[주말탐방] 국정원 국가사이버안전센터 24시
“영화 ‘다이하드4.0’처럼 국가전산망을 파괴해 정부를 장악하려는 해커들의 음모는 더 이상 영화 속의 일이 아닙니다. 국민들이 모두 잠든 사이에도 사이버전쟁은 계속되고 있습니다.” 국가정보원 국가사이버안전센터(NCSC)에 근무하는 오준상(35·가명)씨는 카이스트 출신의 8년차 중견 요원이다. 그는 상황실에서 외국 해커부대 등의 공공기관 사이버 공격을 조사하고 복구하는 임무를 맡고 있다. 영화 다이하드 4.0의 주인공 존 매클레인(브루스 윌리스)의 활약은 좀 과장된 면은 있지만 국가시스템을 공격하는 해커를 일망타진한다는 점에서 그의 임무와 크게 다르지는 않다. 그는 보통 퇴근이 오후 11시, 바쁠 때는 새벽 1시를 넘기기 일쑤다. 결혼한 지 2년이 넘었지만 아기 만들 시간(?)도 없고, 좋은 남편도 못 된다고 자평한다. 급박하게 돌아가는 그의 일상을 통해 음지에서 국가전산망을 지키는 그들의 삶을 엿보았다.
#오전 6시 기상 어제는 원인을 알 수 없는 웜바이러스(Worm virus·컴퓨터시스템을 파괴하는 악성 프로그램)로 A행정 부서의 전산망이 마비돼 감염된 50여대의 컴퓨터를 모두 하나하나 뜯어보아야 했다. 최초 감염된 컴퓨터를 찾아 원인을 분석하니 내부에서만 사용해야 하는 컴퓨터를 자택으로 가져갔다가 노트북의 ‘방화벽(외부 불법 접근 차단시스템)’이 붕괴되어 웜바이러스가 유입된 것이었다.3명의 대원이 오후 6시까지 모든 웜을 제거했지만 원인 조사는 이날 새벽 1시가 넘어서 끝났다. 몽롱한 상태지만 아침 회의를 완벽히 준비해야 한다는 강박에 사로잡힌다.
#오전 7시30분 커피 한 잔을 들고 억지로 잠을 이기며 서울 서초구 한솔빌딩 9층으로 올라간다. 전자태그(RFID)카드를 정문에 댄 후 사무실로 들어가 컴퓨터 앞에 앉는다. 손가락을 대자 지문을 읽고 컴퓨터가 작동을 시작한다. 보고서를 들고 곧바로 회의실로 직행.
팀장에게 어제의 사고는 노트북을 네트워크에 연결하는 순간 웜바이러스가 컴퓨터의 ‘버퍼 오버 플로(Buffer over Flow·프로그램 에러)’ 취약점을 이용해 순식간에 A행정부처 전체로 퍼졌기 때문이라고 보고했다. 다행히 조기탐지를 해서 기관 전산망을 단절했지만 그냥 두었다면 다른 기관으로 확산되어 경계태세로 돌입해야 할 상황이었다.
#오전 8시 주요 언론 및 외신 검토를 시작한다. 다행히 어제의 웜바이러스 사고는 언론에 보도되지 않았다. 우선 백신을 만들고 보도되어야 안심이다. 어제는 수작업으로 모두 제거했지만 변종분석 정보를 백신업체로 보내야 한다.
#오전 9시 업무 시작 어제의 웜바이러스 사태는 해결되긴 했지만 최초 배포자가 누구인지 조사해야 한다. 오늘도 쉽지 않은 날이다.
#오전 9시45분 상황실에서 보낸 경고등이 컴퓨터에 떴다. 바로 상황실로 뛰어가니 지도에는 제주지역을 시작으로 전국 각지가 주의경보를 뜻하는 노란색으로 변한다. 곧바로 인접국인 중국으로부터의 해킹 시도가 감지되었다는 분석이 화면에 들어온다.
#오전 10시 CERT팀으로 사고 접수를 알린다. 피해 기관은 행정부처 M부,D연구소,G청 등 180여개 기관. 이렇게 대규모의 동시 해킹은 몇 년만이다. 평소 ‘을지연습 기본 계획’에 따라 실시했던 사이버전 모의 훈련의 지침대로 우선 준비태세를 갖춘다.
#오전 11시 국가사이버안전대책회의가 소집되고 NSC(국가안전보장회의)와 협의해서 최고수준의 적색경보를 발령하자 곧 11개 지역 사이버안전협의회에 비상사태를 하달, 각 지역별 대응수위가 강화된다.
#오후 2시 조사반을 이끌고 국가기밀을 많이 취급하고 있는 광화문 인근 M부로 긴급출동하라는 명령이 떨어졌다. 포렌식장비(노트북 크기의 하드디스크를 분석하는 장비)가 들어 있는 007가방을 집는다. 가방에는 잠금장치가 되어 있어 외부인이 끊으면 경보가 울린다.
#오후 2시30분 M부처의 컴퓨터에서 바이러스의 일종인 ‘그레이버드(Graibird)’ 변종이 발견되었다. 이 바이러스에 감염되면 감염 컴퓨터가 해커의 컴퓨터에 자동으로 연결되어 각종 문서가 자동적으로 흘러가게 된다. 보통 이메일을 통해서 감염되지만 이번의 경우 경기도 소재 X대학교의 홈페이지에 은닉해 있다가 이곳을 방문한 M부처 직원의 컴퓨터로 숨어들어 서버 전체로 확산된 경우다. 곧바로 본부에 다른 팀을 X대학교로 급파할 것을 요청했다. 우선은 2004년 중국으로부터 공격당한 바 있는 그레이버드와 유사한 해킹프로그램으로 파악되었다.
#오후 3시 처음 발견된 바이러스이므로 수작업으로 하나하나 디렉토리를 검색해 지워야 한다. 게다가 ‘커널은닉형(강제적으로 딜리트로부터 보호되는 것)’이어서 첫 컴퓨터의 바이러스를 없애기 위해 1시간가량 소모되었다. 그러나 이외 컴퓨터가 감염된 바이러스는 같은 유형이므로 이제 한 대당 5분이면 처리된다.
#오후 5시 M부처의 컴퓨터는 완전히 복구된 상황에서 이제 중간 경유지인 X대학교로 피해시스템 분석을 위해 출발한다. 동시에 협력관계에 있는 세계 각지의 사이버테러대응센터격인 러시아 FSB 등에 유사 선례가 있었는지 협조를 요청한다.
#오후 7시 X대학교의 중간경유지를 통해 유출될 뻔한 M부처의 기밀자료 10여건이 중국으로 전송되기 직전 전산망을 차단하는 데 가까스로 성공했다. 본부에 보고를 마치고 한숨을 돌리는데 동료가 늦은 점심이나 먹으러 가자며 농담을 건넨다. 그제야 혼자 집에 있을 부인이 생각나 전화기를 들다가 우선 해킹범인을 찾아야 한다는 생각에 전화기를 내려놓는다.
#오후 8시 중국 해커의 소행이 아닌가 의심했는데 중간경유지에 남겨져 있던 해커의 프로그램 8종을 수거하여 분석한 결과 아랍권 해커그룹인 ‘엠퍼러(Emperor)’의 소행으로 확인되어 검찰과 경찰로 조사내용을 보내 수사하도록 했다.
#오후 9시 해킹프로그램의 동작패턴을 분석해 모두 상황실의 조기경보시스템에 등재시켜 향후 유사 해킹시 탐지토록 조치한다.
#오후 10시 내일 아침 국정원장을 위한 보고서를 작성한다. 또한 어제 웜바이러스와 함께 오늘 바이러스도 민간 백신업체에 보내야 한다. 하지만 민간업체가 백신을 업그레이드해도 당분간은 유심히 지켜보아야 한다. 민간업체 백신의 경우 바이러스의 한 특징을 등록해 그 바이러스를 잡아내도록 하기 때문에 조금만 변형되어도 바이러스를 선별해 낼 수 없기 때문이다.
#자정 수고한 팀원들과 마지막 회의를 한다. 처음에는 오늘 사건에 대해 의견을 개진하더니 이윽고 애환들이 쏟아진다. 데이트할 시간이 없어서 총각을 못 면한다는 진실(?)이나 2세 만들 시간이 없다는 와이프들의 비난(?)까지. 내부 기밀유지를 위해 폰카를 갖지 못하는 비애 아닌 비애나 수영장에 가도 비닐 백에 휴대전화를 넣고 수영을 해야 하는 고충도 나온다. 한 동료는 애가 태어나서 얼굴을 보고 출장을 다녀오니 이미 걸어 다니더라고 믿지 못할 넋두리도 늘어놓는다.
#다음날 오전 1시 퇴근 바쁘고 힘든 생활을 이해해주는 부인이지만 그래도 미안한 마음이 앞선다. 그래도 어쩌랴. 내가 좋아 선택한 일인 것을. 오늘의 늦은 귀가를 변명할 몇 마디를 생각하며 퇴근길을 나선다.
이경주기자 kdlrudwn@seoul.co.kr
사진 류재림기자 jawoolim@seoul.co.kr
■ 국가사이버안전센터는 어떤 곳?
국가정보원 국가사이버안전센터(NCSC)는 각종 사이버공격에 대한 국가차원의 종합적이고 체계적인 대응을 위하여 2004년 2월 문을 열었다.
NCSC는 국가사이버 안전정책 수립, 전략회의 및 대책회의 운영지원, 사이버위협 관련 정보의 수집·분석, 국가정보통신망 안전성 확인 등을 주된 업무로 하고 있다. 특히 국내·외의 사이버위협에 대해 ‘관심(파랑)-주의(노랑)-경계(주황)-심각(빨강)’의 4단계 대응체계를 마련하고 있다. 이외 민간업체가 개발한 정보보호제품의 보안기능을 검증하는 정보보호제품 평가 인증제도를 운영중이다.
NCSC에 따르면 공공기관에 대한 사이버 위협 건수는 매해 늘어나다가 작년에 잠깐 주춤했지만 올해 급증하는 추세로 상반기에 벌써 4254건이 접수되어 이미 작년 한해 동안 일어난 4286건에 육박하고 있다. 국가사이버안전센터는 최근의 사이버위협 유형에 대해 크게 3가지로 분석한다.
첫째는 금전적 이득을 목적으로 하는 피해로 개인정보 절취를 목적으로 제작된 ‘LineageHack’나 ‘IRCbot’ 등의 웜바이러스로 인해 접속 ID 및 패스워드 등이 유출되는 경우다. 또 사용자로 하여금 정상사이트로 오인해 개인정보를 입력하게 만들어 정보를 빼내는 피싱기법에 의한 금융정보 유출 피해도 계속되고 있다. 올해 상반기 공공분야 사이버침해사고 유형을 보면 경유지 악용 사례는 19.6%를 차지하고 있으며 가장 높은 증가율을 기록하고 있다.
둘째는 지능적 악성코드의 증가로 MS의 인터넷 익스플로러 기능을 확장하기 위해 제공되는 ‘액티브X(Active X)’가 보안에 취약한 점을 이용해 유포하는 경우가 많다. 올해 상반기 공공분야 사이버침해사고 중 악성코드 감염은 66.9%를 차지해 가장 많은 피해를 발생시킨다.
셋째는 홈페이지 해킹의 증가인데, 특히 국가·공공기관 홈페이지를 변조시키는 이슬람권 해커의 공격이 늘어나는 추세다. 보통 해커들이 자기과시용으로 이런 공격을 하는 것으로 알려져 있다. 올해 상반기 사이버침해 건수의 3.7%정도만 차지하지만 적은 건수로도 피해사실이 홈페이지를 방문한 많은 국민들에게 노출된다는 점에서 심각성을 가진다. 이외 공공기관 컴퓨터 안의 자료를 훼손하거나 빼내가는 심각한 사이버공격 사례도 2.3% 정도를 차지하고 있다.
![[주말탐방] 국정원 국가사이버안전센터 24시](https://img.seoul.co.kr/img/upload/2007/08/02/SSI_20070802184408_V.jpg)
