최근 들어 웹 변조와 함께 해킹이 자주 등장하고 있습니다. 하지만, 대부분 대처법은 다음과 같은 과정을 거치더군요.

1. 해킹 부분 찾기
2. 해킹 부분 수정
3. 1~2번 몇 회 반복
4. 서버 재설치
5. 백신 설치
6. 방화벽 설치
7. 또다시 해킹
8. 또다시 해킹된 부분 수정
9. 1번부터 다시 시작

 위 작업은 매년 있었고, 현재도 있습니다. 하지만, 어째서 저 부분이 몇 년이 지난 지금까지 계속 반복되어야 하는 걸까요? 해킹 방법의 발달일까요? 하지만, 해킹 방법에 대한 큰 변화는 2005년의 SQL Injection이후 눈에 띄게 강력하고 획기적인 방법이 나오고 있지 않습니다. (IIS의 .htw 보안 취약점을 이용한 권한 획득 해킹이 몇 건 있다 합니다만...) 즉, 기존의 있던 길을 대부분 이용하고 있다는 것이고, 이 길만 잘 알고 있다면, 막을 수 있다는 이야기지요. 더구나 최근은 한번 당했던 곳이 계속 당하고 있습니다.

 결국, 바꿔 말하면 위의 해킹에 대한 처리 작업 순서는 잘못되었기에 같은 방법으로 계속 당하는 겁니다. 위 과정에서 빠진 게 뭘까요? 바로 원인 분석입니다. 생각을 해보면 위의 1~6번까지의 과정은 그렇게 이상하게 보이지 않습니다. 서버의 재설치나 백신 같은 보안 프로그램의 설치는 해당 회사에서 이 분야를 가장 잘 아는 분이 서버를 세팅했겠지요.

 하지만, 서버를 재설치 한다고 해서 뭐가 달라졌을까요? 함께 생각을 해봅시다. 만약, 백신이나 안티스파이웨어 같은 보안 프로그램으로 해당 부분이 수정된다면, 해킹 당했을 때 재설치가 아니라 이런 보안 프로그램의 설치로도 충분히 해결되지 않았을까요? (물론, 최악은 보안 프로그램이 시스템 파일을 깨뜨리면서 윈도우가 아예 부팅이 안 되는 경우도 있을 수 있습니다.) 방화벽도 마찬가지입니다. 방화벽으로 막는다고 막았지만, 과연 기존과 얼마나 차이가 나도록 막은 겁니까? 대부분 기존과 똑같은 설정 후, 최신 윈도우 업데이트만을 추가로 진행하지는 않은겁니까? 한마디로 말하자면,




 이미 백도어의 경우, 백신이나 안티스파이웨어로는 두 발자국 정도 느리고, 전문범의 소행인 경우 기존과는 다른 변형 단계를 사용한 흔적도 종종 보여지고, 이에 따라 수 없이 변형된 방식이 존재합니다. 최근의 백도어는 전에도 언급했다시피, 단순한 실행 파일이 아니라 루트킷을 이용해 드라이버와 같은 형식의 시스템으로 숨어듭니다. 시스템으로 숨어들게 되면, 탐색기에서 파일은 보이지 않으며, 이 정도로 당했다면, 파일의 버전과 날짜, 인증된 코드 사이닝까지도 모두 신뢰할 수 없는 단계입니다.

 해킹에 대한 최종적인 처리 방법은 재설치가 답이 아니라 해킹 당했더라도 재설치 보다는 해킹 프로그램을 찾아 제거하거나, 해당 프로그램의 권한을 완전 제거하는 것이 더 빠르고 정확한 답이 됩니다.

 보안의 가장 기본적인 원칙. 바로 "일단 막을 수 있는 건 (시스템에 장애가 발생하더라도) 무조건 막고 시작한다."는 원칙을 다시 한번 생각해야 할 때가 아닌가 싶습니다.


참고 : Windows 2003 Std 에 SP2 를 설치하려고 했으나 계속해서 실패