최근 지니언스 NAC 취약점 및 시큐위즈 VPN 취약점 등 관리자 권한 탈취 가능한 취약점 연이어 발견
최근 다크웹·딥웹에서도 권리자 권한 판매 공지 많아...기업들, 내부 네트워크 관리자 권한 관리 주의보

[보안뉴스 원병철 기자] 최근 시큐위즈의 VPN(가상사설망)에 이어 지니언스의 NAC(네트워크 접근제어) 솔루션까지 기업·기관에서 많이 사용하는 보안 SW에서 관리자 권한을 탈취당할 수 있는 취약점이 연이어 발견되고 있어 기업들의 각별한 주의가 요구되고 있다. 더욱이 딥웹이나 다크웹에서는 기업의 관리자 권한을 판매하는 글이 연이어 올라오면서 관리자 권한 탈취를 통한 대규모 피해 가능성이 우려되고 있다.


[이미지=utoimage]

관리자 권한이란, 말 그대로 해당 프로그램이나 홈페이지 및 서버를 컨트롤할 수 있는 ‘관리자’로서의 권한을 말한다. 관리자 등급에 따라 차이는 있지만, 모든 설정을 조작할 수 있는 것은 물론 내부의 정보도 모두 살펴볼 수 있기 때문에 관리자 권한을 탈취당한다는 것은 기업의 모든 것을 빼앗기는 것과 같다. 이 때문에 각 기업에서는 관리자 권한을 보호하는 데 노력을 아끼지 않는다. 그럼에도 불구하고 관리자 권한을 노린 공격은 계속되고 있고, 이를 악용한 해커들도 끊임없이 등장하고 있다.

그런데 최근 관리자 권한을 손쉽게 탈취할 수 있는 방법이 계속 알려지면서 문제가 되고 있다. 바로 취약점으로 인한 관리자 권한 노출이다. 취약점이란 말 그대로 프로그램이나 시스템의 약점으로, 내부 취약점과 외부 취약점으로 구분되는데 여기서 말하는 취약점은 내부 취약점을 말한다. 즉, 애초에 취약한 부분이 내재돼 있었다는 얘기다.


▲한국인터넷진흥원의 취약점 보안 업데이트 권고 공지[자료=한국인터넷진흥원 캡처]

지난 8월 13일에는 NAC 분야의 국내 시장점유율 1위 지니언스의 NAC 제품에서 관리자 권한 탈취 가능 취약점이 발견돼 긴급하게 보안 업데이트가 공지됐다. 이번에 알려진 보안 취약점은 Genian NAC에서 발생하는 관리자 권한 탈취 가능 취약점으로, 사이버 공격자가 이 취약점을 악용할 경우 내부 기밀정보나 개인정보를 탈취당하는 등의 심각한 피해를 입을 수 있다. 특히, Genian NAC은 지니언스가 국내 시장점유율 1위를 강조할 정도로 많이 판매된 제품이기 때문에 그 피해가 커질 우려가 있어 한국인터넷진흥원에서도 바로 보안 업데이트 권고를 올렸다.

최근 사이버 공격자들이 가장 애용(?)하는 VPN 취약점도 있었다. 역시나 VPN 분야에서는 손꼽히는 점유율을 갖고 있는 시큐위즈의 VPN ‘SecuwaySSL’에서 관리자 페이지 접근과 계정 변경이 가능한 취약점이 발견된 것이다. 역시 해당 취약점을 악용할 경우 막대한 피해를 입을 수 있기 때문에 한국인터넷진흥원에서 보안 업데이트를 공지했다.

분명 취약점은 SW를 만든 사람이나 기업의 실수임에는 분명하지만, 미국이 취약점을 CVE 번호를 통해 관리하는 것처럼 어쩔 수 없는 문제이기도 하다. 이 때문에 기업 혹은 기관의 보안담당자들은 보안 취약점이 알려지는 즉시 취약점 패치를 적용하고, 취약점이 패치되기 전이라면 네트워크 연결을 끊거나 프로그램 자체를 셧다운 시키는 등 긴급하게 대응하는 것이 필요하다. 또한, 취약점이 발견된 솔루션 개발사는 취약점 자체를 쉬쉬하며 숨길 것이 아니라 바로 패치를 개발해 공지하는 것과 함께 취약점의 존재 자체를 공개함으로써 사용자들이 즉각적인 대처를 할 수 있도록 하는 자세가 필요하다.

아울러 보안 소프트웨어와 솔루션 개발사는 취약점이 나오면 부랴부랴 패치를 하는 것에서 벗어나 애초 개발단계에서부터 보안을 내재화시키는 ‘SW 개발보안’을 적용함으로써 ‘호미로 막을 것을 가래로 막는’ 일이 없도록 해야 한다는 지적이다. 지난 6월 한국원자력연구원이나 한국항공우주산업 등 공공 분야가 같은 VPN 취약점을 통해 주요 정보가 유출된 사건이 다시는 일어나선 안 되기 때문이다.

게다가 취약점 패치도 쉽지 않다. 대부분의 취약점은 제조사가 패치를 만들어 네트워크를 통해 다운받아 사용자가 직접 설치할 수 있지만, 여러 사정상 일부 패치나 업데이트의 경우 USB나 노트북을 통해 별도로 연결해 패치를 해야 하기 때문이다. 이에 제조사나 유통사가 일일이 사용 기업을 찾아다니며 패치나 업데이트를 실행하는 일도 현장에서는 비일비재하다.

이처럼 최근 관리자 권한을 노리는 공격이 늘어나고 이를 통해 해당 솔루션의 취약점이 알려지기도 하지만. 사실상 사용자는 이러한 사실을 알기가 쉽지 않다. 또한, 취약점을 알았다 하더라도 제조사에서 패치를 만들어 제공하지 않는 이상 사용자가 능동적으로 대처하기가 어려운 게 사실이다. 이러한 이유 때문에 일각에서는 한국형 CVE를 만들자는 주장도 나오고 있지만 아직은 넘어야 할 산이 많다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>