인디오슬롯 | 홀덤챔피언의 잘못된 업데이트로 전 세계적으로 발생한 대규모 윈도우 중단 사태는 몇몇 사람만이 알고 있는 기술에 얼마나 의존하고 있는지 다시 한번 분명하게 보여줬다. 심지어 그 기술을 담당하고 있는 회사 역시 마찬가지였다.

이 인디오슬롯 | 홀덤챔피언은 기술의 허점뿐만 아니라 이를 사용하는 수십억 달러 규모의 업체가 가진 근시안적 사고와 무능함에 세상이 얼마나 취약한지를 보여주는 사례이다. 특히 지난 수년 동안 수천 번 수행된 평범한 보안 업데이트가 잘못됐는데, 이유는 단지 크라우드스트라이크가 충분히 주의를 기울이지 않았기 때문이다.

이번 사건의 여파로 이런 일이 다시는 발생하지 않도록 보안 업데이트 처리 방식을 변경해야 한다는 지적이 제기됐다.

가장 인디오슬롯 | 홀덤챔피언 것은 크라우드스트라이크는 물론, 다른 어떤 업체도 윈도우의 핵심 부분에 대한 액세스를 허용해서는 안 되며, 이는 윈도우를 사용하는 모든 시스템에서 충돌을 일으킬 수 있다는 것이다. 윈도우의 가장 취약한 부분은 마이크로소프트만이 건드리도록 하면 운영체제를 안전하게 지킬 수 있다는 생각이다. 이런 주장을 하는 사람들은 많은 업체가 윈도우의 핵심을 만질 수 있게 되면 그 중 하나가 오류를 일으켜 크라우드스트라이크와 같은 대규모 충돌이 더 많이 발생할 수밖에 없다고 말한다.

하지만 정말 인디오슬롯 | 홀덤챔피언 그렇게 하면 문제가 해결될까? 이를 파악하기 위해서는 먼저 운영체제의 충돌이 어떻게 발생했는지 살펴볼 필요가 있다.

재앙적 장애의 해부학
크라우드스트라이크는 기업에 보안 소프트웨어를 제공하며 “엔드포인트와 클라우드 워크로드, ID, 데이터 등 가장 중요한 위험 영역을 보호해 오늘날의 공격자들보다 앞서 고객을 보호하고 침해를 막는다”고 주장한다.

포춘 500대 기업 중 298개, 상위 10대 금융 서비스 업체 중 8개, 상위 10대 의료 서비스 업체 중 6개 등 세계 유수의 기업에서 널리 사용되고 있다는 것이 크라우드스트라이크의 설명이다.

크라우드스트라이크의 보안 플랫폼은 다른 많은 보안 소프트웨어와 마찬가지로 기본적으로 일종의 보안 엔진인 ‘팔콘 센서’와 팔콘 센서가 잠재적인 사이버 공격 및 멀웨어를 확인하는 데 사용하는 데이터를 포함하는 ‘신속한 대응 콘텐츠’의 두 가지 주요 부분으로 구성된다.

팔콘 센서는 자주 업데이트되지 않지만, 신속 대응 콘텐츠는 지속적으로 업데이트되며 때로는 하루에 여러 번 업데이트되기도 한다. 이는 사이버 공격과 멀웨어가 끊임없이 진화하고 있기 때문이다. 신속 대응 콘텐츠에는 새로운 잠재적 공격에 대한 정보가 포함되어 있으며, 팔콘 센서는 해당 정보를 사용해 기업을 보호한다. 따라서 더 자주 업데이트할수록 기업은 더 안전해진다.

팔콘 센서와 신속 대응 콘텐츠는 모두 운영체제의 핵심인 윈도우 커널에 액세스할 수 있다. 즉, 크라우드스트라이크 업데이트에 문제가 발생하면 윈도우가 충돌을 일으키고 운영체제를 다시 시작하기가 어려워질 수 있다.

사고는 바로 이 지점에서 일어난다. 크라우드스트라이크는 신속 대응 콘텐츠 업데이트를 제대로 검사하지 않았고, 업데이트를 받은 모든 윈도우 시스템을 죽음의 블루스크린과 함께 다운시켰다. 이 문제가 윈도우 커널에 영향을 미쳤기 때문에 윈도우를 다시 시작해도 문제가 해결되지 않았다. 잘못된 업데이트가 설치된 모든 PC를 수동으로 재시작하고 안전 모드로 부팅한 다음 파일 탐색기를 통해 Windwos> system32> drivers> CrowdStrike로 이동해 특정 파일을 삭제해야 했다. 결함이 있는 업데이트에서 복구하는 데 시간이 오래 걸렸던 이유는 작업을 수행할 수 있는 IT 직원이 충분하지 않았기 때문이다.

크라우드스트라이크가 윈도우 커널에 잘못된 업데이트를 허용한 이유 중 하나는 신속 대응 콘텐츠 업데이트가 팔콘 센서 업데이트만큼 포괄적인 검사 절차를 거치지 않기 때문이다. 크라우드스트라이크는 신속 대응 콘텐츠 업데이트가 잘못된 센서 업데이트만큼 해를 끼칠 수는 없다고 생각한 것 같다. 크라우드스트라이크는 잘못된 생각이었음을 인정하고 문제를 신속하게 해결하겠다고 약속했다.

더 나은 보안을 위한 마이크로소프트의 제안
충돌이 발생한 직후, 마이크로소프트의 윈도우 서비스 및 배포 프로그램 관리 담당 부사장 존 케이블은 블로그 포스트를 통해 향후 광범위한 충돌로부터 윈도우를 더 잘 보호할 수 있는 방법에 대해 이야기했다. “이번 사건은 윈도우가 엔드 투 엔드 복원력 영역에서 변화와 혁신을 우선시해야 한다는 것을 분명히 보여준다”라는 평범한 말과 함께 케이블은 보안 솔루션 업체가 윈도우 커널에 액세스할 필요가 없는 기술을 사용할 것을 권장했다.

크라우드스트라이크를 포함한 많은 보안 솔루션 업체는 케이블의 발언이 보안 솔루션 업체의 윈도우 커널 액세스를 차단하기 위한 첫걸음이라고 생각했다. 마이크로소프트는 너무 많은 업체가 커널을 사용할 수 있도록 허용하면 윈도우의 보안이 약해지고, 커널에 액세스하는 업체가 많아질수록 오류가 발생할 기회도 많아진다고 주장할 수 있다. 보안 솔루션 업체는 이런 식의 접근이 본질적으로 마이크로소프트의 땅따먹기라고 본다. 만약 보안 솔루션 업체의 윈도우 커널 액세스가 거부되면 마이크로소프트가 보안 시장을 장악할 수 있기 때문이다.

예를 들어 클라우드플레어의 CEO 매튜 프린스는 “잊지 말아야 할 것은 마이크로소프트도 세션 서명 키를 적절히 보호하지 못해 외부 공격자가 모든 고객의 이메일을 읽을 수 있게 하는 실수를 저질렀다. 우리는 아직도 #EternalBlue의 영향이 얼마나 심각한지 알지 못한다”라고 경고한다.

현재로서는 마이크로소프트가 커널에 대한 접근을 금지하고 싶어도 그렇게 할 수 없다. 2009년 유럽연합과 맺은 계약에 따라 보안 솔루션 업체의 커널 접근을 보장하고 있기 때문이다. 하지만 마이크로소프트는 크라우드스트라이크의 실패를 협상을 재개하기 위한 수단으로 사용할 수도 있다.

마이크로소프트만 커널 액세스 권한을 가진다면 윈도우가 더 안전할까? 당연히 아닐 것이다. 프린스의 말처럼, 마이크로소프트도 큰 실수를 저지른 전력이 있다. 필자는 특히 중국 스파이가 지나 라이몬도 미국 상무부 장관, 니콜라스 번스 주중 대사, 돈 베이컨 하원의원(R-NE) 등 미국 고위급 정부 관리의 계정을 해킹할 수 있게 한 허술한 보안 프랙티스를 자주 지적했었다.

윈도우를 더 안전하게 만드는 가장 좋은 방법은 신뢰할 수 있는 보안 솔루션 업체에 윈도우 커널에 대한 액세스 권한을 부여하는 것이다. 마이크로소프트의 보안 이력을 고려할 때 마이크로소프트 단독으로 맡는 것보다 집단 보안이 더 나은 방법이다. 이는 크라우드스트라이크 사태 이전에도 그랬고, 그 이후에도 마찬가지이다.
editor@itworld.co.kr

원문보기:
https://www.itworld.co.kr/opinion/347589#csidx9f370b07499ec9c8af7930cec3c0ccd