[사이버보안이 경쟁력]③ 해커도 겁 먹는다

[김국배기자] 갈수록 커지는 사이버 위협 속에서 기업 보안 담당자들은 여전히 어려움을 겪고 있다.

사이버 공격자들은 기업 규모를 가리지 않고 먹잇감을 찾고 있다. 이미 사이버 공격에 대한 100% 사전 예방은 불가능하다는 게 보안업계의 정설로 굳어지고 있다.

하지만 보안 솔루션 구축이 능사는 아니다. 그보다는 운영과 관리가 더 중요하다는 게 보안 전문가들의 공통된 얘기다.

그렇다면 공격자들은 어떤 기업에 침투하기를 꺼릴까. 화이트 해커와 보안 전문가들에게 더 나은 정보보안을 위한 의견과 조언들을 들어봤다.

◆강력한 초기 대응, 해커에겐 '심리적 부담'

민감하고 강력한 초기 대응이 사이버 공격자에게는 심리적 부담이 될 수 있다고 보안 전문가들은 말한다.

어설픈 공격으로 덜미를 잡히고 싶어하는 공격자는 없다. '방어벽을 뚫기 쉽진 않겠다'는 생각이 들게 한다면 조금이나마 공격을 당할 확률을 줄일 수 있다고 한다. 공격자에게 만만히 보여선 안 된다는 의미다.

모의해킹을 전문적으로 수행하는 황석훈 타이거팀 대표는 "(타깃 공격이 아닌 경우) 몇 번 건드려 봤을 때 단단하다는 느낌이 들면 공격을 포기하기도 한다"며 "예컨대 관제센터에서 모니터링을 하다가 공격의 징조만 보여도 즉각적인 IP 차단이 이뤄지면 공격자 입장에서 심리적으로 상당한 부담"이라고 말했다.

이어 "취약점 관리가 꼼꼼히 잘 돼 있는 기업도 마찬가지로 부담이 될 수 있다"고 덧붙였다. 즉, 꼼꼼하고 예민한 대응이 공격자에게 보안이 허술하지 않다는 메시지를 보내는 셈이다.

블랙펄시큐리티 심준보 기술이사도 "대문이 좋다고 도둑이 못 들어오지 않듯 의외로 보안 솔루션은 도움이 안 되는 경우가 많다"며 "결국엔 사람"이라고 말했다.

또 전문가들의 말을 종합하면 사이버 공격자들은 놀랄 만큼 효율을 추구하는 자들이다. 당연히 비용대비 효과가 좋은 곳을 공격하려 든다.

따라서 웹 보안만 잘 돼 있어도 공격 목표가 될 가능성이 현저히 줄어든다고 한다. 보통 웹 해킹이 여의치 않을 경우 지능형 지속공격(APT)을 감행하는데 그럴 경우 시간과 비용이 많이 들어 다른 목표를 찾게 된다는 것이다.

만약 A라는 사이트가 뚫는데 10시간이 걸리고 B와 C는 2시간씩밖에 안 걸린다면 후자를 선택한다는 의미다.

이승진 그레이해쉬 대표는 "해커도 사전 조사를 한 뒤 쉬워 보이는 사이트를 해킹한다"며 "해커 입장에선 해킹에 연달아 성공할수록 금전적 이득을 볼 확률이 높아지기 때문에 만약 뚫기 쉽지 않다고 판단하면 다른 기업 사이트를 노리게 된다"고 말했다.

이어 "여전히 대부분의 공격은 웹 해킹을 통해 이뤄지는 경우가 많다"며 "무엇보다 웹이 가장 많이 노출되니 웹 해킹을 당하지 않도록 보안 코딩을 해야 한다"고 강조했다.

◆"중소 기업 보안엔 클라우드 이용도 방법"

사이버 보안에 대한 고려가 부족한 중소 기업들의 경우 오히려 클라우드 서비스를 이용하는 것이 더 안전할 수 있다는 의견도 나온다.

현재 중견·중소 기업은 사이버 공격의 주요 표적이 되고 있다. 2015년 버라이즌의 데이터 침해 보고서에 따르면 직원이 1천명 이하인 기업이 대기업보다 더 많은 침해 사고를 당한 것으로 나타났다.

또 실제로 최근엔 워싱턴 주 시애틀에 소재한 한 중소 부동산 투자·개발 회사는 지난해 기업 오너의 이메일 계정이 해킹을 당해 불과 몇 시간 만에 100만 달러(한화 약 11억원)가 넘는 손해를 입는 사건이 발생하기도 했다.

공격자들은 오너의 이메일에 접속했고, 그가 경리 직원과 주고 받은 모든 통신문을 읽었다. 그 결과 회사 은행 계좌를 탈취했고, 중국에 개설된 계좌로 돈을 보내기 위해 필요한 정보도 빼냈다. 이 회사는 자금을 전혀 회수하지 못했다.

심 이사는 "(클라우드 사용이) 오히려 보안에 훨씬 나을 수 있다"며 "개인용 PC가 아닌 클라우드 핵심 서버를 노려야 하는 데다 해킹 대상 자체가 적어지는 효과가 있기 때문"이라고 말했다.