백신(안티바이러스)의 성능을 논하는데 가장 많이 이용되는 항목이 바로 진단률(Detection Rate)입니다. 권위(!)있는 평가기관에서도 진단율과 오진율(False Positive), 그리고 검사하는 시간 등을 순서를 매기는 중요한 항목으로 배치하고 있습니다.
하지만, 사용자가 판단하고자 할 때에 진단율은 저멀리 하늘에 떠 있는 무지개와 같습니다. 보이기는 보이지만, 뜬구름처럼 사용자에게 현실적으로 다가오지 못하기 때문 아닐까 생각됩니다.
미국의 버지니아 주에 위치한 정보 보안 업체인 Cyveillance 사는 백신이 새로운 악성 프로그램(Malware)가 출현하고 나서 어느 정도 시점에 이르러야 진단을 하게 되는지 흥미로운 실험을 한 결과를 공개했습니다.
현재 악성 프로그램은 하루에 적어도 수천에서 수만개 이상 새롭게 또는 변형되어 출현하고 있으며, 백신 업체에서는 시그내처, 휴리스틱, 클라우드 기반의 기술 등등 다양하면서도 복잡한 기술을 결합하여 악성 프로그램에 대응하는 형국입니다.
백신업체에서는 새로운 악성 프로그램이 출현하게 되면, 이에 대한 정보를 습득하고 난 후 일정 기간(1-2일, 위험하지 않을 경우에는 수일 더 추가) 내에 진단할 수 있을 것이라고 생각할 수 있습니다만, 현실을 그렇지 않다는 것을 보여주고 있습니다.
이 연구의 목적은 새롭게 출현하는 악성 프로그램에 대해 전통적인 시그내처 방식을 이용하여 진단하는 유명한 안티바이러스 제품이 얼마나 빨리 대응하는 지 알아 보기 위함입니다.
이용된 악성 프로그램은 해당 회사가 보유한 기술로 습득한 것으로 2010년 5월 20일부터 22일(3일)간, 약 2억개의 도메인, 1억9천만개의 웹사이트, 8천만개의 블로그, 9만개 이상의 게시판, 수천개의 IRC/채팅방, 수십억 통의 이메일, 짧은 URL 서비스 등에서 수집한 것입니다.
다만, 사용된 샘플은 인터넷에서 주로 수집한 것으로 실제 우리가 USB로 감염되거나, 감염된 파일을 다운로드하는 등 현실적인 사용과는 약간 차이가 있을 수 있습니다만, 어느정도 감안하여 이해하시기 바랍니다.
<그림 1. 악성 프로그램 출현 후 1일 이내에 진단한 비율>
NOD32(38%)이 가장 높은 진단율을 보였으며, McAfee(23%), F-Secure(22%)가 그 뒤를 이었습니다.
<그림 2. 시일이 경과하면서 진단율이 증가>
<그림 3. 약 30일간 증가되는 진단율>
표에서 보듯이 보통 8일 정도 이후가 되어야 진단율이 약 90%정도 이릅니다. 즉, 즉각적인 대응은 솔직이 실망스럽고, 일주일의 시간 후에서야 어느정도 된다는 것입니다. 그런데, 그러는 동안에 새로운 악성 프로그램이 휴가를 가는 것은 아니지 않을까요?
마지막으로 악성 프로그램이 출현한 후에 이를 대응 즉, 진단하는데 걸리는 평균 시간은 아래와 같습니다.
<그림 4. 악성 코드에 대응하는 데 걸리는 평균 시간>
위의 표에서 NOD32는 약 2.2일이 소요되어 1등을 차지했습니다. 그 뒤를 Kaspersky(3.8일) 순서입니다. Sophos, Trend Micro의 경우에는 약간 무척 부진한 상황을 보여 주고 있습니다.
지금까지 나온 결과를 보면, 솔직이 실망감이 몰려 들 수 밖에 없습니다.
백신 업체에서는 이러한 대량 물량 공세에 효과적으로 대응할 수 있는 기술을 마련해야 할 것으로 보입니다.
사용자 측면에서는 백신이 모든 것을 막아 줄 수 있다는 환상을 버리고, 이제 보안은 내 자신이 먼저 지켜야 한다는 생각을 가져야 하며, 보다 안전하게 인터넷을 사용할 수 있는 방법을연구하여 이용해야 할 것입니다.
가짜 백신(Rogue Antivirus)이라고 들어 보셨나요? 가짜 백신은 컴퓨터에 악성 프로그램이 없는데도 있다고 사칭하면서 치료할 때 돈을 요구하는 프로그램을 말합니다. 감염되는 방식은 인터넷 상의 광고 등을 이용하여 온라인으로 바이러스를 검사할 수 있다고 속여 사용자가 허용하면 가짜로 검사하는 척 하면서 있지도 않은 바이러스가 있다고 경고합니다. 그런 다음에 가짜 백신을 컴퓨터에 다운로드하여 설치하게 합니다. 그리고, 실제 검사를 진행하면 물론 거짓으로 감염되었다고 알려 주고 치료를 위해서는 결제를 하도록 유도합니다. 아래는 지난 번에 포스팅한 Green AV라는 가짜 백신을 제거하는 방법에 대한 자료입니다.
요즘에는 바이러스(웜, 등등 통칭해서 악성 프로그램)들의 전파 속도는 인터넷의 발달로 인해 거의 빛의 속도를 따라가고 있다. 어제 유럽에서 새로 발견된 악성 프로그램은 오늘 내 컴퓨터에서 조용히 잠복하는 세상이다.
하지만, 악성 프로그램을 진단 치료하는 안티 바이러스 벤더의 입장에서 보면, 정보의 홍수 아니 악성 프로그램의 홍수 속에 업무가 기하급수적으로 증가하고 있다. 특히, 이메일을 통해 감염되는 악성 프로그램(거의 트로이 목마)은 한번 퍼지기 시작하면 스패머의 활약에 힘입어 엄청난 속도로 전파되는 특징을 가지고 있다.
이러한 악성 프로그램이 우리가 사용하는 안티바이러스 제품에 샘플을 수집하여 이를 데이터베이스화하는데 걸리는 시간은 얼마나 되는지 궁금하지 않은가?
미국의 유명한 안티 스팸 업체인 컴터치(CommTouch)는 악성프로그램 발생 센터(Malware Outbreak Center)라는 프로그램을 통해 이메일로 전염되는 악성 프로그램을 보안 벤더들이 얼마나 빨리 대응하는지 자세히 보여 준다.
중국은 막대한 인구수, 경제력 등을 바탕으로 빠르게 경제 성장을 이룩해 가고 있지만, 그 폐혜도 만만치 않습니다. 최근 조사한 연구에 따르면, 전세계에서 발생하는 악성 프로그램의 약 40%가 북경에서 발원한다고 합니다. 이러한 수치는 지난 5월의 21%에 비해 놀랄만큼 증가한 것이라고 보안 벤더인 Network Box Corp의 보안 관리자인 Simon Heron이 밝혔습니다.
또한, 중국의 북경발 스팸이 전세계에서 가장 많이 발송되고 있어 약 11%정도를 차지하고 있으며 지난 5월달에는 5%정도에 머물렀다고 합니다.
이러한 결과를 얻기 위한 연구작업은 이 회사가 공급하고 있는 보안 장비를 사용하는 약 700 여개의 고객사에서 전송한 이벤트 로그를 분석한 결과라고 합니다.
유망한 보안 컨설턴트인 Win Schwartau의 블로그(http://securityawareness.blogspot.com)를 통해서 크루드웨어를 강제로 배포하려다 포기한 일이 있었다고 한다. 그의 블로그에서는 Malware Alarm이라고 부르는 크루드웨어를 방문자에게 설치하게끔 하도록 조작하였다.
이 블로그는 구글에서 제공하였기 때문에 구글 측에서는 이러한 사실을 확인하고 URL을 차단하였으며, 지금은 정상적으로 복구되어 블로그 웹페이지가 열린다.
한편, 일부 보안 벤더들은 문제가 발생했던 Malware Alarm 무료 프로그램이 상용 버전인 프리미엄 버전을 구매하도록 교모하게 설계되어 가짜의 보안 경고를 내보인다고 주장했다. 이 소프트웨어에서 악성 프로그램이라고 진단했던 파일들은 윈도우에서 사용되던 파일이거나 정상적인 프로그램이라고 한다.
아래 사진은 SunbeltBLOG에 올라온 스크린샷으로 위에서 언급한 블로그를 방문했을 때 나타났던 보안 경고 창 화면이다.
<악성 프로그램에 감염되었다고 목록을 보여주고 사용자에게 경고하는 화면>
그리고, 구글의 검색 캐시 기능으로 인해 아직 검색해 보면 예전의 링크가 살아 있는 재미있는 상황이 연출되고 있다고 한다.
문제의 원인을 이 블로그의 주인이 언급한 글에 따르면, "이미 폐쇄한 블로그로 생각하고 있었고 다른 블로그를 사용하고 있는 상태였기 때문에 이러한 경고에 대해서 무시했었다"고 합니다. 보안 컨설턴트가 이에 대해 언급한 내용은 여기를 클릭하세요.
우리나라에는 다음, 티스토리, 네이버 등등 다양한 포탈 및 사이트에서 블로그 서비스가 제공되고 있습니다. 일부 사용자들은 이러한 블로그 서비스를 사용하면서 관리를 제대로 하지 않아 그냥 무단방치되는 경우도 많습니다. 또한, 약한(풀기 쉬운) 비밀번호로 블로그를 관리하여 해킹을 당하는 상황도 당연히 발생할 수 있습니다. 이러한 취약한 블로그를 통해 바이러스 제작자 등의 악의를 가진 사람이 이런 수단을 통해 다양한 공격을 수행한다면 막기가 그리 수월치는 않을 것이라 예상됩니다.
따라서, 블로거들은 자신이 더 이상 운영하지 않는 경우라면 블로그를 폐쇄하거나 또는 모든 트랙백이나 링크를 달지 못하게하고, 비밀번호를 복잡하게 바꾸어 놓고 자신만이 아는 공간에 적어두는 것이 좋습니다. 또한, 블로그 서비스 업체에서는 사용자가 관리 목적으로 일정 기간동안 로그온을 하지 않는 등 무단 방치되고 있는 블로그에 대한 모니터링과 적절한 대응 조치가 필요하다고 생각됩니다.
특히, 티스토리와 태터툴즈와 같은 블로그 설치 형태에서는 자바 스크립트를 사용할 수 있습니다. 자바 스크립트는 운영자에게는 좀더 나은 디자인과 편리성을 제공해 주지만 반대 급부로 보안상 취약점을 야기할 수도 있다는 점을 명심해야 할 것입니다.
