프로그래머의 좌충우돌 첫 프레젠테이션의 추억

안랩은 지난해 9월 개발자 컨퍼런스인 '안랩코어'와 보안지식대회인 '시큐리티 웨이브'를 2회째 개최했다. 안랩코어는 대한민국 대표 소프트웨어 기업인 안랩이 그동안 축적한 개발 노하우와 보안기술을 많은 사람들과 공유하는 자리였다. 안랩 솔루션 위주의 전시에서 벗어나, 보안업계 전체의 상생과 협력을 위한 보안 정보 전달에 주력하여 좋은 평가를 받았다.

시큐리티 웨이브는 악성코드 및 침해사고 분석, 취약점 분석, 보안이론 등 최신 보안 분야에 대한 수준별 보안 콘테스트이다. 학생들에게 도움이 될 수 있는 문제를 출제하기 위해 노력하여 많은 보안인들과 미래의 보안인들에게 큰 도움을 주며 성공적으로 진행되었다.

두 행사의 성공적인 진행에는 안랩인들의 땀과 노력이 있었다. 그 중 안랩코어와 시큐리티 웨이브에 첫 참여한 직원들의 목소리를 듣을 수 있었다. 아직도 그 때의 느낌을 생생하게 기억하는 임차성 주임연구원, 시큐리티 웨이브에 참여했던 김승훈 연구원, 이주석 주임연구원, 양하영 선임연구원을 만났다.

-안랩코어/시큐리티 웨이브를 처음 참여한 소감을 어떠셨나요?

임차성 : 연구 결과를 많은 사람들한테 같이 공유할 수 있어서 좋았습니다.

김승훈 : 입사하기 전 관련 대회를 많이 참석했는데 입사 후 준비자로서 참여하니 느낌이 색달랐어요. 회사에 입사해 배운 것을 바탕으로 사람들에게 어떤 도움을 줄까 생각하며 문제를 출제하다 보니 오래 걸리기는 했지만 스스로 공부하는 데 도움도 되고 뿌듯했습니다

-안랩 코어/시큐리티 웨이브에서 주된 업무가 무엇이었나요?

임차성 : 코어에서 Zero-Day의 취약점 종결자 세션을 담당했습니다. 특정회사의 기밀정보를 빼내기 위해서 악의적인 코드를 포함한 문서파일들이 있는데, 그것들을 탐지해주는 기술을 연구하고 발표를 담당했습니다.

양하영 : 저희 팀은 악성코드를 분석해서 문제 출제를 담당했습니다. 바이너리(파일기반 악성코드 분석)문제 중 난의도 상에서 폴리모픽 바이러스(다양성 바이러스) 관련된 문제를 출제하였습니다.

이주석 : 바이너리 파트에서 난이도 중 - 커널루트키 문제를 출제했습니다.

김승훈 : 바이너리 해커가 숨겨놓은 키를 찾는 문제로 난이도 하를 출제했습니다.

-많은 사람이 안랩 코어/시큐리티 웨이브를 참여하였다고 들었습니다. 현장에서 느낀 분위기는 어땠나요?

임차성 : 유료행사였기 때문에 집중도가 굉장히 좋았습니다. 눈에서 광선이 나올 듯한 그런 눈빛과 함께 집중해주셔서 몰입력 있게 또한 기쁘게 발표를 할 수 있었습니다.

김승훈 : 중고등학생, 대학생은 물론이고 초등학생도 대회에 참가해서 놀랐습니다. 열정있는 학생들이 더 배워가려고 열심히 듣는 모습을 보고 배우려는 의지가 대단하다는 생각과 대회의 준비자로서 뿌듯했습니다.

-안랩코어/시큐리티 웨이브 진행에서 어려웠던 점은 무엇인가요?

임차성 : 규모가 크고 많은 분들이 참석하시는 행사였기 때문에 코어준비는 발표는 리허설도 많이 하고 준비를 많이 해서 준비과정에서는 힘들었지만 행사 진행은 편안하게 할 수 있었습니다.

이주석 : 처음 문제를 만들다 보니 학생들이 어느 정도의 수준인지 잘 알지 못해서 학생들이 풀만한 적정 난의도를 찾기가 어려웠습니다.

양하영 : 평일에 대회가 진행되다 보니 참가하고 싶어 했던 학생들이 참여하지 못해 아쉬웠습니다. 오고 싶었지만 시험 기간이었던 대학생과 지방에 있는 학생들, 수업 때문에 오지 못한 학생들이 있어 아쉽습니다.

-안랩 코어/시큐리티 웨이브에서 아쉬웠던 점이나 좀더 보완되었으면 하는 점은 무엇인가요?

임차성 : 코어와 시큐리티 웨이브가 같은 날 했는데 두 개 다 듣고 싶었던 분들이 한 가지를 선택해야만 해서 아쉬웠습니다. 내년에는 두 행사를 다 참석하시는 분들을 위해 다른 날 했으면 좋겠습니다.

양하영 : 학생들이 문제를 푼 후 하나의 파트(바이너리)를 풀이하는 시간이 있었습니다. 그러나 시간의 제약 때문에 상세한 풀이를 해주고 싶었는데 어느 정도의 개념적인 설명과 어떤 의도로 이 문제를 출제했나에 대한 설명밖에 하지 못했습니다. 정말 전달해주고 싶었던 기술적인 내용, 분석하는 데 필요한 스킬에 대한 정보를 많이 전달하지 못한 것 같아서 아쉬움이 남습니다.

-안랩코어 시큐리티 웨이브를 통해 느낀 보람은 무엇인가요?

임차성 : 오랫동안 연구한 결과를 많은 분들과 지식을 공유할 수 있어서 뿌듯했습니다.

김승환 : 문제 하나를 만들기 위해서 오랫동안 고민했습니다. 출제 의도를 생각하고 문제 푸는 학생들의 입장도 생각하다 보니 문제를 여러 번 수정하고 또 수정하여 힘들었습니다. 그러나 제대로 했다는 자신감도 얻고 이것보다 더한 것도 잘할 수 있다는 생각과 함께 뿌듯함을 느꼈습니다.

양하영 : 대학생들이 경험해 볼 수 없는 악성코드들을 회사에서는 많이 접하게 됩니다. 이 대회를 통해 대학생들이 접할 기회가 되었으면 좋겠다는 생각을 했습니다. 일반적 해킹대회도 많이 있긴 하지만 실제로 일하고 있는 사람이 문제를 내면 차별화하고 뭔가 현업에서 진짜 이러한 악성코드를 다룬다는 샘플을 보여주고 전달해주고 싶었습니다. 그러려다 보니까 문제출제가 어려웠습니다. 악성코드를 이용할 수밖에 없는데 악성파일을 기법은 그대로 활용하면서 악성코드의 행위를 하면 안 되기 때문이다. 기능은 기능대로 유지를 하면서 악성코드의 불법적인 면은 제외하는 작업이 문제 출제하는데 까다로웠습니다. 또한 해킹대회에 참여했던 친구들도 기존의 문제 형식과 다르다 보니 당황스러워했습니다. 문제를 접한 학생들이 출제자의 의도를 잘 파악하지 못해서 많이 어려워했던 것 같습니다.

-올해로 2회째를 맞이한 안랩코어가 앞으로도 계속 꾸준히 개최될 텐데, 안랩코어가 개발자들에게 어떤 역할을 하면 좋을까요?

임차성 : 전문정보를 개발자를 위해서 솔루션을 제공하는 컨퍼런스가 많지 않습니다. 안랩코어가 앞으로도 보완에 대해서 좋은 정보를 제공해 주었으면 좋겠습니다.

김승훈 : 개발자들이 무심히 쓰는 코드중에 취약점이 많은 코드들이 많습니다. 이런 컨퍼런스로 어떤 취약점이 존재하고 어떤 취약한 함수를 쓰면 취약점이 있다는 것을 깨닫고 시큐어 코드(안전한 코드,취약점이 없는 코드)를 사용할 수 있는 계기가 됩니다. 개발자들이 안랩 코어 같은 보안 컨퍼런스를 더 많이 참여함으로써 더 안전한 코딩으로 취약점이 없는 프로그램을 짜서 사람들에게 제공했으면 좋겠습니다. 이런 기술들로 만들어진 프로그램이 전파되면 이용자들도 좀더 안전하고 편리하게 컴퓨터를 사용할 수 있어 모두에게 이롭지 않을까요?

이주석 : 보안이란 분야가 듣기에 거창하고 어려워 보이는데 흥미로운 분야입니다. 이렇게 느끼는데에는 사람들이 접하기가 쉽지 않기 때문이라는 생각이 듭니다. 안랩 코어를 통해서 보안, 악성코드에 대한 인식이 일반인들에게 좀 더 다가가기 쉽게 될 수 있었으면 좋겠습니다.

처음으로 큰 행사를 준비한 만큼 준비하는 과정에서 힘들고 어려웠던 점이 많았던 것 같다. 하지만 인터뷰를하는 동안 안랩인들의 얼굴은 보람과 자신감으로 가득차 있었다. 힘들게 준비한 만큼 그에 대한 기쁨도 더 컸을 것이다.

이렇게 힘들게 준비한 안랩인들이 있었기에 안랩코어와 시큐리티 웨이브가 성공적으로 마칠 수 있었을 것이다. 앞으로 안랩코어와 시큐리티 웨이브가 회를 거듭할수록 개발자들과 보안에 관심있는 사람들이 함께 정보를 공유할 수 있는 소통의 장으로 확고히 자리잡을 수 있기를 바란다. Ahn

 

사내기자 박정우 / 안랩 시큐리티대응센터 주임연구원

대학생기자  허우진 / 수원대 컴퓨터학과

대학생기자 조아라 / 숙명여대 멀티미디어학과


댓글을 달아 주세요

우후죽순 해킹대회, 실무에 얼마나 도움 되나

해킹방어대회에 큰 상금과 인지도가 높아짐에 따라 사람들의 이목도 집중되고 있다. 그러나 해킹방어대회를 부정적으로 생각하는 사람도 있다. 스타메이커를 위한 것이고 실제 현업에는 도움이 안 된다는 이유에서다. 우후죽순처럼 생겨나는 해킹방어대회의 실효성까지도 논의되고 있는 실정이다. 나아가 해킹 자체가 나쁜 것인데 나쁜 일을 하도록 권장하는 것이라는 의견도 있다. 어떻게 보면 억지스러운 주장이긴 하지만, 충분히 이해할 만한 의견이다. 

 

이런 비판의 목소리가 커지는 가운데, 국내외 해킹방어대회에 꾸준히 참여하는 보안 업계 종사자들을 대상으로 짧은 코멘트를 받았다. 해킹방어대회를 참여하는 이유는 무엇이며, 실제 업무에 얼마나 도움이 되는지에 관한 답변이다.



대다수가 공통적으로 말하는 것은 해킹방어대회가 자신의 부족함을 알고 좀더 다양한 사고를 할 수 있는 계기가 된다는 것이다. 또한 대회를 통해 재미와 좋은 인연을 만들어가는 것도 이점이라 할 수 있다.

 

국내 해킹방어대회가 많다고 하지만 사실상 규모 있는 대회는 일년에 두어 개 정도이며, 이런 대회가 열리기 때문에 보안에 대한 관심이 높아질 뿐 아니라 유능한 보안 인재들이 마음껏 능력을 펼쳐서 자신의 실력을 가늠해보는 기회가 되지 않을까 생각한다.

 

한 가지 명심할 것은 단순히 해킹방어대회에 참여하는 것만으로 해커나 보안전문가가 되는 것은 아니라는 점이다. 아이폰을 탈옥했다고 해서 해커라고 표현할 수 없는 것처럼. 대회 참가로 방어 기술을 어떻게 개발할지 고민하는 계기가 되었으면 좋겠고, 아울러 보안 산업에 긍정적인 영향을 미치길 바란다.


안랩에서는 보안전문가를 꿈꾸는 꿈나무의 미래 성장을 돕기 위해 올해 2회째 Security WAVE를 개최한다. 각 분야의 보안전문가가 내는 문제를 풀어보고, 튜토리얼과 토의 세션에서 다양한 정보를 공유하는 자리이다. 이런 대회를 통해 보안 산업의 유망주가 되어보길 권한다. Ahn


사내기자 박정우 / 안랩 A-퍼스트팀 주임연구원

 

사람이지만 주로 '개구리'로 많이 알려져 있으며,
재밌고 따뜻한 보안세상을 만들기 위해 연구하고 있습니다.


댓글을 달아 주세요

  1. 캡틴최 2012.08.24 09:58  Address |  Modify / Delete |  Reply

    잘봤소... 개굴개굴... ^^;

진부한 것은 해킹, 안철수연구소 보안 컨테스트 뒷얘기

현장속으로/세미나 2011.11.07 09:43

"해킹" 너무 자극적이잖아.
    진부한 것은
'해킹'이다!                                              
"보안" 기본이 탄탄해야 할 수 있는 일이잖아.
    
IT 전반을 아우르는 문제는 없을까?                        
 
"대회" 그들만의 리그가 되게 할 순 없지.
   더 많은 사람이 참여하는 방법 없을까?  

올 가을은 Conference WAR라고 할 만큼 국내 많은 보안 컨퍼런스들이 즐비했다. 또한 부대행사로 각종 대회들이 열렸다. 안철수연구소는 10월 25일 국내 최초의 SW 기업이 개최한 최초의 개발자 컨퍼런스인 'AhnLab CORE(Conference Of Researchers & Engineers)'를 개최하고, 부대행사로 보안 컨테스트인 'Security WAVE'를 진행했다. 10월 22일 하루 동안 진행된 SECURITY WAVE의 준비 과정, 에피소드를 소개한다.

Security WAVE인가?

WAVE We Appreciate your Value and Effort 의 약자로, IT 소프트웨어, 보안관련 산업에 종사하는 모든 사람의 노고에 보답하기 위해 만든 대회이다
 
해커와 크래커는 이제 더이상 구분되지 않고 사용할 만큼 "해킹"이라는 단어는 종종 자극적인 인스턴트 음식을 먹는 것과 같이 보안기술을 망라한다기보다 필요악처럼 느껴지기도 한다. IT에 종사하지 않는 사람들이나 관련 일을 하고 있는 사람이라도,  "해킹" 이라는 단어를 들으면 긍정적인 생각보다는 왠지 암흑의 세계가 떠오르고 무시무시한 느낌을 지울수가 없을 것이다. 우리는 이 단어만큼은 피하자는 생각이었고, 그래서 탄생한 대회 이름이 Security WAVE이다.

Security WAVE 홈페이지 wave.ahnlabcore.co.kr

보안은 IT 전반에 걸쳐 기본이 탄탄해야 할 수 있는 일이라는 생각에 또 매번 참여하는 사람들만의 리그가 아닌 많은 사람들이 접해 볼 수 있을만한 대회를 만들고자 운영진은 깊은 고민에 빠졌다. 한 달여 간의 대회 컨셉회의 끝에 예선은 OX퀴즈, 본선은 토너먼트라는 새로운 대회 운영방식을 도입했다.
 
예선 OX퀴즈

예선문제는 실제 현업에 종사하는 개발, 분석, QA 등 여러 팀에서 출제하였다. 컴퓨터 전공을 했다면 풀 수 있는 일반 상식문제와 조금 깊이 있는 문제로 난이도별 차별성을 두었다. 또한 주관식으로 본선에 진출해서 제대로 문제를 풀 수 있는 심도 있는 보안 문제를 추가하였다. 단순 복불복 문제가 아니며 실제 예선을 참여했던 많은 사람들에 따르면 결코 쉽지 않은 OX 퀴즈를 통해 예전에 배웠던 것을 상기시킬 수 있어서 좋았다고 전한다. 예를 들어 다음과 같은 문제가 예선에 출제되었다.
 
그레이 코드? 배웠는데.. 어떻게 계산하는 거였지.. 

맛보기 예선문제 - 그레이코드 계산

우리는 얼마나 많은 것을 '기억'하며 살고 있을까? 학계의 정설에 따르면 장기기억은 아주 큰 저장 용량을 갖고 있는데, 그 크기도 무한하다고 한다. 기억해 내지 못한다는 것은 잘 찾아내지 못한 것이고 추후에 어떤 계기나 실마리를 통해 기억해 낼 수 있다고 한다.
 
 
Security WAVE를 통해
 IT실무에 종사하는 사람들과 컴퓨터 전공 학생들은 이 기회로 자신이 알고 있는 지식을 한번 더 점검할 수 있는 계기가 될 수 있을 것이고, 더욱이 보안은 모든 분야와 밀접한 관련이 있고 어떤 위험성이 존재하는지 현재 이슈가 되고 있는 보안문제는 무엇인지 느껴 볼 수 있는 기회가 되었을 것이라고 생각한다
.

# 본선 토너먼트 

예선 상위 16명은 무작위 추첨으로 본선 대진표가 결정되고 각 라운드마다 3개의 문제가 주어진다. 16강은 리버싱, 8강은 네트워크 보안 (무선랜), 4강은 모바일결승전은 포렌직 문제로 승패가 결정되었다

본선 토너먼트 대진표

Security WAVE 시상

결승전에서는 13초 차이로 우승자가 결정되었다. 마지막으로 우승/준우승을 거머쥔 영광의 주인공들에게 소감을 물었다. 

우승자인 황태현(Hangulable)씨는 대학생으로 이런 대회에는 처음 참여해봤는데 우승하게 되어 매우 영광스럽다며 다음과 같이 소감을 말하였다.

  
"문제가 재미있어서 좋았어요. 재미있는 대회에 보안뿐만 아니라 IT전반에 관련된 문제들이기 때문에 컴퓨터 전공한 사람이라면 많이 참여해 볼 수 있을 것 같아요. 하지만 토너먼트인 경우 한번의 기회로 당락이 결정되어 아쉬웠어요. 많은 사람들이 본선을 더 참여했으면 좋겠네요 :)"

 준우승자 김지환(forc1)씨는 보안관련 직종에 종사하고 있으며 기존 해킹대회 다수 참여 및 입상한 경력이 있다. 팀이 아닌 혼자 참여했지만 좋은 결과가 나왔다며 다음과 같이 말했다. 

"예선의 OX문제 형태는 처음 시도된 것으로 참신했어요. 또한 IT 관련 다양한 분야의 문제여서 좋았고요. 본선은 토너먼트 형태여서 긴장감이 더했고요. 추측으로 문제를 푸는 것이 아니라 지식에 근거해서 푸는 문제들로 하/중 문제들이 상을 푸는 힌트가 되는 점도 좋았어요. 하지만 본선 문제가 더 많았으면 합니다. 그리고 저는 이미 방향을 잡고 풀고 있어서 추가 힌트는 안 줬으면 했었어요 :)"

마지막으로, 운영진 중 모든 문제를 검수하고 담당했던 심선영 선임은 처음 시도해보는 문제출제방식이라서 운영진 스스로도 대회 참가자들의 수준을 예상하기 어려워 난이도 조절 및 문제 출제에 매우 곤혹스러웠다고 한다. 그리고 최신 보안 기술 관련 문제가 생각보다 적어서 아쉬웠지만 이점은 내년에 많이 반영할 것이고, 문제출제부터 개발까지 짧은 시간안에 우리 손으로 한땀~ 한땀 만들어낸 대회라 어느때보다 의미있게 느껴진다고 전한다. 
 
처음 열린 Security WAVE 참가 기회를 아쉽게 놓쳤다면, 다음 기회에 도전해보세요. Ahn

사내기자 박정우 / ASEC A-FIRST

사람이지만 주로 '개구리'로 많이 알려져 있으며,

재밌고 따뜻한 보안세상을 만들기 위해 연구하고 있습니다.

 


댓글을 달아 주세요

  1. 날아라뽀 2011.11.07 11:30  Address |  Modify / Delete |  Reply

    잘보고 갑니다.^^
    즐거운 월요일 시작하세요^^

  2. 날아라뽀 2014.11.21 17:42  Address |  Modify / Delete |  Reply

    잘보고 갑니다.^^
    즐거운 금요일 시작하세요^^