[PHP 보안 비상]"취약 中企 공격 주타깃…보유 자산 식별·관리 급선무"

신속한 보안 업데이트 최대 과제
외부업체에 맡길 때 더 주의
국가 차원 중기 지원방안 고려해야

"국내 11만 서버가 PHP 해킹에 취약한 버전으로 추정됐지만 실제는 이보다 훨씬 많을 것이다. 공격이 일시에 감행된다면 대혼란이 야기될 수 있다."(문종현 지니언스 시큐리티센터장)

인터넷 핵심 프로그래밍 언어 PHP 보안 취약점이 공개되고, 보안 패치가 배포되기 전부터 이를 노린 공격 시도까지 관측되면서 해킹 피해 우려가 전세계 일파만파 확산하는 가운데 국내 보안전문가들은 '신속한 보안 업데이트'를 최대 과제로 꼽았다. 보안 인력이나 예산 등 정보보호 인프라가 상대적으로 열악한 중소기업의 경우 보안 업데이트가 늦어질 경우 해커 공격의 주 타깃이 될 수 있기 때문이다.

문종현 지니언스 시큐리티센터장은 23일 아시아경제와의 통화에서 "중소기업은 웹서버나 홈페이지를 관리하는 인력이 그것만 전담하는 경우가 드물다"면서 "다른 인프라 관리를 겸직하거나 아예 소규모 기업은 홈페이지 개발 구축부터 외부에 맡기는 경우가 많은데 이번 PHP 보안 취약점으로 외주 업체들에 요청이 쏟아지고 있어 대응이 쉽지 않을 것"이라고 말했다. 특히 이번 보안 업데이트 과정에서 외주 업체를 이용하는 기업의 경우 더욱 주의가 필요하다고 봤다. 문 센터장은 "홈페이지를 업데이트하려면 접속 권한을 받아야 하는데 이 과정은 보안성 검토가 필요하다"면서 "예를 들어 우리집 청소를 외부에 맡겼는데 키를 맡기는 곳이 신뢰할 만한 곳인지부터 먼저 확인해야 하지 않나"고 했다.

긴급 보안 패치 적용…취약점 점검 나서

현재 카페24 와 가비아 , 네이버클라우드 등 주요 IT 기업들은 긴급 보안 패치를 적용하고, 고객사 대응에 분주한 상황이다. 국내 보안업체들도 취약점 경고와 점검서비스에 나서면서 대응에 팔을 걷어붙였다. 양봉열 로그프레소 대표는 "아직 구체적으로 피해 상황이 확인되지 않았지만 해외의 경우 공격 시도가 이뤄지고 있는 것으로 보고된다"면서 "이번 공격은 공격자가 웹사이트 로그인 등 별도의 인증 절차를 거치지 않고도 인터넷을 통해 서버에서 명령을 실행할 수 있고, 공격자가 서버 명령 실행 권한을 악용해 웹사이트에 저장된 개인정보를 다량으로 유출할 수 있기 때문에 경계심을 늦추지 않고 있다"고 전했다.

국내 보안업체 안랩 에 따르면 취약한 버전의 PHP가 설치된 것으로 추정되는 국내 호스트(서버)는 약 11만건으로, 전 세계에서 6번째로 많은 수준으로 집계됐다. 하지만 이 숫자가 보안 패치 배포 전을 기준으로 파악한데다, 보수적으로 추정한 수치라 실제는 더욱 많은 서버가 위험에 노출됐을 것으로 내다봤다.

보안전문가들은 정보보호 인프라가 열악한 중소기업의 경우 보유한 자산을 식별하고 관리하는 체계를 갖추는 것이 급선무라고 밝혔다. 박세준 티오리 대표는 "중소기업의 경우 보유한 소프트웨어 등 자산을 제대로 식별하는 경우가 드물다"면서 "외주업체에 맡기는 기업은 관리가 제대로 안되고 보안 지원이 안되는 오래된 버전의 소프트웨어를 그대로 방치하는 경우가 많아 과학기술정보통신부 등 국가 차원의 지원 방안도 고려해야 한다"고 제언했다.

AI로 공격 일상화…보안인력 역할 재정립 시급

문제는 인공지능(AI)으로 인한 보안 취약점 발견과 해킹 공격이 앞으로 일상화될 것이란 데 있다. AI 급속한 발달로 보안 패러다임을 전환하고, 향후 더욱 역할이 커질 보안인력의 역할 재정립이 필요하다는 지적이다. 김동철 소프트프릭 대표는 "현재 보안 담당자는 수많은 로그와 이벤트를 확인하고, 이상징후를 찾고, 탐지 룰을 만들고, 사고 여부를 판단하는 데 많은 시간을 사용하고 있다"면서 "AI는 대량의 데이터를 분석해 평상시와 다른 사용자 행동이나 응용프로그램인터페이스(API) 호출 패턴을 찾아내고, 서로 다른 보안 이벤트 간의 연관성을 분석하며, 보안 담당자가 우선 확인해야 할 위험을 선별하는 역할을 수행할 수 있다"고 언급했다.

그러나 그는 최종적인 보안의 의사결정은 여전히 사람의 역할이 중요하다고 강조했다. 김 대표는 "예를 들어 AI가 특정 API 호출을 이상행위라고 판단한다고 해도 실제 공격인지, 업무상 정상적인 대량 처리인지, 차단할 경우 서비스에 어떤 영향을 주는 지까지 판단하려면 기업의 업무와 시스템을 이해해야 한다"면서 "앞으로 보안인력은 단순히 이벤트를 처리하는 시큐리티 오퍼레이터에서 보안 정책과 위험을 설계하고 판단하는 역할을 해야한다"고 덧붙였다.

서소정 기자 ssj@asiae.co.kr