유지보수 및 보안 업데이트 중단으로 사이버 위협에 노출
SW 당장 교체 어렵다면 추가 기술지원 협약이나 네트워크 연결 없이 단독 사용
보안 업데이트 등 지속적인 유지관리 가능한 ‘제품 교체’가 궁극적인 해결책

[보안뉴스 박은주 기자] ‘업데이트’는 보안 기본 수칙으로 빠짐없이 언급된다. 시스템을 최신화하고 취약점을 패치해 새로운 보안 위협에 대응·예방할 수 있기 때문이다. 유지보수는 상용 소프트웨어를 이용하기 위한 필수 절차로, 제조사는 지속해서 소프트웨어 개선을 약속한다. 그러나 시간이 지남에 따라 제품 판매를 종료하고, 유지보수 및 업데이트를 중단할 수 있다. 이를 ‘서비스 종료(End of Service)’라 한다.


[이미지=gettyimagesbank]

△이 주의 보안 용어
제조사는 서비스 종료(End of Service)를 위해 제품 판매중단(EoS : End of Sale) 및 단종을 선언한다. 개발 중단(EoD : End of Development)에 접어들면 추가적인 개발을 종료하고, 단순 운영만 지원한다. 이후 완전한 지원 중단(EoL: End of Life) 되면 보안 위협 및 장애 대응이 불가능하다. 최신 보안 업데이트가 지원되지 않기 때문이다.

△이런 일이 있었다
마이크로소프트는 지난 2009년 10월 윈도7을 출시하며, 향후 10년간 제품을 지원하겠다고 약속했다. 2020년 1월, 최신 기술과 새로운 환경을 지원하고자 윈도7 서비스를 종료했다. 시장조사업체 스탯카운터에 따르면 2019년 12월 기준 국내 윈도7 점유율은 약 21%였다. 5명 중 1명이 SW서비스 종료로 인해 벌어질 수 있는 악성코드 감염 및 해킹 등 사이버 위협에 그대로 노출된 위태로운 상태였다. 이에 따라 과기정통부는 한국인터넷진흥원(KISA)에 ‘윈도7 기술지원 종료 종합상황실’을 설치했다. 종합대책반·기술지원반·상황반·민원반을 구성해 사이버 위협에 신속히 대응할 수 있는 체계를 구축했다.

특히 공장·전력시설 등 가용성을 최우선으로 두는 곳 상당수가 서비스가 종료된 소프트웨어를 사용하고 있어 우려가 이어진다. OT보안 전문기업 노조미 네트웍스 박지용 한국지사장은 “대표적으로 반도체 공장, 제철소 등은 생산을 한 번 멈추면 수십~수백억 손실이 난다”며 “생산을 멈추고 소프트웨어를 업데이트하거나 교체할 수 없는 상황이라 사이버 위협에 취약한 상태”라고 설명했다.

△피해는 이렇게 막을 수 있다
가장 쉽고 빠른 방법은 기술지원 및 보안 업데이트가 제공되는 제품으로 바꾸는 것이다. 윈도7이 종료되자 많은 사용자가 윈도10으로 전환한 것처럼.

만약 소프트웨어를 바꿀 수 없다면 2가지 대응법 가운데 하나를 택일해야 한다. 첫째 ‘추가적인 기술지원 협약 및 라이선스 받기’다. 공식적으로 서비스는 종료됐지만, 기업별로 추가 계약을 통해 유지보수를 받는 방식이다. 둘째 ‘네트워크 연결 없이 단독 사용’이다. 네트워크 연결 없이 자체적인 연산 서버로 이용하는 방법으로, PC 사용이 제한된다. 다만, 이 2가지 방법은 궁극적인 문제 해결책이 아니다. 따라서 보안 업데이트 등 유지보수가 가능한 제품으로 교체하는 것이 바람직하다.
[도움말=삐뽀삐뽀 보안119]
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>