지난달 18일 새벽 3시 20분. 국정원 국가사이버안전센터(NCSC. National Cyber Security Center) 상황실에서 이상 징후가 탐지됐다. 이 시간이면 모두들 잠들 시간인데 홍릉에 있는 고등과학원 연구원 컴퓨터에서 5분 동안 1000여 건의 정보를 내보내는 것이 감지된 것이다.
분석결과 유럽 동남부 발칸반도에 있는 마케도니아 해커가 고등과학원 연구용 컴퓨터를 경유, 일본 기상청과 재팬텔레콤을 해킹하기위해 신호를 보내는 것으로 확인됐다. 즉시 국정원 직원은 핫라인을 이용해 고등과학원 관제센터에 연락했고, 고등과학원은 외부로 나가는 인터넷 선을 모두 차단했다. 지금 이 시간에도 NCSC 상황실에서 시시각각 벌어지고 있는 실제상황이다.
전산망 24시간 모니터링…정부전산망 공격시도 하루 1억건
공공분야 사이버안전업무와 국가차원의 사이버안전 컨트롤타워 역할을 하는 NCSC가 국정원에 설립된 것은 2004년 2월이다. NCSC는 국가사이버안전정책을 수립하고, 보안사고 예방, 침해사고 대응과 함께 국가기관 전산망을 24시간 모니터링 한다.
| |
 |
|
| |
| |
국가기관 전산망을 24시간 모니터링하는 국정원 사이버안전센터 직원들. |
|
| |
NCSC 상황실에 있는 종합보안관제시스템은 정부망에서 바이러스나 해킹 시도로 보이는 비정상적인 신호를 자동으로 걸러낸다. 정부전산망에 대한 공격시도는 하루 평균 1억1000만건. 바이러스에 감염된 컴퓨터 하나가 다른 컴퓨터를 하루에 100만건 이상 공격할 수 있는 상황에서 일일이 사람이 찾아내는 것은 불가능하다.
센터의 분석시스템은 이 가운데 해당기관이 충분히 막아낼 수 있는 공격은 무시하고 특별관리 할 것들을 골라낸다. 이것이 9000여건 정도 된다. 이를 다시 NCSC 직원들이 분석해 ‘사고’로 분류 관리하는 것이 하루에 100~150건에 달한다.
이밖에도 센터 보안프로그램은 27만개 정도의 주요한 홈페이지를 정기적으로 돌면서 악성코드에 감염됐는지를 확인하고 이상 징후가 발견되면 해당기관에 알려준다.
지난 4월에도 국내 중앙일간지의 여행상품홈페이지에 악성코드가 심어져 유통되는 것을 사전에 탐지하고, 한국정보보호진흥원에 보안대책을 지원하도록 조치했다.
초기에는 국정원 소속기관이라는 점에서 관제 서비스 위탁을 꺼려했지만, 요즘에는 탁월한 관제능력 때문에 위탁신청기관이 줄을 잇고 있다. 특히 지난해 전국 종합병원들이 전산망 안전성을 점검한 이후, 전국 20개 병원에서 보안 관제를 요청해왔다. 이에 따라 센터는 병원 전산망을 사이버 공격으로부터 24시간 보호하고 있다.
정보통신 성장제일주의가 빚은 ‘1·25 인터넷 대란’
이처럼 사이버 공격에 대한 24시간 보안관제가 시작된 것은 참여정부 들어서부터다. 센터설립 이전까지만 해도 사이버 보안은 인터넷 서비스 제공 업체나, 해당 기관의 책임으로 여겨졌다. 정부기관이 새 전산시스템을 도입하면 국정원 직원이 구축과정에서 모의해킹 등을 통해 취약점을 찾아 보완점을 찾아내거나, 보안사고가 나면 사후에 관리하는 정도였다.
사이버 안전체계에 획기적인 전환을 가져온 것은 2003년 ‘인터넷 대란’이다. 고난과 시련을 통해 단련되는 것은 사이버 공간도 마찬가지인 셈이다.
그해 1월 25일 오후 광화문 등 서울 도심에서 인터넷 서비스가 불안정해지기 시작했고, 불통사태는 두시간만에 서울 경기지역으로 확산됐다. 당시 3대 인터넷데이터센터인 한국인터넷데이터센터, 지엔지네트웍스, 케이티 서버가 불통되면서 전자상거래, 금융, 예약 서비스가 전면 중지되고 국민은 혼란에 빠졌다.
뒤늦게 악성프로그램인 ‘슬래머 웜’에 감염된 컴퓨터가 인터넷을 중계하는 서버를 공격하고, 감염된 서버가 다시 바이러스를 개인용 컴퓨터로 퍼뜨리면서 핵분열처럼 확산된 것으로 조사됐다. 민간과 공공영역에서 악성 프로그램의 위험에 대한 경고는 끊임없이 제기됐지만 실제로 인터넷 마비로 국가 전체를 혼란상태에 빠뜨릴 수 있다는 것이 확인된 것은 1·25 인터넷 대란이 처음이었다.
인터넷은 이날 저녁 무렵부터 정상을 되찾았지만 문제는 이처럼 국가적인 사태가 발생했는데도 명확하게 책임질 기관이 없었다는 점이다. 사이버안전에 대한 준비없이 확장에만 주력했던 우리나라의 정보통신정책이 가져온 결과였다.
당시 상황에 대해 국정원 관계자는 “대란이 벌어졌는데도 인터넷 서비스 제공업체에게만 맡기고 정부는 그저 뒷짐만 지고 있는 형국이었다”고 말했다.
| |
 |
|
| |
| |
사이버안전센터가 발령하는 사이버위협경보. |
|
| |
인터넷 대란 한 달 뒤 취임한 노무현 대통령은 처음으로 국정원을 방문한 자리에서 1·25 인터넷 대란 후속조치를 보고받고, 다시 이러한 사태가 발생할 경우 국정원에 책임을 묻겠다며 종합적인 대책마련과 함께 권한을 부여했다.
“다시 이런 일이 생기면 국정원에 책임을 묻겠다”
이후 새로운 안보 위협인 사이버 공격에 대비하기 위해 ‘국가사이버테러대응 기본계획’이 마련됐다.
그해 11월 국방부 기무사령부에 사이버 전쟁에 대비한 ‘국방정보전대응센터’가, 12월에는 행정자치부 ‘전자정부보안관제센터’, 정보통신부 산하 정보보호진흥원(KISA)에 ‘인터넷침해사고대응지원센터’가 설립됐다. 그리고 이듬해 2월 국가차원의 사이버안전 사령탑인 ‘NCSC’가 국정원에 설립됐다. 사이버 공격에 대비한 인터넷 보안 4인방이 구축된 것이다.
이 가운데 컨트롤 타워 역할을 하는 NCSC는 각 기관의 보안관리수준 평가, 안전측정, 정보보호제품에 대한 평가·인증 등 예방활동에서부터 1·25 대란의 원인이 됐던 웜 바이러스 등 사이버 위협관련 정보의 수집ㆍ분석ㆍ전파, 침해사고 긴급대응, 조사, 복구 등의 업무를 담당한다.
이 가운데 세계적으로 주목받는 유해신호 탐지시스템은 대부분 NCSC 직원들이 자체 개발한 프로그램들로 이뤄져있다. NCSC 관계자는 “처음 센터가 설립될 당시 1300여 개 탐지방법이 도입됐지만 이제는 대부분 실효성이 없고 이후 자체적으로 개발한 프로그램들이 해킹시도나 바이러스를 잡아내고 있다”고 전했다.
이와 함께 국가차원의 사이버안전 중장기 기술개발 로드맵에 따라 ‘차세대 사이버 공격 방어기술’도 개발, 2006년에는 해킹탐지도구 등 25종류를 새로 적용했다.
또한 사이버 위협에 효율적으로 대처할 수 있도록 예방활동, 위기경보발령 시 전파 및 대응요령, 사고발생시 조사 및 복구, 보안수준 평가절차 등을 수록한 국가 사이버안전매뉴얼을 제정했다.
‘사이버위기 대응에 관한 법률’ 추진
특히 사이버 위협 상황을 효율적으로 관리하기 위해 관심·주의·경계·심각 등 4단계로 이뤄진 국가사이버위협 경보체계도 구축했다. 예컨대 지난 4월 18일 고등과학원 컴퓨터를 경유지로 이용한 해킹은 파란색의 관심단계로 NCSC 보안권고는 매뉴얼에 따라 이뤄진 조치다.
| |
 |
|
| |
| |
역삼동 한솔빌딩에 있는 사이버안전센터는 단체방문을 신청하면 누구라도 참관할 수 있다. |
|
| |
1·25 인터넷 대란처럼 복수의 정보통신서비스제공자 망이나 기간망이 마비되면 주황색의 경계단계가 발령되며, NCSC는 비상 대응 체계가 가동되고 각급기관은 긴급 대응반이 활동에 들어간다.
이러한 노력으로 지난해까지 국가와 공공기관에 발생한 총 3만6090건의 사이버 공격시도 중 2만1962건을 발견즉시 차단하고, 자료훼손 등 1만4128건의 침해사고는 현장조사 등을 통해 피해를 복구했다.
앞으로 정부는 사이버위기 사태가 발생할 경우 국가차원에서 체계적으로 대응하기 위해 ‘사이버위기 대응에 관한 법률’을 마련하고, 해킹을 원천적으로 차단하기 위해 기밀 취급이 많은 기관의 업무 망을 인터넷과 분리하는 방안 등을 추진할 계획이다.
[인터뷰] - 국가사이버안전센터 센터장
| |
 |
|
| |
| |
국가정보원 규정에 따라 국정원 직원은 원장과 차장만 신분을 공개할 수 있다. |
|
| |
대한민국 인터넷 안전을 최전선에서 마크하고 있는 국가사이버안전센터장을 서울 역삼동 한솔빌딩에 있는 NCSC에서 만났다. NCSC 센터장은 사이버 안전을 물과 비유했다. 강을 맑게 관리하고, 정수를 하면서도 집에서 또 정수기를 사용하는 것처럼 인터넷에 흐르는 정보를 사용자들이 맑게 관리해야 하며 국가차원에서도 ‘방어체제’를 구축해야 한다는 지적이다.
국가정보원 규정에 따라 국정원 직원은 원장과 차장만 신분을 공개할 수 있다. 이름과 얼굴도 밝힐 수 없는 인터뷰지만 <국정브리핑>은 생활과 밀접한 사이버안전을 총괄하고 있는 센터장으로부터 국민이 직접 들을 수 있는 기회를 위해 자리를 마련했다.
- 국정원이라고 생각하면 아무래도 거리감이 있는데 NCSC는 시내 한가운데 있다.
△ 국민 누구나 센터의 보안 관제 상황실에서 일하는 모습을 보고 설명도 들을 수 있다. 보안관제 같은 사이버 안전 업무의 특성상 투명성과 신뢰도가 생명이다. 또 센터가 있는 테헤란로는 우리나라 IT의 중심지다. 민간기관과의 원활한 협조와 센터를 찾는 국민이 편하도록 고려했다.
- NCSC의 기술수준은 어느 정도인가.
△ IT 강국에 맞게 최고 수준의 전문 인력을 보유하고 있다. 사이버 안전 기술수준도 선진국에 뒤지지 않는다. 보안관계로 구체적인 이력을 밝힐 수는 없지만 여러 국가에서 우리 센터의 시스템을 벤치마킹하고 사이버안전 기술을 얻기 위해 방문하고 있다. 인도나 영국 같은 국가에서 방문하고 세계적으로 이렇게 상황실을 운영하는 데가 없다고 감탄할 정도다. 현재 있는 전문 인력을 세계 최고수준으로 유지하기 위해 재교육에도 많은 투자를 하고 있다.
- NCSC의 대표적인 서비스가 보안 관제다. 최근 정부부처뿐만 아니라 민간기관까지 관제를 확대했다는데.
△ 보안 관제는 해킹이나 웜바이러스 유포 등 사이버 공격을 사전에 탐지하는 1차적인 활동이다. 국가와 공공기관의 전산망에 대한 안전뿐만 아니라 최근에는 병원 같은 기관에서도 보완 관제를 요청해와 국익차원에서 지원하고 있다. 현재 1032개 기관의 전산망을 24시간 관제하고 있다. 국익에 막대한 영향을 미치는 민간기업도 요청에 따라 보안 관제를 하고 있다.
- 해킹사고가 끊이지 않는다. 올 1월에도 군의문사진상규명위원회 홈페이지가 해킹을 당하는 사건이 벌어졌다. 근본적인 대책은 없나.
△ 민간부문은 정통부 산하 한국정보보호진흥원 인터넷침해사고대응지원센터가, 국방분야는 국군기무사령부의 국방정보전대응센터가, 국가·공공분야는 국정원의 NCSC가 담당하고 있지만 인력에 한계가 있어 모든 공공기관 전산망을 보안 관제하지 못하는 실정이다. 또 사이버 공격의 특성상 신종기법은 탐지하더라도 보안 관제에 적용하는 데 일정한 시간 차이가 있다. 그래서 이런 문제를 근본적으로 해결하기 위해 중요기관은 내부망과 인터넷을 분리하는 방안을 추진하고 있다.
- 공공기관을 포함해 사이버 안전에서 가장 시급한 문제는 무엇인가.
△ 국가기밀이나 첨단 산업기술, 개인정보를 수집하기 위한 해킹공격이 급증하고 있다. 하지만 공공기관의 장이나 민간기업체 CEO들은 아직 사이버 안전에 대한 인식이나 경각심이 부족하다. 그렇다 보니 사이버 안전 분야는 우선순위에서 밀려 전문 인력이나 예산확보가 어렵다. 또한 사이버 공격으로 국가적 위기가 발생할 우려가 점차 커져 이에 대비하기 위해 국가적 차원에서 체계적으로 대응하고 피해를 신속하게 복구할 수 있는 법률제정도 서둘러야 한다.
- 지난 3월 30일부터 사이버위협신고 장려금 제도를 도입했는데.
△ 사이버 공격은 정부의 힘만으로 막을 수 없다. 국민 모두가 사이버 안전에 대한 경각심을 가지고 각종 공격에 대한 신고를 유도하기 위해 도입했다. 4월에 접수된 신고 가운데 40~50건을 대상으로 가치나 내용을 검증하고 있다. 심각한 위협에 대해 탁월한 대응방법을 제시한 경우 NCSC 스카우트 대상이 될 수도 있다.
|
jungd123@korea.com
