#지난 4월 21일 국내 유명 커뮤니티사이트에서 한글버전 랜섬웨어 유포가 시작됐다. 하루 방문자만 수십만명에 달하는 커뮤니티사이트다. 웹사이트에 방문만 해도 랜섬웨어에 감염되는 방식으로 전파됐다. 한글판 랜섬웨어가 상륙하자마자 사이버 위협 인텔리전스가 가동됐다. 사이버 위협 인텔리전스 그룹은 서로 경고 메시지를 보내며 랜섬웨어 피해 최소화에 주력했다. KISA는 사이버 위협 인텔리전스 그룹에 공유되는 정보를 바탕으로 신속하게 랜섬웨어 유포 서버를 차단했다. 4월 첫 한글 랜섬웨어 배포 사건 후 6월말까지 공격 시도는 900배 이상 증가했지만 피해는 늘지 않았다.
#지난해 말 대형 인터넷서비스제공자(ISP) 2곳이 분산서비스거부(DDoS) 공격을 받았다. 가정에 설치된 무선공유기가 악성코드에 감염되며 장애가 발생했다. NSHC는 공격자가 자동화된 도구로 국내에서 사용 중인 유명 무선 공유기를 해킹한 사실을 밝혀냈다. 또 국내 주요 무선공유기에서 42개에 달하는 제로데이 취약점을 발견해 사이버 위협 인텔리전스 그룹에 공유했다. KISA와 미래부는 무선공유기 보안대책을 만들었고 제조사에 취약점 업데이트를 요청했다. 그동안 보안 사각지대에 놓였던 무선공유기 제조사를 직접 움직여 피해를 줄였다.
우리나라는 △7·7DDoS(2009년), △3·4DDoS, 포털·금융·온라인 게임사 대량 개인정보 유출(2011년) △3·20 방송〃금융사 시스템 파괴, 6·25 언론·방송사 시스템 파괴(2013년) △한국수력원자료 원전 자료 유출(2014년) 등 대규모 사이버공격을 당했다. 사이버공격 대비 침해사고 대응기관 간 긴밀한 협조 필요성은 해마다 높아졌지만 일회성 회의에 머물렀다.
한국인터넷진흥원(KISA)은 이런 문제 해결을 위해 지난해 ‘사이버 위협 인텔리전스’ 회의를 시작했다. 안랩·하우리·이스트소프트·잉카인터넷·빛스캔·NSHC 등 정보보호 기업과 함께 한 달에 한번 얼굴을 맞대기 시작했다. 참여 기업은 처음엔 귀찮았다. 기존 공공기관이 하는 형식적인 회의로 생각했다. 회를 거듭하면서 정보공유의 힘을 느꼈다.
지난 14일 서울 강남에서 열린 제7회 사이버 위협 인텔리전스 회의에 직접 참여했다. 사이버 위협 인텔리전스 회의는 철저한 비공개다. 사이버 세상에서 벌어지는 각종 공격과 위협을 허심탄회하게 이야기하기 때문이다. 이날 양해를 얻어 잠시 회의에 동참했다.
회의 주제는 사이버 금융사기를 막는 이상금융거래탐지시스템(FDS). 사이버 위협 인텔리전스 그룹은 FDS를 비롯해 보안 솔루션이 모든 공격을 100% 막는다는 생각을 버려야 한다고 입을 모았다. 보안은 보안기업이나 솔루션이 아니라 자산을 가진 주체가 스스로 대응하고 해결책을 모색해야 한다.
이들은 지난 7개월 간 사이버 위협 인텔리전스 회의를 하며 큰 변화를 느꼈다. 평상시 잘 알고 지내던 기업이나 연구원하고만 공유하던 내용을 사이버 위협 인텔리전스 그룹과 나누고 있었다. 이들 간 ‘신뢰’가 쌓이기 시작한 덕이다.
안창용 안랩 책임연구원은 “사이버 위협 인텔리전스 그룹과 얼굴 맞대고 위협 징후를 공유하고 함께 대응방법을 고민하면 점점 신뢰가 쌓인다”고 말했다. 어떤 곳이든 공유의 핵심은 ‘알짜 정보’에 있다.
최상명 하우리 팀장은 “지난 4월과 비교해 6월에 나온 랜섬웨어는 950배나 증가했지만 사이버 위협 인텔리전스와 함께 대응하면서 피해를 매우 최소화한 성과를 직접 경험했다”며 “KISA가 빠르게 랜섬웨어가 통신하는 통로를 차단하면서 효과를 극대화했다”고 설명했다.
문종현 이스트소프트 부장은 “대형 사이버공격이 발생했을 때 일시적으로 하는 회의는 지금과 같은 효과를 발휘하지 못한다”며 “평상시에 정기적 모임이 생기면서 자연스럽게 사이버 위협 징후를 함께 논의하고 보다 효율적으로 대응할 수 있게 됐다”고 말했다. 문 부장은 “서로 얼굴을 보면서 많은 이야기를 하고 신뢰가 쌓이니 자연스럽게 공유하는 정보의 질이 높아졌다”고 덧붙였다.
문해은 NSHC 팀장은 “상시적인 사이버 위협 체제는 긴급한 일이 발생했을 때 보다 신속하게 대응하는 체계의 기본”이라고 설명했다.
정영석 잉카인터넷 이사는 “사이버 위협 인텔리전스 회의 외에 다른 정부기관도 비슷한 회의를 한다”며 “이 곳에서 공유된 내용이 다른 정부기관에 효율적으로 전달되면 좋겠다”고 말했다.
문일준 빛스캔 대표는 “보안기업은 서로 다른 관점에서 사이버 위협을 진단하는데 회의를 통해 보지 못한 부분을 보충할 수 있어 유익하다”고 분석했다.
최상명 하우리 팀장은 “인텔리전스의 핵심은 ‘신뢰’”라며 “신뢰가 쌓이며 정보 교류가 증가하는데 KISA 담당자가 바뀌는 건 매우 아쉽다”고 지적했다. 그는 “인텔리전스가 힘을 발휘하려면 끈끈한 신뢰가 기반이 된다”며 “사이버 위협 인텔리전스에서 거론된 내용을 체계화해 저장할 수 있는 데이터베이스(DB) 구축”을 제안했다.
신대규 KISA 인터넷침해사고분석단장은 “동시 다발적으로 발생하는 대규모 사이버공격을 사전에 탐지해 예방하기 위해 보안업계와 기관 간 유기적 협력체계 강화에 더욱 노력하겠다”고 말했다.
김인순기자 insoon@etnews.com
