‘NAS, VPN 게이트웨이 外’... 포어스카우트가 뽑은 취약 엔터프라이즈 장치 20개

장치에서 발견되는 대부분의 취약점이 컴퓨터와 서버에 영향을 미친다. 그중 IoT와 OT 장치는 심각한 취약점의 비율이 더 높은 것으로 나타났다.
 

보안 업체 포어스카우트는 실제 기업 장치 1,900만 개의 위험 요소를 분석한 새 연구 결과를 발표했다. 분석은 이미 알려진 취약점, 개방형 포트, 레거시 운영체제, 엔드포인트 보호, 인터넷 노출 등 위험 요소를 기반으로 IT, IoT, OT(Operational Technology, 산업용 IoT 포함), IoMT(Internet of Medical Things)의 4가지 카테고리로 나눠서 진행됐다. 

이번 연구는 익명 처리된 기업의 데이터를 받아 진행됐다. 각 카테고리에는 각각 위험성이 높은 장치 5개가 포함됐다. 연구에 따르면 올해 가장 위험한 상위 20개 장치 목록에 작년에는 볼 수 없었던 새로운 유형 7개가 추가됐다. 지난 연구 이후 발견된 취약점과 익스플로잇이 원인이었다. 새로운 유형은 VPN 게이트웨이, 보안 가전, 네트워크 연결 스토리지(NAS) 박스, 대역 외 관리(OOBM) 플랫폼, 엔지니어링 워크스테이션, 원격 단말 장치(RTU), 혈당 모니터 등이었다. 

13개 장치는 이전 목록과 동일하며 몇 가지 항목이 포함됐다. IT 카테고리의 컴퓨터, 서버, 라우터, IoT 카테고리의 프린터, IP 카메라, VoIP 시스템, OT 카테고리의 무정전 전원 공급 장치(UPS), 프로그래머블 로직 컨트롤러(PLC) 및 빌딩 자동화 시스템, IoMT 카테고리의 의료 워크스테이션, 영상 장치, 핵의학 시스템, 환자 모니터 등이다.

포어스카우트는 다음과 같은 3개 요소를 기반으로 위험 점수를 산정했다. 

ㆍ구성 – 장치에 있는 개방형 포트 및 취약점의 수와 심각성
ㆍ기능 – 장치의 사용 용도가 잠재적으로 조직에 미치는 영향
ㆍ행동 – 장치에 연결하거나 장치가 연결되는 IP 주소의 평판과 인터넷 노출 수준
 

4,000개 이상 장치의 취약점 추적
포어스카우트는 데이터를 보유한 1,900만 개의 네트워크 장치에서 4,000개 이상의 취약점을 추적했다. IT, IoT, OT, IoMT의 4가지 카테고리에서 취약점의 대다수(78%)는 예상대로 컴퓨터와 서버 등 기업 네트워크에서 운영하는 IT 영역에서 발견됐다. 나머지 취약점 중 14%는 IoT에서, 6%는 OT에서, 2%는 IoMT에서 나왔다. 

하지만 취약점의 수준과 패치 난이도는 각각 달랐다. 가령 IT 영역 장치의 경우 20%의 취약점만이 심각한 수준이었지만, IoT 및 OT 영역에 속한 장치는 전체 중 절반 이상이 심각한 수준의 취약점을 보유하고 있었다. IoMT 영역에 속한 장치에서는 80%가 치명적인 심각성 점수를 기록했다. 치명적 취약점은 일반적으로 장치가 완전히 탈취당할 수 있는 수준이다. OT 및 IoMT 영역에서 사용하는 특수 임베디드 장치는 윈도우 컴퓨터보다 패치 적용이 더 까다롭다. 이 장치들은 윈도우, 리눅스 등 범용 OS 대신 특수 펌웨어를 사용할 가능성이 높았다.

이번엔 기기 종류가 아니라 업종별로 구분해서 살펴보자. 의료 부문은 고위험 및 중간 위험 장치가 가장 많았으며, 2022년 포어스카우트의 분석과 비교했을 때 유일하게 위험 장치가 늘어났다. 의료 다음으로 리테일, 제조, 금융, 공공 부문이 뒤를 이었다. 공공 부문은 고위험 및 중간 위험 장치 수가 지난해 40%에서 올해 10%로 크게 감소했다.

정부 네트워크의 위험 장치 수가 줄어든 데는 여러 요인이 있을 수 있다. 미국 사이버보안 및 인프라 보안국(CISA)은 실제 환경에서 악용되는 것으로 알려진 취약점 목록(현재 900개 이상)을 지속적으로 업데이트했으며, 정부 기관은 장치의 패치 기한을 정하고 나섰다.

엔터프라이즈 장치 패치의 어려움
특수 목적 운영체제와 펌웨어를 실행하는 임베디드 장치는 일반적으로 패치가 더 어렵다. 의료 및 리테일 부문은 고위험 및 중간 위험 장치가 많을 수밖에 없다. 특수 임베디드 장치가 가장 많은 부문이기 때문이다.

포어스카우트 연구진은 “장치 클라우드에서 2,500개 이상의 고유 버전을 관찰한 결과, 여러 특수 목적 OS는 보안 팀이 추적하기 매우 어려웠다. 네트워크에 연결된 장치의 가시성이 필요한 이유다. 임베디드 펌웨어는 백도어, 하드코딩된 자격 증명 및 키, 메모리 손상 취약성 같은 조직적인 보안 문제를 야기하는 것으로 알려져 있다”라고 언급했다.

윈도우 장치라고 해서 패치가 쉽지는 않다. 산업 분야의 많은 특수 목적 장치가 윈도우 8, 7, XP, CE 등 더는 지원되지 않는 버전의 윈도우를 사용한다. 의료 및 리테일 부문이 네트워크에서 이러한 장치를 가장 많이 보유했다. 레거시 윈도우 버전의 사용 비율이 높은 장치 카테고리는 OT(63%)와 IoMT(35%)였다.

개방형 포트의 악용 위험
개방형 통신 포트는 위험을 증가시킬 수 있는 또 다른 요인이다. 특히 텔넷 같은 레거시 프로토콜이나 SSG, SMB, RDP처럼 일반적으로 악용될 수 있는 프로토콜의 경우 더욱 그렇다.

“의료 분야가 SMB를 제외한 모든 프로토콜에서 위험 수준의 선두를 달리고 있다. 다른 업종의 경우 약 3~4%만이 텔넷 포트가 노출돼 있지만, 의료 분야에서는 장치 중 거의 10%가 열려 있다. SMB의 노출은 금융 서비스가 29%로 가장 높았고, 다른 산업은 제조업(24%)을 제외한 대부분이 비슷한 수준(27%)이다”라고 연구자들은 말했다.

모든 장치가 바이러스 백신 같은 엔드포인트 보안 에이전트를 실행할 수 있는 것은 아니다. 에이전트가 설치됐다 하더라도 비활성화되는 경우도 있다. 보안 에이전트가 설치됐으나 비활성화된 장치는 금융 서비스 및 공공 부문에서 무려 24%에 달했다. 의료(21%), 제조(17%), 리테일(10%)이 뒤를 이었다.

정부 기관 장치에서 악성 IP 주소 및 도메인과의 통신 같이 익히 알려진 침해지표(IoC) 경고가 자주 발생하는 것은 놀라운 일이 아니다. 포어스카우트가 모니터링한 정부 네트워크 장치 중 63%에서 IoC 경고가 발생했다. 의료 서비스는 19%, 금융 서비스는 8% 수준이었다. 리테일 및 제조 부문 장치는 5%에서 발생했다. 

인터넷에 직접 노출된다고 해서 반드시 장치가 손상되는 것은 아니다. 하지만 해당 장치가 취약점을 패치하지 않았거나 패치가 적시에 배포되지 않은 경우 위험은 확실히 증가한다. 인터넷에 노출된 장치로는 예상대로 라우터 및 기타 네트워킹 장치와 보안 어플라이언스가 각각 25%와 33%로 절반 수준을 차지했다. 일반적으로 기업 네트워크를 드나드는 트래픽을 제어하거나 검사하는 경계 장치이기 때문이다. NAS 박스의 인터넷 노출은 전체의 7%, VoIP 시스템은 3%, 프린터는 2%였다. 기타 IoT 장치는 5%, OT 디바이스는 2%였다. 

이 수치들을 산업별로 비교하면 몇 가지 흥미로운 추세가 드러난다. 가령 공공, 제조, 리테일 부문에서는 인터넷에 노출된 NAS 박스가 비정상적으로 많았다. 프린터의 경우 공공 및 금융 서비스 부문에서 많은 수가 인터넷에 노출됐다. OT 장치는 금융 서비스에서 다른 서비스보다 더 노출되어 있지만, 금융 서비스는 보안 어플라이언스도 의료 분야에 필적할 만큼 많다.

엔터프라이즈 장치의 위험 줄이기
포어스카우트에 따르면 조직은 위험을 줄이기 위해 다음과 같은 조치를 취할 수 있다:

ㆍ레거시 윈도우와 심각한 취약점이 OT 및 IoMT 장치에 널리 퍼져 있다. 조직에는 장치를 업그레이드, 교체 또는 격리하는 즉각적인 실행 계획이 필요하다.

ㆍIT 장치에서 비활성화된 엔드포인트 보호 솔루션이 많다는 것은, 조직이 자동화된 장치 규정 준수 확인 시스템을 도입해 규정 미준수 장치가 네트워크에 연결될 수 없도록 해야 한다는 의미다.

ㆍIP 카메라 같이 노출돼 있는 장치와 텔넷처럼 위험할 수 있는 개방형 포트가 흔히 발견된다는 것은 조직이 세분화를 비롯해 네트워크 보안 노력을 개선해야 한다는 의미다.

포어스카우트 연구진은 “최신 위험 및 노출 관리는 조직 전체의 위험을 줄이기 위해 모든 카테고리의 장치를 망라해야 한다”라며 “위험 평가 이상의 위험 완화를 위해선 보안 에이전트에만 의존하지 않는 자동 제어 시스템을 사용해야 한다. 또한 이 시스템은 IT 네트워크, OT 네트워크 혹은 특정 유형의 IoT 장치 같이 개별적으로 분리해서 적용하기 보다 기업 전체에 적용되어야 한다”라고 말했다. ciokr@idg.co.kr