홈페이지 보안 및 정보보호를 고려한 홈페이지 구축의 필요성 안내

1. 개 요

 2004년 연말부터 국내 홈페이지 변조사고가 급속히 증가하고 있는데, 지난 2004년 12월 22일에서 2005년 2월 1일 사이에 변조된 국내 홈페이지는 무려 7,000여 개로써 지난 2004년 월평균 변조 건수인 401건과 비교해 급격히 증가한 것을 알 수 있다.

 

홈페이지 보안

 

홈페 변조 피해업체는 대부분 한 서버에서 다수의 웹 사이트를 관리하는 중소규모의 웹 호스팅 업체들로서, 웹 호스팅 서버에는 한 대의 시스템에 수십∼수백 개의 소기업 또는 개인 홈페이지가 운영되고 있어 이들 홈페
이지 중 하나만 해킹을 당하더라도 서버 내의 모든 홈페이지가 변조되거나 삭제될 수 있는 문제가 있다.
 
대부분의 홈페이지 변조 공격은 해외 해커그룹에 의해 이루어지고 있으며, 이 중 약 80%가 브라질 해커그룹에 의해 발생되었다.

 

홈페이지는 단순한 홍보 목적뿐만 아니라 사이버공간에서 상거래를 위한 주요 수단으로 자리매김하고 있고, 내부 DB와 연동되어 다수의 고객 정보를 보유하고 있다. 이러한 홈페이지의 변조는 피해기관에게 금전적인 손실을 야기시킬 수 있을 뿐만 아니라 국가 위상까지 저하시킬 수 있다.  
최근 홈페이지 변조사고의 원인은 대부분 국내 공개 게시판인 제로보드 등 PHP 기반 애플리케이션의 보안 취약점으로 확인되고 있다. 지난 연말 이후 해외 주요 보안 사이트에 국내 웹 애플리케이션의 보안 취약점이 알려지 면서 국외 해커들에 의한 국내 홈페이지 변조사고가 급속히 증가하였다. 특히, 최근 PHP Injection이라고 불리는 공격방법에 의해 많은 공격이 이루어지고 있다. PHP Injection은 PHP에서 제공하는 http 또는 ftp 프로토콜을 통한 외부 사이트의 소스를 실행할 수 있는 기능을 이용하여 공격자는 피해업체 서버에서 임의의 명령실행이나 공격도구를 설치할 수 있는 공격 방법이다.
 
웹 애플리케이션의 보안취약점을 이용한 해킹사고의 증가는 Symantec사의 「Internet Security Threat Report(2004년 9월)」에서도 확인할 수 있다. 
 
이 보고서에서는 2004년 상반기에 공격자가 가장 선호한 공격 포트는 80번(웹 서비스)이며, 이는 전체 공격 포트 중 30%를 차지한다고 지적하였다. 
이 수치는 2003년 하반기에 비해 10% 정도 증가한 것으로 홈페이지에 대한 공격의 증가를 확인할 수 있다. 
 
또한, 2004년 상반기에 발표된 신규 취약점 중 479개의 취약점(전체 취약점 수의 38.7%)이 웹 응용 프로그램과 관련되어 있어, 2003년 하반기의 31%보다 8%가량 증가하였다. 즉 최근 웹 애플리케이션의 보안 취약점이 많이 발견되고 있고, 이들을 공격하기 위한 웹 포트로의 공격도 크게 증가하고 있음을 알 수 있다.

 

 

안전한 홈페이지 서버를 구축하기 위해서는 네트워크, 호스트, 어플리케이션 등 각 계층에서 보호할 수 있는 다단계적인 보안 접근법(Defense￾In-Depth)이 요구된다. 각 계층에 걸쳐서 정보보호의 위협을 평가하고 이에 따른 대책을 정의하여야 한다.
 
본 가이드에서는 최근 대부분의 홈페이지 변조사고의 원인이 게시판 등 웹 애플리케이션 자체의 보안 취약점에 있으므로, 웹 애플리케이션의 보안 보안대책을 중점적으로 다루고자 한다. 
 
본 가이드는 홈페이지 개발자가 자체적으로 웹 애플리케이션이나 웹 컨텐츠를 개발할 때 활용할 수 있으며, 홈페이지 운영자가 주요 공개 웹 애플리케이션의 취약점 정보를 파악함으로써 안전한 운영을 하는데도 활용할 수 있을 것이다.
 
홈페이지 변조 현황과 사고 사례를 소개함으로써 국내 홈페이지 변조의 피해 규모와 세부 분석 결과를 살펴본다.
 
홈페이지 개발 시 발생될 수 있는 대표적인 10가지의 보안 취약점과 그 대책에 대해 설명한다. 여기서는 각 취약점에 대한 구체적인 설명과 이 취약점을 확인할 수 있는 방법 그리고, PHP, ASP, JSP 등 주요 웹 개발 언어별 안전한 코딩 예를 제시하도록 한다.
 
국내 홈페이지 구축시에 많이 사용되는 게시판, DB 등 웹 관련 프로그램들의 보안 취약점과 그에 대한 대책을 살펴보도록 한다.

 

 

2.  정보보호를 고려한 홈페이지 구축의 필요성

 
홈페이지 서버를 포함한 정보시스템의 정보보호를 제공하는 방법은 일반적으로 추가(Add-on) 방식과 내장(embedded) 방식의 두 가지 방법이 있다.
 
추가 방식은 정보시스템의 설계 또는 구축 이후에 정보보호 제품이나 정보보호 시스템을 추가 구현하는 방식이다. 홈페이지 서버 보안을 위해서도 웹 방화벽과 같은 추가적인 보안장비를 도입하는 것이 추가방식이라 할 수 있다. 이 방법은 정보보호 요구사항이 시스템 설계에 충분히 반영되지 않았을 경우 적용할 수 있는 방법이지만 정보보호 제품과 정보 시스템 간의 상호운용성 문제로 정보보호 제품 및 운영 중인 정보시스템의 변경이 요구되는 등 성능 및 비용 측면에서 비효율성이 야기될 수 있는 문제점이 있다. 하지만 이미 구축되어 있는 많은 웹 서버가 보안이 고려되지 않았으며 최근 공격대상이 웹 서버에 집중되고 있는 점을 고려한다면 추가방식에 의한 웹 보안도 고려할 만하다.
 
둘째, 내장 방식은 정보시스템 계획 단계에서부터 정보보호 요구사항을 파악하여 정보시스템 분석 및 설계에 정보보호 기능을 구현하는 방식으로, 초기에는 정보보호 요구사항 파악 및 기능 구현을 위한 시간과 노력이 요구되나 다른 정보시스템 기능과 원활한 상호운용성을 제공할 수 있어 결과적으로 비용효과적인 방식이라 할 수 있다.
 
많은 웹 개발자들은 홈페이지를 구축할 때 효율성 및 편의성에 치중하여 설계․구축 단계에서 정보보호를 고려하지 못하고 있다. 또한, 홈페이지의 특성상 외부에 공개될 수 밖에 없고, 일반적인 침입차단시스템에 의해서 보호받지 못하고 있어 최근 많은 해킹사고가 발생되고 있다. 해커에 의해서 뿐 아니라 업체의 모의해킹 시에 주요 공격 대상이 되고 많은 취약점이 발견되는 곳이 홈페이지 서버이다.

 

이미 구축되어 있는 홈페이지 서버의 보안취약점을 수정하는 것은 기존의 운영되고 있는 서비스에 영향을 미칠 수 있을뿐만 아니라 많은 비용이 수반될 수밖에 없다.
 
정보보호 전문가에 의하면 추가 방식이 내장 방식에 비하여 10배의 추가 비용이 발생하는 것으로 나타났으며(Woods, 1996), MIT 경제학자 Hoo et al.(2001)의 연구에서도 정보시스템 개발 초기부터 정보보호 요구사항을 반영하면 유지 보수 과정의 많은 비용을 절감할 수 있는 것으로 나타났다. 특히, Hoo et al.(2001)의 연구는 정보보호 투자 수익률(Return On Security Investment)을 밝히기 위해 정보시스템 개발의 각 단계에서 정보보호 취약성을 수정하는데 드는 비용의 절감 효과를 측정한 것으로, 연구 결과 아래 그림과 같이, 정보시스템 개발의 각 단계 중 설계 단계에서 정보보호가 고려될 경우 21%, 구현 단계에서는 15%, 시험 단계에서는 12%의 비용이 절감될 수 있음이 실증적으로 확인되었다.

 

홈페이지 서버의 경우도 이미 구축․운영되고 있는 서버에서 정보보호를 반영하기 위해서는 보다 많은 비용이 수반될 뿐만 아니라 해킹사고 발생으로 인해 서비스 장애로 인한 영업손실, 기업 이미지 실추, 고객 정보유출 등의 피해도 발생될 수 있음을 감안해야만 할 것이다.