FootPrinting
풋프린트(footprint)란 발자국을 뜻하며, 풋프린팅(footprinting)은 그 발자국을 살펴보는 것을 의미한다. 해킹에서 풋프린팅은 공격할 대상의 정보를 모으는 방법 중 하나다. 즉, 사회 공학이라고 불리는 공격 기법 중에 하나라고 생각할 수 있다. 사회 공학(Social Engineering)이란 일반적인 사회 현상에 대한 연구를 말하는 것이 아니다.
예를 들면, 친구들끼리 사용자 계정이나 패스워드를 필요에 의해서 주고 받거나 패스워드를 외우기 어려워 수첩이나 컴퓨터 옆의 어딘가에 적어놓은 경험이 있을 것이다. 사회 공학이란 이러한 점을 이용하는 것이다.
언뜻 생각하면 "그런게 무슨 해킹이야. 정말 해커라면 그런 것들로 시스템을 뚫고 들어가서 무슨 의미가 있겠어?"라고 생각할지도 모르겠다. 하지만 이는 공격자에게도 보안 책임자에게도 무척이나 중요한 문제다. 실제로 패스워드가 노출되는 사건의 대부분이 스니핑(sniffing)이나 스푸핑(spoofing)처럼 고급 기술이 아니라 사회 공학에 의한 것이다.
세기의 해커로 알려져 있는 케빈 미트닉(Kevin Mitnick)이 가장 능통한 분야도 사회 공학이며, 얼마 전엔 사회 공학만을 이용해 자신을 해고한 회사 시스템의 핵심부까지 침투했던 이야기를 쓴 책도 출판되었다.
그렇다면 풋프린팅이란 구체적으로 어떤 것일까? 풋프린팅이란 본격적인 해킹을 위한 사전 준비 작업이라 할 수 있다. 해킹을 하기 위해서는 자신의 활동 영역을 결정하고, 노출을 막기 위한 규칙을 정해야 한다. 또한 얻을 수 있는 최대한의 정보를 얻어내야 한다. 이때 풋프린팅을 통해서 얻는 정보는 매우 중요하며 때에 따라서는 매우 결정적으로 사용되기도 한다. 그렇다면 어떤 정보를 얻어내야 하는 것일까?
먼저 사용자의 계정을 알아내야 한다. 사용자 계정을 알아낸다면 패스워드를 알아내어 침입이 가능하다. 물론 패스워드를 알아내는 일을 더욱 어려운 일이지만 그건 차후의 일이다. 사용자 계정을 알아내는 방법은 매우 다양하다. 가장 쉬운 방법은 웹 사이트의 관리자 계정과 사원들의 계정을 알아내는 것이다. 예를 들어 웹사이트 관리자에게 메일을 보내는데 주소가 webmaster@proneer.com이라고 해보자. webmaster라는 것은 웹에도 존재하지만 실제 시스템에도 존재할 가능성이 크다.
사용자 계정을 알아내면 패스워드를 찾기 위해 계정을 사용하는 사람의 이름과 전화번호 등을 알아낸다. 대부분 이름, 전화번호, 생일, 주민번호 등을 패스워드로 사용한다. 보안을 조금이라도 인식하는 사람이라면 절대로 자신의 신상정보를 패스워드로 설정하면 안된다. "chain rule"이란 말을 들어봤을 것이다. 쇠사슬을 양쪽 끝에서 잡아당기면 가장 약한 부분이 끊어진다. 즉, 쇠사슬의 강도는 가장 강한 부분에 의한 것이 아니라 가장 약한 부분에 의해 결정된다. 보안 역시 마찬가지다.
이제 알아낼 수 있는 계정 모두와 신상정보를 얻어냈다고 하자. 그 다음에는 게시판을 이용한다. 게시판에는 생각하지 못한 정보들이 많이 있다. 특히 사용자 불편 사항과 시스템의 변동 사항등을 공지하는 게시판은 알짜배기 정보가 많다. 언제 시스템이 업그레이드되었는지, 어떠한 시스템이 추가 운영되는지, 어떤 시스템에 주로 문제가 있는지 등의 정보를 얻을 수 있다.
이러한 정보를 수집할 때 주의할 점은 너무 많은 로그와 접속 시도를 남기면 후에 자신을 노출시키는 실마리가 된다. 따라서 공격하고자 하는 웹 사이트에 수시로 접속하는 것은 위험하다. 공격 대상 사이트를 분석하려면 WebZIP과 같은 유틸리티로 웹 페이지를 내려 받아 검색하는 것이 좋다. 물론 공격에 사용할 컴퓨터를 이용해 웹 사이트를 내려 받아서는 안된다.
웹에서 알아낼 수 있는 정보 중에 중요한 한 가지는 협력 회사와 같은 계열사다. 대부분의 협력 회사와 계열사들은 서로를 신뢰하고 있으며, 원활한 정보 교환을 위해 특별한 보안 조치를 하지 않는다. 두 회사는 전용선으로 연결되어 있고, 방화벽이 설치되지 않은 경우가 만다. 공격 대상으로 정한 곳이 철저하게 방화벽으로 막혀있다면 계열사나 협력 회사의 네트워크를 이용해 침투할 수도 있다.
이렇게 온라인을 통한 정보수집 외에도 오프라인을 통해서도 가능할 것이다. 침투할 시스템의 관리자나 담당자와 친분을 통해 그 사람의 기호나 관심사를 알아내게 되면 더욱 패스워드를 크랙하는데 도움을 줄 것이다.
이러한 풋프린팅은 해킹을 하기 위한 기본적인 작업이 되고 기술적인 위협보다 더욱 중요한 위협요소가 될 수 있다.
Reference : 네트워크 해킹과 보안(한빛미디어)
