2020-06-04 11:10 (목)
양날의 검 메타스플로이트도 꾀어야 보배!
상태바
양날의 검 메타스플로이트도 꾀어야 보배!
  • 길민권
  • 승인 2012.02.15 00:57
이 기사를 공유합니다

모의침투테스팅 통해 기업 리스크 매니지먼트에 도움
툴을 누가 사용하느냐에 따라 활용가치가 천차만별
전문적인 침투테스팅을 위한 메타스플로이트(Metasploit) 시험 방법이 14일 삼성동 코엑스 컨퍼런스룸에서 아이티엘코리아(www.itlkorea.kr) 주관으로 열렸다.
 
이날 발표를 맡은 최범진 보안컨설턴트는 “메타스플로이트는 취약점 점검 내용을 기반으로 실제 공격을 감행하는 공격도구”라며 “그동안 기업들은 취약점 점검툴은 많이 사용해 왔지만 거기서 나온 취약점 정보들이 실제로 기업에 얼마나 리스크로 작용하는지에 대해서는 제대로 알 수 없었다. 하지만 메타스플로이트를 활용한다면 실전 모의침투테스팅을 통해 어떤 부분이 얼마나 취약한지 데이터를 산출할 수 있고 이를 통해 비즈니스 임팩트를 파악할 수 있다”고 설명했다.
 
특히 그는 “최근 주요 기업에 대한 공격들은 대부분 APT 공격이다. 이러한 지능적 공격에 대비해 해커들이 어떻게 공격을 하는지를 안다는 것은 무엇보다 중요하다”며 “일년에 한 두번 화이트해커를 고용해 모의침투테스팅을 하는 것보다 메타스플로이트를 활용해 상시적으로 침투테스팅을 실시해 상시적 보안상태를 유지하는 것이 무엇보다 중요하다”고 덧붙였다.
 
또 개발이 상시적으로 이루어지는 기업들은 그에 따른 취약점도 계속해서 증가할 수밖에 없다. 보안팀이 있다고는 하지만 보안팀에서 모든 취약점을 찾아낼 수도 없고 찾아 낸다고 해서 장애발생이나 운영상 애로사항으로 패치를 못하는 경우가 많다. 이때 침투테스팅 툴을 이용해 취약점이 얼마나 크리티컬한 것인지 점검하고 만약 장애를 감수하고서라도 패치를 해야 할 정도의 사안이라면 패치를 하는 것이 옳다는 판단을 할 수 있도록 해줄 수 있는 툴이 될 것으로 보인다.
 
최범진 보안컨설턴트는 “메타스플로이트는 프레임웍으로 돼 있기 때문에 모의침투테스팅 시간을 단축시킬 수 있으며 비용도 줄일 수 있다”며 “하지만 사용상 어려움은 있다. 일반적인 보안팀에서 사용하기에는 무리가 있다. 이 툴을 사용하기 위해서는 루비(Ruby)랭귀지를 알아야 하고 버퍼오버플로우 정도는 알아야 한다. 그래야 메타에서 제공하는 다양한 고급 기능들을 원활하게 사용할 수 있을 것이다. 사용을 위해서는 중급 이상 랭귀지가 가능한 담당자가 필요할 것”이라고 조언했다. 즉 어떤 사람이 사용하느냐에 따라 그 활용가치가 천차만별이라는 것이다. 
 
한편 메타스플로이트는 도구냐 흉기냐의 경계에 놓여있다고 한다. 악의적 해커가 사용한다면 가공할 해킹공격무기로 사용될 수 있기 때문이다. 또 한편으로는 침투테스팅 툴을 활용해 공격자들이 어떤 경로를 통해 공격을 하는지 미리 알고 대응할 수 있도록 도움을 주는 방패도 될 수 있다.
 
그는 “이 도구의 가장 큰 장점은 바로 기업에서 리스크 매니지먼트를 할 수 있도록 도와 준다는점”이라며 “위험관리 차원에서 이루어지는 취약점 점검 만으로는 위험관리가 안된다. 해당 취약점이 기업에 얼마나 심각한 영향을 미치는지를 분류해 가장 위험한 취약점부터 해결해 나갈 수 있도록 도움을 준다는 것은 큰 의미가 있다. 높은 수준의 보안을 위해서는 반드시 필요한 작업”이라고 설명했다.
[데일리시큐=길민권 기자]