中 웹사이트 10개 중 4개꼴 보안취약점 탐지

지난해 ‘고위험’ 보안취약점 17% 차지

[보안뉴스 온기홍=중국 베이징] 지난 한해 중국의 웹사이트 10개 가운데 약 4개에서 보안취약점이 존재한 것으로 나타났다. 이 가운데 ‘고위험’급 보안취약점은 17%을 차지했다. 지난해 중국에서 보안취약점과 고위험급 취약점이 탐지된 웹사이트 수는 한해 전에 비해 크게 줄어든 것으로 밝혀졌다. 중국 정보보안업체인 치후360의 360인터넷보안센터는 최근 내놓은 ‘2014 중국 웹사이트 보안 보고’에서 이 같이 밝혔다.

中 2014년 웹사이트 취약점 상황

치후360은 지난해(1월~11월 30일) 자체 ‘360 웹사이트 보안 검측 플랫폼’을 통해 2013년 91만 2,000개보다 80% 늘어난 164만 2,000여개의 각종 웹사이트를 조사했다. 그 결과, 보안취약점이 있는 것으로 확인된 웹사이트는 61만 7,000개로 전체의 37.6%에 달했다. 이중 ‘고위험’급 보안취약점이 존재한 웹사이트는 27만 9,000개로 17%를 차지했다.

▲ 2013년, 2014년 중국에서 고위험급 보안취약점이 존재한 웹사이트 비율 대비
(출처:중국 치후360의 360인터넷보안센터)

전체적으로 볼 때 지난해 조사에서 탐지된 취약점 존재 웹사이트 수량과 고위험 취약점관련 웹사이트 수량은 2013년과 견주어 큰 차이가 나지 않았다. 하지만 ‘360웹사이트 보안검측’이 조사한 웹사이트수가 2013년 91만 2,000개에서 2014년(1~11월) 164만 2,000개로 크게 증가한 점을 고려하면, 지난해 보안취약점과 고위험 취약점이 존재한 웹사이트는 2013년에 견주어 크게 줄어든 것으로 나타났다.

지난해 월별 상황을 보면, 고위험 취약점이 존재한 웹사이트의 수량은 비교적 고른 편이었다. 월별로 적게는 5만 2,000개에서 최고 6만 6,000개에 달했다. 지난해 10월은 고위험의 취약점이 탐지된 웹사이트 수가 6만 6,000개로 가장 많았다. 가장 적은 달은 3만 6,000개를 기록한 11월이었다. 보안취약점을 가진 웹사이트가 6만개를 넘은 때는 3월, 6월, 10월이었다.

▲ 2014년 월별 중국에서 고위험의 보안취약점이 발견된 웹사이트 수량
(출처:중국 치후360 360인터넷보안센터)

또한 360웹사이트 보안검측 결과, 지난해 1~11월 중국 웹사이트에서 고위험급 보안 취약점이 탐지된 횟수는 연 462만 1,000회를 기록했다. 하루 평균 1만 3,836회 탐지됐다. 10월에는 47만 5,000회에 걸쳐 가장 많이 탐지됐고, 8월은 34만 6,000회로 가장 적었다. 탐지 횟수가 40만회를 웃돈 때는 3월(43만9,000회), 5월(40만3,000회), 9월(42만회), 10월이었다.

▲ 2014년 월별 중국 웹사이트내 고위험의 보안 취약점 탐지 횟수
(출처:중국 치후360 360인터넷보안센터)

보안취약점: 고위험 33%, 중위험 32%, 저위험 33% 차지

치후360의 360인터넷보안센터는 탐지한 웹사이트 보안취약점을 고급 위험, 중급 위험, 저급 위험 등 3개 등급으로 나눴다. 등급별 보안취약점의 비중을 보면, 세 등급이 점유율을 비슷하게 나눠 가졌다. 지난해 고위험 취약점의 비율은 33.8%, 중위험은 32.6%, 저위험은 33.5%를 각각 기록했다.

360인터넷보안센터는 “고위험 취약점은 해커가 서버의 통제 권한을 손에 넣을 수 있고 웹사이트를 마구 바꿀 수 있는 단계이며, 중급 위험은 해커가 웹사이트에 침입해 변조할 수 있는 상황”이라고 설명했다. 저위험의 경우, 스캐닝 행위가 이어지고 웹사이트에 해를 끼칠 수 있는 수준이다.

▲ 2014년 중국 웹사이트의 등급별 보안 취약점의 비율 분포

中 웹사이트 보안취약점 내용

지난해 중국 웹사이트에서 탐지된 보안취약점을 살펴보면, ‘웹사이트 스크립트 공격 취약점’이 취약점 3개 중 1개꼴로 가장 많았다. 고위험에 속하는 이 취약점은 지난해 1~11월 중 연 414만회에 걸쳐 탐지됐다.

이어 저위험에 속하는 ‘SQL 주입 취약점’이 연 178만여 회 발견돼 두 번째로 많은 비중(14.5%)를 차지했다. 이들 1, 2위의 점유율은 전체의 절반에 가까웠다. 3위는 중급 위험인 ‘웹페이지의 국소적 경로 이상 초래 취약점’으로 연 114만여 회 탐지됐고, 9.31%의 점유율을 보였다.

▲ 2014년 중국에서 발견된 수량이 많은 웹사이트 보안 취약점 톱10

이밖에 △IIS 짧은 파일명 유출 취약점(탐지 횟수 연 73만 4,000회, 점유율 5.97%) △디렉터리의 자동 리스트 기능 개시(73만회, 5.94%) △고위험의 ‘SQL 주입 취약점’(57만 8,000회, 4.70%) △서버의 ‘TRACE Method’ 개시(35만 3,000회, 2.87%) △T Flash 배치가 적절치 않은 취약점(22만 6,000회, 1.84%) △FCKeditor 편집기 발견(21만 5,000회, 1.75%) △디렉터리의 실행파일 운행 권한 개시(15만 8,000회, 1.29%) 등 차례로 탐지 횟수가 많았다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)