온라인 게임 보안 개발자가 말하는 안전한 게임

안랩人side/안랩팀워크 2010. 7. 27. 08:25

* 아래는 게임 웹진 인벤의 기사이며 기자의 허락을 받아 게재합니다.

뚫리지 않는 방패를 향한 1%의 도전, 안철수연구소 핵쉴드팀

지난 달 30일. 인벤 기자들은 한 보도자료를 보고 깜짝 놀라고 말았습니다. 컴퓨터 바이러스 백신 V3로 잘 알려진 안철수연구소의 핵쉴드가 오토플레이를 감지하는 특허를 획득했다는 내용이었습니다. 특히 프로그램 오토뿐 아니라 하드웨어 방식의 오토까지도 적발할 수 있다는 문구는 환상적이었습니다. 오토가 아예 사라지는 것은 아닐까 하는 생각이 들 정도였습니다. 도대체 어떤 특허인지, 어떤 기술인지 궁금해서 당장 인터뷰 약속을 잡았습니다.

하지만 이런 생각이 순진한 것이었음을 깨닫는 데는 얼마 걸리지 않았습니다. 뚫리지 않는 방패는 존재하지 않는 것이니까요. 반대편에는 새롭게 등장한 보안 기술을 뚫기 위해 노력하는 해커들이 늘 도사리고 있는 곳이 게임계입니다. 아마 지금은 새롭고 혁신적으로 보이는 감지기술도 시간이 지나면 해커들에 의해 공략될 것입니다.

오토 기술 발전의 역사를 돌이켜봐도 늘 그래왔습니다. 오토 프로그램은 직접 키보드를 입력하는 대신 OS가 지원하는 함수를 이용해 키를 입력했습니다. 보안 프로그램은 이를 차단했습니다. 그러자 오토는 키보드나 마우스 드라이버 단계에서 키를 입력했습니다. 이마저도 막아냈습니다. 그러자 아예 오토 기능이 내장된 ‘하드웨어’ 기기들이 생겨났습니다.
끝이 없었던, 앞으로도 영원히 끝나지 않을 오토와의 전쟁. 많은 분들의 노력에도 불구하고 여전히 오토는 온라인 게임에서 기승을 부리며 게이머들을 괴롭히고 있습니다.

▲ 안철수연구소 게임보안 솔루션 '핵쉴드'


실은 인터뷰가 끝나고 돌아오면서 살짝 걱정이 들었습니다. 안철수연구소가 발표한 이번 특허 기술이 ‘오토의 씨를 말릴 정도로 혁명적인 것’은 아니었기 때문입니다. ‘오토를 막고 있다’라는 문장은 일반 게이머들에게 거부감을 일으키곤 합니다. ‘막고 있다는 게 이 모양이냐’라는 대답이 바로 튀어 나오니까요. 어쩌면 이번 인터뷰에도 그런 반응이 나오지 않을까 하는 생각이 들었습니다.

하지만 생각해보니, 인벤 기자를 맞이한 보안기술팀의 선임연구원 남성일씨의 표정은 담담했습니다. 그에게는 이번에 개발한 새로운 기술이 어제도 오늘도 계속해서 벌어지고 있는 오토와의 전쟁이라는 ‘일상’이었기 때문입니다. 이번 특허는 그러니까 오토와의 전쟁에서 새로운 고지 하나를 먼저 점령했다는 그런 정도의 의미였습니다.

그리고 내일이 되면 해커들은 그 고지를 탈환하기 위한 공격을 시작하겠죠. 이미 그것까지도 예상되었을 겁니다. 그러니 남성일씨를 기다리고 있는 오늘 밤은 승리를 기념하는 축하파티가 아니라, 내일의 전투를 준비하는 담담한 훈련인 것입니다.

아주 조금은, 정말로 혁신적인 새로운 기법이 나와 오토가 박멸되지 않을까 하는 기대를 갖고 인터뷰를 시작했습니다. 그렇지 않아서 실망했냐고요? 이 끝없는 전쟁이 언젠가 끝이 난다면, 그리고 결국 어느 한 편이 승리해야 한다면, ‘우리편’으로 생각해야 할 쪽은 어디일까 생각해보았습니다.
그리고 저는 실망하는 대신, 응원하기로 했습니다.

▲ 안철수연구소 보안기술팀 남성일 선임연구원


= 안철수연구소는 컴퓨터 바이러스 백신 회사로 유명합니다. 핵쉴드라는 게임 보안 솔루션을 개발하게 된 계기가 있었나요.
2003년도에 게임사에서 연락이 왔어요. 보안 문제로 고생을 많이 하고 있다고, 보안 솔루션을 만들어 줄 수 없겠냐하고요. 검토를 해보니 할 만하다는 결론이 나와서 그 때부터 시작하게 되었습니다. 당시에는 가지고 있던 백신 엔진을 활용해서 만들었는데 2005년부터 정식으로 핵쉴드가 출시하게 되었죠.

= 아무래도 백신이 주력 사업일텐데, 안철수연구소에서 게임 보안을 생각하는 비중은 어느 정도인가요.

V3는 핵심엔진이 있어서 다양한 곳에 활용될 수 있어요. 그런데 핵쉴드는 게임 해킹 분야에만 사용되고, 다양한 해킹툴에 일일이 대응해야 되다보니 리소스가 큰 편입니다. 그에 비해 매출은 상대적으로 크지 않고요. 그래서 한때는 사업을 접어야 되나 고민한 적도 있어요. 하지만 글로벌 사업을 진행하면서 해외에서 요청이 많이 들어오기 시작했습니다. 지금은 모바일 통합 보안, 인터넷 뱅킹과 함께 안철수연구소의 3대 전략제품군으로 육성되고 있습니다.

= 핵쉴드는 어떤 프로그램인지 간단하게 소개해주세요.

게임 보안 솔루션인데, 전체를 다 보호하는 건 아닙니다. 주로 클라이언트를 보호합니다. 오토 매크로, 스피드 핵, 메모리를 조작해서 돈이나 경험치를 늘인다거나 하는 클라이언트에서 일어날 수 있는 해킹을 막는 역할을 합니다.

= 게이머보다는 게임사의 필요에 더 초점이 맞춰진 것이네요.

사실 V3 같은 백신은 이용자 입장에서 필요를 느껴서 설치하게 되는데, 핵쉴드는 강제로 설치되는 거라서 이용자 입장에서는 불편하게 느낄 수도 있을 겁니다. 그래서 서비스 호환이나 사용 편의를 고려하지 않을 수 없죠. 일반 이용자 입장에서는 별로 필요하지 않다고 느낄 수도 있겠지만, 전체적으로 보면 안정적인 게임 서비스를 위해 필요한 것이겠죠.

= 그렇다면 게임을 개발할 때부터 이런 보안이 함께 진행되어야 되겠네요.

아무래도 그러면 좋습니다. 하지만 게임 개발과 게임 보안은 서로 다른 분야입니다. 큰 개발사는 처음부터 보안을 생각하면서 설계하겠지만, 보통은 게임 개발 그 자체에 좀 더 신경을 쓰게 되죠. 규모 있는 보안팀을 갖고 있는 게임사가 국내에 많은 것도 아니고요. 가끔은 게임이 출시된 이후에 해킹 문제를 겪고 나서야 보안 솔루션을 찾는 경우도 있는데, 보안 없이 출시하면 게임이 분석되어버리기 때문에 되도록 게임 출시 전에는 보안 부분을 체크했으면 하는 바람이 있습니다.

= 전세계 20여개 국에 공급 중이라고 하던데, 해외에서도 요구가 많은가요.

우리나라 온라인 게임이 해외 진출을 많이 하다보니까요. 핵쉴드를 사용하는 게임이 해외로 나가면 핵쉴드도 함께 나가거든요. 그럼 그 쪽 퍼블리셔가 핵쉴드를 써보고 괜찮으니까 자국 게임을 서비스할 때도 핵쉴드를 쓰는 식으로 점점 퍼져나가고 있습니다.

= 그럼 세계적으로 게임 보안 분야는 우리나라가 발달해있다고 볼 수도 있을까요.

제가 알기로는 그렇습니다. 온라인 게임 보안에 있어서는 자부심을 가져도 좋지 않을까 싶습니다.

▲ 3차의 QA를 거치는 핵쉴드. 사진은 테스트를 위해 구현된 가상 게임 환경


= 최근에 오토플레이 감지 관련 특허를 획득했습니다. 이전에도 게임 보안과 관련해 몇 가지 특허를 취득하셨다고 하는데 어떤 것들인가요.
오토를 방어하는 기능은 여러 가지입니다. 이중 삼중으로 방어하거든요. 지금은 입력이 되면 차단을 하는데, 해킹 툴이 이 차단을 우회합니다. 그럴 때 입력 카운트를 비교하는 특허도 있고요. 메모리 조작을 방지하는 특허도 있습니다. 또 클라이언트를 해커들이 조작하면 서버와 연동해서 이를 방어하는 기술도 있고요.

= 그렇게 특허를 획득하면 경쟁업체에서는 그 기술을 사용하지 못하는 건가요.

비슷한데 조금 다른 기술을 사용해서 특허를 피할 수 있더라고요. 아니면 로열티를 지불하고 기술을 사용해도 되고요. 그런데 특허는 다 볼 수 있거든요. 해커들까지도. 그러면 해커들이 그 기술을 피하는 방법을 연구하겠죠. 그래서 보안 쪽은 특허를 내는 것이 과연 맞는 것인지 고민도 있습니다. 하지만 특허를 내지 않으면 로열티를 내고 써야 할 수도 있으니까, 이런 딜레마가 있습니다.

= 이번에 취득한 특허의 내용은 어떤 것인지 알기 쉽게 설명해주세요.

오토가 사용하는 방식은 크게 세 가지가 있습니다. 윈도우 같은 OS가 제공하는 함수를 이용해서 키가 입력된 것처럼 처리하는 응용 레벨 오토가 있고, 키보드나 마우스 입력을 처리하는 드라이버를 통해 특정 값을 넣는 커널 레벨 오토가 있습니다. 또 하나가 하드웨어 오토마우스고요.
응용 레벨 오토는 sendinput 같은 API를 사용하지 못하게 하는 방법으로 차단할 수 있고, 커널 레벨도 방어할 수 있는 방법이 있습니다. 그런데 이런 방어를 우회하는 경우가 있어요. 이번 특허는 기존 감지 방법을 우회하는 경우에 응용과 커널의 두 이벤트를 비교해서 비정상적인 입력을 감지하는 내용입니다.

= 최근에 가장 막기 어려운 것은 하드웨어 오토가 아닐까 싶습니다. 막는 방법은 없나요.

처음에 나왔을 때는 게임사나 보안업계나 막을 방법이 없다고 했어요. 이를테면 마우스 버튼을 테이프로 붙여 놓으면 그걸 프로그램으로 어떻게 감지해내겠냐는 것이죠. 키보드에 동전 꽂아둔 것도 마찬가지고요. 하지만 실제로 사람이 입력하는 것과 기계가 입력하는 것에는 패턴의 차이가 있습니다. 클릭 속도나 반복적인 입력을 감지해서 구분할 수는 있어요.
또 최근 기계식 오토마우스는 하드웨어만 있는 게 아니라 딸려있는 소프트웨어가 있습니다. 그런 소프트웨어의 UI나 입력방식, 화면을 감지해 차단하기도 하죠. 물론 보안이라는 것은 완벽하다는 게 없기 때문에 뚫리면 또 새로운 방법을 찾아내야 합니다.

= 그렇게 막아도 또 다른 방법으로 해킹을 시도하나요.

예를 들어 최근에는 이런 패턴이 발견되었어요. 게임에서 원래 제공하는 게임 내 함수가 있거든요. 앞으로 가라. 슛을 쏴라. 하는 것들이 함수로 만들어져 있는데, 게임이 제공하는 함수를 바로 사용하는 오토가 생겨났어요. 그래서 게임 내 함수를 외부에서 호출하는 걸 방어하는 기능이 들어가게 되었습니다.

= 최악의 경우로 아예 클라이언트를 필요로 하지 않는 오토 프로그램도 있지 않습니까.

논클라이언트 봇은 아예 클라이언트가 쓰는 기능을 코드로 떠다가 새롭게 만듭니다. 그래서 게임 클라이언트가 없이도 플레이를 할 수 있게 됩니다. 하지만 그렇기 때문에 상당히 제작기간이 깁니다. 만약에 뭐 하나가 수정되면 다시 상당한 기간을 들여서 또 만들어야 하죠. 실제로 최근에 자체 보안을 하다가 논클라이언트 봇 때문에 의뢰가 들어온 게임이 있어요. 저희가 컨설팅을 하고 핵쉴드가 들어가니까, 논클라이언트 봇이 사라진 사례가 있습니다.
또 핵쉴드는 클라이언트 분석이 되지 않도록 하는 안티디버깅 기능을 갖고 있어서 분석이 시도되면 바로 종료가 되도록 하는 기능도 갖고 있고요.

▲ 오토마우스 기기가 그야말로 굴러다니고 있는 게임 보안팀


= 오토나 해킹툴은 어떻게 인지하고 있습니까.
게임사에서 정보를 주는 경우도 많고요. 또 그 쪽으로 유명한 포럼이나 게시판이 있습니다. 거기서 몰래 활동하면서 모니터링을 합니다. 그래서 업데이트 되었다고 하면 미리 방어하기도 하고요.
 
= 오토를 막기 위해서 게임사들도 노력하고 있습니다. 또 이 같은 보안 솔루션도 작동되고 있고요. 그런데도 게임 내에서는 오토 캐릭터를 만나는 것이 어렵지 않은 게 현실이거든요.
열심히 하고는 있는데 보안이라는 게 99%를 막아도 1개가 뚫리면 그걸 여러 명이 쓰니까, 힘든 것 같아요. 그럴 때는 결국 ‘못 막았다’는 평가를 받아야 하니까요. 지금도 저희는 다 막고 있다고 생각하는데, 아직 보고되지 않았거나 노출되지 않은 해킹 툴이 있을 수 있겠죠. 막는 데 시간이 걸리는 경우도 있고, 저희한테 보고되기까지 시간이 걸리는 경우도 있고요. 간혹 가다 막기 힘든 경우도 있습니다. 정말 잘 만들어서 대응방법을 찾아야 할 때는 연구할 시간이 필요한 게 사실입니다.
 
= 일단 파악되면 막는 데까지 시간은 어느 정도 걸리나요.
보통 시그니처 엔진 대응은 하루 정도, 휴리스틱 엔진 대응은 2~3일 정도 걸립니다. 모듈 대응이라고 해서 근본적인 부분은 시간이 좀 더 걸리고요. 일반적인 건 하루나 이틀 안에 처리가 됩니다.
 
= 실제로 오토나 해킹 툴을 사용해보기도 하시겠네요. 오토를 구입도 하셔야겠고요.
정말로 막히는지 항상 확인해야죠. 사용은 늘 합니다. 오토는 돈 주고 구입하고요. 관련된 게시판이나 포럼에 가입해서 회원활동도 하고 있습니다.

= 게임사는 또 게임사 나름의 오토 대응을 하고 있습니다. 운영자들이 직접 체크를 한다거나 게임 시스템으로 퀴즈를 낸다거나 하는 방법들이 사용되고 있습니다.
게임사에서 할 수 있는 방법과 저희가 할 수 있는 방법은 다르다고 생각합니다. 게임사에서 사용하는 방법이 효과적인 경우가 있고요. 저희는 저희가 할 수 있는 한도 내에서 활동하는 거죠.

= 한 쪽은 막고, 한 쪽은 뚫고. 해킹툴도 보안툴도 서로 발전(?)하는 것 같네요.

게임 보안 쪽은 굉장히 빨리 변하고 있습니다. 최신 기술이 집약되었다고 할까요. 해킹 시도도 금융도 있고 뭐도 있고 많은데 게임 해킹 시도가 가장 많고, 신기술도 빨리 적용되고 있습니다. 실제로 게임 보안 쪽에서 쓰인 기능이 나중에 다른 솔루션에 쓰이는 경우도 있습니다.

= 현재 연구중인 것들을 간단히 소개해주실 수 있을까요.

예를 들어 해킹행위가 일어났다. 그러면 '해킹행위가 일어났다'고 뜨거든요. 그러면 해커들이 그 문구가 뜬 시점부터 되짚어가면서 어디서 문제가 발생했는지 찾아내요. 그래서 최근에는 그걸 클라이언트에서 처리하지 않고 시간의 여유를 좀 둬서 서버에서 끊어버려요. 한참 뒤에 차단이 되니까 해커 입장에서는 해킹툴이 제대로 작동하는지 아닌지 알기가 어렵죠.
또 이제는 64비트도 많이 쓰잖아요. 64비트를 지원하기는 하는데 API 후킹이 되지 않아서 그 부분을 연구하고 있어요. 내년부터는 64비트 지원하는 온라인 게임들이 나오는데, 거기에 맞게 핵쉴드도 64비트로 컴파일된 것을 출시할 계획입니다.

= 최근 중국발 게임들은 아예 오토 기능을 게임사가 만들어 제공하는 경우가 있습니다. 이런 오토에 대해서는 어떻게 생각하세요.
게임이 자체적으로 유저들의 편의를 위해서 기능을 제공하는 것은 일반 유저들도 다 이용할 수 있으니까 별로 문제가 되지 않을 것 같습니다. 그런데 오토가 너무 많아서, 다 막기는 힘드니까 그냥 우리가 비슷한 걸 만들자 하는 건 아닌 것 같아요. 왜냐하면 그렇게 되었을 때 게임이 허용하는 부분을 악용해서 더 심각한 해킹툴을 만들 수 있게 되거든요. 그런 위험에 대해서도 생각을 조금 해야 하지 않을까 싶습니다.

= 99개를 막고 1개가 뚫려 막지 못했다는 평가를 늘 받으면 우울할 것 같기도 합니다. 이 일을 하면서 보람을 느낄 때는 언제인가요.

열심히 하고 있는데 뚫리면, 쓸모가 없다는 이야기를 들을 때 가슴이 아파요. 또 가끔 ‘뭐가 된다더라’하고 글이 올라오는데 아무리 찾아봐도 해킹툴이 없는 경우가 있습니다. 분석해서 막으려면 해킹툴이 있어야 하는데 없어요. 이런 경우에 80~90%는 실체가 없습니다. 불필요한 리소스가 들어가는 거죠.
그래도 해킹툴 포럼에 ‘포기한다’는 글이 올라올 때, 또 상당히 활발하던 포럼이 ‘서비스를 중지합니다’라고 할 때 희열을 느낍니다. 최선을 다해서 막고있으니까 격려해 주셨으면 좋겠습니다. Ahn

▲ 안철수연구소 게임보안기술팀


 

댓글을 달아 주세요

  1. 익명 2010.07.27 18:14  Address |  Modify / Delete |  Reply

    진정으로 대단하신 분들입니다 ㅎㅎ

  2. 라이너스 2010.07.27 19:14  Address |  Modify / Delete |  Reply

    좋은글 잘보고갑니다.
    멋진 저녁되세요^^

온라인 게임, 자기도 모르게 사이버 지뢰 밟는다

현장속으로/세미나 2010. 7. 26. 06:00
온라인 게임을 재밌게 즐기려고 무심코 쓴 매크로가 해킹 도구로 둔갑한다면?

얼마 전 열린 게임 보안 세미나 '게임보안 2010 트렌드를 잡아라!'는 게임 사용자가 빠지기 쉬운 보안 위협의 함정을 짚어준 행사였다. 
메가뉴스 주최, KISA(한국인터넷진흥원) 후원, 그리고 안철수연구소를 비롯한 여러 기업의 협찬으로 열렸다. 세미나에서 발표된 내용은 대체로 게임 보안에 초점을 맞추긴 했지만, 그 이슈들은 단지 게임에만 국한되지 않고 인터넷 사용자라면 누구나 조심해야 할 보편적인 것이었다.


첫 세션은 KISA 이정민 선임 연구원의 '온라인 게임에 대한 공격 및 대응 현황'이었다. 최근 온라인 게임의 해킹 위협과 트렌드, 어떤 과정으로 침해 사고가 발생하는지를 설명해 많은 공감을 이끌어냈다.


그는 온라인 게임이 공격 대상이 되는 이유는 게임 머니의 현금화가 쉽기 때문이라고 지적했다. 온라인 게임 머니를 현금화하여 돈을 벌려는 일반 사용자도 다수 있기 때문에 악의적인 목적을 가진 공격자가 이를 역이용하여 자신이 만든 게임 서버의 해킹 코드를 더욱 쉽게 전파할 수 있다는 것이다. 
이로 인한 피해를 예방하려면 기업 내의 보안 시스템 운영을 강화하는 한편, 게임 유저가 보안 의식을 높여 백신과 보안 패치를 생활화해야 한다고 강조했다.

안철수연구소 김창희 과장은 '웹 콘텐츠의 위협' 문제를 발표했다.
[KSS2010] "쇼핑몰 스크롤만 내려도 악성코드 감염 가능"
그는 최근 다시 웹 게임을 즐기는 사용자가 많아졌는데, 이들을 겨냥해 웹사이트를 해킹해 악성코드를 심어놓는 '사이버 지뢰밭'도 늘어나는 추세라고 설명했다.


특히 충격적인 것은 악성코드의 생성이 기계화하고 툴을 이용한 제작이 많아지다 보니 제작되는 악성코드의 수를 보안 업체의 엔진이 따라가지 못할 정도라는 대목이었다. 실례로 AV-test.org에서 수집한 악성코드의 수가 약 550만 건이나 되는 데 비해 보안 업체들의 평균 업데이트 수가 15만 건 정도라는 자료 화면은 국내외를 막론하고 인력의 부족함과 사용자 개인의 보안 관리가 얼마나 중요한지를 다시 한번 생각해보게 했다. 실제 보안 취약점이 존재하는 웹사이트를 직접 보여주어 이것이 당장 직면한 문제임을 강조했다.


와이즈로직 개발팀 황원일 팀장이, 게임 플레이를 조금 더 편하게 즐기고자 많이 사용하는 매크로의 보안 위협을 다루었다. 단순한 매크로가 마음만 먹으면 키보드 입력 정보나 개인 정보를 빼내는 데 악용할 수 있다는 것을 지적했다. 

엔씨소프트 운영보안팀 김창오 팀장은 온라인 게임 제공 업체의 게임 보안 운영 방법을 발표했다. 그는 개인의 보안 의식도 중요하지만 그러한 환경을 구축하고 사용할 수 있게 하는 것이 바로 업체의 역할이라고 말했다. 아울러 리니지, 리니지2, 아이언 등의 메이저급 게임을 운영함으로써 얻은 자연스런 노하우가 느껴지는 세션이었다.

마지막은 해커 출신 1호 교수인 고려대학교 김휘강 교수의 강연이었다. 공개된 API(Application Programming Interface; 운영체제와 응용 프로그램 사이의 통신에 사용되는 언어나 메시지 형식)를 연구해 공격 방법과 방어 방법을 함께 보여준 명강연이었다. 특히 데이터마이닝(data mining; 많은 데이터 가운데 숨겨진 유용한 상관관계를 발견하여, 미래에 실행 가능한 정보를 추출하고 의사결정에 이용하는 과정)을 이용해 불법적인 소프트웨어를 사용하거나 비정상적인 플레이를 하는 게이머를 구분하는 방법은, 데이터마이닝이 단지 검색 엔진이나 기계적인 분별뿐 아니라 게임에도 사용될 수 있음을 알게 해주었다.

또한 김 교수는 이론뿐 아니라 기업이 실제 어떤 방식으로 적용해야 하는지까지 제시했다. 즉, 개발자뿐 아니라 기업체 운영팀 간 의사소통이 중요하며, 이러한 탐색 과정에서 법적 분쟁에 대비한 로그 확보가 필수라고 강조했다.

기자 또한 한때 B사의 메이저급 게임을 며칠 밤을 새우면서 즐기던 소위 '헤비 유저'였다. 그 과정에서 조금 더 편하게, 조금더 빠르게 캐릭터를 키우고자 불법 프로그램이나 방법을 사용한 적이 있다. 이렇게 순간의 편안함을 누리는 데 얼마나 많은 위협이 도사리고 있는지, 본인도 모르는 사이에 제 2, 제 3의 7.7 디도스 대란 같은 사건의 가해자가 될 수도 있다는 것에 등골이 오싹해진다. Ahn
                         
대학생기자 오세혁 / 한국항공대 컴퓨터정보공학 http://tigernet.tistory.com
미래의 보안전문가를 꿈꾸던 19살 대학 새내기가 25살이 되어 선배들의 열정을 느껴보고 싶었습니다.
어쩌면 할 수 있을까란 불안감과 나보다 앞서나가는 이들을 보며 느낀 열등감으로 갈피를 잡지 못하는 자신을 다잡아보고 싶어서였는지도 모르겠습니다. 보안세상과 함께 자신의 꿈에 한 발짝 다가가고 더 명확히 볼 기회가 되기를 간절히 바랍니다. 안철수연구소에 오세혁이란 사람의 영혼도 더해지는 날을 위해서!!





댓글을 달아 주세요

  1. 악랄가츠 2010.07.26 07:14  Address |  Modify / Delete |  Reply

    개인정보 유출, 인터넷 사기 피해가 가장 빈번한 곳이 온라인 게임인 거 같습니다 ㄷㄷ
    특히, 어린 아이들을 상대로한 범죄가 많기에 더욱 유의해야될 듯 하옵니다! ㄷㄷ

  2. 율무 2010.07.26 15:25  Address |  Modify / Delete |  Reply

    힉.. 지인들에게도 알려줘야겠네요;;;

  3. 유아나 2010.07.26 16:28  Address |  Modify / Delete |  Reply

    뭔 내용인가 했는데 기자의 마지막 경험담에서 이해가 팍팍!!!

  4. 2010.08.02 12:00  Address |  Modify / Delete |  Reply

    비밀댓글입니다

IT 세상을 지키는 보안 이야기 'IT 시큐리티'를 읽고

안랩人side 2009. 5. 31. 09:53


유비쿼터스 환경이 점점 더 확산됨에 따라 우리는 컴퓨터와 인터넷을 통하여 원하는 정보에 접근하기가 훨씬 더 쉬워졌다. 쇼핑과 은행업무 등 일상생활 대부분을 인터넷으로 해결할 수 있기 때문에 인터넷은 더 이상 없어서는 안 될 존재이자 우리 생활의 일부로 자리잡았다.

이렇듯 우리 생활 속에서 인터넷 의존도가 높아져 가고 있지만, 정보보안에 대한 인식은 아직도 미흡하다. 국내 최대라고 자랑하던 한 쇼핑몰이 해킹을 당해 약 1000만 명 정도의 개인정보가 유출됐다는 사례에서 그 심각성을 알 수 있다. 이러한 큰 사건이 일어났음에도 시간이 지나면 언제 그랬냐는 듯 잊혀지곤 한다. '보안 불감증'이라는 말이 그래서 생겨난 것은 아닐까.

신간 'IT 시큐리티'는 이런 상황에서 정보보호의 기초 지식부터 최신 전문 지식과 정보보호 인력 양성에 이르기까지 생활 속의 정보보호를 쉽게 이해할 수 있도록 쓴 책이다. 저자인 강은성 SK커뮤니케이션즈 CSO(Chief Service Officer)는 22년 간 국방연구원, 삼성전자, 안철수연구소 등을 두루 거치면서 신기술 개발, 보안 소프트웨어 개발, 보안 분석 대응 등 다양한 경력을 쌓았다. 이론과 현장 경험을 바탕으로 우리 사회의 보안 문제를 다양한 시각에서 바라보고 폭넓은 대안을 제시했다.

이 책의 구성은 1부 정보기술과 정보보안, 2부 보안, 창과 방패의 영원한 대결, 3부 보안 전문가를 꿈꾸는 이들에게, 4부 소프트웨어, 보안, 정책으로 구성됐다.

1부에서 눈에 띈 것은 온라인 게임 보안에 대한 내용이다. 우리나라는 'IT 강국', '온라인 게임 강국'이라는 평가를 받는다. 우리나라 온라인 게임은  비약적인 성장 기반을 마련하며 세계 시장을 석권하고, 전체 문화 콘텐츠 산업의 45%, 세계시장 점유율 36%를 차지할 정도다. 이처럼 온라인 게임 시장이 확대되면서 게임 아이템 시장 또한 폭발적으로 증가함에 따라 금전 취득을 노린 웹 해킹, 악성코드, 트로이목마 등도 덩달아 증가하는 추세이며, 특히 '작업장'이라고 불리는 곳에서 이러한 행위들은 은밀하게 일어나고 있다고 한다.

이에 대해 저자는 "게임 아이템 시장에 대한 정부 차원의 통제가 필요하며, 개인정보를 보호하는 일은 보안 업계의 노력만으로는 해결될 수 없으며 정부와 국회, 관련 업계, 개인 등의 참여가 필요하며 총체적인 노력이 필요하다."라고 강조한다.

이 대목에서 많은 공감을 했다. 정부와 국회에서 국민들의 정보보호를 위해 제도와 법규를 정비하고, 관련 업계에서는 법규를 준수하고, 개인들이 동참한다면, "나의 개인 정보는 안전할까?"라는 불안감에서 해방될 수 있지 않을까 하는 생각이 들었다.

나는 특히 3부 테마에 가장 관심이 쏠렸다. 나의 꿈이 바로 보안 전문가이기 때문이다. 바다 한가운데서 멀리 보이는 등대를 본 것처럼 기쁜 마음으로 책을 읽어 내려갔는데, 대부분 처음 알게 된 내용이 많아 조금 놀랐다. 하지만 이제라도 알게 된 것에 감사함을 느꼈다.

저자는 보안 전문가가 되는 첫걸음은 보안 궁금증을 푸는 것이라고 말한다. "웹 쪽에 관심이 있다면, SQL 삽입(SQL injection) 공격, XSS(Cross Site Scripting) 공격이 어떤 건지 알아보는 것부터 시작할 수 있겠다. 좀 더 넓게 보려면 [10대 가장 심각한 웹 애플리케이션 보안 취약점(OWASP TOP 10)]을 찾아보는 게 좋다. 웹 쪽을 보면 자바 스크립트에 대한 공부가 필요함을 느끼게 된다. 자연스럽게 자바 스크립트를 공부하면서 그에 따른 보안 문제도 함께 공부해나간다면 재미있게 웹 보안을 공부할 수 있을 것이다."

보안 분야를 체계적으로 공부하는 방법도 소개했는데, 정보보호 자격증 시험의 과목을 살펴보는 것이다. 자격증을 취득하는 것과는 별개로 보안 공부의 체계를 세우기 위해서는 자격증 시험 출제 기준에 나오는 과목들을 한 번쯤 들여다볼 필요가 있다는 것이다. 그리고 대학에 있는 정보보호학과의 커리큘럼을 찾아보는 것 또한 보안 공부의 체계를 잡는 데 많은 도움을 준다고 한다.

정보보호는 한 기업 혹은 한 개인이 좌지우지하는 것이 아니다. 정부, 기업, 개인이 함께 노력해야 풀 수 있는 숙제인 것이다. "당신의 정보보호 마침표가 없습니다."라는 말이 있다. (정보보호 표어 부문 대상, 2008) 완벽한 정보보호는 없으며, 정보보호는 지속적으로 이루어져야 한다는 뜻으로 해석할 수 있겠다. 우리 모두가 정보보호의 마침표를 찍기 위해 지속적인 노력을 기울인다면 그토록 바라는 안전한 IT 세상을 만들 수 있지 않을까? Ahn

대학생기자 고명진 / 명지대 컴퓨터공학과
‘꿈이 있으면 행복해지고, 꿈 너머 꿈이 있으면 위대해진다.’ 보안전문가를 향해가는 그 발걸음은 행복하다. 하지만 그 행복에서 안주 할 수 없다는 생각이 들었고, 꿈 너머 꿈을 찾기 위해 ‘보안세상’에 동승했다.


댓글을 달아 주세요

  1. 미자라지 2009.05.31 21:12  Address |  Modify / Delete |  Reply

    멋지시네요^^
    컴맹이라 컴퓨터 잘하시는 분들을 보면 정말 부럽네요^^

    • 공돌이 2009.06.01 15:19  Address |  Modify / Delete

      아직 많이 부족해서
      열심히 배우려고 노력중입니다! ^^

  2. 사우스포 2009.06.03 09:17  Address |  Modify / Delete |  Reply

    IT 시큐리티라는 책 꼭 읽어 봐야겠네요 ~
    잘 읽고 갑니다.. ^_^

  3. go40004 2009.06.05 10:43  Address |  Modify / Delete |  Reply

    보안전문가를 향해!

  4. 광년이 2009.06.07 13:51  Address |  Modify / Delete |  Reply

    좋은 글 발보고 갑니다..^^ IT 시큐리티 라는 책이..

    비전공자들이 읽기에 쉽지는 않은 내용이었지만,

    이런 저런 생각을 많이 하게 해주었던 책으로 기억됩니다.

    • 공돌이 2009.06.08 09:55  Address |  Modify / Delete

      비전공자들이 보기에는
      다소 어려운 용어들이 있었겠네요 ^^
      감사합니다. ^^