마이크로소프트(MS) SW들은 막강한 점유율만큼 많은 해킹 공격에 시달린다. 공격자들은 윈도나 오피스 등의 취약점을 찾으려 혈안이 돼있고, 이에 맞서 MS는 보안패치를 만드느라 전쟁을 치른다.

하지만 해킹은 방어보다 공격이 유리한 법. MS 보안패치는 심각한 취약점을 종종 놓쳐 사용자 기대를 저버리는 것도 사실이다.

15일 지디넷코리아는 소프트포럼 주최 보안컨퍼런스(코디게이트)에 참석한 앤드류 쿠쉬먼 MS 보안대응센터 이사를 만나 ‘패치 업데이트’에 대한 궁금증을 풀어봤다. 윈도우 사용자가 달마다 다운받는 보안패치는 쿠쉬먼 이사 작품이다.

사이버 공격이 날로 심해진다. 보안패치 만들기가 전보다 힘들 듯한데...
그렇다. 점점 MS 보안대응센터서 일하기가 힘들어진다. 보안패치를 한번 내놓으면 몇 달은 안심하던 시절이 있었지만 이제는 며칠, 아니 몇 시간도 마음이 편치 않다.

그렇다면 보안패치 주기를 더 당겨야 하지 않는가? 지금의 월 1회로는 무리라는 지적이 있다.
주기를 당긴다고 사용자 안전도가 올라가지는 않는다. 보안패치를 정교히 만들 시간도 필요하다. 단, 비상시에는 긴급 패치를 내놓는 등 유기적으로 대응하기도 한다.

하지만 MS가 대응하지 못한 취약점이 너무 많다. 때로는 시만텍 등 보안기업들이 MS 취약점을 발견하기도 한다.
기업마다 취약점을 보는 기준이 다르기에 나온 결과다. 다른 보안기업들이 무엇을 기준으로 MS 취약점을 규정했는지 모르겠다. 앞으로 MS와 보안업계가 모여 일괄된 취약점 기준을 만드는 것도 필요하다고 본다.

단, 강조하고 싶은 것은 MS 보안대응은 경쟁사 보다 훌륭하다는 것이다. 블랙햇 컨퍼런스 등에서도 애플보다 MS 보안이 우수한 것으로 나타났다.

공격자들이 MS 취약점을 만들어 파는데 어떻게 생각하나?
여기에 대해 할 말이 많다. 요즘 암거래 시장은 MS 취약점 판매로 활기를 띄고 있다. 미국, 러시아, 중국 범죄 조직들이 주를 이루며 고객 요구에 따라 공격 기술지원도 해준다. 한번은 ‘MS가 패치 대응을 하면 다시 깨주겠다’는 사후 서비스(?) 광고도 봤다. 정말 어이없는 노릇이다.

덧붙이자면 3년 전 프랑스의 젊은 해커가 MS 오피스 취약점을 찾아 이베이 경매에 올린 적이 있다. 이베이 규정 상 삭제됐지만 그 이전까지 7명이 경매에 참여해 충격이었다. 이후 오피스 취약점에 대한 관심이 폭발, 비슷한 사례가 쏟아졌고 미디어플레이어나 OS로도 번졌다.

앞으로 사용자 보안강화를 위해 어떤 대책이 있는가?
앞서 밝혔듯 월 1회 보안패치 정책은 그대로 유지할 것이다. 허나 공격이 예상될 때 미리 보안패치를 제공하는 조기 대응에 무게를 둘 계획이다. 물론, 전 세계 공격자를 막아내는 것이 쉽지 않지만 MS가 해야 할 일이다. 또, 단순 패치보다 고객에게 보안 생태계를 이해시키는 것도 큰 사업으로 생각하고 있다.

MS 일각에서 보안패치를 악성코드처럼 강제 설치하려는 연구도 있어 논란이다. 이것도 그 ‘사전예방’에 속하나?<관련기사>

그 연구가 논란을 부른 것을 잘 알고 있다. 하지만 연구는 말 그대로 연구일 뿐 현실화 된다는 보장은 없다. MS에서는 무수히 많은 ‘순수연구’를 지원하지만 상품으로 나오는 것은 많지 않다. 그만큼 검증을 철저히 하기 때문이다.

개인적으로 보안패치 강제적용은 ‘차선책’으로 본다. MS 시스템 매니지먼트 서버로 유연한 패치전략을 구현하는 것이 우선이며, 이것이 효과가 없을 때 강제적용을 고려할 수 있다.

끝으로 한국 사용자들에게 한마디 남긴다면?
MS 보안패치 업데이트를 무시하지 않기 바란다. 물론, 보안패치로 공격을 100% 막을 수는 없지만 상당히 도움이 되는 것은 사실이다.

또 MS가 악의적 해킹 조직들에 맞서 보안노력을 게을리 하지 않음도 알아 달라. MS는 기술적인 사업 뿐 아니라 젊은 해킹 인재들을 양지로 이끄는 노력도 강화하고 있다. 내가 한국 보안컨퍼런스에 온 것도 그 일환이다. @