[테크수다 기자 도안구 eyeball@techsuda.com] "네이버와 라인에서 제공하는 수많은 앱을 만들면서 취약점 진단과 보호, 전체 앱들에 대한 리스크를 모니터링하기 위한 플랫폼이 필요했습니다. 내부적으로 단계별로 적용해서 사용했습니다. 그러다가 다른 기업에서도 쓰고 싶다는 말을 들으면서 전세계 고객 대상으로 서비스를 제공하면 어떨까 싶었습니다. 그래서 '모바일 리스크 관리 플랫폼'인 AIR(Active Incident Response Mobile Risk Management Platform : https://air.line.me)를 클라우드 애플리케이션인 SaaS(Software as a Service)로 선보이게 되었습니다."

전상훈 라인플러스 모바일 리스크 관리실 이사는 AIR 출시 배경을 이렇게 밝혔다. AIR 플랫폼은 'AIR ARMOR', 'AIR GO', 'AIR EYE' 등으로 진단, 보호, 모니터링을 제공한다. 라인플러스는 관련 서비스를 AWS재팬 인프라 위에서 제공할 계획이다. 영어, 일본어, 한국어를 우선 지원한다.

관련 서비스 개발 팀은 판교에 있다. 오후 5시에 경기도 서현 라인플러스 사무실에 전상훈 이사와 개발 담당자인 정상민 리드와 정명주 리드를 만났다. 네이버 개발자 행사인 데뷰 2018년 현장에서 관련 서비스를 선보이면서 향후 SaaS로 탈바꿈시킬 거라고 밝힌 후 8개월 만의 만남이었다.

전상훈 리드는 애초부터 보안 분야에서 잔뼈가 굵은 인물이다. 나머지 두 정 리드도 출발은 보안 업체에서 시작한 엔지니어다. 이후 라인에 합류해 앱을 만들다가 모바일 리스크 관리 이슈가 대두되면서 이 팀에 합류했다. "엄한 이사님 만나서 차출되셨군요"라고 물었더니 다들 웃었다.

시장이 모바일 환경으로 급변했고 네이버와 라인은 성공적으로 이 시장에 대응했다. 빠르게 시장에 대응하기 위해 다양한 앱과 서비스를 선보였다. 200여 개가 넘는 앱들을 내놓고 있다. 빠른 시장 대응이 급선무지만 보안 취약점이나 암호화 이슈, 오픈소스 라이선스 위반 등 개발자와 팀이 개별적으로 대응하기 어려웠다.

초기 게임앱을 선보이면서 보안 문제에 대응하기 시작했다. 게임앱의 경우 국내 뿐아니라 해외 다양한 지역에서 취약점을 찾기 위한 공격이 빈번하게 일어났다. 분석해보면 아이템 어뷰징이 많았다. 수익과 직결되는 분야였다.

'AIR GO'는 모바일 앱과 웹 사이트를 분석해 난독화의 유무, 취약성, 오픈소스 라이선스, 악성URL 점검, 악성 코드를 탐지 진단하고 인증서와 권한, 파일구조등에 대해서 알아보는 구조 기능을 제공한다. 또 구글 플레이 스토어 거절 사유도 진단해 앱 배포 전 취약성을 개선할 수 있도록 돕는다. 2017년 경부터 전체 개발 라이프 사이클 안에 'AIR GO'를 포함시켰다. 개발 과정에서 무조건 이 프로세스를 거치도록 하면서 대응했다.

구글 플레이 스토어에 올리는 앱들을 다운받아서 보안 등급 진단도 해보고 있다. 구글 플레이 스토어 톱 100앱 보안 등급을 미국, 한국, 일본 비교해서 등록 거절 사유도 확인할 수 있도록 했다. 50만개 가 넘는 앱들이 올라가 있고 업데이트도 잦기 때문에 이런 작업 자체가 스스로 서비스를 진화시키는 역할을 하고 있다.

오픈소스 라이선스의 경우 이전에는 개발팀에서 법무팀에 사항들을 알리고 법무팀에서 담당 인력들이 관련 서비스나 제품을 도입해서 체크해 왔다. 상대적으로 오래 걸리는 상황이었다. 오픈소스 라이선스 체크의 경우 생태계에 기여하는 부분이면서 동시에 라이선스 위반의 경우 소송은 물론 비난까지 쏟아져 민감하다. 대표적인 라이브러리들을 모니터링하고 이를 반영해서 체크해서 확인할 수 있도록 돕고 있다.

관련 서비스를 만들면서 언리얼이나 유니티, 코코스 등 게임 엔진 업체들과의 협업도 모색해 나가고 있다. 정명주 리드는 "이 분야 모바일 리스크 관리 플랫폼으로 성장시켜 나가기 위해 협력도 강화해 나가고 있습니다"라고 실제 서비스를 제공하는 회사 입장에서 체크해야 할 내용들을 넣다보니까 경쟁력도 올라가지 않을까 싶습니다"라고 말했다.

'AIR ARMOR'는 정상민 리드가 담당한다. AIR GO가 탐지 쪽에 방점을 두고 있다면 이 서비스는 모바일 환경에서 악의적인 공격으로부터 보호하고 대응할 수 있는 강력한 보안 체계를 공급한다. 비정상적인 행위를 감지하고 제어할 수 있도록 알려주는 '어뷰저 탐지', 리버스 엔지니어링 행위를 통한 조작과 변경을 어렵게 해 앱을 보호하는 '난독화', 위협에 대한 지속적인 관리를 적시에 가능하도록 제공하는 '감시(AIR EYE)' 등이 있다.

게임핵의 경우 더 강력히 다양한 형태로 결합해 진화하고 있다. 난독화 기술은 앱의 위변조를 어렵게 해 새로운 게임핵의 출현 시간을 더디게 한다. 개발자들이 소스 코드를 수정하고 빌드하는 과정에서 난독화 처리를 깜빡 잊는 경우도 있었다. 빌드 머신에서 무조건 자동으로 난독화를 할 수 있도록 하면서 이런 위험을 미연에 방지한다.

다양한 코드들을 보호하고 루팅/탈옥, 치팅도구, 에뮬레이터, 모듈 변조 등도 탐지한다.

정상민 리드는 "이 과정을 전체 개발 프로세스 안에 무조건 넣어야 합니다. 코드서명 검증과 탐지 기능부터 라이브러리 난독화 기능까지 수행합니다. 개발과정에서 빌드가 하루에도 수십번씩 일어나는데 보안이 걸림돌이 되면 안되게 했습니다. 게임분야에 적용한 후 다양한 다른 앱 개발 과정까지 확대했습니다"라고 말했다.

파일 업로드, 강화, 다운로드의 3단계만으로 보안 모듈 적용이 간편하게 완료된다. AIR ARMOR가 적용된 앱을 배포하면 모니터링 기능이 자동으로 동작해 비정상적인 행위를 감지하고 제어할 수 있다. 이전에는 외부에서 유사한 앱이 돌아다닌다고 연락을 줘야 알았던 경우가 심심찮게 발생했지만 이제는 이 기능을 통해서 배포한 앱들에 대해 바로바로 모니터링하고 대응할 수 있다.

이 기능이 바로 'AIR EYE'다. 이 기능은 위험 클라이언트에 대한 사용자, 기기, 앱별 다각도 추천시스템을 제공한다. 고유 식별값을 이용해 공격 행위를 일으킨 사용자와 기기를 추적하고 특정 기간에 발생한 공격 행위를 조회할 수 있다. 또 앱별 파일변조, 메모리변조, 보안 우회시도, 디버깅, 애플레이터 활용 등 다각도 추적 시스템을 이용해 악의적인 공격을 체계적으로 관리할 수 있다.

정상민 리드는 "앱이 변조되면 결제가 떨어집니다. 빨리 이를 파악해서 패치를 해야 수익 저하를 막을 수 있습니다. 금융앱이나 돈을 주고 받는 거래앱들의 경우 특히나 그렇습니다"라고 전했다.

변조된 앱이 유통되면 사용자에 피해가 발생하고 기업의 신뢰가 떨어진다. 이를 탐지하는 것 뿐만 아니라 현상을 파악하고 위험을 관리할 수 있어야 한다. 게임뿐만 아니라 금융앱이나 거래앱의 경우도 상대적으로 민감한 정보를 다루지만 앱에서 발생할 수 있는 리스크에 대한 현황 체크는 거의 없다.

앱의 로직이 파악되거나 수정된 변조앱이 유통되는 것을 파악하고 관리 할 수 있어야 한다. 심지어 인앱 결제를 시도하고 환불 받는것을 반복하는 어뷰징도 있다. 앱에서 탐지된 여러 정보들을 이용해서 앱에서 발생할 수 있는 모든 리스크를 체계적으로 관리한다. AIR는 소프트웨어 개발 주기의 모든 과정에서 리스크를 관리하고 있다.

AIR 서비스 런칭을 위해 AWS코리아와 AWS재팬을 만나고 다양한 사항을 검토한 끝에 AWS재팬 위에서 이 서비스를 우선 얹을 예정이다. 미국이나 유럽 시장 공략은 순차적으로 오픈해 나갈 계획이다. 공공 시장의 경우 특정 클라우드 서비스를 아직 사용하지 못하겠지만 개발사들이 이걸 사용하도록 하고 대시보드를 통해 모니터링을 하는 형태도 있는만큼 가능한 방법을 찾아볼 예정이다.

전상훈 이사는 "이 서비스가 하루 아침에 만들어진 게 아닙니다. 게임 보안을 위해 빅데이터 플랫폼을 구축하면서 시작했습니다. 4-5년 동안 쌓인 데이터를 바탕으로 만들어진 서비스입니다. 또 이제 서비스를 오픈하면서 이런 모바일 리스크 관리 플랫폼을 보유하지 못한 기업이나 거대한 앱 스토어를 운영하는 곳들과 별도의 협력도 만들어가고 싶습니다. AWS가 써도 참 좋을 거 같습니다"라고 웃었다.

그만큼 자신있다는 자세다.

[테크수다 Techsuda]

• [이제는 SaaS 시대] ⑦ 류시훈 보다컴 대표, “앱 설치없이 고객상담도 영상시대”
• [이제는 SaaS 시대] ⑥ 박상호 엑소스피어랩스 대표, “SMB 보안도 SECaa”
• [이제는 SaaS 시대] ⑤ 오보명 NHN페이코 이사 “온오프 통합 고객관리 지원”
• [이제는 SaaS 시대] ④ 삼성SDS가 美 ‘지터빗(Jitterbit)’에 투자한 이유는
• [이제는 SaaS 시대] ③ 스티비, “구독모델과 함께 주목받는 이메일마케팅”
• [이제는 SaaS 시대] ② 권영범 영림원 CEO, “시행착오 끝에 얻은 성과”
• [이제는 SaaS 시대] ① SW 미래는 ‘서비스