저자는 이 책에서 사이버 범죄로 인해 현대사회가 전자상거래의 추락뿐만 아니라 금융시스템의 붕괴까지 직면하고 있다고 지적한다. 한 마디로 사이버 조직범죄는 국제 마약거래나 핵 확산만큼 심각한 문제다. 나아가 러시아나 중국 정부는 국익을 위해 자국 해커들을 보호하고 심지어 전략적 수단으로 활용한다. 이 책은 영화처럼 흥미진진하지만 한편으론 인터넷 시대에 대한 매우 위험한 통찰이 담겨 있다.

[##_1R|1197353810.png|width="167" height="198" alt="사용자 삽입 이미지"|_##]영화 같은 실화?! 위 글은 얼마전 저희 출판사에서 출간한 『넷 마피아』의 요약 소개자료입니다. 온라인 해킹, 신원도용, 스팸메일, 피싱 등 수많은 온라인 범죄와 사이버 수사 첩보 등 이 책에 나오는 저자 바렛 리온과 앤디 크로커의 실화에 기반한 전세계 인터넷 지하 경제의 음모와 범죄를 낱낱이 다룬 이 책의 이야기는 이제 남의 일이 아닙니다.

며칠 전 초유의 사건이 터졌습니다. 우리나라 최대 포털 중 하나인 네이트에서 3500만 명 국민의 개인정보가 온라인해킹으로 노출된 사건이죠. 그 며칠 전에는 한국음악실연자협회의 사이트 관리 소홀로 유명 연예인 몇천 명의 주민등록번호가 검색에 고스란히 노출되기도 했습니다. 대형포털 디도스 공격, 현대캐피탈의 42만 명 고객정보 유출, 농협 해킹 사태로 인한 전산망 마비 등 이제는 금융기관, 국가의 전산망, 온라인 포털 등 곳곳을 가리지 않고 하루가 멀다하고 '사고'가 터지는 셈입니다. 인재와 천재가 겹친 서울 산사태를 무색케하는 대형인재가 온라인에서는 날마다 '有故'입니다.

『넷 마피아』를 읽은 독자 여러분의 서평은 한결 같았습니다. 두렵다, 놀랍다, 이 정도라니. 하지만 어쩌면 보안 관계자가 읽은 권수를 따라잡지는 못하겠지만, 해킹보안 서적을 수십 권 기획하고 출간한 저희로서는 넷 마피아의 그것은 어쩌면 독자분들이 느낀 감상보다는 그 여파가 덜했다고 볼 수 있습니다. 어쩌면 저희는 '뻔한 이야기 아냐?'라고 생각하기도 했습니다. 그만큼 저희가 느낀 작금의 사태는 이미 심각하다고 간파한 상태였습니다. "웹 애플리케이션 해킹 완벽 가이드"라는 책을 소개한, 3년 전의 2008년 11월 에이콘블로그 글에서도 이미 그 위험성을 경고한 적이 있습니다. 세상은 그동안 얼마나 달라진 걸까요?

세상의 해커들은 어쩌면 보안관리 담당자가 아는 것 이상의 엄청난 지식과 기술을 이미 확보하고 있을지도 모릅니다. 아니, 어쩌면 사람이 아닐지라도 어쩌면 여러분이 만든 사이트와 제품은 보안상의 수많은 오류와 헛점을 품은 채 이미 세상에 선을 보이고 당신의 소중한 고객이 열심히 사용중인지도 모릅니다. 역시나 여러분은 전혀 모르는 채로요.

과연 해커들이 시스템에 침투하여 단 1회에 개인정보를 모두 긁어가는 정도로 그쳤다면 어쩌면 천만다행인 일인지도 모릅니다. 그러나 우리가 모르는 사이에 해커는 시스템에 침투하여 데이터베이스에 접근해 모든 데이터를 긁어간 후에도 만족하지 않고 계속 들락거리며 우리 모두를 농락했을 거란 일입니다. 모 금융 시스템 해킹 사건에서 노출된 고객 정보가 처음 조사시에는 십수만 건에 불과했다가 최종에는 백만대 건으로 늘었다는 이야기는 이미 해커는 제집 드나들 듯 해킹 놀이를 했다는 것이지요.

해커는 웹의 취약점을 공격해 시스템의 최고권한을 획득한 후 서버 장악을 유지하기 위해 루트킷이나 백도어를 설치해 원하는 자료를 차근차근 획득하고 정보를 리셋한 후 종국에는 사이트를 마비시키는 시나리오를 이미 모두 짜놓은 후에 지금은 X단계의 미션을 실행 중인지도 모릅니다. 그렇다면 사이트 관리자나 보안 담당자들은 전혀 알아채지 못한 걸까요. 물론 정교하게 웹 트래픽처럼 보이게 했을지도 모릅니다. 그러나 분명히 그들은 방화벽을 우회한다거나 감시 모니터를 우회하는 등 흔적을 남겼겠지만, '사람'이 충분히 발견할 수 있는 기회조차 아예 갖지 않았다면 더욱 큰 문제가 아닐까요.

산도 무너지고 모든 온라인 세상이 무너져 내린다. 이 무서운 시나리오 속에서 그저 속수무책 잘못을 되풀이하고 사과하고 다시 또 다시 되풀이하는 악몽을 멈추게 하려면 반드시 현실을 직시하고 뛰는 놈 위에 나는 자가 되어야 합니다. 각 기관과 회사에서는 모의해킹과 침투테스팅 등을 통해 자사 사이트의 취약점을 발견하고 바로 대응책을 세워야 할 때입니다.

저자는 백트랙 테스트 방법론을 하나씩 다루면서 침투 테스트를 수행하는 데 필요한 다양한 보안 평가 툴을 분류별(타겟 스코핑, 정보 수집, 발견, 탐색, 취약점 매핑, 사회 공학, 익스플로잇, 권한 상승, 장악 유지, 보고서 작성)로 소개한다. 각 툴은 실전 예제를 통해 실질적인 사용법과 입증된 설정 방법을 강조하는 방식으로 설명한다.

『BackTrack 4 한국어판: 공포의 해킹 툴 백트랙 4』은 침투테스팅(이라고 쓰고 해킹이라고도 읽을 수 있는) 수많은 툴에 특화된 전용 운영체제인 백트랙4(BackTrack4)를 다룬 세계 최초의 책입니다. 이 책이 보안 관리자에게 읽힌다면 자사의 웹을 철벽방어할 수 있는 최대의 도구로서 활용될 수 있을 것이나, 만약 어린 스크립트키디의 손에 들어간다면 무시무시한 해킹 교본으로서도 악용될지도 모를 만큼, 어쩌면 매우 위험한 책입니다. 그렇기 때문에 미리 알고 미리 공부해서 외양간은 미리 튼튼하게 정비해둬야 합니다.

마지막으로 이 책을 번역한 보안 전문가 민병호 님의 옮긴이 서문으로 이 글을 정리합니다. 앞으로 한층 성장한 보안관리를 통해 더욱 견고해진 웹사이트를 안전하게 즐길 수 있게 해주시길 간곡히 부탁합니다. 에이콘출판사에서는 곧 무선네트워크 침투테스팅 방법을 설명하는 백트랙5 서적도 원서가 출간되는 대로 바로 번역해 출간할 계획입니다. 기대해주시기 바랍니다.

최근 몇 년 사이에 사이버 범죄의 조직화와 현금화가 본격화됐다. 돈세탁으로 생각할 수 있는 머니 뮬(money mule)이 널리 퍼지면서 해킹한 정보를 이용해서 금전적 이익을 창출하는 사이버 범죄 산업이 크게 성장하고 있다. 단순히 재미나 실력 과시를 목적으로 해킹을 하는 게 아니라 돈과 이익을 노리고 조직적으로 해킹을 하는 사례가 늘고 있다는 의미다. 또 어노니머스(Annoynmous) 같은 핵티비스트 해킹 그룹이 기업이나 국가의 정치 경제적 기밀을 공개하고, 룰즈섹(LulzSec) 같은 흥미 위주의 해킹 그룹이 소니의 플레이스테이션 네트워크를 해킹하면서 전세계가 사이버 보안과 사이버 범죄에 큰 관심을 보이기 시작했다. 우리나라에서도 몇몇 금융 기관이 해킹 피해를 입으면서 사이버 보안이 사회적인 이슈로 떠올랐다.

이런 시기에 『BackTrack 4: 공포의 해킹 툴 백트랙 4』가 나왔다. 도깨비 방망이 같은 해킹 툴을 친절히 설명하면서 실전에 바로 적용할 수 있는 해킹 과정을 자세히 다루는 이 책이 말이다. 안 그래도 해킹과 사이버 범죄가 이슈인데 옆집 철수도 악의적 해커로 만들어 버릴 수 있는 책이 나와버린 것이다. 해킹 툴은 양날의 칼과 같아서 침투 테스터나 보안 전문가가 선의의 목적으로 사용하면 IT 산업 전체의 보안 향상에 기여하지만, 악의적 해커가 악용하면 사이버 재앙을 야기할 수도 있다. 수 많은 해킹 툴을 설명하는 이 책 역시 마찬가지다. 특히 이 책에서는 기술적 원리는 모르면서 툴만 사용하는 해커인 스크립트 키디가 지침서처럼 가지고 다닐 수 있을 정도로 다양한 해킹 툴을 소개한다.

그렇기에 이들의 공격을 막아야 하는 방어자와 침투 테스터에게도 꼭 필요한 책이 바로 이 책이다. 누구나 쉽게 사용할 수 있는 위험천만한 해킹 툴은 이미 존재한다. 구더기 무서워 장 못 담그지 않듯이 악용이 두려워 강력한 해킹 툴의 존재를 숨길 수는 없다. 오히려 툴의 사용법을 더욱 널리 알려 선의의 보안 전문가가 활용할 수 있게 하는 게 최선의 방어책이다. 공격자의 툴을 이해한 방어자는 난공불락의 방어 시스템을 구축할 수 있기 때문이다. 또 이 책에서는 해킹 툴 외에도 테스트 결과 문서화와 발표, 대응책 수립 등 전문 침투 테스터의 필수 업무와 체계적인 침투 테스트 과정도 다루고 있기에 그야말로 침투 테스터를 꿈꾸는 사람의 필독서라 할 수 있다. 여러분도 이 책을 읽고 나면 강력한 사이버 무기를 하나 더 갖춘 보안 전문가로 거듭날 수 있을 것이다.

- 옮긴이 민 병 호