김세헌 KAIST 시스템공학과 교수 인터넷 정보보호협의회 의장
정보보호는 기본적으로 예방, 탐지, 대응으로 이루어진다. 사이버 공격을 예방하는 방법으로는 침입차단 시스템, 가상 사설망, 액세스 통제, 패스워드 통제, 암호법, 교육과 훈련, 업무 분리 등 다양한 방법들이 개발되어 있다. 그러나 지난 7월 7일 발생한 DDoS 공격의 특징은 이러한 예방 대책들이 모두 아무런 효과가 없다는 것이다. DDoS공격에 대해 사용 가능한 예방 대책은 인터넷에 있는 수 천 만 개의 PC에 대한 보안을 강화하여 이들이 바이러스에 감염되지 않게 하고 각 사이트들은 자신들을 보호하기 위하여 DDoS 장비를 도입하는 것 정도가 고작인데 이러한 예방 대책은 별로 효과적이지 못하다. 수 천 만 개의 PC가 바이러스에 감염되지 않게 할 재간은 없다. 이 중의 10%만 보안이 허술하다고 해도 DDoS 공격에 좀비로 동원하기에 충분하다. 또한 DDoS 장비가 갖추어지지 못한 사이트는 속수무책이다. DDoS 장비를 갖춘 사이트도 완전히 예방되지는 않는다.
이렇게 예방 대책이 확실하지 않은 사이버 공격에 대해서는 탐지와 대응이 무엇보다도 중요하다. 이를 위해서는 공격의 징후를 실시간으로 탐지하는 조기경보 및 탐지 기술, 바이러스 코드를 분석하는 기술, 공격자를 찾아내는 역추적 기술 등 3가지를 개발하여야 한다. 그런데 바이러스 코드를 해석하는 기술은 백신 사업이라는 수익 모델과 연결이 되어 비즈니스로 이어지기 때문에 민간 기업에서 이미 기술개발을 하고 있는 분야이다. 이 분야에 정부가 중복 투자할 이유는 없다. 그 자금으로 민간 기업을 지원하면 된다.
그러나 조기 경보 기술이나 역추적 기술은 수익 모델과 연결되지 않는다. 민간에서는 이 기술을 개발할 동기가 없다. 또 전체 네트워크를 관찰하여야 하기 때문에 민간에서 하기 어려운 일이다. 그러나 DDoS 공격을 원천적으로 막기 위해서는 이 기술이 절대적으로 필요하다. 공격자가 발각되어 처벌받지 않는데 윤리적인 이유로 공격을 그만두기를 바라는 것은 순진한 생각이다. 전 세계적으로 역추적 기술은 제대로 개발되어 있지 않다. 많은 사람들이 DDoS에 대한 역추적은 불가능하다고 한다. 과연 그럴까? 사람이 만든 인터넷인데 역추적이 불가능하다는 것인가? 앞으로 정부는 이러한 기술개발에 투자하여야 하며 네트워크 연구기관과 수사기관은 협동하여 DDoS 공격에 대한 역추적을 위한 기술개발을 추진하여야 한다. 이것이 성공하면 이 기술은 우리나라가 보유한 세계적으로 가장 앞선 기술이 되며 우리나라는 안전한 인터넷 강국으로 전 세계에 인식될 것이다.
다행이 지난 9월 13일 정부는 미래의 7ㆍ7 DDoS 사태와 같은 국가적 사이버 도발에 대비하여 종합적인 대책을 발표하였다. 여기에는 정부 부서간의 업무 분담, 업무 협조에 관한 내용들이 포함되어 있고 3000명에 이르는 사이버보안관 양성 등 구체적인 투자 내용을 담고 있다. 그리고 사이버 보안 관련 법규의 추진의사도 보이고 있다. 이제 우리나라는 세계적으로 안전한 IT 강국으로 나아가겠다는 강력한 의지를 보인 것으로 보인다.
그러나 이러한 사이버 안보와 관련한 정책을 추진하는 데 있어서 항상 염두에 두어야 할 것들이 있다. 첫째, 사이버 보안 정책 추진이 민간의 자유로운 상거래를 위축시켜서는 안 되며 이를 위해서는 민간의 통신 검열을 최소한으로 줄여야 하며 사이버 안보를 위한 법적 규제는 최소로 줄여야 한다. 둘째, 사이버 보안 정책 추진이 우리나라 국민들의 자유로운 삶을 구속하거나 개인의 정보를 남용하거나 개인의 인권을 침해해서는 안 된다. 마지막으로, 인터넷은 그 본래의 취지대로 자유로운 공간으로 유지되어야 하며 사이버 안전이 인터넷 공간을 함부로 제한해서는 안 된다. 이러한 원칙들이 지켜질 때 사이버 안보 정책은 국민의 지지를 받고 성공할 것이다.
이렇게 예방 대책이 확실하지 않은 사이버 공격에 대해서는 탐지와 대응이 무엇보다도 중요하다. 이를 위해서는 공격의 징후를 실시간으로 탐지하는 조기경보 및 탐지 기술, 바이러스 코드를 분석하는 기술, 공격자를 찾아내는 역추적 기술 등 3가지를 개발하여야 한다. 그런데 바이러스 코드를 해석하는 기술은 백신 사업이라는 수익 모델과 연결이 되어 비즈니스로 이어지기 때문에 민간 기업에서 이미 기술개발을 하고 있는 분야이다. 이 분야에 정부가 중복 투자할 이유는 없다. 그 자금으로 민간 기업을 지원하면 된다.
그러나 조기 경보 기술이나 역추적 기술은 수익 모델과 연결되지 않는다. 민간에서는 이 기술을 개발할 동기가 없다. 또 전체 네트워크를 관찰하여야 하기 때문에 민간에서 하기 어려운 일이다. 그러나 DDoS 공격을 원천적으로 막기 위해서는 이 기술이 절대적으로 필요하다. 공격자가 발각되어 처벌받지 않는데 윤리적인 이유로 공격을 그만두기를 바라는 것은 순진한 생각이다. 전 세계적으로 역추적 기술은 제대로 개발되어 있지 않다. 많은 사람들이 DDoS에 대한 역추적은 불가능하다고 한다. 과연 그럴까? 사람이 만든 인터넷인데 역추적이 불가능하다는 것인가? 앞으로 정부는 이러한 기술개발에 투자하여야 하며 네트워크 연구기관과 수사기관은 협동하여 DDoS 공격에 대한 역추적을 위한 기술개발을 추진하여야 한다. 이것이 성공하면 이 기술은 우리나라가 보유한 세계적으로 가장 앞선 기술이 되며 우리나라는 안전한 인터넷 강국으로 전 세계에 인식될 것이다.
다행이 지난 9월 13일 정부는 미래의 7ㆍ7 DDoS 사태와 같은 국가적 사이버 도발에 대비하여 종합적인 대책을 발표하였다. 여기에는 정부 부서간의 업무 분담, 업무 협조에 관한 내용들이 포함되어 있고 3000명에 이르는 사이버보안관 양성 등 구체적인 투자 내용을 담고 있다. 그리고 사이버 보안 관련 법규의 추진의사도 보이고 있다. 이제 우리나라는 세계적으로 안전한 IT 강국으로 나아가겠다는 강력한 의지를 보인 것으로 보인다.
그러나 이러한 사이버 안보와 관련한 정책을 추진하는 데 있어서 항상 염두에 두어야 할 것들이 있다. 첫째, 사이버 보안 정책 추진이 민간의 자유로운 상거래를 위축시켜서는 안 되며 이를 위해서는 민간의 통신 검열을 최소한으로 줄여야 하며 사이버 안보를 위한 법적 규제는 최소로 줄여야 한다. 둘째, 사이버 보안 정책 추진이 우리나라 국민들의 자유로운 삶을 구속하거나 개인의 정보를 남용하거나 개인의 인권을 침해해서는 안 된다. 마지막으로, 인터넷은 그 본래의 취지대로 자유로운 공간으로 유지되어야 하며 사이버 안전이 인터넷 공간을 함부로 제한해서는 안 된다. 이러한 원칙들이 지켜질 때 사이버 안보 정책은 국민의 지지를 받고 성공할 것이다.
