7월7일 오후7시 악성코드에 감염된 1만8000대의 컴퓨터가 일제히 26개 사이트를 대상으로 무차별 ‘디도스(DDoS·분산서비스거부)’ 공격을 했다. 국내의 주요 정부 기관과 은행·신문사·포털 사이트 등 12개 국내 사이트와 백악관·국무부·나스닥 등 14개 미국 사이트이며, 이들 사이트는 접속불량 장애가 발생했다. 특히, 악성코드를 유포시키는 근원지를 파악하지 못한 가운데 8일 오후에는 공격 목표를 바꿔 새로운 사이트들에 대한 추가 공격을 해왔다.

여전히 치료되지 않은 컴퓨터를 이용한 공격이 계속되고 있고 서비스 장애 상태에서 회복이 불가능한 상황에서 새로 감염되는 시스템이 늘어나고 있다. 공격은 전국적인 규모인데 대응은 국지적이고, 악성코드를 이용해 일시에 자동공격을 해 오는데 비해 대응은 분석 치료를 위해 수동으로 하고 있는 상황이다.

악성코드를 배포해 감염된 컴퓨터, 일명 ‘좀비’를 원격 조종할 수 있도록 구성된 네트워크가 ‘봇넷(Botnet)’이다. 이 봇넷을 이용해 이번처럼 디도스 공격을 하거나 스팸 메일을 전송하는 데 이용하는 등 봇넷이 사이버 공격의 주범이 되고 있다. 봇넷은 명령어를 주어 어떤 공격이라도 수행 가능한데다 다른 사용자 컴퓨터를 조종하는 형태여서 대응하기가 그만큼 어렵다.

그동안 디도스 공격은 주로 해커들의 돈벌이를 위한 경우와 정치적 목적으로 이용돼 왔다. 그런데 이번 공격은 다수의 사이트가 대상이어서 추적 및 대응이 더욱 어려운 상황이다. 또, 감염경로 및 접속 기록을 숨기고 네트워크의 과부하를 일으키지 않으면서도 서버만 무력화시키는 등의 최신 공격 기법을 사용하고 있다. 근본적인 문제 해결 방안을 마련하지 못하는 한 앞으로 더 큰 문제로 비화할 가능성이 크다. 현재의 악성코드가 공격 대상을 바꾸어더욱 치명적인 공격을 하고, 배포 방식을 찾아 차단하기 전에 감염 시스템을 확대해 나간다면 국내의 모든 네트워크가 마비될 정도로 심각한 상황을 맞을 수도 있다.

북한이 이번 공격의 배후로 추정되는 상황에서 사이버 전쟁이 발생하지 않으리라는 보장도 없다. 그리고 컴퓨터 바이러스에 감염되지 않는 시스템을 개발할 수 없듯이 새로운 악성코드를 이용한 디도스 공격의 재발 가능성도 상존한다. 특히, 국내에는 100？”？초고속 인터넷이 보편화돼 있어 개별 컴퓨터가 공격에 이용될 경우 그 위력은 엄청나다. 아직도 외국에서 주로 사용하고 있는 비대칭 디지털 가입자 회선(ADSL) 방식의 인터넷 접속 컴퓨터보다 200배 이상의 치명적인 공격을 유발할 수 있다. 이는 국내 10대의 컴퓨터만으로도 대형 사이트가 충분히 무력화될 수 있음을 의미한다.

따라서 사이버 공격에 대한 대응체계를 시급히 재고해야 한다. 현재의 디도스 대응은 공격을 당하는 사이트에서 공격 패턴을 분석해 공격 트래픽을 차단하거나 인터넷 서비스 제공업체(ISP)에 차단을 요청하는 온디멘드 필터링에 의존하고 있다. 피해를 최소화하기 위해서는 민·관·군 그리고 ISP 간의 정보 공유 및 자동 대응 시스템을 구축, 운용해야 한다. 이와 함께 개인 사용자는 백신 사용과 보안 패치 설치, 봇 감염 여부를 확인할 수 있는 보호나라(http://www.boho.or.kr) 서비스 등을 이용해 자신의 컴퓨터가 공격에 이용되지 않도록 해야 한다.

공격 시 사후 대응에만 급급해하기보다 감염시 사전 대응에도 힘을 쏟아야 한다. 한국정보보호진흥원, ISP, 보안회사와 고려대에서 개발하고 있는 봇넷 대응 시스템 등과 같이 자동 탐지 대응 시스템들을 개발, 활용할 필요도 있다. 그리고 디도스 공격은 국지적인 문제가 아니기 때문에 국가적인 대응 체계를 수립할 필요가 있다. 이는 매우 시급한 과제다.

[[이희조 / 고려대 교수·컴퓨터보안]]