아무리 숨겨도 안전함을 보장할 수 없는 ‘정보전’
정보자산 보호를 위한 자원과 전략이 승패 좌우

[보안뉴스=임채호 KAIST 초빙교수] 정보전에서 공격과 방어란 정보자산에 대한 전략 대결이다. 정보전은 정보의 우위를 달성하기 위해 이루어지는 방어와 공격 행위의 총체이다. 이 때의 정보란, 정보 그 자체 뿐 아니라 정보 프로세스, 정보 시스템, 컴퓨터 네트워크를 포함하는 광의의 개념이다.

‘아무리 숨겨도 안전함을 보장할 수 없다’라는 말은 정보전의 핵심 원칙이다. 이는 ‘난공불락의 성은 없다’는 이야기와 통한다. 아무리 높고 두꺼운 성을 쌓아도, 압도적인 공격 병력이 포위해 장기간 공격하면 성은 함락될 수밖에 없다. 성은 방어자에게 시간을 끌어줄 뿐이며, 결국은 지원군을 불러 공격 병력을 몰아내야 성을 지킬 수 있다.

정보전도 마찬가지다. 아무리 좋은 기술로 정보를 비밀리에 보관해도 많은 인력이 다양한 공격 기술로 장시간 파헤치면 결국 정보를 빼내가는 것을 막을 수 없다. 결국 정보전은 정보자산을 보호하기 위해 소요되는 자원과 전략이 얼마나 우월하느냐에 따라 승패가 결정되는 것이다. 정보전 전문가인 마틴 리비키 교수는 정보전을 첩보와 명령제어전, 전자전, 심리전, 경제전, 그리고 사이버전으로 분류하기도 한다.


▲ 리비키 교수가 밝힌 정보전의 7개 유형

암호와 정보전
보안은 인류 역사적으로 오래된 분야다. 그 시작은 암호였다. 정치와 군사가 발전하다 보니, 중요한 자료를 비밀리에 보관하고 전달할 수 있는 수단이 필요해진 것이다. 보안은 군사적 목적의 통신 보안(Communication Security)에서 시작되어 컴퓨터 보안(Computer Security), 네트워크 보안(Network Security), 정보보안(Information Security) 등으로 확대 발전하고 있다.

보안의 영역이 확대되는데 결정적인 영향을 준 것은 인터넷의 발전이다. 1960년 미국 국방성 주도로 개발된 인터넷은 전 세계에 엄청난 파장을 일으킨 IT의 혁신이었다. 인터넷의 시초는 국방 관련 연구를 하던 몇몇 대학을 연결하는 네트워크로 출발했지만, 점점 광범위하고 치밀한 네트워크로 발전해 전 세계의 PC를 연결하기에 이르렀다. 인터넷은 이미 경제, 사회의 핵심 인프라다. 이에 따라 인터넷을 통한 보안 사고의 심각성과 영향력은 아무리 강조해도 부족한 상황이다.

그런데 이렇게 중요한 인터넷은 과연 안전할까? 그렇지 않다는 것이 문제다. 보안의 출발이었던 암호부터가 원래 안전하지 않았다. 대표적인 사례가 제2차 세계대전 당시 독일이 사용하던 암호기계 에니그마(Enigma)다. 에니그마는 독일의 뛰어난 기술로 탄생한 ‘난공불락의 암호 기계’로 여겨졌다. 그러나 에니그마는 연합국에 해독 당했고 이로써 독일은 작전에서 엄청난 손해를 보았다.

제2차 세계대전 이후 현재의 암호체계는 엄청나게 발전해 암호기술 자체만 보면 거의 완벽한 수준에 이르렀다. 그러나 이렇게 발전한 암호를 사용하는 인터넷은 여전히 안전하지 않다. 암호학 분야에서 가장 유명한 책 중 하나인 ‘Applied Cryptography’를 썼던 암호 전문가 브루스 슈나이더는 그의 저서 ‘디지털 보안의 비밀과 거짓말’에서 이렇게 말했다.

필자는 암호학이 기술적으로 만인의 평등을 가져올 대단한 것이라고 생각했었다. 값싼 컴퓨터 하나만 있으면 누구나 최강대국 정부와 맞먹을 정도의 보안을 확보할 수 있다고 생각한 것이다···. 이것은 진실이 아니다. 암호학은 그러한 일을 해내지 못한다. 수학은 완벽하지만 현실은 주관적이다. 수학은 명료하지만 컴퓨터는 지저분하다. 수학은 논리적이지만, 사람들은 실수투성이고 변덕스러우며 비합리적이다. ‘Applied Cryptography’의 오류는 환경을 전혀 고려하지 않았다는 점이다. 필자는 암호학이 만병통치약인 것처럼 말했었다. 너무 순진했던 것이다. ···놀랍게도 필자는 보안의 취약점이 수학과는 관련이 없음을 알게 되었다. 그것은 하드웨어와 소프트웨어, 네트워크와 사람의 문제였던 것이다. 완벽한 시스템은 없으며, 만병통치약 같은 보안 기술도 존재하지 않는다. - 암호전문가 브루스 슈나이더

설사 암호가 완벽하다 하더라도 완벽한 보안은 있을 수 없다는 이야기다. 결국 ‘사람이 문제’이기 때문이다. 단, 이 이야기가 암호가 무용하다는 것으로 오해해서는 안 된다. 암호는 여전히 유효하다. 하지만 암호가 현재 정보전에서 그 목표가 되지 않은 이유는 여러 가지가 있다.

1) 엔드시스템, 즉 PC 등 컴퓨터의 지능화에 있다. 예전 무전기 등과 같은 단순 단말기(Dummy) 기기가 아니라 독자적인 CPU로 프로그램이 실행되어 암호화된 기능이 그 역할을 하지 못해 신뢰성을 보장하지 않는다. 특히, 악성 프로그램에 의한 문제다.
2) 인터넷 환경에서의 너무 많은 소프트웨어 시스템 취약성이 존재해 암호 기능의 보안 프로그램의 안전성을 보장하기 어렵다.
3) 뛰어난 컴퓨터 성능과 환경으로 암호 자료는 복호될 가능성이 크다.
4) 암호화되기 전 평문 상태에서 정보가 유출된다.
5) 기밀 자료를 컴퓨터로 처리하여야 하는 비즈니스 환경이 많지만 정보를 전달할 때 안전 운영 규정, 즉 기밀 처리. 저장, 전달, 암호키 관리 등이 지켜지지 않을 가능성이 있다.

그래서 키괸리 등이 정확한 단순 업무나 장비 등에는 매우 유효한 것이다. 즉 자료의 전달과정, 커뮤니케이션 과정에서의 기밀성 보장에는 최대의 역할을 하는 것이다.

정보전의 탄생 배경
인터넷을 위한 네트워크가 안전하지 않다는 것은 이미 여러 차례 현실로 입증되었다. 악성 해커들이 사용하는 대표적인 수법이 악성코드와 DDoS(분산서비스거부) 공격이다. DDoS 공격은 전산자원을 공격해 정상적인 서비스를 할 수 없도록 거부하는 공격이다. 전형적 수법은 많은 PC를 이용해서 특정 서버에 일시에 엄청나게 많은 수의 접속을 시도해서 과부하를 일으키게 하는 것이다. 도메인 네임 서버(Domain Name Server)를 공격해 인터넷 인프라를 전체를 마비시키거나 특정 웹 서버를 공격하는 등 다양한 사례들이 있다.

악성코드는 PC를 감염시키는 바이러스라고 볼 수 있다. 악성코드는 전염병을 일으키는 병원균과 비슷하게 대상 장비를 감염시키고, 감염된 장비를 이용해 공격자의 의도대로 다른 시스템을 공격하거나 자신의 정보가 노출되는 등 심각한 피해를 준다. 위에 설명한 DDoS 공격을 할 때도 PC를 장악할 때 악성코드를 이용한다.

정보전 모델
정보전에서는 기밀성이 목적이 아니라고 했다. 그동안 많은 사람들이 보안은 암호가 중요하다고 했다. 정보전에서 공격을 수행하는 공격자는 종류가 다양하다. 산업 정보를 노리는 내부 직원과 외부 해커, 금융 기관을 목표로 하는 범죄 집단, 타국의 외교 군사적 정보를 노리는 관련 정부기관, 정치적 목적으로 공격을 수행하는 테러리스트 등이 있다.

이들의 공격전략을 크게 보면 3가지다. 첫째, 침투를 위한 가용성(Availability)의 증가 공격, 둘째, 침투한 후 정보를 빼내거나 손상시키고자 하는 무결성(Integrity) 훼손 공격, 셋째, 침투하지 않더라도 망의 정상적인 운영을 방해하는 가용성 저해공격이다.

가용성 증가 공격은 아군 측의 정보 가용성을 높인다는 의미로, 적의 정보를 알아내는 활동이라고 보면 된다. 주로 적의 시스템에 침투해서 정보를 빼오는 공격을 말한다고 볼 수 있다. 무결성 훼손 공격이란 적이 가진 정보의 정확성을 훼손한다는 것인데, 간단하게 말하면 잘못된 정보로 적을 속이는 것이다. 적이 가진 정보를 잘못된 정보로 바꾸거나 아예 거짓 정보를 제공하는 수단 등을 쓴다. 가용성 저해 공격은 적의 정보 가용성을 줄인다는 의미다. 적의 시스템을 일시적으로 사용 불가 상태로 만들거나 영구적으로 파괴하는 공격을 말한다.

다음 그림에서 그 사례를 보여주고 있다. 돈가방을 컴퓨터 자산이라고 본다면 가용성 증가공격에서는 1)스파이 공격(Intel/espionage) 2)SW 침해공격(Piracy) 3)침투공격(Penetration) 4)사기공격(Superimp/Fraud) 5)권한 획득공격(Identity Theft) 6)물리적 공격(Physical theft) 7)기만적공격(Perception Management) 등이 있다. 반대로 방어에서는 1)숨기기(Hiding) 2)인증(Authentication) 3)접근제어(Access control) 4)감시(Monitoring) 5)문제점 복구(Plug holes) 등이 있다.

무결성 감소 공격에는 1)변경공격(Tempering) 2)침투공격(Penetration) 3)훼손(fabrication) 이 있고 방어는 1)인증(Authentication) 2)접근제어(Access control) 3)감시(Monitoring) 4)문제점 복구(Plug holes) 5)백업(backup) 등이 있다.

가용성 감소 공격, 즉 적들이 통신 및 서비스를 감소시키는 공격은 1)물리적 공격(Physical Theft) 2)사보타지(Sabotage) 3)검열공격(censorship)이 있고 반대로 방어는 1)인증(Authentication) 2)접근제어(Access control) 3)감시(Monitoring) 4)문제점 복구(Plug holes) 5)백업(Backup)이 요구된다.


▲ 정보전 공격방어 사례(정보자산, 돈가방 사례)

정보전에서는 공격보다 방어가 훨씬 어렵다. 방어자는 정보자산의 손실로 인한 가치를 판단하는 것이 매우 어렵다. 따라서 방어에 얼마나 노력을 기울여야 하는지 다시 말하면 방어에 필요한 적절한 소요 예산을 파악하기가 힘들기 때문이다.

예를 들어 금전적 이득을 취하기 위한 공격자가 있다고 하자. 의뢰인이 어떤 회사의 고객명단을 빼주면 10억원을 준다고 했다면, 공격자는 최대 10억원의 예산 범위 내에서 공격을 수행할 것이다. 20억을 준다고 하면 20억 범위에서 공격을 할 것이다. 그러나 방어자는 자기 회사의 고객명단이 얼마나 가치가 있는지 알기가 아주 어렵다. 이 상황에서 예를 들어 나름대로 예산을 투입한다며, 방어 예산으로 1억원을 책정해 막기로 한다면 과연 방어해낼 수 있을까? 아마 힘들 것이다. 그러나 반대로 공격자들이 100만원 정도 밖에 예산이 없다면 1억원의 방어비용을 들이는 것은 과다 투자로 볼 수 있다.

정보전 방어는 보호 및 조기경보, 탐지, 대응으로 3단계 정도로 나누어 볼 수 있다. 보호와 조기경보는 공격자가 침투하기 전에 이루어지는 것이다. 보호는 백신이나 방화벽 등을 설치해서 쉽게 침투하지 못하도록 하는 것을 말하고, 조기경보는 공격자가 침투하기 전에 파악하는 것을 말한다. 공격자가 방어를 뚫고 침투했다면, 이를 탐지하고 대응해야 한다. 탐지는 말 그대로 공격자가 침투한 흔적을 밝혀내는 것을 말하는데, 사이버 공격자들은 대게 침투한 흔적을 없애기 때문에 탐지 자체가 쉬운 일이 아니다.

공격을 받은 후의 대응단계는 3가지 정도가 있다. 첫째는 공격자로부터 받은 피해를 복구하고 동일한 방식의 재공격을 막을 수 있도록 조치(백신 업데이트 등)하는 것이다. 둘째는 법이나 제도를 개선해서 공격자가 쉽게 공격을 실행에 옮기지 못하도록 하는 방법이다. 셋째는 직접적으로 공격자에 대해서 반격을 하는 경우도 있으며, 어떤 방식으로 대응할 지는 공격자의 종류와 의도에 따라서 달라지게 된다.

현대 정보전과 사이버보안
미국은 이라크와의 전쟁에서 처음으로 정보전의 중요성을 깨달았다. 그리고 2001년 발생한 9.11테러는 중동 공격자가 미국 본토에서 일으킨 최초의 전쟁이었다. 하지만 이후 9.11테러 이후 미국은 1)현재전은 비대칭(Asymmetric) 공격 전략임을 알게 되었다. 2) 국방부는 미국 본토 밖에서 적을 막지만 내부의 적을 막지 못한다는 것을 깨달았다. 3) 내부의 적을 막기 위한 방어, 검색 및 대응이 필요함을 알게 되었다.

이로 인해 거대한 국토안보부(DHS, Department of Homeland Security)가 탄생했고, 사이버보안도 DHS의 임무로 규정된 것이다. 마침 중국 군인 해커들이 미국 정부를 해킹해 군사경제 기밀을 탈취할 때 DHS는 그 역할을 수행하고 있는 것이다.

미국 오바마 대통령과 중국 시진핑 주석간의 외교 내용도 중국의 해킹사건이 중요의제가 되고 있다. DHS 지원을 받은 FBI가 분석업체와 5년 이상 중국의 사이버접근을 감시한 일화는 유명하다.


▲ 중국 61398부대가 공격한 서방 국가 및 횟수

9.11 테러 이후 미국의 사이버보안 전략은 다음 4가지로 요약된다.

1) 보안 거버넌스(Governance)
거버넌스는 이사회나 경영진에 의해 진행되어야 하는 전략적인 실무보안의 집합이다. 기업의 전산자원이 적절하게 사용되고 있음을 보장하면서도 보안 위험이 관리될 수 있어야 함을 포함한다. 미국 정부 차원의 거버넌스는 ‘FISMA’ 법령에 의한 정부기관 보안 기준과 수준 향상, 이를 수행할 예산 지원으로 이루어진다. 사실 FISMA 법령 하에 보안 위함관리 수준에 대한 표준으로 예산청(OMB)가 연방정부 보안과 예산을 통제한다. 보안을 수행하는데 소요 예산을 지원하며 그 성과로서 보안 수준을 검증하여 수준을 강화하도록 하는 것이다. 2002년 시행된 FISMA는 OMB가 정부기관 보안수준 향상과 예산 절감을 이미 증명하고 있다.

2) 보안구조(Arhitecture)
시스템이 사용자의 요구 사항을 충족하기 위해 제공해야 하는 보안 서비스, 해당 서비스를 구현하는 데 필요한 시스템 요소, 위협 환경을 처리하기 위해 요소에서 필요한 성능 수준을 나타내는 계획 보안 대응(保安對應) 및 규칙 집합이다. 하지만 미국 정부 차원의 보안 구조는 기술적 보안 환경을 보장하기 위한 방안을 제시한다. 모든 연방 정부기관 인터넷 접속을 단 하나의 인터넷 링크로 단일화 시키는 TIS(Trusted Internet Connection)는 연방정부와 인터넷을 단 하나의 링크로 운영하는 단순구조를 제공한다. 사실 이는 연방정부에 대한 위협을 인터넷 보안으로 지원하려는 보안구조이다. 그래서 정부 유입 인터넷 경로를 단 하나로 만들고 진정한 인터넷 보안으로 승부를 가리게 한다. 일반 정부기관은 단 하나의 경로를 만드는데 노력한다,

3) 정상행위(Normal Behavior)
인터넷 해킹 등 위협을 탐지하기 위한 침입탐지 시스템, AV라는 컴퓨터 백신은 알려진 공격을 탐지하는 기술이었다. 하지만 소위 APT(Advanced Persistent Threat)라는 신종 악성코드 공격기법으로 농협, 한수원, 3.20 사이버테러 등이 발생했다. 보안 제품이 공격을 탐지하지 못한다면 감염된 사용자가 정상적인 트랜잭션으로 공격을 하는 사태가 벌어진다. 3.20사이버테러 당시 정상적인 백신업데이트를 이용했으며, 2004년 중국 본토에서 직접 은행 계좌를 털어가기도 한다. 정상 트랜잭션을 확인하는 전략이 요구되는 것이다. IDS의 이론 중 ‘Normal Behavior Detection’ 방법은 보안업체가 아닌 운영기관의 환경에 따라 달라지는 것이다.

4) 대응능력 강화(Response Capability)
위협으로 가득한 인터넷은 사실은 산업경제에서 매우 중요한 구성요소이다. 모든 직원들이 인터넷을 마음껏 이용하도록 하려면 위협을 최소화해야 하는 것이 보안담당자의 임무이다. 가령 APT 공격과 유사 공격에 대한 경험을 경험 DB로 실시간 활용해야 한다. 미국은 OMB가 보안능력을 강화하도록 하고 있으며 실제로 각 연방정부는 매년 보안점수가 증가하고 소요 예산이 줄어지고 있음을 보이고 있다. 보안 점수란 선택한 보안통제가 효과적인가(Efficient), 효율적인가(Efficiency), 법적 준수사항을 지키고 있는지 정량적으로 산출한 결과이다.

백악관의 주도로 다음과 같은 12가지 업무가 배당되고 각 부처별 업무가 정의되어 있고 매년 대통령에게 진행사항을 보고하고 있다. 이 전략은 CNCI(The Comprehensive National Cybersecurity Initiative)로서 사이버보안 보좌관이 업무를 조정하고 대통령께 보고 하는 업무를 진행한다. 국가 CISO이며 ‘사이버짜르’라고도 부른다.

1) GSA(총무청) 주도의 TIC(Trusted Internet Connection)로 정부를 단일 네트워크화
2) DHS, 악성행위 탐지 위한 침입탐지시스템 센서(EINSTEIN 2) 구축·운영 보고, 오바마 대통령은 정부기관 프라이버시 보호 대책 강화를 요구하고 있고 업무마다 프라이버시 지침 결과를 같이 보고 중
3) DHS, 칩입방지용 Intrusion Prevention System(IPS, EINSTEIN 3) 구축·운영 보고
4) NSTC, 국가 과학기술위원회는 보안 연구개발 방향 조정
5) DHS/NCSC, 대통령 훈령 NSPD-54/HSPD-23에 의해 NSA, DOD, CIA, FBI 등과 함께 미국 정부기관에 대한 위협 공동 감시 및 대응
6) 정부기관 전반적인 사이버 첩보대응(CI, CounterIntelligence) 계획 개발 및 구현, 2007년 발표된 전략인 ‘National Counterintelligence Strategy of the United States of America’를 기반으로 함
7) NSA, 비밀 분류 네트워크의 보안강화
8) 사이버보안에 대한 교육 강화
9) 사이버보안에 대한 최첨단의 기술, 전략 및 프로그램 정의
10) 지속적인 억제 전략과 프로그램을 정의
11) 상업적 글로벌 공급망 위험관리에 대한 특별한 대책을 개발
12) 정부의 사이버보안을 중요기간산업(CIKR)으로 확대
[글 _ 임채호 KAIST 초빙교수, KAIST 전산학과 정보보호 전공(chlim@kaist.ac.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>