DDos 공격, 보안의식으로 `꼼짝마`

<디지털타임스/2009-03-05>

웹사이트에 대한 분산서비스거부(DDos) 공격이 끊이지 않으면서 이에 대한 대책 마련이 절실히 요구되고 있다.

지난 3일과 4일 이틀에 걸쳐 커뮤니티포털 디시인사이드가 DDos 공격을 받아 접속장애가 발생하는 등 DDos 문제 해결이 웹사이트 보안 문제의 화두로 떠올랐다.

더욱이 DDos 공격은 금품 요구를 동반하는 경우도 종종 발생해 단순한 공격을 떠나 범죄수단으로 악용되고 있는 현실이다.

DDoS란 해커가 엄청난 분량의 데이터를 하나의 서버에만 집중적으로 전송해 네트워크 장애나 서버 다운을 일으키는 해킹 수법이다.

주로 중국의 봇넷(좀비 PC로 만들어진 악성코드 망)을 통해 이뤄진다는 게 전문가들의 분석이라 사법당국이 수사를 통해 범인을 색출하기가 쉽지 않다.

2006년부터 성인 화상채팅이나 도박 등 위법 소지가 있는 웹사이트를 대상으로 이뤄진 DDos 공격 범위는 기업과 공공기관의 웹사이트 등으로 확산일로에 있다 DDos 공격을 막으려면 웹사이트를 운영하는 기업이나 공공기관과 PC를 이용하는 개인 모두 보안 수칙을 지켜야 한다.

5일 안철수연구소에 따르면 기업과 공공기관은 DDos 공격을 차단하기 위해 통합위협관리(UTM) 시스템이나 침입방지시스템(IPS) 등의 네트워크 보안 솔루션을 갖추거나 시스템 처리 용량을 늘려야 한다. 인터넷데이터센터(IDC)나 인터넷서비스공급업체(ISP)는 이상 트래픽을 상시 모니터링해 조기에 DDos 공격을 발견하는 것이 중요하다.

개인은 로그인 계정의 패스워드를 자주 변경하고, 웹서핑 시 보안경고 창이 뜰 경우 신뢰할 수 있는 기관의 서명이 있는 프로그램만 설치에 동의해야 한다.

또 이메일 확인 시 발신인이 불분명하거나 수상한 첨부 파일이 있는 것은 모두 삭제하고 메신저 프로그램 사용하면 메시지를 통해 URL이나 파일이 첨부돼 오면 함부로 선택하지 말고 상대가 직접 보낸 것이 맞는지 확인해야 한다.

이 같은 예방장치만 가동돼도 DDos 같은 악성코드 공격의 상당수를 막아낼 수 있지만, 기업과 개인이 사회 전반에 깔린 `보안 불감증` 현상을 극복하기에는 시간이 걸릴 것으로 보인다.

현재 정보통신 서비스 제공 업체가 연 매출액 100억 원 이상 또는 하루 평균 이 용자 100만 명 이상이면 해마다 정보보호 안전진단을 의무적으로 받아야 하지만 형식에 그치고 있다.

정책적으로 보안 관련 투자가 미흡한 점도 전체적인 정보보안 수준을 견인하지 못하는 원인 중 하나다. 정부의 정보화 예산 중 정보보호 분야 예산이 차지하는 비중은 미국의 절반에도 미치지 못하는 수준이다. 그러면서도 DDos에 대한 우려가 확산하면서 이에 대한 예방 장치도 강화되고 있다.

한국정보보호진흥원이 최근 발간한 `2008 국내 정보보호산업 시장 및 동향 조사`결과에 따르면 DDoS 차단시스템의 2008년 매출액은 52억 7천800만 원으로 2007년에 비해 40.5%가 증가했다. 2013년에는 164억 5천800만 원에 달할 것으로 전망된다.

안철수연구소 관계자는 “보안에 대한 투자는 필수적이라고 인식하는 외국과 달리 국내 기업들은 보안에 대해 선택적인 사안이라고 여기는 경향이 높다”면서 “이 같은 보안 불감증을 없애야 DDos 공격 같은 정보보호 사고를 막을 수 있다”고 말했다.