주요정보통신기반시설을 보유한 기관은 정보통신기반보호법에 따라 연 1회 취약점을 점검해야 한다. 금융기관은 전자금융거래법에 따라 취약점 분석을 연 1회 이상 실시해야 한다. 점검대상은 컴퓨팅 서버, 웹서버, DB서버이며 경우에 따라 네트워크 장비까지 포함된다.
현재까지 취약점 점검은 대부분 정보보호 컨설팅 전문업체의 진단을 통해 진행되어왔다. 컨설턴트들은 적게는 수십 대, 많게는 수백 대 서버에 대해 서버별로 취약점을 점검하고 결과를 취합해 전체 결과를 리포팅 해왔다.
그러나 현재까지의 방식은 대부분 수작업으로 수행되어 네 가지 단점이 존재할 수밖에 없었다.
첫번째, 새로 나온 취약점에 대한 실시간 점검이 불가능했다. 두번째, 1년에 1회 수행하기 때문에 상시적인 점검이 불가능했다. 세번째, 신규서버 도입시 즉각적인 취약점 점검이 불가능했다. 마지막으로, 점검에 시간이 너무 오래 소요됐다. 때문에 전수검사 대신 샘플링검사로 결과를 보고하는 경우도 간혹 존재할 수밖에 없었다.
서버 취약점 점검 솔루션은 위 네 가지 문제를 단번에 해결해줄 수 있는 해결책이다. 그럼에도 불구하고 해당 솔루션 도입은 빠르게 확대되지 않고 있다. 서버 에이전트 설치 부담감 때문이다.
서버에 에이전트를 설치하는 것은 서버담당자의 상당한 저항을 넘어서야 하는 일이다. 물론 서버에 에이전트를 설치하지 않고도 에이전트-리스(Agent-Less) 방식으로 점검을 진행할 수 있다. 그러나 해당 방법은 사내 모든 서버의 계정, 패스워드 정보를 취약점 점검 솔루션이 보유할 수밖에 없기 때문에 보안관점에서는 위험성이 크다. 솔루션이 오남용되면 모든 서버가 공격에 노출될 수도 있기 때문이다. 반면 에이전트 방식은 서버에 대한 계정정보나 패스워드 정보를 전혀 활용하지 않기 때문에 보안성은 훨씬 높다.
그러나 ‘에이전트 설치방식’은 서버 성능과 안정성 저하 우려 때문에 서버 취약점 점검시 선뜻 도입되기 어려웠다. 에이전트 방식의 장점과 서버담당자의 부담을 한꺼번에 해결해주는 유일한 방법은 결국 기존 서버에 설치된 보안 에이전트에 취약점 점검기능을 추가하는 것이다.
소만사 ‘서버아이(Server-i)’는 누적으로 3만여대 서버에 에이전트가 적용되어 있다. 기존버전은 주요 데이터 관련 리스크를 분석해왔다. 파기한 개인정보가 여전히 남아있는지, 기밀정보 도면이 무단보관 되어있는지, DMZ구간에 암호화되지 않은 개인정보 Table이 존재하는지 검출하여 전사적인 데이터 리스크를 관리하는 역할을 수행해왔다. 파일은 물론이고 이미지까지도 검출해왔다.
소만사(김대환 대표)는 올해 ‘서버아이’에 ‘서버 취약점 점검기능’을 추가한 5.0 버전을 출시했다. 따라서 데이터 리스크 분석과 동시에 서버 취약점을 한 번에 점검, 대응할 수 있게 되었다.
또 이미 엔드포인트(PC) 취약점 점검솔루션 ‘Privacy-i 지키미(프라이버시아이 지키미)’를 보유하고 있어, 향후 엔드포인트와 서버취약점을 통합하여 전사적인 취약점 인프라를 고객들에게 제공하고자 한다.
소만사 연구개발 총괄 김태완 연구소장은 “아무리 다양한 방법으로 해킹을 시도하더라도 취약점이 없으면 대부분 실패한다. 최근 급증한 랜섬웨어는 공격은 서버를 타깃으로 전사업무를 마비시키고 있는데 사전에 취약점을 점검하고 보완한다면 예방할 수 있다. 서버 취약점 점검과 보완은 기본 중의 기본이다. “라고 말했다.
이어서 “그러나 PC와 달리, 서버는 아직까지도 수작업에 의존하는 경우가 많아서 상시점검, 실시간대응이 어려웠다. 따라서 해킹위협에 노출되는 경우가 많았다. 소만사는 EDR(엔드포인트 위협 탐지 및 대응), 유해사이트 차단 솔루션을 통해 악성코드 및 취약점 분석역량을 꾸준히 축적해왔다. 또한 컨설팅 프로젝트를 통해 7년간 50여개 기관의 주요기반시설 취약점점검을 수행해왔다. 소만사는 해당 경험을 바탕으로 엔드포인트, 서버를 모두 통합하는 전사적인 취약점 점검 및 보완 인프라를 제공하고자 한다“고 말했다.
◈ 국내 최대 의료기관 개인정보보호&정보보안 컨퍼런스 개최(MPIS 2021)
-개최일: 2021년 7월 6일(화)
-장소: 서울 양재동 더케이호텔서울 2층 가야금홀
-참석대상: 국내 모든 의료기관 개인정보보호·정보보안 책임자 및 실무자 / IT시스템 관리자 / 의료 관련 공공기관 담당자 등 300여 명
-보안교육이수: 7시간 인정
-비용: 병원 및 의료 관련 공무원은 무료 참관 (이외 유료)
-사전등록: 클릭
★정보보안 대표 미디어 데일리시큐!★
