전 세계에서 손꼽히는 기업들이라고 해서 보안이 뛰어난 건 아니다. 그래도 이메일 보안은 점점 나아지고 있는데, 자산 관리는 아직 엉망이다. 때문에 전체적으로는 향상 속도가 느리기만 하다. 덩치가 너무 커 관성을 어쩌지 못하는 부분도 존재한다.
[보안뉴스 문가용 기자] 포춘 500대 기업들의 보안 상황이 향상됐다는 연구 결과가 나왔다. 그러나 그 향상이라는 것이 고르게 분포된 것도 아니고, 심지어 느리기까지 하다는 설명이 덧붙었다. 이메일 보안과 취약점 공개 프로그램의 측면에서는 어느 정도 발전한 부분이 발견되고 있지만, 자산 관리와 고위험 서비스 부문에서는 아직 취약하다고 한다.
이는 보안 업체 라피드7(Rapid7)이 발표한 ‘인터넷 사이버 노출도 보고서(Internet Cyber-Exposure Report)’에 나온 내용이다. 라피드7은 기업의 보안 상태를 평가하기 위해 다섯 가지 분야를 설정했다. 이메일 보안, 공공 웹 애플리케이션의 암호화, 웹과 이메일 서버의 버전 관리, 인터넷에 연결될 경우 위험할 수 있는 프로토콜, 취약점 공개 프로그램의 증가 여부가 바로 그것이다.
이 중 이메일 보안의 경우 포춘 500대 기업 중 디마키(DMARC)라는 보안 표준을 적용한 기업이 379곳인 것으로 나타났다. 2019년 말에는 314곳으로, 13%가 증가한 것이다. 특히 금융 산업에 속한 기업들 사이에서 디마키 도입률이 높은 것으로 집계됐다. 라피드7의 연구 부문 책임자인 토드 비어즐리(Tod Beardsley)는 “포춘 500대 기업은 BEC 공격에 자주 노출되는데, 디마키를 사용하면 BEC 공격을 하기가 한결 어려워진다”고 설명한다.
취약점 공개 프로그램이라는 측면에서도 긍정적인 조사 결과가 나왔다. 포춘 100대 기업들 중 46개에서 취약점 공개 프로그램을 운영하고 있는 것으로 나타났다. 포춘 500대 기업까지로 확장하면 도입률이 20%밖에 되지 않지만, 2019년의 9%에 비하면 상당한 성장률이다. 그러나 취약점 공개 프로그램의 성격이 기업마다 천차만별이라는 것이 변수처럼 남아있다고 한다.
하지만 패치 및 버전 관리에서는 아직도 가야할 길이 멀어 보였다. 예를 들어 아파치(Apache)나 엔진엑스(Nginx)의 버전이 한 기업의 웹 서버에서만 10가지 넘게 발견되는 경우가 종종 있기도 했다. 인터넷 정보 서비스(IIS)의 버전은 한 기업 당 최소 3개 이상 발견됐다. 이렇게 버전 관리가 잘 되지 않는다는 건 패치가 제대로 이뤄지지 않고 있으며, 따라서 공격자들의 공격 표면이 충분히 넓다는 뜻이다.
버전 관리가 어려운 건 포춘 500대 기업들의 덩치가 매우 크고, 큰 회사들끼리의 인수합병이 자주 발생하기 때문이라고 라피드7은 짚었다. “대형 네트워크의 특정 요소들의 버전이 얼마나 되는지 조사하고, 이를 전부 하나로 통일한다는 건 대단히 복잡한 일입니다. 뭔가 살짝만 잘못돼도 네트워크 일부가 멈추거나 느려질 수도 있죠.”
비어즐리는 “현재 거의 모든 조직들에서 가장 부족한 것이 자산 관리”라고 말한다. “자산 관리는 취약점 관리 및 패치 관리를 위해 반드시 전제되어야 합니다. 하지만 자산 관리부터 엉키고 꼬이기 시작하니까 취약점 관리와 패치 관리가 안 되는 것이고, 그러니 다양한 버전들이 네트워크 안에 존재하는 겁니다. 패치를 한다고 해도 공격에 당하는 이유죠. 자산 관리가 기본 중 기본입니다.”
위험도가 높은 서비스가 인터넷에 얼마나 노출되어 있는지도 이번 조사 대상 중 하나였다. “주로 서버 메시지 블록(SMB), 원격 데스크톱 프로토콜(RDP), 텔넷(Telnet) 등이 어떻게 관리되고 있는지를 살핀 것입니다. 그 결과 95%의 조직들이 호스트 이름을, 91%가 호스트의 DNS 이름을 노출시키고 있었습니다. 61개 기업들에서는 RDP 403 서비스가 탐지됐는데, 기술, 의료, 금융 산업 쪽에서 주로 나왔습니다. 텔넷을 노출시킨 기업은 61%였는데, 금융업에 최고를 기록했습니다.”
비어즐리는 “개인적으로 SMB를 인터넷에 노출시켜야 할 이유가 무엇인지 도무지 이해할 수가 없다”고 말한다. “SMB는 인증, 파일 공유, 프린트 작업 공유 등 윈도에서 거의 모든 것과 연결된 프로토콜입니다. 이걸 인터넷에 노출시킨다? 누군가 문제를 일으켜주기를 바라는 것과 다름이 없습니다. 그런데도 SMB 노출이 도무지 끝나지 않습니다.”
또한 포춘 500대 기업 중 40%가 최소 한 개 이상의 마이크로소프트 익스체인지 서버를 인터넷에 곧바로 연결시킨 채 중요한 사업 행위를 이어가고 있는 것으로 나타났다. “2021년 1사분기에만 해도 익스체인지 서버가 인터넷 곳곳에 널려 있었습니다. 하지만 최근 익스체인지 사태가 터지면서 다들 서버 업데이트를 하라고 경고하니까 확연히 줄어들었습니다. 역시, 사건이 한 번 터지니 경각심을 갖더군요. 좋은 현상입니다.”
3줄 요약
1. 포춘 500대 기업 조사하니 보안의 일부는 잘 하고, 일부는 여전히 못하고 있음.
2. 이메일 보안은 향상되고 있는 편이지만 자산 관리와 패치(버전) 관리는 큰 문제.
3. 익스체인지 서버 관리도 문제였으나 최근 사태 터지면서 급속도로 나아지고 있음.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 포춘 500대 기업들의 보안 상황이 향상됐다는 연구 결과가 나왔다. 그러나 그 향상이라는 것이 고르게 분포된 것도 아니고, 심지어 느리기까지 하다는 설명이 덧붙었다. 이메일 보안과 취약점 공개 프로그램의 측면에서는 어느 정도 발전한 부분이 발견되고 있지만, 자산 관리와 고위험 서비스 부문에서는 아직 취약하다고 한다.
[이미지 = utoimage]
이는 보안 업체 라피드7(Rapid7)이 발표한 ‘인터넷 사이버 노출도 보고서(Internet Cyber-Exposure Report)’에 나온 내용이다. 라피드7은 기업의 보안 상태를 평가하기 위해 다섯 가지 분야를 설정했다. 이메일 보안, 공공 웹 애플리케이션의 암호화, 웹과 이메일 서버의 버전 관리, 인터넷에 연결될 경우 위험할 수 있는 프로토콜, 취약점 공개 프로그램의 증가 여부가 바로 그것이다.
이 중 이메일 보안의 경우 포춘 500대 기업 중 디마키(DMARC)라는 보안 표준을 적용한 기업이 379곳인 것으로 나타났다. 2019년 말에는 314곳으로, 13%가 증가한 것이다. 특히 금융 산업에 속한 기업들 사이에서 디마키 도입률이 높은 것으로 집계됐다. 라피드7의 연구 부문 책임자인 토드 비어즐리(Tod Beardsley)는 “포춘 500대 기업은 BEC 공격에 자주 노출되는데, 디마키를 사용하면 BEC 공격을 하기가 한결 어려워진다”고 설명한다.
취약점 공개 프로그램이라는 측면에서도 긍정적인 조사 결과가 나왔다. 포춘 100대 기업들 중 46개에서 취약점 공개 프로그램을 운영하고 있는 것으로 나타났다. 포춘 500대 기업까지로 확장하면 도입률이 20%밖에 되지 않지만, 2019년의 9%에 비하면 상당한 성장률이다. 그러나 취약점 공개 프로그램의 성격이 기업마다 천차만별이라는 것이 변수처럼 남아있다고 한다.
하지만 패치 및 버전 관리에서는 아직도 가야할 길이 멀어 보였다. 예를 들어 아파치(Apache)나 엔진엑스(Nginx)의 버전이 한 기업의 웹 서버에서만 10가지 넘게 발견되는 경우가 종종 있기도 했다. 인터넷 정보 서비스(IIS)의 버전은 한 기업 당 최소 3개 이상 발견됐다. 이렇게 버전 관리가 잘 되지 않는다는 건 패치가 제대로 이뤄지지 않고 있으며, 따라서 공격자들의 공격 표면이 충분히 넓다는 뜻이다.
버전 관리가 어려운 건 포춘 500대 기업들의 덩치가 매우 크고, 큰 회사들끼리의 인수합병이 자주 발생하기 때문이라고 라피드7은 짚었다. “대형 네트워크의 특정 요소들의 버전이 얼마나 되는지 조사하고, 이를 전부 하나로 통일한다는 건 대단히 복잡한 일입니다. 뭔가 살짝만 잘못돼도 네트워크 일부가 멈추거나 느려질 수도 있죠.”
비어즐리는 “현재 거의 모든 조직들에서 가장 부족한 것이 자산 관리”라고 말한다. “자산 관리는 취약점 관리 및 패치 관리를 위해 반드시 전제되어야 합니다. 하지만 자산 관리부터 엉키고 꼬이기 시작하니까 취약점 관리와 패치 관리가 안 되는 것이고, 그러니 다양한 버전들이 네트워크 안에 존재하는 겁니다. 패치를 한다고 해도 공격에 당하는 이유죠. 자산 관리가 기본 중 기본입니다.”
위험도가 높은 서비스가 인터넷에 얼마나 노출되어 있는지도 이번 조사 대상 중 하나였다. “주로 서버 메시지 블록(SMB), 원격 데스크톱 프로토콜(RDP), 텔넷(Telnet) 등이 어떻게 관리되고 있는지를 살핀 것입니다. 그 결과 95%의 조직들이 호스트 이름을, 91%가 호스트의 DNS 이름을 노출시키고 있었습니다. 61개 기업들에서는 RDP 403 서비스가 탐지됐는데, 기술, 의료, 금융 산업 쪽에서 주로 나왔습니다. 텔넷을 노출시킨 기업은 61%였는데, 금융업에 최고를 기록했습니다.”
비어즐리는 “개인적으로 SMB를 인터넷에 노출시켜야 할 이유가 무엇인지 도무지 이해할 수가 없다”고 말한다. “SMB는 인증, 파일 공유, 프린트 작업 공유 등 윈도에서 거의 모든 것과 연결된 프로토콜입니다. 이걸 인터넷에 노출시킨다? 누군가 문제를 일으켜주기를 바라는 것과 다름이 없습니다. 그런데도 SMB 노출이 도무지 끝나지 않습니다.”
또한 포춘 500대 기업 중 40%가 최소 한 개 이상의 마이크로소프트 익스체인지 서버를 인터넷에 곧바로 연결시킨 채 중요한 사업 행위를 이어가고 있는 것으로 나타났다. “2021년 1사분기에만 해도 익스체인지 서버가 인터넷 곳곳에 널려 있었습니다. 하지만 최근 익스체인지 사태가 터지면서 다들 서버 업데이트를 하라고 경고하니까 확연히 줄어들었습니다. 역시, 사건이 한 번 터지니 경각심을 갖더군요. 좋은 현상입니다.”
3줄 요약
1. 포춘 500대 기업 조사하니 보안의 일부는 잘 하고, 일부는 여전히 못하고 있음.
2. 이메일 보안은 향상되고 있는 편이지만 자산 관리와 패치(버전) 관리는 큰 문제.
3. 익스체인지 서버 관리도 문제였으나 최근 사태 터지면서 급속도로 나아지고 있음.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
