최근 발표된 리눅스 슬래퍼 웜 바이러스에 관한 자료에 따르면, 소프트웨어 보안 결함에 대해 시스템 관리자들이 패치 파일을 설치하지 않고 있는 것으로 드러났다. 

이 자료를 발표한 프리랜서 보안 컨설턴트인 에릭 리스콜라는 웹 보안 소프트웨어인 SSL의 취약점을 통해 확산되는 슬래퍼 웜에 대해 취약하다는 경고를 받은 시스템들 가운데 30% 정도가 아직도 패치를 설치하지 않고 있다고 밝혔다. 

리스콜라는 "관리자들은 아직도 세부적인 시스템 점검을 실시하고 있지 않으며, 심각한 헛점이 발견됐음에도 불구하고 대응책이 마련되지 않고 있는 실정이다"라고 말했다. 

소프트웨어 제조업체들은 이미 3년 전부터 보안을 강화하라는 고객의 요청을 받아왔으며, 미국 정부도 보안 강화에 대한 경고를 수차례 지적한 바 있다. 

또한 조지 W 부시 미국 대통령의 사이버 안보담당 보좌관인 리차드 클라크도 관련 업체에 서버 결함을 시정하라는 명령을 지속적으로 촉구하고 있다. 

리스콜라가 조사한 결과에 따르면, 시스템 관리자 가운데 다수가 과도한 업무에 시달리고 있으며, 소프트웨어 결함을 시정 조치가 미진한 것으로 나타났다. 

이 결과는 지난 7월에 발생한 오픈SSL 결함과 관련된 정보유출에 관한 설문조사 자료에 따른 것이다. 참고로 오픈SSL은 SSL(Secure Sockets Layer)로 암호화된 채널을 통해 웹 서버와 브라우저 간의 데이터를 보완하기 위해 사용되는 오픈 소스 프로그램이다. 
리스콜라는 오픈SSL의 버그에 관한 발표가 나기 이전에 구글에서 오픈SSL을 사용하는 900개의 서버를 검색했으며, 이들 서버들이 패치되고 있는 지에 관해 알아보기 위해 6시간마다 테스트를 진행했다. 이 테스트 방법은 시스템을 스캐닝하는 것으로 서버 운영상에는 아무런 영향을 주지 않는 것이다. 

테스트와 관련, 리스콜라는 "해당 서버 관리자 중 두 명이 스캐닝에 대해 불만을 토로했으나, 이것은 극소수에 불과한 것이다. 그리고 해당 내용은 계속 테스트를 진행할 것인지의 여부를 묻는 것이었다"고 말했다. 

오픈SSL 버그 발표와 슬래퍼 웜 바이러스 출현 시기 사이에는 7주 정도의 시간차가 있었다. 이 기간동안 약 40%의 관리자만이 시스템을 패치했고, 나머지 중 30% 관리자는 슬래퍼 웜이 SSL서버를 감염시키기 시작했던 9월에 소프트웨어 패치를 진행한 것으로 드러났다. 

이와 관련, 리스콜라는 "이런 사실은 관리자가 업무를 태만하고 있다는 의미가 아니라 그들이 사건의 심각성을 피부로 느끼지 못했기 때문"이라며, "이런 경우는 관리자가 직무를 태만한 것은 아니다"라고 언급했다. 

하지만 그는 자신이 스캔한 서버 중 나머지 1/3은 관리자가 직무를 소흘히 했기 때문이라고 덧붙였다. 

이처럼 시스템 관리자들이 서버 패치를 꺼리는 것은 어제 오늘 얘기가 아니다. 이런 문제를 해결하기 위해 MS나 시만텍과 같은 소프트웨어 업체들과 리눅스 기업들은 최신 패치 정보를 접할 수 있는 서비스를 구축해냈다. 

리스콜라는 패치를 설치한 관리자들은 대부분 호스팅 업체에서 일하고 있다고 말했다. 그는 "대형 호스팅 업체의 경우에는 패치 작업을 발빠르게 진행하고 있는데, 이것은 별도의 보안 인력이 상주하고 있기 때문이다"라고 설명했다. 또한 시스템을 항상 최신 버전으로 사용하는 사람들의 패치 속도도 빠른 편이라고 덧붙였다. 

또한 그는 "웜이 활동을 개시하기 전에 업그레이드하는 사람들과 활동하고 있는 중에 업그레이드하는 사람들은 서로 직업군이 다르다"고 말했다. 

그는 뒤늦게 패치를 설치한 경우에는 몇 가지 이유가 있다고 설명했다. 우선 시스템 관리자들은 패치를 설치함으로써 자신이 관리하고 있는 시스템을 불안정하게 만들 수 있다고 우려하고 있기 때문이다. 또한 몇몇 시스템 관리자들은 웜이나 대규모 해킹과 같은 위협이 닥치기 전까지 패치할 필요가 없다고 생각하기도 한다. 

그는 "크래커 커뮤니티에서는 관리자가 시스템 상의 문제점을 알아내기 전부터 결함을 이용한 해킹을 시도하고 있기 때문에 매우 위협적"이라고 말했다. 사실 오픈SSL의 경우에도 한 시스템 관리자가 자신의 시스템에 해킹 시도가 있다는 사실을 알게된 후에야 버그를 발견할 수 있게 되었다. 

마지막으로 그는 일부 시스템 관리자들은 업무에 태만해서 패치를 하지 않은 것이라고 덧붙였다.