nGelmaum Notes

OWASP Top Ten Project

천사마음 — Fri, 31 May 2013 13:40:43 +0900

천사마음의 연구이야기

Open Web Application Security Project

OWASP(The Open Web Application Security Project)는 국제 웹 보안 표준 기구입니다. OWASP는 특정 기관이 신뢰할 수 있는 웹 애플리케이션을 개발, 획득, 운영 등을 위해 도움을 주는 비영리 공개 커뮤니티이며, 특정 기업과 연계되어 있지 않습니다.

OWASP에서는 웹 애플리케이션 보안 취약점을 연구하고, 3년 주기^[각주:1]로 보안이 취약한 부분의 TOP10을 조사 및 선정하여 발표하고 있습니다. 현재(2013년 5월 7일)를 기준으로 가장 최신 버전은 2010년에 발표된 버전(OWASP 2010)이며, 현재 OWASP 2013RC 버전이 발표되었습니다.

OWASP 2013RC

OWASP TOP10 2013은 현재 Release Candidate 버전입니다. 조만간 정식 버전이 출시될 것으로 예상되며, 정식 버전이 출시되면 관련 내용을 갱신하겠습니다.

OWASP 2010과 OWASP 2013RC 버전의 차이점을 살펴보면, 2가지 항목(안전하지 않은 암호 저장[A7], URL 접근 제한 실패[A8])이 삭제되었습니다. 그리고 불충분한 전송 계층 보호[A9] 항목이 OWASP 2013의 Sensitive Data Exposure[A6]로 통합되었습니다. 끝으로 알려진 취약점이 있는 구성요소 사용[A9] 항목이 추가된 것을 확인할 수 있습니다.

관련 문서는 다음 링크에서 다운로드 받으실 수 있으며, 이 문서에 대한 저작권은 문서에 표기되어 있습니다.

OWASP Top10 2013RC Korean.pdf

No.	한글	영어
A1	인젝션	Injection
A2	취약한 인증과 세션 관리	Broken Authentication and Session Management
A3	크로스 사이트 스크립팅	Cross Site Scripting (XSS)
A4	안전하지 않은 직접 객체 참조	Insecure Direct Object Reference
A5	보안상 잘못된 구성	Security Misconfiguration
A6	민감한(중요한) 데이터 노출	Sensitive Data Exposure
A7	기능 수준 접근 통제 누락	Missing Function Level Access Control
A8	크로스 사이트 요청 변조	Cross Site Request Forgery(CSRF)
A9	알려진 취약점이 있는 구성요소 사용	Using Components with Known Vulnerabilities
A10	검증되지 않은 리다이렉트와 포워드	Unvalidated Redirects and Forwards

항목별 자세한 사항은 위에 첨부된 관련 문서를 참조하길 바라며, 여기에서는 항목별로 간단히 요약한 내용을 소개하겠습니다. 관련 내용에 대한 한글화 작업은 최종 버전이 출시된 이후에 갱신하겠습니다.

A1. 인젝션(Injection)

Injection flaws, such as SQL, OS, and LDAP injection occur when untrusted data is sent to an interpreter as part of a command or query. The attacker’s hostile data can trick the interpreter into executing unintended commands or accessing unauthorized data.

A2. 취약한 인증과 세션 관리(Broken Authentication and Session Management)

Application functions related to authentication and session management are often not implemented correctly, allowing attackers to compromise passwords, keys, session tokens, or exploit other implementation flaws to assume other users’ identities.

A3. 크로스 사이트 스크립팅(Cross Site Scripting(XSS))

XSS flaws occur whenever an application takes untrusted data and sends it to a web browser without proper validation or escaping. XSS allows attackers to execute scripts in the victim’s browser which can hijack user sessions, deface web sites, or redirect the user to malicious sites.

A4. 안전하지 않은 직접 객체 참조(Insecure Direct Object Reference)

A direct object reference occurs when a developer exposes a reference to an internal implementation object, such as a file, directory, or database key. Without an access control check or other protection, attackers can manipulate these references to access unauthorized data.

A5. 보안상 잘못된 구성(Security Misconfiguration)

Good security requires having a secure configuration defined and deployed for the application, frameworks, application server, web server, database server, and platform. All these settings should be defined, implemented, and maintained as many are not shipped with secure defaults. This includes keeping all software up to date.

A6. 민감한(중요한) 데이터 노출(Sensitive Data Exposure)

Many web applications do not properly protect sensitive data, such as credit cards, tax ids, and authentication credentials. Attackers may steal or modify such weakly protected data to conduct identity theft, credit card fraud, or other crimes. Sensitive data deserves extra protection such as encryption at rest or in transit, as well as special precautions when exchanged with the browser.

A7. 기능 수준 접근 통제 누락(Missing Function Level Access Control)

Virtually all web applications verify function level access rights before making that functionality visible in the UI. However, applications need to perform the same access control checks on the server when each function is accessed. If requests are not verified, attackers will be able to forge requests in order to access unauthorized functionality.

A8. 크로스 사이트 요청 변조(Cross Site Request Forgery(CSRF))

A CSRF attack forces a logged-on victim’s browser to send a forged HTTP request, including the victim’s session cookie and any other automatically included authentication information, to a vulnerable web application. This allows the attacker to force the victim’s browser to generate requests the vulnerable application thinks are legitimate requests from the victim.

A9. 알려진 취약점이 있는 구성요소 사용(Using Components with Known Vulnerabilities)

Vulnerable components, such as libraries, frameworks, and other software modules almost always run with full privilege. So, if exploited, they can cause serious data loss or server takeover. Applications using these vulnerable components may undermine their defenses and enable a range of possible attacks and impacts.

A10. 검증되지 않은 리다이렉트와 포워드(Unvalidated Redirects and Forwards)

Web applications frequently redirect and forward users to other pages and websites, and use untrusted data to determine the destination pages. Without proper validation, attackers can redirect victims to phishing or malware sites, or use forwards to access unauthorized pages.

OWASP 2010

OWASP TOP10 2010은 다음과 같습니다. 관련 문서는 다음 링크에서 다운로드 받으실 수 있으며, 이 문서에 대한 저작권은 문서에 표기되어 있습니다.

OWASP Top10 2010 Korean.pdf

No.	한글	영어
A1	인젝션	Injection
A2	크로스 사이트 스크립팅	Cross Site Scripting(XSS)
A3	취약한 인증과 세션 관리	Broken Authentication and Session Management
A4	안전하지 않은 직접 객체 참조	Insecure Direct Object Reference
A5	크로스 사이트 요청 변조	Cross Site Request Forgery(CSRF)
A6	보안상 잘못된 구성	Security Misconfiguration
A7	안전하지 않은 암호 저장	Insecure Cryptographic Storage
A8	URL 접근 제한 실패	Failure to Restrict URL Access
A9	불충분한 전송 계층 보호	Insufficient Transport Layer Protection
A10	검증되지 않은 리다이렉트와 포워드	Unvalidated Redirects and Forwards

OWASP 2007

OWASP TOP10 2007은 다음과 같습니다. 관련 문서는 다음 링크에서 다운로드 받으실 수 있으며, 이 문서에 대한 저작권은 문서에 표기되어 있습니다.

OWASP Top10 2007 Korean.pdf

No.	한글	영어
A1	크로스 사이트 스크립팅	Cross Site Scripting(XSS)
A2	인젝션 취약점	Injection Flaws
A3	악성 파일 실행	Malicious File Excution
A4	불안전한 직접 객체 참조	Insecure Direct Object Reference
A5	크로스 사이트 요청 변조	Cross Site Request Forgery(CSRF)
A6	정보 유출 및 부적절한 오류 처리	Information Leakage and Improper Error Handling
A7	훼손된 인증 및 세션 관리	Broken Authentication and Session Management
A8	불안전한 암호화 저장	Insecure Cryptographic Storage
A9	불안전한 통신	Insecure Communications
A10	URL 접근 제한 실패	Failure to Restrict URL Access

OWASP 2004

OWASP TOP10 2004는 다음과 같습니다. 관련 문서는 다음 링크에서 다운로드 받으실 수 있으며, 이 문서에 대한 저작권은 문서에 표기되어 있습니다.

OWASP Top10 2004 Korean.pdf

No.	한글	영어
A1	입력값 검증 부재	Unvalidated Input
A2	취약한 접근 통제	Broken Access Control
A3	취약한 인증 및 세션 관리	Broken Authentication and Session Management
A4	크로스 사이트 스크립팅(XSS) 취약점	Cross Site Scripting(XSS) Flaws
A5	버퍼 오버플로우	Buffer Overflows
A6	삽입 취약점	Injection Flaws
A7	부적절한 에러 처리	Improper Error Handling
A8	취약한 정보 저장 방식	Insecure Storage
A9	서비스 방해 공격	Denial of Service
A10	부적절한 환경 설정	Insecure Configuration Management

OWASP 2003

OWASP TOP10 2003은 다음과 같습니다.

No.	한글	영어
A1	인자 검증 부재	Unvalidated Parameters
A2	취약한 접근 통제	Broken Access Control
A3	취약한 계정 및 세션 관리	Broken Account and Session Management
A4	크로스 사이트 스크립팅(XSS) 취약점	Cross Site Scripting(XSS) Flaws
A5	버퍼 오버플로우	Buffer Overflows
A6	명령 삽입 취약점	Command Injection Flaws
A7	에러 처리 문제	Error Handling Problems
A8	부적절한 암호화 사용	Insecure Use of Cryptography
A9	원격 관리 취약점	Remote Administration Flaws
A10	부적절한 WAS 환경 설정	Web and Application Server misconfiguration

마치면서

지금까지 OWASP TOP10에 대해 알아봤습니다. OWASP TOP10은 아주 많은 취약점 요소 중에서 중요한 10개의 내용만 소개하고 있습니다. 이외에도 검토할 수 있는 기술이나 역량을 보유하고 있으면, 최대한 보호하는 것이 올바른 행동일 것입니다. 완벽하게 모든 취약점을 제거하기는 어렵습니다만, 보안 의식 수준을 높이는 것은 꼭 필요한 일입니다.

OWASP는 2003년에 처음으로 웹 애플리케이션 보안 취약점 TOP 10을 선정하여 발표한 이후, 2004년, 2007년, 그리고 2010년에 발표했습니다. [본문으로]

카카오톡 PC 버전 베타 테스터에 선정되다

천사마음 — Wed, 17 Apr 2013 06:00:00 +0900

천사마음의 유용한정보

KakaoTalk PC 버전 CBT 참여하며…

카카오톡(KakaoTalk) PC 버전 베타 테스터(이하 CBT)에 선정되었습니다.
과거에 다양한 베타 테스터 활동을 했었습니다만, 필자가 선정될 줄은 꿈에도 생각하지 못했었습니다. 왜냐하면, 카카오톡의 사용량이 많지 않았고, 최근 몇 년 동안 베타 테스터 활동을 한 적이 없었기 때문입니다. 이런 이유로 말미암아 단순히 컴퓨터 추첨으로 선정된 것이 아닌가? 라는 생각을 해봅니다.

카카오톡을 PC에서 활용할 수 있는 가치는 꽤 유용합니다.
사실 과거부터 PC 버전을 출시했으면 좋겠다는 의견을 여러 곳에서 피력했었습니다. 필자의 의견에 동의하는 분도 계셨고, 동의하지 않는 분도 많았습니다. 명확한 하나의 정답은 없겠지만, 사용자의 편의성으로만 바라보면 PC에서 사용할 수 있는 카카오톡은 분명 매력적인 유틸리티로 자리를 잡을 것 같습니다.

KakaoTalk PC 버전 설치방법

[그림 1] Login Fail Message

KakaoTalk PC 버전은 베타 테스터에 선정된 사람만 접속할 수 있습니다.
이런 이유로 호기심으로 설치 파일을 구해 설치한 후, 접속을 시도하지 마시길 바랍니다. [그림 1]과 같이 기분 좋지 않은 메시지를 만나게 될 것입니다. KakaoTalk에서 이른 시일 안에 정식 오픈을 예정하고 있을 테니, 그때까지 마음 편히 기다리심이 좋을 것 같습니다.

KakaoTalk PC 버전 CBT는 현재 마이크로소프트 윈도 플랫폼의 32비트 버전만 제공됩니다. 아직 Apple MAC OS 플랫폼은 제공되지 않으며, 언제쯤 제공할 예정인지도 알려지지 않았습니다. 다만, KakaoTeam의 특성상 조만간 제공하지 않을까? 라고 유추해봅니다.

이 공간에서 KakaoTalk PC 버전의 설치과정은 설명하지 않겠습니다.
KakaoTalk PC 버전의 설치과정은 다음 링크^[각주:1]에서 확인하실 수 있습니다. 이 블로그에서 KakaoTalk PC 버전 설치 과정을 아주 자세하게 설명하고 있으므로 혹시 이 과정이 필요한 분이 있으신다면 링크를 참조해 주십시오.

KakaoTalk PC 버전의 특징과 주요 기능

KakaoTalk PC 버전 서비스의 초기 단계이므로, 통합 커뮤니케이터로서의 성장을 위한 기본에 충실한 기능과 서비스를 제공하고 있습니다. 그러므로 모바일 서비스에서 제공하는 기능의 50%도 제공하지 못합니다. 그러나 앞으로 발전 가능성은 매우 높으며, KakaoTeam의 창의력과 잘 융합되었을 때의 시장에서 어떤 반항을 일으킬지 예측하기 어렵습니다. KakaoTalk PC 버전의 특징과 주요 기능을 요약하면 [표 1]과 같습니다.

[표 1] KakaoTalk PC 버전의 특징과 주요 기능

기능	분류	내용
1	제공 플랫폼	Microsoft Windows Only / MAC OS 지원 예정^[각주:2]
2	카카오 계정	카카오 계정(Kakao Account)이 반드시 필요함
3	PC 인증	사용할 PC에서의 본인 인증 과정. 최대 5대의 PC에서 인증할 수 있음.
4	대화기능	기본적인 대화 서비스 지원함.
5	사진전송	현재 지원함. 한 번에 최대 10장의 사진을 전송할 수 있음.
6	멀티미디어 전송	현재 지원하지 않음. 앞으로 지원할 것으로 예상됨.
7	보이스톡	현재 지원하지 않음. 앞으로 지원할 것으로 예상됨.
8	단축키 지원	다양한 단축키를 제공함
9	원격 서비스	원격 로그아웃 서비스를 지원함.

[표 1]을 살펴보면 통합 커뮤니케이터로서의 기본 기능만을 지원하고 있는 것을 확인할 수 있습니다. 아직 걸음마 단계의 서비스이므로 앞으로의 성장 가능성에 더 관심을 두는 것이 옳은 선택이 될 것 같습니다. 다양한 의견과 개선 사항, 그리고 아이디어가 있으면 카카오에 제안해 보세요.

KakaoTalk PC 버전의 부족한 점

앞에서 간략히 언급했듯이 KakaoTalk PC 버전은 신생아입니다.
아직 베타 테스트 과정이므로 다른 서비스와 비교했을 때, 여러 부분에서 부족한 점이 눈에 띕니다. 다만 신생아이니만큼 기초 골격(?)이 튼튼한 녀석이었으면 하는 바람은 있습니다. 베타 테스트 첫날부터 사용했었는데, 현재 시점에서 바라보면 허약한 녀석은 아닌 것 같아 다소 안심이 됩니다.

다른 서비스와 비교했을 때, KakaoTalk PC 버전의 가장 부족한 점을 몇 가지 선정했습니다.

제공하는 기능과 서비스
제가 사용하는 버전^[각주:3]까지 KakaoTalk에서 제공하는 다양한 기능 중 기본 기능과 서비스만 제공하고 있습니다.
앞으로 다양한 기능을 제공할 것으로 예측되므로 큰 걱정이 되지는 않습니다. 그리고 다른 비교분석을 할 응용들과 카카오 고유의 서비스들이 있으므로 시간이 해결해 줄 문제로 보입니다. 필자가 바라는 점이 하나 있다면, 너무 수익 관점에서 바라보지 말고 처음 기획 단계의 마음가짐을 유지했으면 합니다.

첨부된 광고
KakaoTalk PC 버전의 하단에는 광고가 추가되어 있습니다.
서비스를 제공하여 이익을 얻는 것은 분명 옳은 일이고 이해가 됩니다. 그러나 서비스 유지 비용 문제로 말미암아 광고를 유지해야 한다면 화면에서 어색함과 이질감이 느껴지지 않도록 구성했으면 좋겠습니다.

PC 버전 최적화
서비스 초기 모델임에도 프로그램의 최적화가 상당히 잘되어 있는 것 같습니다. 이뿐만 아니라, 모바일 버전과 UI/UX 통합을 시도한 노력에 높은 점수를 주고 싶습니다. 하지만 모바일과 PC의 주요 인터페이스가 다르며, 각 기기별 활용 방법에 장·단점이 있습니다. 그러므로 전체적인 통합을 강조하면서 PC 버전에 알맞은 기능을 추가하는 것도 나쁘지 않을 것 같습니다^[각주:4]. 간단한 예로 대화 화면에서의 폰트 꾸미기 기능 등이 있습니다.

KakaoTalk PC 버전과 Mypeople PC 버전의 비교

국내·외 KakaoTalk과 유사한 다양한 서비스가 출시되어 있습니다.

대표적으로 다음에서 제공 중인 마이피플(Mypeople)과 NHN에서 제공 중인 라인(Line)이 있습니다. 국내에서는 KakaoTalk 서비스가 대표적인 커뮤니케이터로 자리매김하고 있지만, 일본을 중심으로 동남아에서는 라인이 더 많은 고객을 보유하고 있는 것으로 알려졌습니다.

마이피플과 라인은 KakaoTalk보다 더 빨리 PC 버전 서비스를 제공했습니다. 세 가지 서비스를 모두 비교하는 것이 좋겠지만, 필자는 라인을 사용하지 않으므로 세 가지 서비스를 모두 비교하지는 못할 것 같습니다. 그러므로 여기에서는 필자가 주로 사용하는 마이피플과 비교하여 보겠습니다.

[표 2] 마이피플과 카카오톡 PC 버전 비교

구분	마이피플	카카오톡
기능/서비스	다음 서비스와 연계 가능 모바일 서비스에서 제공하는 대부분 기능 제공	필수 통합 커뮤니케이터로서의 기능만 제공
시스템 점유율	카카오톡에 비해 상대적으로 높음	마이피플에 비해 상대적으로 낮음
장점	다음 서비스와 연계 우수 모바일 서비스에서 제공하는 대부분 기능 제공	시스템 점유율이 상대적으로 낮음 CBT 종료 후 서비스 이용자가 많아질 것으로 예상됨
단점	시스템 점유율이 높음 서비스 이용자가 적음	제공하는 서비스/기능이 적음

필자에게 객관적으로 점수를 평가하라는 의뢰가 들어온다면, 어렵지 않게 마이피플의 압승으로 평가할 것입니다. 그러나 두 서비스의 잠재력을 평가하라고 하면, 두 서비스 중 어떤 서비스를 선택할지 고민할 것 같습니다. 그러나 시간이 흐를수록 KakaoTalk PC 버전에 더 높은 점수를 매길 것입니다. 기본적으로 서비스를 활용하는 사용자가 많은 쪽이 시장을 차지할 확률이 높기 때문이며, KakaoTeam의 서비스도 나쁘지 않기 때문입니다.

두 서비스 모두 훌륭한 서비스입니다. 개인적으로 선의의 경쟁을 통해 두 서비스 모두 많은 사랑을 받았으면 좋겠습니다.

KakaoTalk PC 버전의 미래

전 세계적으로 메신저 시장의 경쟁이 도래하고 있습니다.
가장 대표적인 메신저 서비스인 MSN 메신저는 스카이프(Skype)로 옷을 갈아입었고, 국내에서 많은 사랑을 받고 있는 메신저인 네이트온은 모바일 시장의 확대에 효율적으로 적응하기 위해 노력하고 있습니다.

앞에서 소개한 것과 같이 KakaoTalk PC 버전은 기존 국내·외의 메신저 서비스와 경쟁을 해야 합니다.
국내 모바일 시장에서는 압도적인 비율로 점유하고 있지만, 전체 통합 메신저 시장의 점유율을 보면 그다지 높지 않으리라 생각됩니다. 필자는 KakaoTeam에서 과연 어떤 목표를 지니고 있을지 궁금합니다. 어떤 킬러 애플리케이션으로 고객에게 어필할지 기대되기도 합니다.

KakaoTalk이 통합 메신저 서비스로의 성장을 기대합니다만, KakaoTalk이 시작할 때의 초심을 잃지 않았으면 좋겠습니다. 타 메신저 서비스의 역사를 되돌아보면, 그동안 메신저 서비스 대부분이 성장하면서 초심과 시작 당시의 철학을 잃어버린 것 같습니다. 그동안의 역사와 경험했던 것을 되돌아볼 때, 처음 마음가짐(초심)을 지속해서 유지하는 것이 쉬운 일은 아닙니다.

Simple is the best
필자가 미래를 내다보는 눈이 있는 것도 아니고, KakaoTalk 서비스의 미래를 예측하는 것은 불가능합니다.
하지만 필자가 한 가지 바라는 점이 있다면, 통합 메신저 서비스로의 성장 단계에서 최대한 심플한 서비스를 유지했으면 좋겠습니다. 기존 다른 서비스도 이 부분에서 아쉬운 점이 많았었습니다. 하지만 이 의사결정 과정이 쉽지는 않을 것입니다. 고객에게 제공해야 할 기능을 제공하고 서비스로 수익을 창출하면서 'Simple'의 미학을 적용하기 쉽지 않기 때문입니다. 여러분의 주변에서 활용할 수 있는 서비스를 찾아보십시오. 아마도 이런 서비스를 찾기가 쉽지 않을 것입니다. 다른 한편으로 이런 서비스들은 대부분 성공적인 서비스인 점도 알 수 있을 것입니다.

커뮤니케이터와 SNS의 파급력
필자의 개인적인 의견으로 통합 메신저 서비스는 소셜 네트워크 서비스(SNS)와 유사한 파급력을 보유한다고 생각합니다. 물론 서비스별로 명확하게 장·단점이 있습니다만, 통합 메신저 서비스의 장점을 극대화하면서 새로운 비즈니스 모델을 발굴한다면 기존 SNS보다 더 훌륭한 서비스 플랫폼으로 만들어 낼 수 있으리라 생각됩니다. 통합 메신저의 가장 큰 장점은 무엇일까요? 아마도 빠르고 유연한 상호작용이 아닐까요? 장점을 극대화할 수 있는 서비스 모델은 무엇이 있을까요?

마치면서

지금까지 KakaoTalk PC 버전 CBT에 참여하며 느낀 점을 정리했습니다.
KakaoTalk PC 버전 CBT를 사용하며 느낀 점을 요약하면, 이소성대(以小成大)^[각주:5]라는 사자성어가 떠오릅니다. 솔직하게 말씀드려 KakaoTalk PC 버전은 어린아이라고 느껴집니다. 하지만 성장 가능성이 풍부한 매력이 넘치는 아이라고 할까요?

분명 KakaoTalk PC 버전의 현재 능력과 가치는 매우 부족합니다만, 이 아이의 잠재능력은 무궁무진할 정도로 클 것으로 예상합니다. 다만, 아무리 잠재능력이 뛰어난 아이일지라도 능력이 좋은 코치 또는 멘토를 만나지 못한다면, 이 잠재력이 풍부한 아이의 미래를 불투명할 것입니다. 앞으로 (주)카카오 팀의 역할이 더 중요할 것 같습니다.

일러두기
KakaoTalk CBT를 마칠 때까지 지속적으로 업데이트 할 예정입니다.

돌돌이와 냐옹이의 일상님 블로그 [본문으로]
아직 공식적인 발표는 없습니다만, 지원할 것으로 예측됩니다. [본문으로]
0.9.2.172 [본문으로]
실제로 KakaoTalk PC 버전에서는 단축키 같은 PC 버전 고유의 기능을 지원하고 있습니다. [본문으로]
"작은 일에서부터 시작해서 큰 일을 이룬다"는 뜻. [본문으로]

나의 유년시절에 행복을 준 팀 - 한화 이글스

천사마음 — Tue, 12 Mar 2013 21:52:01 +0900

천사마음의 문화이야기

나의 유년시절 행복을 준 스포츠 구단

한화 이글스(Hanwha Eagles)는 필자의 유년 시절에 행복을 안겨준 팀입니다^[각주:1].

이글스로 말미암아 제일 좋아하는 스포츠가 야구가 되었으며, 아직도 많은 애정을 가지고 응원하는 팀입니다^[각주:2]. 아쉽게도 최근 몇 년의 성적은 좋지 못하네요. 필자의 유년시절 대전 야구장 근처에 살았기 때문에, 야구관람 기회가 많았습니다. 지금 생각해보면 그 시절, 참 행복했던 것 같습니다.

과거 이글스의 팀 특징은 다이너마이트 타선이라고 불렸습니다.

다이너마이트 타선이라는 칭호답게 과거의 타선은 정말 화려했었습니다. 리그 타격왕과 홈런왕을 모두 보유한 팀이었으니까요. 또한, 투수력도 강력했기 때문에 성적이 매우 좋았던 것으로 기억합니다^[각주:3]. 하지만 우승은 한 번도 하지 못했죠. 바로 대한민국 최고의 투수인 선동열 선수가 있었던 해태에 매번 우승의 문턱에서 무릎을 꿇었기 때문입니다. 어린 마음에 왜 그렇게 눈물이 나는지….

유년시절의 이글스

필자의 유년시절, 이글스는 화려했습니다.

제가 제일 좋아했던 이정훈(現 한화이글스 2군 감독) 선수를 비롯하여 장종훈(現 한화이글스 타격코치) 선수 등이 포진한 타선은 리그 최고 수준이었으며, 지금은 한국 프로야구의 전설이 된 송진우(現 한화이글스 투수 코치) 선수와 구대성, 이상군 선수 등으로 구성된 투수진도 막강했었습니다. 돌이켜보면 아마 제가 응원하는 팀이 좋은 성적을 거뒀기에, 더 좋아했었던 것이 아닐까? 란 생각이 드네요.

필자의 어린 눈에 비친 이글스 선수들은 멋져 보였습니다.

1980년대 후반에서 1990년대 초반의 이글스는 엄청난 성적을 보여줍니다. 4번의 준우승을 차지했었거든요. 89년과 92년은 정규시즌 1위를 차지했음에도 불구하고 아쉽게 우승은 하지 못했었습니다. 당시 김응룡 감독님이 이끄는 해태에 매번 발목을 잡혔었습니다. 어린 마음에 당시에 해태 타이거즈를 엄청나게 싫어했었던 것으로 기억합니다. 하지만 그 해태 타이거즈 사단이 지금 한화 이글스의 주축 코치진이 되었으니, 아이러니한 상황입니다. 개인적으로 김응룡 감독님과 타이거즈 사단의 코치님들을 환영합니다. 지금의 이글스에 꼭 필요한 분들로 생각됩니다.

감동, 1999년

1999년은 이글스 팬이라면 절대 잊지 못할 순간이라고 생각합니다. 바로 이글스가 처음으로 우승을 한 해이기 때문입니다.

1999년은 지금 생각해도 너무 멋진 한 해였다고 생각합니다.

1997년과 1998년은 이글스에 매우 좋지 않은 시즌이었습니다. 정규 시즌 7위라는 초라한 성적을 거뒀죠. 하지만 1999년을 맞이하기 전 데이비스와 로마이어라는 용병을 맞이하였습니다. KBO 최고의 용병으로 기억되는 데이비스와 영향력 있는 활약을 보여준 로마이어로 이글스의 타선은 더 강력해졌습니다.

시즌 결과 2위라는 성적으로 두산과 플레이오프를 진행했습니다. 결과는 한화의 4연승이었죠. 두산과의 플레이오프는 치열했었던 것 같습니다. 하지만 그중에서 가장 인상 깊었던 장면은 플레이오프 3차전에서 한화이글스의 레전드인 장종훈 선수의 만루홈런으로 패색(敗色)이 짙던 경기에서 승리했을 때, 온몸에 전율이 흘렀습니다. 정말 이때의 감동을 말로 표현할 수 없을 정도로 기뻤습니다.

한국시리즈는 1992년 이글스에 아픔을 선사했던 롯데 자이언츠와의 경기였습니다.

아이러니하게도 롯데 역시 1998년에 시즌 꼴찌를 기록했던 팀이었기에 이 두 팀이 한국시리즈에서 대결할 줄은 전문가들도 예측하기 어렵지 않았을까? 하는 생각이 드네요. 한국시리즈에서도 용병 듀오의 활약은 꾸준히 이어졌고, 시리즈 총 전적 5전 4승 1패로 이글스 역사상 최초로 우승을 차지하게 됩니다.

개인적으로 너무나 행복한 시간을 보냈으며, 마지막 승부를 결정지을 때는 짜릿했습니다^[각주:4]. 이글스의 최고 전성기에도 이루지 못한 우승을 이뤘으니까요.

2013년의 이글스

2009년 이글스는 역사상 최초로 시즌 최하위를 기록합니다. 아울러 지난 4년, 팀 성적은 리그 바닥이었습니다.

다양한 요인이 있겠지만, 너무 특정 선수에게 의존하고 세대교체에 실패했으며, 유망주를 키우는 데 실패했기 때문입니다.

개인적으로 지난 4년간 이글스 경기는 정말 실망스러웠습니다.

이글스 선수들은 경기에 승리하겠다는 의지가 전혀 보이지 않았습니다. 큰 점수차이로 지고 있어도 더그아웃 풍경은 얼굴에 미소가 떠나지 않았습니다. 아마 두산과 SK 더그아웃이었다면 어땠을까요?

2013년을 맞이하는 이글스는 새로운 김응룡 감독님을 모시고 새롭게 시작합니다.

필자는 기대 반 우려 반입니다. 좋은 코치진을 구성했지만, 야구는 선수들이 하는 것이기 때문입니다. 전문가들도 이글스에 높은 점수를 주지 않습니다. 개인적으로 좋은 성적보다는 프로다운 모습을 보여줬으면 좋겠습니다.

아직 시즌이 시작되진 않았습니다만, 시범 경기를 보니 아직 갈 길이 멀게만 느껴집니다.

투수력과 타력은 여러 가지 시험을 하는 과정이기 때문에 평가하기는 이르지만, 기본이 되어야 할 수비와 주루 등에서는 미숙함이 보입니다. 또한, 경기에 집중하지 못하는 몇몇 선수들의 모습을 보면 안타깝습니다. 한편으로는 답답하기도 하고요.

물론 희망도 보입니다. 좋은 신인 선수들도 보이고, 젊은 선수들이기에 경기를 뛸수록 좋은 성적을 거둘 것이라는 희망을 품어봅니다.

필자의 소망은 독수리가 다시 높이 날아올랐으면 좋겠습니다.

선수와 코치진가 열심히 노력한다면 앞으로 좋은 성적을 거둘 수 있겠지요. 한화 이글스는 프로구단입니다. 적어도 아마추어와 같은 경기 집중력을 가지면 안 되겠지요. 경기에 패배해도 팬들이 이해해 줄 수 있는 경기력을 보여줬으면 좋겠습니다.

선수들이 최선을 다하는 모습을 보여야 구장을 찾아준 팬들에게 행복을 줄 수 있을 테니까요.

마치면서

이번 시즌에 좋은 성적을 기대하진 않습니다. 하지만 전체 선수들이 조화를 이루고, 기본기를 갖추고 선수들의 기량이 향상하는 모습을 보고 싶습니다. 올해 한화 이글스의 구호가 '독수리여! 투혼을 불태워라!' 입니다. 이 구호에 알맞게 투혼을 불태우는 모습을 보여줬으면 좋겠습니다.

이 글은 2010년에 작성한 글을 개정했습니다.

제가 유년시절에는 빙그레 이글스였습니다. 현재 한화이글스이기 때문에 본문에는 한화이글스로 기입하겠습니다. [본문으로]
어린 시절에 경험했던 추억이 삶에 큰 영향을 미치는 것 같습니다. [본문으로]
당시 리그가 2개로 나뉘어져 있었습니다. 전체로 봤을 때 시즌 성적은 4위라고 볼 수 있습니다. [본문으로]
과거 롯데에게 패했던 기억도 떠오르더군요. [본문으로]

오라클의 눈으로 알티베이스를 보다

천사마음 — Thu, 07 Mar 2013 16:16:26 +0900

천사마음의 연구이야기

흥미로운 오라클과 알티베이스 비교기

2013년 초반은 더욱더 빠른 속도로 제 곁에서 떠나는 것 같습니다.

아마도 나름대로 바쁘게 시간을 보냈기 때문인 것 같기도 합니다. 점점 더 여유가 사라지는 것 같아 아쉽기도 합니다만, 지금은 여유(?)를 부릴 때가 아닌 것 같습니다. "급할수록 돌아가라."라는 속담도 있지만, 여유는 시간이 좀 더 지난 후에 가져야 할 것 같습니다.

책을 읽는 것을 좋아하지만, 한동안 여러 가지 요인으로 말미암아 책을 읽지 못했습니다.

많은 시간을 할애하지 못해 꽤(?) 오래 걸리긴 했지만, 틈틈이 읽은 책이 한 권 있습니다. 책의 제목은 '오라클의 눈으로 알티베이스를 보다.'입니다. 교수님께서 한국데이터베이스진흥원에서 개최한 연수 프로그램에 참석하셔서 받으셨는데, 이미 소지하고 계셔서 제게 선물로 주셨습니다. 책의 소개를 살펴보니, 대중적으로 많이 활용하고 잘 알려진 오라클을 기반으로 하여, 새로운 알티베이스를 소개하는 접근 방법이 마음에 들어서 읽게 되었습니다.

The Book INSIDE

[제목] 오라클의 눈으로 알티베이스를 보다

[평점] ★★★★

[저자] 김수남, 김한도, 김태식, 서현석, 정영균

[링크] 도서소개 | 미리보기

영진.com(영진닷컴) | 2012-04-10

반양장본 | 224쪽 | 223*152mm (A5신) | 314g | ISBN(13) : 9788931442489

저자정보

김수남

2001년부터 오라클에서 자바와 오라클을 강의했으며, 하이닉스반도체 연구소 분석시스템 DW 구축 및 ETL 작업을 수행하였다. 알티베이스 기술본부에서 기술지원 수행 및 기술문서를 작성했으며, 현재는 알티베이스 교육 컨설팅 팀장으로 알티베이스 강의 및 교재 집필을 하고 있다. DAP와 SQLP 자격을 취득했고, DB를 사랑하는 DB 엔지니어이다.

김한도

대학원 과정 중 국가 발전의 동력이 소프트파워에 있음을 깨닫고 IT에 투신하였고 정보의 심장부인 데이터베이스를 시작하였다. 오라클 성능 전문기업인 엑셈에서 컨설턴트로 7년의 시간을 보냈고 “오라클 성능 관리 방법론”, “Java Performance Fundamental”등의 책을 집필하였다. 현재 DB 업계에서 마케팅, Business Development를 수행하고 있다

김태식

오라클 DB 기술에 대한 호기심으로 오라클 기술 지원 부서에 입사한 후 다양한 산업분야에서 오라클 DB를 기술 지원하는 업무를 수행하였다. 현재는 다시 DBA 본연의 모습으로 돌아가 2011년 부터 금융회사 DBA 업무를 수행하고 있다. 오라클 DB와 희노애락을 같이하다보니 어느새 오라클 DB가 인생의 동반자가 되버린 DBA이다.

서현석

대학 재학시절 행정학을 전공했지만, 정보공학에 보다 관심이 많아서 책꽃이에 전공책보다 컴퓨터 책을 더 많이 꽂았다. 알티베이스 입사 후 통신, 금융, 공공 파트 컨설팅 및 지원을 섭렵하다가 새로 출범하는 알티베이스 교육 부문에 관심을 두고 2011년에 알티베이스 교육센터를 담당하게 되었다. 현재는 Solution Center에서 알티베이스 지원업무를 수행하고 있다.

정영균

LG CNS에서 약 7년, SK C&C 에서는 약 3년 동안 시스템통합(SI) 프로젝트를 주로 수행했다. 경력 대부분을 오라클 DBA 와 DBMS/SQL 튜닝 담당자로 일했다. DBMS 성능 관리 및 데이터 아키텍쳐 수립 분야에 관심이 많으며,현재는 알티베이스 파트너 컨설팅팀에서 국내 파트너사 제품과의 연동 및 해외 프로젝트 컨설팅 단계 기술 지원을 담당하고 있다.

대담형식으로 이해를 돕다

'오라클의 눈으로 알티베이스를 보다'의 구성은 신선합니다.

대화를 중재하는 중재자를 중심으로 오라클 전문가와 알티베이스 전문가가 참석하여, 대담하는 형식으로 오라클과 알티베이스에 대한 지식을 전달합니다. 물론 이 책과 유사한 형식으로 구성한 책들이 시중에 많이 출판된 상태라고 알고 있습니다만, 두 데이터베이스를 비교하는데 이와 같은 전달(접근) 방법을 선택한 것에 대해 상당히 만족합니다.

대화 내용을 의도에 맞게 편집했겠지만, 독자에게 전달하고자 하는 내용을 쉬우면서도 명료하게 전달하고 있습니다.

실제 글을 작성하거나 프레젠테이션을 했던 기억을 상기시켜보면, 자신이 알고 있는 지식을 쉬우면서도 명료하게 전달하기가 쉽지 않음을 한 번쯤은 느껴보셨을 것입니다. 하지만 해당 분야 전문가의 강연을 들어보면, 그 분야의 지식이 부족해도 프리젠터가 전달하고자 하는 내용을 이해할 수 있습니다. 이 차이가 무엇일까요? 아마도 명확히 이해하고 있느냐, 그렇지 못하느냐에 대한 차이일 것으로 생각합니다^[각주:1].

필자는 '오라클의 눈으로 알티베이스를 보다'에서 다루는 주제가 결코 가볍다고 생각하지 않습니다.

하지만 오라클/알티베이스 데이터베이스 시스템의 전문가가 대담형식으로 오라클과 알티베이스 데이터베이스 시스템의 특성과 장·단점, 그리고 유사한 점과 차이점 등을 전달하는데, 독자가 이해하기 쉬우면서도 자연스럽게 정리할 수 있도록 도와줍니다. 필자는 책을 읽으면 읽을수록 감동했습니다. 독자에게 전달하는 방법은 다양하지만, DBMS의 대표격인 오라클과 비교하여 이야기 형식으로 지식을 전달하는 접근 방법은 매우 좋은 선택으로 보입니다.

PartⅠ. 아키텍처 이야기

'오라클의 눈으로 알티베이스를 보다.'의 첫 번째 주제는 DBMS의 아키텍처 구조입니다.

오라클과 알티베이스의 아키텍처는 태생 자체가 다르므로, 아키텍처 구조에 큰 차이가 있습니다. 디스크 기반 구조와 메모리 기반 구조가 같을 수는 없겠지요. 하지만 알티베이스가 In-Memory DBMS(Main Memory DBMS) 구조에서 메모리와 디스크 기반의 하이브리드 방식을 채택하면서 유사한 부분도 있습니다.

오라클과 알티베이스 아키텍처 구조의 특징과 유사점, 그리고 차이점 등을 설명하고 있습니다.

오라클을 기본적으로 설명한 후 알티베이스 구조를 설명하기 때문에, 오라클 아키텍처에 대해 이해하고 있는 사람에게 알티베이스 아키텍처 구조를 좀 더 쉽게 이해할 수 있도록 구성했습니다. 실제로 이와 같은 구성이 필자가 각 DBMS에 관해 이해하는 데 커다란 도움이 되었습니다.

오라클 아키텍처와 알티베이스 아키텍처에 관해 이야기를 시작하면 책 한 권으로도 부족할 것입니다. 그러므로 이 공간에서 각 DBMS 아키텍처를 주제로 논의하는 것은 적절하지 않을 것 같습니다. 만약 필요하다면 다음에 시간을 만들어보겠습니다.

PartⅡ. DBMS 관리

'오라클의 눈으로 알티베이스를 보다.'의 두 번째 주제는 DBMS 관리입니다. 일반적으로 DBA 관련 업무가 되겠지요.

과거에는 Multi Version Concurrency Control(MVCC)을 오라클에서만 지원했었지만, 최근에는 대부분의 상용 DBMS에서 MVCC 방식을 지원하고 있습니다. 알티베이스도 MVCC 방식을 지원하는데, 특이하게도 메모리와 디스크 레벨에서의 지원 방식이 다른 부분이 있습니다.

제가 이 챕터에서 가장 인상 깊었던 부분은 MVCC입니다. 필자는 MVCC 방식이 Undo 세그먼트를 활용하는 오라클 방식만 알고 있었는데, 이 책을 통해 MVCC가 대표적으로 두 가지 방식으로 제공하는 것을 알게 되었습니다. 기존에 제가 알고 있는 방식을 In-place MVCC라고 하며, 다른 방식은 Out-place MVCC라고 합니다. Out-place MVCC는 데이터가 변경될 때, 변경된 최신의 데이터를 기존 위치에 덮어쓰지 않고, 새로운 위치에 입력한 후 연결하는 방식입니다. In-place와 Out-place MVCC에 관해 여러분은 알고 계셨나요?

이외에도 다양하고 깊이 있는 내용을 다루고 있습니다. 분량이 적어 대략의 이론들을 소개하는 수준이긴 하지만, 개념은 충분히 이해할 수 있으리라 판단됩니다.

PartⅢ. DBMS 튜닝

이 책의 마지막 주제는 개발자와 튜너의 주요 업무인 데이터베이스 튜닝과 성능 관리에 대해 소개하고 있습니다.

오라클과 알티베이스 모두 Rule based Optimizer(RBO)와 Cost based Optimizer(CBO)를 지원하며, 기본 모드로 CBO로 설정되어 있습니다. 그러나 통계정보를 수집하는 방식은 크게 다른데, 오라클은 통계정보를 DBA 또는 운영자가 명령을 내려 수집하는 반면에, 알티베이스는 실시간으로 업데이트합니다. 각각의 방식은 장단점이 존재하며, 어느 방식이 우수하다고 판단하기는 어렵습니다. 트레이드 오프 관계이니까요.

이외에도 간단한 튜닝 기법에 대해 소개하고 있으며, 추가로 백업과 복구에 대한 내용도 다루고 있습니다. 개인적인 의견으로 백업과 복구는 DBMS 관리 영역에 포함되는 것이 더 좋았을 것 같습니다.

마치면서

'오라클의 눈으로 알티베이스를 보다.'는 오라클을 잘 이해하고 있는 사람이 알티베이스를 효과적으로 이해하는데 도움을 줄 수 있는 책입니다. 물론 이 책에서 오라클과 알티베이스에 대한 모든 내용을 다루지는 못하지만, 중요한 영역과 필수 기술들에 대해서 최대한 다루려고 노력한 흔적이 보입니다. 앞으로 이런 서적이 많이 소개되어 국산 DBMS에 대한 관심이 증대되고, 시장 점유율이 높아지길 기대합니다.

개인적으로 국산 DBMS의 성공을 응원합니다.

대표적인 국산 DBMS로 알티베이스, 티베로, 큐브리드, 카이로스가 있습니다. 아직 시장 점유율은 미미하지만, 체계적으로 지원하고 응원을 보내준다면 발전하는 속도가 더 빨라질 것으로 예상합니다. 국산 DBMS에 대한 많은 응원 부탁드립니다.

물론 연습 시간과 기술 요소 등의 차이도 있을 것입니다. [본문으로]

천사마음의 2013년 올해의 키워드

천사마음 — Tue, 01 Jan 2013 06:00:00 +0900

천사마음의 일상다반사

2013년을 맞이한 지 한 달이 지났습니다. 희망찬 새해를 맞이하고 계시는지요? 늦었지만, 아직 음력 설이 지나지 않았기에 새해 인사로 시작하고자 합니다.

새해 복 많이 받으세요

개인적으로 번다한 일이 많아서 그런지 블로그에 글을 작성하지 못한 것이 벌써 3달이 지났더군요. 이렇게 오랜 시간 동안 블로그에 글을 작성하지 않았던 적은 없었던 것 같은데, 지난 시간을 돌아보니 꽤(?) 바쁜 시간을 보낸 것 같습니다. 표면적으로는 바쁜 모습이었지만, 그다지 생산적(?)이지는 못했던 것 같습니다. 앞으로는 더 효율적으로 시간을 보내야겠습니다.

2013년의 키워드

약 3년 전부터 해마다 목표를 정하고, 그것을 달성하기 위해 노력하고 있습니다.

물론 목표를 100% 지키기는 어렵습니다. 하지만 이처럼 키워드를 선택한 후, 노력하면 추상적인 목표가 명확해지고, 목표가 뚜렷해지니 이루고자 하는 노력을 더 기울이게 되더군요.

올해의 키워드는 다음과 같습니다.

Basic · Physical Strength · Mission Complete

BASIC

첫 번째 키워드는 'Basic'으로 지식의 기본을 체득하자는 것입니다.

제가 꿈꾸는 길은 데이터 전문가(Data Professional)입니다. 많은 사람이 데이터 전문가가 되기 어렵다고 이야기를 합니다. 쉽지 않은 길이라는 것을 알고 있습니다. 그뿐만 아니라, 어떤 한 분야의 전문가가 되는 길은 그 어느 것도 쉽지 않으리라 생각합니다.

전문가가 되는 가장 빠른 길은 기본기입니다.

올해는 데이터 전문가가 되기 위해 기본기를 닦고, 관련 분야의 경험을 체득하는 것을 목표로 하고자 합니다.

Physical Strength

두 번째 키워드는 'Physical Strength'로 건강/체력 향상입니다.

예전에는 운동하지 않아도 컨디션을 유지하는 것이 어렵지 않았으나, 최근에는 피로가 쉽게 누적이 되는 것 같습니다. 이에 집중력도 예전과 같지 않고, 단위 시간당 성과도 좋지 못한 것 같습니다.

제가 배드민턴과 야구를 좋아합니다.

틈틈이 배드민턴과 야구를 병행하면서 체력을 향상하는 시간을 보내야 할 것 같습니다.

Mission Complete

마지막 키워드는 'Mission complete' 입니다.

제가 준비하는 미션이 있습니다. 쉽지 않은 일이라 다짐을 할 수는 없지만, 준비하는 미션을 꼭 성공적으로 완료했으면 좋겠습니다. 이 미션을 성공적으로 완료하기 위해서는 많은 노력을 기울여야 할 것입니다. 응원 부탁드립니다.

마치면서

삶(Life)

'삶'이 의미하는 것이 무엇일까요? 너무 철학적인가요?

사전적인 의미는 단순하지만, 삶을 살아가는 과정은 녹녹지 않습니다. 특히, 바람직한 삶은 더욱 쉬운 일이 아니지요.

이 단어에 담긴 의미는 아마도 사람마다 다를 것입니다. '삶'에 어떤 의미를 담느냐에 따라, 먼 훗날 그 사람이 걸어온 삶의 궤적이 보이겠지요. 누구나 이 삶의 궤적이 아름답고, 정의로운 모습이길 희망할 것입니다.

당연하게도 이 삶의 궤적은 매 순간 선택의 결과로 구성될 것입니다. 즉, 매 순간의 선택으로 그 사람의 삶이 결정됩니다. 어떤 것을 선택한다는 것. 그것은 아주 간단하고 쉬운 일이기도 하지만, 그로 말미암아 발생하는 결과는 절대 작지 않습니다. 더 재미있는 측면은 이 궤적은 본인이 만들지만, 결과는 본인이 평가할 수 없습니다. 이 궤적의 모습은 역사가 평가할 일일 것입니다.

시간이 지난 후 나의 삶을 되돌아봤을 때, 아름답고 정의로운 삶의 궤적을 만들었으면 좋겠습니다.