|
피플/칼럼 |
데이터베이스 서버, "해커들의 가장 좋은 먹잇감"돈 되는 정보 가득…취약한 웹 연동, 열악한 보안관리로 해킹 집중 대상 |
|
실력이 좋은 해커들은 가장 단순하고 가장 수익이 높은 공격 시나리오를 설정해 목표를 공략하고 있다. 현재 기업 데이터베이스보다 이들의 입맛에 더 좋은 먹잇감은 없을 것이다.
데이터베이스에는 고객 리스트와 급여 기록을 비롯해 많은 구조화된 정보들이 포함되어 있는, 이른바 판매가 가장 용이한 기밀 데이터가 저장되어 있다. 여기에 데이터베이스 관리자들은 보안에 그다지 신경을 쓰지 않으며 데이터베이스 자체가 해커의 공격에 노출될 가능성이 있는 웹 애플리케이션에 연동되고 있다.
버라이즌 비즈니스(Verizon Business)의 컴퓨터 분석 팀은 매년 진행하는 보안 평가에서 2008년 데이터 침해 사건의 30%가 데이터베이스 침범이 차지하고 있다고 밝힌 바 있다. 더 나쁜 것은 데이터베이스 침해 사건에서 전체 기록 모두가 침해 당한 비중이 75%에 이른다는 점이다. 중요한 정보의 경우 하나의 데이터베이스에 저장되어 있는 경우가 많다는 점을 감안해볼 때, 한번의 침해 사건으로도 엄청난 피해를 입을 수가 있다는 결론이다.
기업 보안 컨설팅 업체인 시큐로시스(Securosis)의 설립자이자 분석가인 리치 모굴은 "대표적인 보안 위협이 데이터베이스에서 발생하고 있다"면서, "대부분의 정보 보안 책임자들은 IT의 네트워킹 분야 출신이며 데이터베이스 기술에 대해서는 별로 아는 것이 없다는 것이 더 큰 문제"라고 지적했다. 또한 최근 포레스터 리서치의 조사에 따르면 데이터베이스 관리자들이 데이터베이스 보안에 투자하는 시간은 절반에도 미치지 못하는 것으로 나타났다.
가트너의 정보 보안 및 프라이버시 담당 이사인 제프리 휘트먼은 "대부분의 데이터베이스 관리자들이 보안 관련 교육을 받지 못하고 있으며 모니터링에도 적절하게 대응하지 못하고 있는 상황"이라면서, "외부 전문가를 활용하는 편이 오히려 효과적일 것"이라고 지적했다.
데이터베이스 보안의 많은 취약점들은 아주 사소한 착오에서 비롯된다. 2008년 오라클 사용자 집단 조사를 보면, 오라클 데이터베이스에 보안 패치를 설치하는 경우에 있어서 6개월 이상이 걸린다고 밝힌 비중은 26%였으며 패치 설치를 전혀 하지 않는 비중도 11%에 달했다.
데이터베이스를 테스트하는 도중에 자리를 비우거나 중요한 정보를 웹 애플리케이션에 연동시킬 경우에 해커들이 침입할 가능성이 높다. 전문가들은 웹 애플리케이션의 비중이 높아지고 활용도가 증가할수록 데이터베이스의 취약점도 노출될 가능성이 그만큼 커진다고 밝히고 있다.
웹 애플리케이션과의 긴밀한 연동은 침입자들이 SQL 코드 입력을 따라 웹 애플리케이션의 약한 부분을 노리고 공격하는 SQL 유입 공격의 주 대상이 되곤 한다. 이러한 공격을 바탕으로 특정 애플리케이션에 연결된 데이터베이스에 들어가고 웹 애플리케이션과 데이터베이스의 연결을 토대로 전체 데이터베이스 서버에 대한 공격을 감행하게 된다. IBM의 ISS X-Force 보안 리서치 부서에 따르면, 지난해 SQL 유입 결함이 인터넷에서 가장 잘 알려진 웹 애플리케이션의 취약점을 경로로 해서 발생했는데, 2007년에 비해 134%나 증가한 수치였다.< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
