2024-03-28 17:55 (목)
“CEH, 해킹과 보안 바라보는 안목 넓혀줘”
상태바
“CEH, 해킹과 보안 바라보는 안목 넓혀줘”
  • 길민권
  • 승인 2011.11.25 16:37
이 기사를 공유합니다

전영재 한국해킹보안연구소 선임 연구원, CEH 취득에 대해
일반적으로 윤리적 해커(Ethical Hacker)라 함은 컴퓨터나 네트워크에 대해 탐구하고 즐기는 사람들을 말하고 크래커 입장에서 시스템을 해킹하고 발견된 취약점에 대해 적절한 대책을 수립하는 역할을 하는 화이트 해커를 말한다. 즉 네트워크에 침입하는 악의적 해커를 막고 싶다면 먼저 그들처럼 생각하자는 것이다.
 
삼양데이타시스템에서는 EC-Council 코리아(www.ecckorea.org)를 설립하고 국제윤리적해커자격증인 CEH(Certified Ethical Hacker) 자격증을 국내에 적극 소개하기 시작했다. CEH 자격증이란 어떤 자격증일까. 실제로 CEH 자격증을 취득한 전영재 한국해킹보안연구소 선임연구원을 만나 CEH에 대해 자세히 들어봤다.
 
◇CEH 자격증 취득 방법=전영재 연구원은 “CEH 자격증은 윤리적 해킹 자격증이다. 해킹기술 전반에 대해 실무적 시험이며 기술 전반에 대해 깊이 있게 공부해야 취득이 가능하다”며 “보안을 위해서는 해킹기술을 알아야 하고 폭넓은 해킹지식이 필요해서 취득하게 됐다”고 말했다.
 
그는 지난해 3월 CEH 자격증을 취득했다. 인섹시큐리티에서 강연을 두 달 정도 집중적으로 수강했다고 한다. 현재 이 자격증 관련 강의 기관은 인섹과 삼양사 직영 그리고 생산성본부 3곳에서 개설돼 있다.
 
강의 내용은 해킹 전반에 대한 내용이다. 해킹 기술, 해킹 툴, 해킹 방법론, 해킹 과정 등 전반적인 이론과 실습위주로 이루어진다. 전 연구원은 “2개월간 주말과정을 수강했고 대부분 70~80%가 실습위주로 이루어져 자격증 취득후 바로 실무에서 일해도 무방할 정도로 강의내용이 실전을 방불케 한다”고 한다.
 
시험 내용은 어떨까. 전 연구원은 “시험 방법은 이론시험이다. 다지선다형으로 문제는 대부분 실무와 관련된 내용들”이라며 “전체 과목이 초기에는 60여개였는데 지금은 19개 정도로 정리된 상태다. 해킹범위가 워낙 많아서 이것을 큰 카테고리로 묶어서 시험이 이루어진다”고 설명했다.
 
◇CEH, 보안안목 넓어지고 윤리의식 확고해져=일부에서는 이 자격증이 없으면 윤리적 해커가 아니란 말인가란 반론도 나오고 있다. 전 연구원은 “이 자격증을 가지고 있어야만 윤리적 해커가 아니라 자격증을 취득함으로써 해킹과 윤리에 대해 다시 한번 생각해 볼 수 있는 계기가 됐다”며 “궁극적으로 보안을 위해 해킹 기술을 배우고 해커의 입장에서 보안을 하자는 것이 목표기 때문에 실무에 임할 때 마음가짐이 달라진다”고 강조했다.
 
특히 “중고등학생들이 해킹에 관심이 많다. 하지만 기술 습득은 빠른데 자칫 잘못하면 해킹 기술을 나쁜 방향으로 사용할 수 있다”며 “윤리적 시각이 필요하다. 하지만 어디에서도 학생들에게 윤리적 측면을 강조하며 해킹 기술을 가르쳐 주는 곳이 없다. 그래서 CEH 자격증이 마음가짐과 사회적 윤리적 시각을 강화하는데 큰 도움이 된다고 생각한다”고 덧붙였다.
 
그는 육군본부에서 정보체계관리단에서 육군전술 C4I 시스템 관리 업무를 담당해 왔다. 군 시스템 관리자로 20여 년을 보내며 취득한 IT 자격증만 20여 개에 이른다고 한다. 최근 취득한 자격증이 바로 CEH 자격증이다.
 
그는 “그동안 파편적으로 알고 있었던 해킹 기술을 CEH 취득하기 위해 공부하면서 기술도 향상됐지만 단순 웹 해킹 수준을 넘어 보안 관점에서 큰 폭으로 볼 수 있는 시각이 생긴 것 같다”며 “보안컨설팅이나 모의해킹 등 업무를 수행하면서 기존에 간과했던 부분들까지 체크할 수 있는 안목이 생긴 것이 가증 큰 변화다”라고 밝혔다.
 
또 그는 “일부에서 자격증 무용론을 주장하지만 이유는 자격증 시험이 너무 이론에만 치우쳐져서 그런 것 같다”며 “CEH는 실무적 자격증이라고 생각한다. 취득하기 전까지라도 폭넓게 공부할 수 있는 계기를 마련해 주는 것이 바로 자격증 취득이기 때문에 억지로라도 공부하게 된다. 제 관점에서는 한 분야에 폭넓은 지식을 보유하기 위해서는 여러 자격증 특히 국제공인 자격증 취득은 필요하다”고 강조했다.
 
그래서 그는 향후 CISA 자격증과 포렌식 관련 CHFI, 침해사고 분석 관련 ECSA, CEH 공인강사 자격증인 CEI 자격증에 계속 도전하겠다고 포부를 밝혔다. 현재 국내 CEH 공인강사는 6명 정도다.
 
◇차별화된 보안컨설팅 체계 만들 것=전 연구원은 “군에서 20년간 IT를 해 왔고 민간에서도 현재 보안컨설팅과 모의해킹 업무를 수행하고 있다. 향후 해킹보안연구소와 함께 모의해킹 방법론을 준비중”이라며 “기존 보안업체에서 하고 있는 보안컨설팅이나 모의해킹과는 차별화된 서비스를 준비중이다. 기존 컨설팅은 기본적 취약점을 바탕으로 자사에서 보유한 솔루션을 도입하도록 컨설팅하는 경우가 많다. 이는 기업에 추가적 비용 발생을 야기하기 때문에 추가적 비용은 최소화하고 가능하면 기업에서 기존에 보유한 자산을 최적화시켜 보안을 극대화할 수 있는 방법으로 컨설팅을 해 나갈 계획”이라고 밝혔다.
 
CEH는 총 150문항이 출제되고 영어로 시험이 이루어진다. 현재 국내 취득자는 200여 명에 이르고 있고 전 세계 90개국 약 4만여 명의 CEH가 활동하고 있다. FBI, NSA, US Military 등과 한국에서도 수사기관 등에서 자격증 취득이 늘고 있다. 교육기관에서는 19개 모듈의 해킹 테크닉과 대응방안이 포함된 교재를 제공하고 이론보다는 해킹실무 중심의 교육과정이 강점이다. 또한 시스코, 캐논, FBI, 미 공군, 미 국방부, 브리티시 텔레콤, 소니, 필립스, 후지쯔, 시만텍, 맥아피, 델, 모토로라, IBM, 딜로이드, 오라클 등등 전세계 주요 기관과 글로벌 기업에서 CEH 취득자를 보유하고 있다. [데일리시큐=길민권 기자]
■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★