티에스온넷 임연호 사장(yhim@tsonnet.co.kr)
방화벽, 침입탐지시스템 등의 보안제품이 과연 소중한 정보자원을 지켜줄 수 있을까. 답은 간단하다. 「결코 그렇지 않다」다. 만약 IT책임자가 「그렇다」라는 믿음으로 외곽방어에 불과한 이들 시스템에 의존한다면 이는 분명 새벽녘에 키보드를 접고 일어선 해커들의 커피맛을 돋워 주는 데 그치지 않고 그들만의 영역을 무한히 넓혀주는 결과를 초래할 것이다.
세상에 드러나는 해킹사고는 실제 발생사고에 비하면 빙산의 일각에 불과하다. 게다가 단순 해킹을 넘어선 심각한 정보보안 범죄가 도처에서 자행되고 있다. 계좌이체에 의한 금융절도, 산업 스파이에 의한 지적 재산권 유출, 고객 정보의 불법 유통 등. 이런 범죄의 대부분은 일정 기간동안 아예 감지되지 않거나 감지된다 하더라도 조직의 신뢰손상을 우려한 피해자가 외부에 노출시키지 않는다는 데 문제의 심각성이 있다.
국내에는 100여개에 이르는 정보보안 기업이 있고 저마다 자신들이 보유한 인력의 화려한 경력을 보증 수표처럼 「완벽」을 외쳐대고 있다. 하지만 그들은 정보보안에 관한 중요한 사실을 놓치고 있다. 응용 소프트웨어 또는 네트워크 레벨에서 구현된 어떠한 종류의 보안 제품(방화벽, IDS 등)도 컴퓨터 운용체계 자체에 보안기능이 갖추어지지 않은 상태에선 사상누각에 불과하다는 사실 말이다.
외곽에서 이루어지는 방어책은 아무리 강력하다 하더라도 대문 입구에 보초를 세운 것 이상의 의미를 갖지 못한다. 더구나 해커들은 방화벽을 무력화시킬 수 있는 수많은 공격 기법을 이미 터득한 상태다.
특히 인터넷 서비스를 위해 방화벽에 80포트 접속의 통과를 허용한 경우 정상적인 HTTP 트래픽에 숨겨진 해커의 공격을 차단하는 것은 사실상 불가능하다. 최근 주목을 받고 있는 침입탐지시스템(IDS)도 마찬가지다. IDS의 치명적인 결함은 침입을 탐지하는 도구일 뿐 방어책은 될 수 없다는 점이다. 또한 IDS가 수많은 공격 기법을 탐지하기 위해서는 끊임없는 업그레이드가 필요하며 이에 따른 비용 증가는 불가피하다.
이런 현실에서 정보보안에 관한 미국의 국가보안국(NSA:National Security Agency) 연구결과에 주목할 필요가 있다. 최근 NSA가 발간한 「The Inevitability of Failure:The Fallacy of Security in Modern Computing Environments」란 제목의 논문에서 『현재의 컴퓨팅 환경을 괴롭히고 있는 위협은 보안 운용체계(Secure OS) 없이는 해결될 수 없다. 이러한 사실을 간과한 어떠한 형태의 보안 노력도 모래 위에 성을 쌓는 결과를 초래할 것이다』라고 주장한다.
이 논문에서 강조하고 있는 보안 운용체계란 기존 운용체계(SUN Solaris, IBM/AIX, Linux 등)의 핵심 부분에 보안 기능을 구현한 것이다. 보안 운용체계 설계의 노하우는 응용프로그램의 실행 환경을 그대로 유지하면서 시스템 차원의 강력하고도 완벽한 보안기능을 제공하는 것이다.
그렇다면 왜 지금에 와서 보안 운용체계가 정보보안 제품으로서 논의되고 있는가. 보안 운용체계에 대한 기술 연구는 하루이틀 사이에 이뤄지는 것이 아니다. 오랜 시간을 연구에 투입해야 하고 상용화를 위해서는 엄청난 노력이 뒤따라야 한다. 하지만 더 이상 미룰 수만은 없는 상황이다. 근본적인 해결책에 대한 필요성은 시대적인 요구이기 때문이다.
미국은 이미 80년대초부터 국방부를 중심으로 보안 운용체계 연구를 끊임없이 추진해 왔다. 이러한 연구개발 노력의 결과로서 최근 미국의 보안 운용체계 전문기업인 아구스(Argus)사는 e비즈니스에 적용할 수 있는 상용 버전을 개발해 세계를 무대로 금융권, IDC, 정부기관 등에 공급하고 있다. 우리나라에서도 80년대 후반부터 한국전자통신연구원(ETRI)에서 국산 주전산기 운용체계 내부에 보안 운용체계를 구현하기 위한 연구가 시작됐으며, 이러한 연구는 최근 벤처기업으로 이어지고 있다.
정보보안 구조 측면에서 지금까지의 보안 제품은 핵심(core)에 접근하지 못했다. 때문에 보안 운용체계는 기존의 정보보안 패러다임을 근본적으로 변화시키는 새로운 대안으로 부상하고 있다. 새로운 해킹기술을 항상 뒤쫓아가야만 하는 네트워크 및 애플리케이션 레벨의 보안 방식 한계를 극복하고, 조직의 외부뿐만 아니라 내부의 정보침해 요인으로부터 소중한 디지털 데이터를 보호할 수 있는 근본적인 해결책을 제공할 것이다. 이제 정보보안의 혁명이 시작됐으며 혁명은 핵심에서 시작된다. 보안 운용체계가 바로 그것이다.