검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'뽐뿌아이디가입대행 [ 문의텔레 Tway010 ] Facebook비즈니스계정판매 트위터 해킹 계정대행,MOd'통합검색 결과 입니다. (1565건)

영역
기간
- 3개월
- 1년
- 1년 이전

재검색

한싹, 국방 보안통제시스템 '시큐어게이트 CDS' GS인증 1등급 취득

한싹(코스닥 430690, 대표 이주도)은 자사 국방 보안통제시스템 '시큐어게이트 CDS(SecureGate Cross Domain Solution)'로 GS인증 1등급을 취득했다고 18일 밝혔다. GS인증(Good Software Certification)은 ISO 국제표준 평가모델을 기반으로 소프트웨어 품질을 검증하는 국가인증제도다. 기능성, 신뢰성, 효율성, 사용성, 유지보수성 등 제품의 전반적인 요소를 객관적으로 평가한다. 한싹은 한국정보통신기술협회(TTA)의 엄격한 심사를 거쳐 '시큐어게이트 CDS'의 기술적 완성도와 품질 우수성을 인정받아 최고 등급을 획득했다. 시큐어게이트 CDS는 국방망 체계 간 연동 시 필수적인 보안 연계 솔루션으로, 국가보안기술연구소에서 인증한 국가지정 보안통신규격 CDE(Cross Domain Encryption) 프로토콜 기술을 이전 받아 개발됐다. 국가정보원의 보안기능확인서를 획득해 국방망에서 요구되는 보안 통제 사항을 모두 충족하며, 최고 수준의 안정성과 성능을 제공한다고 회사는 밝혔다. 이 솔루션은 하드웨어와 소프트웨어가 통합된 비연결형 자료전송체계를 구현해 직접 연결 없이도 안전한 정보 접속과 전송이 가능하다. 주요 기능은 ▲악의적인 물리적 접근 시 암호화 키 소거 ▲CDE 프로토콜을 이용한 패킷 레이블링 검사 ▲악성 콘텐츠 필터링 및 차단 ▲IP/Port 기반의 필터링 및 접근제어 ▲도메인 간 정보 전송 시 데이터 파싱(Parsing) 처리 ▲실시간 악성코드 및 데이터 무결성 검사 등이 있다. 특히 하드웨어 기반의 암·복호화 키 생성, 교환, 관리, 소거 등 강화된 보안 기능을 통해 해킹 시도가 발생하더라도 중요 데이터의 위변조를 원천 차단하는 것이 특징이다. 또한, Non-TCP/IP 기반으로 연동 대상별 맞춤형 어댑터를 제공해 다양한 국방 네트워크 환경에서도 높은 호환성을 갖춘 것이 강점이다. CDS 기술은 국방 뿐 아니라 금융, 공항, 항만, 국가 기반시설 산업제어시스템 등 높은 수준의 보안이 요구되는 분야에 적용할 수 있다. 국방 분야에서는 CDS 기술 도입이 의무화되면서 관련 시장 규모가 더욱 커질 전망이다. 이주도 한싹 대표는 “국내 CDS 제품 중 제조사가 직접 전국망 규모로 구축부터 기술 지원까지 일괄 제공하는 곳은 한싹이 유일하다”며 “GS인증을 통해 입증된 기술력을 바탕으로 국방, 방위산업, 공공 등 국가 안보 시장에서 사업 확대를 가속화할 것”이라고 밝혔다.

2025.02.18 20:24방은주

머스크의 '그록3', 추론-미니 추론 2종 나와…1주일 후 음성 모드 추가

테크크런치(TechCrunch)가 19일(현지 시간) 보도한 내용에 따르면 일론 머스크의 인공지능 기업 엑스AI(xAI)가 17일(현지시간) 새로운 AI 모델 '그록3(Grok 3)'을 공개했다. 이와 함께 그록 iOS 앱과 웹 앱의 새로운 기능도 선보였다. 그록3는 오픈AI(OpenAI)의 GPT-4o와 구글(Google)의 제미나이(Gemini)에 대항하는 모델이다. 이미지 분석과 질문 응답이 가능하며, 머스크의 소셜 네트워크 X(구 트위터)의 다양한 기능을 지원한다. 엑스AI는 멤피스에 위치한 대규모 데이터센터에서 약 20만 개의 GPU를 활용해 그록3를 학습시켰다. 머스크는 X를 통해 "그록3가 이전 모델인 그록2보다 10배 더 많은 컴퓨팅 파워로 개발됐다"고 밝혔다. 그록3는 '그록3 추론(Grok 3 Reasoning)'과 '그록3 미니 추론(Grok 3 mini Reasoning)' 등 여러 모델로 구성됐다. 이들은 오픈AI의 o3-미니(o3-mini)와 중국 딥시크(DeepSeek)의 R1처럼 문제를 '사고'하며 해결하는 기능을 갖췄다. 또한 '딥서치(DeepSearch)'라는 새로운 기능을 통해 인터넷과 X 플랫폼을 검색하여 질문에 대한 요약된 답변을 제공한다. X 프리미엄플러스(Premium+) 구독자($50/월)가 그록3를 먼저 사용할 수 있다. 추가 기능은 '슈퍼그록(SuperGrok)' 요금제($30/월 또는 $300/년)를 통해 이용 가능하다. 머스크는 "약 1주일 후에 음성 모드가 추가되고, 몇 주 후에는 기업용 API를 통해 그록3 모델과 딥서치 기능을 제공할 계획"이라고 밝혔다. 또한 "그록3가 안정화되면 그록2를 오픈소스로 공개할 예정"이라고 덧붙였다. 엑스AI는 그록3가 수학 문제 평가 벤치마크인 AIME와 박사급 물리, 생물, 화학 문제를 평가하는 GPQA에서 GPT-4o를 능가했다고 주장했다. ■ 기사는 클로드 3.5 소네트와 챗GPT-4o를 활용해 작성되었습니다.

2025.02.18 20:13AI 에디터

머스크 AI '그록3', 국내 게임사도 주목…"참신함 중요성 커졌다"

일론 머스크 xAI 최고경영자(CEO)가 신규 인공지능(AI) 모델 '그록3(Grok 3)'를 발표하면서, 국내외 게임사들의 AI에 대한 관심이 더욱 높아지고 있다. AI 기술이 발전하면서 게임 개발 과정에서도 AI 활용이 점점 확대될 것으로 전망된다. 머스크는 17일 오후 8시(현지시간) 자신의 X(구 트위터)에 xAI 계정 링크를 공유하며 그록3 출시를 공식 발표했다. 지난해 8월 '그록2'를 공개한 지 6개월 만이다. 머스크는 그록3를 예고하며 "지구에서 가장 똑똑한 AI"라고 주장한 바 있다. 이날 머스크는 주요 개발진과 함께 라이브 방송에 등장해 그록3의 성능과 향후 계획을 설명했다. xAI는 이번 발표에서 그록3가 기존 언어 모델을 넘어 게임 개발 도구로 활용될 수 있음을 강조하며 시연을 진행했다. 그록3는 엔비디아의 최신 그래픽처리장치(GPU) 20만 장을 연결한 세계 최대 AI 슈퍼컴퓨터 '콜로서스'에서 사전 학습됐다. xAI는 향후 이를 100만여 개로 확대할 계획이라고 밝혔다. 머스크는 “그록3는 게임 아이디어 생성부터 코드 작성, 반복 테스트 및 개선까지 모든 개발 과정을 자동화할 수 있는 능력을 갖췄다”며 “이제 누구나 손쉽게 혁신적인 게임을 만들 수 있는 가능성이 열렸다”고 강조했다. 이날 시연에서는 그록3가 실제로 게임을 개발하는 모습이 공개됐다. '테트리스와 비주얼드를 결합한 게임을 만들어줘'라는 요청을 입력하자마자, 그록3는 게임 보드, 블록, 색상, 게임 규칙 등을 정의하는 파이썬 코드를 생성했다. 작성된 코드는 즉시 실행됐으며, 실제 게임처럼 블록이 쌓이고 같은 색 블록이 세 개 이상 연결되면 중력이 작용해 블록이 사라지는 등 핵심 기능이 구현됐다. AI가 게임 기획에서 코드 작성, 테스트까지 전 과정을 수행할 수 있음을 보여준 순간이었다. 머스크는 “그록3를 활용하면 개발자들이 더욱 창의적인 아이디어에 집중할 수 있을 것”이라며 “개발 과정이 더욱 효율적으로 바뀔 것”이라고 덧붙였다. 또한 xAI가 통해 자체 스튜디오를 설립해 AI 기반 게임을 개발할 것이라는 입장을 밝히기도 했다. 머스크는 “그록3가 테트리스와 비주월드(Bejeweled)를 혼합해 만들 때 xAI에서 AI 게임 스튜디오를 시작하면 된다. 오늘밤 출시될 것”이라며 “우리와 함께 AI 기반 게임을 개발하는 데 관심이 있다면 참여해 달라”고 말했다. 앞서 지난해 11월에도 머스크는 “xAI가 AI 게임 스튜디오를 시작할 것이며, 게임을 다시 위대하게 만들겠다”고 밝힌 바 있어, 해당 프로젝트가 단순한 구상이 아닌 실제 추진 단계에 접어들었음을 시사했다. 머스크의 발표 이후, AI를 활용한 게임 개발에 대한 관심이 커지는 상황이다. 업계에서는 AI가 게임 개발을 빠르게 진행할 수 있도록 돕는 것은 분명하지만, 동시에 차별성이 더욱 중요한 요소가 될 것이라는 의견도 나오고 있다. 누구나 손쉽게 게임을 만들 수 있는 환경이 조성되면, 단순한 AI 활용만으로는 경쟁력을 갖추기 어렵다는 것이다. 이에 대해 업계 관계자들은 참신성과 창의성을 갖춘 게임만이 성공할 가능성이 높아질 것이라고 보고 있다. 넥슨 인텔리전스랩스 관계자는 “보다 발전된 솔루션이 게임 개발에 어떻게 활용될지 흥미롭다. 나날이 발전된 AI 솔루션 연구가 진행되는 상황에서, 더 나은 퀄리티의 결과물을 만드는데 도움이 될지 다양하게 연구해 보겠다”고 말했다. 성준식 크래프톤 딥러닝본부 실장은 “xAI의 발표를 흥미롭게 지켜보고 있다. 게임 제작을 가속화하거나 새로운 가치를 부여하는 측면에서 AI의 활용이 기대된다”며 “크래프톤 역시 AI 활용을 연구하며 엔비디아 및 오픈AI와 협업을 진행 중”이라고 밝혔다. 지난해 생성형 AI를 활용한 게임 '페이크북'을 선보이며 주목받은 이유원 반지하게임즈 대표는 “AI를 적극적으로 활용해 신작 개발에 성공적인 결과를 얻었다”며 “기획과 아이데이션 단계에서 AI를 도입해 개발 시간을 단축할 수 있었다. 그록3가 상용화된다면 게임 개발 방식에도 많은 변화가 생길 것”이라고 전망했다.

2025.02.18 17:59강한결

금융보안원, SW 취약점 신고자에 최대 1천만 원 포상

금융보안원이 2025년 금융권 소프트웨어 취약점 신고자에게 최대 1천만 원 포상금과 우대 혜택을 제공한다. 금융보안원이 전자금융 보안 강화를 위해 금융권 소프트웨어 취약점 신고 포상제(버그바운티)를 확대 운영한다고 18일 밝혔다. 디지털금융 전환이 확대되면서 전자금융 소프트웨어의 설계 오류 등을 악용한 해킹 공격으로 인한 금융소비자 피해가 증가하고 있다. 이에 금융보안원은 금융권 소프트웨어에 내재된 취약점을 선제적으로 찾아내어 제거하기 위해 버그바운티 제도를 운영할 계획이다. 2025년 버그바운티는 클라우드(SaaS) 기반 금융환경 등으로 신고 대상을 확대하고, 상시신고와 집중신고 체계로 운영된다. 상시신고는 클라우드, 빅데이터 등 다양한 금융 환경의 소프트웨어와 보안솔루션을 대상으로 연중 접수하며, 시큐브, 지니언스, 지란지교소프트, 휴네시온 등 참여사 제품의 취약점은 해당 참여사가 직접 평가하고 포상한다. 집중신고는 4월부터 참여 금융회사를 모집하고 6월부터 8월까지 3개월간 모바일 앱, HTS 등 전자금융 서비스 취약점을 집중 발굴한다. 참가 방법 등 세부 사항은 금융보안원 홈페이지에서 안내할 예정이다. 금융보안원은 올해 포상금 지급 규모를 확대해 최대 1천만 원 상당의 포상금을 지급하며, 우수 신고자에게는 금융보안원 입사 지원 시 우대 혜택과 명예의 전당 등록 기회를 제공한다. 금융보안원 박상원 원장은 "금융권 버그바운티를 통해 주요 보안 사고의 시작점인 소프트웨어 취약점을 선제적으로 발굴하고 발견된 취약점을 금융회사와 개발사 등이 신속히 조치하도록 일관되고 전반적인 지원을 하고 있다"며 "SW 취약점 관리, 패치 개발, 배포 등의 통합 관리를 위한 플랫폼을 구축하는 등 금융권 소프트웨어 공급망 보안 강화를 위한 노력을 아끼지 않을 것"이라고 밝혔다.

2025.02.18 17:09남혁우

알트먼의 깜짝 고백…"GPT-4.5에서 AGI 느꼈다"

오픈AI의 샘 알트먼 CEO가 새로운 언어모델 'GPT-4.5'에 대한 흥미로운 소감을 밝혔다. 알트만 CEO는 18일(현지 시간) 자신의 소셜미디어 X(구 트위터)를 통해 "GPT-4.5를 시험해본 전문가들 사이에서 예상보다 더 강한 'AGI(인공일반지능, Artificial General Intelligence)를 느끼는 순간'이었다는 반응이 나왔다"고 전했다. 알트먼 CEO는 음성 기능과 관련된 질문에 "GPT-4.5에는 포함되지 않았지만, 향후 제품에서는 매우 중요한 부분이 될 것"이라며 "훨씬 더 나은 기능을 만들고 싶다"고 답변했다. 한편, 이번 발언은 경쟁사 엑스AI의 그록(Grok) 3 출시설이 나돌고 있는 가운데 나온 것이어서 AI 업계의 주목을 받고 있다. 이 소식은 알트먼 CEO의 게시물이 170만 회 이상의 조회 수를 기록하며, AI 개발 경쟁이 한층 더 가열되고 있음을 보여주고 있다. ■ 기사는 클로드 3.5 소네트와 챗GPT-4o를 활용해 작성되었습니다. (☞ 기사 원문 바로가기)

2025.02.18 15:08AI 에디터

AI·클라우드·공급망 등…삼성SDS, 2025년 5대 사이버 보안 위협 제시

삼성SDS가 지난해 국내외에서 발생한 사이버 보안 이슈를 분석해 2025년 주의해야 할 5대 사이버 보안 위협을 18일 발표했다. 2025년 5대 사이버 보안 위협'에는 ▲AI 악용 피싱에 대비해야… 'AI 보안 위협'▲장기 방치 자격 증명 '클라우드 보안 위협' ▲이중갈취전략으로 진화 중인 '랜섬웨어 공격' ▲오픈소스 악성코드 유입 'SW 공급망 보안 위협' ▲초연결사회의 독, OT/IoT 보안 위협이 선정됐다. 삼성SDS는 글로벌 보안 관제 센터 운영 경험을 토대로 제조·금융·물류 분야 기업 및 공공·국방 부문의 보안 전문가 400여 명을 대상으로 의견을 청취했다. 보안 위협에 대한 해결책도 함께 제안했다. 올해는 생성형 AI를 본격적으로 활용하는 기업이 늘고 있어 기업 내 보안 위협도 증가하고 있다. AI를 악용한 피싱 공격이나 악성코드 피해에 보다 정확하고 신속하게 대응하기 위해 AI 기반의 위협 탐지 및 분석, 보호 시스템 구축이 필요하다. 기업도 AI 발전 속도에 맞춰 보안 위협에 '지능형 보안 관제 시스템'으로 선제 대응하는 등의 지속적 진화가 요구된다. 팬데믹 이후 기업들은 생성형 AI, 데이터 분석 등 새로운 기반 기술과 서비스를 도입하기 위해 점점 더 클라우드 인프라를 활용하는 추세다. 하지만 잘못된 클라우드 구성 변경, 장기 방치한 '자격 증명' 노출, 기존 시스템 버전의 보안 설정 등은 보안 사고로 이어질 수 있으므로 '클라우드 환경에 맞는 보안 플랫폼'을 도입해 이를 미연에 방지해야 한다. 자격 증명은 ID와 암호, 인증서 등 자신의 신원을 확인하기 위해 제출하는 정보나 증명서를 의미한다. 랜섬웨어는 최근 데이터 암호화와 함께 정보 탈취 후 공개 협박을 병행하는 이중 갈취 전략으로 진화해 그 피해가 커지고 있다. 이로 인해 중요 데이터와 민감 정보 등을 겨냥해 서비스형 랜섬웨어(RaaS) 등을 통한 랜섬웨어 공격으로 금전적 손실과 기업 이미지 하락이 우려된다. 기업은 외부 접속 및 계정 관리 강화, 주기적 데이터 보호와 관리를 통해 랜섬웨어의 위험을 예방해야 한다. RaaS는 프로그래밍 전문지식 없이 비용만 지급하면 공격을 할 수 있도록 서비스 형태로 제공되는 랜섬웨어다. 최근 기업들은 내부자원 뿐만 아니라 오픈소스 등 외부 자원을 활용해 SW개발과 운영을 하고 있다. 그러나 이 경우에 악성코드 유입이 쉬워져 보안 위협도 함께 증가할 수 있다. SW 업데이트를 통해서도 악성코드가 유입될 수 있다. 기업은 SW 및 IT 환경 전반에 대한 감사와 S-BOM 준비, 위험 관리 체계에 대한 능동적 대응 계획을 세워야 한다. S-BOM은 SW에 어떤 요소가 포함되었고 누가 만들었는 지에 대한 정보를 포함하는 구성 요소 목록과 상호 의존도 등 세부 정보를 포함하는 명세서다. 인터넷에 연결된 생산 시설과 관련 시스템(OT), 컴퓨팅 장치와 기기, 사물 및 웨어러블 기기간 상호 연결 환경(IoT)에 대한 보안 위협도 커지고 있다. 특히 업데이트가 되지 않은 OT/IoT 장치는 해커의 손쉬운 공격 목표가 되며, 연결된 네트워크 전체를 대상으로 한 침해 사고로 확대될 수 있다. 이에 대응하기 위해 기업은 강력한 인증 절차와 정기적 보안 업데이트 등의 기본적 원칙을 준수해야 한다. 삼성SDS 장용민 보안사업담당(상무)은 “AI 기술을 활용한 보안 위협은 이미 지능적이고 교묘해지고 있으며 전사적 관점의 위기 관리 전략이 필요하다”며 “이에 대응하기 위해 기업은 ▲AI 기반 지능형 보안 솔루션 도입 ▲자체 환경에 맞는 클라우드 플랫폼 설정 ▲기업 정보 시스템 접근 강화 ▲파트너 IT 및 보안 체계 관리 ▲강력한 인증 및 정기적 보안 업데이트 등 조직 차원의 대응부터 파트너 대상의 IT 환경 및 보안 체계 관리까지 총괄 개념으로 접근해야 한다”고 강조했다.

2025.02.18 14:25남혁우

체크포인트 "AI, 공격자에 날개 달았다…스마트한 보안 필수"

[방콕(태국)=조이환 기자] "인공지능(AI)은 공격자의 역량을 극적으로 확대해 기존 방어 체계만으로는 대응하기 어렵습니다. 이에 보안은 단순한 방화벽을 넘어 네트워크 전체에서 유기적으로 작동하는 하이브리드 메쉬 아키텍처로 진화해야 합니다. 보안 그 자체에 집중함으로써 실질적인 위협을 차단할 수 있는 기술 혁신을 이루겠습니다." 나다브 자프리르 체크포인트 최고경영자(CEO)는 18일 태국 방콕에서 열린 'CPX 2025 아시아태평양(APAC)' 행사에서 이같이 말했다. 이날 행사에서 자프리르 CEO는 AI 기반 위협 대응, 클라우드 보안 강화, 협업형 보안 운영 등 체크포인트가 신시대를 위해 준비한 핵심 기술을 소개했다. 자프리르 CEO에 따르면 AI는 현재 해킹 공격의 방식을 완전히 변화시키고 있다. 공격자는 AI를 활용해 자동화된 피싱 공격, 딥페이크 기반 사기, 대규모 네트워크 침투를 빠르게 실행할 수 있다. 초보 공격자도 AI를 활용하면 전문가 수준의 해킹을 수행할 수 있으며 공격 속도도 기존보다 훨씬 빨라지고 있다. 초연결 네트워크의 복잡성도 보안 위협을 가중시키는 요인이 됐다. 기업의 IT 환경이 온프레미스, 클라우드, 원격 근무 등으로 확장되면서 네트워크 경계가 불분명해지고 있다. 이같은 위협에 대응하기 위해 체크포인트는 '퀀텀 시큐어 액세스 서비스 엣지(SASE)'를 공개했다. '퀀텀 SASE'는 클라우드 네이티브 아키텍처를 기반으로 네트워크 보안과 접근 제어를 통합하는 솔루션으로, 사용자의 ID와 보안 컨텍스트를 분석해 실시간으로 접속을 제어하며 온프레미스, 클라우드, 원격 환경을 아우르는 보안 모델을 구축할 수 있다. 자프리르 CEO는 "AI 기반 공격이 확산되면서 단순한 방화벽 방어는 무의미해졌다"며 "보안이 네트워크 전체에 걸쳐 유기적으로 작동하는 하이브리드 메쉬 아키텍처가 필수적"이라고 말했다. 체크포인트는 이메일 보안 강화에도 박차를 가하고 있다. 이번 행사에서 자피르리 CEO는 '하모니 이메일(Harmony Email)'의 주요 성과를 발표하며 이메일 보안 분야의 선두 자리를 공고히 하겠다는 계획을 밝혔다. 회사는 지난 한 해 동안 1만7천개 기업을 신규 고객으로 추가했으며 현재 1천만개 이상의 이메일 계정을 보호하고 있는 상태다. 성공의 비결은 하모니 이메일의 실시간 위협 분석과 자동 차단 기능이다. 최근 AI 기반 스피어 피싱과 비즈니스 이메일 침해(BEC) 공격이 증가하면서 체크포인트는 AI 기반 탐지 기술을 적용해 의심스러운 메시지를 신속히 분석하고 대응할 수 있도록 보안을 강화하고 있다. 자프리르 CEO는 "이메일은 기업의 핵심 커뮤니케이션 채널이며 보안 사고의 주요 진입점이기도 하다"며 "AI를 활용한 공격에 맞서 AI 기반 탐지 기술을 적극 도입할 것"이라고 강조했다. 클라우드 보안 강화를 위한 전략적 제휴도 발표됐다. 체크포인트는 클라우드 보안 기업 위즈(Wiz)와 협력해 클라우드 네이티브 애플리케이션 보호(CNAPP) 기능을 강화하기로 했다. 이번 제휴를 통해 클라우드 환경에서 보안 위협을 보다 정밀하게 탐지하고 실시간으로 대응할 수 있는 체계를 구축할 계획이다. 자프리르 CEO에 따르면 위즈는 클라우드 워크로드 보호 및 위협 탐지 분야에서 강점을 가진 기업이다. 체크포인트는 위즈의 기술을 자사의 클라우드 네트워크 보안과 통합해 하이브리드 클라우드 환경에서도 보안 사각지대를 최소화한다는 방침이다. 그는 "클라우드 환경에서 네트워크 보안과 워크로드 보호가 분리된 것은 가장 큰 보안 취약점 중 하나"라며 "위즈와의 협력을 통해 이 문제를 해결하고 고객이 보다 강력한 보안 체계를 운영할 수 있도록 지원할 것"이라고 설명했다. 이번 CPX 2025 행사에서 자프리르 CEO는 체크포인트는 보안 철학을 이루는 ▲정직 ▲혁신 ▲공동체 3대 원칙도 강조했다. 그는 기업이 보안 취약점을 정확히 인식하지 못하면 효과적인 방어 전략을 세울 수 없다며 잔인할 정도로 정직한 분석을 통해 실질적인 위협 대응 체계를 구축해야 한다고 강조했다. 또 그는 혁신과 공동체 역시 보안의 핵심 동력임을 지적했다. AI 기반 탐지와 자동화 대응 같은 기술 혁신이 필수적인 상황에서 기업 혼자만으로는 완벽한 보안을 구축할 수 없다. 이에 체크포인트는 고객과 파트너가 협력하는 공동체적 접근을 통해 더 강력한 보안 체계를 만들어가고 있다는 설명이다. 자프리르 체크포인트 CEO는 AI 시대를 맞아도 보안은 보안 그 자체여야 한다는 점도 강조했다. 그는 "보안은 유명한 기업이 마케팅하는 제품이 아니라 실제 공격을 차단하고 데이터를 보호하는 기술이어야 한다"며 "우리는 앞으로도 실질적인 보안 강화를 위한 혁신을 지속할 것"이라고 밝혔다.

2025.02.18 14:00조이환

'보안의 아버지' 길 슈웨드 퇴장 후 첫 CPX…체크포인트, AI·자동화로 새 시대 연다

[방콕(태국)=조이환 기자] "인공지능(AI)이 보안의 미래를 결정하는 시대가 도래해 방어자가 공격자보다 빠르게 기술을 도입하는 것은 필수가 됐습니다. 특히 아시아태평양 지역은 사이버 공격 빈도가 글로벌 평균보다 60% 이상 높아 기업과 정부가 통합 보안 프레임워크를 통해 대응력을 강화해야 합니다. 이같이 복잡해지는 보안 환경 속에서 '단순화(Simplify)' 전략이 점점 더욱 중요해지고 있습니다." 길 슈웨드 체크포인트 이사회장은 18일 태국 방콕 그랜드 센타라 호텔에서 열린 '체크포인트 익스페리언스 2025(CPX 2025)'에서 이같이 말했다. 지난 1993년 설립돼 글로벌 보안 산업을 개척한 체크포인트는 매년 이 행사를 통해 차세대 보안 전략을 공개하고 있다. 이날 슈웨드 이사회장은 라마 발라수브라마니안(Rama Balasubramanian) 아시아태평양(APAC) 총괄과의 파이어사이드 챗을 통해 지난해 최고경영자(CEO) 자리에서 퇴임한 후 처음으로 공식 무대에 섰다. 그는 회사의 리더십 변화, AI 기반 보안 기술, 5세대 사이버 공격 대응, 체크포인트의 미래 전략에 대한 견해를 심도 있게 공유했다. 슈웨드 회장은 최근 사이버 공격이 더욱 정교해지고 있다는 점을 강조했다. 그는 "과거에는 개별 시스템이 해킹 대상이었다면 이제는 네트워크 전체를 마비시키는 5세대(G5) 공격이 일반화됐다"며 "보안 업계가 이에 대한 대응력을 강화해야 한다"고 말했다. 체크포인트에 따르면 아시아태평양은 전 세계에서 가장 빠르게 디지털 경제가 성장하는 지역이다. 인터넷 사용자 절반 이상이 이 지역에 몰려 있으며 기업들의 IT 및 클라우드 도입 속도도 가속화되고 있다. 다만 빠른 디지털화에 비해 보안 수준이 충분하지 않은 수준으로, 사이버 공격 빈도가 글로벌 평균보다 60% 이상 높은 상황이다. 슈웨드 회장은 "아태 지역의 기업과 정부가 보안 인프라를 선제적으로 강화하지 않으면 보안 위협이 더욱 심각해질 것"이라며 "우리는 이 지역에서 보안 역량을 강화하기 위해 적극적으로 투자하고 있다"고 밝혔다. 슈웨드 회장은 AI가 이제 사이버 보안의 핵심 요소로 부각하고 있다는 점도 지적했다. 기술의 급격한 발전으로 인해 이제 AI를 활용해 보안 탐지를 자동화하고 위협을 실시간으로 분석하는 것은 선택이 아닌 필수가 됐다는 분석이다. 체크포인트도 이에 맞춰 위협클라우드 AI(ThreatCloud AI), 인공지능 운영(AIOps)를 통한 보안운영센터 자동화를 통해 보안 인텔리전스 역량을 극대화하고 있다. 다만 AI는 공격 기술에도 활용되며 새로운 보안 위협을 만드는 상황이다. 이에 슈웨드 회장은 "최근 해커들은 AI를 이용해 피싱, 딥페이크, 자동화된 해킹 기술을 더욱 정교하게 발전시키고 있다"며 "AI 기반 보안 솔루션을 통해 자동화된 보안 대응 체계를 끊임없이 강화해야 한다"고 강조했다. 더불어 멀티클라우드 환경의 확산과 원격 근무 증가로 인해 기존 보안 모델은 더 이상 유효하지 않다. 네트워크 내부와 외부를 명확히 구분하는 시대는 끝났으며 모든 접점을 보호하는 '제로트러스트 보안 모델'이 필수적이라는 것이 슈웨드 회장의 설명이다. 그는 차세대 보안 전문가들을 위해 보안 운영에서 '단순화(Simplify)'가 가장 중요한 원칙이 돼야 한다고 조언했다. 그는 "점점 복잡해지는 환경 속에서 보안 시스템이 지나치게 복잡하면 운영 효율성이 떨어지고 보안 취약점이 증가할 가능성이 높다"며 "단순화된 보안 아키텍처를 구축하는 것이 필수적"이라고 강조했다. 이어 "50개가 넘는 보안 솔루션을 개별적으로 운영하는 것은 비효율적으로, 보안 시스템을 통합하고 체계화하는 것이 가장 중요하다"고 말했다. 이날 행사에서는 슈웨드 회장의 후임자인 나다브 자프리르 CEO에 대한 소개도 이뤄졌다. 그는 벤처캐피털(VC)과 국방 사이버 보안 분야에서 풍부한 경력을 쌓아온 인물이다. 자프리르는 이스라엘 국방군(IDF)에서 오랜 기간 복무한 후, 이스라엘 군사 정보부대 8200부대(미국 NSA에 해당)의 지휘관으로 경력을 마무리했다. 이어 이스라엘의 투자펀드인 '팀8'를 공동창업해 성공적으로 운영해오다가 지난해 체크포인트에 합류했다. 슈웨드 회장은 파이어사이드 챗에서 "지난 32년간 회사를 이끌어왔지만 이제는 한 걸음 물러나 장기적인 전략을 조율하는 역할을 맡게 됐다"며 "자프리르 CEO 체제에서 보다 강력한 혁신을 추진할 것"이라고 말했다. 체크포인트는 향후에도 AI, 자동화, 단순화된 보안 아키텍처를 기반으로 기업 보안 환경을 혁신할 계획이다. 길 슈웨드 이사회 회장은 "우리는 사이버 보안의 최전선에서 고객을 보호하는 역할을 지속할 것"이라며 "30년 이상 생존하고 산업 자체를 탄생시킨 경험을 바탕으로 최고의 보안을 제공하겠다"고 밝혔다. 라마 발라수브라마니안 APAC 총괄은 "우리는 아시아태평양 시장에서도 강력한 보안 솔루션을 제공할 것"이라며 "이번 CPX 2025는 기업 보안 전략을 점검하는 중요한 기회일 것"이라고 말했다.

2025.02.18 13:21조이환

"태니엄, 스마트공장 등 한국 제조업 매력···반도체·중공업서 사용"

“한국 반도체 제조사와 중공업 회사가 태니엄 정보보호(보안) 솔루션을 쓰고 있습니다. 한국 고객 이름을 밝힐 수 없지만 한국 주요 그룹의 제조사들이 태니엄 솔루션(제품)을 이용합니다. 외국 고객으로는 유럽 제약 회사 아스트라제네카, 유럽 전력 기업 ABB, 미국 자동차 부품 업체 앱티브 등이 있습니다.” “한국은 제조 대기업이 많아 태니엄에 중요한 시장입니다. 아직 일본보다 시장 규모가 작지만 잠재력이 무한합니다.” 미국계 글로벌 보안기업 태니엄(TANIUM)의 본사 임원들이 한국을 찾아 18일 기자간담회를 가졌다. 이날 롭 젠크스(Rob Jenks) 태니엄 전략 담당 수석부사장과 아키라 카토 기술 담당 부사장은 “2023년부터 제조업이 사이버 공격 목표가 됐다”면서 "스마트팩토리는 태니엄에 매우 중요한 제조 시장"이라고 밝혔다. 젠크스 수석부사장은 미국 시장조사업체 가트너의 '2024년 사이버 보안 통계'를 인용해 "제조사 63%는 사이버 공격을 당한 적 있다. 지정학적 갈등을 비롯해 공급망이 복잡하고, 새로운 제품과 경쟁자가 나타나기 때문”이라고 짚었다. . 태니엄은 제조업 보안을 지킬 무기로 '자율 엔드포인트 관리(AEM)' 제품을 출시했다. 정보기술(IT)과 운영기술(OT)을 동시에 관리하는 플랫폼이다. 태니엄이 처음으로 이 시장을 열었다고 자부했다. 젠크스 수석부사장은 “제조업 책임자들은 '보안 도구가 너무 많아서 비효율적'이라고 한다”며 “태니엄 AEM으로 고객은 모든 IT 자산 보안 상태를 실시간으로 한 번에 확인할 수 있다”고 설명했다. 카토 부사장은 “태니엄 AEM이 해결할 문제를 선제적으로 사용자에게 알린다”며 “며칠 걸리던 작업을 인공지능(AI)으로 몇 분 안에 끝낼 수 있다”고 강조했다. 이어 “엔드포인트 수백만개를 실시간으로 측정하고 분석해 신뢰도 점수를 바탕으로 엔드포인트에 미치는 영향을 예측한다”고 덧붙였다. 태니엄은 자체 플랫폼에서 AI를 활용할 뿐만 아니라 미국 마이크로소프트(MS), 미국 클라우드 업체 서비스나우와 협력해 AI 기능을 강화하고 있다. 한편 태니엄의 핵심 솔루션 AEM은 다음과 같은 특징을 갖고 있다. 첫째, 실시간 클라우드 인텔리전스(Real-time Cloud Intelligence)다. 수백만 개 엔드포인트에서 발생하는 변화와 관련된 영향을 실시간 측정 및 분석해 신뢰도 점수를 기반으로 엔드포인트에 미치는 영향을 정확히 예측한다. 둘째, 자동화 및 오케스트레이션(Automation and Orchestration)이다. 태니엄 오토메이트(Tanium Automate)는 IT, OT 및 보안 워크플로에 대한 시스템 전체, 엔드포인트 수준의 자동화 플레이북을 노코드 및 로우코드(No-code and Low-code) 경험 없이 생성할 수 있게 해 준다. 태니엄 오토메이트는 환경의 현재 상태를 지속적으로 평가해 태니엄 실시간 데이터 힘을 활용해 플레이북 실행 신뢰도와 정확성을 획기적으로 향상시킨다. 셋째, 배포 템플릿 및 링(Deployment Templates and Rings)이다. IT 운영을 통해 엔드포인트 그룹 전체에 단계적으로 배포해 변화 자체의 중요성에 맞게 비즈니스 흐름을 조정한다. 배포 링은 변경 실행을 위한 진입 및 종료 기준을 지원해 배포를 관리하고, 반복 가능케 만들어 위험과 비용을 효과적으로 낮춘다. 태니엄은 "자체 플랫폼 내에서 AI를 활용해 다양한 자율 기능을 제공할 뿐만 아니라 MS 및 서비스나우와 함께 원활한 솔루션을 제공해 실시간 데이터와 광범위한 실행 가능성을 기반으로 플랫폼과 AI 기능을 강화하고 있다"면서 "태니엄 AEM은 실시간 데이터 및 글로벌 클라우드 관리 엔드포인트의 변화 분석을 활용해 권장 사항을 제시하고, 변경을 안전하고 안정적으로 자동화해 운영 건전성을 보장한다"고 밝혔다. 이어 "부정적인 IT 결과로 인한 비즈니스 위험을 줄이는 동시에 IT 환경의 보안을 강화한다"고 덧붙였다.

2025.02.18 12:54유혜진

에버스핀, 일본 최대 금융그룹 'SBI'에 보안 솔루션 공급

에버스핀이 글로벌 금융그룹 SBI그룹 계열사에 보안 솔루션을 대거 공급하며 일본시장 입지를 강화하고 있다. 인공지능(AI) 기반 보안기업 에버스핀(대표 하영빈)은 SBI그룹의 디지털 자산 부문을 총괄하는 SBI디지털 에셋 홀딩스(SBI Digital Asset Holdings)와 산하 기업 2곳, 금융정보 서비스 기업 웰스어드바이저까지 총 4곳에 보안 솔루션을 공급했다고 밝혔다. 이번 도입은 SBI그룹과 에버스핀의 합작회사인 SBI에버스핀을 통해서 이뤄졌다. SBI 디지털 에셋 홀딩스는 SBI그룹의 디지털 자산 관련 사업을 총괄하는 기업으로 디지털 자산의 발행·관리·유동성 확보를 위한 밸류체인 구축에 주력하고 있다. 웰스어드바이저는 금융기관용 앱 '웰스 어드바이저' 'My투자신탁' '주식신문 웹' 등 다양한 매체를 통해 중립적이고 객관적인 금융정보를 제공하는 서비스 기업으로, 투자신탁 위탁사·보험사·기업연금 등 다양한 기관에 공정하고 중립적인 컨설팅 서비스를 제공하고 있다. SBI디지털 에셋 홀딩스에 공급한 에버세이프는 해킹방지 보안모듈을 무한대로 생성해 매일 새로운 보안코드가 동작하는 동적표적방어(MTD) 기술을 접목한 솔루션이다. MTD 기술은 미국 정부가 필요성을 강조한 기술로, 에버스핀이 세계 최초로 상용화에 성공했다. 기존 보안 솔루션이 고정된 보안코드로 인해 해킹 위험에 노출되는 것과 달리, 에버세이프는 실시간으로 보안코드를 변경해 해커 공격을 무력화한다. 에버스핀은 한국을 비롯해 미국·유럽·일본 등 전 세계 주요 12개국에서 특허를 획득했다. 웰스어드바이저에는 페이크파인더을 적용했다. 페이크파인더는 에버스핀이 자체 개발한 화이트리스트를 활용한 유일한 피싱방지 솔루션이다. AI가 전 세계 앱 정보를 수집해 DB를 구축하고 이와 대조해 정상이 아닌 악성앱을 사전 탐지한다. 기존 블랙리스트 방식이 사후 발견된 악성앱을 목록화해 재발을 방지하는데 그치는 것과 달리, 알려지지 않은 새로운 악성앱까지 차단 가능한 기술이다. 에버스핀은 국내에서 KB국민은행·카카오뱅크·케이뱅크·NH농협은행·KB카드·삼성카드·삼성생명·한화손해보험·신한투자증권 등 주요 금융사에 솔루션을 공급하고 있다. 페이크파인더는 국내 시장 점유율 1위를 기록하고 있다. 최근에는 인도네시아 BNI증권·수무트은행 등 해외 금융권에서도 잇따라 레퍼런스를 확보하며 글로벌 경쟁력을 입증하고 있다. 에버스핀 관계자는 “글로벌 금융그룹 SBI가 에버스핀 보안 솔루션 대거 도입함에 따라 아시아 금융시장에서 입지를 더욱 강화할 수 있게 됐다”며 “앞으로 일본을 비롯한 아시아 시장 진출에도 더욱 탄력을 받을 것”으로 기대했다.

2025.02.18 11:06주문정

바이낸스, 매각설 일축…"경쟁사가 퍼뜨리고 있다"

바이낸스 공동 창립자이자 전 CEO인 창펑 자오가 최근 떠돌던 바이낸스 매각설을 강하게 부인했다고 미국 가상자산 매체 코인텔레그래프가 17일(현지시간) 보도했다. 창펑 자오는 17일(현지시간) X(구 트위터)를 통해 "아시아의 한 경쟁사가 바이낸스 매각설을 퍼뜨리고 있다"며 "바이낸스는 매각되지 않는다"고 말했다. 바이낸스 공동 창립자이자 최고 고객 서비스 책임자인 이허 역시 같은 날 유사한 입장을 밝혔다. 그는 바이낸스 매각설이 경쟁사 PR 전략에서 비롯된 것이라고 주장하며 "오히려 바이낸스가 인수를 고려하고 있다"고 말했다. 거래소 매각이 아닌 확장 가능성을 시사한 셈이다. 이번 매각설은 바이낸스의 대규모 자산 이동 이후 확산됐다. 지난 11일 X 사용자 'AB Kuai.Dong'은 바이낸스가 보유한 비트코인을 포함한 자산 규모가 급감했다고 지적하며 회사의 재정 상태에 대한 의문을 제기했다. 이에 대해 바이낸스 측은 "단순한 회계 조정일 뿐"이라며, 자산 매각과는 무관하다고 해명했다.

2025.02.18 09:29김한준

"취약점 먼저 없앤다"...LGU+, '블랙박스 모의해킹' 진행

LG유플러스는 오펜시브 보안 전문업체 엔키화이트햇과 8개월 동안 '블랙박스 모의해킹'을 진행하면서 자사가 운영 중인 모든 서비스의 보안 취약점을 점검하고 있다고 18일 밝혔다. 블랙박스 모의해킹은 점검을 의뢰한 기업이 보안과 관련된 어떠한 정보도 제공하지 않고, 별도의 시나리오 없이 진행되는 것이 특징이다. 일반적인 모의해킹은 업체와 협의해 특정 조건이나 상황에 대해 점검하는 방식으로 이뤄진다. 이번 LG유플러스의 블랙박스 모의해킹은 화이트해커들이 외부 공격자의 관점에서 가능한 모든 방법을 동원해 자사 서비스에 침투를 시도하기 때문에 전체적인 보안 시스템 수준을 파악해 취약점을 보완할 수 있을 것으로 기대된다. LG유플러스는 이미 지난해 11월부터 블랙박스 모의해킹을 진행하고 있다. 올 상반기까지 약 8개월에 거쳐 화이트해커 집단의 점검을 받게 된다. 점검 대상도 특정 영역에 국한하지 않고 인터넷 망을 통해 외부에서 접근이 가능한 LG유플러스의 모든 서비스를 대상으로 한다. LG유플러스는 이러한 역대 최장·최대 모의해킹 프로젝트를 통해 자사 서비스에 잠재된 보안 빈틈을 샅샅이 찾을 방침이다. 구체적으로 LG유플러스가 예상하지 못한 방식으로 해커가 사내망에 접근해 서버를 장악하거나 개인정보, 회사 기밀 등 중요 정보를 빼낼 수 있는지 여부를 파악하는 것이 핵심이다. LG유플러스는 모의해킹 기간 동안 파악된 서비스 취약점에 대해서도 엔키화이트햇과 합동으로 점검·보완에 나설 계획이다. 이를 통해 선제적으로 보안 위협 요소를 제거하고, 실제 사이버 공격 상황을 대응하는 데 중요 역량으로 활용할 예정이다. 홍관희 LG유플러스 정보보안센터장은 “AI 활용이 늘면서 고객들의 보안에 대한 불안감도 점점 커지고 있다”며 “지속적으로 정보보안 역량을 강화해 고객이 가장 안심하고 쓸 수 있는 서비스를 제공하는 회사로 성장해 나가겠다”고 말했다.

2025.02.18 09:00최지연

KISA, 최정예 보안인력 양성 'K-쉴드' 교육 시행

한국인터넷진흥원(원장 이상중, 이하 KISA)은 과학기술정보통신부, 고용노동부, 한국산업인력공단과 함께 KISA아카데미에서 추진하는 사이버보안 교육을 시작한다고 17일 밝혔다. 오는 2026년까지 10만 명의 사이버보안 인재를 배출하기 위해 추진하는 이번 교육은 급변하는 사이버 위협 환경에 대응할 수 있는 실무형 인재를 양성해 국내 보안 산업의 경쟁력 강화를 목표로 하고 있다. 제공 과정은 ▲실전형 사이버훈련장(Security-Gym) ▲최정예 정보보호 전문인력 양성(이하, 'K-Shield') ▲ 사이버보안 실무 인력 양성(K-Shield 주니어) ▲AI 보안관제 전문인력 양성이 있다. 교육 대상은 구직자부터 현업 종사자 등이다. 실전형 사이버훈련장은 사이버 공격 시나리오를 기반으로 한 모의침투 및 대응 훈련을 통해 보안 위협에 대한 실전 대응 능력을 강화하기 위한 교육과정으로 누구나 참여 가능하다. 과정은 ▲침해사고 대응훈련 ▲정보보호제품군 실습훈련 ▲버그헌팅 실습훈련 등 3개 분야로 구성됐다. 교육은 온라인(1~2주), 오프라인(5일 이하) 및 하계방학 중 프로젝트 과정(버그헌팅 마스터, 8주)을 포함해 7200명에게 교육을 제공한다. 'K-Shield'는 재직자를 대상으로 고도화된 사이버 위협 대응을 위해 이론과 실무를 겸비한 최고 수준의 보안 전문가를 육성하는 교육과정이다. 올해 교육은 ▲운영보안 ▲보안 컨설팅 ▲침해사고 대응 ▲모의해킹 ▲악성코드 분석 ▲디지털 포렌식 ▲클라우드 보안 ▲SW공급망 보안 등 총 8개 분야 46개 과정으로 운영한다. 교육 수료 후, 특화 분야별 최정예 우수 교육생 선발해 한국인터넷진흥원장이 인정하는 K-Shield 인증서를 발급한다. 해당 과정을 거쳐 산업계에서 인정받는 보안 전문가로 성장할 수 있도록 지원한다. 사이버보안 실무 인력 양성(K-Shield 주니어)은 청년 구직자를 대상으로 산업계 인력수요를 반영한 정보보호 직무 기반의 교육과정이다. 상반기(3~6월)에는 ▲정보보호 진단 ▲침해사고 분석 및 대응을, 하반기(7~10월)에는 ▲정보보호 관리 ▲취약점 분석 과정 등 총 4개 분야로 구성했다. 교육을 이수한 수료생에게는 과학기술정보통신부 및 한국인터넷진흥원이 인증서를 발급할 예정이다. 궁극적으로 보안 산업 내 취업 경쟁력을 갖춘 인재를 양성하는 것이 목표다. 'AI 보안관제 전문인력 양성 교육과정'은 청년 구직자를 대상으로 AI를 활용한 사이버 위협 탐지•분석•대응 역량을 갖춘 보안 관제 전문가를 육성하는 교육과정이다. 해당 과정은 보안관제 분야의 핵심 인력을 양성하기 위해 ▲정보보호 기초 학습을 위한 기초과정 ▲보안관제 실무 역량을 기르는 정규과정 2개 분야로 구성했다. 교육 이후에도 실질적인 취업 연계가 이루어질 수 있도록 교육 수료생을 대상으로 보안관제 기업과 연계한 채용형 인턴십 프로그램도 함께 운영한다. 교육 신청은 KISA 아카데미 누리집 'https://academy.kisa.or.kr'에서 접수 중인 과정을 선택해 신청하면 된다. 김진만 KISA 정보보호인재센터장(단장)은 "보안 산업이 지속적으로 성장하기 위해서는 인재 양성이 핵심”이라며 “KISA 아카데미가 제공하는 맞춤형 교육을 통해 현장에서 즉시 활용 가능한 역량을 갖춘 전문가들이 배출될 수 있도록 최선을 다하겠다”고 말했다.

2025.02.17 18:09방은주

"클라우드 보안 인증, 현장 평가 5회→2회로 간소화"

클라우드 보안 인증을 받으려는 기업은 현장에서 2회 평가 받고, 나머지 3회는 서면 평가를 받으면 된다. 지난해까지 5회 필요하던 현장 평가가 줄어 기업 부담도 완화될 것으로 보인다. 양승권 한국인터넷진흥원(KISA) 클라우드인증팀 선임연구원은 17일 과학기술정보통신부가 서울 서초구 AT센터에서 개최한 '2025년 클라우드 사업 통합 설명회'에서 이같이 발표했다. 양 연구원은 “클라우드 보안 인증 제도로 공공기관이 민간 클라우드를 안전하게 쓸 수 있게 서비스 안전과 신뢰성을 검증한다”며 “이용자는 보안 걱정을 덜고 공급자는 클라우드 서비스 경쟁력을 높일 수 있다”고 말했다. 인증 범위는 클라우드 서비스에 포함되거나 시스템·설비·시설 등 자산, 정보보호·개발·운영·인사 조직 등이다. 인증 유형은 ▲컴퓨팅 자원(CPU)·스토리지 등 정보 시스템 인프라를 제공하는 서비스(IaaS) ▲인프라(IaaS) 외에 각종 응용프로그램(소프트웨어)을 제공하는 서비스(SaaS) ▲클라우드 서비스를 개발하는 환경(PaaS) ▲행정·공공기관 인터넷망 컴퓨터(PC)를 대체하기 위한 가상 서비스(DaaS)로 나뉜다. 인증 등급은 상·중·하로 구분된다. SaaS 서비스는 클라우드 서비스 보안 인증을 받은 IaaS 환경에서 구축돼야 한다. 여러 기관에 개방된 형태로 소프트웨어를 제공해야 한다. 특정 기관에 맞추면 안 된다는 얘기다. DaaS 서비스는 네트워크와 보안 장비 같은 인프라 영역에 구성돼야 한다. 또 가상 자원 초기화, DaaS 필수인 소프트웨어 설치, 비인가 접속 단말 차단, 접속 구간 암호화 등 요건도 만족해야 한다. 보안 인증을 신청한 날로부터 인증서를 발급하기까지는 3~5개월 걸린다. 양 연구원은 “유효 기간은 5년”이라며 “갱신하면서 사후에도 관리해야 한다”고 설명했다. 최초 현장 평가를 받고서 1년 뒤 서면 평가를 받는다. 사후 2년차 다시 현장 평가를 받고, 3·4년차에 또 서면 평가를 받는다. 서면 평가하는 때에 전년도 인증 범위가 바뀌었거나 양수·도, 침해 사고·장애가 발생했다면 심화 평가할 수 있다. '소프트웨어가 업데이트되면 또 다른 인증을 받아야 하느냐'는 물음에 양 연구원은 “서비스 목적이 바뀌지 않으면 추가 인증 절차는 없고 사후 평가해서 변경 내용을 확인 후 통과시킨다”고 답했다. 양 연구원은 “클라우드 컴퓨팅 기업이 보안 인증을 꼭 받아야 하는 것은 아니다”라면서도 “클라우드컴퓨팅법에 따라 행정기관과 공공기관은 보안 인증을 받은 클라우드 서비스나 국가정보원 보안 인증 기준에 맞게 안전하다고 확인된 클라우드 서비스를 우선 고려할 수 있다”고 강조했다. 보안 인증을 신청하는 기업은 수수료를 1천500만원부터 3천600만원까지 내야 한다. 평가하는 데 쓰이는 인건비와 기술료 등이 포함된다. 기업이 신청한 보안 인증 유형, 자산 규모, 할인 제도 등에 따라 산정된다. 인증을 취득·갱신하거나 인증 유지 공문을 받은 소기업은 수수료를 70%, 중기업은 50%, 중견기업은 30% 지원받을 수 있다.

2025.02.17 16:59유혜진

[방은주의 보안산책] 우리는 왜 포티넷 같은 글로벌기업이 없을까

부러웠습니다. 질투도 났구요. 낙담스런 마음도 한편엔 들었습니다. 보안기업 포티넷코리아가 지난 11일 서울 강남 사무실에서 기자간담회를 열어 작년 성과와 올해 사업 계획을 발표했습니다. 포티넷코리아는 미국계 글로벌 보안기업 포티넷(Fortinet)의 한국 지사입니다. 2002년 12월에 설립됐죠. 본사인 미국 포티넷은 2000년 설립된 글로벌 보안기업으로 캘리포니아주 서니베일에 사무실이 있습니다. 한국을 포함해 전 세계에서 1만4000명의 직원이 일하고 있습니다. 중국계 켄 지(Ken Xie) 현 최고경영자(CEO)가 친동생과 함께 만들었죠. 미국 본사 설립 2년만에 한국에 지사를 개설했으니, 그만큼 당시 한국 시장은 매력적이였습니다. 당시 언론 보도를 보니, 켄 지(Ken Xie) CEO는 “한국은 광대역 인터넷 보급률에서 세계 1위고, 무선랜(WLAN)과 인터넷전화(VoIP)와 같은 핵심 애플리케이션 분야도 세계적 수준이다. 하지만 빠르게 확산하고 있는 보안 애플리케이션의 잠재 위협과 공격에 상대적으로 취약하다"는 말을 했더군요. 미국 포티넷은 작년(2024년)에 비즈니스를 잘했습니다. 보통 미국 기업은 1년 실적을 결산하는 달이 회사마다 다릅니다. 우리처럼 일률적으로 12월에 마감하지 않습니다. 미국 IBM의 경우 매년 11월에 새로운 회기를 시작합니다. 포티넷은 12월 결산법인입니다. 이런 기업들을 달력(캘린더)과 같이 간다해서 '캘리더 회기'라고 하죠. 최근 포티넷이 작년 결산 실적을 발표했습니다. 실적이 놀랍습니다. 작년에 8조6420억원(59억 6000만달러)의 매출을 기록했습니다. 전년보다 12.3%(53억달러) 늘었습니다. 영업이익도 2조(2조6100억)가 넘습니다. 매출의 30%가 영업이익입니다. 영업이익 30%는 국내 보안 소프트웨어(SW) 기업으로선 꿈도 꾸지 못하는 숫자 입니다. 이날 포티넷코리아 발표장에는 체리 펑(Cherry Fung) 북아시아 총괄 대표가 발제를 겸한 첫번째 발표를 했습니다. 펑은 한국을 포함해 중국, 홍코, 마카오, 몽골 지역을 담당하고 있습니다. 올해 처음으로 한국도 그의 관할 지역이 됐습니다. "포티넷이 네트워크 방화벽 보안의 리더"라고 가조한 펑은 "경쟁사와 큰 차이로 시장 우위를 점하고 있다"고 설명했습니다. 실제 포티넷은 보안 시장 중 규모가 큰 네트워크 방화벽 뿐 아니라 SD-WAN(Software Defined-Wide Area Network)과 유무선 랜(LAN) 분야서도 세계 리딩기업입니다. 또 싱글벤더 SASE(Secure Access Service Edge)와 시큐어 서비스 엣지(SSE) 분야도 글로벌 선두권에 있습니다. 포티넷의 강점 중 하나가 여러 보안기술을 '포티OS'라는 하나의 운용체계(OS)로 지원한다는 점입니다. '포티OS'가 있어 고객들은 편리성을 보장받고 투자 대비 성과도 높일 수 있다고 강조하더군요. 이런 단일OS를 보유한 보안 기업은 세계에서 포티넷이 유일하다고 했습니다. 그는 포티넷의 15년 주가 추이도 소개했습니다. 입이 떡 벌어졌습니다. 2009년 상장 당시 주가가 1.25달러였는데 최근 종가는 107달러 입니다. 지난 15년간 8000%나 커졌습니다. 포티넷 설립자인 켄 지(Ken Xie)는 63년생(만 62세)입니다. 엔지니어 출신 CEO죠. 중국에서 태어나 자랐고, 칭화대(전기전자 전공)에서 학사와 석사를 마쳤습니다. 미국 스탠포드대에서 석사학위(전기전자 전공)도 받았구요. 그는 N잡러(여러번 창업)이기도 합니다. 포티넷을 2000년에 설립하기 전, 1993년 네트워크 보안 기업 SIS( systems Integration Solutions)를 창업했고, 1996년에는 팔로알토 차고지에서 첫 ASIC 기반 방화벽&VPN 어플라이언스를 개발했죠. 이 해(1996년) 온라인 보안 기업 넷스크린테크놀로지스를 설립, 추후 주니퍼네트웍스에 40억달러에 매각했습니다. 포티넷 설립에 대해 그는 "보안이 반드시 엔드 투 엔드 컴퓨팅과 네트워크 인프라에 들어가야 한다"는 신념 때문이라고 말했죠. 수년전 유튜브에 나와 기술 중요성을 강조하며 "앞선 기술력을 기반으로 계속해 세계 시장을 리딩하겠다"고 밝혔습니다. 포티넷의 북아시아 총괄 발표를 들으면서 머릿속에서 내내 떠나지 않는 물음 하나는 우리는 왜 저런 글로벌 정보보호(보안) 기업이 없을까? 였습니다. 국내 보안기업 역사는 30년이 넘습니다. 한국 보안기업 1호는 이니텍으로 1997년 설립됐습니다. 현재 KT DS 산하에 있는데 매각 절차가 진행중입니다. 국내 보안SW기업 대명사인 안랩은 오는 3월 창립 30주년(1995년 3월 설립)을 맞습니다. 안랩은 작년에 연결 기준 2606억원 매출(별도 기준 2330억)에 277억원의 영업이익(별도 기준 360억)을 냈습니다. 한 세대가 넘는 보안 역사를 가진 우리나라에는 아직 왜 글로벌 보안기업이 없을까요. 국내 시장 크기 문제일까요? 마케팅과 기술력 문제일까요? 정책 부재일까요? 우리나라 인근에는 세계 최고 해커 집단이라 불리는 북한이 있습니다. 보안은 창과 방패의 싸움입니다. 창이 날카로울수록 방패도 더 탄탄해야죠. 세계 최고 해커 집단(창)이 인근에 있고, 끊임없이 우리를 해킹하려하는데, 방패인 우리나라에는 왜 세계최고 보안기업이 없을까요. 기자가 오랫동안 품고 있는 의문입니다.

2025.02.17 10:48방은주

장현국 넥써쓰 "3월 중 CROSS에 블록체인 게임 3종 론칭"

넥써쓰(구 액션스퀘어)가 3월 블록체인 게임 출시 라인업을 확정해 공개했다. 장현국 넥써쓰 대표는 지난 14일 X(구 트위터) 계정을 통해 3종의 게임을 소개했다. 소개한 내용에 따르면 넥써쓰는 오픈 블록체인 게임 플랫폼을 지향하는 크로쓰(CROSS) 프로젝트에 블록체인 게임을 순차 선보일 계획이다. 회사 측에 따르면 다음 달 '드래곤 플라이트' '라그나로크: 몬스터 월드' '라펠즈 M' 3종의 블록체인 게임을 출시한다. '드래곤플라이트'는 라인게임즈(구 넥스트플로어)의 대표작으로, 독자적인 게임 토크노믹스 모델을 적용했다고 알려졌다. 또 '라그나로크: 몬스터월드'는 지난해 로닌(Ronin) 체인에 이어 서비스 플랫폼을 확장한다. 또 '라펠즈M'는 서비스 20년을 맞은 PC MMORPG 장르를 계승한 작품으로, 블록체인 웹(Web3) 게임팬에 다시 주목을 받을지 귀추가 주목되고 있다. 장 대표는 "CROSS 프로젝트는 고품질 IP 기반 게임을 연결해 나갈 것이다. 올해는 블록체인 게임의 대중화 원년으로 기억될 것이다"라고 전했다.

2025.02.17 10:23이도원

유튜브TV, 파라마운트와 '극적 계약'..."CBS 등 100개 채널 계속 제공"

유튜브TV가 파라마운트와의 콘텐츠 제공 계약을 연장하면서 CBS, 니켈로디온 등 주요 채널의 서비스를 계속 제공할 수 있게 됐다. 16일 유튜브는 CBS, CBS스포츠, 니켈로디온 채널과 파라마운트+, 쇼타임, BET+ 등의 애드온 서비스가 그대로 유지된다고 X(구 트위터)를 통해 공지했다. 앞서 지난 2월12일 유튜브는 파라마운트 콘텐츠 제공이 중단될 수 있다고 예고했다. 이어 지난 13일 파라마운트 콘텐츠가 장기간 이용 불가능할 경우 이용자들에게 8달러의 보상 크레딧을 제공하겠다고 했으나, 하루 만에 협상이 연장되었다는 내용으로 게시물을 수정했다. 유튜브는 "파라마운트 콘텐츠를 계속 제공하기로 합의한 것을 기쁘게 생각한다"며 "CBS, CBS 스포츠, 니켈로디언과 같은 채널에 여전히 액세스할 수 있고 쇼타임 및 BET+와 같은 추가 기능도 중단 없이 유지된다"고 공지했다. 이어 "이번 계약을 통해 유튜브TV는 100개 이상의 채널을 계속 제공하는 동시에 향후 더 많은 사용자 선택권을 확보할 수 있게 됐다"며 "기다려 주셔서 다시 한 번 감사드리며, 언제나처럼 회원 가입에 감사드린다"고 덧붙였다. 새로운 계약으로 인한 구독료 인상 가능성에 대해 유튜브 측은 "이러한 결정들을 매우 진지하게 받아들이고 있으며, 향후 변화가 있을 경우 실행 전에 반드시 고객들에게 알리겠다"고 밝혔다. 한편 유튜브TV는 지난해 12월 월 구독료를 10달러 인상한 82.99달러로 책정했다. 이는 푸보, 훌루플러스라이브TV, 실링TV 등 경쟁 서비스들의 최근 가격 인상과 비슷한 수준으로, 케이블TV에서 스트리밍 서비스로의 고객 이동이 가속화되는 가운데 콘텐츠 제작사들의 수익 확보를 위한 조치로 해석된다.

2025.02.17 10:19최지연

[써보고서] 귀가 트이는 이어폰…소니 링크버즈 시리즈

음향기기가 일상을 보다 편리하게 만들어주는 방향으로 진화하고 있다. 주변과의 소통을 더욱 용이하게 해주거나, 공간이 바뀌어도 청취 경험을 연속적으로 이어주는 등 기능도 등장했다. 소니 링크버즈 시리즈는 '편안함'에 초점을 맞춘 오디오 제품이다. 완전 오픈형 이어폰 '링크버즈 오픈'과 맞춤형 이어폰 '링크버즈 핏', 연결성을 강조한 '링크버즈 스피커' 3종 등으로 구성됐다. 기자는 약 2주간 제품을 체험해보며 특징을 살펴봤다. "구멍 뚫린 이어폰…말하면 소리 바로 멈추네" 이 시리즈에서 먼저 주목할 제품은 '벗지 않는 편안함'이란 설명을 내건 링크버즈 오픈이다. 작년 10월 출시됐다. 링크버즈 오픈은 착용 중에도 주변 소리를 상당히 잘 들을 수 있다. 소니가 새롭게 개발한 링 드라이버를 탑재해 중앙이 뚫린 형태로 돼 있는 덕분이다. 오랜 시간 착용해도 귀가 압박을 느끼지 않도록 맞춰 설계됐다. 특히 이어폰에서 들리는 음악과 일상의 소리를 모두 자연스럽게 들을 수 있는 것이 장점이다. 옆 사람과 종종 대화를 나누거나, 주변 상황을 인식해야 하는 운동 중에도 제품을 착용하고 자유로운 소통이 가능했다. 기존 오픈형·커널형 이어폰이 주변 소리보다 음악에 집중하게 해 줬다면, 링크버즈 오픈은 두 소리를 적당히 균형감 있게 들을 수 있는 정도다. 다만 귀에 꽂지 않는 골전도 제품만큼 주변 소리가 완전히 또렷하게 들리지는 않는다. 별도 노이즈캔슬링 모드를 지원하지 않는 것도 특징이다. 그러나 통화 중에는 노이즈 감소 알고리즘을 적용해 주변 소음을 어느 정도 줄여준다. 제품을 착용한 상태에서 말을 시작하면 자동으로 음악을 멈춰주는 '스픽 투 챗' 기능도 지원한다. 한두 단어만 내뱉으면 바로 이 기능이 활성화될 정도로 기민하게 반응하기 때문에 앱에서 기능을 꺼야 하는 경우도 있었다. 다시 말을 안 하면 잠시 뒤 음악이 자동 재생된다. 주변 소음에 따라 볼륨을 자동으로 최적화하는 적응형 볼륨 컨트롤도 유용했다. 조용한 곳에서는 음량을 작게, 시끄러운 곳에서는 더 크게 소폭 조정해주는 모습을 볼 수 있었다. 조작 방식도 새롭다. 기기가 아닌 착용자의 귀 앞쪽을 터치해서 컨트롤하는 탭 조작을 지원한다. 피부를 두 번 두드리면 음악 재생과 일시 정지가 가능하고, 세 번 두드리면 다음 트랙으로 넘어가는 등 기능이 마련됐다. 볼륨 조절도 가능하다. 음질 성능도 포기하지 않았다. 11mm 링 드라이버 유닛과 통합 프로세서 V2로 저음역부터 고음역까지 선명한 사운드를 들려줬다. 디지털 음질 개선 엔진(DSEE) 업스케일링 기술을 적용해 압축 과정에서 손실된 사운드를 복원했다. 배터리도 상당히 긴 편이다. 한 번 충전하면 최대 8시간 재생이 가능하다. 충전 케이스를 사용하면 22시간까지 사용할 수 있다. "딱 맞는 착용감…노이즈 캔슬링도 우수" 링크버즈 핏은 완전 오픈형 제품을 원치 않는 소비자들을 위해 작년 11월 출시된 제품이다. 각자에게 꼭 맞는 맞춤형 이어폰을 표방하는 이 제품은 딱 맞는 착용감, 취향에 맞는 사운드, 커스텀 가능한 디자인을 특징으로 내세웠다. 먼저 링크버즈 핏은 에어 피팅 서포터와 소프트 피팅 이어팁으로 착용감을 개선했다. 유닛 당 약 무게는 4.9g에 불과하다. 공기를 머금은 에어 피팅 서포터가 귀와 접촉 시 압력을 줄여줘 착용감이 우수했다. 갈고리 모양의 디자인으로 귀에 꼭 들어맞아 잘 빠지지 않고 장시간 착용해도 편안했다. 소프트 피팅 이어팁은 실리콘 재질로 착용감이 부드럽고 깊이가 얕아 이압이 적다. 작은 귀를 위한 SS 사이즈부터 큰 귀에 적합한 L 사이즈까지 4가지 사이즈로 구성됐다. 링크버즈 핏도 착용 중 주변 사운드를 상당히 자연스럽게 들을 수 있다. 이에 음악을 들으면서 일상의 소리를 어느 정도 들을 수 있고, 이어폰을 빼거나 음악 재생을 멈추지 않아도 자연스럽게 대화할 수 있다. 노이즈 캔슬링도 제공한다. 통합 프로세서 V2와 듀얼 노이즈 센서 기술을 적용했다. 링크버즈 오픈과 마찬가지로 통화 시 노이즈 감소 알고리즘이 동일하게 적용됐다. 8.4mm 크기의 다이나믹 드라이버 X를 탑재해 넓고 풍부한 사운드를 들을 수 있다. 취향에 맞게 다양한 컬러 구성이 가능한 점도 특징이다. 기본 색상은 화이트와 그린, 블랙, 바이올렛으로 구성됐다. 이 밖에 이어버드를 감싸는 피팅 서포터와 케이스 커버를 취향에 맞게 조합해 다양하게 매치할 수 있다. "집에 오니 저절로 스피커로 옮겨지는 음악" 마지막으로 이 시리즈의 첫 스피커 제품인 링크버즈 스피커는 우수한 연결성으로 '멈추지 않는 편안함'을 제공한다. 링크버즈 스피커는 이어폰을 케이스에 넣고 닫으면 이어폰에서 듣던 음악을 별도 조작 없이 스피커로 바로 들을 수 있도록 전환해준다. 스피커는 링크버즈 오픈과 링크버즈 핏, 링크버즈 S는 물론 1000XM5 시리즈와도 연동된다. 링크버즈 스피커는 중저음을 담당하는 우퍼와 고음을 담당하는 트위터의 2 웨이 스피커 구조에 두 개의 패시브 라디에이터로 저음역부터 고음역까지 선명하고 풍성한 사운드를 제공한다. 음향 확산 프로세서가 적용돼 약 520g의 작은 크기에도 공간을 채우는 음향을 들려줬다. 우수한 통화 품질도 강점이다. 스피커 상부의 마이크와 에코 제거 기능으로 어떤 방향에서도 음성을 선명하게 포착해 통화 시 목소리만 생생하게 전달했다. 오토 플레이 기능을 활용하면 특정 시간에 맞춰 플레이리스트 재생을 설정할 수 있다. 두 대 기기를 연결하는 멀티포인트 기능을 통해 노트북으로 영상을 보다가 전화가 오면 바로 통화도 가능했다. 한 번 충전하면 최대 25시간 연속 재생이 가능하다. 기본 제공되는 충전용 크래들은 스피커를 위에 살짝 얹기만 해도 손쉽게 충전이 가능한 형태다. "가격은 고급형 준해…앞으로가 더 기대되는 제품" 소니 링크버즈 시리즈는 음향기기의 음질과 성능을 강조하기보다 일상 속 편안함에 중점을 둔 개발 방향이 눈에 띄는 제품이었다. 때문에 앞으로 선보일 새로운 기능과 제품들에도 더 기대가 되기도 했다. 다만 가격이 고급형 제품에 준하는 만큼, 음향 성능을 가장 중요시하는 소비자라면 이보다 1000XM5가 나은 선택이 될 수 있다. 가격은 링크버즈 오픈과 링크버즈 핏이 각각 26만9천원, 링크버즈 스피커는 24만9천원이다.

2025.02.16 15:00신영빈

"AI 보안 혁신을 한눈에"…체크포인트, CPX 2025 APAC 개최

디지털 전환이 가속화되면서 보안 위협이 고도화되는 가운데 체크포인트가 아시아태평양 사이버 보안 강화를 위해 인공지능(AI) 기반 차세대 보안 전략을 공개한다. 16일 업계에 따르면 체크포인트는 오는 18일부터 이틀간 태국 방콕에서 '체크포인트 익스페리언스 2025 아시아태평양(CPX 2025 APAC)' 행사를 개최할 계획이다. 이 자리에는 업계 최고 전문가들이 모여 최신 사이버 보안 기술과 전략을 공유하고 AI 및 클라우드 기반 보안 혁신을 논의한다. 이번 행사에서는 ▲AI 기반 사이버 공격 대응 ▲제로트러스트 네트워크 보안 ▲클라우드 및 하이브리드 환경 보호 ▲기업 보안 전략 수립 등이 주요 이슈로 다뤄진다. 특히 'AI 해킹 라이브 데모'와 '사이버 위협 연구 결과 발표' 등 최신 보안 위협을 실제 사례를 통해 조명하는 세션이 마련될 예정이다. 또 체크포인트의 올해 제품 로드맵이 최초로 공개된다. 클라우드 네이티브 보안(CNAPP), 위협 인텔리전스(ThreatCloud AI) 등 새로운 기술이 도입되며 AI 기반 보안 운영 자동화(AIOps)와 확장 탐지 및 대응(XDR) 기술도 대폭 강화될 전망이다. CPX 2025는 업계 리더들과의 네트워킹 기회를 제공하는 자리이기도 하다. 최고정보보호책임자(CISO) 전략 포럼, C레벨 라운드테이블 등이 마련돼 기업의 보안 전략을 논의하고 실제 적용 사례를 공유할 수 있다. 이 밖에도 참가자들은 '핸즈온 랩(Hands-on Lab)'에서 체크포인트의 최신 솔루션을 직접 체험하고 '사이버 파크'에서 보안 침해 대응 훈련을 수행할 수 있다. 해커들이 AI를 활용해 공격을 고도화하는 현실에서 보안 담당자들도 AI를 활용한 대응 방안을 익혀야 한다는 메시지를 전달하는 자리다. 이번 행사에는 체크포인트의 최고 경영진과 업계 전문가들이 대거 참여한다. 체크포인트 창립자로 현재는 회장직을 맡고 있는 길 슈웨드가 이번 행사에서 회사의 비전과 전략을 발표할 예정이다. 그는 현대 방화벽 기술을 개발한 사이버 보안 업계의 선구자로, 여러 특허를 보유한 인물이다. 또 도릿 도르 체크포인트 최고기술책임자(CTO)도 행사에 참석해 AI 기반 사이버 보안 혁신을 주제로 발표한다. 도르 CTO는 지난 1995년 체크포인트에 합류한 이후 주요 제품 개발을 주도해왔으며 포브스가 선정한 '이스라엘에서 가장 영향력 있는 여성' 중 한 명으로 꼽힌다. AI 및 위협 인텔리전스 부문을 담당하는 댄 카르파티 AI 부문 부사장도 연사로 나선다. 그는 체크포인트의 연구개발을 총괄하며 AI 기반 보안 기술 개발을 주도하고 있다. 이번 행사에서는 AI가 사이버 보안에서 어떻게 활용되고 있는지를 상세히 설명할 예정이다. 이타이 그린버그 체크포인트 최고전략책임자(CSO)도 행사에 참석해 클라우드 및 하이브리드 보안 전략을 발표한다. 그는 클라우드 보안과 기업 네트워크 보호 전략을 총괄하며 글로벌 보안 시장에서 체크포인트의 방향성을 결정하는 핵심 인물로 평가받는다. 도릿 도르 CTO는 "올해에는 AI가 보안 공격과 방어 모두를 주도할 것"이라며 "보안팀이 각자 고유 환경에 맞춘 AI 기반 도구에 의존하는 동시에 적들 역시 점점 정교해지는 AI 기반 피싱과 딥페이크 캠페인으로 대응할 것"이라고 전망했다.

2025.02.16 12:00조이환

FBI-CISA, 버퍼 오버플로 취약점 경고…"용서할 수 없는 결함"

미국 정부 기관이 버퍼오버플로(buffer overflow) 취약점을 '용서할 수 없는 결함(unforgivable flaw)'이라고 규정하며 전 세계 개발자들에게 '보안 중심(Secure-by-Design)' 원칙을 적극 도입할 것을 촉구했다. 미국 연방수사국(FBI)과 국토안보부 산하 사이버보안·인프라보안국(CISA)는 '보안 설계 경고 : 버퍼 오버플로 취약점 제거'라는 보안 지침을 16일 발표했다. 버퍼 오버플로는 애플리케이션이 처리 가능한 메모리 범위를 초과하는 양의 데이터를 입력받아 발생하는 취약점이다. 공격자는 이를 악용해 임의 코드를 실행하거나 관리자 권한을 탈취해 시스템 전반을 장악하는 등 심각한 피해를 유발할 수 있다. 이 문제는 1990년대부터 지적돼 온 고전적인 결함이지만, 현재까지도 C·C++ 등 메모리를 직접 관리하는 언어를 비롯해 다양한 환경에서 빈번하게 발생한다. FBI와 CISA는 이번 공식 발표에서 "단순히 오래된 취약점이 아니라 오늘날에도 공격의 길을 활짝 열어주는 '취약점 중의 취약점'"이라며 그 위험성을 강조했다. 두 기관은 버퍼 오버플로가 이미 수많은 시스템 및 애플리케이션에서 악용된 바 있고 핵심 인프라를 노린 사이버 공격에 활용될 경우 국가 안보 차원의 위협이 된다는 점을 강하게 경고했다. 특히 미국 정부 기관이 버퍼 오버플로를 명시적으로 용서할 수 없는 결함이라고 강하게 비판한 것은 그동안 업계 전반에 널리 알려진 문제임에도 근본적인 개선 조치가 부족했음을 질타한 것으로 풀이된다. FBI와 CISA는 "버퍼 오버플로는 조금만 주의를 기울이면 막을 수 있는 결함이지만, 많은 개발 조직이 여전히 미흡한 보안 관리로 인해 시스템 전체를 심각한 위험에 노출시키고 있다"고 비판했다. 두 기관이 제시하는 핵심 해법은 소프트웨어 개발 라이프사이클 전반에서 보안을 우선적으로 고려하는 '보안 중심 설계'다. 이는 설계 단계부터 보안 요구사항을 명확히 설정하고, 구현 과정에서는 코드 검수와 테스트가 반복적으로 이뤄져야 한다는 뜻이다. FBI와 CISA는 특히 메모리 접근이 까다로운 C·C++ 프로젝트를 계속 사용할 수밖에 없다면, 경계 검사(bounds checking)나 안전 함수(safe function) 활용을 의무화하는 등 개발 조직 차원의 규율이 필수라고 지적했다. 더불어 러스트, 고(Go) 등 메모리 안전성(memory safety)이 강화된 언어로의 전환을 검토해야 한다고도 밝혔다. 이와 함께 자동화된 정적·동적 분석 도구를 활용해 코드 내 잠재적인 오버플로 가능성을 조기에 발견·제거하는 작업이 필수라고 강조했다. 개발 단계에서 상용 보안 툴을 이용해 정적 분석(Static Analysis)을 진행하고, 테스트 환경에서 동적 분석(Dynamic Analysis)을 병행하면 문제점을 훨씬 정확하게 파악할 수 있다는 것이다. BI와 CISA는 "지속적 통합·배포(CI/CD) 파이프라인에 보안 점검 기능을 삽입해 취약점이 발견되면 빌드가 자동으로 차단되는 방식을 전면 도입해야 한다"고 주문했다. 버퍼 오버플로 취약점이 클라우드나 사물인터넷(IoT) 등 분산 환경에서 파급력을 더욱 키울 수 있다는 우려도 제기된다. 물리적으로 연결된 수많은 기기가 하나의 대형 네트워크를 형성하는 상황에서, 단 한 지점의 취약점이 전체 시스템으로 확산될 위험이 존재하기 때문이다. 이에 마이크로소프트, 아마존, 구글 등 주요 글로벌 IT기업들은 이미 기존 시스템에 러스트를 도입하거나, 자체적인 보안 프로세스를 강화하는 방향으로 전환하고 있다. FBI와 CISA는 개발사와 기업에 "상시 모니터링 체계를 구축해 프로세스 이상 여부나 메모리 사용량 패턴 등 거동을 실시간으로 관찰하고 침해사고 발생 시 신속하게 대응할 수 있어야 한다"고 강조했다.

2025.02.16 11:00남혁우

Prev 21 22 23 24 25 26 27 28 29 30 Next