실제 공격자의 눈으로,
당신의 시스템을 지킵니다.

KISA 교육 기사 내용입니다.

최근 카드사 개인정보유출 사건이 세상을 떠들썩하게 했습니다. 개인의 중요한 정보가 대량으로 유출되다니, 당시 많은 사람이 경악을 금치 못했는데요. 그 어느 때보다 개인정보 보안의 중요성을 깨닫게 해준 사건이 아니었나 싶습니다. 개인정보의 홍수 속에 살아가는 우리들의 정보 보안을 위해 하루하루를 열정적으로 살아가는 선의의(?) 해커가 있습니다. 바로 SK인포섹 지식관제본부 장경칩 차장입니다.

선의의 해커, ‘모의 해커’를 아세요?

Q. 주로 하시는 일이 사이트 해킹이라고 들었어요. 말 그대로 합법적인 해커라는 의미인데 무척 흥미로워요.

네. 저는 ‘모의 해커’입니다. 모의 해커는 고객과 협의 하에 시스템을 해킹하고 그때 발견된 취약점을 보완하는 사람을 말합니다. 해커들이 시스템을 해킹해 데이터를 빼는 악의적인 해킹을 하잖아요. 저희도 비슷한 형태의 공격으로 협의된 사이트를 해킹합니다. 그 후, 이런저런 취약점들을 캐치해 고객에게 알려드리죠.

Q. ‘모의 해커’란 직업은 처음 들어봐요. 해커라고 하면 먼저 천재가 연상되는데, 해커가 되기 위한 자질이나 능력이 있나요?

우선 호기심이 많아야 합니다. 어떤 사물을 보거나 현상을 볼 때 ‘왜’라는 질문도 많이 해야 하죠. 그리고 거기에 대한 답을 본인 스스로 잘 이해하고 정리할 수 있어야 해요. 누구나 ‘A’라고 생각하는 것도 ‘B’라고 판단할 수 있거든요. 해커는 ‘누구나 못 들어온다고 생각하는 그 순간에 사이트가 뚫릴 수 있다’는 생각을 합니다. 저도 사물이나 사람을 볼 때 먼저 분석하려는 경향이 있어요. 또, 다른 사람과는 좀 다른 관점에서 상황이나 문제 인식하는 편입니다. 일종의 직업병이죠.

Q. 해킹에 관심을 갖게 된 계기가 궁금해요. 혹시 어릴 때부터 그런 자질이 있으셨나요?

94년도에 ‘예루살렘바이러스’라는 것을 우연히 보고 충격을 받았습니다. 제가 전혀 이해할 수 없는 코드로 이루어진 파일 바이러스였기 때문이죠. 이를 계기로 제가 몰랐던 분야를 알게 됐고, 해커의 꿈도 꾸게 됐습니다. 해커가 되려면 네트워크와 프로그램 개발 분야를 알아야 하는데요. 그래서 처음엔 네트워크 유지 보수 업체로 취업했습니다. 하이텔 같은 곳에서 ‘서버 박스’라는 대형 라우터나 네트워크 장비를 만지는 네트워크 관리자의 일을 했죠. 그 이후, 프로그램 개발 회사에서 10년 정도 일했고, SK인포섹 입사 전엔 보안 프로그램을 만드는 일을 했습니다. 회사 생활 전에 20~30명의 팀원과 언더그라운드 해킹팀을 만들었는데요. 그들과는 지금도 함께 공부하고 있습니다.

Q. 그동안 많은 도전을 하셨네요! 새로운 것에 대한 도전과 변화가 힘들진 않으셨나요?

도전은 새로운 문제를 푸는 것과 같습니다. 전 새로운 문제를 푸는 걸 굉장히 좋아하는데요. 기존에 계속 했던 걸 반복하기보단 새로운 것에 도전하거나 습득?연구하는 것이 적성에 맞아요. 그래서 해보지 않았던 것을 찾아서 도전하는 편입니다. 모의 해커가 된 후 SK가 첫 회사이기 때문에 지금도 이곳에서 끊임없이 도전하고 있습니다.

늘 새로운 것에 도전하다

Q. 끊임없이 도전하게 하는 ‘모의 해커’의 매력이 뭐라고 생각하세요?

남이 찾아내지 못하는 걸 찾아내 고객에게 알려 미리 정보 보호를 하는 것이요! 사이트를 보고 취약점을 발견하는 것이 쉬운 일은 아니거든요. 그런데 그걸 발견해서 보완했을 때, 기업 혹은 사이트를 방어했다는 사실에 기쁜 마음이 듭니다. 점점 자부심도 커지고요.

Q. ‘자기가 좋아하는 일을 하면서 자부심도 커진다.’ 굉장히 이상적인데요. 반대로 일하면서 힘들었던 점은 없으셨나요?

이따금 기업의 경영진이나 담당 엔지니어에게 사이트 보안을 왜 미리 해야 하는지 설득해야 하는 경우가 있습니다. 하지만 설득이 쉽지 않죠. 눈에 뻔히 보이는 것이 없어지면 이를 심각하게 생각하지만, 데이터가 없어진 경우엔 별거 아니라고 생각할 수 있거든요. 그런 점을 이해시키는 과정이 좀 힘들다고 할 수 있습니다. 그래도 최근엔 보안 인식이 전보다 많이 강화돼 크게 어려운 점은 없습니다.

Q. 파견 나가신 4년 동안 당시 국토해양부, 지금의 국토교통부의 상을 받았다고 들었어요.

어떤 계기가 있어서 받았고 할 수 없는데 쑥스럽네요. 그냥 고객께 도움 요청 전화가 오면 자세히 설명하고 문제 해결을 신속히 하다 보니 신뢰가 많이 쌓여서 국토부에서 인정해주신 것 같습니다. 그리고 이 상은 저보단 저희 팀에서 혹은 저희 팀장님께서 제 부족한 점을 채워주셨기 때문에 받은 상이라고 생각합니다.

Q. 후배 양성에도 열정적이라고 들었습니다. 주로 그들에게 어떤 것들을 알려주시나요?

멘티들 각자가 원하는 것을 멘토가 같이 연구합니다. 제가 가진 기술은 몇 년 후엔 별 의미가 없을 수도 있거든요. 하지만 제가 그들이 원하는 걸 알려줬을 때 그 기술들이 연구?발전될 수 있죠. 해커마다 좋아하는 분야가 따로 있어서 각자의 성향에 맞춰 가르치고 있습니다.

제 꿈은 환갑이 넘어서도 모의 해킹이나 프로그램 개발을 활발히, 왕성히 하는 겁니다. 또, 예전 장인들이 가업을 물려주듯이 제 아들에게 다양한 노하우를 물려줘 모의 해킹이 계속 발전했으면 합니다.

핵심은 실시간이다.
해커가 PC방에서 해킹을 진행하고 있고 TCP 연결이 살아 있는 그 순간에 추적해야 한다.
왜냐하면 해커가 PC방을 나가면 그 접속자를 특정하기 어렵기 때문이다.

해커 역추적한다

해커가 TCP 연결 ESTABLISHED 상태로 유지하는 동안, 통신사 라우터에 연결된 정보를 통해서 라우터별로 하나씩 확인한다.

피해 시스템에서 시작해 다음 연결 지점을 찾고, 다시 그 앞의 라우터를 확인하며 해커의 접속 경로를 역추적한다.

정확한 접속 시각과 살아 있는 연결 상태가 핵심 단서다.

당시 내 위치가 통신사였기 때문에 라우터별 경로를 직접 계속 확인할 수 있었다.

최종적으로 해커가 접속한 PC방의 회선과 접속 지점을 특정하고, 이후 PC방 이용 기록과 현장 확인은 경찰 수사로 이어진다.

왜 해킹이 끝나면 잡기 어려운가

해커가 PC방에서 연결을 끊고 자리를 떠나면 실시간 TCP 세션도 사라진다.

남은 로그만으로는 그 시각에 어느 자리에서 누가 접속했는지 곧바로 이어 붙이기 어렵다.

지금보다 PC방 이용 기록이 제한적이었기 때문에, 공격이 진행 중일 때 경로를 확인하는 것이 특히 중요했다.

추적에는 한계가 있다

해외를 여러 차례 경유하거나 익명성이 높은 프록시를 사용하면 추적은 훨씬 어려워진다.

모든 해커를 추적할 수 있는 것은 아니며, 연결이 살아 있는 시간과 협조 가능한 환경, 그리고 운도 따라야 한다.

하지만 우리에게 주어진 단서와 환경 안에서 최선을 다해야 한다.

현실적으로 잡지 못하는 경우가 더 많더라도, 100명을 놓친 끝에 단 한 명이라도 잡을 수 있다면 연구를 계속할 이유는 충분하다.

“선생님, 지금입니다! 지금 해킹당하고 있어요!”

“연결이 아직 ESTABLISHED 상태입니다. 라우터 부터 하나씩 확인하겠습니다. 네, PC방 접속 지점을 확인했습니다. 이제 경찰의 현장 확인이 필요합니다.”