PHP 보안, 관건은 시간 싸움… 수백만 건의 해킹 시도, AI로 잡는다
글로벌 인터넷 인프라 기업 클라우드플레어의 매슈 프린스 최고경영자(CEO)는 PHP 취약점 공개 후 45분 만에 수만 건, 2시간 안에 수십만 건의 공격 시도를 관측했고 이후에는 이 건수가 수백만 건에 달했다고 밝혔다. 지난 21일(현지시간) 공개된 취약점 2건은 인증받지 않은 외부 해커가 원격으로 서버를 장악해 악성 프로그램을 실행할 수 있는 ‘원격코드 실행’(RCE) 결함이다. 공격 시도 건수 자체는 해커들이 취약한 서버를 찾아 무차별적으로 문을 두드린 횟수로, 실제 시스템이 뚫려 피해를 입은 규모를 의미하는 건 아니다.
로이터=연합뉴스
공격은 PHP 취약점을 공식적으로 공개하기 전부터 시작됐다. 아마존은 취약점 공개 나흘 전인 지난 17일부터 외부의 공격 시도를 확인했다고 22일 자사 블로그에 공개했다. 패치 공개 뒤에도 수 시간 만에 추가 공격 코드가 등장했고, 아마존의 내부 모니터링 시스템에도 이 공격 코드가 거의 즉시 감지됐다.
이번 공격 속도를 높인 변수는 AI다. CJ 모지스 아마존 최고정보보호책임자(CISO)는 “AI로 패치의 변경 내용이나 보안 공지를 분석하면 공격 코드를 만드는 비용이 낮아진다”고 설명했다. 소수의 숙련자가 도구를 만들 때까지 기다리던 공격자들도 더 빨리 움직일 수 있다는 것이다. 그는 인터넷에 노출된 시스템의 중대한 취약점은 패치 시한을 일·월 단위가 아닌 시간 단위로 잡아야 한다고 권고했다.
방어 진영도 AI로 대응 시간을 줄이고 있다. 이번 PHP 취약점을 연구한 보안 기업 위즈는 제미나이를 취약점 발견뿐 아니라 공격 탐지와 패치 검증에도 활용했다고 밝혔다. 보안 구멍을 찾는 데서 그치지 않고 수정본이 문제를 해결하는지 확인하는 과정에도 AI를 투입하는 것이다.
기업별로 어떤 패치를 적용해야 할지 정하는 일에도 AI가 쓰인다. 구글은 이번 PHP 대응 방안으로 위즈의 AI 에이전트 ‘그린 에이전트’를 안내했다. 이 에이전트는 취약점 공지를 고객의 개별 시스템에 맞게 바꿔준다. 적용해야 할 PHP 수정 버전과 적절한 웹방화벽 설정을 제안하고, 보안 패치가 반영된 실행 환경으로 교체할 수 있는지도 알려준다. 담당자가 공지를 읽고 자사 환경에 맞는 대응 방법을 찾는 작업을 AI가 돕는 방식이다.
이미 공격받았는지 조사하는 과정도 AI가 자동화하고 있다. 구글은 일부 기업 고객이 시험 공개 중인 ‘위협 헌팅(Threat Hunt) 에이전트’를 이용해 이번 PHP 취약점과 관련된 침입 흔적을 조사할 수 있다고 밝혔다. 이 AI는 공격이 있었을 가능성을 검토하고, 기업의 보안 기록을 분석한다. 단순히 보안 경고를 하는 데에서 나아가 의심스러운 활동을 뒷받침하는 증거가 있는지 조사하는 역할이다.
배경훈 부총리 겸 과학기술정보통신부 장관이 23일 국회에서 열린 과학기술정보방송통신위원회 종합감사에서 위원 질문에 답하고 있다. 연합뉴스
남은 과제는 이런 도구가 실제 현장 적용으로 이어지게 하는 것이다. 국내에서는 취약한 시스템의 규모와 패치 진행 상황부터 파악되지 않은 상태다. 이상중 한국인터넷진흥원(KISA) 원장은 23일 국회 과학기술정보방송통신위원회 국정감사에서 취약한 PHP 버전 보유 현황과 패치 완료율을 아직 파악하지 못했다고 밝혔다. 배경훈 부총리 겸 과학기술정보통신부 장관은 “국가안보실 중심 대응을 넘어 범부처 차원의 종합대책과 관련 조직 개편을 검토하고 있다”고 말했다.
김민정([email protected])