PDF 결함, IM 웜 같은 것들 말이다. 이러한 문제들은 OS로 인한 결함을 처리하는 것보다 훨씬 더 복잡하다.

이러한 공격은 전처럼 CPU를 손상시켜 가능한 한 빠르게 하드 드라이브를 망가뜨려 가능한 한 빨리 바이러스를 유포하는 데 주력하는 것이 아니라 한동안 활동을 하지 않은 채 정지돼 있으면서 조용히 정보를 전송한다. 이들의 목적은 자신을 드러내지 않은 채 정보만 수집하는 것이다. 실제로 이러한 고도화된 공격은 갈수록 깊이가 심화되고 있다.

전문가들이 지적하는 것이 바로 그 부분이다. 일반 소비자는 봇넷의 공격을 받지만 기업은 거래 기밀을 훔치려는 공격자들의 타깃이 되고 있다. 사실인가? 시스코에서 봇은 이제 부차적인 문제에 불과하나?
물론 우리도 일반 소비자들과 마찬가지로 봇넷 문제가 있다. 그러나 우리가 일반 소비자와 다른 점은 일반 소비자들의 네트워크에서 처리할 수 있는 것보다 훨씬 더 빠르게 채널을 통제할 수 있는 메커니즘을 갖고 있다는 점이다.

뿐만 아니라 자유롭게 개방적으로 이용할 수 있는 인터넷에 대해서도 우리 자신을 보호할 수 있는 네트워크도 갖고 있다. 기업들은 전문적인 팀을 운영하고 우리는 IT 전문가를 보유하고 있다.

그 말은 다른 누구보다 준비가 철저하기 때문에 봇넷을 자체적으로 처리할 수 있다는 의미인가?
물론이다.

그렇다면 시스코 내부적으로는 봇넷과 관련된 문제가 전혀 없나?
글쎄, 이에 대한 답변은 그냥 넘어가고 싶은데. 봇넷은 충분히 관리할 수 있다. 시스코 내부적으로는 봇이 출현하면 즉각 파악할 수 있다. 봇이 전혀 존재하지 않는다는 말이 아니라 봇을 신속히 파악해 처리할 수 있다는 말이다. 일반 소비자들이 겪는 봇넷 문제와는 다르다.

봇넷을 통제할 수 있다면 우려할 것이 없을 듯한데. 봇넷이 바로 타깃 공격 아닌가? 봇넷은 어떻게 파악할 수 있으며 처리 시점이 너무 늦었다면 적절한 시점은 어떻게 알아내나?
한 가지 말하고 싶은 것은 현재로서는 이러한 공격을 파악할 수 있는 방법이 충분하지 않다는 점이다. 대부분의 보안 업체들이 문제를 정확하게 짚어낼 수 있는 수많은 솔루션을 제공하지만 모든 문제가 상호 연관돼 있는 것은 아니다. 이질적인 시스템에 대한 협업이 가능해진다면 문제를 더 빨리 찾아낼 수 있을 것이다.

내가 잠 못 드는 또 다른 이유는 공격타깃이 끊임없이 변화한다는 것 때문이다. 지금까지 타깃은 늘 OS 벤더들이었는데 OS의 기능이 향상되면서 이제 애플리케이션으로 타깃이 바뀌고 있다. 애플리케이션은 데이터가 존재하고 저장되며 다운로드될 수 있는 공간이며 구조화되지 않은 영역이다.

오피스 애플리케이션에서 발견된 제로데이(zero-day) 결함에 대한 우려를 말하는 것인가?
그렇다. 컴퓨터를 구매할 때 번들로 제공되는 모든 종류의 서드파티 소프트웨어가 우려의 대상이다. PDF 결함, IM 웜 같은 것들 말이다. 이러한 문제들은 OS로 인한 결함을 처리하는 것보다 훨씬 더 복잡하다. 뿐만 아니라 인프라스트럭처 관련 문제도 존재한다. 모든 웹 개발자들이 당신의 데이터가 저장된 웹에서 애플리케이션을 계속 이용하고 있지 않나.

당신의 역할이 소방수로서 건물의 소화전이나 스프링쿨러 시스템을 이용해 화재를 진압하는 것에서 화재 자체가 발생하지 않도록 예방하는 것으로 바뀌고 있다는 말인가?
그 역할은 이미 바뀐 지 오래다. 물론 지금도 화재 진압은 한다. 그러나 앞으로 어떤 일이 벌어질지 전혀 예측하지 못했던 3년 전만 해도 내가 처리해야 했던 중요한 업무는 최근에 컴퓨터를 감염시킨 바이러스 혹은 웜을 찾아내 문제를 해결하는 것이었다. 소방활동이라고 해야 하나? 하지만 지금은 아니다.

지금 내가 싸우는 상대는 조기에 수습하지 않으면 화재로 전환될 수 있는 작은 불꽃도 그리고 깊은 밀림의 화재도 아니다. 지금의 상대는 더 고도화돼있다. 기업에 민감한 데이터를 빼내려는 목적으로 디자인된 섬광과 싸우는 것이라는 말이다.

대량 스팸이나 트로이목마 따위는 이제 더 이상 적수가 되지 못한다. 그리고 이런 것들에 대해서는 걱정할 필요도 없다. 나 자신이 단순한 소방수가 아니라고 생각하는 것도 바로 이 때문이다.

데스크톱 상의 화이트리스팅(whitelisting) 혹은 블랙리스팅(blacklisting) 애플리케이션 같은 것들을 신뢰하나?
나에게는 화이트리스팅이 블랙리스팅보다 더 중요하다. 화이트리스팅의 경우 사용자는 상대에 대한 확신이 있다. 화이트리스팅은 애플리케이션이 안전하다고 전적으로 신뢰할 수는 없지만, 어떤 애플리케이션을 누가 설치했다거나 알려지지 않은 뭔가가 자신의 PC에 설치됐다는 사실을 사용자가 이미 알고 있고 또 문제가 되는 사안이 있을 경우 어떤 벤더가 설치했는지를 알고 있다는 합리적인 전제에서 출발한다.

	구조화되지 않은 데이터는 관습적이지 않은 방식으로 남게 된다는 점 때문에 기업에 가장 큰 위협이다. 이러한 데이터는 USB 키, PDA, 아이팟, CD 라이터, 당신이 첫 단어를 잘못 입력한 전자우편에 남아 원치 않는 곳으로 데이터를 전송한다.

이와는 달리 블랙리스팅은 블랙리스팅을 통해 결코 회복되지 않는 애플리케이션을 자동적으로 피해간다. 그리고 나는 오히려 변형된 형태로 알려지지 않은 애플리케이션에 집중한다. 물론 알려지지 않았기 때문에 좋은 것일 수도 나쁜 것일 수도 있지만 모든 것들을 별개로 둔 채 면밀히 조사한다.

당신도 화이트리스팅이나 블랙리스팅 툴을 사용하나?
몇 가지 측면에서 보면 시스코 시큐리티 에이전트(Cisco Security Agent)가 화이트리스팅 툴과 약간 비슷하다. 시스코 시큐리티 에이전트는 허가된 활동을 통보받은 특정한 수의 활동과 특정한 수의 애플리케이션이 존재한다는 사실을 알려준다.

기업의 민감한 데이터가 보호받고 있다는 확신을 주기 위해 어디서나 튀어나오는 데이터 유출 보호 툴에 대해서는 어떻게 생각하나?
구조화되지 않은 데이터 유출에 관한 다양한 이슈가 있다. 이 시장은 이제 막 발화하는 초기 시장이지만 매우 중요하다. 한동안 이 시장을 주의 깊게 관찰했다. 예를 들어 데이터센터에서 구조화된 일련의 데이터가 유출될 수 있다는 사실을 알고 있다면 이 부분이 바로 경계막을 설치해 데이터를 보호할 수 있는 훌륭한 지점이다.

마찬가지로 당신과 당신의 파트너 사이에 오고갈 데이터에 대한 내용이 분명히 정의된 툴이 확보된 상태에서의 접속은 쌍방의 데이터가 오고간다는 점을 분명히 할 수 있는 아주 좋은 지점이다.

구조화되지 않은 데이터는 관습적이지 않은 방식으로 남게 된다는 점 때문에 기업에 가장 큰 위협이다. 이러한 데이터는 USB 키, PDA, 아이팟, CD 라이터, 당신이 첫 단어를 잘못 입력한 전자우편에 남아 원치 않는 곳으로 데이터를 전송한다.

해당 솔루션도 정의가 돼야 하나?
여전히 정의될 수 있고 다양한 기업들이 다양한 방식으로 솔루션에 접근할 수도 있다. 모든 데이터가 통제되는 환경인 메인프레임 시대로 돌아가는 기업도 있을 것이고, 이러한 상황이 발생하면 데이터를 이전해 수동으로 조작한 후 해당 데이터가 특정 조건에서만 이동할 수 있도록 규정할 필요가 있다고 말하는 기업도 있을 것이다.

보안 분야와 관련해 당신이 바라는 것이 한 가지 있다면?
일반적으로 수용되는 데이터 태깅 메커니즘 즉 오픈 표준이 있었으면 한다. 이 메커니즘은 데이터가 이동할 때마다 데이터에 대한 조건을 규정할 수 있다.

이 작업이 완료되면 모든 신호 시스템이 태그를 볼 수 있고 데이터가 잘못된 지점으로 이동하는 경우 관리자가 곧바로 데이터의 이동 방식을 파악해 잘못된 지점으로 향하는 데이터의 전송 지점을 변경할 수 있다.

예를 들면 잘못된 지점에서 데이터를 원하는 누군가가 데이터를 획득할 수 없도록 최종 도착 지점을 규정할 수 있다. 비행기에서도 데이터를 감시할 수 있는 네트워크를 확보해 데이터에 담긴 콘텐츠가 아니라 분류에만 신경쓰면 된다.

그러한 솔루션이 현재 존재하나?
아직은 초기 단계다. MS 팀, 어도브 팀, 오픈오피스 팀들이 이와 관련해 다양한 아이디어를 내놓고 작업 중이지만 실제로 기본적인 부분을 오픈 표준으로 전환하지는 못하고 있다. @