인터파크 개인정보 유출사고로 본 망 분리 관리의 중요성

인터파크 개인정보 유출사고로 살펴본 망분리 관리의 중요성

“회원님의 개인정보는 유출된 것으로 확인되었습니다. 유출된 개인정보는 다음과 같습니다.”지난 7월 말 인터넷 쇼핑몰 인터파 크에서 우리나라 전체 인구의 무려 20%에 해당되는 1,030만 명 의 가입자 정보가 유출된 대형 보안 사고가 발생했다. 인터파크 사이트를 찾은 가입자 대다수는 설마 하면서도 위와 같이 달갑지 않은 인터파크의 메시지를 확인하고 이름, 전화번호, 이메일 주소 등 상당수의 개인정보가 유출된 사실을 받아들여야 했다.

‘민/관 합동조사단’이 8월 말 발표한 조사 결과에 따르면, 북 한 소행으로 판단되는 공격자는 지난 5 월 인터파크 직원에게 악성 이메일을 보내는 스피어피싱을 통해 회사 내부 데이터베이스에 침투했다. 공격자는 원 하는 정보를 찾을 때까지 몸을 숨기고 있다가, 탈취한 개인정보를 빌미로 인 터파크에게 30억 원 상당의 비트코인 지불을 요구하는 금전 거래를 시도하며 그 모습을 드러냈다.

7월 11일, 공격자의 금전 요구를 통해 최초 공격 이후 두 달이 지나서야 비로 소 해킹 사실을 인지하게 된 인터파크 는 7월 13일 경찰에 고소장을 접수하고, 7월 25일이 돼서야 개인정보가 유출된 사실을 공개했다. 이번 사고로 개인정보가 유출된 사용자 일부 는 인터파크의 미흡한 정보보호 조치 및 책임 회피 시도를 근거 로 서울중앙지방법원에 손해배상 청구소송을 제기한 상태다. 이번 사고는 무엇이 문제였을까? 기업의 투자와 노력에도 보 안 사고가 끊이지 않고 발생하는 이유는 무엇일까? 3.20 사이버 테러, 한수원 해킹, 그리고 최근 일어난 인터파크 개인정보 유출 사고에서 도출되는 공통점을 통해 근본적인 문제점을 짚어보고, 그 해결책을 강구해 보고자 한다

대형 보안 사고, 무엇이 문제인가?

“이유 없는 결과는 없다”는 얘기가 있다. 어떤 결과가 발생한 이면에는 분명 그럴만한 이유가 있으므로, 성공은 계속되고 실 패는 다시 발생하지 않게 그 원인을 되짚어 볼 필요가 있다는 의 미다.

3.20 사이버 테러, 한수원 해킹, 그리고 최근 일어난 인터파크 개인정보 유출사고에서도 공통적으로 도출되는 하나의 키워드 가 있다. 바로 망분리이다.

<표 1>에 나타난 세 건의 사고를 살펴보면, 사고 원인 혹은 사 고 후 대응 조치사항이 모두 망분리와 연결돼 있음을 확인할 수 있다. 우선, 3.20 사이버 테러 이후 중요 자료의 유출을 근본적 으로 차단하기 위한 방안 중 하나로 망분리가 부각되며 금융전 산 망분리가 의무화됐음을 확인할 수 있다. 이어 발생한 한수원 사고는 망분리 운영의 중요성이 부각된 사례 중 하나다. 업무망 과 인터넷망, 원전제어망을 물리적으로 분리해 운영하고 있었음 에도, 직원의 PC가 악성코드에 감염되며 내부 자료가 유출되었 기 때문이다.

그리고 최근 발생한 인터파크 개인정보 유출 사고 역시 앞서 거론한 두 사고와 연관성을 가지고 있다. 허술한 논리적 망분리 가 근본적인 사고 원인으로 지목됐기 때문이다. 미래창조과학부 와 방송통신위원회가 지난 8월 31일 발표한 인터파크 해킹사건 분석 결과에 따르면, 공격자들은 인터파크 데이터베이스관리자 (DBA)가 개인정보가 담긴 DB서버에 접속할 때만 해당 서버를 가상화하는 논리적 망분리를 적용하고 있다는 점을 노려 정보를 외부로 빼낸 것으로 드러났다.

이와 같은 일련의 사이버 공격 사례들을 돌아볼 때, 망분리 도 입은 점점 확대되고 있으나 망분리를 우회하는 보안 위협도 날 로 고도화되고 있음을 확인할 수 있다. 이에 망분리가 무엇인지, 망분리를 노린 보안 위협은 어떻게 일어나며 그에 어떻게 대응 해야 할지 논의해보고자 한다.

망분리의 종류와 특징

망분리란 업무용으로 사용하는 내부 네트워크망과 인터넷에 연결된 외부 네트워크망을 분리함으로써, 외부로부터 침입과 내 부 정보의 유출을 막는 행위를 말한다. 망분리는 크게 2대의 PC 를 사용하는‘물리적 망분리’와 1대의 PC를 활용하되 가상화를 통해 네트워크를 구분하는‘논리적 망분리’로 구분될 수 있다.

논리적 망분리는 다시 가상화 기반에 따라 서버 기반의 ‘SBC(Server Based Computing)’와 클라이언트 기반의 ‘CBC(Client Based Computing)’로 나뉘게 된다.

물리적 망분리는 하나의 PC는 인터넷에 연결해 외부 업무용 으로, 다른 하나는 인터넷에 연결하지 않고 내부 업무용으로 사 용하는 형태로 보안성과 안전성이 우수하다는 장점이 있다. 그 러나 별도의 네트워크 구축 및 PC 등의 추가 장비 비용이 소요 되고, 업무 편의상 혹은 악의적인 의도로 보조저장매체를 통해 정보가 유출되거나 악성코드가 감염될 우려가 있다.

1대의 PC로 업무망과 인터넷망을 나누는 논리적 망분리는 기 존 자원을 활용할 수 있다는 장점이 있으나 물리적 망분리에 비 해 관리가 까다로운 편이다. 서버 기반의 SBC 방식은 서버에서 가상 PC를 구동하고 사용자가 클라이언트로 접속해 사용하는 방식으로 중앙 집중화된 관리가 가능하나, 대량의 네트워크 트 래픽이 발생하는 만큼 서버팜 구축에 예산이 소요되고 이에 대 한 트래픽 부하가 발생할 수 있다는 단점도 존재한다. 또한, 방 화벽 정책 설정 오류나 터미널 서버 스토리지를 통한 악성코드 감염도 반드시 주의해야할 부분이다.

클라이언트 기반의 CBC 방식은 기존 PC에 가상화 기술을 적 용해 가상영역에서만 인터넷을 사용할 수 있게 하는 것으로 타 방식에 비해 네트워크 구축 및 신규 시스템 도입 비용을 최소화 할 수 있는 것이 특징이다. 그러나 사용자마다 PC 환경이 다른 만큼 관리가 어렵고, 업무망과 인터넷망 간의 자료 이동 시 추가 적인 보안 솔루션 도입이 요구되는 측면이 있다.

망분리, 100% 맹신은 금물...망분리 환경에서 발생할 수 있는 주요 보안 위협은?

많은 기업들이 망분리를 적용하면 보안위협으로부터 안전해 질 수 있다고 생각한다. 실제로, 망분리 도입 시 기업의 보안 수 준은 전반적으로 높아지게 되나, 이것이 모든 보안 위협으로부 터 안전하다는 것을 의미하지는 않는다. 환경을 구축하는 기술 적인 부분은 물론 내부자가 관여하는 관리 운영 측면에서도 공 격자가 파고들 수 있는 다양한 취약점이 발생할 수 있기 때문이 다.

망분리 환경에서 발생할 수 있는 보안 위협은 크게 4가지로 분류될 수 있다. 첫째, 업무망과 인터넷망 간의 데이터 이동을 위해 불가피하게 발생하는 접점이 공격의 경로로 악용되는 형태 다. 예로 인터넷 망이 포함된 사용자 로컬 환경에서 가상화 서버 로 접근해 업무 환경을 이용할 수 있는 SBC 기반 망분리 환경에 서 보안 점검을 진행한 경우, 공유폴더나 백도어를 이용해 파일 전송 제한을 우회하는 방식으로 개인정보가 포함된 가상화 환경 의 업무 자료를 인터넷망이 연결된 사용자 PC로 옮길 수 있는 취약점이 발견됐다.

둘째, 망 간 자료 전송에 대한 예외 처리 역시 보안 위협을 야 기할 수 있는 요소다. 망분리 환경이 구축된 후에도 정책 업무적 인 문제로 예외 처리가 필요한 경우가 빈번히 발생한다. 이 때, 자료의 보안 등급, 사용자의 권한을 고려한 명확한 데이터 반출 지침이 마련되지 않았다면 자칫 무분별한 자료 전송이 이뤄질 가능성이 있다. 외주 인력이 내부망에서 작성한 자료를 아무 제 한 없이 인터넷망으로 옮긴 사례가 대표적이다.

셋째, 호스트 컴퓨터에서 다수의 OS를 동시에 실행 및 관리 하는 하이퍼바이저에 대한 보?? 접근할 수 있는 보안 취약점이 발견된 것이 대표적이다. 예로 하 드웨어 기반의 젠 하이퍼바이저인‘Xenpwn’을 이용해 가상환 경에 대한 자원 및 메모리 할당을 처리하는 경우, 젠 하이퍼바이 저의 관리 도메인에서 모든 가상환경의 메모리에 접근할 수 있 는 것으로 드러났다.

마지막으로, 망분리 환경을 무력화시키는 예측 불가능한 보안 위협에도 주의를 기울여야 한다. 스피커 마이크로 망분리를 우 회해 폐쇄망에 존재하는 파일을 유출하거나, 망분리된 PC와 기 기에서 나오는 전자기파(EMR)를 이용해 PC의 메모리버스가 핸 드폰 주파수를 통해 핸드폰으로 데이터를 전송하게 만든 시연 사례가 대표적이다.

안전한 망분리, 어떻게 할까?

망분리는 내부망의 보안성을 향상시켜 기업의 주요 정보자산 이 공격받을 확률을 낮추는 대응 방안으로 꼽힐 수는 있지만, 모 든 사이버 공격을 막아낼 수 있는 절대적인 해답은 아님을 확인 할 수 있다. 망분리가 완벽한 보안을 담보하는 것은 아닌 만큼, 망분리 환경의 보안성을 강화하기 위해서는 어떠한 노력을 기울 여야 할까?

업무망과 인터넷망 간 데이터 반/출입을 효율적으로 통제할 수 있어야 한다. 기업은 망 간 자료 송/수신 시 발생하는 로그를 관리하고, 적합한 승인 절차에 따라 업무망에서 외부로 자료가 반출되고 있는지 여부를 꼼꼼히 점검해야 한다. 또한, 업무 편의 성을 위해 이동형 저장매체를 사용하는 경우도 빈번히 발생하는 만큼, 매체제어 또는 자료유출방지 솔루션을 추가적으로 도입해 망분리 보안운용 지침 위반 행위를 제한할 필요가 있다. 더불어, 높은 수준의 보안성이 요구되는 자료 반출 시에는 반드시 보안 담당자 혹은 상위 책임자의 승인을 받도록 해 파일 이동을 최소 화하는 것이 바람직하다.

특히, 주요 인프라의 보안 업데이트를 중앙에서 일괄적으로 관리하는 패치관리시스템(PMS)이 공격의 통로로 악용될 가능 성이 남아있는 만큼, 반드시 각 망별로 PMS를 설치 및 운영하 는 것을 권고한다. 실제로 망 간 자료전송 시스템을 통해 인터넷 망의 이메일을 업무망으로 이동할 시, 이메일에 첨부된 악성코 드가 업무망으로 유입되는 사례가 빈번히 발생되고 있다.

더불어 허용된 예외 처리 행위에 대한 지속적인 모니터링도 필수적으로 요구된다. 기업은 자료에 포함된 정보의 중요성 또 는 내부자의 권한에 따라 적합한 예외 처리가 이뤄지고 있는지 수시로 점검할 필요가 있다. 예를 들어 특정 사용자가‘쓰기 권 한’을 요구하는 경우, 해당 사용자의 지위 및 업무 연관성을 따 져 제한된 시간 내에만 사용할 수 있도록 허용하고, 예외 처리 기간이 종료된 후에는 혹시나‘쓰기 권한’을 사용하고 있지는 않은지 점검하는 등 예외처리 대상을 최소화해 관리해야 한다. 또한, 망분리를 우회하는 다양한 기술들이 활발히 연구되고 있는 만큼, 망분리 환경과 호환될 수 있는 보안 솔루션 도입 및 최신 보안 패치 실행을 통해 침해사고 피해를 최소화할 수 있는 대비책을 마련해 둘 필요가 있다.

지속적인 망분리 관리, 추가적인 보안 솔루션 도입 필요

지금까지 최근 화두가 되고 있는 망분리 구축 환경에서의 보 안 이슈를 살펴봤다. 사이버 테러가 한층 지능화되고 대규모 보 안 사고가 잇달아 발생하는 가운데, 많은 기업/기관들이 인터넷 망과 업무망을 분리하는 망분리 도입을 앞당기고 있다. 금융위 원회의‘금융전산 망분리 가이드라인’에 따라 의무적으로 망분 리 환경을 구축해야 하는 금융권의 경우 특히 도입이 빠르게 확 산되고 있으며, 폐쇄망으로 운영되는 산업제어시스템(SCADA) 역시 망분리 도입 효과가 높은 분야로 손꼽히고 있다.

그러나 망분리 도입 효과를 높이기 위해서는 망분리가 모든 보안 문제를 해결해줄 수 있는 만병통치약이 아니라는 사실을 반드시 인지할 필요가 있다. 인터넷망과 내부망을 분리했다 할 지라도 이를 오가며 업무를 처리할 수밖에 없는 만큼, 이 같은 접점에서 구멍이 생길 가능성이 남아있기 때문이다. 즉, 외부로 부터 들어오는 침입을 막고 내부에서 나가는 정보 유출을 막고 자했던 본래 취지와 다르게 공격의 통로로 악용될 여지가 있다 는 얘기다. 이 같은 허점을 보완하기 위해서는 망분리 환경 구축 에서 더 나아가 망 간 데이터 이동을 효과적으로 제어 관리하고, 망분리 환경을 우회하는 보안 위협을 실시간으로 관찰 및 분석 할 수 있는 보완책이 반드시 뒷받침돼야 한다. 망분리가 모든 보 안 위협을 막아줄 것이라는 안일한 생각에서 벗어나, 명확한 자 료 반출 정책 수립 및 추가적인 솔루션 도입을 통해 망분리 환경 의 보안성을 보다 높였으면 하는 바람이다

---

출처 : 컴퓨터월드 11월호

제공 : 데이터 전문가 지식포털 DBguide.net