국내도 네트워크 장비 보안 심사 강화된다

그동안 성능에만 초점을 맞췄던 네트워크 장비에 대한 보안심사가 강화될 전망이다. 망 운영관리자가 악의적인 행동을 하지 못하도록 운영관리 차원에서도 개선책이 마련된다.

정부가 최근 구성한 네트워크 보안연구반은 기지국 등 이동통신사업자들의 전달망에 사용되는 네트워크 장비의 보안성을 점검하고, 망관리시스템에 접근할 수 있는 내부 관리자들에 대한 지침을 마련할 방침이다.

미래창조과학부가 13일 개최한 네트워크 보안연구반 킥오프 회의에서는 SK텔레콤, KT, LG유플러스 등 이동통신 3사가 참석한 가운데 외부 전문가들로부터 네트워크 장비 등 국가기간망에 대한 보안성을 높일 수 있는 방안이 논의됐다.

외부 전문가이자 네트워크 보안연구반장을 맡게 된 카이스트 미디어 및 네트워크 전공 최준균 교수는 이날 논의의 핵심은 그동안 네트워크 장비의 기능에 대한 테스트만 집중했던 것에서 벗어나 본격적으로 보안성을 검증해 보자는 것이라고 밝혔다.

또한 최근 발생한 카드사 정보 유출 사고에서처럼 내부자를 통한 정보유출 가능성을 피하기 위한 보다 철저한 대책도 마련할 계획이다.

최 교수에 따르면 일반적으로 네트워크 장비는 개발자가 테스트를 하고 수정사항을 반영하기 위해 특정 포트를 별도로 열어둔다. 해당 장비에 사용하는 소프트웨어가 문제가 생길 경우 디버깅을 하기 위한 포트를 마련해 둔다는 것이다. 최종적으로 이통사 등에 제품이 납품될 때 이 포트들은 모두 제거돼야 한다.

그러나 최 교수는 테스트용 포트를 열어 놓은 체 제품이 공급될 경우 외부에서 내부망을 조작하는 등 문제가 생길 수 있다며 그동안 이 부분에 대해서는 제대로 검사가 이뤄지지 않았다고 말했다.

예를 들어 특정 네트워크 장비에 미국 국가안보국(NSA)이 해당 장비 개발자를 사주해 특정 포트를 열어놓았다고 하면 정보기관들이 마음대로 트래픽을 훔쳐볼 수 있는 통로를 제공하게 되는 것이나 마찬가지인 셈이다.

아직 국내 이통사 망에 사용되는 네트워크 장비에서 이러한 문제는 발생하지 않았으나 실제로 취약점이 없는지 확인해 볼 필요가 있다는 것이다.

네트워크 장비가 보안성에 문제가 없다고 하더라도 내부 망 운영자를 통해 정보가 유출되는 경우가 발생할 수 있다. 과거 2011년 발생한 농협 전산장애는 협력업체 직원를 통해 내부 시스템이 악성코드에 감염돼 문제가 됐다.