軍 사이버부 첫 해킹 '망분리 안전' 오판 노렸다

분리된 공간 잇는 지점 단 한 곳이라도, 해커 표적될 수 있어

[머니투데이 진달래 기자] [분리된 공간 잇는 지점 단 한 곳이라도, 해커 표적될 수 있어]

우리 군의 사이버작전을 총괄하는 국군 사이버사령부(이하 사이버사) 서버가 외부 해킹된 것으로 알려진 가운데 추가적으로 외부 인터넷과 차단된 내부 인트라넷까지 뚫린 것으로 확인됐다. 보안 전문가들은 외부 인터넷과 분리된 내부망 역시 언제든 외부 해커에 노출될 수 있고, 공격자들이 지속적으로 이를 노리고 있다는 사실을 다시 한번 보여준 사례로 보고 있다. 군 외에도 망 분리를 도입한 공공·금융기관의 내부망 보안 관리에도 빨간불이 켜졌다.

6일 국방부에 따르면, 지난 9월 사이버사의 백신중계서버에 악성코드 감염 징후가 감지됐는데, 추후 조사 진행 중 외부망 뿐 아니라 내부망 일부 PC에서도 동일한 악성코드가 감염됐다는 사실을 추가로 확인했다. 국방부는 국방사이버 합동조사팀을 구성해 관련 내용을 조사한 결과, 일부 군사자료(군사비밀 포함)가 유출됐다고 밝혔다. 군은 정부기관과 마찬가지로 외부 인터넷에 접속할 수 있는 외부망과 별도로 분리된 내부망을 운영해왔다.

보안전문가들은 망 분리가 ‘만병통치약’이 아니라고 강조한다. 외부 공격이 들어오는 통로를 최소화할 수는 있지만, 모든 통로가 차단되지 않아서다. 망분리가 됐어도 업무 연속성, 시스템 운용 등을 위해 내부와 외부망을 연결하는 접점은 있을 수밖에 없다. 망 연계솔루션, USB 등 외부매개체, 중계 서버 등이 그 접점일 수 있다. 때문에 외부망으로 들어온 공격자가 APT(지능형지속위협) 공격 방식으로

이런 접점의 취약점을 지속적으로 두드려 내부망까지 침입할 수 있다는 것이 보안 전문가들의 설명이다. 아직 명확한 경로는 확인되지 않고 있지만, 보안이 허술한 접점을 악용해 사이버사의 내부망 PC속 정보에 접근했다는 추론이 가능하다. 망분리 시스템이 100% 보안을 담보하지 않는다는 사실은 이전에도 수차례 지적돼 왔다.

앞서 한국수력원자력 정보유출 사고 당시에도 ‘망 분리 시스템’ 보안 안전성에 대한 과대 평가가 영향을 미쳤다는 분석이다. 한수원측은 당시 원전 제어망은 사내 업무망, 외부 인터넷망과 분리됐다며 해커가 원전 제어망에 들어와 조작할 수 없다고 밝혔지만, 전문가들은 이를 위험한 인식이라고 비판했다. 이미 여러 국제 해킹 콘퍼런스에서 망분리를 우회해 공격하는 다양한 기법들과 악성코드들이 다수 보고됐기 때문. 이로 인해 다른 보안 관리가 허술해지는 상황을 경계했다.

한 보안전문가는 “공공기관, 금융권 등도 망분리 의무 도입이 시행되면서 자칫 망분리 만으로 외부 공격이 차단된다고 믿는 경향이 있다”며 “상대적으로 공격 지점이 줄어 관리가 용이 해지는 것일 뿐”이라고 설명했다. 이중 잠금장치 시스템 등 별도 보안 관리는 여전히 중요하다고 강조했다.

한편 군은 현재까지 이번 해킹이 북한 소행이라고 추정하고 있다. 지난 9월 23일 사이버사령부의 백신 중계 서버에 악성코드 감염 징후가 감지됐고, 해커는 육·해·공군의 인터넷 접속용 공용 PC 2만 여대의 백신중계 서버로 침투한 것으로 밝혀졌다. 사이버사령부는 지난 9월 25일 자정을 기해 백신 중계 서버의 네트워크를 분리했지만 이미 악성코드에 감염된 PC가 좀비 PC로 전락했을 가능성을 배제할 수 없다.

진달래 기자 aza@mt.co.kr

<저작권자 ⓒ '돈이 보이는 리얼타임 뉴스' 머니투데이, 무단전재 및 재배포 금지>