미국 중앙정보국(CIA)은 최근 몇 년간 기밀 유출 사건이 끊이지 않으면서 큰 어려움을 겪고 있다. 그중에서도 가장 유명한 것은 '볼트 7(Vault 7)' 사건이다. 당시 유출된 다수의 문서를 통해 전 세계 수많은 기기를 위협할 수 있는 정교한 해킹 방법론, 도구, 프레임워크가 세상에 알려졌다.
그리고 2017년 6월 22일 새롭게 유출된 자료는 더욱 충격적인 사실을 담고 있었다. CIA는 네트워크에 연결된 컴퓨터뿐만 아니라, 물리적으로 완전히 분리된 '에어갭(air-gapped)' 시스템까지 USB 드라이브와 교묘한 전술을 이용해 자유롭게 감염시킬 수 있다는 것이다.
왜 에어갭 시스템을 노리는가?
에어갭은 오랫동안 외부 침입을 차단하는 강력한 방어책으로 활용되어 왔다. 네트워크는 편의성을 추구할수록 취약해지기 마련이다. 이를 보완하기 위해 일부 기업과 정부 기관은 민감한 시스템을 네트워크에서 완전히 분리하고, 허가된 소수 인원만 오프라인 상태에서 접근할 수 있도록 운영하고 있다.
하지만 CIA의 유출 자료가 보여주듯, 이 방식은 매우 효과적인 보호 수단이지만 영원히 안전하다고 장담할 수는 없다.
조직이 굳이 불필요한 시스템에 막대한 자원을 투자하지 않는다는 점을 고려하면, 에어갭으로 격리된 시스템에는 반드시 지켜야 할 비밀 데이터가 가득하다고 봐야 한다. 여기에는 기업의 핵심 영업 비밀, 군사 전략, 미공개 첨단 기술 등 신용카드 정보 몇 장보다 훨씬 중요한 정보들이 담겨 있다.
브루탈 캥거루의 작동 원리
CIA의 이 도구는 '브루탈 캥거루(Brutal Kangaroo)'라는 이름으로 불린다. 핵심은 '홉핑(hopping)'이라 불리는 복제 방식으로, 악성코드가 스스로와 관련 정보를 새로운 플랫폼에 기록해 옮겨 다니는 원리다.
공격 과정은 다음과 같다. 먼저 네트워크에 연결된 컴퓨터를 감염시킨 뒤, 직원이 USB 드라이브를 꽂을 때까지 기다린다. USB가 연결되면 악성코드가 자신을 드라이브에 심고, 이후 해당 USB가 에어갭 시스템에 삽입되면 관심 있는 정보를 수집한다. 그리고 USB가 다시 네트워크 컴퓨터에 연결되는 순간, 빼낸 정보를 '컨트롤러'에게 전달한다. 결국 공격자는 격리된 모든 시스템을 한눈에 조망할 수 있게 된다.
공격을 막는 방법
일단 시스템이 감염되어 데이터가 유출되면 이를 되돌릴 방법은 없다. 따라서 예방이 무엇보다 중요하다. 네트워크에 연결된 모든 시스템에 위생 점검 절차를 적용하는 것이 좋다. 즉, 각 시스템의 모든 활동을 로그로 기록하고, 에어갭 시스템으로 파일을 옮기기 직전에 해당 로그를 꼼꼼히 검토해 이상 징후를 확인하는 것이다.
여기에 더해, 가능하다면 에어갭 시스템을 윈도우가 아닌 다른 운영체제로 구축하는 것도 효과적이다. 브루탈 캥거루는 윈도우 환경에서만 작동하기 때문이다. 단순히 데이터베이스 저장 용도라면 리눅스만으로도 충분히 운영할 수 있다. 다만 리눅스가 해커를 막는 만능 방패는 아니므로 방심해서는 안 된다.
또한 에어갭 시스템에 접근할 수 있는 인원을 최소화하고, 가능한 한 파일 시스템을 암호화해야 한다. 에어갭 자체는 보안 무기고 속 하나의 도구일 뿐이다. 여러 보안 절차와 정책과 함께 사용해야만 조직이 달걀 껍질처럼 쉽게 무너지는 상황을 막을 수 있다.
에어갭 침입을 막기 위해 조직이 추가로 할 수 있는 방법이 있을까? 여러분의 의견을 댓글로 남겨달라!