신호와 소음

빅데이터 업계에서 유명한 송길영 다음소프트 부사장의 추천사가 이 책을 잘 요약하고 있다.

'예측이 실패하는 이유는 데이터의 부족이 아니며, 정보가 늘어나면 당연히 소음도 늘어난다. 예측의 성패는 소음의 효과적인 제거에 있다.'

저자는 '베이지안 확률'을 통해 효과적(?)으로 소음을 제거하는 방법을 소개하고 있다.

베이지안 확률은 영국의 '토마스 베이즈'가 개념을 제시하고, 프랑스의 '피에르 시몽 라플라스'가 완성한 '조건부 확률 이론'이라고.

개인적으로 꽤 익숙한 용어인데, 정보보안 또는 정보기술 분야 초창기부터 스팸메일 필터링 알고리즘의 하나로 사용되어온 '베이지안 확률'이 낯선 용어일 수가 없다.

Snort Install Guide

책을 내면서 실습 가이드를 제공하지 않아 독자분들께 죄송했는데, 이제나마 Snort를 쉽게 테스트할 수 있는 가이드를 제공하고자 한다.

사실 인터넷에 널린 게 설치 가이드라 집필 당시엔 이게 필요할까 싶었는데, 의외로 책 출간 후 가장 많이 받았던 문의가 'Snort 설치'였고, 그 다음으로 많았던 게 공격 로그를 보고 싶다, 또는 만들고 싶다거나 책에 소개된 공격 로그를 얻을 수 있느냐는 문의였다.

문의를 주신 많은 분들이 보안장비를 이용해서 공격 탐지 및 분석 경험을 쌓고 싶어 한다. ‘보안’하면 해커가 먼저 떠오르는 상황에서 공격을, 공격 방법을 더 궁금해하는 마음은 충분히 이해가 간다.

분명 책에 소개한 몇가지 공격 로그를 직접 분석해보는 건 도움이 될 것이다. 하지만 그것에만 그친다면 얻는 것은 많지 않다. 제일 좋은 건 Snort를 직접 운영하면서 발생한 로그를 책에 소개한 방식을 응용해서 분석해보는 것.

CxO가 읽어야할 정보보안

뻔한(?) 책이 아닐까 했는데 저자가 현장을 상당히 많이 경험해 본 분이라는 생각이 들었다. 몇몇 구절때문에 이런 상사밑에서 일하면 일할 맛이 좀 나지 않을까 싶다.

좀 살펴보자면,

(43페이지) 정보보호 조직장의 직급과 직책을 전사적으로 힘을 발휘할 수 있는 수준으로 만들어야 한다. 일할 수 있는 환경을 만들어 주고 일을 시켜야 일이 제대로 돌아간다.

→ 일하는 환경은 관심 없는 상사가 있다. 타 부서에 지시할 권한이 없는데 자꾸 지시하라고 시킨다. (본인은 절대 나서지 않는다)

→ 현실적인 한계를 건의해도 '적극적, 능동적' 자세나 정신력을 강조하며 막연하게 뭔가 더 열심히 할 것을 지시한다.

강의 영상

운좋게 독자분들과 제 책에 대해 이야기할 수 있는 기회를 갖게 되었습니다. 부족하다고 느꼈던 집필 배경이나 목적에 대해 이야기하는 시간을 가졌구요.

아주 중요한 거짓말

2005년에 '너는 내 운명'이란 영화를 보고, 특히 마지막 장면에서 정말 펑펑 울었던 기억이 난다. (옆자리 그녀는 물론이고 앞사람, 뒷사람, 남자, 여자 할 것 없이 전부 펑펑 울어서 전혀 창피하지 않았음)

실화를 소재로 한 영화라고 해서 에이즈에 걸린 게 감옥에 갈 죄인가? (매춘땜에 감옥간 건가?) 에이즈에 걸린 여주인공의 남편은 괜찮나? 애는 안 낳았나? 이런 의문이 잠깐 들기도 했었다.

책 말미에 그 영화의 소재로 추정되는 사례가 소개된다. (한국 출판을 위해 추가 집필을 했나 봄)

사회적 혼란(?)을 일으켰다는 이유로 그녀는 감옥에 가야했지만 그녀의 남편도, 아이들도, 그녀가 매춘을 했다는 지역에서 검사를 받은 3만여 명의 남자들도 모두 '음성' 판정을 받았다고.

Lemons Market

브루스 슈나이어는 암호화 알고리즘(Blowfish와 Twofish)을 개발한 암호학자로도, 보안회사를 창업한 이력으로도 유명하지만, 일반적인 (주로 기술적 이슈만을 얘기하는) 보안전문가와는 다른 차원의 언행으로 특히 유명한 보안전문가이다. 그런 그가 최근에 이런 얘길 했다.

For most of its life, the security industry has been plagued with the problems of a 'lemons market', akin to the market for second-hand cars, Schneier maintained.

보안 시장이 (품질 정보의 비대칭 때문에 불량품만 존재하는) 레몬 시장과 같다는 얘기인데, 이미 2009년 보안 연극(security theater)으로 업계의 눈총을 받은 슈나이어만이 할 수 있는, 뼈 있는 주장이 아닐까 싶다.

알고 보면 쉬운 정보보안

정보보안이 어렵다고 한다. 사람은 부족하고, 기술은 어렵고, 사고나면 실무자는 잡혀가고(..) 왜 이렇게 어려운 것일까?

일단 눈에 보이지 않고, 손에 잡히지 않는다. 인간은 원래 본 적이 없고, 경험한 적이 없는, 한마디로 예측이 어려운 분야를 싫어한다. 어떤 위험이 도사리고 있는지 알 수 없기 때문.

그래서 인간은 모르는 위험보다 알려진, 눈에 잘 띄는 위험을 선호하는 쪽으로 태고적부터 프로그래밍되어 왔다. 그런 인간이 0과 1의 전기 신호로 만들어진 사이버 세상에서, 같은 전기 신호로 만들어진 공격과 방어를 논하는 게 쉬울리 없다.

두 번째로 인간의 본능이 그렇다보니 정보보안 분야는 (다른 분야도 마찬가지지만) 의식, 무의식적으로 눈에 보이는 상황을 유도하게 되었다. 누군지 알 수 없는 해커보다는 북한, 뭘 하는지 알 수 없는 보안관제보다는 비상근무.