문항 1. 사회공학이 무엇인지 서술하시오. (30점)

사회공학(社會工學 / social engineering)이란 보안학적 측면에서 기술적인 방법이 아닌 사람들 간의 기본적인 신뢰를 기반으로 사람을 속여 비밀 정보를 획득하는 기법, 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상 보안 절차를 깨트리기 위한 비기술적 침입 수단이다. 즉 첩보/해킹의 한 분야가 학술적으로 정립된 것이라고도 할 수 있다. 어떤 학자나 기술자라고 보기는 어렵고, 컴퓨터 보안을 깨는 사기꾼이다.

문항 2. 사회공학적 해킹이란 무엇인지 서술하시오. (40점)

사회공학적 해킹은 시스템이 아닌 사람의 취약점을 공략하여 원하는 정보를 얻는 공격 기법을 통칭한다. 불확실성이 내포되어 있는 보안 대비책은 취약성을 지닐 수밖에 없음을 고려할 때, 많은 변수를 가지고 있는 인간이라는 요소는 시스템 체인 내에서 취약점으로 작용할 수 있다. 전화사기, 이메일 피싱, 우편물 등을 통한 개인 정보 도난 등 특별한 기술 없이도 손쉽게 기본 정보를 얻어내는 비 기술적인 침임 방법이라고도 한다.

1990년대 가장 유명한 해커였던 케빈 미트닉은 사회공학적 해킹법을 가장 잘 사용하기로 유명하였다. 그는 시스템을 이루는 노드들 중 인간을 공략하는 사회공학적 기법이 가장 효과적인 공격법이었다고 회고한다. 실제로 그가 저지른 해킹의 상당수가 전화 통화로 시작되었으며, 모토로라의 최신 핸드폰의 핵심 소스코드를 전화 몇 통화 만으로 탈취해 낸 것은 매우 유명한 실화이다.

사회공학은 해킹보다 더욱 심각한 문제로 원래 사람이란 예측 불가능한데다 조작이나 설득에 걸려들기 쉬운 점을 악용한다. 보안 침해 피해를 당했으며 지속적으로 당할 가능성이 있는 대다수 경우는 기술적인 해킹이나 크래킹 때문이 아니라 사회공학에 기인한 것하고 있다. 최근에 피싱(Phishing), 파밍(Pharming), 문자메시지를 이용한 스미싱(SMiShing), 불특정 다수에게 전화를 걸어 개인 정보를 빼내는 비싱(Vishing) 등 사회공학적 위협이 증가하면서 사회공학에 대한 관심도 높아지고 있다. 현재 다양하고 정교해진 보안장비로 기술적 침입이 어려워지고 있어 해커들이 특별한 기술이나 지식 없이도 쉽게 사용할 수 있는 사회공학이 보안에 있어 향후 그 어떤 것보다 심각한 문제가 될 것이다.

문항 3. 사회공학 공격 대상을 서술하시오. (30점)

사회공학을 이용하는 해커는 공략하는 대상을 선별하기도 한다. 사회공학 공격에 주로 표적이 되는 대상은 다음과 같다.

1)정보의 가치를 잘 모르는 사람

응접계원이나 청소부처럼 업무와 직접적인 관련이 없는 사람들은 친절하게 물어보면 순순히 정보를 알려줄 수 있다.

2)특별한 권한을 가진 사람

IT 헬프 데스크 직원처럼 업무용 그룹웨어에서 직원들의 패스워드를 변경하거나 업무에 관련된 정보에 접근하기 쉬운 경우이다. IT 헬프 데스크에 전화를 걸어 자신의 패스워드로 로그인이 안 된다고 하면, 신상정보만으로도 패스워드를 재설정할 수 있다. 이렇게 공격 대상의 패스워드를 바꾸면 그 사람의 아이디로 그룹웨어 등에 로그인할 수 있다.

3)제조사, 벤더

공격할 회사에 시스템 등을 제공하거나 유지·보수를 해주는 업체이다. 이런 업체는 회사에 대한 정보를 많이 알고 있고, 해당 시스템에 대한 접근 권한과 유지·보수용 계정을 확보하고 있는 경우가 많아 클라이언트로 가장하여 정보를 획득할 수 있다.

4)해당 조직에 새로 들어온 사람

일반적으로 조직에 처음 발을 들여놓으면 새로운 사람들과 규칙에 낯설어 새로운 환경에 적응하려고 경계심을 푼다. 이런 사람들에게 회사 내부의 지원자(즉 인사과 직원이나 IT 헬프 데스크 직원)로 가장하면 신상 정보나 시스템에 대한 접근 정보를 얻을 수 있다.