정부 보안정책도 인증 중심에서 실제 탐지·차단 역량 중심으로 전환해야
PHP2Shell 취약점이 공개된 이후 긴급 보안 경고와 웹사이트 운영 중단 소식이 이어지고 있다. 중대한 취약점에 신속하게 대응하는 것은 당연하다. 그러나 모든 기업이 서비스를 중단하고 보안 패치가 완료되기만을 기다릴 수는 없다. 중요한 것은 이미 알려진 대응 방법을 현장에서 실행하는 일이다.
2021년 Log4Shell과 2022년 Spring4Shell 사태에서도 보안업계는 웹방화벽(WAF) 차단 규칙을 배포하고 신속한 패치를 권고했다. 이번 PHP2Shell 역시 기본적인 대응 원칙은 다르지 않다. 클라우드플레어(Cloudflare)는 관련 차단 정책과 요청·응답 연계 탐지 기능을 적용하고 PHP 업데이트를 안내했다.
우선 웹방화벽으로 공격을 차단해 서비스를 보호하면서 필요한 패치를 진행하는 것이 현실적인 대응 절차다. 실제 침해가 확인되거나 통제할 수 없는 위험이 발생했을 때는 해당 시스템을 제한하거나 격리하는 조치가 뒤따라야 한다.
문제는 중소기업의 현실이다. 노후화된 홈페이지는 PHP 버전과 각종 플러그인, 외부 유지보수 업체의 시스템이 복잡하게 얽혀 있는 경우가 많다. 전담 보안인력이 부족한 상황에서 무리하게 버전을 변경하면 서비스 장애가 발생할 수도 있다.
정부가 '즉시 패치하라'는 경고를 반복하더라도 현장의 어려움이 저절로 해결되지는 않는다. Log4Shell 사태에서도 패치 지연에 따른 보안 공백이 문제로 지적됐다. 미국 국립표준기술연구소(NIST) 역시 패치 과정에서 발생하는 비용과 서비스 중단 위험을 다룬 바 있다.
이러한 현실에서 웹방화벽은 중요한 방어 수단이다. PHP2Shell 취약점을 해결하더라도 SQL 인젝션과 악성 파일 업로드, 웹셸, 계정 공격 등 다양한 위협은 여전히 존재한다. 개별 취약점을 제거하는 것만으로 웹서비스 전체의 안전을 보장할 수 없는 이유다.
다만 웹방화벽이 모든 공격을 완벽하게 차단하는 것은 아니다. 우회 공격 가능성을 고려해 웹 요청과 응답의 헤더 및 본문을 분석하고, 공격과 정보유출 징후를 실시간으로 탐지하는 체계가 함께 필요하다. 탐지 결과를 신속한 차단과 사고 대응으로 연결하는 운영 역량도 중요하다.
정부의 지원정책 역시 이러한 현실을 반영해야 한다. 특히 자체 보안체계를 갖추기 어려운 중소기업이 우선적인 지원 대상이 돼야 한다.
정부와 한국인터넷진흥원(KISA)은 이미 중소기업의 클라우드 보안서비스(SECaaS) 도입을 지원하고 있다. 이제는 단순한 지원 건수보다 실제 방어 효과를 중심으로 사업 성과를 평가할 필요가 있다.
기업의 웹 요청이 웹방화벽을 정상적으로 통과하는지, 차단 기능이 활성화돼 있는지, 우회 공격을 탐지하고 대응할 수 있는지 등을 확인해야 한다. 취약점이 발견될 때마다 경고와 점검을 반복하기보다 평상시에도 작동하는 방어체계를 구축하도록 지원하는 것이 중요하다.
정보보호 관리체계에 대한 접근도 달라져야 한다. 현행 정보보호 및 개인정보보호 관리체계(ISMS-P)는 101개 인증기준을 중심으로 운영되고 있다. 그러나 인증 항목을 충족했다는 사실이 실제 사이버공격을 탐지하고 차단할 수 있다는 의미는 아니다.
인증기준을 추가하거나 서류 점검을 강화하는 방식만으로는 빠르게 변화하는 공격에 충분히 대응하기 어렵다. 이제는 기존 인증 중심 체계를 근본적으로 재검토하고 탐지·분석·차단·대응 능력을 실제 환경에서 검증하는 체계로 전환해야 한다.
물론 개인정보 보호 의무와 기업의 관리 책임은 엄격하게 유지돼야 한다. 다만 사이버보안의 실효성을 판단하는 기준은 문서상의 준수 여부를 넘어 실제 공격에 얼마나 효과적으로 대응할 수 있는가에 맞춰져야 한다.
PHP2Shell 대응에 필요한 것은 새로운 구호나 반복적인 경고가 아니다. 이미 알고 있는 보안 원칙을 현장에서 실행할 수 있도록 만드는 것이다.
기업은 웹방화벽을 통한 선제적 방어와 신속한 패치를 병행하고, 정부는 보안 역량이 부족한 중소기업의 상시 방어망 구축에 정책적 역량을 집중해야 한다.
다음 취약점이 등장했을 때 기업들이 '공격은 이미 차단했고, 패치는 진행 중'이라고 답할 수 있어야 한다. 그것이 취약점 대응을 넘어 지속 가능한 사이버보안 체계로 나아가는 출발점이다.
