[20110407] DDoS 공격 시사점과 향후 대응방안 – 패널토론
DDoS 공격 대응 워크샵 패널토론 - DDoS 공격 시사점과 향후 대응방안
1) 박철순(방통위 팀장)
좀비PC가 피해자이면서 가장 큰 문제가 된다. 7.7(2009)때는 11만 5천, 3.4(2011)는 11만 6천 대의 좀비PC가 생성되었고 3.4 공격이 더욱 지능화된 공격이었지만 7.7이후 대응이 잘 이루어졌기 때문에 피해가 적었다고 할 수 있다(민/관이 조기 탐지 및 대응). 향후 공격자의 더 지능적인 공격이 예상된다. 현재 인터넷 진흥원에 의한 웹하드 실태조사 및 보안점검이 이루어지고 있으며 4월경 악성코드 확산 방지에 관한 법률이 제정될 예정이다.
2) 김영민(중앙지검 검사)
3.4와 같은 대규모 ddos 공격에 대해 대응은 잘 되었지만 수사적인 측면에 대한 고려는 부족하다고 할 수 있다. 공격이 발생하면 대응하기 위한 백신뿐만 아니라 증거 수집이 범인검거에 무엇보다 중요하다. 백신은 예방에는 효과적이지만 증거를 훼손시킨다. 따라서 범인 추적의 문제를 해결해야 할 필요가 있다. 또한 DDoS 공격의 원인이되는 악성코드를 유포하는 통로인 업체에 대해 공격 방지를 위한 역할 부여가 필요하다.
3) 성재모(금융보안연구원 본부장)
7.7, 3.4 이외에도 공조가 이루어져야 한다. 예전부터 Spoofing 된 IP로 부터의 공격은 차단해야 한다고 말해왔는데 대형ISP의 경우 이제는 차단되고 있다. 좀비 PC만 문제가 아니라 사업자가 네트웍은 대응해줘야 하며 ISP 단에서 Flooding 공격은 차단해야 한다. 3.4 때 시행한 것처럼 공격 발생시 백신 설치 등 대응을 하기 위한 팝업 알림이 ISP의 역할이라고 할 수 있다. 작년 1800여대의 웹서버에서 악성코드가 유포되었다. 정부차원의 대응이 필요하며 악성 웹하드의 모니터링이 중요하다. KISA에서 어느 IP가 좀비PC인지 탐지는 하지만 ISP와의 연계가 좀 안되는 것 같다.
4) 류재철(충남대 ITRC 센터장)
북한에는 기술정책조 산하 사이버전 대응 조직이 있는데 대학이 중심에 포진되어 있다. 국내의 경우를 보면 1년에 600여명의 정보보호 인력이 배출되고 있다. 정부의 지원을 살펴보면 대학원의 경우 현재 정보보호관련 ITRC 2개 대학 지원, 고용계약형 과정 4개 대학이 지원받고 있으며 학부에는 방송통신위원회-KISA 에서 해킹 동아리를 지원하고 있다. 이것은 북한 대비 정부지원이 미흡함을 보여준다. 2000년 초반 해커 대량 검거로 인해 많은 수의 해커가 게임업계로 전향하였으며 현재 국내의 해커들은 새로운 기술을 연구하는 것이 아니라 모방 해킹만 하는 수준이다. 미국의 경우 대학지원이 법령으로 제정되었다(123개 대학 지원). 또한 사이버 보안 교육 강화법의 제정이 준비 중이다.
국내 전문 인력 양성 및 투자가 없다. 따라서 다음의 3가지를 지원해주면 좋겠다. 첫 번째, 대학원부터의 공부는 늦다고 할 수 있다. 따라서 학부 지원, 더 나아가 고교생 지원이 필요하다. 두번째, 1~2년이 아니라 장기적 지원이 필요하다. 세번째, 다양한 지원이 필요하며 형태 및 연구분야를 자유롭게 할 필요가 있다.
5) 조시행(안철수연구소 상무)
3.4 DDoS를 보면 공격이 예측 불가능하고 상황에 따라 변화되었다. (18:30분 공격 -> 대응 -> 10시 일제공격). 안랩에서는 클라우드 기반 V3 Lite로 대응하고 있다. 이제는 제품으로 대응하는 것이 아니라 서비스로 대응해야 한다. 따라서 제품이 아니라 서비스에 대한 가치를 어떻게 인정할 것인가에 대한 고민이 필요하다. 또한 정보공유(주고받기)의 가치를 인정해야 한다. 정보가 없는 쪽은 정보를 구매해야 한다. 정부와 민간업체(고객중심)의 관점차이가 있는 것을 인정해줘야 하며 비용이 아닌 투자로 공동 대응해야 한다.
6) 이명수(KISA 본부장)
전국 PC 3100만대, 서버 900만대 총 4000만대가 있다. 안전한 PC 사용을 위해 클린 PC만 네트워크에 엑세스하는 기법(격리네트웍)이 있는데 네트워크에 엑세스할 경우 웹하드 설치로 또 다시 감염되므로 무의미한 것 같다. 클라우드 기반이 되면 씬 클라이언트로 해결되겠지만 현재로는 불가능하며 추후에나 가능하다. DNS 쿼리 분석을 통해 사전에 찾는 방법도 있다. 공조를 통한 차단 등이 중요하다. DDoS 대응에는 각자의 사정 때문에 힘들지만 (백신 설치로 인한 컴퓨터 느려짐, 귀찮음 등) 결국 각자의 인식제고가 중요하다.