전쟁터 된 '사이버공간'…美-韓 그 대처법 차이

'보이지 않는 전쟁 @War'…'사이버진지 구축한 미국의 10년이 남긴 것

 

/사진제공=(주)양문

2006년 미국 정부는 개발 비용만 3370억 달러(약 382조원)가 든 전투기 조인트 스트라이크 파이터(F-35)의 기술과 설계 정보가 유출된 사실을 뒤늦게 눈치챘다. 관련 기업들의 네트워크는 이미 소리 소문없이 적들에게 파헤쳐져 있었다. 해킹의 진원지는 중국이었다.

미국 정부가 사이버전의 위력을 깨달은 대표적인 사건이다. 미국을 이길 자가 없다고 자부했지만, 사이버공간은 달랐다. 중국이 전투기의 개발 사업 전반의 정보를 모두 가져갔다면, 저렴한 비용으로 핵전쟁보다 무서운 타격도 가능했다.

미국 정부와 국방부(펜타곤), 국가안보국(NSA)은 전과는 180도 다른 태도로 국가 보안 정책을 만들기 시작했다.

신간 '보이지 않는 전쟁 @War(앳워)'은 F-35 사건 이후 10년 간 미국 사이버보안 정책과 관련 산업을 탐구한 책이다. 외교전문지 '포린폴리시'의 선임기자인 저자 셰인 해리스는 정부가 밝히기 싫어하는 사실들까지 익명의 제보자들을 통해 낱낱이 소개했다.

이제 미국은 사이버공간을 육지와 바다, 그리고 하늘에 이은 제4의 전쟁터로 설정하고 있다. 사이버 공간에서 우위를 점하는 것을 공식적인 국가 정책으로 규정했다. 지난해 사이버방어 프로그램에 130억 달러(약 17조7000달러) 이상을 지출했다.

'보이지 않는 전쟁 @War'를 통해 본 미국은 우리의 모습을 다시 보는데 도움이 된다. 지난해 말부터 이어진 한국수력원자력 정보유출 사건은 F-35 사건과 닮았다. 인명 피해까지 이어지는 국가기반시설 해킹 가능성을 보여줬고, 우리의 사이버전 대응력이 현저히 떨어진다는 점도 여실히 드러냈다.

하지만 결과는 다르다. 미국 정부가 대대적인 사이버보안 체제에 돌입한데 반해 우리는 제자리다. 예산 변화는 없다. 오히려 지난 여름 더 큰 사건만 터졌다. 국가정보원이 해외 보안업체의 모바일 RCS(원격조정시스) 솔루션을 구입·사용한 일이 밝혀졌다. 해당 업체의 RCS 기술이 크게 뛰어나지 않다는 점 등을 감안할 때 안보를 책임진다는 국가정보원의 사이버전 능력이 외국의 중급 기술에 의존하는 것이냐는 비아냥까지 나왔다.

해리스가 소개한 지난 10년 간 미국의 변화를 보고 배울 점이 분명히 있다. 그럼에도 이 책은 단순히 미국 정부의 대처를 소개하는 데 그치지 않는다. 그는 정부도 인터뷰에 응한 관계자들도 불편해하는 사실들을 끌어모았다.

그 이유는 원서명인 '군사-인터넷 복합제의 성장(The Rise of the Military-Internet Complex)'에 있다. 해리스는 책을 통해 "솔직하게 논의되지 않으면 국민들은 이와 같은 주제를 이해하지 못하고, 정부는 이와 관련 올바른 법률과 정책을 만들 수 없다"고 설명했다. 거대한 권력으로 성장하는 군사-인터넷 복합제로 인해 사적인 사이버 전쟁, 개인의 사생활보호 위험 등의 발생을 예방하자는 의도다.

정부가 사이버 보안을 혼자 해낼 수는 없다. 네트워크 등 각종 관련 정보를 갖고 있는 IT기업의 도움을 받아야 하는 상황에서 '군사-인터넷 복합체'의 출연은 필연적이다. 이들이 올바른 길을 가도록 유도하는 힘은 결국 '깨어있는 현명한 시민'이라고 해리스는 판단했다. 이 책은 시민들에게 이런 복합체게를 평화적 도구, 목표와 적절하게 조화시킬 수 있다는 알림 메시지를 보내고 있다.

출처:http://www.mt.co.kr/view/mtview.php?type=1&no=2015102708151182640&outlink=1

-----------------------------------------------------------------------------------------------------------------------

 

강대국들 “새로운 전쟁”  미국은 백악관이 컨트롤타워

 

 

한국수력원자력(한수원)과 미국 소니 픽처스 해킹사건 이후 우리나라의 사이버전쟁(Cyberwarfare) 대비상황에 대한 우려가 높아지고 있다.

그동안 한국을 노린 사이버공격들은 더욱 잦아지고 교묘해졌다. 단순히 인터넷을 마비시키는 수법에서 악성코드를 침투시켜 특정 타깃에 보관된 자료들을 빼 가는 방식으로 진화했다.

이미 미국과 유럽연합(EU), 러시아와 중국 등은 사이버전쟁을 새로운 전쟁 형태로 규정하고 대비해 왔다. 하지만 한국은 아직 사태의 심각성조차 인식하지 못하고 있다는 게 전문가들의 우려다.

 

 

‘비례적 대응’엔 무력 사용도 포함

 
북대서양조약기구(나토)는 2013년 사이버전쟁 교전규칙(Rules of Engagement)인 ‘탈린 매뉴얼’을 만들었다. 일종의 가이드라인이지만 나토가 사이버전쟁을 현대전의 한 양상으로 공인했다는 의미가 있다.

버락 오바마 미국 대통령이 소니 픽처스 해킹의 주범으로 북한을 지목하고 ‘비례적으로(proportionally)’ 대응할 뜻을 밝힌 것도 탈린 매뉴얼에 따른 것이다. 매뉴얼에 따르면 가해국의 공격에 대해 질적·양적으로 보복하는 것이 허용된다. ‘비례적’ 대응은 사이버공격에만 국한된 것은 아니다. 국가 자산이나 인명 피해를 봤다면 무력 사용까지도 가능하도록 규정했다. 소니 픽처스 해킹은 국가 자산이 피해를 본 것이 아니다. 하지만 오바마 대통령의 ‘비례적 대응’ 천명에 북한이 예민한 반응을 보인 것은 무력 사용의 가능성을 우려해서였다.

미국은 2009년 사이버사령부를 창설해 사이버전력을 단일 지휘체계로 재편했다. 2013년에는 국방수권법안(National Defense Authorization Act)을 만들어 민관 전 영역에 걸친 사이버공격 모니터링 시스템을 구축했다. 미 의회는 2015년도 사이버전 예산을 올해 47억 달러(약 5조1700억원)에서 내년에는 51억 달러(약 5조6000억원)로 증액했다.

영국은 2012년도 기준 15억4000만 달러(약 1조7000억원)의 사이버전 예산을 편성했다. 2010년 악성코드 ‘스턱스넷’에 의한 원자력발전소 공격을 경험한 이란도 매년 10억 달러(약 1조1000억원)에 달하는 사이버전 예산을 책정해 놓고 있다.

임채호 KAIST 정보보호대학원 교수는 “미국은 백악관이 컨트롤타워가 돼 국토안보부와 예산관리국이 국가 차원의 보안 취약점을 모니터링하고, 사이버사령부가 사이버전쟁을 수행하는 위기관리 시스템을 구축했다”며 “우리나라는 국가정보원이 민관 컨트롤타워 역할을 하고 있다지만 민간 영역은 물론 부처 간 통제조차 이뤄지지 않고 있다”고 지적했다.

북한에 대한 사이버 공격 큰 의미 없어

 

주요 국가의 사이버전쟁 수행능력을 정확히 비교하긴 어렵다. 사이버전쟁이 공격 주체를 드러내지 않는 ‘그림자 전쟁’(Shadow Warfare)’의 성격을 갖는 탓이다. 나라별 사이버전쟁 수행능력을 비교한 연구로는 리처드 A 클라크가 2010년 출간한 『사이버전쟁(Cyber War)』이 공신력을 얻고 있다. 클린턴 행정부와 부시 행정부에서 백악관 안보담당조정관, 안보특별보좌관 등을 지낸 클라크는 북한의 사이버전쟁 수행능력을 세계 최고 수준으로 평가했다.

클라크는 사이버전쟁 수행능력을 사이버공격력과 사이버방어력, 네트워크 의존도로 나눠 분석했다(그래픽2). 숫자가 클수록 수행능력은 플러스(+)가 된다. 네트워크 의존도가 높은 나라는 공격 대상이 많다는 점에서 마이너스(-) 요인이다.

미국과 러시아·중국·이란·북한을 대상으로 한 평가에서 북한은 총점 18점으로 사이버전쟁 수행능력이 가장 뛰어난 것으로 평가됐다. 공격력은 2로 높은 편이 아니었지만 세계에서 가장 고립된 국가여서 방어력이 월등히 높았다. 국가 기간시설이 인터넷망에 거의 연결돼 있지 않아 상대방이 공격할 대상이 없는 북한이 역설적으로 뛰어난 방어력 평가를 받은 것이다.

미국의 ‘비례적’ 대응방침 천명 이후 북한 인터넷망이 마비된 것을 두고 북한의 사이버방어력이 뛰어나지 않은 것 아니냐는 분석도 있다. 하지만 전문가들은 “북한의 인터넷주소(IP)는 1024개에 불과해 대도시의 구(區) 수준에도 미치지 못한다”며 “분산서비스거부(DDoS·디도스) 공격의 목적이 인터넷망에 연결된 기간시설의 마비를 노린 것이라고 볼 때 북한에 대한 사이버공격이 큰 의미는 없는 것으로 봐야 한다”고 말했다.

고려대 정보보호대학원 김승주 교수는 “미국이 소니 픽처스 해킹의 범인으로 북한을 지목한 것은 클라크의 2010년 평가와 달리 이제는 상당한 수준의 공격력까지 갖췄음을 의미한다”며 “재래식 무기와 핵전력은 물론 ‘미국도 인정한’ 사이버공격력까지 보유한 셈”이라고 말했다.

현대의 사이버전쟁은 ‘지능적 지속 위협(Advanced Persistent Threat·APT)’ 공격으로 진화했다. APT 공격은 정부나 기관의 중요 정보 획득을 목적으로 이뤄진다. 특정 대상의 취약점을 장·단기간 분석해 악성코드를 침투시키고, 전략적으로 필요한 정보를 빼내거나 시스템을 파괴하는 것이다.

APT 공격으로 진화 … 손 놓은 우리 정부

한수원 해킹은 퇴직 임직원 수백 명의 e메일을 사칭해 내부에 악성코드를 심은 뒤 장기간 자료를 빼내는 APT 공격수법을 사용했다. APT 공격은 크게 3가지 방식으로 진행된다(그래픽1). 첫째는 소셜 엔지니어링. 시스템이 아닌 사람의 취약점을 파고드는 공격이다. e메일 사칭이나 피싱, 내부자의 USB 메모리를 바꿔치기하는 수법 등이 있다. 둘째는 제로데이(zero-day) 공격이다. 아직 백신이 개발되지 않은 악성코드를 시스템 내에 심는 공격법이다. 마지막으론 SQL 인젝션이 있다. 복잡한 개념이지만 쉽게 설명하면 소프트웨어의 보안 취약점을 이용해 기업이나 기관의 데이터베이스에 엉뚱한 명령어를 전달하는 악성코드를 심는 방식이다.

APT 공격은 한 번의 침투로 끝나는 게 아니라 백신 프로그램의 탐지를 피하면서 오랫동안 시스템 내부에서 활동하고, 자료를 빼내거나 오작동을 일으킨다는 점에서 치명적이다. 한수원 해킹사건 이후 정부의 안일한 대응을 비판하는 목소리가 높다.

손영동 고려대 정보보호대학원 초빙교수는 “북한이 사이버공격을 하더라도 우리가 보복할 대상이 없는 상황이라면 애초에 공격을 당하지 않도록 방어하는 게 최우선”이라며 “사이버안보청을 만들든, 청와대에 사이버안보수석을 두든 국가 차원의 보안 취약점 모니터링과 민관을 아우르는 사이버 위기대응 시스템 마련에 나서야 한다”고 지적했다.

김승주 교수도 “한수원처럼 APT 공격을 당한 뒤 악성코드 분석이나 하고 있는 건 소 잃고 외양간 고칠 생각도 하지 않는 것”이라며 “특정일을 지정해 공격을 예고한 상태라면 코드 분석은 백신업체에 맡기고 정부는 원전 시스템을 멈추는 한이 있어도 포맷 후 재설치해 악성코드 자체가 없음을 보여 줘야 국민이 안심할 수 있다”고 말했다.

 

 

사이버 공격은 저비용 고효율 … 비대칭 전력 핵으로 부상

 

버락 오바마 미국 대통령은 최근 소니 픽처스 해킹 사건에 대해 “(사이버 공간이) 마치 서부개척시대의 황량한 황야(Wild West)와 같다”고 말했다. 생존하기 위해 적을 먼저 제압해야 하는 무법천지와 비교한 것이다. 그의 말대로 이제 사이버 공간은 언제든지 새로운 전쟁터로 변할 수 있다. 미 경제지 포춘은 “사이버 테러는 적은 비용으로 막대한 효과를 거둘 수 있는 수단이다. 재래식 무기보다 훨씬 큰 타격을 줄 수 있는 비대칭 전력의 핵심으로 떠올랐다”고 분석했다.

지난해 미ㆍ중 양국은 사이버 공격을 둘러싸고 정면 대립했다. 당시 미 국가안보국(NSA)과 미군 사이버전 사령부를 맡고 있던 키이스 알렉산더 공군대장은 “미국의 기간시설에 대한 공격이 급증하고 있다. 적어도 6개월 동안 140번 이상의 사이버 공격을 받았다”고 밝혔다. 공격 대상은 정부기관과 대형 금융사, 전력회사, 항공관제센터 등이었다. 미 정부는 해킹의 배후로 중국을 지목했다. 상하이에 있는 12층 건물에 인민해방군 사이버 부대의 본부가 있다고 지목했다. 양국 정상회담에서 오바마 대통령은 “해킹 중단과 재발방지 대책을 마련하라”고 요구하기도 했다.

이에 맞서 중국은 최근 미국이 ‘사이버 패권주의’를 추구하고 있다며 강하게 비판했다. 미 정부가 자국 군인 5명을 해킹 혐의로 기소하자, “미국은 사이버 공간에서 절대적으로 우세하다. 전 세계 사이버부대를 모두 합해도 미국을 당하지 못할 것”이라고 반발했다.

지금까지 사이버 테러로 인해 막대한 피해를 입은 국가는 적지 않다. 유럽의 에스토니아도 그중 하나다. 2007년 사이버 테러를 당해 3주간 정부기관 대부분이 마비됐다. 피해를 입은 곳은 대통령궁을 포함해 의회, 주요 정부 부처, 언론사, 금융사 등 광범위했다. 보안 업계에서는 러시아를 배후로 지목했다. 당시 에스토니아 정부와 러시아계 주민들 간 갈등이 극심했기 때문이다.

2008년에는 조지아(그루지야)에서 발생한 사이버 테러로 의회ㆍ국방부ㆍ외교부 등 정부의 주요 인터넷 사이트가 마비됐다. 영토 분쟁으로 갈등을 빚고 있던 러시아의 소행으로 추정됐다. 사이버 테러 직후 양국은 실제 전쟁에 돌입했다. 이미 군 정보 시스템의 다운 등으로 지휘 체계가 불안해진 조지아는 전쟁 개시 5일 만에 손을 들었다. 이 사건은 사이버 테러가 실제 전쟁에 어떤 영향을 미칠 수 있는지 보여줬다.

미국이 이란의 핵무기 개발을 저지하기 위해 2010년 감행한 사이버 공격도 위력적이었다. 당시 미국은 이란 핵 개발의 거점인 나탄즈의 우라늄 농축시설을 악성코드인 스턱스넷으로 공격했다. 우라늄 농축을 위한 핵심장비인 원심분리기가 대거 손상됐다. 이란도 미국과 이스라엘에 대한 사이버 공격을 감행했다. 당시 베냐민 네타냐후 이스라엘 총리는 “이란의 사이버 공격을 방어하기 위해 디지털 아이언돔(단거리 요격미사일 체계)을 가동 중”이라고 밝혔다.

2012년 9월에는 일본에 대한 중국의 사이버 공격으로 양국 간 긴장이 고조되기도 했다. 일본 정부가 영유권 분쟁을 빚고 있는 센카쿠 열도(중국명 댜오위다오)를 국유화하자 중국발 사이버 공격이 시작됐다. 당시 일본 대법원과 대학병원 등이 대거 해킹당했다.

출처:http://blog.daum.net/haj4062/15738805

 

스크립한 글이지만 도움이 되셨다면 아래 댓글 하나 부탁 합니다

아... 근데 무플이면.. 슬플거 같아요..

댓글 하나만이라도.. ㅋㅋㅋ