LG

“화이트 해커는 블랙 해커들보다 좀 더 빠르게 나아가야 되는 입장이라고 생각해요.” “만약에 내가 이 취약점을 못 찾았으면 누군가가 악의적으로 활용하지는 않았을까 그런 생각이 나니까” “흔히 창과 방패의 싸움이라고 하잖아요. 저희는 더 튼튼한 방패를 만드는 일을 하는 거죠.” 안녕하세요. LG CNS RED팀에서 화이트 해커 업무를 맡고 있는 김종훈입니다. # 저는 화이트 해커입니다 화이트 해커는 영화에서 보던 나쁜 해커들의 반대 입장이라고 생각을 하시면 됩니다. 공격자인 해커의 입장에서 취약점을 찾고 이 서비스가 정말 안전한지 먼저 점검을 하는 역할이라고 생각을 하시면 돼요. 병원 플랫폼을 점검을 했었던 적이 있어요. 제가 랜선을 꽂아서 접근하는 것만으로도 환자분들의 개인정보까지도 열람이 가능할 수도 있습니다. 환자 정보가 몇 만 명이었으니까. 그런 보안 약점들을 저희가 미리 찾아서 사람들이 안전하게 사용할 수 있게 도와주는 역할을 하고 있습니다. # 보안 한 우울만 팠습니다 보안 한 우물만 파왔던 것 같아요. 군대도 이제 정보 보호병으로 갔다 왔고요. 다른 길은 잘 생각을 안 해봤습니다. 보안이 재밌고 아무래도 남들이 쉽게 할 수 없는 기회라고 할까요? 좀 자부심이 생겼던 것 같아요. 졸업을 하고 나서 거의 바로 BoB에 합격을 했어요. 제가 했었던 보안 학습 과정 중에서는 가장 힘들었고 되게 많이 배우고 깨지고 부서졌던 시간이었던 것 같습니다. # 국내 해커 상금 랭킹 8위?! 그거는 되게 운이 좋았죠. 더 노력해야된다고 생각합니다. 외부에 있는 사람들이 취약점을 찾으면 얼마나 크리티컬하고 영향도가 높으냐에 따라서 금액을 측정해서 이것을 상금으로 주는 거죠. 그런 걸 버그 바운티라고 하고요. 제가 가지고 있는 능력이 어느 정도 되는지 좀 시험해보고 싶을 때 해보는 것 같아요. 요즘 같은 경우에는 가상화폐 플랫폼을 대상으로 한 버그바운티가 또 인기예요. 그런 데서 취약점을 하나 찾으면 받는 금액이 거의 몇 10만 달러에서 시작한다고 생각하시면 돼요. 저는 얼마 못 벌었어요. 이거 나가면 안 될 것 같은데? # 누군가의 인정보다 스스로의 보람으로 하는 일 어떤 것을 만들어서 누가 칭찬을 해준다. 잘했다고 얘기해 준다. 이거는 아마 보안에서는 조금 느끼기 어려울 것 같아요. 만약에 내가 이 취약점을 못 찾았으면 누군가가 찾아서 악의적으로 활용하지는 않았을까. 내가 찾아서 이 사이트가 조금은 나아졌구나 라는 생각을 할 때 좀 스스로 보람을 느끼는 것 같습니다. 이 일이 재미있지 않고 굉장히 지루하다면 아마 금방 다른 일을 생각해봤을 것 같아요. # 깨지지 않는 방패란 없기에 깨지지 않는 방패는 없다고 생각을 하는 편이거든요. 공격자들이 항상 매년 신규 공격 기법들을 발견하고 있고 이러한 것들에 대해서 트렌드를 따라가지 못하면 그걸로 끝이기 때문에 계속 꾸준히 분석을 하고 있어요. # 조언과 자극을 주는 RED팀 동료들 정말 안 되면 저는 어떻게 하면 좋을까 조언을 좀 많이 구해요. 선임이나 제 후배들일 수도 있고 자문을 구하면서 취약점이 나왔을 때, 굉장히 기분이 좋으면서도 아 내가 부족했구나. 왜 이걸 생각 못했을까 그런 생각을 하면서 좀 더 성장했다는 생각이 들었죠. LG CNS에 있으면서 제가 좀 더 발전하고자 하는 방향에 대해서 되게 많이 적극적으로 생각을 해 주시는 것 같아요. 제가 블랙햇을 인생에 가볼 줄은 몰랐는데 팀장님을 포함해서 5명이 같이 가게 됐거든요. 보안을 하는 사람이라면 누구나 한 번쯤은 가보고 싶은 그런 콘퍼런스 중 하나죠. 좀 더 세상을 크게 볼 수 있게 됐던 것 같아요. 전 세계에서 같은 분야에 종사하고 있는 사람들을 만나서 이러한 시선으로 보고 있구나. 이런 관점으로 공부를 하고 있구나. 되게 말로써는 얻을 수 없는 그런 값진 경험을 한 것 같아요. # 더 튼튼한 방패를 만드는 화이트 해커의 자세 어떤 새로운 신규 기술을 저한테 줬을 때 제가 되게 둔하게 학습을 하려고 해요. 하나에 대해서 여러 가지 실패를 해보고, 몇 시간이 될 수도 있고 며칠이 될 수도 있겠죠. 그런 얘기가 종종 들리고는 해요. ‘적당히 해라’ ‘살살해라’. 제가 여기서 안주를 해서 점검을 끝내버리면 나중에 큰 사고가 일어날 수도 있는 거잖아요. 당연히 제가 할 수 있는 만큼, 할 수 있는 만큼 아니라 항상 최선을 다해서 점검을 수행을 해야 된다고 생각합니다. 또 필요한 것은 저희가 찾은 취약점을 통해서 악의적인 행동을 할 수 있는 것은 진짜 동전 뒤집기라고 생각하거든요. 이게 옛날에 사건·사고가 있었어요. 보안을 하던 사람인데 경쟁업체를 디도스 (공격) 해달라 서비스를 마비시켜달라라는 식으로 돈을 받고 일을 한 적이 있다고 들었어요. 윤리의식과 그리고 최선을 다하는 것 두 개가 기술만큼이나도 더 중요하다고 생각해요. # 화이트 해커 김종훈이 그리는 내일 트렌드를 따라가지 못하면 그걸로 끝이기 때문에 앞으로도 호기심과 끈기 둘 다 잃지 않으려는 화이트 해커가 되기 위해 노력할 거고요. 한 명의 화이트 해커로서 우리나라 보안이 옛날보다는 더 좋아지고 있구나. 어제보다는 더 나은 오늘이 되고 있구나라는 모습을 보여주고 싶습니다.