| 최근 케빈 미트닉의 행방을 보면 전업한 해커(혹은 크래커)의 성공적인 사례를 보여주는 듯 하다. 그는 이번 책으로 벌써 두권의 보안관련 서적을 출판했으며, 현재는 보안 컨설턴트로 활동중이기도 하다. 음지에서 생활하던 그가 석방 후 보안분야에서 활동을 하고 보안에 관계된 서적을 출판하는 것을 보면 인생은 새옹지마라고 말할 사람도 있을 것이다. 이런 저런 이야기들을 제쳐두고 그의 책을 들여다보면 도움이 되는 정보를 많이 얻을 수 있다. 특히 사회공학해킹은 우리나라를 비롯하여 전세계에서 특별한 대비책을 가지고 있지 않는데, 이는 인간의 본성을 이용하는 해킹방법에 그 원인이 존재한다고 생각한다. 케빈은 그의 책을 통해서 그러한 사회공학해킹에 대한 유형을 이야기 하고 대비책을 말하고 있다. 물론 그 대비책이란 것들이 실행과 유지를 하는데 많은 시간이 들거나 많은 자금이 드는 경우도 있지만, 간단한 조치를 통해서 큰 효과를 얻을 수 있는 것도 이야기 하고 있다. 컴퓨터의 침입을 막는 것만이 전부가 아니라는 사실을 알고 다양한 침입을 방지하는 것이 제대로 된 보안을 위한 길이라 볼 수 있을 것이다. 지난번의 책(해킹, 속임수의 예술)을 통해서 자신이 사용했던 혹은 알고 있는 사회공학해킹에 관해서 다루었는데, 이번에는 몇가지 해킹 에피소드를 분석하면서 보안에 대한 경각심을 불러 일으키고 있다. 책에서 말하고 있는 이야기들은 케빈 자신의 이야기가 아니며(지난번과 달리) 케빈은 그들의 이야기를 검증하고 부연설명과 얻을 수 있는 교훈을 설명하고 있다. 다루는 에피소드의 범위가 상당히 넓어서 11개의 에피소드가 나오는데, 각 케이스가 대부분 중복되는 경우가 아니라 나름데로의 특징을 가지고 있는 경우이다. 아마도 케빈은 자신이 생각한 침입의 경우에 대해서 분류를 나누고 각 분류에 해당되는 에피소드들을 조사했거나 주변의 에피소드들을 수집하고 분류하는 과정에서 책에 나오는 에피소드들을 추렸지 않을까 생각된다. 각각의 에피소드들은 간단한 스크립트를 이용한 크래킹을 비롯해서 치밀하게 계획된 시스템 침입이나 고도의 기술을 이용한 시스템 해킹, 사회공학 해킹기법을 이용한 기술적 해킹, 프래킹, 사회공학 해킹, 모의침입 테스트 등의 광범위한 침입방법들을 다루고 있다. 개인적으로 첫번째 에피소드인 카지노 털기를 재밌게 봤는데 이들의 행위가 전형적인 해커의 모습과 많이 닯아 있어서 그런것 같다. 각 주인공들은 일부는 컴퓨터를 제대로 알고 있는 전형적인 해커가 나오기도 하고 내가 보기에는 다른 사람들의 스크립트나 취약점 문서들만 이용해서 크래킹을 하는 그다지 스크립트 키드(script kid) 수준의 크래커가 나오기도 한다(물론 내 관점이다). 그리고 컴퓨터에 관해서 그렇게 능통하지는 않지만 사회공학 해킹 능력이 뛰어난 사람도 나온다. 각 에피소드들은 상당히 재미있어서(이 부분은 공저자인 윌리엄 사이먼의 도움이 컸을 것이다) 소설처럼 읽기에도 전혀 무리가 없다. 책을 11개의 이야기가 모여있는 모음집 정도로 생각하고 재미있게 읽을 수 있을 정도지만 각 에피소드마다 있는 케빈의 에피소드 분석과 대응방안은 보안책인자나 보안을 담당하고 있는 사람들에게 많은 도움을 줄 수 있을 것이다. 대부분의 회사나 단체들은 보안사고가 발생하는 그 사고를 공개하고 대처방안을 논의하거나 자신들의 대처와 그 결과를 밝히지 않는다. 오히려 그런 사고가 발생했다는 사실을 감추기 위해서 노력하는 경우가 많다. 결국 해킹의 유형들이 공개되는 경우가 드물기 때문에 대처를 확실하게 수립하지 못하는 것이다. 이 책의 에피소드들은 대부분의 공격기법들을 망라하고 있기 때문에 굳이 케빈의 조언을 유념하지 않더라도 책을 읽은 보안담당자들은 각각의 케이스에 따른 대처방안을 스스로 생각해 볼 수 있을 것 같다. 먼저 출판되었던 케빈의 첫번째 책과 마찬가지로 이번책에도 그가 제시하는 대처방안을 모두 적용한다는 것은 거의 현실적으로 불가능하다. 이러한 문제점 때문에 그의 책은 완벽한 보안 가이드가 되기 힘들다. 하지만 우리는 아마도 그의 책에서 필요한 부분이 집중적으로 보안을 강화할 수 있는 방법 얻을 수 있을 것이다. 하나의 구멍만 있어도 1000의 구멍을 막기 위해 들였던 노력이 수포가 되어 버리는 보안분야에서는 넓은 범위를 방어하기 위한 전략보다는 중요성에 따라 다른 수준의 보안을 적용하는 것이 더 중요하다. 케빈은 단순하게 컴퓨터를 이용한 침입뿐 아니라 사회공학해킹이나 여러기법들을 혼용한 기법 등도 다루고 있는데 그가 제사힌 대처방안들을 이용하면 꽤나 높은 수준의 보안 시스템을 구축할 수 있다. 그러한 보안시스템을 높은 수준의 보안을 요하는 곳에 적절하게 적용하는 것이 이와 같은 책을 보고 얻을 수 있는 것이 아닐까 생각한다. 확실히 넓은 지역을 몇개의 구멍만을 유지한체 힘겹게 방어하는 것보다 필요한 지역만 각각 철통같이 방어하는 것이 유리하다. |
|
전공서적? 으로 구입해서 끝까지 토하나 안빼놓고 읽은 유일한 책.
개인적으로 보안 정책관련 업무를 하는 사람이라면, 이미 전설이라는 단어가 이름수식어로 따라다니는 캐빈 미트닉의 해킹, 침입의 드라마(2편) 나 그의 전작인 해킹, 속임수의 예술을 꼭 읽어보길 권하고 싶다.
내 다음 책 구입리스트에 ''해킹, 속임수의 예술''이 이미 포함되어 있을만큼 흥미진진한 내용과 함께 보안이라는 직업으로 밥벌어먹고 살면서, 익숙해지면 질수록 위험스레 간과하고 마는 사소한 실수들이 큰 보안사고로 이어지는 평범한 진리서 부터, 2년간의 끈질긴 해커가 지구상 어딘가에는 존재한다는 그야말로 ''대단한존재''가 있다는 사실과 한번의 보안막은 비눗방울처럼 공기와 부딪혀 닳고 닳아 언젠간 그 막이 터져버린다는 순리를 돌아보게 만드는 계기가 되었다.
컴퓨터 보안, 정보보안, 인터넷보안, 해킹, 공격, 방어.... 등등
딱딱하기 그지 없는 단어들을 소설을 읽는 재미를 가미하여 똑 떨어지는 전공서적의 특징인 정의내리기 식이 아닌 서술식으로 줄줄 풀어놓아 눈앞에 이미지 하며, 읽어내려 갈 수 있는 특징을 가진 보안지침서로 앞으로 활용가치가 높을듯 싶다.
이책과 함께구입한 사이즈 대빵만한 전공서적에 손이 안갈정도니, 전철에서 보기 부담없는 사이즈로 전공서적들을 대체해야 되지 않을까.? (책 사이즈도 적절한듯...)
여자들 핸드백이 커봐야 얼마나 크겠는가..
핸드백에 쏙~ 들어가는 사이즈가 참 맘에든다... [인상깊은구절] 이 시점에서 그는 다시 한번 확신 했다. 친숙하지 않은 말이긴 하지만 ''엠앤엠 초콜릿 보안''이라는 말이 있다. 엠애엠이라는 초콜릿은 아시다시피 겉은 매우 단단하지만 속은 잘 녹고 부드럽다. "이미 내부 네트워크에 들어와 있는 사람이 여기저기를 헤집고 돌아다니더라도 아무도 상관하지 않죠. 일단 보호막을 뚫고 들어온 후에는 마치 내 집처럼 편히 지낼 수 있다는 겁니다." (즉 해커가 일단 침입에 성공하면 마치 인가된 사용자처럼 내부 정보에 접근할 수 있으며, 그를 잡아내기는 결코 쉽지 않다는 것이다.) |
|
해킹, 침입의 드라마 The art of intrusion The art of deception: controlling the human element of security 케빈 미트닉 & 윌리엄 사이먼 - 이성희 & 송흥욱 옮김 "마침내 케빈 미트닉이 우매한 인간들에 의한 보안 사고의 원인을 명백히 밝혔다. 그는 '사회공학' 공격에 사용되는 수법들과 그에 대한 방어책을 알려주고 있다." - 스티븐 메인즈, 포브스 해킹에 관한 흥미로운 이야기가 궁금해서 편 책을 덮을 때쯤, 사람 공부를 했다는 생각이 듭니다. 책 속에는 단지 복잡한 컴퓨터 코드를 복사 붙여넣기하며 철없이 무차별 공격을 가하는 아마추어 해커들의 이야기가 담겨 있지 않습니다. '과거에 악명높던 천재 해커였으나 현재는 정부기관과 회사들의 보안 문제를 도와주는 보안 컨설턴틀 활약하는' 케빈 미트닉은 총 11개의 장에서 각각 놀라운 이야기를 들려줍니다. 해커들이 '난제'에 봉착하고 그걸 해결해내는 숨막히는 이야기들이죠. 이야기 장을 하나하나 넘길 때마다 전 '범법자' 해커를 만난 것이 아니라 '해커'가 된 한 사람의 사연과 그들의 가치관을 만나게 됩니다. 자신들이 하는 짓을 '범죄'로 보지 않는다는 그들만의 '변명'을 직접 읽고 있자니 고개가 절로 저어질 때도 있었지만, 존경심이 우러날 정도로 자신만의 법칙과 원칙을 고수하며 독특한 철학으로 새로운 인생을 선택한 사람도 있었습니다. 각 장에서 해킹의 기술을 설명하고 마무리로 방어 전략까지 설명해 주는 저자의 친절함에 머리가 지끈거리기도 했지만(컴퓨터 바보 ^^;;) 한편으로는 내가 매일 마주보는 컴퓨터에 대해 이렇게 무지했다는 생각이 들어 정신이 바짝 나기도 합니다. 또한 '보안'이라는 세계가 얼마나 치열한 현장인지 다시금 느낍니다. 6장 '모의침입 테스트의 허와 실'의 첫 문장이 잘 설명해 주고 있는 데요, '보안 시스템은 언제나 이겨야 하지만, 해커는 한 번만 이기면 된다.' - 더스틴 다익스. 인터넷과 관련된 다양한 전망이 나오고 인터넷을 무엇으로 정의할 지도 의견이 분분한 요즘입니다. 어느 글에선 미래에 인터넷이 너무 방대해져서 간단한 검색을 하는 것조차 불가능할 거라고 하더라고요. 그 때가 되면 '보안'은 그 의미를 상실하고 마찬가지로 해커도 모든 시스템의 '취약점'을 스캔하는 일이 더 이상 불가능한 세상이 올 것이라고... 하지만 아직까지 우린 해킹의 위협 속에서 매일 살고 있습니다. 내 컴퓨터가 갖는 취약점이 곧 공격자에게는 달콤한 '초대장'이 되어버리는 이 현실이 무섭고 도저히 받아들이기도 힘듭니다. 다만 이 글을 읽으시는 모든 분들이 지금 당장 컴퓨터에 백신을 설치하길 바랍니다. ^^ 저는 당장 알약으로 스캔 한 번 했더니 멀웨어가 4개나 탐지되네요..ㅠㅠ |