[디지털투데이 석대건 기자] 전쟁에서 이기는 방법은 가장 좋은 방법은 상대의 본진을 점거하는 것이다. 본진 공략은 불법 성매매부터 악성코드 감염에 이르기까지 유용하게 쓰일 수 있다.

서울시 민생사법경찰단의 업무 중에 하나는 불법 성매매 전단지에 적힌 번호로 전화걸기다. 

단, 사람이 아니라 컴퓨터가 건다. 서울시는 ‘대포킬러’라는 프로그램을 통해 불법 성매매를 유도하는 전화번호에 3초에 한번꼴도 전화해 해당 번호를 불통으로 만든다.

불법 성매매 업자가 다른 전화를 받을 틈새를 주지 않는 것. 그동안 단속반 공무원이 경고 전화를 걸어도 무시하거나, 피해가기 일쑤였다. 서울시는 이 방법을 통해 한달에 6-70개 가량의 불법 성매매 유도 전화번호를 없애고 있다.

상대방의 공격 방법을 역이용한 방어는 사이버보안의 세계에서도 유용하다. 

지난 1일, 테크크런치는 프랑스 경찰 사이버 보안 공조 그룹이 약 85만 대의 좀비PC를 거느린 봇넷을 무력화시켰다고 전했다. 해당 봇넷은 사용자PC에 레타덥(Retadup) 악성코드를 감염시켜 가상화폐를 마이닝해 갈취한다. 

해커 일당은 메타덥 악성코드를 이용해 이미 수십억 원의 이득을 본 상태.

보안기업 어베스트(Avast)는 봇넷 서버 안에서 ‘레타덥’에 감염이 아닌, 자폭 명령을 넣는다면 자연스럽게 현재 감염된 PC를 치료할 수 있다는 것을 발견했다. 이후, 프랑스경찰과 공조했고, 원격 해킹을 위해 미국 FBI와도 협력했다. 

어베스트 측은 “악의적인 감염 공격을 수행하는 봇넷 서버를 ‘레타덥 자폭’ 명령이 입력된 인스턴스 서버로 대체했다”며, “만약 레타덥 측이 우리의 공격을 알았다면, 마지막 이익을 위해 수십만 대의 컴퓨터를 협박했을 것”이라고 전했다.

현재 좀비 PC의 컴퓨팅을 탈취해 가상화폐를 채굴하는 메타덥 악성코드는 대부분 사라졌다.

아무도 신뢰하지 않아야 겨우 막을 수 있어

결국 본진이라는 점에서, ‘제로 트러스트’는 보안의 필수 전략이 됐다. 제로 트러스트, '아무도 믿지 않는다’는 의미로, ‘모든 것을 검증하고 아무 것도 신뢰하지 않는다’는 보안 모델이다. 기존의 ‘신뢰하되 검증’하는 방식에서 한걸음 나아간 것.

‘제로 트러스트’는 서버실 개념의 레거시 환경에서 클라우드 기반 네트워크로 전환에 따른 보안 패러다임 변화에서 비롯된 흐름이긴 하나, 단순 인증 절차만으로는 접근을 허용할 수 없는 시대인 점은 분명하다.

이에 아카마이, 이글루시큐리트 등 보안 기업은 물론, LGCNS와 같은 시스템 기업도 제로 트러스트 개념 아래 솔루션을 마련하고 있다. 

보안업계 한 관계자는 “해킹 그룹에서더 자신들의 서버를 막기 위해 제로 트러스트 솔루션을 주문하지 않을까 싶다”며, “점점 해킹 기술이 발전하면서 공격이 곧 방어가 되고 있다”고 분석했다. 이어 “자신을 자신이 해킹해 취약점을 찾아내는 버그 바운티 프로그램이 늘어나는 것도 이 때문”이라고 덧붙였다.