20~40% IP 및 프로토콜 스캐닝 만으로 천만 단위 노출 포트 발견
해킹 사실 모르거나 벙어리 냉가슴 앓는 중소기업 많을 듯

[보안뉴스 문가용] 인터넷에 연결된 천만 개 이상의 시스템과 포트가 사실상 활짝 열려 있는 것으로 최근 래피드7(Rapid7)이 프로젝트 소나(Project Sonar)라는 대단위 스캐닝 프로젝트를 통해 밝혀냈다. GDP가 높은 나라일수록 인터넷에 노출된 포트의 개수가 높으며, 통신 가로채기 또한 쉬운 경향을 띈다는 사실도 드러났다. 그래서 미국, 중국, 프랑스, 러시아가 나란히 1~4위를 기록했다.



중요한 숫자 몇 가지를 정리해보면 다음과 같다.
1) 전 세계적으로 1천 1백 2십만 개의 포트가 열려있어 공격자들이 마음만 먹으면 관계형 데이터베이스에 얼마든지 접근이 가능하다.
2) 1천 5백만 개의 텔넷 서비스 역시 활짝 열려있다.
3) 4백 5십만 대의 프린터 서비스 역시 접근이 용이하다.

이번 프로젝트 소나를 진행한 래피드7의 토드 비어즐리(Tod Beardsley)는 “인터넷에 필요 없는 서비스가 이렇게나 많이 존재하는지 상상도 못했다”며 혀를 내둘렀다. “전 세계 인구의 40%가 인터넷에 상주하고 있다고 합니다. 그런데 전혀 필요 없는 서비스를 통해 문과 포트를 활짝 활짝 열어놓고 있다는 건 대단히 위험한 짓이죠.”

프로젝트 소나 참가자들은 공공 인터넷의 노드의 실태를 파악하기 위해 전 세계 IP를 스캐닝했다고 한다. 그 중 4천 2백만 개의 공공 IP 노드와 5억 9천 2백만 개의 사설 IP는 접근이 허가되지 않았다. “대략 1억 4천 6백만 개의 IPv4 주소들을 스캐닝할 수 있었습니다. 이는 인터넷 전체 공간의 20~40%에 해당하는 수라고 보입니다. 또한 30개의 고유한 프로토콜(HTTP, HTTPS, SSH, FTP, 텔넷, DNS, SMTP, IMAP, MySQL, MS SQL, RDP 등) 역시 스캐닝을 했습니다.”

스캐닝 작업은 3306 포트의 MySQL과 1433 포트의 SQL 서버만을 대상으로 했다. “MySQL의 경우 7백 8십만 개, SQL 서버의 경우 3백 4십만 개의 노출된 데이터베이스 서비스를 발견할 수 있었습니다. 단 두 가지 유형에서 이렇게나 많은 수의 시스템에 접근할 수 있었다면, 실제로는 엄청난 시스템 및 데이터베이스가 인터넷을 통해 접근이 가능하다는 것이겠죠.”

데이터베이스가 이렇게 인터넷에 열려 있으면 어떤 일들이 일어날까? “비밀번호, 신상명세, 시리얼 번호 등 공개되면 안 되는 민감한 정보가 노출되는 것은 물론이고 서버로의 DoS 공격 역시 가능해집니다. 데이터 자체에 암호화를 거는 기술이 존재하고, 이를 활용하는 업체들도 많기 때문에 데이터베이스의 데이터가 노출된다고 해도 걱정할 것이 없다고 생각하기도 하는데, 보통 암호화 기술은 악성 공격 및 사고로 잠깐 데이터가 노출되는 것에 대한 방어기제이지 인터넷에 꾸준히 노출되어 있는 상황에서의 보호장치는 아닙니다.”

또한 MS SMB 네트워크 통신에 사용되는 445/TCP 포트를 노출시킨 채 놔두고 있는 시스템의 수도 4백 7십만에 달하는 것으로 나타났다. “지금 인터넷은 공격 표적들로 가득합니다. 그중에서도 중소기업(SMB)들은 보안의 벽이 두껍지 않기 때문에 더욱 많은 공격에 노출되기 마련이죠. 아마 누구한테 말도 못하고 해킹 범죄로 끙끙대는 중소기업 사장님들이 많을 겁니다. 아니면 해킹 당한 것도 모르거나요.”

평문 전송을 기반으로 한 POP와 IMAP 이메일 프로토콜도 여전히 널리 사용 중에 있었다. 비어즐리는 “특히 IMAP의 사용량은 매우 놀라운 수준”이라고까지 표현했다. “사실 보안이 더 철저한 이메일 프로토콜이 많거든요. 지메일만 해도 안전한 POP와 안전한 IMAP을 사용하고 있죠. 마치 사용자들은 안전장치를 쏙쏙 피해가는 것만 같아요.”

하지만 이번 프로젝트를 통해 드러난 좋은 소식도 있다. “SSH 사용률이 꾸준히 증가하고 있는 추세입니다. 텔넷보다 안전한 SSH 서버를 더 많이 운영하고 있는 지역이 50%를 넘어섰습니다. 텔넷은 내려가고 있고 SSH가 떠오르고 있다는 게 확연히 눈에 띈 것이죠. 물론 아직 텔넷 서버가 세상에 수천만 개 이상 존재하고 있기는 하지만요.” 또한 HTTPS 포트가 어느 덧 2위 포트로 올라서기도 했다.

해당 보고서는 여기서 열람이 가능하다(영문).
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA 등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)