새벽길의 그냥그저그래 3

-------------------------------------------------
국정원, DDoS 공격 '숙원사업' 해결에 활용? (프레시안, 임경구 기자, 2009-07-08 오후 7:20:03)
"테러방지법 등 처리 위한 언론 플레이 의심"
 
국가정보원이 한미 주요기관 인터넷에 대한 DDoS 공격의 배후로 북한이나 종북세력을 지목해 논란이 일고 있다. 국정원이 이번 해킹 사건을 숙원사업인 국가대테러기본법 제정안과 사이버위기관리법 제정안, 국가정보원법 개정안 처리에 이용하려는 게 아니냐는 것이다. 국정원은 8일 오후 국회 정보위 소속 여야 의원들에 대한 개별 브리핑이나 문건을 통해 이같은 사실을 알렸다고 복수의 여야 의원들이 밝혔다.
 
그러나 정보위 민주당 간사인 박영선 의원은 "국정원은 처음부터 배후가 북한이라고 하기에 '근거가 뭐냐'고 물었더니 '수사 중이라서 오후에 보고하겠다'고 답했다"며 "오후에 다시 전화해보니 '아직 수사 중'이라며 근거를 제시하지는 않았다"고 말했다. 국정원이 정보위원들에게 전달한 3페이지짜리 문서에도 "북한 또는 추종세력으로 분석된다"는 짤막한 보고만 있을 뿐 아무런 근거는 제시하지 못했다.
 
박영선 의원도 "테러방지법 통과가 목적이라는 의심이 된다"고 말했다. 그는 "최진실 사망 사건이 났을 때 사이버모욕죄를 서두른 것과 무엇이 다르냐"며 "이 문제는 원인규명이 먼저다. 테러방지법은 국정원에게 검찰보다도 막강한 권력을 쥐어주는 것인데 그에 대한 국민적 호응이 있는지도 서두르지 말고 알아봐야 한다"고 강조했다.
 
한나라당 위기대응팀장인 공성진 의원은 다음 주 국정원 국가사이버안전센터를 방문해 국정원의 사이버 테러에 대한 대응 방안을 긴급 점검키로 했다. 국가대테러기본법 제정안과 사이버위기관리법 제정안, 국가정보원법 개정안 등은 대표적인 '악법'으로 지목돼 야당과 시민사회진영이 강하게 반발하는 법안이다. 
 
-------------------
'북 테러'냐 '사이버북풍'이냐 (미디어오늘, 2009년 07월 09일 (목) 08:00:05 김종화 기자)
[아침신문 솎아보기] 분산서비스거부(DDoS) 2차 공격 개시
 
문제는 IT강국이라며 '구닥다리' 기법에 왜 이렇게 속수무책으로 당하고 있느냐는 것이다. 전자신문은 1면 기사 <"10기가 보안장비만 갖췄어도 DDoS 공격 막을 수 있었다">에서 "청와대·국방부는 물론이고 은행과 기업 등 주요 인터넷 사이트를 이틀간 무력화한 분산 서비스 거부(DDoS) 공격에 이용된 '좀비 PC' 하나가 초당 쏟아낸 트래픽은 1∼20Kb 에 불과해 10Gb 급 DDoS 보안장비만 갖췄다면 충분히 막을 수 있었던 것으로 확인됐다"고 보도했다.
 
8일 관계부처와 관련업계에 따르면 DDoS 공격을 당한 청와대·국회·국방부·외교통상부 등 주요 정부부처는 DDoS 보안장비를 전혀 갖추지 않아 작은 트래픽 공격도 잡아내지 못하고 서버가 다운되는 사태가 빚어졌다. 반면에 DDoS 장비를 일부 갖춘 네이버 등 민간업체는 메일 검색 등 일부 기능을 제외하고 정상적으로 가동됐다고 전자신문은 보도했다.
 
정부는 지난 4월 행정안전부·지식경제부·국가정보원·방송통신위원회 등이 공동으로 '2009년 정보보호 역점과제'를 국무회의에 보고했다. 하지만 DDoS 공격 등 사이버테러에 대비한 장비투자 예산은 50억 원에 지나지 않았다. 전자신문은 "9000여개에 달하는 공공기관 가운데 현재 DDoS 보안시스템은 10여개에 지나지 않는다"며 "그러나 정부는 예산 편성과정에서 보안부문 투자가 불요불급하지 않다는 이유로 종종 삭감해왔다"고 지적했다.
 
전자신문은 정부의 사후 무대책도 문제를 삼았다. 정보보호진흥원 관계자는 "2∼3일 전에 민간 쪽에서 DDoS 공격이 들어오는 사고가 발생했다"며 사고 징후를 미리 파악했음을 확인했다. 그러나 단발성으로 끝날 공격으로 인식해 사전 대책은 전혀 수립하지 않았던 것으로 드러났다는 지적이다.
 
동아일보는 3면 머리기사 <북 사이버 선전포고 10일만에…핵실험때처럼 예고 뒤 도발?>에서 "북한 또는 북한 추종세력이 7일 미국과 한국 주요 기관의 인터넷사이트에 사이버테러를 한 주체로 추정되면서 또다시 국제사회에 충격을 주고 있다"며 "4월 5일 장거리로켓 발사와 5월 25일 2차 핵실험으로 국제사회를 위협했던 북한이 이제 인터넷이라는 가상공간으로 공세의 장소를 넓혔기 때문"이라고 보도했다.
 
경향신문은 3면 기사 <국정원 근거없이 "공격 배후 북 추정">에서 "국정원은 정보 판단의 구체적 근거는 설명하지 않은 것으로 알려졌다"며 "국정원은 이번 공격과 관련된 국내 한 업체에서 친북 성향의 증거물이 발견된 점을 일부 근거로 삼고 있는 것으로 전해졌다"고 보도했다. 경향신문은 "실제 일각에선 국정원이 구체적 근거를 제시하지 않은 점에서 '사이버 북풍' 등 다른 의도가 있는 것 아니냐는 의구심도 제기된다"며, "국정원이 확인되지 않은 사실을 유포하는 것은 테러법 통과를 목적으로 한 언론플레이가 아니냐는 우려가 있다"는 민주당 우제창 원내대변인의 말을 전했다. 9개 전국단위 종합 아침신문 가운데 DDoS관련 사설을 쓰지 않은 곳은 한겨레가 유일하다. 
 
----------------------------
해외 보안전문가들, 사이버 공격 北 배후설에 '물음표' (프레시안, 황준호 기자, 2009-07-09 오후 6:01:18)
미 정부 관계자들은 北 의심…'우기기 경쟁'으로 끝나나
 
1983~1991년 미 법무부의 사이버범죄팀을 이끈 '시큐어IT엑스퍼트'의 마크 래쉬는 전쟁법규상 논리폭탄과 TNT 폭탄은 차이가 없다며 북한이 공격 배후일지도 모르지만 공격이 북한에 있는 컴퓨터에서 이뤄지지는 않은 것으로 보인다고 말했다. 래쉬는 이번 공격이 스크립트를 활용하는 평균적인 '스크립트 키티'로 할 수 있는 수준은 아니라면서, 그렇지만 국가적 지원이 필요한 정도도 아니라고 덧붙였다. 또한 '코어 시큐리티 테크놀로지'의 톰 켈러만은 경기침체기에 해고된 IT 전문가 등을 언급하며 돈을 받고 컴퓨터 기술을 과시할 '용병'이 많이 있다며 이번 공격이 경제적 동기에 의한 것일 가능성을 제기했다.
 
공격자의 인터넷 주소가 북한이 아닌 미국의 IP라고 분석한 국내 전문가도 있다. 보안전문업체 '쉬프트웍스'의 홍민표 대표와 이대로 연구원은 9일 14시간 가량 직접 분석한 악성코드의 유포지가 미국 IP(75.151.XXX.XXX)라고 밝혔다고 <한국경제신문>이 보도했다. 홍 대표는 "악성코드가 유포되는 흐름을 따라 들어갔더니 영문 윈도 서버 2000이 깔려있는 미국 인터넷 주소의 가상 서버였다"고 말했다.
 
북한발 공격으로 추정된다는 국정원의 추정에 대해 홍 대표는 "북한의 경우 외부 인터넷을 이용할 때 주로 중국 IP를 사용한다"며 "그렇지 않다 하더라도 이런 대규모 공격을 할 땐 IP를 세탁하기 때문에 북한 IP인지 알아채기 어렵다"고 반박했다. 그는 또 국정원이나 미 정부 당국에서 북한 IP라는 근거자료를 내놓지 않는 것도 의심된다고 덧붙였다. 그러나 통신의 경우는 익명을 요구한 미국 정부의 관리 3명이 사이버 공격을 한 인터넷 주소가 북한으로 추적됐다고 밝혔다고 전했다. 그들은 하지만 이것이 꼭 이번 공격에 북한 정권이 관련돼 있다는 것을 의미하지는 않는다고 말했다.
 
인터넷보안업체 '시만텍'의 딘 터너 세계정보네트워크 국장은 이 공격을 감행한 단체를 특정 짓는 것을 경계하며 "우리는 배후가 누구인지 모르며 공격 목적이 무엇인지도 알아낼 수 없을지 모른다"고 통신에 말했다. 그는 또 "우리는 그 공격이 어디에서 시작됐는지, 공격에 사용된 컴퓨터가 어디에 있는지 밝혀낼 수 있겠지만 그런 정보가 우리에게 공격을 감행한 사람이 누구인지 알려주지는 못 한다"고 덧붙였다. 
 
----------------------------
다시 주목받는 테러방지법·사이버위기관리법 (경향, 장관순기자, 2009-07-09 18:16:39)
ㆍ국정원 권한 강화대표적 MB악법
 
한나라당 공성진 의원이 지난해 10월 대표발의한 국가사이버위기관리법안은 사이버 공격을 사전 탐지·차단하고 위기 발생시 신속 대응키 위한 국가 차원의 종합 대응체계를 구축한다는 취지다. 이에 따라 국정원장은 휘하에 국가사이버안전센터를 설치하고, 국가사이버위기관리 종합계획 및 기본 지침을 수립하게 된다. 또 정부는 필요시 국정원장이 직접 사고 조사를 할 수 있게 했다.
 
공 의원은 일반적인 테러 방지를 다룬 국가대테러활동에 관한 기본법안도 지난해 동시에 대표발의했다. 주요 내용은 국정원장 소속으로 국가대테러센터를 설치하며, 이 센터가 테러용의자의 출입국·금융거래·통신 이용 등 관련 정보를 수집할 수 있게 한다는 것이다.
 
두 법안은 모두 관련 수사권한을 부여하는 등 국정원의 권한을 대폭 강화토록 하고 있어 국정원의 권력기관화를 야기할 것이란 우려가 제기된다. 시민단체들은 이에 따른 민간사찰, 과잉수사로 인권 침해가 우려된다는 주장을 펴고 있다.
 
현행 법체계로도 대테러 기능 수행이 충분하다는 반론도 제기된다. 민주당 박영선 의원은 이날 당 고위정책회의에서 “국가사이버위기관리법안이 시행되면 국정원장을 중심으로 한 권력집중 현상이 일어나고 국정원은 무소불위의 권력을 갖게 된다”고 밝혔다. 테러방지법안에 대해서도 “국정원장이 금융거래 정보 내역을 영장 없이 볼 수 있는 등 문제가 있어 법무부도 반대의견을 낸 상태”라고 지적했다.
 
--------------------------
[사흘째 사이버 공격]“‘디도스’는 지극히 초보적인 공격…안이한 태도가 피해 키웠다” (한겨레, 김재섭 기자, 2009-07-09 오후 07:55:46)
접속 폭주 언제든 발생…실제 미 정부는 피해 적어
안철수 교수 “대책없이 있다가 본보기로 당한것”
 
사흘째 이어진 미확인 사이버 공격에 주요 국가기관과 금융·언론·포털·보안업체 누리집(홈페이지)이 속수무책으로 당한 데는, 사전에 충분히 예상할 수 있는 접속 폭주 상황에 대비한 대응체제를 갖추지 않았기 때문이라는 지적이 전문가들 사이에서 나오고 있다. 특정 사이트에 몰래 침투해 자료를 빼내거나 시스템을 파괴하는 해킹과 달리, 과도한 트래픽을 유도해 접속을 방해하는 디도스 공격은 지극히 초보적인 형태의 사이버 공격이다.
 
9일 인터넷 보안업체와 전문가들의 말을 종합하면, 7~9일 사이에 일어난 디도스 공격은 겉으로만 보면 피해를 최소화하면서 ‘실력’을 뽐내는 모습이 역력하다. 정부기관과 금융권 등의 근무시간이 끝난 오후 6시 이후의 밤 시간대를 공격 시점으로 잡아 결과적으로 피해를 최소화했고, 대문에 불과한 누리집을 대상으로 접속 요청을 폭주시켜 접속을 지연시키는 디도스 공격만 했다는 점이 대표적이다. ‘나쁜 해커’가 독한 마음을 먹었다면, 인터넷 통신망을 겨냥했거나 중요 자료가 담긴 컴퓨터(서버) 해킹을 함께 시도했을 수 있다는 것이다. 일부 전문가들이 ‘착한 해커’의 소행으로 보는 근거이다.
 
보안 전문가들은 이번 공격으로 발생한 피해 역시 공격의 강도가 아니라 누리집 운영자의 안이한 태도 탓이 크다고 본다. 누리집 접속 폭주는 디도스 공격이 아니라 다른 이유로도 언제든지 일어날 수 있다. 따라서 누리집 운영자는 접속 폭주 상황에 대비한 대응책을 준비하고 있어야 한다. 정부의 대응 역시 적절하지 못했다. 안철수 카이스트 석좌교수도 이날 블로그를 통해 “이번 사태는 대책 없이 있다가 결국 본보기로 당한 것”이라며 “스스로 자초한 측면이 있다”고 지적했다. 실제로 이번 디도스 공격 대상에 미국 정부기관과 기업의 누리집도 포함돼 있었으나 우리나라 정부기관과 기업들에 비해 피해는 크지 않았다. 상황 발생 즉시 한국 쪽의 접속 요청을 과감하게 차단했기 때문이다. 미국 누리집의 상당수가 한국에서 접속이 안 됐을 뿐 장애를 일으키지는 않았다. 국내 은행들과 네이버, 안철수연구소 등의 누리집도 공격 초기에는 장애가 발생했으나 대부분 운영자가 적극적으로 대응에 나서면서 곧 정상화됐다.
 
이런 점에서 인터넷뱅킹 이용자들은 이번 디도스 공격에 대한 각 은행의 대응 모습을 기억해둘 필요가 있다. 이번 디도스 공격에 어떻게 대응했느냐로 그 은행의 평소 인터넷 보안 상태를 가늠해볼 수 있기 때문이다.
 
이번 디도스 공격을 잘 활용하면 ‘사이버세상의 민방위훈련’ 효과를 살릴 수 있다는 지적도 나오고 있다. 정부기관이나 기업별로 다양한 형태의 공격을 예상해, 공격 강도에 따른 위기관리 매뉴얼을 만들고, 그에 필요한 기술적 장치를 마련하는 계기로 삼아야 한다는 것이다. 정부 역시 상황에 따른 매뉴얼을 갖춰야 한다.
 
보안 전문가들은 이번에 공격 대상이 된 누리집 운영자들은 누리집 접속을 정상화시키기 위해 접속 경로(포트)를 바꾸는 과정에서 해커에게 틈을 내보이지 않았는지를 반드시 점검해야 한다고 조언했다. 한 보안업체 관계자는 “디도스 공격을 막기 위해 이전에 설정해놓은 접속 경로를 바꾸거나 프로그램을 손보는 과정에서 해커에게 침투 길을 열어주는 실수를 할 수 있다”고 말했다.