美 상원의원 “구형 VPN 퇴출해야”... 러·중 해커 VPN 악용 대응 강화 요구

구형 VPN 퇴출 및 제로트러스트 전환 촉구
연방기관 원격접속 보안체계 전면 개편 제안

[보안뉴스 김형근 기자] 러시아와 중국 해커들이 구형 가상사설망(VPN)의 취약점을 악용해 미국 연방기관 네트워크를 공격한 사례가 잇따르면서, 미국 정부가 노후 원격접속 시스템을 전면 퇴출해야 한다는 주장이 상원에서 제기됐다.

론 와이든(Ron Wyden) 미국 상원의원은 구형 VPN이 러시아와 중국 등 해외 해커들의 주요 침투 경로로 악용되고 있다며, 이러한 인터넷 노출형 원격접속 시스템을 단계적으로 폐기해야 한다고 촉구했다.

와이든 의원은 이 같은 내용을 담은 공식 서한을 미국 사이버보안 및 인프라 보안국(CISA), 관리예산처(OMB), 국립표준기술연구소(NIST)에 전달했다.

의원은 최근 시스코(Cisco), 포티넷(Fortinet), 이반티(Ivanti), 체크포인트(Check Point) 등의 VPN 및 원격접속 장비가 공격 대상이 됐다고 지적했다. 공격자들은 인터넷에 노출된 VPN 진입점을 스캔해 관리자 권한을 획득한 뒤 정부기관과 기업의 민감한 데이터를 탈취한 것으로 알려졌다.

반면 최신 원격접속 솔루션은 서버를 외부에 노출하지 않은 상태에서 사용자에게 안전한 접속을 제공해 이 같은 공격 위험을 크게 줄일 수 있다고 설명했다.

와이든 의원은 CISA에 2년 이내 민간 연방기관에서 사용 중인 구형 원격접속 시스템을 모두 제거하고 제로트러스트(Zero Trust) 아키텍처로 전환할 것을 요구했다. 또한 국가안보국(NSA)에는 군과 정보기관을 포함한 국가안보 네트워크 전반에서 구형 원격접속 게이트웨이와 네트워크 경계 진입 지점을 전면 폐기하도록 지시할 것을 촉구했다.

아울러 국립표준기술연구소(NIST)에는 연방기관의 제로트러스트 전환을 위한 구현 기준을 마련하고, 관리예산처(OMB)에는 연방기관의 제로트러스트 인프라 투자를 의무화하는 지침을 수립할 것을 요청했다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다