웹 보안, 향후 정보 보안의 핵심

2. 보안 기술 동향과 어플리케이션의 보안 위협 감소 방안




최근 정부기관중 한 곳의 웹이 초보 수준의 해킹공격에도 뚫렸다는 언론 보도가 있었다.

방화벽, 침입탐지 시스템 등 여러 보안제품이 설치돼 운영 중이었음에도 불구하고 해킹에 노출되었다는 것은 충격적이다.

본 장에서는 왜 이러한 문제점이 발생했는지, 국내에서 운영중인 보안 제품들을 대상으로 웹 방어에 있어서의 기능과 그 한계 등을 집중적으로 살펴보고자 한다.



■ 비즈니스의 80% 이상이 웹


2002년 IDC에서 발표한 자료(Web Intrusion Protection)를 보면 80%의 비즈니스가 웹으로 접근할 수 있도록 구성돼 있고 이를 보호하기 위한 시장은 2001년 6500 불에서 2006년 7억불로 급성장 할 것으로 예상하고 있다.

이처럼 웹 보안이 향후 비즈니스의 핵심적인 과제로 올라서고 있다. 그렇다면 기존의 보안 솔루션들은 어떠한가.

나름대로의 보안 기능을 해왔고 역할이 세분돼있었던 것은 분명하다. 그러나 이들 솔루션들의 특징은 특별한 분야에 집중된 것이 아닌 일반적인 부문(예: 모든 unix서버)에 대한 보안을 하기 때문에 웹 애플리케이션과 같이 특이한 부분에 대해서는 100% 대응하기가 불가능 하다.

현재 국내에서 많이 사용되고 있는 보안제품 중 웹 보안에 대한 기능 및 문제점에 대해서 알아보자.



■ 웹 보안에 있어서 기존 보안 솔루션의 한계



현재 국내에서 웹 보안과 관련된 제품들은 아래의 표와 같이 기존의 보안솔루션은 여러 업무서버에 대해 대응하기 때문에 웹에 대한 보안을 웹 서버용 프로그램(Apache, IIS의 취약점)이나 기타 설정오류 및 TCP/IP 서비스 포트를 이용한 문제점과 같이 벤더가 개발 시 발생하는 문제에만 대응하고 있다.

그러나 현재의 해킹 공격들은 웹 컨텐츠 개발 프로그래머가 발생시키는 논리적인 오류를 이용한 해킹이 주류를 이루고 있기 때문에 기존 보안 제품은 벤더에 의한 보안문제에 대해서는 충분한 기능을 발휘하나 논리적인 웹 해킹에 대해 효과적으로 대응하는 것이 불가능하다.



■ 어플리케이션 개발자에 의한 오류를 노린다



독자들은 기존의 보안 솔루션들이 웹 보안에 효율적이지 못하다는 점을 인식했을 것이다. 그럼에도 최근의 해킹은 웹 공격에 집중되고 있고 기법도 갈수록 지능화돼 가고 있다.

지난 호에서 언급했듯이 웹 사용이 급증하고 웹 프로그램용 언어를 이용한 개발 어플리케이션이 많아짐에 따라 요즘은 이러한 논리적인 오류(예를 들어 아이디 패스워드 오류 발생시 점검을 하는 루틴이 제외돼 해킹을 방지 못하는)를 이용한 해킹 방법이 전반적인 주류를 이루고 있다.

또한 기존 방화벽의 특성상 웹서버가 공격 당하더라도 내부의 DB서버는 안전하다는 것이 일반적인 견해였으나 지금은 개발자의 논리적인 오류로 인해 우습게도 웹서버에서 해킹 당해 방화벽에서 허용하는 서비스 포트로 정상적으로 DB서버에 접속할 수 있는 방법도 웹 컨텐츠개발자에 의해 발생하고 있다.

즉, 웹으로 인해 이제는 내부 서버까지도 위협을 받고 있는 시기가 온 것이다.

정보 보안의 패러다임은 계속 바뀌고 있다. 지난 1-2년 사이에 해킹공격의 대세도 달라졌다. 웹 해킹이 주류를 이룬다. 추적이 쉽지않고 해킹 기법이나 툴의 확산도 주기가 빨라졌다. 통상 요즘 신종 해커들을 5세대라 부르는 것도 이 때문이다. 이와 같은 이유 때문에 과거의 보안 의식이나 지식만으로 안주하다가는 새 해킹 기술에 대응하지 못하고 큰 낭패를 볼 수 도 있다.

다음 호에서는 이러한 해킹 방법에 대한 선진국의 웹 보안 대책에 관해 기술할 예정이다.



관리자 기자