[ccibomb@CRG]# _bykim

해커 프로파일링 FTF Interview 연구의 활용방안

본 연구의 결과인 해커 프로파일링을 위한 대면설문 기법은 해커와 해킹에 대한 이해가 부족한 수사관에게는 일종의 가이드가 되어줄 수 있으며, 검거된 사이버범죄자(해커)에 대해 체계적으로 데이터를 축적하여, 기 축적된 악성프로그램 샘플 등 사이버위협정보와 함께 연계분석을 시도하는 것은 잠재적으로 정책결정자와 수사관들에게 사이버범죄(해킹)에 대한 심층적인 지식을 제공해줄 수 있다. 이러한 지식은 정책결정자와 수사관들이 국민들을 더욱 잘 보호할 수 있는 교두보로서 역할을 해줄 수 있을 것으로 기대하며, 동시에 보다 효과적으로 가용한 자원을 계획적으로 활용할 수 있을 것이다.

1. 해커 프로파일링 데이터베이스 구축

사이버범죄, 특히 해킹의 경우 초국가적 특성을 가지긴 하지만, 범죄의 특징 및 범죄자의 성향, 생태적 속성은 국가마다, 문화마다 각기 다르므로 외국에서 개발한 프로파일링 체계를 한국에 도입·운용하기 위해서는, 한국의 범죄 데이터에 기초하여 개발되어야 한다. 실증적으로 정확한 프로파일링 데이터베이스를 구축하기 위해서는, 경찰서 사이버수사팀부터 지방청 사이버수사대, 경찰청 사이버안전국 사이버테러수사팀까지 정보통신망침해범죄(해킹 등)를 저지른 피의자에 대한 조사시 동일한 사이버범죄(해커) 프로파일링 기법을 적용하여야 한다. 이 때 일반적인 피의자 신문조서의 보충적 성격으로 본 연구에서 제안한 방식의 해커 대면 설문기법이 적용 가능하며, 실제 범죄에 가담하여 검거한 해커들에 대한 데이터를 체계적으로 입력할 수 있도록 데이터베이스를 구축하고 지속적으로 관리하는 전담조직이 구성되어야 한다. 이와 같이 축적된 해커들에 대한 상세한 프로파일링 데이터를 다양한 사이버위협정보 데이터(경찰청 사이버안전국의 사이버테러 프로파일링 시스템·악성코드 분석시스템, 한국인터넷진흥원의 사이버위협정보 공유시스템 등)와 함께 분석할 경우, 동일 유형의 미제사건 해결 및 미상의 공격자에 대한 추론이 가능할 것이다.

2. 사이버범죄자(해커) 프로파일링의 수사실무적 활용 

수사실무적 측면에서 프로파일링은 여러가지 목적으로 사용될 수 있으나, 일반적으로 세 가지 주된 목적을 가진다(박광배 등, 2001). 첫째는 범죄자의 사회심리학적 특성을 파악하는 것이고, 둘째는 범죄자가 사용한 도구나 소유물의 심리적 의미를 파악하는 것이며, 셋째는 용의자의 신문과정에서 수사관이 활용할 수 있는 전략적 정보를 제공하는 것이다.

프로파일링은 범죄자의 연령, 인종, 성별, 직업, 종교, 혼인여부, 교육수준 등에 대한 정보를 제공한다. 이러한 정보들에 의하여 수사기관은 용의자의 범위를 축소하고, 수사의 초점을 정할 수 있다. 또한 프로파일링은 범죄자의 심리적 상태에 대한 정보도 제공하는데, 심리적 상태에 대한 정보는 추가범죄의 가능성을 가늠케 한다. 피해자의 신변용품, 사진 등과 같이 범죄자가 소유하고 있는 물건들은 특정한 용의자와 범죄의 연결고리를 확정하는 매우 중요한 단서가 될 수 있다.

본 연구결과를 이용한 사이버범죄자(해커) 프로파일링은 강력범죄를 기반으로 한 프로파일링 기법을 사이버범죄에 맞게 재해석한 것으로, 용의자에 대한 심문과정에서 수사관이 알아내야 할 가장 중요한 사실이 무엇인지 등에 대하여 많은 정보를 제공할 수 있다. 수사관의 동일한 질문에 대하여 각기 다른 용의자들은 다르게 반응하기 마련인데, 프로파일링은 특정한 용의자가 만약 진범이라면 그 용의자가 특정한 질문에 대하여 어떻게 반응할지를 수사관에게 미리 알려줄 수 있다.

3. 사이버범죄자(해커) 프로파일링의 정책평가적 활용

프로파일링은 범죄수사를 위한 미시적 기법으로서만 유용한 것이 아니다. 범죄와 관련된 법적, 행정적 정책의 타당성과 성공여부를 예측하고 진단할 수 있는 개념으로서 거시적 유용성을 가진다.

국가는 기 발생한 범죄를 효율적으로 해결하고, 앞으로 발생할 범죄를 사전에 방지하기 위하여 다양한 정책과 제도를 활용한다. 특히, 사이버범죄의 경우 전통적인 오프라인상의 범죄와는 달리 시·공간의 제약을 받지 않기 때문에 짧은 시간 안에 많은 피해자들을 발생시킬 수 있으며 초국가적 성격을 가지므로 사후적 대응보다는 사전예방 정책에 초점을 맞추어야 한다(장윤식, 2014).

검거된 사이버범죄자(해커)들의 프로파일링 결과를 기반으로 하여 잠재적으로 재범가능성이 높은 전과자들의 재범을 예방할 국가정책을 수립, 시행하는데 유용할 수 있다. 또한 예를 들어 일정 연령의 또래집단에서 해킹 기술을 처음 습득하게 되는 사실을 알아내는 등 범죄로 이어지는 해커들의 일반적 또는 구체적 특징을 찾아낼 수 있는데, 이를 활용하여 해당 집단을 겨냥한 법률 또는 사회 프로그램을 정립할 수 있다. 나아가 새로운 법률 또는 정책의 실패가능성을 이해하고, 이에 대한 보완책으로 무엇이 필요할지 예측하고 준비할 수 있다.

1. 해커 프로파일링 FTF Interview 설문문항 최종 구성

본 연구를 통하여 최종 완성된 척도는 다음과 같다. 해커의 특징을 확인하고 분류하는 ‘해커 프로파일링(hacker profiling)’을 하기 위해서는 일단 해커가 다음의 각 척도 문항에 응답을 하도록 한다. 자기기입식 설문형으로 해커가 스스로 척도문항에 대한 답변을 선택할 수 있도록 구성하였다.

【개인수준】

【주위관계수준】

【사회문화수준】

【상황기회수준】

위와 같은 변인들이 영향을 주는 요인은 크게 해킹수행, 해킹에 대한 태도, 해킹의지가 있으며, 이에 대해서는 아래와 같은 척도문항으로 측정한다.

【해킹수행】

【해킹에 대한 태도】

【해킹의지】

2. 해커 프로파일링 FTF Interview 설문문항 활용 방법

본 척도를 활용하여 해커가 스스로 자기기입식으로 응답하도록 한 후 그 결과를 다른 정보들(피의자 신문조서, 수사보고, 악성프로그램 분석보고서 등)과 함께 연계분석함으로써, 해커에 대한 정확한 유형 분류 및 프로파일링을 할 수 있을 것으로 기대된다. 해킹 기술에 대해 잘 알지 못하는 수사관에게는 일종의 가이드가 될 수 있을 것이다.

보다 정확한 프로파일링이 필요하거나 해커가 척도설문에 대한 응답을 거부하는 등 필요시 본 척도를 활용하여 해커와의 심층 인터뷰를 할 수 있다. 이 때에는 먼저 해커와의 신뢰감(rapport)을 형성하는 것이 중요하며, 설명요인별로 자연스럽게 질문하고 서술형 답변을 기록한 후, 면담을 마치고 각 요인별 분석결과를 정리하는 방법을 취한다.

위 척도문항의 응답결과에 대한 해석방법은 다음과 같다. 아래 기술한 사항 외에는 요인별 합산평정점수를 바탕으로 한 결과분석이 불요하고, 각 문항별로 직관적인 해석이 가능하다. 인성요인 중 공격성(aggression)을 측정하기 위한 4개 문항의 경우 4점 척도로 이루어져 있으며, 4개 문항의 합산평정점수가 높을수록 공격성이 높다고 판단할 수 있다. 자긍심(self-esteem)은 긍정문항(정코딩)인 1, 2, 4, 6, 7, 10번째 문항과 부정문항(역코딩)인 3, 5, 8, 9번째 문항을 의도적으로 함께 사용하여 4점 척도로 응답하도록 하였는데, 역코딩한 문항에 대해서만 점수를 역배점하여 정코딩 문항의 점수와 합산평정함으로써 자긍심을 수치화할 수 있도록 하였다(전병재, 1974). 합산평정점수가 높을수록 자긍심이 높다고 판단할 수 있다. 부주의한 응답행태를 환기시키고 무비판적으로 질문에 순응하는 행태를 완화하는 긍정적인 역할을 하는 장치로서 역코딩을 활용하였다(고길곤, 탁현우, 강세진, 2015). 자아의식(self-consciousness)은 1∼5번째 문항인 공적 자아의식 측정문항과 6∼10번째 문항인 사적 자아의식 측정문항으로 구분하여 5점 척도로 응답하도록 하였으며, 각각 합산평정점수가 높을수록 해당 자아의식이 높은 것으로 판단할 수 있다. 애국심(patriotism)은 4점 척도의 4개 문항으로 합산평정점수가 높을수록 애국심으로 가득 차 있다고 할 수 있으며, 윤리의식(ethics)은 5점 척도의 4개 문항으로 구성하여 부정문항인 1, 2번째 문항에 대해서는 역배점하여 긍정문항인 3, 4번째 문항의 배점과 합산평정하는 방식으로 측정한다. 마지막으로 자기통제력(self-control)은 충동성에 대한 1, 2번째 문항, 위험추구성에 대한 3, 4번째 문항, 활동성에 대한 5, 6번째 문항, 단순작업 추구성에 대한 7번째 문항, 이기성에 대한 8번째 문항, 화기질에 대한 9번째 문항에 대하여 모두 역배점하여 7점 척도의 합산평정점수가 높을수록 자기통제력이 높다고 볼 수 있다.

지성·기술적 능력에 대한 척도문항 중 해킹능력(종합)은 1번째 선택지가 고도의 해킹 기술을 보유하고 있는 것을 의미하며, 8번째 선택지를 선택한 경우 가장 낮은 해킹 기술을 보유하고 있다고 해석한다.

사회적 요인에 대한 척도문항은 전부 5점 척도로 구성되어 있는데, 주위일상긴장에 대해서는 6개 문항의 합산평정점수가 높을수록 부모, 학교, 직장 등 주위관계에서 긴장을 하고 있다고 볼 수 있다. 주변의 인식에 대해서는 해커들은 스스로 해커라고 불리우는 사실에 대해 긍정적인 감정을 갖는다는 선행연구에 따라, 1번째 문항인 ‘주변 사람들은 나를 해커라고 부른다’와 2, 3, 4, 5번째 ‘주변 사람들은 나를 문제아라고 생각한다’ 문항을 구분하여 각각 주위낙인에 대하여 판단해야 한다. 2∼5번째 문항에 대한 응답은 합산평정점수가 높을수록 주위로부터 부정적 낙인이 찍혀있다고 판단할 수 있다. 해킹에 대한 인식에 대해서는 차별강화-보상 관련 3개 문항(1∼3번째)과 차별강화-비용(주위손실인지) 관련 3개 문항(4∼6번째)으로 구성되었으므로, 합리적 선택이론에 따른 ‘이득-손실’을 계산하기 위하여 1∼3번째 문항의 합산평정점수에서 4∼6번째 문항의 합산평정점수를 뺀 값을 이용한다. 계산된 점수가 높을수록 ‘해킹이 손해보다 이득이 많다’고 판단하는 것이라고 볼 수 있다.

환경적 요인은 5점 척도로 사이버하위문화에 대한 3개 문항(1~3번째)과 네티즌 참여통제 관련 1개 문항(4번째)으로 구성되어 있으며, 사이버하위문화에 대한 문항응답의 합산평정점수가 높을수록 해킹에 대해 관대한 문화 속에 있다는 것을 의미하고, 네티즌 참여통제 문항은 응답점수가 높을수록 구성원들이 스스로 사이버범죄 행위에 대해 제재를 하고 있다고 볼 수 있다.

상황기회 요인 중 해킹 기회 관련 범죄위험노출과 범죄의 용이성, 익명성에 대한 3개 문항응답의 합산평정점수가 높을수록 해킹에 대한 기회가 많음을 의미하고, 해킹기술의 학습 관련 3개 문항응답의 합산평정점수가 높을수록 인터넷을 통해 해킹을 모방하려는 특성을 가진다고 할 수 있다. 공식처벌과 관련 4개 문항의 응답에 대한 합산평정점수가 높을수록 처벌의 확실성과 엄격성 인지가 높다고 판단할 수 있다.

결과요소에서 해킹동기 중 최적경험 지수(flow index)는 도전-능력균형, 집중력, 자의식상실, 자기만족감 8개 문항의 합산평정점수가 높을수록 해킹에 대해 몰입성이 높다고 볼 수 있으며, 해킹에 대한 태도는 5개 문항 중 1, 2, 3, 5번째 문항이 역코딩되었으므로 역배점하여 합산평정한 점수가 높을수록 해킹에 대한 윤리의식이 높다고 할 수 있다.

참고문헌

고길곤, 탁현우, 강세진. (2015). 설문조사에서 문항의 역코딩 여부가 응답결과에 미치는 영향: 자아존중감과 자기효능감 측정 사례를 중심으로. 한국행정학보, 49(3), 515-539.

전병재. (1974). Self-esteem: A test of its measurability. 연세논총, 11, 109-129.

최양서 등(2001)의 해커 및 해킹 분류기법

최양서 등(2001)은 해커의 기술적 능력을 중점으로 구체적인 기준을 제시하여 크게 3가지, 작게 7가지로 해커를 분류하였다. 해킹수행 코드(exploit code)를 스스로 작성할 수 있는지 여부를 최초 기준으로 삼았는데, 해킹수행 코드란 어떤 취약점이 발표되었을 때 해당 취약점을 이용하여 해킹에 성공할 수 있도록 작성한 일종의 프로그램을 의미하는 것으로, 취약점의 종류와는 상관없이 해당 해킹수행 코드를 작성할 수 있는지 여부에 따라 구분하였다. 세부적으로는 새로운 취약점을 발견하고 그에 대한 해킹수행 코드를 작성할 수 있는지, 발표된 취약점에 대해서만 해킹수행 코드를 작성할 수 있는지, 발표된 해킹수행 코드를 수정을 하여 공격에 성공할 수 있는지, Unix 시스템을 사용할 수 있는지 등의 기준을 사용하였다.

출처 : 최양서 등(2001)

해킹 기법들은 현재 알려져있는 여러 해킹 기법들의 동작방식이나 목표, 사용하는 취약점 등을 기준으로 하여 분류하는데, 공격의 목적, 사용하는 취약점의 종류, 일련의 해킹과정에 포함될 수 있는 여러 방법이라는 기준을 우선순위로 두었다.

출처 : 최양서 등(2001), 연구자 재구성

참고문헌

최양서, 서동일, 손승원. (2001). 해커 및 해킹 기법 수준 분류. 정보통신연구진흥원 학술정보, 14-31.

Marcus J. Ranum의 해킹 분류기법

현재 대부분의 해킹 대응을 위해 서비스를 제공하는 각종 업체 및 기관에서 주로 사용하고 있는 해킹기법 분류안은 침입차단 시스템을 가장 처음으로 만든 Marcus J. Ranum에 의해 분류된 것으로(KISA, 2000), 사용자 도용(impersonating), 소프트웨어 취약점(s/w vulnerablity), 버퍼오버플로우(buffer overflow), 환경설정 취약점(configuration vulnerabiltiy), 악성프로그램(malicious codes), 프로토콜 구조 취약점(protocol infrastructure error), 서비스거부공격(denial of service attack), E-mail 관련 취약점(e-mail vulnerability), 취약점 정보수집(vulnerabilities probling), 사회공학(social engineering) 기법 등으로 분류하고 있다.

참고문헌

KISA, (2000. 12.). “2000 정보시스템 해킹·바이러스 현황 및 대응”.
https://www.kisa.or.kr/jsp/common/libraryDown.jsp?folder=003336

Gilbert Alaverdian의 해커 분류기법

기존에 발표된 해커 분류안 중 해커의 수준을 감안한 분류안은 Gilbert Alaverdian에 의한 분류기법이 대표적이다. Gilbert Alaverdian은 해커를 다음과 같이 총 5가지로 분류한다.

출처 : 최양서, 서동일, 손승원(2001)

참고문헌

최양서, 서동일, 손승원. (2001). 해커 및 해킹 기법 수준 분류. 정보통신연구진흥원 학술정보, 14-31.

http://www.ndsl.kr/ndsl/search/detail/article/articleSearchResultDetail.do?cn=DIKO0014449997

효율적인 대면설문 기법 구축을 통한 해커 프로파일링 방안 연구

: 해커의 사회적, 심리적, 기술적 요인에 따른 해킹유형을 예측하기 위한 기초 연구

- 요약 - 

해킹은 익명성, 비대면성, 시공간적 초월성, 피해의 광범위성, 범행의 기술적 전문성이라는 특성과 더불어 연쇄적이고 암수범죄가 많은 특성을 지닌다. 이러한 해킹 범죄에 효과적으로 대처하기 위해 기존의 수사전략을 뛰어넘는 새로운 프레임이 필요하다. 범죄에 대한 효과적인 대응을 위해서는 범죄의 원인, 즉 범죄자들의 특성에 대한 체계적인 이해가 수반되어야 한다. 이를 바탕으로 범죄 대응능력을 강화하고, 범죄예방 및 교화를 위한 정책을 제시할 수 있다. 본 연구에서는 국내·외 범죄학, 사회학, 심리학의 선행연구들을 검토하여 해커에 대한 프로파일링을 위한 설명 요인과 결과 요인을 선정하였다. 선정한 요인들에 대해 적절한 대면설문(Face-To-Face interview, FTF) 문항을 도출한 뒤, 이를 검증하기 위해 범죄전력이 있는 해커들을 직접 만나 심층 인터뷰(In Depth Interview, IDI)하였다. 향후 본 연구의 결과물인 대면설문기법을 활용하여 법집행기관에 검거된 해커들을 대상으로 프로파일링한 뒤 그 결과를 데이터베이스화함으로써, 해킹사건의 범죄수행 방식(Modus Operandi, M.O.)에 따른 해커의 특성을 역으로 추론하여 해커에 대한 추적·검거 역량을 제고하고, 해커의 사회적·심리적·기술적 요인별 맞춤형 예방교육과 교화 프로그램이 도입되기를 기대한다.

- Abstract -

Hacking has raised many critical issues in the modern world, particularly because the size and cost of the damages caused by this disruptive activity have steadily increased. To effectively deal with these hacking crimes, it is required to introduce a new framework for investigation and response procedure. We have to know the nature of the hackers. Based on this, law enforcements can strengthen their ability to respond to hacking crime and suggest a hacker’s rehabilitation policy. This study reviewed previous researches on various aspects(criminology, sociology, and psychology) of cyber criminals, and selected appropriate explanatory factors and outcome factors for profiling hackers. Finally, the hacker face-to-face questionnaire technique was derived. In order to verify the effectiveness of the Hacker’s face-to-face interview technique, in-depth interviewing 4 black-hat hackers was conducted. By using the ftf interview questionnaire tested in this study, the law enforcement can analyze and profile the hackers to identify the social, psychological, and technological factors affecting the attack features. It is hoped that this study aims to improve tracking and arresting capabilities, and introduce efficient intervention programs(prevention education, edification, etc.) appropriate to the type of hacker.