비기술적 보안이란 무엇인가?
비기술적(non-technical) 보안 및 프라이버시 통제란 기술적 장치가 아닌 관리적 조치를 의미합니다. 정보의 보안과 프라이버시를 지키기 위한 정책(policy), 절차(procedure), 표준(standard) 등이 대표적인 예입니다. 아무리 최신 기술을 도입해도 이런 관리적 기반이 없으면 보안 체계는 완성되지 않습니다.
네트워크 보안을 구성하는 다양한 측면
네트워크 보안은 단일 영역으로 이루어지지 않습니다. 하드웨어, 소프트웨어, 클라우드 서비스가 모두 유기적으로 역할을 수행하며, 여기에 사람과 정책까지 더해져야 완전한 방어 체계가 구축됩니다.
비기술적 공격의 4가지 대표 유형
비전자 공격(non-electronic attack), 즉 비기술적 공격은 시스템 침입 기법에 대한 전문 지식 없이도 가능한 공격입니다. 대표적인 유형은 다음 네 가지입니다.
- 사회공학(Social Engineering): 사람의 심리를 교묘히 이용해 정보를 얻어내는 기법
- 숄더 서핑(Shoulder Surfing): 어깨 너머로 화면이나 키 입력을 몰래 훔쳐보는 행위
- 키보드 스니핑(Keyboard Sniffing): 키 입력을 엿듣거나 기록하는 방식
- 덤스터 다이빙(Dumpster Diving): 버려진 문서나 매체에서 중요 정보를 찾아내는 행위
가장 위험한 비기술적 침입 기법: 사회공학
사회공학은 인간 상호작용을 적극적으로 활용해 시스템을 침해하거나 악용하는 공격 기법입니다. 공격자는 목표 사용자가 평소의 보안 규칙을 스스로 위반하도록 속이는 방식으로 접근합니다. 아무리 강력한 기술적 방어막이 있어도 사람이 열어주면 무용지물이 되기 때문에, 사회공학은 오늘날에도 가장 성공률이 높은 공격 중 하나로 꼽힙니다.
보안의 5가지 주요 분야
현대 사이버 보안은 크게 다섯 가지 분야로 나눌 수 있습니다.
- 핵심 인프라 사이버 보안: 전력망, 통신망 등 국가 기반 시설과 그에 의존하는 시스템·서비스 보호
- 네트워크 보안: 내부망과 외부 인터넷 사이의 데이터 흐름 보호
- 클라우드 보안: 클라우드 환경에 저장된 데이터와 애플리케이션 보호
- 사물인터넷(IoT) 보안: 연결된 기기들이 만들어내는 새로운 공격 표면 대응
- 애플리케이션 보안: 소프트웨어 취약점과 악성 코드로부터 애플리케이션 보호
비기술적 취약점은 왜 위협인가?
위협은 반드시 기술적인 경로로만 발생하지 않습니다. 도난, 변조, 염탐, 기물 파손, 폭행, 방해 공작 같은 물리적 원인으로도 데이터 유실이 일어날 수 있습니다. 따라서 출입 통제, 잠금장치, 감시 카메라 등 물리적 보안 조치도 결코 간과해서는 안 됩니다.
보안 통제의 3가지 유형
보안 통제는 세 가지 주요 범주로 구분됩니다.
- 관리적 보안 통제: 보안 정책, 절차, 교육, 리스크 평가 등
- 운영적 보안 통제: 접근 권한 관리, 백업, 로그 모니터링 등 일상 운영 활동
- 물리적 보안 통제: 출입 통제, CCTV, 잠금 장치 등 물리적 보호 조치
기술적 보안의 종류
기술적 보안에는 다음과 같은 도구와 기법이 포함됩니다.
- 암호화(Encryption)
- 바이러스 및 멀웨어 방지 프로그램
- 방화벽(Firewall)
- SIEM(보안 사고·이벤트 관리 시스템)
- IDS/IPS(침입 탐지 시스템 및 침입 방지 시스템)
보안의 핵심 원칙: CIA 삼원소
정보 보안의 기본 축인 CIA 삼원소(CIA Triad)는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 의미합니다. 모든 보안 프로그램과 통제는 최소한 이 세 가지 원칙 중 하나 이상을 고려해 설계되어야 합니다. 여기에 인증(Authentication), 암호화(Cryptography) 같은 요소를 더하면 보안의 다섯 가지 측면을 구성할 수 있습니다.
APT 공격과 기술적 공격의 차이
APT(지능형 지속 위협)는 단순히 네트워크를 침해해 정보를 빼내는 데 그치지 않고, 탐지되지 않은 채 오랜 기간 은닉하며 거점을 유지하는 고급 공격 형태입니다. 이러한 공격은 앞서 언급된 여러 기법을 조합해 사용하는 경우가 많습니다.
반면 기술적 공격(technical attack)은 사용자의 일기를 뒤져 비밀번호를 알아내는 식의 방법 대신, 시스템의 하드웨어·소프트웨어 보호 메커니즘 자체를 우회하거나 돌파하는 공격을 말합니다.
함께 알아두면 좋은 보안 개념
DoS 공격과 네트워크 계층
SYN 플러딩, UDP 플러딩, DNS 플러딩 등이 네트워크 계층의 대표적인 DoS(서비스 거부) 공격입니다. 반면 DNS 질의(query) 플러딩 공격은 일반적으로 네트워크 계층 DoS 공격으로 분류하지 않습니다.
모바일 기기 보안
스마트폰을 단순히 낚아채는 행위만으로 해킹이 이루어지지는 않습니다. 실제 공격은 하드웨어·소프트웨어 취약점을 악용해 키로거나 스파이웨어를 설치하고 피해자의 중요 정보를 빼내는 방식으로 진행됩니다.
브라우저 보안 기법
브라우저 보안을 강화하려면 기본 DNS 서버 대신 Google Public DNS, OpenDNS를 사용하거나, DNSSec·DNSCrypt 같은 기술을 활용할 수 있습니다. 또한 HTTPS처럼 디지털 서명된 공개키 인증서를 사용하는 통신 방식이 안전한 웹 환경의 기본입니다.
결론: 보안은 기술만으로 완성되지 않는다
환경을 공격으로부터 보호하는 데는 다양한 요소가 작용합니다. 흥미롭게도 기업의 사업 전략 자체는 공격의 결과에 직접적인 영향을 미치지 않습니다. 결국 네트워크 보안은 기술적 통제와 비기술적 통제—정책, 교육, 물리적 보호, 그리고 사람에 대한 이해—가 균형 있게 결합될 때 비로소 완성됩니다.