최근들어 많은 사람들이 보안에 대해 관심이 모아지고 있다.
이는 현재 TI사업에 그 중요성이 입증되어 지고 있다.
먼저 범인(凡人)들이 말하는 보안관리자는 해커라고 불려 지고 있다.
여기서 한가지 집고 넘어가야 하는것이 하나 있다면 해킹과 크래킹에 대해서 이다.
이 해킹과 크래킹에 대한 의미를 모른다면 보안관리자 즉. 해커에 대해선 이해를 못하고 있다고 봐야 하기 때문이다.
해킹과 크래킹은 행동은 같으나 의미가 다르다.
해킹은 시스템의 취약점을 찾아 보안하기 위한 검색방식이며.
크래킹은 어떠한 이득을 위한 악의적 검색이며 공격 형태 이다.
이 두 개념은 비교하기가 조금 애매 하다.(아니라면 저자의 정리 부족인것이다.)
이로서 해킹을 하는 사람은 해커 그리고 크래킹을 하는 사람은 크래커 라고 일컬어 부른다.
해커가 되기 위해서는 무얼 해야하는것인가? 에 대해서 많은 사람들의 공통적인 의견은 장비 시스템에 대한 해박한 지식과 네트워크에 대한 해박한 지식 그리고 기존 해킹기법 등을 가져야 한다고 한다.
하지만 저자가 생각하기에는 여기서 하나더 추가 되어야 하는 프리젠테이션 능력이다.
모두 4가지로 나누어 전체적으로 표현했다만. 각각의 연계가 되며 비슷한 혹은 동일한 의미로 통하는 것이 많을것이다.
1. 장비 시스템에 대한 해박한 지식
2. 네트워크에 대한 해박한 지식
3. 기존 해킹기법
4. 프리젠테이션 능력
으로 간추린다.
----------
각 파트별 설명에 앞서 한가지 꼭 알아두어야 할 점이 있다.
보안관리자(해커)도 하나의 직업이다. 또한 저자가 의미하는 보안관리자는 보안 컨설턴트에 한해서 설명하고자 한다. 또한 이 보안 컨설턴트는 저자가 나아가고자 하는 하나의 직업이기 때문에 정리차원으로 서술한 글이기 때문이다.
다른 보안관리자(서버관리자도 보안관리자라 불리울수도 있다. )에 의미를 혼동하지 않았으면 한다.
----------
1. 장비 시스템에 대한 해박한 지식 (H/W기반 지식)
이는 수많은 IT사업에서 중요시 되는 요점중 하나이다. 하지만 보안관리자에 대해서는 모두는 아닌 부분적으로만이라도 알아 두어도 괜찮을 것이다.
여기서 말하는 장비는 각 호스트들의 PC와 서버들만을 의미하는것이 아니다. 네트워크상의 모든 허브,스위치,라우터 그리고 무선 통신 장비 등등과 같은 모든 하드웨어(H/W)에 대한 장비를 의미하므로 광범위하게 보고 있는것이다.
보안 관리자로서는 장비시스템에 대한 지식을 어떻게 습득해야 하는가는 어느정도 길이 보여지고 있다. 시스템에서 어떻게 데이터를 주고 받는지 어느 경로로 어떻게 저장되어지고 출력되는것인지 에 대한 지식만으로 충분하다고 본다.
현재에 이르러 PC조립을 할줄 아는 사람이라면 부품 하나하나들이 어떠한 기능을 하는지 알고 있을것이다.(당연한 말이겠지만..) 하지만 여기서 이러한 부품 하나하나들이 어떻게 해서 움직이는지에 대해 혹은 데이터들의 이동경로에 대해서는 모르는 사람들이 대부분이다. 이것을 통한다면 하드웨어에 대한 해커가 될수 있을지 않을까?
저자가 얼마전 부산대학교에서 열린 SSM세미나를 들으바가 있다. 여기서 디지탈해킹이라 하여 몇몇의 기기들의 병합 혹은 분리하여 만들어 놓은 장비를 보았다. 즉, 서로 다른 제품을 붙여서 사용하거나 한 제품의 기능만을 빼내어 하나의 장비로 때어놓은 방법이다.
이런 방법으로는 자사(自社)제품이라면 해킹이 될것이고 타사(他社)제품이라면 크래킹이 될것이다.
저자가 알리고 싶은 의미로는 이러한 타사의 크래킹에 대한 안전한 제품설계에 있어서 하드웨어쪽 해킹이 필요하지 않을까 한다.
2. 네트워크에 대한 해박한 지식
네트워크는 쉬운 의미로 이해 하면된다. 즉 모두 연락을 주고 받는다고 이해하면 네트워크에 대한 기본적 지식은 다 알게 된다는 것이다.
그러나 전자 신호들의 네트워크는 그렇지 않다는것이 우리에게 좀더 어렵게 다가서는것이 아닐까?
근본적인 문제부터 집으면서 생각해보면 전자 신호들의 네트워크가 생기기 이전 이 네트워크를 만든 이유부터 접근해 보자.
근본적인 목적은 의사소통 즉 커뮤니케이션이 아닌가? 이 의사소통을 전자 신호로 하고자 하니 전문적인 사람이 아닌 이상 접근하기가 쉽지 않았던것이다. 허나 전문적인 사람도 이전에 비전문적인 사람이지 않았던가. 이러한 전문가들이 무언가 깨달아야 올라갈수 있는 무협적인 형태가 되어버린것이다.
하지만 겁먹지 말고 하나만 알고 접근해보길 바란다. 네트워크는 분명히 의사소통을 위한 하나의 방식일 뿐이다. 이 IT계열 전문인이 될것이라면 분명히 전자 신호에 대한 기본 지식을 얻을수 있을것이다. 그 개념에 연관만 시키면되는것이다.
조금 힘든면이 있다면 이 전자 신호에 있어서의 네트워크는 수많은 개념과 접속 방식들을 가지고 있다. 이미 충분히 좋은 책들이 나왔고 충분이 좋은 교수 혹은 강사들도 있다. 우리는 알고 넘어가기만 하면되는것이다.
3. 기존 해킹기법
해킹기법은 개인적으로 저자가 나머지 3가지 파트보다 상대적으로 부족한 면이 많은 파트이다. 하지만 중요시 해야하는것이라면 해킹기법은 의미 그대로 취약점 분석과 보안에 있다. 물론 악용한다면 크래킹기법이 되는 것이다.
역사적으로 해킹 기법과 기술적인 해킹기법을 접근해보면 길이 보일것이다. 역사적으로 바이러스 개념과 웜, 악성코드 등과 같은 크래킹 기법과 다른 서버공략이나 상대 시스템 접속부터 root획득 까지의 훈련아닌 훈련으로 갈고 닦으면 되겠다.
하지만 이렇게 기술적인 면만으로는 결코 좋은 평을 받지 못한다. 해킹기법만 안다고 해서 보안을 알수 없기 때문이다. 구멍을 찾기만 하고 매우는 방법을 모르면 난감하지 않은가?
보안관리자에게 필수조건으로 가져야 하는 취약점 분석과 보안에 있어서 해킹기법에 병행하여 각 취약점에 대한 보안을 해주어야 한다.
보안을 준비하기 위해서는 소프트웨어(S/W)에 대한 지식을 알아야 한다. 수많은 소프트웨어중에서도 OS 즉 운영체제에 대한 지식에 대해서 만큼은 그 중요성을 높이 보아야하는것은 당연지사. 이러한 OS 의 운영방식과 데이터 이동경로등은 어느정도 이해 하고 있어야 한다.
(OS를 소프트웨어에 포함시킨것이 임시로 정의한것이며 정확히 OS라면 H/W와 S/W의 인터페이스 역할을 하는 중개자이다.)
4. 프리젠테이션 능력
본 저자가 강조 하고 싶어하는 부분인 만큼 보안관리자중 보안 컨설턴트에 한해 특별히 강조 하고 싶다. 프리젠테이션 능력은 여러가지 요인을 요구한다.
하지만 당연한 말이겠지만 자신감과 또박또박한 말투만으로도 충분히 프리젠테이션 능력은 충분하다. 하지만 현재 사회에서 요구하는 다른 요인들도 요구하고 있다. 프리젠테이션을 준비하는 사람의 호감도가 이것이다.
각 사람들의 호감에 대해서 못해도 주고 잘해주 주는 인재를 원하고 있다.이러한 능력이 탁월한 사람에게 CEO같은 중요 직급을 맡기는등 보안컨설턴트에 있어서 중요한 능력이지 않을까?
이 프리젠테이션 능력은 화술, 외모, 성격, 이미지 등등 많은 요구 조건이 따른다. 앞서 말했듯이 호감가는 사람이며 회술에 뛰어 나면 되는것이다. 문제 인식에 통달하고 문제 해결방안에 이해하는 능력 역시 요구된다. 보안컨설턴트에게 있어서는 당연한 능력이다.
--------
저는 부산 동명대학교 정보보호학과생인 강동현입니다.
이 글에 대해서 부족하다고 생각되는 부분도 있습니다.
글을 쓰면서 문서 보안에 대해서는 신경쓰지 않고 씁니다.
모든 지식인들에 대해서 신뢰 하고 있다고 생각하여 쓴 글인 만큼
가능하면 글의 수정 없이 사용해주셨으면 좋겠습니다.
저자 강동현
