[헤럴드경제= 정태일 기자]째깍째깍 시계 초침 소리만이 새벽 2시의 적막을 깨운다. 시간이 벌써 이렇게 됐나. 밤을 샌 지 꼬박 이틀이 지났다. 한 금융권 기업으로부터 시스템 취약점을 찾아내달라는 부탁을 받고 모의해킹을 하고 있지만 좀처럼 답이 보이지 않는다. 별 수 없이 여느 때처럼 자기 최면에 들어간다. 출발은 ‘내가 공격자라면 어떻게 할까’이다. 상상의 나래는 ‘내부 시스템은 어떻게 구성되고, 네트워크 환경은 어떤지, 서비스 프로그램은 어떻게 개발됐는지’로 이어진다. 최면에 걸리면 무한 상상에 빠진다. 화장실에 가도 쪽잠에 들어도 컵라면을 들이마시는 순간에도 똑같은 상상을 한다. ‘나라면 어떻게 할까.’

기업이나 정부기관 의뢰를 받고 가상으로 해킹 공격을 감행하는 사람들이 있다. 악의적인 목적으로 시스템을 마비시키는 블랙해커와 달리 취약점을 발견해 방어책을 찾는다고 해서 화이트 해커라고 부른다. 최근 연이은 국가적 사이버 테러로 화이트 해커가 새롭게 조명받고 있다. 이에 현장에서 활동 중인 2명의 화이트 해커들을 인터뷰해 그들의 이야기를 들어봤다. 화이트 해커는 한마디로 분석가보다 사색가에 가까웠다. 이들은 암호를 풀기 위해 데이터보다 상상에 더 많이 의존하고 있었다.

화이트 해커들이 기본적으로 하는 가상 공격은 대부분 깊은 밤에 이뤄진다. 조주봉 라온시큐어 화이트햇센터 보안기술교육 팀장은 “고객 요청으로 시스템이나 애플리케이션에 대한 취약점을 점검하는 모의해킹을 하는데 주로 대상이 서비스가 운영 중인 시스템이기 때문에 낮을 피해 하는 경우가 많아 화이트 해커 대부분은 야행성이다”고 말했다. 권석철 큐브피아 대표는 “취약점을 발견하고 방어 체계를 만들기까지 긴장의 연속이라 며칠 밤을 새더라도 잠이 오지 않는 편”이라고 말했다.

공격을 시도할 때 주의점은 두 가지다. 시스템이 파괴될 수 있거나 서비스에 큰 문제를 유발할 수 있는 부분을 제외시켜야 한다. 이를 뺀 나머지 부분에 대해서는 실제 해커가 돼 사정 없는 공격을 가한다. 

화이트 헤커.                                                                                                                        이상섭 기자. babtong@heraldcorp.com

기존에 알려진 공격툴을 잘 사용하지 않는 것이 이쪽 업계의 특성이다. 공격툴을 이용하다 데이터가 삭제되거나 유실되는 사례가 실제 발생했기 때문이다. 조 팀장은 “기존 공격 방식대로 스캐너(취약점 점검 소프트웨어)를 돌리면 기대했던 취약점이 잘 포착되지 않아 화이트 해커가 하나하나 손으로 입력하는 경우가 더 많다”고 설명했다. 다만 블랙마켓에서 거래되는 해킹툴에 대해서는 “전문 지식 없는 사람들도 쉽게 이용할 수 있도록 상세하게 설명돼 있을 정도로 퀄리티가 높다”고 말했다.

공격 방식은 크게 두 가지로 나뉜다. 하나는 의뢰인이 네트워크 소스코드를 보여준 상태에서 진행하는 화이트 박스 테스트이다. 이미 소스코드를 보고 시작하기 때문에 네트워크 설계를 통해 미처 찾아내지 못한 취약점을 발견할 수 있다는 장점이 있다. 다른 하나는 모든 것이 가려진 상태에서 무작위로 공격하는 블랙 박스 테스트다. 이는 모든 가능성을 열어두고 공격하는 식이라 예상 외의 수확을 거둘 수 있다는 특징이 있다. 업계서는 이 두 가지를 접목하는 것이 가장 이상적인 방식으로 평가한다.

이와 함께 매달 마이크로소프트 보안 업데이트가 이뤄지는데, 특히 미공개 취약점 보안이 강화되면 이전 파일과 비교해 이를 토대로 가상의 공격코드를 만들어내는 작업도 한다.

화이트 해커 업무는 각자의 특기에 따라 웹 모의해킹, 악성코드 분석, 네트워크, 모바일 등으로 나뉜다. 따라서 이들에게 정보교환은 필수다. 운영체제, 프로그래밍 개발, 메모리 구조 등 여러 사항에 대해 파악하고 있어야 하기 때문에 커뮤니티를 통해 여러 문서를 공유하고 이를 통해 새로운 기술을 만들어 내고 있다. 

화이트 해커들에게는 하루 24시간 컴퓨터 앞에만 붙어 있을 것 같다는 고정관념이 따라다닌다. 하지만 이들이 제일 많이 하는 것은 머릿속으로 여러 가정들에 대해 상상하는 일이다. 그래서 상상병에 걸렸다는 우스갯소리도 나온다. 사진은 라온시큐어에 고용된 화이트 해커들이 업무를 보는 모습                                       [사진= 이상섭 기자/babtong@heraldcorp.com]