 |
| 추억의 람보 형님 |
전 국민이 람보가 될 수 있는지는 둘째치고, 과연 그랬다면 우리의 소원인 통일이 진작에 이뤄졌을까?
람보는 주요 시설을 파괴하거나 요충지 점거 등을 수행하는, 한마디로 '특수'한 임무를 수행하는 특수부대 출신이다.
그러나 '특수부대 사전 침투 > 대규모 공습 > 지상군 투입' 순으로 이루어진 이라크 전에서 알 수 있듯이 특수부대만으로는 전쟁을 수행할 수 없다.
더 설명이 필요할까마는 굳이 이유를 달자면 특수부대는 공격 전력의 일부분일 뿐이며, 공격만큼이나 방어 역시 전쟁에서 반드시 필요한 개념이기 때문. 아니었음 휴전선 지킬 자원으로 특수부대 늘렸겠지.
 |
| 양복 안 입은 사람들이 우승팀 |
당연히 기사들이 쏟아졌다. 그런데 그 많은 기사에 공통적으로 등장하는 문구가 하나 있다.
바로 '사이버 보안 강국'
이들이 글로벌 인재로 지속적으로 성장하는 토대를 만드는 것이 우리 사회 책임이며 사이버 안보 강화 첫걸음 - 전자신문
글로벌 경쟁력을 갖춘 화이트해커 및 사이버보안 인력 양성에 더욱 집중해, 국민들이 안심하고 생활할 수 있는 사이버안보 강국으로 발돋움하는데 기여할 것 - ciokorea
내년에도 2연패해서 사이버 보안 강국의 초석이 되길 - 오마이뉴스
 |
해킹대회는 해킹 실력이 우수한 해커를 뽑는 대회이며, 해킹은 사이버 세상에서 상대의 방어 체계를 무력화하고, 나아가서 상대의 정보를 유출 또는 파괴하는 행위이다.
즉 해커는 공격이 전문인 사이버 세상의 특수부대이다. 그간 무수한 해킹사고들이 대한민국에서 발생했다.
이제 한국에 해킹 공격을 제일 잘하는 1등 해커가 나타났으니 그 동안 공격을 하던 해커들이 무서워서 해킹을 중단할까?
'최선의 방어는 공격'이라는데, 뛰어난 해커들이 공격자를 먼저(?) 공격해버리면 해킹사고가 줄어들지 않을까?
그런데 잠깐
공격은 적을 먼저 정의해야만 실행할 수 있다. 전 세계가 국경없이 케이블로 연결된 사이버 세상에서는 과연 누가 적일까?
공격을 잘하면 공격에 이용되는 (소프트웨어 버그인) 취약점도 잘 아니 방어도 잘 할 것이다? 물론 가능성은 있다. 그런데 그 취약점이란 게 도대체 어느 정도의 규모일까?
아래 기사를 인용하자면 소프트웨어 개발 시 소스코드 1,000줄 당 최대 7개의 버그가 발생한다고 한다.
마이크로소프트 Windows의 소스코드는 수천만 줄에 달한다. 보안 패치가 끊임없이 나오는 이유가 있었던 것. 세상 모든 소프트웨어의 소스코드를 합쳐서 1억 줄, 버그는 1,000줄 당 하나라고 가정해도 취약점이 십만 개다. (현실은 맥OS만 하나만 해도 거의 1억 줄)
버그가 없는 완벽한 소프트웨어, 가능할까?
2015년 현재 미국 정부에서 관리하는 하드웨어, 소프트웨어를 총 망라한 취약점 개수는 약 7만 개. 하드웨어를 제외하면 알려진 소프트웨어 취약점은 7만 개도 안된다는 얘기.
이 얘기는 2014년을 떠들석하게 했던 'HeartBleed'처럼 몇 년만에 취약점이 알려진 경우는 오히려 행복한 사례이며 아직까지도 알려지지 않은 취약점이 사이버 세상에는 드글드글하다는 뜻이다. (취약점이 없어지길 기다리느니 차라리 해커들이 착해지길 바라는 게 빠를 듯)
많은 이들이 보안사고가 발생하기 전에 먼저 취약점을 찾고 미리 예방해야한다고 얘기한다. 사리에 맞아도 너무 맞는 말이며 절대 게을리해서는 안되는 일은 맞다.
그런데 만약 '살인 사건이 발생하기 전에 먼저 예비 살인범을 찾고 미리 검거해야 한다'는 주장을 펼치면 어떻게 될까? 또라이 취급이나 안 받으면 다행 아닐까? 결국 해킹은 범죄, 전쟁과 마찬가지인 사회 병리 현상의 하나이며 기술만으로는 해결하기 힘들다.
방어는, 감시는 누가 할 것인가? 누가 수많은 시스템과 네트워크의 로그를 분석하고 공격 징후를 찾아낼 것인가? 양성된 해커 중 대회에서 입상하지 못한 해커를 강제로 2교대, 3교대, 밀어내기 식 네트워크 감시 업무에 종사하게 할 요량인가?
배보다 큰 배꼽을 바라지만
개인적으로 더 많은 엔지니어(시스템, 데이터베이스, 네트워크, 소프트웨어 등등등)를 양성(?)해야 한다고 본다. 그런데 생각이 이쯤에 이르고 보니 그게 될까 싶다.
결국 정보보안은 정보기술에 종속된 분야다. 배보다 배꼽이 더 클 수 없듯이 정보기술이 발전하지 않으면 정보보안 역시 질적, 양적 발전을 기대하기 힘들다. (원천 기술과 시장을 가진 미국은 이런 고민에서 자유로울까?)
엘리트 스포츠 정책의 가장 큰 폐해는 저변 확대가 어렵다는 것이다. 정책의 수혜를 받지 못하는 나머지는 그저 구경꾼에 머물게 되며, 전체적인 질적 수준은 낮아진다는 것.
그럼에도 선호되는 이유는 성공했을 때 (금메달 몇 개 식의) 눈에 보이는 성과가 뚜렷하며, 덤으로 국민들에게 애국심과 자긍심까지 선사해주기 때문.
나랏님들이 해커 양성과 사이버 보안을 동일시하는 정책에 매달리는 게 이해가 간다. 특정 산업을 발전시키는 것보다는 특정 인력을 양성하는 게 훨씬 더 쉬울 뿐더러, 해커라는 단어가 주는 임팩트와 함께 국민들에게 세계 1등 해커를 보유했다는 안도감까지 심어줄 수 있으니.
방패보다 창을 먼저 발명한 인류의 역사나 시급 몇 백 원에 불과한 사병들이 지키고 있는 휴전선이 말해준다. 예나 지금이나, 현실이나 사이버 세상이나 방어는 영원한 비인기종목이라고.
관련 글
이제 한국에 해킹 공격을 제일 잘하는 1등 해커가 나타났으니 그 동안 공격을 하던 해커들이 무서워서 해킹을 중단할까?
'최선의 방어는 공격'이라는데, 뛰어난 해커들이 공격자를 먼저(?) 공격해버리면 해킹사고가 줄어들지 않을까?
그런데 잠깐
공격은 적을 먼저 정의해야만 실행할 수 있다. 전 세계가 국경없이 케이블로 연결된 사이버 세상에서는 과연 누가 적일까?
공격을 잘하면 공격에 이용되는 (소프트웨어 버그인) 취약점도 잘 아니 방어도 잘 할 것이다? 물론 가능성은 있다. 그런데 그 취약점이란 게 도대체 어느 정도의 규모일까?
아래 기사를 인용하자면 소프트웨어 개발 시 소스코드 1,000줄 당 최대 7개의 버그가 발생한다고 한다.
카네기 멜론 대학의 소프트웨어 엔지니어링 인스티튜트의 개발 방법 분석을 인용할 때 상업적인 코드는 일반적으로 코드 1000줄 당 하나에서 일곱 개 정도의 버그를 가지고 있다고
마이크로소프트 Windows의 소스코드는 수천만 줄에 달한다. 보안 패치가 끊임없이 나오는 이유가 있었던 것. 세상 모든 소프트웨어의 소스코드를 합쳐서 1억 줄, 버그는 1,000줄 당 하나라고 가정해도 취약점이 십만 개다. (현실은 맥OS만 하나만 해도 거의 1억 줄)
버그가 없는 완벽한 소프트웨어, 가능할까?
2015년 현재 미국 정부에서 관리하는 하드웨어, 소프트웨어를 총 망라한 취약점 개수는 약 7만 개. 하드웨어를 제외하면 알려진 소프트웨어 취약점은 7만 개도 안된다는 얘기.
이 얘기는 2014년을 떠들석하게 했던 'HeartBleed'처럼 몇 년만에 취약점이 알려진 경우는 오히려 행복한 사례이며 아직까지도 알려지지 않은 취약점이 사이버 세상에는 드글드글하다는 뜻이다. (취약점이 없어지길 기다리느니 차라리 해커들이 착해지길 바라는 게 빠를 듯)
많은 이들이 보안사고가 발생하기 전에 먼저 취약점을 찾고 미리 예방해야한다고 얘기한다. 사리에 맞아도 너무 맞는 말이며 절대 게을리해서는 안되는 일은 맞다.
그런데 만약 '살인 사건이 발생하기 전에 먼저 예비 살인범을 찾고 미리 검거해야 한다'는 주장을 펼치면 어떻게 될까? 또라이 취급이나 안 받으면 다행 아닐까? 결국 해킹은 범죄, 전쟁과 마찬가지인 사회 병리 현상의 하나이며 기술만으로는 해결하기 힘들다.
인류 문명이 사라지지 않는 한 범죄나 전쟁을 근절할 수는 없다. 그렇다고 손 놓고 구경만 할 수도 없는 노릇. 결국 최선은 공격과 방어의 균형을 잡는 것이다.
공격과 방어의 균형이 깨지면?
해킹대회 며칠 전, 북한군이 매설한 것으로 추정되는 지뢰로 인해 대한민국 군인 2명이 크게 다치는 사고가 있었다. (평생 불구로 살아야 하는 그들에게 어떤 말이 위로가 될 수 있을까? 그저 같은 일이 반복되지 않기만을 바란다.)
정부 발표에 따르면 북한군은 휴전선을 넘어와서 우리측 비무장지대에 지뢰를 심어놓고 돌아갔다. 그런데 북한군의 통행을 아무도 못 봤다. 특수부대더러 왜 휴전선 감시를 똑바로 하지 않느냐고 따지고 들 사안일까?
엄연히 휴전선 경계 부대의 감시 실패다. 물론 250km에 달하는 감시 범위 및 험한 지형 등의 어려움이 있겠지만 근본적으로 감시 인력, 시설 미비의 영향이 크다.뒤로 새는 돈만 없어도 휴전선이 더 안전할텐데
휴전선은 통행 자체가 이상징후다. 감시 기준이 이렇게 쉬운데도 잘 안 된다. 네트워크는? 전세계가 하나로 연결돼 있으며, 누구의 허락 없이도 자유로운 통행이 가능하다. 그야말로 무주공산.
그러나 현 정보보안 정책은 해커 양성 일변도를 벗어나지 못하고 있다. 해커는 (비공식적인 공격밖에 할 수 없는) 공격 전문가다. 현실적으로 종사 가능한 분야는 모의 해킹, 취약점 제거 정도. (물론 일하다 보면 복사 포함해서 이것저것 시키는 건 다 해야겠지?) 하나 더하자면 이미 터진 사고 분석.
공격과 방어의 균형이 깨지면?
해킹대회 며칠 전, 북한군이 매설한 것으로 추정되는 지뢰로 인해 대한민국 군인 2명이 크게 다치는 사고가 있었다. (평생 불구로 살아야 하는 그들에게 어떤 말이 위로가 될 수 있을까? 그저 같은 일이 반복되지 않기만을 바란다.)
정부 발표에 따르면 북한군은 휴전선을 넘어와서 우리측 비무장지대에 지뢰를 심어놓고 돌아갔다. 그런데 북한군의 통행을 아무도 못 봤다. 특수부대더러 왜 휴전선 감시를 똑바로 하지 않느냐고 따지고 들 사안일까?
엄연히 휴전선 경계 부대의 감시 실패다. 물론 250km에 달하는 감시 범위 및 험한 지형 등의 어려움이 있겠지만 근본적으로 감시 인력, 시설 미비의 영향이 크다.
휴전선은 통행 자체가 이상징후다. 감시 기준이 이렇게 쉬운데도 잘 안 된다. 네트워크는? 전세계가 하나로 연결돼 있으며, 누구의 허락 없이도 자유로운 통행이 가능하다. 그야말로 무주공산.
그러나 현 정보보안 정책은 해커 양성 일변도를 벗어나지 못하고 있다. 해커는 (비공식적인 공격밖에 할 수 없는) 공격 전문가다. 현실적으로 종사 가능한 분야는 모의 해킹, 취약점 제거 정도. (물론 일하다 보면 복사 포함해서 이것저것 시키는 건 다 해야겠지?) 하나 더하자면 이미 터진 사고 분석.
방어는, 감시는 누가 할 것인가? 누가 수많은 시스템과 네트워크의 로그를 분석하고 공격 징후를 찾아낼 것인가? 양성된 해커 중 대회에서 입상하지 못한 해커를 강제로 2교대, 3교대, 밀어내기 식 네트워크 감시 업무에 종사하게 할 요량인가?
배보다 큰 배꼽을 바라지만
개인적으로 더 많은 엔지니어(시스템, 데이터베이스, 네트워크, 소프트웨어 등등등)를 양성(?)해야 한다고 본다. 그런데 생각이 이쯤에 이르고 보니 그게 될까 싶다.
결국 정보보안은 정보기술에 종속된 분야다. 배보다 배꼽이 더 클 수 없듯이 정보기술이 발전하지 않으면 정보보안 역시 질적, 양적 발전을 기대하기 힘들다. (원천 기술과 시장을 가진 미국은 이런 고민에서 자유로울까?)
엘리트 스포츠 정책의 가장 큰 폐해는 저변 확대가 어렵다는 것이다. 정책의 수혜를 받지 못하는 나머지는 그저 구경꾼에 머물게 되며, 전체적인 질적 수준은 낮아진다는 것.
그럼에도 선호되는 이유는 성공했을 때 (금메달 몇 개 식의) 눈에 보이는 성과가 뚜렷하며, 덤으로 국민들에게 애국심과 자긍심까지 선사해주기 때문.
나랏님들이 해커 양성과 사이버 보안을 동일시하는 정책에 매달리는 게 이해가 간다. 특정 산업을 발전시키는 것보다는 특정 인력을 양성하는 게 훨씬 더 쉬울 뿐더러, 해커라는 단어가 주는 임팩트와 함께 국민들에게 세계 1등 해커를 보유했다는 안도감까지 심어줄 수 있으니.
방패보다 창을 먼저 발명한 인류의 역사나 시급 몇 백 원에 불과한 사병들이 지키고 있는 휴전선이 말해준다. 예나 지금이나, 현실이나 사이버 세상이나 방어는 영원한 비인기종목이라고.
 |
| 더 테러 라이브 |
관련 글
댓글 없음:
댓글 쓰기