‘회원님의 개인정보는 유출된 것으로 확인되었습니다. 유출된 개인정보는 다음과 같습니다’. 지난 7월 말 인터넷 쇼핑몰 인터파크에서 우리나라 전체 인구의 무려 20%에 해당되는 1,030명의 가입자 정보가 유출된 대형 보안 사고가 발생했다. 인터파크 사이트를 찾은 가입자 대다수는 설마 하면서도 위와 같이 달갑지 않은 인터파크의 메시지를 확인하고 이름, 전화번호, 이메일 주소 등 상당수의 개인정보가 유출된 사실을 받아들여야했다.  

<인터파크 고객정보 유출사고 공격 시나리오>

‘민·관합동조사단’이 8월 말 발표한 조사 결과에 따르면, 북한 소행으로 판단되는 공격자는 지난 5월 인터파크 직원에게 악성 이메일을 보내는 스피어피싱을 통해 회사 내부 데이터베이스에 침투했다. 공격자는 원하는 정보를 찾을 때까지 몸을 숨기고 있다가, 탈취한 개인정보를 빌미로 인터파크에게 30억원 상당의 비트코인 지불을 요구하는 금전 거래를 시도하며 그 모습을 드러냈다.   7월 11일, 공격자의 금전 요구를 통해 최초 공격 이후 두 달이 지나서야 비로소 해킹 사실을 인지하게 된 인터파크는 7월 13일 경찰에 고소장을 접수하고 7월 25일이 되어서야 개인정보가 유출된 사실을 공개하였다. 이번 사고로 개인정보가 유출된 사용자 일부는 인터파크의 미흡한 정보보호 조치 및 책임 회피 시도를 근거로 서울중앙지방법원에 손해배상 청구소송을 제기한 상태다.   이번 사고는 무엇이 문제였을까. 기업의 투자와 노력에도 보안 사고가 끊이지 않고 발생하는 이유는 무엇일까. 3.20 사이버 테러, 한수원 해킹, 그리고 최근 일어난 인터파크 개인정보 유출사고에서 도출되는 공통점을 통해 근본적인 문제점을 짚어보고 그 해결책을 강구하는 시간을 마련해 보고자 한다.     ■ 대형 보안 사고, 무엇이 문제인가?   ‘이유 없는 결과는 없다’는 얘기가 있다. 어떤 결과가 발생한 이면에는 분명 그럴만한 이유가 있으므로 성공은 계속되고 실패는 다시 발생하지 않게 그 원인을 되짚어 볼 필요가 있다는 의미다. 3.20 사이버 테러, 한수원 해킹, 그리고 최근 일어난 인터파크 개인정보 유출사고에서도 공통적으로 도출되는 하나의 키워드가 있다. 바로, 망분리이다.  

구분	유형	기간	사건내용 및 피해현황	대응 및 조치사항
3.20 사이버 테러	홈페이지 취약점	2013년 3월	• 국내 금융권 및 방송사를 대상으로 동시다발적 전산 장애 발생 • ActiveX 취약점을 이용하여 관리자의 시스템을 감염시켜 악성코드 유포 • PMS(Path Management System)에 악성코드가 감염되어 악성코드 유포	• 2013년 7월, 금융 전산 보안강화 종합대책 발표 - 금융 기관 보안강화 및 보안조직•인력 역량 강화 등 포함 • 2013년 9월, 금융 전산 망분리 가이드 라인 배포 - 전산센터 : 2014년 12월까지 , 본점 영업점 : 2016년 말까지 • 2013년 11월, 전자금융 감독규정 개정 - 금융 전산 망분리 의무화
한수원 사이버 테러	스피어피싱	2014년 12월	• 중국 선양IP에서 국내가상사설망(VPN)을 이용하여 스피어피싱을 통해 직원 개인정보 수집, 이메일 계정 및 내용 탈취,  내부PC자료 탈취 • 약 6,000건의 악성코드가 포함된 이메일을 현직 임직원에게 발송하였으나 공격 실패 • 네이버, 다음, 네이트, 페이스북, 트위터, 드롭박스에 자료 공개 및 협박	• 사이버테러 이전 한수원은 국회지정사항으로 나온 "8. 한수원은 원전 시설에 대한 사이버 공격 대응체계를 강구할 것"항목에 대해서 아래와 같이 물리적 망분리를 구축한 것으로 보고 • 업무망-인터넷망 물리적 망분리 구축 운용(‘13.4) ㅇ 제어망을 포함하여 내부 업무망을 외부 인터넷으로부터 사이버공격 원천 차단
인터파크 개인정보 유출	APT	2016년 7월	• 스피어피싱을 통해 악성코드 유포 • 외부 인터넷 접속이 가능한 망분리 되지 않은 환경에서 데이터베이스에 접근하여 개인정보 유출 • 공격자가 유출된 유출된 정보로 비트코인 30억 요구	• 논리적 망분리 허술과 DB서버에 대한 접근통제실패가 사고 주요 원인으로 지목됨. • 정보유출 손해배상 청구소송이 진행

 

  <표1. 사이버 공격 피해현황 조치사항 비교 분석/ 출처: 이글루시큐리티 보안분석팀>

  실제로 세 건의 사고를 살펴보면, 사고 원인 혹은 사고 후 대응조치사항이 모두 망분리와 연결되어 있음을 확인할 수 있다. 우선, 3.20 사이버테러 이후 중요 자료의 유출을 근본적으로 차단하기 위한 방안 중 하나로 망분리가 부각되며 금융 전산 망분리가 의무화되었음을 확인할 수 있다. 이어 발생한 한수원 사고는 망분리 운영의 중요성이 부각된 사례중 하나다. 업무망과 인터넷망, 원전제어망을 물리적으로 분리하여 운영하고 있었음에도 직원의 PC가 악성코드에 감염되며 내부 자료가 유출되었기 때문이다.    그리고, 최근 발생한 인터파크 개인정보 유출 사고 역시 앞서 거론한 두 사고와 연관성을 가지고 있다.허술한 논리적 망분리가 근본적인 사고 원인으로 지목되었기 때문이다. 미래창조과학부, 방송통신위원회가 8월 31일 발표한 인터파크 해킹사건 분석 결과에 따르면, 공격자들은 인터파크가 데이터베이스 관리자(DBA)가 개인정보가 담긴 DB 서버에 접속할 때만 해당 서버를 가상화하는 논리적 망분리를 적용하고 있다는 점을 노려 정보를 외부로 빼낸 것으로 드러났다.   이와 같이, 일련의 사이버 공격 사례들을 돌아볼 때, 망분리 도입은 점점 확대되고 있으나 망분리를 우회하는 보안 위협도 날로 고도화되고 있음을 확인할 수 있다. 이에, 망분리가 무엇인지, 망분리를 노린 보안 위협은 어떻게 일어나는지, 그리고 이에 어떻게 대응해야 할지 논의하는 시간을 마련해보고자 한다.   ■ 망분리의 종류와 특징 망분리란 업무용으로 사용하는 내부 네트워크망과 인터넷에 연결된 외부 네트워크망을 분리함으로써, 외부로부터 침입을 막고 내부 정보의 유출을 막는 행위를 말한다. 망분리는 크게 2대의 PC를 사용하는 ‘물리적 망분리’와 1대의 PC를 활용하되 가상화를 통해 네트워크를 구분하는 ‘논리적 망분리’로 구분될 수 있다. 논리적 망분리는 다시 가상화 기반에 따라 서버 기반의 SBC(Server Based Computing)와 클라이언트 기반의 CBC(Client Based Computing)로 나눠지게 된다.   물리적 망분리는 하나의 PC는 인터넷에 연결하여 외부 업무용으로 다른 하나는 인터넷에 연결하지 않고 내부 업무용으로 사용하는 형태로 보안성과 안전성이 우수하다는 장점이 있다. 그러나 별도의 네트워크 구축 및 PC 등의 추가 장비 비용이 소요되고, 업무 편의상 혹은 악의적인 의도로 보조저장매체를 통해 정보가 유출되거나 악성코드가 감염될 우려가 있다.   1대의 PC로 업무망과 인터넷망을 나누는 논리적 망분리는 기존 자원을 활용할 수 있다는 장점이 있으나 물리적 망분리에 비해 관리가 까다로운 편이다. 서버 기반의 SBC 방식은 서버에서 가상 PC를 구동하고 사용자가 클라이언트로 접속해 사용하는 방식으로 중앙 집중화된 관리가 가능하나, 대량의 네트워크 트래픽이 발생하는 만큼 서버팜 구축에 예산이 소요되고 또한 이에 대한 트래픽 부하가 발생할 수 있다는 단점도 존재한다. 또한, 방화벽 정책 설정 오류나 터미널 서버스토리지를 통한 악성코드 감염도 반드시 주의해야할 부분이다.   클라이언트 기반의 CBC 방식은 기존 PC에 가상화 기술을 적용해 가상영역에서만 인터넷을 사용할 수 있게 하는 것으로 타 방식에 비해 네트워크 구축 및 신규 시스템 도입 비용을 최소화할 수 있는 것이 특징이다. 그러나, 사용자마다 PC 환경이 다른 만큼 관리가 어렵고, 업무망과 인터넷망 간의 자료 이동 시 추가적인 보안 솔루션 도입이 요구되는 측면이 있다.     ■ 망분리, 100% 맹신은 금물…망분리 환경에서 발생할 수 있는 주요 보안 위협은?   많은 기업들이 망분리를 적용하면 보안위협으로부터 안전해질 수 있다는 생각을 가진다. 실제로, 망분리 도입 시 기업의 보안 수준은 전반적으로 높아지게 되나, 이것이 모든 보안 위협으로부터 안전하다는 것을 의미하지는 않는다. 환경을 구축하는 기술적인 부분은 물론 내부자가 관여하는 관리운영 측면에서도 공격자가 파고들 수 있는 다양한 취약점이 발생할 수 있기 때문이다.   망분리 환경에서 발생할 수 있는 보안 위협은 크게 4가지로 분류될 수 있다. 첫째, 업무망과 인터넷망간의 데이터 이동을 위해 불가피하게 발생하는 접점이 공격의 경로로 악용되는 형태다. 예로, 인터넷 망이 포함된 사용자 로컬 환경에서 가상화 서버로 접근하여 업무 환경을 이용할 수 있는 SBC 기반 망분리 환경에서 보안 점검을 진행한 경우, 공유폴더나 백도어를 이용해 파일 전송 제한을 우회하는 방식으로 개인정보가 포함된 가상화 환경의 업무 자료를 인터넷망이 연결된 사용자 PC로 옮길 수 있는 취약점이 발견되었다.   둘째, 망간 자료 전송에 대한 예외 처리 역시 보안 위협을 야기할 수 있는 요소다. 망분리 환경이 구축된 후에도 정책업무적인 문제로 예외 처리가 필요한 경우가 빈번히 발생한다. 이 때, 자료의 보안 등급, 사용자의 권한을 고려한 명확한 데이터 반출 지침이 마련되지 않았다면, 자칫 무분별한 자료 전송이 이뤄질 가능성이 있다. 외주 인력이 내부망에서 작성한 자료를 아무 제한 없이 인터넷 망으로 옮긴 사례가 대표적이다.   셋째, 호스트 컴퓨터에서 다수의 OS를 동시에 실행 및 관리하는 하이퍼바이저에 대한 보안 이슈도 주목해야 한다. 하이퍼바이저 기반의 서버 기반 가상화 환경 구축 시, 가상 환경의 메모리에 접근할 수 있는 보안 취약점이 발견된 것이 대표적이다. 예로, 하드웨어 기반의 젠 하이퍼바이저인 Xenpwn을 이용해 가상환경에 대한 자원 및 메모리 할당을 처리하는 경우, 젠 하이퍼바이저의 관리 도메인에서 모든 가상환경의 메모리에 접근할 수 있는 것으로 드러났다.   마지막으로, 망분리 환경을 무력화시키는 예측불가능한 보안 위협에도 주의를 기울여야 한다. 스피커 마이크로 망분리를 우회하여 폐쇄망에 존재하는 파일을 유출하거나, 망분리된 PC와 기기에서 나오는 전자기파(EMR)를 이용해 PC의 메모리버스가 핸드폰 주파수를 통해 핸드폰으로 데이터를 전송하게 만든 시연 사례가 대표적이다.      ■ 안전한 망분리, 어떻게 할까? 위와 같은 보안 위협을 살펴보았을 때, 망분리는 내부망의 보안성을 향상시켜 기업의 주요 정보자산이 공격받을 확률을 낮추는 대응 방안으로 꼽힐 수는 있지만 모든 사이버 공격을 막아낼 수 있는 절대적인 해답은 아님을 확인할 수 있다. 망분리가 완벽한 보안을 담보하는 것은 아닌만큼, 망분리 환경의 보안성을 강화하기 위해서는 어떠한 노력을 기울여야 할까.   우선적으로, 업무망과 인터넷망 간 데이터 반출입을 효율적으로 통제할 수 있어야 한다. 기업은 망간 자료 송수신 시 발생하는 로그를 관리하고, 적합한 승인 절차에 따라 업무망에서 외부로 자료가 반출되고 있는 지 여부를 꼼꼼히 점검해야 한다. 또한, 업무 편의성을 위해 이동형 저장매체를 사용하는 경우도 빈번히 발생하는 만큼, 매체제어 또는 자료유출방지 솔루션을 추가적으로 도입해 망분리 보안운용 지침 위반 행위를 제한할 필요가 있다. 더불어, 높은 수준의 보안성이 요구되는 자료 반출 시에는 반드시 보안담당자 혹은 상위 책임자의 승인을 받도록 하여 파일 이동을 최소화하는 것이 바람직하다.   특히, 주요 인프라의 보안 업데이트를 중앙에서 일괄적으로 관리하는 패치관리시스템(PMS)이 공격의 통로로 악용될 가능성이 남아있는 만큼, 반드시 각 망 별로 PMS를 설치 및 운영하는 것을 권고한다. 실제로, 망간 자료전송 시스템을 통해 인터넷망의 이메일을 업무망으로 이동할 시, 이메일에 첨부된 악성코드가 업무망으로 유입되는 사례가 빈번히 발생되고 있다.   더불어, 허용된 예외 처리 행위에 대한 지속적인 모니터링도 필수적으로 요구된다. 기업은 자료에 포함된 정보의 중요성 또는 내부자의 권한에 따라 적합한 예외 처리가 이뤄지고 있는지 수시로 점검할 필요가 있다. 예를 들어, 특정 사용자가 ‘쓰기 권한’을 요구하는 경우, 해당 사용자의 지위 및 업무연관성을 따져 제한된 시간 내에만 사용할 수 있도록 허용하고, 예외 처리 기간이 종료된 후에는 혹시나 ‘쓰기 권한’을 사용하고 있지는 않은지 점검하는 등 예외처리 대상을 최소화 하여 관리하여야 한다.   또한, 망분리를 우회하는 다양한 기술들이 활발히 연구되고 있는 만큼, 망분리 환경과 호환될 수 있는 보안 솔루션 도입 및 최신 보안 패치 실행을 통해 침해사고 피해를 최소화할 수 있는 대비책을 마련해 둘 필요가 있다.     ■ 지속적인 망분리 관리, 추가적인 보안 솔루션 도입 필요 지금까지 최근 화두가 되고 있는 망분리 구축 환경에서의 보안 이슈를 살펴보았다. 사이버 테러가 한층 지능화되고 대규모 보안 사고가 잇달아 발생하는 가운데 많은 기업기관들이 인터넷망과 업무망을 분리하는 망분리 도입을 앞당기고 있다. 금융위원회의 ‘금융전산 망분리 가이드라인’에 따라 의무적으로 망분리 환경을 구축해야 하는 금융권의 경우 특히 도입이 빠르게 확산되고 있으며, 폐쇄망으로 운영되는 산업제어시스템(SCADA) 역시 망분리 도입 효과가 높은 분야로 손꼽히고 있다.   그러나, 망분리 도입 효과를 높이기 위해서는 망분리가 모든 보안 문제를 해결해 줄 수 있는 만병통치약이 아니라는 사실을 반드시 앞서 인지할 필요가 있다. 인터넷망과 내부망을 분리하였다 할 지라도 이를 오가며 업무를 처리할 수 밖에 없는 만큼, 이 같은 접점에서 구멍이 생길 가능성이 남아있기 때문이다. 즉, 외부로부터 들어오는 침입을 막고 내부에서 나가는 정보 유출을 막고자했던 본래 취지와 다르게 공격의 통로로 악용될 여지가 있다는 얘기다.   이 같은 허점을 보완하기 위해서는 망분리 환경 구축에서 더 나아가 망간 데이터 이동을 효과적으로 제어관리하고, 망분리 환경을 우회하는 보안 위협을 실시간으로 관찰 및 분석할 수 있는 보완책이 반드시 뒷받침 되어야 한다. 망분리가 모든 보안 위협을 막아줄 것이라는 안일한 생각에서 벗어나, 명확한 자료 반출 정책 수립 및 추가적인 솔루션 도입을 통해 망분리 환경의 보안성을 보다 높였으면 하는 바램이다. ​