크라우드스트라이크가 부른 '윈도 OS 스트라이크 사태'…재발 막을 방안은?

(공정경제) 박광하 기자 = 정보보호 솔루션 기업 크라우드스트라이크(Crowd Strike)의 보안 제품이 업데이트 과정에서  마이크로소프트 윈도 운영체제(MS Windows OS)와 충돌을 일으켰다. 이로 인해 전 세계 각종 주요 시스템이 작동 중지되면서 다양한 피해가 발생했다. 정보보호 전문가들은 비슷한 사건의 재발 방지를 위해 OS에 비종속적인 하드웨어 레벨 원격제어 솔루션 도입과 업데이트 실시 전 충분한 테스트 진행 등의 방안을 제시했다.

크라우드스트라이크가 19일 자사의 클라우드 기반 솔루션 중 팔콘 센서(Falcon Sensor) 제품을 업데이트하는 과정에서, 해당 제품의 일부 파일이 윈도 OS와 충돌을 일으켰다.

사태를 야기한 팔콘 센서는 클라우드에 연결된 윈도 OS에 대한 공격을 차단하는 동시에 위협을 빠르게 탐지하기 위해 발생하는 활동을 캡처하고 기록하는 역할을 담당하는 엔드포인트 탐지 및 대응(Endpoint Detection & Response, EDR) 제품이다.

영향을 받은 윈도 OS 기반 시스템들은 치명적인 오류로 인해 작동 중단 시 나오는 화면인 '블루스크린'을 출력하면서 비정상 종료됐다. 해당 사태로 전 세계 윈도 OS 기반 시스템들이 오작동하면서 교통, 의료, 물류, 금융, IT 등 다양한 산업 분야에서 서비스 중단 현상이 벌어지고 있다.

조지 컬츠 크라우드스트라이크 최고경영자(CEO)는 X(옛 트위터)에서 이번 사태와 관련 "MS 윈도를 사용하는 호스트에 대한 콘텐츠 업데이트에서 결함이 발생했다. 보안 사고나 사이버 공격은 아니다"라고 밝혔다. 이후 미 NBC와의 대화에서는 "사태에 피해를 본 모든 분에게 깊이 사과드린다. 고객들과 협력해 서비스를 복구할 수 있도록 노력 중"이라고 말했다.

한국 정부는 사태 발생 직후 상황 파악과 대응 방안 마련에 돌입했다.

과학기술정보통신부는 한국MS와 함께 국내 클라우드 서비스 장애의 정확한 원인 및 국내 피해 상황을 파악 중이라고 밝혔다.

또한, 크라우드스트라이크 소프트웨어가 주요 장애 요인인 것으로 파악됨에 따라, 한국인터넷진흥원(KISA)과 함께 윈도 OS의 블루스크린 문제 비상대응팀을 구성, 긴급 대응에 나섰다.

과기부와 KISA는 보호나라&KrCERT/CC 웹사이트(www.boho.or.kr)에 문제가 되는 업데이트 파일을 삭제하는 긴급 조치 방안을 안내했으며, 이와 관련해 발생할 수 있는 사이버 공격에 대해 모니터링을 강화 중이다.

현재 국내 10개 기업에 피해가 확인돼 시스템 복구를 진행 중이거나 완료했으며, 방송통신발전기본법상 재난 장애 시 보고 의무가 있는 주요통신사업자 26개 사는 이번 사태로 인해 피해가 발생하지 않았다.

주요통신사업자들은 SKT, KT, LGU+ 등 기간통신 11개 사, 네이버, 카카오, 구글 등 부가통신 7개 사, SKB, 네이버클라우드 등 데이터센터 8개 사 등이다.

정보보호 전문가들은 이번 사태에 대해 신속한 복구 방안을 마련해야 한다고 강조했다. 또한, 클라우드를 이용하지 않는 환경에서도 이와 비슷한 사건이 얼마든지 발생할 수 있는 만큼, 자칫 이번 사건이 '클라우드 불신'으로 이어지지 않도록 해야 한다는 의견을 내놨다.

이진 사이버안보연구소장은 이번 사태에 대해 "이번 사건의 문제는 이미 블루스크린 장애가 나타나는 각각의 시스템을 안전모드로 부팅해 직접 눈앞에서 또는 원격 콘솔모드로 접근해 수동으로 복구해야 한다는 점"이라고 말했다. 그는 "기존의 서버를 포함해 IT 장비 회사들이 IPMI나 vPro 등 하드웨어 레벨의 원격제어 솔루션을 구축한 것이 얼마나 큰 가치를 가지게 됐는지 다시 한번 느낀 계기가 됐을 것"이라고 봤다.

이어서, 국내 공공 행정서비스나 주요 인프라 서비스에서 큰 피해가 발생하지 않은 사실에 대해 "대부분의 주요 인프라가 내부망에서 운영되고 자체 업데이트 서버를 통해 부정기적으로 업데이트를 하니, 이번 사태의 원인인 실시간 업데이트를 못해서 영향이 적었던 것"이라고 분석했다. 아울러, "기존의 국산 보안 솔루션을 도입한 상황에서 비슷한 문제를 겼었던 경험이 있기 때문에 업데이트를 적용하기 전 실제 업무 시스템과 유사한 테스트베드에서 먼저 적용하고 영향을 평가 후 적용하는 방식을 채택한 기관이 많다"다고 평가했다.

이진 소장은 "이번 사태로 인해 클라우드 기반 EDR 도입을 꺼리는 건 비상식적인 결론"이라면서 이번 사건이 클라우드 불신의 근거가 되는 데 대해 부정적인 입장을 내놨다.

그는 "이번 사건을 통해 공급사든 고객사든 업데이트의 적용 전 먼저 충분한 테스트를 거처야 한다는 생각을 가지게 되고, 하드웨어 기반 원격관리 솔루션 도입이 활성화된다면 전화위복이 될 것"이라고 말했다.

아울러 "한 기업의 실수의 결과가 공급망 공격을 받은 경우의 결과와 완벽하게 동일한 양상을 보였다"면서 "그간 국제적으로 학계, 관계, 업계에서 회자된 공급망 공격의 파괴적인 결과의 예로서 연구될 사례"라고 평가했다.

국내 사이버 보안 솔루션 기업 대표 또한 통화에서 "클라우드를 기반으로 제공되는 정보보호 솔루션의 문제가 자칫 클라우드 전체에 대한 불신으로 이어져서는 안 된다. 자체 구축형(온프레미스) 시스템에서도 이 같은 문제가 얼마든지 발생할 수 있다. 중요한 점은 모든 문제를 사전에 예방할 수 없다면 사고 발생 시 빠른 복구를 하는 것"이라는 의견을 냈다.

그는 이번 사태의 재발 방지를 위한 방안으로 "기관, 기업마다 저마다의 목적에 맞는 다양한 시스템을 구성, 운영하고 있는 만큼 각 시스템에 대한 회복탄력성(Resilience)을 강화할 솔루션 도입이 필요하다"고 말했다.