최근 모바일 스마트 플랫폼과 함께 사물 인터넷 환경이 도래하면서 과거 서버와 클라이언트 PC의 네트워크 접속 환경에 많은 변화를 불러 일으켰다. 그 결과로 소프트웨어 이용 범위가 생활 전반으로 확대됐고 주요 침해사고 유발 경로인 소프트웨어 보안 취약점도 나날이 증가하고 있다. 특히 이전에 나타났던 보안 취약점 다시 유행처럼 나타나고 있으며, 이를 활용한 공격 사례가 발생하고 있는 상황이다.

글 아이넷캅 | 유동훈 기술이사

플랫폼 변화에 따라 보안 취약점도 광범위해지고 다양해졌으나 실제 공격자의 입장에서 보면 플랫폼이 달라졌음에도 큰 변화라고 받아들이지는 않을 것 같다. 역사는 반복된다고 했던가? 또 유행은 돌고 돈다고 하지 않았던가? 필자의 사견으로는 보안 취약점 유형도 이와 마찬가지로 유행을 따르고 있다고 생각한다. 그래서 과거부터 현재까지 이슈가 되었던 보안 취약점들에 대해 알아보고 이러한 공격 유형이 정말 유행처럼 반복되고 있는지 확인해보자.

이 글에서는 보안 취약점의 정의와 종류에 대해 다루고 과거 서버 시절부터 시작해 클라이언트 PC 시절을 거쳐 최근 모바일과 사물 인터넷 환경 등의 플랫폼 변화에 따른 보안 취약점 유형과 실제 발생했던 대표적인 공격 사례에 대해서 소개하려고 한다. 나아가 보안 취약점의 발굴 방법과 현황, 보안 취약점 대응 기술에 대해 다룰 예정이다.

여러 의미로 나타나고 있는 보안 취약점 정의

한국정보통신기술협회(TTA) 사전에 따르면 보안 취약점은 위협에 의해 손실이 발생하게 되는 자산의 약점으로 기능 명세, 설계 또는 구현 단계의 오류나 시동, 설치 또는 운용상의 문제점으로 인해 정보 시스템이 지니게 되는 취약성이라고 정의하고 있다. 마이크로소프트 보안연구소(Microsoft Security Response Center, MSRC)의 비공식적인 정의에 따르면 하드웨어, 소프트웨어의 결함이나 체계 설계상의 허점으로 인해 공격자에게 허용된 권한 이상의 동작이나허용된 범위 이상의 정보 열람을 가능하게 하는 약점으로 정의하기도 한다.

이와 같이 보안 취약점은 사전에 명시된 용어의 의미와 보안 커뮤니티에서 사용되는 의미 외에도 굉장히 다양한 의미를 내포하고 있는 함축적인 용어라고 볼 수 있다. 기술 관점에서는 보안 취약점은 시스템 내의 소프트웨어 결함으로 인해 야기되는 보안 결함으로, 시스템이라고 하면 네트워크 교환기부터 항공기 추적 제어 시스템, 인터넷 서버와 웹, 데이터베이스 서버까지 종류가 다양하다. 현재 보안 취약점 정의는 다양하게 나타나고 있지만, 넓은 의미로 소프트웨어 취약점으로 해석하는 것이 가장 적합하다고 판단된다.

서버, 애플리케이션 등 다양한 보안 취약점 종류

과거 보안 취약점은 대부분 유닉스(UNIX) 계열 운영체제의 서버 시스템 취약점부터 유래가 되었다고 볼 수 있고 당시 보안 취약점도현재 개념과 크게 다르지 않았다. 크게 관리적 취약점과 기술적 취약점으로 분류할 수 있었는데, 먼저 관리적 취약점은 대부분 시스템 관리 설정상의 문제로 인해 발생하는 취약점이다. 당시 워크스테이션 서버 계열 운영체제에 영향을 주었던 시스템 관리 문제로 인한 취약점은 90년대 이전부터 중반 이전까지 주로 다뤄졌는데, 약한 패스워드로 인한 계정 크랙(Crack) 도용 취약점, 잘못된 파일과 디렉토리 허가 권한으로 인해 발생하는 취약점, 관리 미흡과 잘못된 설정으로 인한 취약점 등 단순한 관리 문제로 인해 발생하는 결함이 주를 이뤘다.