488개 웹 사이트 및 국방부 네트워크 대상으로 한 버그바운티
참가하려면 배경조사 사전에 받아야 - 배경조사 시스템에 6억 달러 투자

[보안뉴스 문가용] 미국 국방부가 역사상 최초로 버그바운티 프로그램을 신설, 발표했다. 국방부의 웹 사이트 및 네트워크의 보안을 마음껏 뚫어보고, 취약점을 제보해달라는 것이다. 다만 이는 누구에게나 열려 있는 버그바운티는 아니고, 배경조사를 충분히 거쳐 검증된 해커들에게만 해당된다.


▲ 미국 국방부(출처 : 위키피디아)

이 프로그램은 4월부터 시작될 예정으로, 혹시라도 이번 버그바운티를 통해 발견된 취약점 때문에 중요한 업무나 국방이 마비될 것을 대비해 주요 핵심 시스템과는 분리된 시스템을 노릴 것으로 알려졌다. 국방부의 공식 발표에 따르면 현재 국방부가 직접 관리하고 있는 웹 사이트는 488개이다.

이번 버그바운티인 ‘핵 더 펜타곤(Hack the Pentagon)’은 국방부 내 국방 디지털 서비스국(Defense Digital Service, DDS)에서 진행한 것으로 총괄 책임자인 크리스 린치(Chris Lynch)는 기자 회견을 통해 “민간부문으로부터 최고의 실력을 가진 사람들 및 문제 해결 방법, 첨단 기술을 불러들여 국방부 자체의 보안은 물론 국가 전체의 안전망을 탄탄히 만들기 위한 방책”이라고 밝혔다.

로이터 통신에 따르면 국방부는 이번 버그바운티에 많은 자원은 투자할 것으로 보인다. 핵 더 펜타곤 발표 직전에 배경조사 기관에서 사용할 특수 컴퓨터 시스템을 민간 사업자들과 함께 공동으로 개발할 것이라고 하며 여기에 투자할 액수가 6억 달러 이상이라고 공표했기 때문이다. 당연히 이는 위에서 말한 ‘배경이 믿을만한’ 해커들을 걸러내기 위한 사전작업의 일환이다.

미국의 정부 기관들은 최근 중국과 러시아 등으로부터 발생한 것으로 보이는 사이버 공격에 시달려왔다. 특히 연방공무원들의 기록을 모두 보관하고 있는 인사관리처가 중국 해커들에게 뚫려 대량으로 민감한 정보가 유출되는 사고와 영국 10대 해커들로 보이는 CWA 핵티비스트 단체에 의해 국가정보국 및 FBI, CIA 국장 등의 메일 계정이 해킹당하는 사고를 겪으며 적잖은 혼란도 겪었다.

이에 오바마 대통령은 중국 시진핑 주석과 사이버 동맹을 맺었고, 그 뒤로 중국 해커들의 공격이 뜸해졌다는 소식이 있으나, 미국이라는 나라 자체가 크고 작은 해킹 단체의 가장 인기 높은 표적인 것에는 변함이 없다.

또한 미국은 작년 CISA라고 하는 사이버 보안 정보 공유법을 통과시켜 민간 부문에서 발생한 위협 첩보를 반드시 정부에게 알리도록 했으며, 이는 정보보안을 매개로 한 민간과 정부의 일방향의 교류로 이어질 가능성이 크다는 의견이 지배적이다. 이번 버그바운티가 단순히 미국 국방 및 정부기관의 보안을 얼마나 업그레이드 시킬지 외에, CISA의 통과로 우려되는 일방적인 교류의 방향을 바꿀 수 있을지도 관심을 모으고 있다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>