방통위 디도스 대응 '미흡' 판정

국회입법조사처와 국회 디지털포럼(회장 서상기 의원)이 지난 6월 진행한 60개 중앙부처 및 정부 산하기관 대상 디도스(DDoS) 공격 대응에서 방송통신위원회가 헌법재판소, 국회도서관, 한국정보화진흥원, 한국정보통신기술협회와 함께 '미흡' 판정을 받았다.

행정안전부는 '양호' 판정을 받았지만, 2분 동안 접속 불가 상태에 놓이는 등 '우수' 판정을 받은 다른 기관(교육과학기술부, 농림수산식 품부, 지식경제부, 통일부, 소방방재청, 국회사무처)에 비해 대응이 미흡했던 것으로 나타났다.

이에 따라 정부 공공기관의 정보보호 관련 조직 인력을 늘리고 예산을 확충해야 한다는 지적이 나오고 있다.

하지만 일부에서는 국회 디지털포럼의 이번 테스트 자체의 신뢰성에 의혹을 제기해 논란이 예상된다. 이번 디도스 테스트를 하면서 보안 모니터링 일부를 바꾼 상태에서 진행된 때문이다.

◆방통위, 웹방화벽 뚫려 6분간 홈페이지 접속 지연

이번 조사는 지난 6월7일부터 25일까지 국회입법조사처와 국회 디지털포럼이 한국인터넷진흥원(KISA) 및 국정원 관계자들과 함께 진행한 것이다.

방송통신위원회, 행정안전부, 국토해양부 등 60개 중앙부처 및 정부 산하기관을 대상으로 디도스 공격 대응 및 무선랜 취약점, 홈페이지 취약점 등 3가지를 측정했다.

이 중 디도스 공격은 올해 처음 실시된 것이다.

주최측은 "디도스 측정은 시간의 제약상 총 60개 정부기관 중 18개 기관을 대상으로 점검했는데, 전체기관 차단 비율이 약 54%(총 89개 공격 중 48개)로 효과적인 대응이 이루어지지 않았다"면서 "디도스 대응 장비를 보유하지 않은 기관의 경우 소량의 공격에도 홈페이지 접속 불가 및 서비스 지연과 같은 상황이 나타났다"고 밝혔다.

특히 방통위의 경우 웹방화벽이 무너져 6분간 홈페이지 접속이 지연됐다. 행안부 홈페이지 역시 2분 정도 접속 지연 현상을 겪은 것으로 나타났다.

방통위 관계자는 "웹방화벽이 무너진 것은 사실이나, 테스트를 위해 대전 정부통합전산센터에 있는 디도스 모니터링 정책 일부를 변경한 상황에서 이같은 일이 발생한 것"이라면서 "웹방화벽은 펌웨어를 업그레이드해서 현재 용량을 늘린 상태"라고 해명했다.

◆조사 신뢰성 논란도 제기…정보보호 예산·인력 늘려야

하지만 그는 "6월 14일에 평상시처럼 디도스 자동 대응시스템과 모니터링 체계를 유지한 가운데 실험했을 때는 아무런 문제가 없었다"면서 "디지털포럼 측의 요청으로 테스트를 위해 6월 16일 모니터링 정책 일부를 변경한 뒤 방통위 웹방화벽이 무너진 것"이라고 말했다.

디도스의 특성상 형태를 바꿔 한 기관을 타깃으로 대규모로 공격하면 아무리 용량이 큰 웹방화벽이 있더라도 무너질 수 밖에 없다는 설명이다.

그러나 이에대해 국회 디지털포럼측은 "정부통합전산센터에 테스트용 IP가 노출돼 이를 바로잡기 위해 조치했을 뿐"이라면서 "행안부 공격시 IP를 바꿨더니 웹 접속이 지연되기도 했다"고 반박했다.

뿐만아니라 다른 부처 역시 같은 조건으로 공격 테스트가 진행됐다는 점에서, 방송통신위원회의 웹방화벽이 무너진 것은 심각한 문제라는 지적도 제기된다.

국회입법조사처 관계자는 "이번 조사는 정부부처들에 정보보호와 관련된 투자와 인력을 늘려야 한다는 경각심을 주기 위해 마련된 것"이라면서 "보다 교묘한 방식으로 빈번하게 발생하는 사이버공격에 대응하려면 지속적인 투자, 전문 정보보호인력의 확충 및 직업안정성 확보, 공공기관 정보보호 담당자의 보안의식 증대 등이 이뤄져야 한다"고 강조했다.