‘과민 반응은 금물’ 버그 발견시 보안 담당자가 고려해야 할 3단계

최근 전세계 웹페이지 서버에 영향을 줄 수 있는 배시 버그(BASH Bug)로 인해 혼란이 일어나고 있다. 그러나 하늘이 무너진 것은 아니다. 이번에 발견된 버그는 처음도 아니고 마지막일 수도 없다. 문제의 영향과 규모를 생각하면 관심을 가져야 하지만 핵심은 적절히 대응하는 것이다. 궁극적으로 문제를 감지하고 이에 맞추어 대응하는 능력을 갖춰야 한다.

새로 발견되는 문제들을 세밀하게 설명하면 동료들이 피로를 느끼고 결국 무시하게 될 수도 있다. 우리가 정말로 주의를 기울이고 조치를 취해야 할 때는 언제일까?

"모두에게 영향을 끼치는 최악의 버그"라는 제목으로 전 직원에게 이메일을 뿌리기 전에 잠시 시간을 갖고 회사의 보안은 유지하면서도 적절히 대응할 수 있는 계획을 세워보자.

계획을 세울 때에는 이 기사에서 설명할 3단계를 거치는 것이 좋다. 적절히 실천할 수 있다면, 자신감을 갖고 계획하고, 결정하고, 행동을 하는데 도움이 될 것이다.

1. 이해하는 시간을 가져라
모두가 조치를 요구하는 것 같을 때, 우선 심호흡부터 한다. 문제, 심각성, 잠재적인 결과와 영향을 파악하는 시간을 갖는다. 뉴스와 분석은 계속 변화하며, 새로운 발견사항과 통찰이 나타날 것이다. 일반적으로 상황과 결과가 더 명확해진다.

초기 단계에서는 이해를 위해 필요한 정보 수집에 초점을 맞추면서, 다음과 같은 기본적인 목표를 고려한다.

♦ 양질의 정보를 확보하여 상황을 잘 이해한다. 초기 분석 중에는 이런 이해가 어려울 수 있으며 탄탄한 통찰력에 소문이 섞이게 된다. 다른 사람들에게 도움을 받고 그들의 통찰력을 공유한다.

♦ 다른 사람들에게 설명할 방법을 찾아라. 조치를 취해야 하는 여러 사람이 포함된다. 이는 팀이 공통의 이해를 공유하고 동료들이 이해하며 스스로가 경영진에 설명할 준비를 하는 능력일 수 있다.

♦ 조직의 운영 방식을 고려하라. 누가 관여해야 할까? 어떤 프로세스와 절차를 따라야 할까? 예상되는 규모와 필요한 대응 속도는 무엇인가?

여러 측면을 고려함으로써 초기 분석과 다른 사람들의 권고사항을 검토할 시간을 벌 수 있다. 또한 이 과정에 동료들을 함께 참여시켜야 한다. 바퀴를 다시 발명할 필요는 없다. 우리는 여기에서 좋은 정보, 설명, 권고 조치를 발견하고 공유해야 한다.

타인과의 (그리고 팀/플랫폼을 통한) 협력 가능성이 있을 때, 핵심은 의사소통의 일관성과 명확성이다. 프로세스 초기에 투자하여 개선 프로세스를 복잡하게 만드는 의사소통의 마찰을 극복한다.

모두가 바쁘다는 사실을 염두에 둔다. 대부분의 사람들은 자신만의 문제가 있다. 그들에게 다른 비상사태를 언급하면 더 많은 스트레스와 함께 업무를 더욱 복잡하게 만들게 된다. 그들이 지금 집중하는 것보다 이것이 더 중요하다고 생각된다는 이유만으로 그들이 무조건 동의할 것이라거나 우리가 옳다고 단정지을 수는 없다.

목소리를 높이는 대신에 조치 사례를 어떻게 구성할지 생각하라. 회사의 상황과 비즈니스적 결과물을 고려하고 모두가 필요한 것을 얻는 방법을 생각한다.

2. 자신의 환경을 신속히 평가하라
대부분의 새롭게 발견된 취약성과 마찬가지로 위험을 평가하는 다양한 방식이 등장하고 있다. 확인작업이 수작업에서 자동화로 변화하고 있다. 인기 있는 툴들 또한 기능을 업데이트 하고 있다. 개발업체가 어떤 도움이 될 수 있는지 확인한다.

가능한 재고확인 및 평가를 수행한다. 기다리는 것보다는 조치를 취하는 것이 일반적으로 더 낫다. 잠재적이 위험의 규모를 파악하는데 집중한다. 평가를 이용해 대응조치를 확대하고 조직을 위한 모든 노력을 고려하라.

다른 사람들도 참여시킨다. 그들의 능력과 경험을 이용해 잠재적인 영향의 범위를 평가한다. 기업 및 다른 팀들이 이 과정에 노출되고 무엇이 잘못될 수 있는지에 관한 설명을 들으면 결론이 더 정확해지고 타인들을 통해 유효성을 확보할 수 있다.

필요한 높은 수준의 접근방식, 단계 자원을 확보하는 시간을 갖는다. 조치를 시험하고 예상되는 시한, 비용, 결과를 제공하기 위해 필요한 시간과 노력을 예측한다. 잠재적인 문제와 해결해야 하는 복잡한 요소들을 규명한다.

3. 대응의 우선순위를 결정할 때 감지를 고려하라
지난 주 배시 버그에 관한 뉴스가 나왔지만 공격자들이 이미 악용했을 수 있다. 누군가 취약성을 이용해 기기를 해킹했는지 감지할 수 있는가 (잠재성을 보고하는 것과는 반대의 상황)?

우리는 예방할 수 있는 단계를 넘어섰기 때문에 감지와 대응에 집중해야 한다. 공격자가 배시 버그를 악용할 수 있게 되면 언제든지 알 수 있어야 한다. 가능한 빨리 발견하고 이런 기기들을 개선하는 것이 중요하다.

궁극적으로 대응의 우선순위는 취약한 시스템, 감염된 시스템, 시험 및 패치 관리를 관장하는 정책/프로세스의 복합체에 영향을 받는다. 우선 가장 중요한 시스템에 초점을 맞추고 체계적으로 균형을 해결한다.

어떤 조치가 최상의 결과를 낳는가?
광범위한 산업 측면의 문제에 대한 적절한 대응책을 고려하고 조율할 때 "느리면 부드럽고 부드러우면 빠르다"는 말을 기억한다.

조치계획을 구성하는데 처음부터 끝까지 몇 시간에서 하루나 이틀까지 소요될 수 있다. 이런 3단계를 거치는 시간을 가지면 종종 대응에 방해가 되는 의사소통의 마찰을 줄일 수 있다. 이를 통해 더욱 빠른 개선이 가능하다. editor@itworld.co.kr