지능화되는 사이버 공격으로부터 중요 정보와 IT 시스템을 보호할 수 있는 가장 근본적인 대책은 공격을 당할 가능성이 있는 취약점을 없애는 것이다.
지능형 공격은 공격 방식이나 공격루트 등이 정해져 있지 않으며, 지속적으로 공격을 가하기 때문에 IT 체질 자체가 강력해지지 않으면 방어가 불가능하다. 이 때문에 최근 보안 취약점을 자동화 관리해주는 솔루션이 각광을 받고 있다.
포지티브테크놀로지스는 2012년 국내영업을 처음 시작하고 지난해 지사를 설립하면서 국내 주요 통신사, 금융기관, 그룹사, 공공기관 등 굵직한 레퍼런스를 확보해 업계의 주목을 받고 있다.
연 1~2회 정기점검으로 지능형 공격 못막아
국내 보안 취약점 관리 솔루션 시장은 눈에 띄는 성장을 보인 적이 거의 없다. 대부분의 경우 공공기관이 컴플라이언스를 위해 연 1~2회 정기적으로 보안 취약점 점검을 실시하는데, 취약점 점검 서비스를 제공해주는 컨설팅 업체가 대체로 이 업무를 수행한다.
컨설팅 업체들은 오픈소스로 제공되는 취약점 관리 솔루션을 이용하거나 자체개발한 솔루션을 사용한다. 이러한 솔루션은 취약점 탐색이 자동화 되지 않아 수작업에 의존하며, 새로운 보안 위협에 대한 업데이트도 늦는 편이다. 따라서 컴플라이언스만을 위한 취약점 점검은 지능화 되는 공격을 방어하는데 거의 도움이 되지 않는다.
취약점 점검 솔루션은 기업/기관의 시스템 내에 구축돼 상시 모니터링을 통해 취약점을 찾아내며, 자동화된 취약점 점검도구를 이용해 관리자의 수작업이 거의 필요없다. 시스템 자체가 갖고 있는 취약점 뿐 아니라 운영상에서 발생하는 취약점을 찾아주기 때문에 사이버 공격자가 노리고 있는 알려지지 않은 취약점 공격으로부터 시스템을 보호할 수 있다.
우병기 포지티브테크놀로지스코리아 지사장은 “포지티브테크놀로지스는 외산 솔루션 중 가장 먼저 2012년 안전행정부의 취약점 관리 항목을 만족시키는 정책을 적용했으며, 미래창조과학부에서 요구하는 관리항목도 모두 만족시킬 수 있다. 모두 한글화 지원이 가능해 관리의 복잡성을 현격하게 낮출 수 있다”고 말했다.
그는 “또한 KPI 지원이 가능하며, 고객이 정한 취약점 점검 항목이나 보안 규제에도 유연하게 대응할 수 있다. 고객이 자유롭게 정책설정을 할 수 있어 특수한 환경에 맞춤형 취약점 관리가 가능하다”고 덧붙였다.
하반기 시큐어코딩·웹방화벽 출시
이 회사의 ‘맥스 패트롤’은 서버, OS, DB 등 인프라 뿐 아니라, ERP, SCADA와 같은 산업제어 설비, 코어 뱅킹 시스템, 통신 시스템 등 다양한 환경을 지원하기 때문에 여러 형태의 사이버 테러로부터도 IT 자산을 보호할 수 있다.
특히 우리나라에서 원전안전에 대한 관심이 높아지면서 사회기반 시설에 대한 사이버테러를 경계해야 한다는 목소리가 높다. 포지티브는 SCADA 시스템 지원 기능을 더욱 부각시켜 국내 주요 설비에 대한 공격을 방어할 수 있는 전략으로 소개하고 있다.
한편 포지티브테크놀로지스는 하반기 소스코드 취약점 관리 솔루션 ‘애플리케이션 인스펙터’와 웹방화벽 ‘애플리케이션 파이어월’을 새롭게 출시할 예정이다. 이를 통해 IT 인프라의 보안 취약점 뿐 아니라 소프트웨어, 웹에 이르는 IT 전반의 취약점을 제거, 지능형 공격에 대한 전방위적인 방어 전략을 제공할 수 있다.
우병기 지사장은 “보안 취약점을 찾아내는 것 만큼 관리도 중요하다. 실제로 취약점 관리 솔루션을 도입하고도 관리가 어려워 사용하지 못하는 경우도 많다”며 “취약점 관리 솔루션은 관리와 운영, 적용이 손쉽고, 자동화된 운영환경을 제공해야 한다. 일시적인 취약점 점검으로는 지능형 공격을 막을 수 없다”고 말했다.
그는 “최근 지능형 공격이 대기업 뿐 아니라 중소기업도 노리고 있으며, 중요정보와 개인정보 유출사고가 중소기업에서도 발생하면서 취약점 점검 솔루션의 저변이 넓어지고 있다. 특히 한국에서는 전 세계에서 주목할만한 대형 사고가 잇따르고 있기 때문에 취약점 점검에 대한 관심이 높아져 성장 기회가 더욱 많아질 것으로 예상한다”고 말했다.
