정부, 취약점 신고포상제로 180개 국내 특화 버그 찾아내

정부가 취약점 신고포상제를 실시한 지난 2년간 180개 신규 취약점을 발견해 포상금을 지급했다.

한국인터넷진흥원(KISA·원장 백기승)은 2012년 10월부터 올해 9월까지 국내에서 주로 사용되는 소프트웨어(SW)에서 180개 신규 취약점을 찾았다고 밝혔다.

가장 많은 취약점은 문서 편집기(26%)에서 발견됐다. 최근 해커는 국내에서 주로 쓰는 한글 등 문서 편집SW 취약점을 이용해 지능형지속위협(APT) 공격을 늘렸다. 각종 게시판 프로그램이 14%, 보안프로그램도 8%나 차지했다. 미디어플레이어(7%), 게임실행(75%), 그룹웨어(6%), 메신저(4%) 순으로 취약점이 발견됐다.

국내 SW가 주로 노출된 취약점은 원격에서 코드를 실행할 수 있는 형태가 71%에 달했다. 권한상승 취약점이 21%, 정보유출 5%, 서비스 거부가 2% 등으로 나타났다.

KISA는 취약점이 발견됐지만 보안 업데이트 적용이 쉽지 않는 상황을 지적했다. 보안 담당자가 전산실무자나 유지보수 쪽에 보안 업데이트 적용을 요청하지만 제때 이뤄지지 않아 보안 위협에 노출된다.

기업은 대부분 해당 취약점에 영향받는 전산자원 규모는 물론이고 어디에 위치에 있는지 파악하지 못하는 상황이다. 여기에 패치할 전산자원이 너무 많다. 각종 SW를 기업에 맞게 커스터마이징하면서 대형 취약점이 발견돼도 빠르게 패치를 하지 못하는 사례도 다수다.

KISA 관계자는 “기업용 유료 업데이트 라이선스를 갱신하지 않거나 서비스가 종료된 프로그램을 사용해 보안 패치를 아예 못하는 곳도 많다”고 지적했다.

김인순기자 insoon@etnews.com

[Copyright © 전자신문. 무단전재-재배포금지]