공격 정교해져…어플라이언스 등 새로운 해결방안 등장

이메일은 바이러스의 온상이 되고 있다. 스팸의 급증으로 인해 기업 사용자들이 업무에 차질을 빚을 정도다. 이메일을 통해 전송되는 뉴스가 피싱(phishing) 공격의 주요 타깃이 되고 있어 직원들이 신경과민에 시달리고 있다. 기업의 IT 담당자들은 이를 해결하기 위해 골머리를 앓고 있다.

이러한 문제점을 해결하기 위해 많은 벤더들이 이메일 보안 제품 및 기술 개발에 나서고 있다. 구글이 인수한 포스티니(Postini)의 경우 피싱을 차단하는 암호화 서명을 사용하고 있다. 또한 암호화 및 키 관리의 진보, 데이터 유출 방어를 메일 시스템에 통합하는 시도도 진행되고 있다.

소프트웨어 형태로 이메일 보안을 유지하던 시대는 지나가고 있다. 오픈 소스와 배타적 소프트웨어 모두에서 오랫동안 배포되어온 인터넷의 초창기 MTA(Message Transfer Agent)인 센드메일(Sendmail) 조차도 현재 어플라이언스 모델로 전환하고 있다.

폼팩터만이 진화하고 있는 것은 아니다. 바로 어제의 스팸 통제 기술로도 하루가 다르게 정교해지고 있는 공격을 막아낼 수 없다. 스팸 통제 벤더들이 다중 계층의 방어 기제에 투자를 확대하고 있는 이유가 여기에 있다.

과거에는 안티 스팸 기제의 상당수가 블랙리스트와 그레이리스트(greylist)를 토대로 구동했지만 그 효용성이 갈수록 낮아지고 있으며 새로운 기술 및 방법론으로 대체되고 있다. 이메일을 발송한 IP 주소를 추적하며 스팸으로 의심되는 메일의 경우 선별적으로 수신을 지연해 필터링을 충분히 거치는 방식도 등장하고 있다.

◆서비스 형태의 이메일 보안 서비스 인기=서비스 형태의 이메일 보안이 급속히 인기를 끌고 있다. 구글이 포스티니를 인수한 뒤 포지셔닝을 새롭게 하고 있는 것이 이러한 추세를 대변하고 있다. 포스트니는 완벽한 온라인 프로세스를 도입했으며 이메일이 포스티니 서비스를 통하도록 DNS 경로를 재설정할 경우 약 15분이면 보안이 적용된다.

이메일 보안
장점 위험성
IT 부서 이메일 보안 시스템은 진보를 이루어왔다. DKIM을 평가해본다면 얼마나 폭넓게 적용할 수 있는지 알 수 있다. 암호화와 키 관리 체제가 향상되었다 해도 중요한 커뮤니케이션을 위해 이메일을 사용하는 것에는 위험성이 따른다.
비즈니스 부서 안티 스팸 기술의 향상은 사용자의 불만을 해소해주고 이메일의 효용성을 높여준다. 관리가 용이한 제품들도 잇달아 개발되고 있다. 합법적인 메일도 삭제될 가능성이 존재한다.
비즈니스 경쟁력 B2C 암호화 기술의 발전에 따라 이메일로 정보를 안전하게 받을 수 있어 고객 만족도가 높아질 것이다. 암호화 기술이 발전되어도 다양한 공격 패턴이 등장하고 있어 기업 경쟁력에 오히려 방해가 될 수 있다.

종합 평가
이메일로 정보를 교환하는 것은 비용 절감과 시간 절감 차원에서 긍정적이라 할 수 있다. 하지만 고객 관계에서 전적으로 이메일에만 의존하는 것은 위험성이 상존하기 때문에 피하는 것이 좋다. 중요한 정보 교환은 다른 매체를 통해 이루어져야 한다.

이러한 서비스는 클라우드 컴퓨팅(cloud computing) 모델을 적용한 것이다. 클라우드 컴퓨팅은 스팸 필터링에 있어 물리적인 하드웨어를 없애줄 뿐만 아니라 다른 많은 이점도 제공한다. 구글의 서버는 매일 20억 건 이상의 메시지를 통과시키며 메시지 패턴의 상호 관계를 분석하고 새로운 위협에 신속히 대처할 수 있다고 포스티니의 마케팅 매니저인 애덤 스위들러가 밝혔다.

이메일 보안 어플라이언스를 판매하는 업체들도 클라우드 컴퓨팅 모델을 적용하고 있다. 바라쿠다(Barracuda)와 시스코의 아이언포트(IronPort), 센드메일은 넓은 고객 기반을 바탕으로 기능을 상호 연동시키고 있다. 바라쿠다의 경우 메일과 메시지의 특징에 대한 정보가 바라쿠다 센트럴(Barracuda Central)로 보내지는데, 여기에서 엔지니어들이 스팸 및 바이러스의 새로운 형태와 비교 분석하며 어플라이언스를 30분 이내에 업데이트한다.

금융 업무를 온라인에서 진행하는 비중이 높아지면서 피싱은 더욱 교묘한 형태를 띠고 있다. 더욱 맞춤화되고 개인화된 방식이 유행하고 있는 것이다.

이메일 발송자의 신뢰성을 확인하는 것이 어려워짐에 따라 많은 기업들이 고객들에게 이메일로 커뮤니케이션하지 말 것을 권고하고 있다. 마이크로소프트의 경우 패치를 이메일로 발송하지 않는다고 수년 전에 발표한 바 있다. 하지만 이러한 시도는 시간과 리소스를 절약할 수 있는 유용한 비즈니스 툴마저 원활하게 보급되지 못하는 부작용을 일으키기도 한다.

다행히도 이메일 발송자가 합법적인 사람인지 여부를 밝혀주는 기술 및 제품들이 개발되고 있다. 2007년 5월, IETF는 이메일 헤더에 암호화된 서명을 내장해 메시지의 합법성을 검증하는 DKIM(Domain Keys Identified Mail) 표준을 승인했다.

발송자를 인증할 경우 스팸 문제를 해결할 수 있는 동시에 적절한 인증을 취득하지 못할 경우 메일 서버가 메시지를 거부할 수도 있다. 센드메일은 Karma Sphere와 협력해 이와 같은 인증 방법을 도입하고 있다.

◆이메일 암호화도 점점 다양해져=피싱으로 인해 이메일로 데이터를 송수신하는데 있어 여러 장점들이 희석되고 있긴 하지만 월간 실적이나 금융 자료 등과 같이 중요한 정보가 유출되는 피해보다는 심하지 않다.

하지만 이메일 자체를 보호하기 위한 기술도 개발되기 시작하면서 기업들에게 또 다른 융통성을 제공하고 있다.

대부분은 HTML 페이지에 암호화된 메시지를 전송하는 기술을 사용하고 있다. 복호화를 위한 자바스크립트 코드가 함께 포장된다. HTML을 인식하는 메일 클라이언트나 브라우저를 통해 웹 메일 서비스에 직접 접속하는 사용자들이 일반적인 메일 처리 방법을 통해 메시지를 해독할 수 있을 것이라는 아이디어에서 출발한 것이다. 줄어들 줄 모르는 스팸

스팸은 갈수록 증가하고 있으며 이로 인한 피해 규모도 갈수록 높아지고 있다. 스팸 발송자가 1억 건의 메시지를 보낸다고 가정해보자. 1%만이 편지함으로 도착하고 그 중 1%만이 응답한다 해도 1만 명이 클릭하게 되는 셈이다. 그 어떤 광고보다 효과가 높을 수밖에 없다.

문제는, 이메일의 볼륨이 증가하면서 안티-스팸 시스템의 효용성이 갈수록 떨어진다는 점이다. 이를 해결하기 위한 대비책이 절실하다.

스패머들은 새로운 기술을 끊임없이 개발하고 있으며 전문 소프트웨어 개발자들도 합류하고 있는데다 통제를 피할 수 있는 정교한 시스템 개발에 적극적으로 투자하고 있다. 지난해의 경우 일종의 군대처럼 악성 봇(bot)에 감염되는 컴퓨터 집합체로, 대표적인 보안 위협의 중심이 되고 있다. 스톰 웜(storm worm) 역시 마찬가지이다.
링크 형태로 이루어지던 스팸은 이제 이미지와 첨부파일 형태로 진화하고 있다. 이러한 메시지에는 수신자의 컴퓨터를 감염시켜 봇넷으로 확대하는 웹 페이지를 수반하고 있는 것이 일반적이다.

이렇게 정교해지고 있는 보안 공격을 해결하기 위한 방어책은 여전히 개발이 진행되고 있을 뿐이다. 공격을 받은 뒤에 해결책을 내놓을 수밖에 없는 현실로 수많은 사용자들과 IT 담당자들이 곤혹스러워하고 있다.





실제로 일부 벤더에게 이러한 형태의 암호화된 메시지를 발송해 달라고 요청해보았다. 결국에는 판독해낼 수 있었지만 여러 단계를 거쳐야 했으며 기대한 만큼 쉽고 끊김 없이 이루어지지는 못했다.

가장 큰 어려움은 키 배포(key distribution) 문제이다. 전통적인 이메일 암호화는 공개 키 암호화 형태로, 이메일이 발송되기 전에 키가 교환된다. PKI 인프라를 통해 처리되거나 공개적으로 접근이 가능한 키 서버를 통해 이루어진다. 이러한 접근 방법은 복잡하기 때문에 많은 기업들이 이메일의 암호화를 구현하는데 있어 어려움을 겪게 만드는 부정적인 요인으로 작용해왔다. 현재의 클라이언트가 없는 암호화 시스템은 키 문제를 메일 서버에 키를 저장하는 것으로 해결하고 있다.

센드메일의 경우 Voltage의 ID 기반 암호화 체계를 사용하는데, 이 경우 암호화된 메시지를 웹 페이지와 함께 사용자에게 발송하며 해독을 위해서는 센드메일 어플라이언스에 접속하는 형태를 취한다. 인증이 완료되면 사용자가 SSL 암호화 웹 페이지를 수신한다.

PGP의 경우 어도비와 협력해 PDF 파일에 메시지를 암호화하고 있다. PGP는 90% 이상의 인터넷 사용자들이 PDF 파일을 볼 수 있는 것으로 추정해 수신자의 프로세스가 효율화될 수 있을 것으로 판단하고 있다. 하지만 비밀번호 전송 시에 난제가 아직 남아있는데, 서버에 대한 연결을 필요로 한다는 점이다. 이러한 접근 방법은 수신자와 송신자가 이미 서로 관계를 맺고 있으며 비밀번호를 교환한 적이 있는 경우에 효과적이다. 대표적인 사례를 들면, 이메일을 통해 학생들에게 성적을 전송해주는 대학으로, 새로운 비밀번호보다는 기존 비밀번호를 사용해 암호화가 이루어진다.

여러 가지 문제점에도 불구하고, 기밀 정보를 즉시 전송할 수 있으며 일반적인 우편보다 이메일로 전환할 경우 거둘 수 있는 비용 절감의 장점으로 인해 벤더들은 현재의 제약을 해결할 수 있는 기술 혁신을 계속해서 추진하고 있다.

◆데이터 누출 보안(DLP) 기능을 이메일 시스템에 통합=방법론이 결정되었다면 메일 시스템은 어떤 메시지를 암호화할 것인지 판단해야 한다. 금융 자료와 의료 데이터라면 문제가 없다. 여기에서의 가장 큰 추세는 데이터 누출 보안(DLP) 기능을 이메일 시스템에 통합하는 것으로, 컨텐츠 보안을 위해 메시지를 암호화하는 규칙을 수립할 수 있게 해준다.

또 다른 '옵션' 역시 모든 것을 암호화하는 것이다. 거의 대부분의 벤더들이 메일 서버간의 전체 데이터 연결을 암호화하는 SMTP-TLS(Transfer Layer Security)를 지원하고 있다. 이러한 접근 방법의 이점은 사용자들에게 끊김이 없는 서비스를 제공하는 동시에 전송되는 모든 데이터를 보호할 수 있다는 것이다. 단점은 기존에 관계를 맺고 있는 파트너에 한해서만 작동하는 SMTP-TLS에 의존해야 한다는 것이다. 암호화가 필수적일 경우 SMTP-TLS를 지원하지 않는 서버로 보내기를 거부하는 메일 서버에 대한 컨피규레이션 역시 필수적이다.

또한 SMTP-TLS가 메일 서버간에 이동하는 메일만을 보호할 수 있어 통제 구역을 벗어난 곳에서 메시지가 가로챔을 당할 가능성도 있다. 수신자의 편지함에 보관될 때 메시지는 평이한 텍스트로 작성되기 때문에 수신측에서 메일 서버가 감염되었을 수도 있다는 위험성을 사전에 인지하고 있어야만 한다.

그렇다고 해서 SMTP-TLS가 유용하지 않다는 것은 아니다. 모든 형태의 보안 기제처럼 장단점을 충분히 고려해 도입해야 한다는 의미이다.
저작권자 © 컴퓨터월드 무단전재 및 재배포 금지