ASM 솔루션을 활용한 공개 홈페이지 보안 취약점 분석 및 효율적인 대응방안 연구

2.1 공격표면관리(ASM)

공격표면(Attack surface)은 허가받지 않은 사용자가 시스템에 불법으로 접근하여 데이터를 탈취할 수 있는 모든 가능한 지점 또는 취약점(혹은 공격 벡터의 수)을 의미한다. 조직은 잠재적 위협을 최대한 빨리 식별하고 차단하기 위해 공격표면을 지속적으로 모니터링하고 최소화해야 한다[4].

공격표면을 구성하는 요소는 네트워크 자산(공개 IP 주소, 네트워크 서비스, 포트 및 프로토콜 등), 애플리케이션(웹 애플리케이션, API, 클라우드 서비스 등), 시스템(서버, 데스크톱, 모바일 장치 등), 데이터(데이터베이스, 파일 저장소, 데이터 전송 경로 등) 및 사용자(직원, 제3자 서비스 제공자, 파트너 등) 등이다[5].

ASM은 조직의 관리대상이 되는 IT 자산에 존재하는 공격표면을 식별하고 관리하는 보안관리의 한 분야이다. ASM을 통해 조직은 효율적으로 IT 자산을 관리하면서 취약점을 테스트할 고위험 영역과 공격자가 수행 가능한 공격 벡터를 식별하여 보안사고를 예방할 수 있다. 그리고 시스템 각 부분에 접근할 수 있는 사용자 유형과 권한을 재설정하여 내부자 위협을 감소시킴은 물론 표적형 사이버공격까지도 완화할 수 있다[6].

이상과 같은 이유로 최근 ASM 솔루션을 적용하여 공격표면을 관리하려는 기업이 증가하고 있다.

특히 방어자 관점에서 위험을 관리했던 대부분의 사이버보안 솔루션들과 달리 ASM 솔루션은 공격자 관점으로 IT 시스템을 관찰할 수 있도록 지원하고 있어 도입이 계속 증가할 것으로 전망하고 있다.

ASM 솔루션이 제공하는 주요 기능은 ① 자산 발견(조직의 모든 IT 자산 자동 탐지 및 목록화), ② 취약점 분석(자산의 취약점 및 우선순위 식별), ③ 위협 인텔리전스(최신 위협정보 제공 및 공격자 패턴 분석), ④ 위험 평가(식별된 취약점 및 위협에 대한 위험 평가), ⑤ 자동화된 모니터링(지속적으로 공격표면을 모니터링하고 새로운 취약점 및 변화된 자산 탐지) 등이다[5]-[7].

2.2 공개 홈페이지 관리 기준

행정안전부에서 발표한 ‘행정‧공공기관 웹사이트 구축운영 가이드’[8]는 행정 및 공공기관이 웹사이트의 구축‧운영부터 폐기까지 준수 또는 참조해야 할 사항을 종합적으로 제공하는 안내서이다. 가이드 적용 대상은 행정기관 등이 웹 서비스를 목적으로 구축‧운영하는 웹사이트이다.

가이드에서는 웹사이트의 구축 단계부터 보안을 고려하면서 사용자 인증, 권한 관리, 데이터 암호화 등 다양한 보안 설계를 적용하여 외부 공격에 대한 방어력을 강화할 것을 요구한다. 또한, 웹사이트의 취약점을 주기적으로 점검하고, 발견된 취약점에 대한 패치를 신속하게 적용하여 소프트웨어 및 시스템을 최신 상태로 유지할 것을 강조하고 있다.

2023년 12월 개정된 한국인터넷진흥원(KISA)의 ‘홈페이지 개인정보 노출방지 안내서’[9]는 웹사이트 운영 시 개인정보 보호를 위한 구체적인 지침을 제공한다. 이 안내서는 개인정보를 수집, 저장, 처리하는 과정에서 법적 요구사항을 준수하고, 암호화, 접근 제어, 로그 모니터링 등의 기술적 및 관리적 조치를 취할 것을 명시하고 있다.

2.3 대외 공개 홈페이지 사이버 공격 유형

공개 홈페이지에서 발생 가능한 대표적인 사이버 공격은 다음과 같이 4가지 형태로 구분할 수 있다.

첫째, 웹서버의 취약점을 악용하여 정보(개인정보 포함)가 유출될 수 있다. 기업이나 조직이 관리하는 기밀 정보 및 사용자 개인정보가 외부에 노출되는 경우 법적 책임이 부과되고, 신뢰도 하락을 초래할 수 있다.

2021년 8월부터 2022년 11월까지 1년 6개월 동안 6개 대학‧단체에서 개인정보보호 조치 소홀로 학교 구성원의 주민등록번호 2만건 등 총 81만여 건의 개인정보가 유출되었다. 이 때 사용된 공격 기법은 파라미터 변조 공격, 웹셀 업로드 공격 및 관리자 계정 취약점을 이용한 공격이었다[10]. 2024년 1월에는 국내 인터넷 동영상 강의 사이트가 크리덴셜 스터핑(Credential stuffing) 공격과 크로스사이트 스크립팅(Cross site scripting) 취약점을 이용한 공격을 당해 회원 9만 5천여 명의 개인정보가 유출되기도 하였다[11].

둘째, 공격자에 의해 노출된 공개 취약점을 통해 서비스 거부 공격(DoS) 또는 시스템 비정상 작동을 유발할 수 있다. 이는 홈페이지의 가용성에 영향을 미치며, 사용자들에게 해당 조직에 대한 부정적인 이미지를 심어줄 수 있다.

러시아-우크라이나 전쟁 기간 중인 2022년 4월, 에스토니아 정부 웹사이트들이 DDoS 공격으로 몇 시간 동안 마비되었다. 이어서 8월에는 핀란드 의회 웹사이트가 의회 개회 중에 DDoS 공격을 받았다. 두 공격 모두 러시아 정부가 지원하는 해커집단의 소행으로 추정하고 있다[12].

셋째, 공격자는 원격 코드 실행 취약점을 악용해 서버를 완전히 장악할 수 있다. 이는 데이터 손실, 시스템 통제권 탈취, 악성코드 배포 등 심각한 보안 사고로 이어질 수 있다. 대표적인 사례로는 2021년 공개된 오픈소스 로깅 라이브러리인 Log4j 관련 취약점을 들 수 있다. 취약점이 공개된 이후 수많은 공격 시도가 발생했으며, 중국, 이란, 북한 및 튀르키예 등 국가 기반 사이버 공격자들도 이 취약점을 활용하였다[13].

넷째, SSL/TLS 관련 취약점을 통해 중간자 공격이 발생할 수 있다. 이는 암호화된 데이터의 노출 및 데이터 전송 과정에서의 정보 탈취로 이어질 수 있다. 하트 블리드(Heartbleed), 프리크(FREAK), 로그잼(LogJam) 및 푸들(POODLE) 등이 대표적인 취약점에 해당한다.

지난 2014년 캐나다 세무청은 하트 블리드 취약점으로 인해 900명의 사회보장번호가 유출되기도 하였다[14].

2.4 선행연구 고찰

공격표면관리와 관련된 연구는 조직의 전반적인 IT 자산에서부터 소프트웨어에 이르기까지 상당히 다양한 요소들을 대상으로 활발하게 진행되고 있다. 그리고 비교적 최근의 연구들은 사물인터넷 [15]-[17] 또는 OT(Operational technology)[18][19]에 대한 공격표면관리를 주로 다루면서 새로운 공격표면이 되고 있는 신기술 적용 영역으로 연구가 확장되고 있다.그러나 본 절에서는 웹과 직접적으로 연관된 대표적인 공격표면관리 연구만을 간략하게 정리한다.

A. Yushko et al.[20]은 웹 애플리케이션을 보호하기 위한 SIEM(Security Information & Event Management) 기반의 접근방법을 제안하였다. 먼저 웹 애플리케이션의 가장 일반적인 취약점과 공격표면을 분석하였으며, 그 결과를 바탕으로 SIEM에서 생성되는 이벤트, 취약점 및 공격표면의 상호관계를 고려하여 분류 및 그룹화를 수행하였다.

D. Laksmiati[21]는 네트워크 기반 스캐너를 활용하여 최근 해커들에게 인기 표적이 되고 있는 WordPress 기반 웹사이트의 취약점을 분석하였다. 그 결과 즉시 수정하고 보완이 필요한 취약점이 확인되었으며, 식별된 취약점의 악용을 방지하고 공격표면을 줄이기 위해 WordPress 기반 웹사이트에 대한 정기적인 취약점 평가가 필요함을 강조하였다.

S. Temara[22]는 ChatGPT를 활용해 조직이 사용하는 인터넷 프로토콜(IP) 주소 범위, 도메인 이름, 네트워크 토폴로지, 공급업체 기술, SSL/TLS 암호, 포트 및 서비스, 운영체제 등 다양한 유형의 정보를 수집한 후 이를 바탕으로 잠재적 위험을 탐색하는 접근방법을 제안하였다. Y. H. Kwon et al.[23]은 프롬프트 AI 기술을 활용하여 웹 취약점을 자동으로 분석하고 탐지하는 도구를 제안하였다.

H. J. Park et al.[24]은 금융기관 공개 홈페이지 취약점을 분석하고 효율적인 대처 방안을 연구하였다. 감독규정에서 제시한 웹 서비스 취약점 항목을 중심으로 OWASP Top 10 2017 항목과 비교하여 설명하면서, 웹 서비스 취약점 점검 프로세스를 효과적으로 진행할 수 있는 방안도 제시하였다.

본 연구와 유사하게 민간기업의 외부 공격표면을 분석한 연구도 있었다. N. Gelernter et al.[25]은 유럽 100대 기업의 외부 공격표면을 분석한 결과 기업들이 서로 다른 IT 아키텍처를 적용하고 있어 노출되는 사이버보안 문제가 다르다는 점을 확인하였다. J. S. Yu et al.[26]은 방위산업 분야의 디지털 전환에 따른 공격표면 증가에 대응하기 위해 보안 위협을 공급망, 내부자 및 네트워크로 구분해 분석하였다. 그리고 신기술 도입 간 보안 내재화, 업체의 자체적인 공격표면 관리 지침 수립, 기술 발전을 반영한 방위산업 규정 개정 등의 대응 방안을 제시하였다.

선행 연구를 고찰한 결과, 앞서 정리한 연구들을 포함하여 웹 취약점 분석 및 공격표면관리를 수행했던 연구는 다수 확인되었다. 그러나 홈페이지를 직접적 대상으로 한 연구들은 WordPress 기반 웹사이트의 취약점 분석[21]과 금융기관 공개 홈페이지 대상의 취약점 분석[24] 2건뿐이었으며, 민간기업의 공개 홈페이지를 대상으로 취약점을 분석한 연구는 확인할 수 없었다.

3.1 분석 대상군 선정

취약점 분석 대상군을 선정하기 위해 우선 공정거래위원회에서 2023년 4월에 공시한 ‘2023년 공시대상기업집단 지정 현황’을 참고하여 민간기업 84개를 선정하였다. 그리고 표 1에서 보는 바와 같이 공개 홈페이지 보안 상태 비교를 위한 대조군으로 정부기관 25개 및 군 관련 공공기관 11개를 추가로 선정해 ASM 솔루션을 통해 취약점을 점검하였다. 그 결과 정부기관 및 군 관련 공공기관은 특별한 취약점이 식별되지 않았다. 그러나 민간기업 84개 중 10개 기업의 공개 홈페이지에서는 다수의 취약점이 식별되었다.

Table 1.

Number of institutions exposed to vulnerabilities on their public websites

이러한 결과를 바탕으로 본 연구에서는 다수의 취약점이 식별된 민간기업 10개를 대상으로 세부적으로 취약점을 분석한다.

3.2 취약점 분석 방법

우선 분석 대상 기업에서 운영하는 공개 홈페이지의 URL을 기반으로 IP 주소를 확인하기 위해 NSLOOKUP 명령어를 사용하여 도메인 이름을 IP 주소로 변환하였다. 이후, 대표적인 ASM 솔루션인 ‘Criminal IP’[6]를 활용하여 각 홈페이지의 취약점을 검사하였다.

Criminal IP는 IP 주소에 기반하여 데이터베이스 서버, 파일 서버, 관리 서버 및 사물인터넷 시스템 등 각 기업이나 조직이 보유하고 있는 IT 자산에 대한 취약점을 실시간으로 탐지하고 위협에 대한 선제적인 대응을 가능하게 해 주는 종합적인 위협 인텔리전스 검색엔진이다.

Criminal IP를 통해 수집되는 취약점은 그림 1에서 보는 바와 같은 형태로 출력된다. IP 주소를 기반으로 검색한 도메인을 5단계의 위험도 등급으로 분류해 제시하며, 가짜 도메인 및 피싱 도메인 여부, SSL 인증서의 유효성, 악성 링크 존재 여부 등의 정보를 종합적으로 파악할 수 있다. 또한, 악용되는 정보(Abuse record)와 오픈된 포트(Open ports), 그리고 홈페이지에 실제로 존재하는 모든 취약점을 확인할 수 있다.

Fig. 1.

Results of vulnerability check using Criminal IP

식별된 취약점에 대해서는 공개 취약점(CVE, Common Vulnerabilities and Exposures) 정보[27]와 연계해 해당 취약점의 심각도(Severity), 취약점으로 발생 가능한 공격 양상이나 최신 발생 동향까지도 일괄적으로 파악할 수 있다. 심각도와 관련해서는 CVSS(Common Vulnerability Scoring System) v4.0이 최신 버전이기는 하나, 본 연구에서 활용한 Criminal IP가 v2.0 및 v3.1까지만 지원하고 있어 v3.1을 기준으로 분석하였다.

3.3 취약점 분석 결과

Crimial IP를 기반으로 10개 민간기업을 대상으로 취약점을 식별한 결과는 표 2에서 보는 바와 같다.

Table 2.

Results of vulnerability check for 10 companies

분석 대상 10개 기업의 공개 홈페이지 모두에서 공개 취약점이 발견되었으며, WEB 서버 및 WAS (Apache, nginx 등), 네트워크 통신(OPENSSH), 보안 통신을 위한 암호화 관련 오픈소스 라이브러리(OPEN SSL) 취약점 등이 주를 이루었다. 공개 취약점 외에도 해당 민간기업들에서는 SSL 인증서 만료 3건, 취약한 TCP 포트 사용 3건, 서버로의 원격 접속(OPENSSH) 허용 2건 등이 확인되었다.

홈페이지의 웹서버 공개 취약점(①)이 노출되면 디렉토리 탐색 공격을 통해 웹서버 내의 특정 파일이나 디렉토리에 접근할 수 있게 되어 중요한 정보들를 유출될 수 있다. 또한, 웹 애플리케이션 취약점을 통해 SQL 인젝션, 크로스 사이트 스크립팅 등의 공격이 가능해져, 데이터베이스나 사용자 정보유출로 이어지거나 웹 서버에 과도한 요청(서비스 거부 공격(DDoS))을 보내 다운시킬 수도 있다[28].

만료된 SSL 인증서(②)는 사용자 정보 유출이나 악성 사이트로의 접속을 유도하는 피싱 공격으로 이어질 수 있다. 그리고 중간자 공격(MITM)에 노출되어 공격자가 데이터 전송을 가로채고 민감정보를 탈취할 위험이 증가한다. 검색 엔진 최적화(SEO, Search Engine Opmization) 측면에서는 SSL 인증서가 만료되면 검색 순위에 부정적인 영향을 미칠 수 있으며, 이로 인해 웹사이트의 가시성이 저하되어 비즈니스에 부정적인 결과를 초래할 수 있다. 특정 산업에서는 데이터 보호와 관련된 법적 요구사항이 있을 수 있으며, 만료된 SSL 인증서로 인해 이러한 요구사항을 충족하지 못하면 법적 문제가 발생할 수도 있다.

취약한 포트 사용(③) 역시 다양한 위협을 초래할 수 있다. 21번 포트(FTP)가 오픈된 상태로 운영되는 경우, 기본적으로 데이터가 암호화되지 않고 전송되므로 중간자 공격(MITM)에 매우 취약하여 공격자가 데이터 전송을 가로채고, 민감한 정보를 탈취할 수 있는 위협이 발생할 수 있다. 53번 포트(DNS)가 오픈된 상태로 운영되면 DNS 스푸핑 공격에 노출되어, 잘못된 IP 주소로 사용자가 리디렉션되면서 정보가 탈취될 수 있다. 또한, DNS 요청과 응답은 쉽게 모니터링될 수 있어 내부 구조나 사용되는 도메인 정보가 유출될 위험도 존재한다.

마지막으로 원격 접속(OpenSSH)이 허용(④)된 경우에는 공격자가 비밀번호 기반 로그인 공격을 시도할 가능성이 높아진다. 사전(Dictionary) 공격이나 무작위 대입(Brute-force) 공격을 통해 사용자 계정의 비밀번호를 유출하려는 시도가 이루어질 수 있고, SSH 서비스가 오픈된 상태에서는 공격자가 과도한 요청을 서버에 보내어 자원을 소모시키면서 정상 사용자가 서비스를 이용하지 못하게 만드는 서비스 거부 공격의 대상이 될 수 있다.

분석 대상 10개 민간기업에서 발견된 공개 취약점(CVE)은 표 3에 나타난 바와 같이 총 394개이며, 이를 제품 기준으로 분류하면 WEB/WAS가 41.8%를 차지하였다. 나머지는 모두 보안 통신 프로토콜(59.2%)로 확인되었다.

Table 3.

Classification results of identified CVEs

식별된 394개 공개 취약점들의 심각도를 CVSS v3.1[27] 기준으로 분석한 결과는 그림 2에서 보는 바와 같다. Medium 이상의 취약점은 총 219건이었으며, 시급한 조치가 필요한 High 이상의 취약점이 전체의 37.3%인 137건으로 확인되었다.

Fig. 2.

Analysis result of severity based on CVSS v3.1

가장 높은 심각도를 가지는 Critical 등급에 해당하는 공개 취약점 40건을 제품군별로 구분한 결과, Apache 제품군과 연관된 취약점이 12건, OpenSSH 제품군과 연관된 취약점이 5건, 그리고 OpenSSL 제품군과 연관된 취약점이 23건으로 확인되었다.

Apache 제품군 중 Apache HTTP Server에서 발견된 CVE-2022-22720 취약점은 HTTP 요청 스머글링 공격(서버와 클라이언트 간의 통신을 가로채거나 변조하여 민감한 정보를 탈취하거나, 서버의 동작을 방해하는 등의 공격)을 가능하게 한다.

또한, CVE-2022-31813 취약점은 IP 기반 인증을 우회할 수 있는 취약점으로서, 공격자가 원본 서버나 응용 프로그램에 무단으로 접근할 수 있다[29].

OpenSSH 제품군의 CVE-2023-38408 취약점은 OpenSSH의 ssh-agent에서 발생하는 원격 코드 실행 취약점으로 PKCS#11 로드 요청 시 발생하며, 공격자가 악성 소프트웨어를 실행하거나 영향을 받은 시스템을 완전히 제어할 수 있는 위험이 있다. CVE-2023-28531 취약점은 제약 조건 없이 에이전트에 키가 추가되어 잠재적으로 무단 액세스 또는 키의 오용이 발생할 수 있다. CVE-2016-1908 취약점은 X11 서버의 구성 문제를 악용해 신뢰할 수 있는 X11 포워딩 권한을 얻을 수 있는 취약점으로, 공격자는 이 취약점을 통해 시스템의 중요 파일에 접근하거나 데이터를 수정할 수 있다[30].

OpenSSL 제품군의 CVE-2023-0464 취약점은 공격자가 악성 인증서 체인을 생성하여 컴퓨팅 리소스를 과도하게 소모하게 함으로써, 운영 중인 시스템에 치명적인 서비스 거부(DoS) 공격을 발생시킬 수 있다. CVE-2022-1292 취약점은 c_rehash 스크립트에서 쉘 메타 문자를 제대로 제거하지 않아 발생하는 명령 주입 취약점으로, 공격자는 악의적인 명령을 실행하여 시스템을 심각하게 손상시키거나 중요한 데이터를 유출할 수 있다. CVE-2022-2068 취약점은 CVE-2022-1292가 패치된 후 코드 리뷰 과정에서 추가로 식별된 원격 코드 실행 취약점으로 운영체제에서 공격자가 스크립트 권한으로 임의의 명령을 실행할 수 있는 위험을 내포하고 있다. 이는 시스템 전체에 심각한 보안 위협을 초래하며, 공격자는 악성코드를 실행하거나 데이터를 손상시키는 등의 공격을 감행할 수 있다. CVE-2016-6304 취약점은 다중 메모리 누수로 인해 원격 공격자가 서비스 거부를 유발할 수 있는 취약점으로 서버의 안정성을 크게 저해하는 요인이 될 수 있다[31].

이상과 같은 공개 취약점이 존재하는 상태로 홈페이지가 운영될 경우, 운영 중인 시스템이나 네트워크에 심각한 위험이 발생할 수 있다. 그리고 적시적인 조치가 이루어지지 않을 경우 기업이 비즈니스를 수행하기 어려운 상황으로 이어질 수도 있어 관련 내용에 대해서는 기술적·정책적 차원의 조치 방안을 강구하여 적용하는 것이 필수적이다.

4.1 기술적 차원의 조치

진화를 거듭하고 사이버 공격에 효과적으로 대응하고 공개 홈페이지의 보안성을 강화하기 위해서는 다양한 도구와 기술을 효과적으로 활용하는 것이 필요하다.

4.2 정책적 차원의 조치

금융회사 및 전자금융업자는 관련 법규에 따라 주기적으로 취약성 점검을 수행하고 그 결과를 금융위원회에 보고해야 한다. 이러한 요구사항은 전자금융거래법 제21조의 3(전자금융기반시설의 취약점 분석평가)과 전자금융감독규정 제37조의 2(전자금융기반시설의 취약점 분석·평가 주기 내용 등)에 명시되어 있다. 그리고 주요정보통신기반시설은 종합적인 위험 진단을 통하여 관리적·물리적·기술적 점검 항목들에 대한 취약점을 점검하고, 모의 해킹이나 침투 테스트 등을 수행해야만 한다.

그러나 주요정보통신기반시설에 해당하지 않는 민간기업의 경우, 법령에 따라 취약점 점검 및 조치를 반드시 수행하여야 할 법적 의무가 없기에, 최소한 상장 민간기업에서 운영하는 공개 홈페이지만이라도 취약점 점검 대상에 포함될 수 있도록 법률 개정이 필요하다. 그리고 기업 내부적으로 다음과 같은 조치들을 취할 필요가 있다.