MS에 물었다 "보안패치 더 잘할 수 없나요?"

출처 : http://www.zdnet.co.kr/news/network/security/0,39031117,39167906,00.htm

 

 

마이크로소프트(MS) SW들은 막강한 점유율만큼 많은 해킹 공격에 시달린다. 공격자들은 윈도나 오피스 등의 취약점을 찾으려 혈안이 돼있고, 이에 맞서 MS는 보안패치를 만드느라 전쟁을 치른다.

하지만 해킹은 방어보다 공격이 유리한 법. MS 보안패치는 심각한 취약점을 종종 놓쳐 사용자 기대를 저버리는 것도 사실이다.

15일 지디넷코리아는 소프트포럼 주최 보안컨퍼런스(코디게이트)에 참석한 앤드류 쿠쉬먼 MS 보안대응센터 이사를 만나 ‘패치 업데이트’에 대한 궁금증을 풀어봤다. 윈도우 사용자가 달마다 다운받는 보안패치는 쿠쉬먼 이사 작품이다.

Array

사이버 공격이 날로 심해진다. 보안패치 만들기가 전보다 힘들 듯한데...
그렇다. 점점 MS 보안대응센터서 일하기가 힘들어진다. 보안패치를 한번 내놓으면 몇 달은 안심하던 시절이 있었지만 이제는 며칠, 아니 몇 시간도 마음이 편치 않다.

그렇다면 보안패치 주기를 더 당겨야 하지 않는가? 지금의 월 1회로는 무리라는 지적이 있다.
주기를 당긴다고 사용자 안전도가 올라가지는 않는다. 보안패치를 정교히 만들 시간도 필요하다. 단, 비상시에는 긴급 패치를 내놓는 등 유기적으로 대응하기도 한다.

하지만 MS가 대응하지 못한 취약점이 너무 많다. 때로는 시만텍 등 보안기업들이 MS 취약점을 발견하기도 한다.
기업마다 취약점을 보는 기준이 다르기에 나온 결과다. 다른 보안기업들이 무엇을 기준으로 MS 취약점을 규정했는지 모르겠다. 앞으로 MS와 보안업계가 모여 일괄된 취약점 기준을 만드는 것도 필요하다고 본다.
단, 강조하고 싶은 것은 MS 보안대응은 경쟁사 보다 훌륭하다는 것이다. 블랙햇 컨퍼런스 등에서도 애플보다 MS 보안이 우수한 것으로 나타났다.

공격자들이 MS 취약점을 만들어 파는데 어떻게 생각하나?
여기에 대해 할 말이 많다. 요즘 암거래 시장은 MS 취약점 판매로 활기를 띄고 있다. 미국, 러시아, 중국 범죄 조직들이 주를 이루며 고객 요구에 따라 공격 기술지원도 해준다. 한번은 ‘MS가 패치 대응을 하면 다시 깨주겠다’는 사후 서비스(?) 광고도 봤다. 정말 어이없는 노릇이다.
덧붙이자면 3년 전 프랑스의 젊은 해커가 MS 오피스 취약점을 찾아 이베이 경매에 올린 적이 있다. 이베이 규정 상 삭제됐지만 그 이전까지 7명이 경매에 참여해 충격이었다. 이후 오피스 취약점에 대한 관심이 폭발, 비슷한 사례가 쏟아졌고 미디어플레이어나 OS로도 번졌다.

Array

앞으로 사용자 보안강화를 위해 어떤 대책이 있는가?
앞서 밝혔듯 월 1회 보안패치 정책은 그대로 유지할 것이다. 허나 공격이 예상될 때 미리 보안패치를 제공하는 조기 대응에 무게를 둘 계획이다. 물론, 전 세계 공격자를 막아내는 것이 쉽지 않지만 MS가 해야 할 일이다. 또, 단순 패치보다 고객에게 보안 생태계를 이해시키는 것도 큰 사업으로 생각하고 있다.

MS 일각에서 보안패치를 악성코드처럼 강제 설치하려는 연구도 있어 논란이다. 이것도 그 ‘사전예방’에 속하나?<관련기사>
그 연구가 논란을 부른 것을 잘 알고 있다. 하지만 연구는 말 그대로 연구일 뿐 현실화 된다는 보장은 없다. MS에서는 무수히 많은 ‘순수연구’를 지원하지만 상품으로 나오는 것은 많지 않다. 그만큼 검증을 철저히 하기 때문이다.
개인적으로 보안패치 강제적용은 ‘차선책’으로 본다. MS 시스템 매니지먼트 서버로 유연한 패치전략을 구현하는 것이 우선이며, 이것이 효과가 없을 때 강제적용을 고려할 수 있다.

끝으로 한국 사용자들에게 한마디 남긴다면?
MS 보안패치 업데이트를 무시하지 않기 바란다. 물론, 보안패치로 공격을 100% 막을 수는 없지만 상당히 도움이 되는 것은 사실이다.
또 MS가 악의적 해킹 조직들에 맞서 보안노력을 게을리 하지 않음도 알아 달라. MS는 기술적인 사업 뿐 아니라 젊은 해킹 인재들을 양지로 이끄는 노력도 강화하고 있다. 내가 한국 보안컨퍼런스에 온 것도 그 일환이다. @

 

 

정말이다. 보안패치는 무시할것은 못된다.

MS가 오픈소스 진영보다 보안에 취약하다는건 드러났으나.. 사실 일반 사용자가 보안 신경써봤자 아니겠는가?

하지만 MS쪽 보안도 상당히 괜찮다고 생각한다.

뭔소리냐고요? 엿이나 먹으라고요? 병신MS라고요?

그렇게 말씀하시기 전에 일단 Administrator 계정에 권장수준 암호를 입력해 넣으시고, 사용은 Administrator 이외 그룹의 계정으로.

아마 프로그램 설치할때마다 로그아웃/로그인이 필요할것입니다.

물론 시스템 진입시에 패스워드 입력은 필수.

개인 PC에 그정도까지 하는것도 어불성설이지.

리눅스 사용자들이 MS를 까는건 그런 시스템이 안되어 있다는 것도 한몫 하지만, 마음만 먹으면 아주 힘들게 윈도우를 이용할 수도 있다는 것이다.

쉽게 이용할 수 있다는 것은, 보안에 취약하다는 것.

그리고, 보안을 강화한다는 것은, 사용자들에게 불편함을 주는것.

실제로 비스타가 싫다는 분들 몇몇은 그 보안시스템 때문에 그런것도 있다.

개인정보 보호를 원한다면 약간의 불편함 정도는 느낄수밖에 없다.

글을 읽는것도 마찬가지 아니겠는가?

정보의 바다 인터넷에서 원하는 정보를 원하려면 수많은 필터링을 거쳐야 하지 않은가.