End User들의 Security에 대한 개념

딴은 그나마 신경쓴다고 관리자모드 비밀번호를 16자리 이상으로 해놓고 통보하면,
우리는 그런거 어려워서 잘 기억 못하니까 쉽게 1111로 해주세요, 아니면 우리 회사 전화번호 뒷자리로 해주세요 라고 전화하는 클라이언트들.

아무리 위험하다고 설명을 해도 막무가네 입니다. 결국 졌다, 하고 바꿔주죠.

다른쪽은 잘 모르겠는데, 웹에서 다른 획기적인 인증방법이 나오기 전까지 아이디-패스워드 기반의 인증방법이 유일하다면 제아무리 내부적으로 고난도의 로직을 써도 비밀번호를 이리도 추측 가능하게 해달라는 클라이언트들이 있는한 보안은 요원한 일인 것 같습니다.

90% 이상이 내부자의 소행입니다.

또한 보안 Concern의 큰비중을 차지하는게
무지한 사용자로 분류하고 있습니다.
그 만큼 위험이 크다는 것이지요.

방화벽 HA를 구성하는 만큼이나 내부자의 보안인식을 높히는 것이
상당히 중요한게 오늘날의 IT인프라 인것 같습니다.

PS 너무 End user를 탓하지 말아주세요
airpro님의 정신건강을 해칠수 있어요.

모르는게 죄가 될 수 있는 세상이지만 보안만큼은 당해봐야
'아차'하는 거니까니요.

PS2. 여전히 많은 보안관계 종사자 분들도 방화벽 뒷단의
유저는 안전하다고 생각하세요.
이미 유저는 방화벽을 지나 인터넷을 사용하고 있는데도 말이죠

지나가다 울컥해서 몇자 남깁니다.

sms와 nms로 회사에서 떡칠을 하죠

그리고 여러가지의 인증 솔루션 ip관리 솔루션등 ㅋㅋㅋ

때돈 드려서 떡칠하죠 그래두 내보의 바이러스쪽은 떡칠해도 막강한 파워를 자랑하긴 하더군요 ㅋㅋㅋ

우선 조언해주고..

받아들이면 OK고..(대신 돈을 더 지불해야겠지만..)

아니면 말고..

뚫리면 책임지지 않는다는것은 확실하게..

엔드유저가 멍청하던지 말던지 그것은 신경쓸것이 아닙니다.

돈 문제와 책임소지만 확실하면 그만이죠.

end user 가 멍청하고 그것때문에 시스템 관리자가 죽어날 지경이라면 ...
시스템 관리자가 그 멍청한 end user 보다 멍청하기 때문입니다.

시스템 관리는 하드웨어만을 말하지는 않습니다. 말 그대로 회사 자체를 하나의 시스템으로 보고 그 시스템을 관리하는 것을 말할 수 있고, 회사를 구성하는 요소중 하나는 end user 도 꽤 크게 들어갑니다.

저또한 네트웍 관리를 몇년 해 봐서 처음에는 골탕도 먹고 힘들었지만, 나중에는 정해진 정책 외에는 허용하지 않는 것으로 해서 바이러스나 크래킹 피해, 웜 피해, p2p 등등을 다 막았었습니다.

어이없는 엔드유저의 생각을 듣고 싶으셔서 따사로운 답변이 나오는 겁니다.

이렇게 다시 써주세요.

ㅎㅎ.... 농담이구요.

이런 말이 있죠.

가끔 문의 전화를 보면 아예 매뉴얼조차 읽지 않는 사람이 많죠.

답답해서 썰 풀러 오신것 이해는 합니다만.... 그럴수록 계몽한다는 마음으로 엔드유저를 살살 다뤄 주세요. (거칠게 다루면 돈을 안줍니다 -_-;; )

개발자, 기획자가 나서서 계몽(? )을 하다 보면 언젠가 우리 나라에도 컨설팅업이 활성화 되는 날이 오겠죠, 뭐.

저도 같은 SE를 하고 입는 입장에서 ...

상황에 대한 불만,불평을 하다 보면 SE라는 직업을 후회합니다. 일 못하지요.
그 상황에 대한 파악과 그에 대한 대처 방안을 내놔야 사랑받아요 ㅡㅡ;;

역시나 답은 보고서에 있지 않을까요.

상황정리와 그에 대한 대처 방안을 예산을 짜서 올려야 할 듯 싶네요.

관리자는 어찌됐는 타겟입니다. 혼자만 알고 있다 일 터지면 죽도록 욕먹지요.

일단 문제제기를 하고 그에 대한 선택은 결정권자에게 넘겨주세요.

거기까지가 최소한 관리자가 해야 할 몫인것 같습니다.

안좋게 보면 면피로 보이지만 현실은 거기까지가 한계가 아닐런지...

방안으로는,

보안컨설팅 의뢰쪽을 생각해 보겠습니다.
보안툴 또는 해킹툴의 피해를 보여줄 수 있는 데모를 진행해서 그 피해의 심각성에
대한 결과를 잘 포장해서 보여주면 될 것도 같은데요.

다른 SE분들은 어떻게 하실련지..

그런데 어처구니 없는 일을 매일 겪는 어드민의 스트레스도 생각하신다면 불쾌할 것까진 없지 않을까요. 이런 데서 그저 화풀이 정도 한다고 생각하시면 마음이 좀 누그러지실 것 같군요.

그런 상황이나 여건을 만드는 것도 일종의 능력이라고 봅니다.
예를 들어서 일단 보안 권고나 문제가 있을 수 있다, 그러니 이러 이러한 조치를 언제까지는 취해라 안하면 날려먹을 수 있다는 정도의 공식적인 문서나 공문을 보내놓고서는 일부러 바이러스나 백오리피스 같은 걸 깔아서 날려버린 다음에 당한 쪽에서 뭐라고 하면 '거 봐라 전번에 보안 공문 보낸 건 어따 팔아먹었냐' 이런 식으로 근거를 만들어 두는 식으로 처리를 하는 거죠. 학교에서 처음에는 말도 안되는 소리 하던 괴수들도 나중에는 대학원생을 시켜서라도 보안 메일 보내면 처리하더군요. 일종의 충격요법이나 시범케이스랄까... 뭐 그런 걸 만들어둘 필요가 있더군요.
물론, 처음에는 욕 먹을 각오 해야 합니다.
p2p 막았더니 바로 전화 수십통 오더군요.

저는 화낸 적은 없습니다.. 그러니까.. 이미 화풀이로 받아들이고 있다는 의미입니다. ^^

이렇게 다시 덧글을 남깁니다.

무지한, 개념없는, *뿔도 모르는 EndUser라는 말이 그렇게
기분좋을리는 만무하리라 생각합니다.

이 이슈화된 문제의 요점을 주관적으로 제가 정리하자면
자사의 EndUser들은 반드시 주기적인 보안교육을 받아야 한다는
것입니다.

위에 좋은 지적이 있었습니다. 자신의 분야를 제외하면 다
EndUSer입니다.

맞습니다. 그래서 관리자분들도 새로운 솔류션이 들어오면
교육부터 받습니다. 솔류션 업체 기준으로 보면 관리자가
EndUSer가 되기 때문이죠.

그렇게 교육을 받고 사규에 의거 보안수칙을 어기는 EndUser라면
처벌대상이라고 생각하고요.
특히 대국민(?)서비스를 하는 곳이라면 더욱 강력한 처벌이 있어야
할 것입니다.

보안을 업으로 살고 있기때문에 더욱 EndUser보안에 신경을
쓰고 있는지는 모르겠으나 보안교육은 지나침이 없다고 개인적으로
생각합니다.

PS. 정말 열심히 보안교육 시켜놓고도 노트북/PC Screen Saver도
동작 안시키고 식사하시러 가는 것 보면 울컥할 수 밖에 없습니다.

제 와이프를 5년간 귀에 못이 박히도록 갈구어 보았지만, 5년동안 할 수 있는 것은 없더군요. (그래도 서당개 3년이면 풍월을 읊는다고.. 친구들 한테는 아는 척 합니다. 와이프 친구들은 와이프가 컴퓨터를 굉장히 잘 안다고 생각하더군요. 덕분에 그 일을 제가 다 처리하고 있기는 합니다만..)

와이프가 할 줄 아는 것은.. 기사를 보고 "보안버그 나왔데.. 고쳐줘.." 또는, "트레이에 이상한거 떴어.. 뭐 픽스 하라는데.." 입니다. 그나마 망가지기 전에 이런 말을 해 준다는 것만 해도 5년동안의 교육이 보람이 있었다고 봅니다. (새로 설치 하려면.. --;) .. 물론 그 전에 제가 픽스해 놓지만 말이죠. T.T