[지디넷코리아]“한국의 어떤 대학 웹 서버는 2분당 3건 정도 공격을 당하더군요” 우리나라를 대상으로 한 사이버 공격이 폭발적으로 늘어나는 가운데, 그 발원지는 전 세계에 걸쳐있는 것으로 드러났다. 흔히 생각하듯 대부분 공격 근원을 중국으로만 모는 것은 오산이라는 설명.

티핑포인트 로힛 다만카 수석매니저는 12일 한국기자들과 가진 자리에서 “기업과 기업의 비즈니스가 전 세계를 대상으로 하듯 사이버 공격도 그렇다”고 설명했다.

티핑포인트가 최근 시행한 60일의 조사기간 중 아시아의 공격 발생량은 2,800만건을 넘겼다. 북미 3,800만과 유럽 1,600만을 훌쩍 뛰어넘은 것.

공격을 당하는 빈도도 세계 일류 급이다. 티핑포인트가 IPS를 설치해 관찰해온 우리나라의 모 대학은 3일간 7,000건의 공격을 받았다. 곧 2분당 3건으로 공격이 발생하는 것. 이중 대부분은 자동어택이었다.

흥미로운 점은 공격이 들어온 길목이다. 이 대학에 들어온 공격 중 대부분은 IP 주소가 캐나다에 있었고, 중간 루트는 스위스였다. 사이버 공격의 글로벌화를 보여주는 예라 할 수 있다.

웜에 대한 방심은 절대 금물
잘 알려졌듯이 우리나라에 집중되는 공격은 윈도우 취약성을 노리는 웜과 웹 애플리케이션과 관련한 것이 대부분이다. 국내 기업들의 사이버 보안 전략도 이 부분에 맞춰져 최신 기술 도입에 열을 올리는 상황. 이중 웹 애플리케이션 공격이 최근 트랜드로 집중 주목 받고 있다.

허나 다만카 연구원 눈에는 아직 지적 사항이 즐비한 듯 하다. 그는 “많은 이들이 2003년을 잊고 있다”는 말을 했다. 이는 2003년 발생한 블라스트와 RPC 두 웜을 지목한 것이다. 당시 이 웜들은 금융, 제조 분야 네트워크를 마비시키며 수십억 달러의 손실을 냈지만 이제는 한물 간 공격으로 취급 받는 것이 사실.

아래 <그림 1>을 보면 2008년 현재에도 하루에 17만건의 슬래머 웜이 발생하고 있고, 그 근본은 그대로이나 형태는 진화했다.

<그림 1> 웜의 공격이 심화되고 있다.

<그림 2>의 RPC 웜도 비슷하다. 현재 하루 3만건 정도 나타나는 이 웜은 <그림 3>과 같은 고난도의 공격도 한다. <그림 3>의 좌측은 웜에 공격 당했을 때 나오는 알아보기 힘든 화면이다. 이를 오른쪽과 같이 암호를 풀어보면 어디론가 링크를 걸어놨음을 알 수 있다.

<그림 2> RPC 웜

<그림 3>오른쪽 암호화된 웜을 왼쪽 풀어놓은 상태

다만카 연구원은 “2년 전만 해도 이렇게 암호화까지 동원된 웜은 없었다”며 공격의 진화를 우려했다.

결국 그가 하고 싶은 말은 “우리가 방심하고 손을 놓고 있을 때 웜이 발전했고, 최신 트랜드를 쫓는 것도 좋지만 과거도 돌아봐야 한다는 것”이다.

물론, 웹 애플리케이션 공격에 대한 설명도 있었다. 서버나 서비스를 탈취하는 웜과 달리 웹 애플리키에션 공격은 데스크탑 내 브라우저나 오피스 등 SW를 노린다. 웜과 같이 당하면 회사와 개인의 피해가 극대화 된다. 티핑포인트 조사에서는 웹 애플리케이션 취약 공격이 전체의 66%를 차지하는 것으로 나타났다.

IPS가 웹 방화벽 역할도 한다?
이에 대한 방안은 원론적인 설명이지만 데이터센터, 코어, 개인 등 네트워크 전체에 걸쳐 보안시스템이 등급별로 가동해야 한다는 것이다. 간담회에서는 IPS에 관한 설명이 주를 이뤘다.

간단히 티핑포인트 IPS를 설명하자면 3년 연속 IPS 분야 리더를 차지하고 있다. 600명 이상의 ZDI(Zero Day Initiative) 연구원을 동원 업데이트한다.

의문시 되는 점은 티핑포인트가 IPS로 웹 애플리케이션 공격을 막을 수 있다고 설명하는 것이다. 일반적으로 이 영역은 웹 방화벽이 해결해야 하는 것이 상식.

다만카 연구원은 “애플리케이션 상의 프로토콜만 파악한다면 IPS가 웹 방화벽 역할을 하는 것이 어렵지 않다”며 “웹 방화벽을 사용하는 많은 기업들이 IPS로 전환하려 한다”고 주장했다. 하지만 웹 방화벽과 성능 수준을 비교한 자료가 있느냐는 질문에는 “아직 구체적인 조사를 해본 적이 없다”고만 밝혔다.

참고로 티핑포인트 IPS가 업체 측 설명처럼 웹 방화벽보다 뛰어날 지는 확인되지 않았지만, 암호화된 트래픽 처리는 별도 장비 없이 불가능함은 다만카 연구원도 인정했다.

다만 티핑포인트의 주장은 IPS가 웹 방화벽 보다 방어 범위가 넓고, 그 세세한 성능도 커가고 있다는 것이 요지이다. 최근 유행하는 DDOS 공격 정도는 IPS도 충분히 막을 수 있으며, 기타 웹 방화벽 고유 기능은 별도 장비로 대체할 수 있음은 알아두면 유용할 듯하다. @