진짜 보안이야기 #51
아래와같은 기사를 볼때 참 이해안되는게 이러한 "우수한 해킹방어 능력을 가지고 있는데 왜 뚫리느냐"는 것이다. 근
본 이유는 교육이나 실습이 시나리오 기반이기 때문이다. 내가 해커라면 어떤방법으로 뚫고 오겠는지 상황별 다각적인
모의훈련이 필요한데 이미 정해진 규약에 맞춰진 대입식 교육이 문제다.
이들이 과연 체계적인 교육을 받았을까? 6개월 ~ 1년간 정해진 답안을 가지고 교육하는 방식이 과연 효과성이 있었을까?
공격자들은 점점 더 똑똑해지고, 공격 기법은 복잡해지고 있다는 것은 이미 잘 알려져 있다. 아니 기존에 필수적으로
취약점이 오픈되어 있어도 보안담당자들이 조치 방법조차 모른다. 이미 간단한 조치 해결방법이 공유된 것 이외에는.
매년 취약점 점검을 해도 절대 줄어들지 않는 이유는 무엇일까?
공격을 어떻게 방어해야 하는지, 안전한 서비스를 만들기 위해서 어떠한 보안 전체의 큰 그림이 만들어져야 하는지
그리고 방법론 역시 제시되고 있지 못하기 때문이다.
우선 보안 훈련이 진행되면 먼저 훈련자에게 공격 시나리오가 주어지고 해커들이 어떤 방법으로 공격을 시도했고,
조직의 서비스와 인프라가 얼마나 피해를 입었는지 정해놓고 이에 맞춘 실전 서비스가 필요하다.
결국 이러한 단일 기술 중심의 보안 교육으로는 실전에서는 아무런 대처를 하지 못한다. 보안 인력에게 실제 사고를
경험할 수 있도록 보안 사고 현장과 유사한 환경을 제시해주고, 이를 해결하는 식으로 훈련을 진행해야 한다.
또한 최신의 공격 방법을 이해하기 위해서는 보안전문가들은 강력한 학습욕구를 갖추고,
경험하고 실습할 수 있는 기회가 주어져야 한다.
이를위해 정부는 맡은바 책임과 의무에 따른 실전과 같은 실습 교육을 제공하는 보안 교육과
최신 보안 공격 사례를 분석해서 이에 대한 대처법을 모든 보안 인력에게 알려주는 서비스를 제공해야하고
실전에 가까운 누구도 알려주지 않은 최고 보안 전문가에 의한 단계별 멘토링 프로그램으로, 현장에서
요구하는 실용 지식 중심의 프로젝트 및 실습 교육을 진행해야 한다.
KISA가 판교에 이러한 실습장을 최근 개소, 오픈했지만 극소수의 보안 인력이 특정 장소
(오프라인, 사이버보안인재센터 내 산업보안 교육훈련장, 정보보호 제품훈련장, 최정예 사이버보안 교육훈련장,
실전형 사이버 Gym, 최정예 사이버보안 인력 'K-Shield' 교육, BoB 양성등 훈련을 제공받고 있지만,
이제는 모든 보안 인력이 온라인 실습장에 접속해 언제 어디서나 간편하게 훈련을 받을 수 있도록 이스라엘 사이버짐과
같은 클라우드나 VDI방식의 사이버훈련장. 즉, 과학기술정보 통신부, KISA등에서 수백가지에 이르는 다양한 시나리오를
중앙에서 통제할 수 있어야 하고 자유로운 시나리오 설계가 되는 구조화된 시스템이 구축이 필요하다.
교육 참여자도 최소한 기본적인 것은 확실히 이해하고 있어야 질높은 교육이 이루어질 수 있다. 제대로 파악이 안되면
이해시키는데 모든 시간을 할애하게 되고 결국 당초 계획한 수준에 이를 수 없게된다.
흔히 프로그래밍 개념도 모른채 파이썬 교육을 받고 침투시험에 대한 기초도 이해하지 못한채 실습을 하고있고
리눅스 및 윈도우, TCP/IP 및 네트워킹 개념에 대해서 확실하게 이해하지 못한 인력이 침해시 그 원리와 구조를
파악할 수 있겠는가?
순천향대(총장 서교일)는 정보보호학과 동아리…
