출처 : 조선Biz

http://biz.chosun.com/site/data/html_dir/2014/01/24/2014012401861.html



이 기사에서 마음에 와 닿는 단어는 "일 찾아", "공포", "열정" 이다. 아직 진행중이지만 내 평소 생각과도 일치하는 내용도 있고 경험도 있어서 리뷰하고 싶었다.

(저작권에 문제가 된다면 삭제하겠습니다)



롯데 인재개발원 전영민 이사가 말하는 '임원 되는 법'
승진 탈락 가장 큰 이유는… 주어진 일 이상은 안하는 것
열심히 하는데 몰라주면… 위·아래 소통 능력의 문제
부하엔 가혹한 사이코들… 승승장구하는 시대 끝나

전영민·롯데 인재개발원 이사
 전영민·롯데 인재개발원 이사
한국경영자총협회가 2011년 조사한 자료에 따르면 대졸 신입사원이 임원이 되는 데는 평균 21.2년이 걸리며, 확률은 0.8%이다. 100명에 1명도 안 된다는 이야기다. 그렇다면 어떻게 해야 임원이 될 수 있을까.

롯데그룹에서 입사 이후 20년 동안 인사 담당으로만 일한 전영민(47·사진) 이사는 이런 바늘구멍을 통과하느라 애쓰는 직장인들에게 화두를 던지는 책을 썼다. 제목은 '어떻게 일하며 성장할 것인가: 직장인이 던져야 할 11가지 질문'.




전 이사는 위클리비즈 인터뷰에서 취업 정보업체 인크루트가 내놓은 설문 결과를 인용했다. 기업 인사 담당자들을 대상으로 승진 대열에서 처지는 직원들이 무슨 문제를 안고 있는지를 조사한 것이었다.


'주어진 일만 처리하기 때문'(29.6%)이란 응답이 가장 많았고, '본인의 성과를 잘 부각하지 못한다'(23.1%), '실무자로서 역량은 뛰어나지만, 관리자로서는 미달'(21.8%), '상사와 인간관계가 좋지 않다'(17.6%) 같은 응답이 뒤를 이었다.


1. 주어진 일만 처리하기 때문

주어진 일만 해도 바쁠 때가 있다. 그것이 단순한 것이든 복잡한 것이든간에.

하지만 일은 모두 주어진다. 


주어진 일만 처리한다는 것은 주어진 일에 대한 개선, 전후의 영향의 고민, 상하좌우 연관된 사람들과의 관계, 상사/팀장이 이 일을 어떻게 바라볼까에 대한 고민, 이 일은 나만 할 수 있을까 아님 더 적은 급여를 받는 사람도 할 수 있을까에 대한 냉정한 판단 등이 부족하다고 생각한다.


특히, 마지막 이유는 개인적으로 내게는 "공포" 를 느끼게 한다.


개선이라는 것도 작게는 내가 하고 있는 일에 대해서 업무 효율성 증대라는 목적으로 메뉴얼을 만들어서 배포하는 것도 포함된다. (팀 내 메일로 배포하면서 팀장을 참조로 넣으면 두번째 이유인 성과 부각에도 도움이 되리라 생각한다)


각종 외부 뉴스, 이슈로 공문도 받거나 보도자료를 볼 수가 있다. 이런 것들도 내 업무와 연관된 것은 어떤 것이 있는지, 세상은 어떻게 돌아가고 있는지, 이 문제는 어떻게 풀어야 할지 등 할 수 있는 일은 주위에 널려있다고 생각한다.


2. 본인의 성과를 잘 부각하지 못하다.

성과를 잘 부각하지 못하는 것은 상사, 동료들에게 잘 내색하지 못하는 내향적인 사람들이 해당되는 것이라 생각한다.

팀장/상사와 담배를 자주 피거나 술자리, 골프, 운동 등을 서로 같이 있는 시간이 많을 수록 이야기를 더 듣는 것은 자연스러운 것이다.


그렇다면 내향적인 사람들은 어떻게 해야하나?

매년 인사고과를 할 때 주어진 포멧의 문서에 몇백글자내로 결과를 표현하지 말고 때로는 형식을 깬 문서를 첨부하는 것이다. 물론 내용에는 시간, 금액 등의 객관적인 수치가 있어야 한다. (예전에 선물 파생 주문화면을 만들 때 내가 만든 화면으로 발생한 주문금액, 수수료 등을 표기해서 내 연봉의 3배를 수익에 기여했다고 표기한 적 있음)


일상적으로는 자기가 하고 있는, 하려는 일에 대해서 A4 1장짜리로 간단하게 보고하는 것이 좋다. 보고는 안 하는 것보다는 자주 해서라도 깨지는게 낫다.

그러면서 팀장/상사의 보고 스타일도 알 수 있고 (단락의 간격을 붙여서 할지, 한 줄/두 줄을 뛰울지도 등) 나를 어필할 수도 있고 팀장/상사 관점의 시각과 업무 조언도 들을 수 있는 계기가 된다.


일러스트=이철원 기자
 일러스트=이철원 기자
전 이사는 "열심히 일한다? 그건 당연한 거예요. 지금 기업에서 열심히 하지 않는 직원이 있습니까. 중요한 건 잘하는 겁니다. 어떻게 해야 잘할 수 있느냐를 끊임없이 고민하는 직원이 (임원) 경쟁에서 한발 앞서 갑니다"라고 강조했다.


열심히 하지 않는데 좋게 부각되거나 고과를 잘 받는 경우도 있다. 그것은 "천운"이라고 생각한다. 절대 그런 사람들은 이길(?) 수 없다.


주어진 일을 하는 해서 그것으로 인해서 야근을 한다고 해서 다른 사람들보다 '열심히' 하는 것이라고 착각을 하면 안된다.


그렇게 말하는 '열심히'는 더 적은 급여의 사람으로도 충분히 대체가 될 수 있다는 것을 명심해야 한다.


그래서 '열정'이 중요하다. 열정은 열심과 다르다. 전 이사는 사람은 세 가지 동기가 생기면 행동을 변화시킨다고 설명했다. 공포, 인센티브, 자각. 공포는 강압에 의한 것이고, 인센티브는 당근을 주면 나오는 수동적인 반응에 불과하다. 결국 외부 자극이 없어도 알아서 변하려 하는 자각에서 열정이 탄생한다고 전 이사는 지적한다. 이런 열정을 지니고 있어야 임원을 바라볼 수 있는 자격이라도 따낼 수 있다는 게 그의 지론이다.

    1. 공포

강압에 의한 것이 아니더라도 하루 아침에 내 직무가 없어지거나 내 일을 다른 사람에게 준다고 생각해봐라. 그 다음 수순은 무엇인지 그림이 그려진다.

이런 것이 바로 공포이다. 

그런 공포를 만들지 않기 위해 하루 하루 절박하고 간절한 마음가짐이 필요하지 않을까?


작년 하반기 들어 이슈가 되었던 "동양 사태" 에서와 같이 그룹과 기업이 단 몇달 사이에 휘청이고 쓰러지는지 봤고, 컨설팅 회사 차장 1명의 카드 고객정보유출로 금융회사 임원의 사퇴, 전사 업무 마비 등도 해당된다.


이것이 내 주위에서 아무때나 일어날 수 있는 공포인것이다. 평상시에 그런 공포가 생길 수 있다는 가정을 하고 살아야 하는 것이 우리 삶인 것이다. 그것을 극복하기 위한 과정중에 "열정" 이 생겨나는 것이다.


2. 인센티브

인센티브를 받는 것으로만 생각을 하지 말아야 한다.

스스로 자발적으로 움직여 자기를 부각시키거나 새로운 일을 맡는 것 또한 인센티브가 될 수 있다.


그렇게 함으로써 교육, 자격증, 대학원 등의 기회가 올 수 있는 것이다. 

단지 금전적으로 이익을 취하는 것이 인센티브가 아니라 몇년뒤에 돌아올 유/무형의 능동적인 인센티브를 생각해봐야 할 것이다. 


3. 자각

나를 객관적으로 냉정하게 판단, 평가를 해야한다.

기존에 해왔던 직무를 떠나 새 직무를 맡게 되는 경우는 더 할 것이고, 새로운 조직, 새로운 팀장, 새로운 회사에서는 그 자각을 처절하게 철저하게 느껴야할 것이다.


보안이라는 새 직무를 자발적으로 하게 되었을 때 이미 10년이상 보안 업무를 한 사람들이 있고 IT 보안 교육을 받을 때도 이미 컨설팅, 해커, 악성코드/네트워크/관제 등에서 나보다 5년, 10년이상 앞선 분들이 많았다. 


그들보다 10년 늦게 처음부터 시작한다는 현실과 그들에게 없는 내 경험, 경력, 생각으로 차별화를 찾아야 했었다.


그렇지 않다면 난 언제든지 낭떠러지로 떠밀릴 수 있고 주어진 일만 했다가는 과장이 아닌 대리, 사원에게 일을 뺏길 수도 있고 구조조정 대상으로 전락하고 말았을 것이다.


자각 = 공포 = 간절함 = 절실함 = 열정이다.


그는 "롯데그룹만 하더라도 신입사원 공채 경쟁률이 200대1을 넘는 경우가 허다하다"면서 "치열한 경쟁을 뚫고 뽑힌 우수한 직원들이 나란히 출발선에 서는데 '난 오늘 맡긴 일은 큰 문제 없이 처리했다'고 안심하고 책상 앞 컴퓨터를 끄는 순간, 이미 레이스에서 뒤처진다고 보면 된다"고 말했다.

- 본인 성과를 잘 부각하지 못한다는 건 무슨 뜻입니까.

"잘난 체하라는 건 아닙니다. 그런 태도는 반감을 삽니다. 다만 성과가 잘 부각되지 않고 있다면 소통에 문제가 있다는 점을 알아야 한다는 겁니다. 난 열심히 하는데 남들이 몰라준다? 그럼 그 직원은 아래위 소통에 문제가 있는 겁니다. '회사에서는 왼손이 한 일을 오른손이 알게 하라'는 우스개가 있습니다."

회사, 학교, 사회에서 약간은 얼굴에 철판깔고 티 내도 된다. 그런 곳에서는 모든 것을 알고 있는 산타 할아버지나 신은 존재하지 않는다.


- 대기업 임원들에게 요구되는 자질은 어떤 게 있습니까.

"신규 임원을 고를 때 당연히 위아래로 레퍼런스 체크(평판 조사)를 합니다. 여기서 심각한 결격 사유가 발견되면 탈락합니다. 아래에는 가혹하고 위에만 정성을 들이는 '정신 이상자'들이 승승장구하는 시대는 끝났습니다. 물론 인사를 하다 보면 실수할 수도 있습니다. 경험적으로 10명 중 1명은 임원이 되면 안 되는 사람이 뽑힙니다. 꼭 되어야 하는 사람이 임원이 못 되는 경우도 생깁니다. 기업 인사의 목표는 이런 실패 확률을 꾸준히 줄여나가는 작업입니다. 따지고 보면 하느님도 인사를 잘못해서 아담이 선악과를 먹은 것 아니겠습니까. 완벽한 인사는 불가능합니다. 적어도 실패를 되풀이하지 않을 수 있어야 바람직한 조직입니다."

- 자질은 뛰어난데 임원에 못 오르는 경우도 있지 않을까요.

"20년 동안 인사 담당을 맡으며 배운 이치는 그런 사람이 한두 번 승진 인사에서 누락될 수는 있으나 결국은 중용된다는 겁니다. 물을 먹어도 이를 담담히 받아들이고 다시 준비를 하면 기회는 반드시 옵니다. 부장에서 이사 승진할 때 2번이나 누락되고도 지금은 그룹 계열사 사장을 하는 분도 있습니다."

몇년전에 자발적으로 열심히 했지만 고과를 2년 연속으로 C 를 받은 적이 있었다. 생전 그런 대우를 받아본 적이 없었던 나로서는 회사를 떠나야겠구나 하는 생각을 한 적이 있었다. 


한편으론 난 그다지 고통스런 시간을 가지지 않은 적이 많아 이런 것을 거치는 것이 도움이 되지 않을까하는 생각과 다시금 보여주고픈 오기도 생겼다.


운이 아주 좋거나 운도 좋고 실력도 좋은 사람은 따라가지 못한다. 그렇다면 무작정 사과가 떨어지길 기다리는 것은 답은 더더욱 아니다. 사과 나무를 베기 위한 도끼가 무디다면 새 도끼를 찾든지 만들어서 더 많은 사과나무를 베면 되는 것이다. 그러기 위해서 새 도끼를 찾거나 만들 시간이 필요한 것이다.


- 임원을 뽑는 기준이 과거와 달라진 점이 있다면.

"지금까지 한국 기업에서 승진은 일을 잘했으니 주는 성과물이란 특성이 강했습니다. 하지만 계속 성장하려면 이런 보상적 관점으로는 적응할 수 없습니다. 물론 성과가 없는 직원이 임원이 될 수 없는 건 자명합니다. 다만 지금은 그 자리를 맡겼을 때 더 잘할 수 있는 사람을 선택합니다. 여기서 중요한 건 전략적 통찰력과 리더십입니다."

- 임원이 되기 위한 리더십은 어떤 겁니까.

"리더십이란 전생의 원수 마음을 헤아리고 어루만져서 변심을 시키고 나를 위해 한 번쯤은 죽어 주게 할 수 있는 기술이라는 말이 있습니다. 최고 난도의 용병술이죠. 2차 세계대전 때 가장 효율적으로 군대를 운영한 건 독일이었습니다. 독일은 임무 중심적인 체계를 운용했는데 명령을 내릴 때 임무는 주고 자세한 지시는 하지 않았습니다. 대신 소통망을 강화해 실시간으로 진행 상황을 교신하며 수정했습니다. 반면 미국은 지휘관이 일일이 세세한 것까지 지시하는 구조였다고 합니다. 독일군이 화력이 몇 배나 강한 미군을 상대로 버틸 수 있었던 건 이런 '임무 중심적 지휘 체계(mission oriented command system)'의 장점이 발휘됐기 때문입니다. 리더십이란 이뤄야 할 목표를 조직원들을 통해 실현하는 기술입니다. 혼자서 할 수 없는 일을 조직의 힘을 빌려 협력하면서 성취하는 것입니다. 독불장군은 리더로서는 미달입니다."




Posted by i kiss you
,

출처 : 조선Biz 

http://biz.chosun.com/site/data/html_dir/2014/01/24/2014012401833.html



최근 읽고 있는 말콤 글래드웰의 "다윗과 골리앗" 책의 내용과도 조금 관계가 있고

나 역시 내향적 성격을 가지고 있어 공감되어 기사를 리뷰한다.

(저작권에 문제가 된다면 삭제하겠습니다. 기사 내용은 일부만 발췌했습니다)


Cover Story 베스트셀러 '콰이어트' 쓴 수전 케인의 내향적 人間 혁명論
낯 가리는 당신, 기죽지 마라… 이젠 내향적 CEO 시대
내향성, 최근까지 2류 취급 
산업화로 '人格의 문화' 퇴조 카리스마 등 외향성 중시하는 '性格의 문화'가 뿌리내린 탓
실리콘밸리선 각광
구글·페이스북 창업자 등 IT 거물 상당수가 내향적 다시 '人格의 문화'로 복귀

수전 케인(Cain)
 출처:플리커

우리는 학교나 직장에서 "정말 타고난 리더야"라는 말을 듣는 사람들을 보게 된다. 이들은 대개 넘치는 에너지로 타인을 압도하는 유형이다. 타고난 사교성을 발휘하고, 많은 사람 앞에서 말하거나 자신의 주장을 밀어붙이는 일도 두려워하지 않는다. 어릴 땐 친구들 사이에서 인기를 독차지하고, 커서는 몸담은 조직에서 눈에 띄는 존재가 된다.

반면 우리는 다음과 같은 사람들도 본다. 자신의 의견을 내세우기보다 조용히 듣는 사람, 낯을 가리는 사람, 혼자 있는 걸 좋아하는 사람. 이들은 앞서 예로 든 사람들과 능력 면에선 별 차이가 없을지라도 결코 주목받지 못한다. 교사는 학생기록부에 '사교성 부족'이라고 평가하고, 사회인이 된 뒤엔 "사회성이 부족해서 탈이야"라는 말을 듣기 일쑤다.

하지만 2년 전 발간된 책 한 권이 이런 고정관념을 뒤흔들었다. 어린 시절부터 조용한 책벌레였던 수전 케인(Cain·사진)씨는 '콰이어트(Quiet)'라는 책에서 "내향성은 결코 비난받거나 고쳐야 할 결함이 아니다"라고 주장했다. 하버드 로스쿨을 졸업하고 변호사로 활동하던 케인씨는 '왜 세상은 외향적인 사람들만 선호하는가'라는 오래된 의문에 근거해 이 책을 썼다.

"오늘날 우리는 기술이 급격히 진보한 세상에서 살고 있지요. 그 흐름을 주도하는 것은 실리콘밸리입니다. 현재 실리콘밸리의 핵심 인물은 대개 내향적인 사람이에요. 구글 창시자는 내향적인 인물입니다. 야후나 페이스북도 마찬가지이고요. IT 업계는 지금 가장 돈이 되는 분야이고, 대표적 IT 기업을 이끌고 있는 사람들도 막강한 영향력을 갖고 있지요. 이들이 내향적이기 때문에 '내향적이라는 자질이 그렇게 나쁜 것이 아니구나. 어쩌면 존중받을 만한 가치가 있는지도 모르겠는걸' 하는 생각이 퍼지게 된 겁니다."

내향적ceo / 외향적 ceo


동물의 세계에도 내향성이 강한 그룹과 외향성이 강한 그룹이 있다. 한 종(種)의 구성원 가운데 약 20%는 '뜸을 들이는' 반면, 나머지 80%는 '재빠른' 유형으로 분류할 수 있다. 재빠른 유형은 주변이 어떻게 돌아가는지 별로 신경 쓰지 않고 일단 돌진한다. 위험을 무릅쓰고 먹이를 가져오는 게 이들의 몫이다. 반면 뜸을 들이는 유형은 천적이 다가오지 않는지 세심하게 관찰하며 조직의 안전에 기여한다. 음양의 조화이다.


"대담한 동물이 먹이를 찾기 위해 위험을 무릅쓰는 것처럼 조직에서도 그런 역할을 담당하는 사람들이 있지요. 리스크가 큰 프로젝트를 담당하고, 조직원들을 북돋아주는 사람 말입니다. 반면 조용하고 주의력이 깊은 내향적인 사람들은 어떤 일이 이루어지게 하기보다는 일이 '잘' 진행되도록 하는 사람들입니다. 그들은 외부 위험을 신중하게 살피고, 성공뿐 아니라 그 반대의 결과에 대해서도 주의를 기울입니다. 성공적인 조직은 둘 다가 필요합니다. 저는 동양의 음과 양의 균형이 조직에서도 이뤄져야 한다고 생각합니다."


프로젝트를 하게 되거나 보고를 하게 될 때 또는 개인적으로 강의, 교육을 받을 때 개인적인 경험, 경력때문인지 또는 그런 기질을 갖고 있는지 몰라도 프리젠테이션, 보고서 작성, 강의를 잘 하는 사람들이 있다.  

나와 비슷한 위치에 있는 그(그녀)가 그런 것을 주도적으로 수행하는 것을 볼 때는 주위의 모든 시선이 그(그녀)에게로 향할 때 '나는 왜 저런 성향이 없을까' 할 때가 종종 있다.


보기 좋은 기획안도 내놓고 실제 그것을 디테일하게 수행하는 것이라면 금상첨화지만 그렇지 않을 때도 종종 본다. 


나같은 내향성이 좀 더 많은 사람에게 그게 기회가 되긴 한다. 

현장의 사람들과 부대끼고 이야기 듣고 경험도 해봄으로써 기획안의 큰 틀안에서 어떻게 현실적인 답을 찾을 수 있고 적용하는데 더 뛰어난 수완을 발휘할 때가 있다.


질투가 나기도 하지만 어쩌면 그것이 나같은 사람이 살아갈 수 있는 방법이 아닌가한다. 내가 못하는 것을 그 사람들이 해줘야 내가 작게나마 부각이 될 수 있고 그들로부터 나의 필요성을 느끼게 해주니.

(물론 그 사람들이 디테일도 잘 하면 멘붕이겠지만...) 


그녀는 페이스북을 예로 들었다. "마크 저커버그 CEO는 내향적인 인물이지요. 반면 셰릴 샌드버그 COO는 외향적인 성격이고요. 샌드버그씨는 저커버그씨가 잘하지 못하는 분야에서 능력을 발휘하고, 그 반대로 저커버그씨는 샌드버그씨가 부족한 부분을 보완해 줍니다."

때로는 외향적인 연기(演技)도 필요하다

―내향적인 사람들이 조직에서 자신의 존재 가치를 증명하기 위해선 어떤 노력을 해야 할까요.

"제 친한 친구이자 와튼스쿨 최연소 종신 교수인 애덤 그랜트 교수가 좋은 예가 될 것 같아요(그랜트 교수는 '베푸는 사람이 성공한다'는 주제를 담은 '기브 앤드 테이크'란 베스트셀러를 썼으며, 위클리비즈가 작년에 인터뷰했다). 그는 대단히 수줍고 내향적인 사람입니다. 그의 힘은 그가 지닌 다방면의 지식에서 나옵니다. 만약 뭔가 궁금하다면 그에게 이메일을 보내면 완벽한 해답을 얻을 수 있습니다. 그는 자신의 그러한 무기로 여러 사람과 연결되어 있어요. 그는 자신의 지식을 여러 사람과 나누길 원합니다. 하지만 결코 주목받기 위해서 적극적으로 자신을 드러내진 않아요. 내향적인 사람들이 자신의 존재 가치를 증명하기 위해선 그랜트 교수처럼 자신만의 방식, 가장 부담스럽지 않게 자신을 드러내는 방식을 찾아야 합니다."

다행히 내향적인 사람들에게 매우 희망적인 변화가 일어나고 있다. SNS와 인터넷의 발달로 직접 사람들과 대면하지 않고서도 자신을 드러내는 일이 비교적 쉬워진 것이다.


나 같은 약간 내향적인 성격을 가진 사람들에게 SNS 는 생각의 정리와 더불어 나를 표현할 수 있어 내게 맞는다고 생각을 한다.


SNS 가 주목받고 싶어서 안달이 난 사람들만의 전유물이라고 생각하는 사람들도 있지만 내 생각이 틀린지 맞는지, 다른 사람들은 어떻게 생각하는지, 다른 사람들의 생활을 보고 내가 배울건 무엇인지도 알 수 있다.


또 한편으론 40 가까워지고 있던 2012년부터 시작한 보안 직무에 대해서 있어선 난 분명히 약자이고 초보이다. 잘 안 될 수 있는 상항도 준비가 필요한지라 초보지만 초보티를 벗어나라고 노력하고 열정도 있고 관심도 많고 개인적 경험, 경력으로 차별화도 가능하다라고 어느 정도 어필할 수 있어야 하는 간절함, 절박함이 있다.


그런 절박감이 SNS 으로 전달되어 기대했던 성과가 있어왔다고 생각한다.

그렇다고 자만은 하지 않아야겠고...


그럼에도 불구하고 조직 생활에선 많은 사람 앞에서 자신을 드러내고 선전해야 하는, 즉 외향적인 성향이 필요한 경우가 종종 발생한다.

케인씨는 내향적인 사람들도 때로는 상황이나 직업에 따라 외향적인 사람 역할을 할 수도 있다고 주장했다. 집에서 책 읽기를 좋아하는 내향적인 사람도 일터에선 공격적인 검사로 돌변할 수 있다. 일종의 연기인 셈이다. 그녀는 심리학적 용어를 따서 이것을 '자유 특성 이론(Free Traits Theory)'이라고 불렀다.

―자유 특성 이론을 성공적으로 수행하기 위해선 어떤 노력을 해야 할까요?

"내향적인 사람들이 외향적인 역할을 할 때 자신이 사랑하고 가치를 느끼는 일을 위해서 해야 한다고 생각해요. 당신은 기자이고, 하는 일을 좋아하고 보람을 느낀다면 내향적인 성향을 갖고 있다 하더라도 잠시 저돌적이고 공격적으로 되어야 할 때가 있을 거예요. 그것이 당신에게 있어 충분히 가치가 있는 일이니까요. 하지만 그렇지 않다면 자신의 성향과 맞지 않는 역할을 하는 게 너무나 힘든 일이 되겠지요. 그러니 자유 특성 이론에 따라 자신의 성향과 다른 역할을 하기 위한 첫째 조건은 자신이 가치를 두고 있는 일을 위해서 해야 한다는 겁니다. 그리고 둘째로는 자신의 성향과 다른 역할을 한 뒤엔 자신에게 회복할 시간을 줘야 한다는 거지요. 당신은 스스로가 내향적인 사람이라고 했는데, 그렇다면 이렇게 처음 보는 사람 집을 찾아와서 낯선 사람과 이야기를 나누는 것이 스트레스가 되고 많은 에너지가 필요할지도 몰라요. 그러니 이 일을 마친 뒤 쇼핑을 하건 반신욕을 하건 충분히 스스로를 이완시키고 휴식을 취하거나, 자신을 위해 무언가 보상을 해 주는 게 필요합니다. 재충전하기 위해서 말이지요."

Posted by i kiss you
,

2013년 보안 교육을 들으면서 강사들의 언급으로 알게된 파이썬이라는 랭귀지.

2014년 증권회사 보안팀 아는 분으로부터 또 한번 듣게 되어 어떤 언어인지 궁금해서 읽게된 책.


혹시나 이 글을 보는 본들을 위해 미리 말씀드리지만

아주 깊은 내용의 리뷰를 포스팅하는 것은 아닙니다. 그저 개발을 몇년간 해봤던 경험자로서, 보안에 무지한 보안 초보자로서 입장에서 알고 싶어 책을 읽었고 해킹의 사례를 통해 기업 보안 업무에 활용할 수 있는 무엇인지(공격을 알아야 방어도 할 수 있기에) 알고 싶었을 뿐, 책의 전체 내용을 요약, 리뷰도 아니고 저의 잘못된 지식/정보일 수 있습니다.





1. 파이썬 라이브러리의 상세 정보

http://docs.python.org/2/library/


2. 유닉스 패스워드 크래커 예제

- 유닉스 패스워드를 저장할 때 내부적으로 crypt() 해시 라이브러리를 사용

- 이 함수에 패스워드와 salt 를 전달하면 된다 


회사내 유닉스 서버 계정의 패스워드 규칙 적정성을 검사하기 위해서

1. 회사내 유닉스 서버의 /etc/shadow 파일의 해시화된 패스워드를 수집하고

2. 미리 알고 있는 salt 값과 딕셔너리 파일 정보로

3. 패스워드 크래커 프로그램을 만들어서

4. 딕셔너리내 단어와 일치하는 패스워드를 - 간단한 조합의 패스워드 - 추출하는 

   방법을 하는 것은 비효율적일까?


서버 담당자들을 믿고 패스워드 규칙만 전달하는 것만이 맞을까?

아님 보안 담당자가 root 계정으로 전체 서버를 일일히 검사하는게 맞을까?


3. 포트 스캐너 예제

- 정보수집은 모든 사이버 공격의 첫번째 단계

- 공격대상에서는 웹 서버를 TCP 포트 80번에서, 메일 서버를 TCP 포트 25번에서 그리고 파일 서버를 

   TCP 포트 21번에서 사용하고 있을 가능성이 높다. 이러한 서비스들 중 어느 하나에 연결하기 위해서 

   공격자는 IP 주소와 해당 서비스에서 사용하고 있는 TCP 포트를 반드시 알아야 한다.

- 파이썬 nmap 자료 : http://xael.org/norman/python/python-nmap/

- 여러 종류의 포트 스캔 방법    

① TCP SYN SCAN

- 하프 오픈(half-open scan)이라고도 알려져 있는데, 이 종류의 스캔은 SYN 패킷으로 TCP

   연결을 시작하고 응답을 기다린다. RST 패킷은 포트가 닫혀있는 것을 의미하고, SYN/ACK 는

   열려있는 것을 의미한다.


② TCP NULL SCAN

- 널 스캔은 TCP 플래그 헤더를 0(ZERO)으로 설정한다. 만약 RST를 받으면 포트가 닫혀있는 것

   을 의미한다.


③ TCP FIN SCAN

- TCP FIN 스캔은 FIN을 전송하여 현재 활성화되어 있는 TCP 연결을 종료시키려고 한다. 그리고 

   종료되기를 기다린다. 만약 RST 를 받으면 포트가 닫혀있는 것이다.


④ TCP XMAS SCAN 

- XMAS 스캔은 PSH, FIN 그리고 URG TCP 플래그를 활성화한다 만약 RST를 받으면 포트가 닫혀

   있는 것이다.


관련 규정에 따라 정기적으로 외부 위탁업체를 통해 취약점 점검을 해서 미사용 포트의 오픈 여부를 점검한다.

보안팀 자체적으로 해서 외부 점검에만 의존하지 말고, 보안 시스템에 사용되는 서버는 정작 포트 스캔을 하지 않는 경우가 있어 보안사고가 발생하는 경우를 미리 차단할 수 있지 않을까?


1. 전체 서버 호스트명과 IP 리스트과

2. 해당 서버에서 사용중인 서비스 포트를 예외로 해서

3. 자동적으로 정기적으로 포트 스캔할 수 있는 내부 서버 스캐너를 만들어서 사용하는 

   건 어떨까?


4. 익명 FTP 스캐너

- 파일 전송 프로토콜(FTP : File Transfer Protocol) 서비스는 TCP 기반의 네트워크에서 사용자들이 서로

   파일을 전송할 수 있도록 해준다

- 일부 사이트에서는 익명으로 인증을 할 수 있는 기능을 제공한다.

- 이 경우 사용자는 사용자 이름에 "anonymous" 라고 입력하고 패스워드 대신에 이메일 주소를 입력한다.

- 많은 사이트가 정당한 이유로 익명 FTP 접근을 허용하고 있다. 예로 소프트웨어 업데이트를 좀 더 원활하

   게 하기 위한 용도가 있다.

- 또한, 홈페이지가 조작된 해킹 사고는 결국 공격자가 악성코드가 담긴 웹페이지를 대상 서버로 업로드

   했기 때문에 발생한 것이다.


회사내 대 고객 서비스를 위해 FTP 서버를 운영하는 곳이 있다. 

그리고 FTP 서버에서 웹 서비스도 한다면 공격자에 의해 변조된 웹 페이지가 업로드되어 이용자들이 악성코드에 감염될 수 있다.


1. 회사내 FTP 서비스 제공 서버 또는 포트 스캐너에서 21번 포트를 오픈한 서버 리스트에서

2. 회사내 서버 계정과 패스워드 조합 리스트를 통해 접속 확인

3. FTP 서버에 있는 인증정보로 서버에서 웹 접속을 제공하는지 확인하기 이해 FTP 서버의

   디렉토리에 컨텐츠의 목록을 가져오고

4. 그 목록에서 디폴트 웹 페이지를 검색 (.php, .htm, .asp 등)

5. 악의적인 서버로 방문자가 리다이렉트 되도록 악성코드를 심기 위해 iframe 삽입을 하므로

   웹페이지내에 iframe 있는지 검사하여 정상적인 것인지 점검


* FTP 로 파일을 업로드 코딩할 때 "STOR" 을 사용한다

  해당 명령어가 로그에 남는지 모니터링하는 것도 참고할만하지 않을까?


5. TTL 필드 

- IP 주소의 TTL(time-to-live) 필드는 패킷이 최종 목적지에 도착하기 전까지 얼마나 많은 홉(hop)을 사용

   할 수 있는지 결정하고, 패킷이 라우팅 기기를 지날 때마다 라우터는 TTL 필드의 값을 하나 감소시킨다.

- 만약 8.8.8.8 이라는 주소에 TTL 값 64를 가지고 ping 을 전송했는데 돌아온 값을 보니 TTL 의 값이 53

   이었다면 해당 패킷이 11개의 라우팅 기기를 거친 것이다.

- 리눅스/유닉스 계열의 시스템은 보통 TTL의 초기 값을 64로 설정하고 시작

- 윈도우 기반의 시스템들은 128 로 설정


6. TCP 세션 하이재킹

- 순서

① 서버가 신뢰하는 컴퓨터를 찾고

② 신뢰하는 서버를 "침묵"시키고

- TCP 목적지 포트를 513 으로 고정하고

- TCP 소스 포트의 숫자를 증가시키면서 IP 패킷 생성해서 전송

③ 서버로부터의 연결을 스푸핑하고

- 각 네트워크 연결을 추적하는데 사용하는 TCP 일련번호에는 무작위성이 없다

- A 사이트/서버에서 대상 서버로 여러 개의 SYN 패킷을 전송

- 대상 서버는 SYN 패킷을 전송 받은 다음에 TCP 일련번호와 함께 SYN-ACK 로 응답

- 각각의 SYN-ACK 는 일정한 값만큼 증가하는 것이 보임

④ TCP 3방향 핸드쉐이크와 ACK를 스푸핑

- 다음 ACK 을 예상되면 그 보다 1 작은 값인 SYN 패킷값을 전송해서 스푸핑


일반적인 보안 책에서 TCP 세션 하이재킹이 나오는데 개요로만 설명되어 있었지만 코딩으로 직접 예제를 볼 수 있어 이해에 다소 도움이 되었다


- IDS 공격하기

- 침입탐지시스템(IDS)은 IP 네트워크에 있는 패킷을 로깅하면서 실시간으로 트래픽을 분석할 수 있다.

- 시그니처에 해당하는 툴 이름이나 악성코드를 공격대상으로 패킷을 전송


IDS 뿐만 아니라 웹방화벽, Anit DDOS, IPS 등 시그니처 기반 시스템을 도입할 때 BMT 할 때 사용할 수 있을 거 같다.


7. 웹서버의 사용자 식별방법

① 웹 서버는 사용자를 식별하는 첫 번째 수단으로 요청의 IP 주소를 기록

② 웹 사이트는 브라우저의 user-agent 문자열로 사용자를 식별

- 커널정보, 브라우저 버전, 사용자에 대한 다른 정보도 포함

- 악의적으로 사용되면 해당 브라우저에 가장 적합한 공격코드를 식별하는 데 사용될 수 있다.

- 이 정보를 사용하여 NAT 을 사용하는 컴퓨터를 구분하는 데 사용하기도 한다.

③ 웹 사이트들은 브라우저의 쿠키를 사용하여 사용자를 식별하기도 한다.


기업내 홈페이지로 접속하는 이용자 브라우저의 user-agent 정보를 통해서 이전에 접속한 브라우저 버전과의 비교 또는 중국 등 악성 공격이 많은 지역에서 사용하는 브라우저 버전, 커널정보 등을 비교해서 이용자가 피싱, 해킹 피해자인지 판단하는데 도움이 되지 않을까?

피싱, 해킹 사고가 났을 때 브라우저 정보와 매핑을 하면 실마리가 잡히지는 않을까?



Posted by i kiss you
,

보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.

(2013.12.5) ZKIP

2013. 12. 13. 15:19

보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.