위협·취약점·위험의 개념

핵심 정리

위협은 자산에 손실을 초래할 원인이나 행위자를 뜻한다. 취약점은 자산이 잠재적으로 가진 약점이다. 위험은 취약점을 통해 위협이 자산에 손실이나 부정적 영향을 줄 가능성이다. 세 개념은 위협이 취약점을 거쳐 자산에 닿으면 위험으로 이어진다는 흐름으로 이해하면 된다.

취약점 관리는 취약점을 확인, 분류, 치료, 완화하는 주기적 과정이다. 사실상 모든 하드웨어와 소프트웨어에는 시스템이 예상대로 작동하지 않는 버그가 있으므로, 취약점을 완전히 없앨 수는 없다. 취약점 중에는 영향을 받는 자산에 가치가 없어 위험이 발생하지 않는 것도 있다. 위험 관리는 위협과 취약점이 자산에 미치는 영향과 가능성을 평가하고 완화 방법을 실행하는 절차이다. 완화 방법은 위협과 취약점이 존재하는 정보기술 영역에 따라 달라진다.

메시지 내용 공개는 메시지를 몰래 읽기만 하는 수동 공격이다. 위장·수정·서비스 거부는 시스템 자원이나 데이터를 변경하거나 방해하는 능동 공격이다. 공격은 능동과 수동으로 구분하는 것이 기본이다.

기밀성과 무결성도 이 구분과 함께 살펴야 한다. 스누핑 공격은 통신 내용을 몰래 엿보는 도청으로 기밀성을 위협하며, 데이터를 변경하지 않으므로 무결성을 위협하는 공격이 아니다. 두 위협을 가를 때는 기밀성은 도청, 무결성은 변조로 본다.

「정보통신기반 보호법」 제9조는 관리기관의 장이 소관 주요정보통신기반시설의 취약점을 정기적으로 분석·평가하도록 정한다. 같은 조는 새로운 형태의 전자적 침해행위에 대비하거나 시설에 중대한 변화가 있으면 중앙행정기관의 장이 별도의 분석·평가를 명령할 수 있도록 한다.

자세히

능동 공격과 수동 공격

공격은 대상 자원이나 데이터를 바꾸거나 방해하는지에 따라 구분한다. 위장은 시스템 자원이나 데이터를 변경하거나 방해하는 적극적 공격이다. 변조도 시스템 자원이나 데이터를 변경하는 적극적 공격이다. 반면 도청은 메시지를 가로채거나 관찰만 하는 수동적 공격이다. 수동 공격은 정보를 얻는 데 초점을 두고, 능동 공격은 자원이나 데이터를 바꾸거나 방해하는 데 초점을 둔다. 능동 공격은 시스템 상태를 실제로 바꾸므로, 자원이 바뀌었는지를 기준으로 살피면 판단하기 쉽다. 두 부류는 다음과 같이 나눌 수 있다.