열린 포트 취약점: 전체 목록 및 보안 가이드

침입자가 어떤 조직에 침입하려고 할 때, 그들은 출입구가 될 ‘틈’을 찾습니다. 열린 포트는 해커나 위협 행위자가 디지털 네트워크에 접근하기 위해 찾는 ‘틈’ 중 하나입니다. 이 열린 포트는 방화벽, 서버 또는 어떤 네트워크에 연결된 컴퓨팅 장치에 있을 수 있습니다. 잠금이 해제된 문 하나가 사용자의 프라이버시를 위협하고 물리적인 건물에 대한 접근을 허용할 수 있듯이, 열린 포트 하나는 해커가 시스템을 침해하는 진입 지점이 되어 그들의 악의적인 의도에 노출되게 만들 수 있습니다.

아래에서는 가장 취약한 포트와 이를 방어하기 위한 핵심 보안 전략을 공유합니다.

열려 있는 포트의 취약점 개요

네트워크 내에서 열려 있는 포트는 취약점입니다. 이는 허가되지 않은 사용자가 방화벽이나 기타 보안 조치를 우회해 네트워크에 침입할 수 있는 잠재적 진입 지점을 제공합니다. 일단 내부에 들어오면, 원하는 공격을 감행하거나 정찰을 수행하여 조직에 대해 더 알아보고 이를 악용하는 방법을 파악할 수 있습니다. 열려 있는 포트는 막대한 보안 위험 을 초래하므로 보안 관리에서 최우선적으로 다뤄야 합니다.

열려 있는 포트를 보호해야 하는 중요성

공격에 대한 취약성을 줄이려면 공격 표면(attack surface)을 줄여야 합니다. 이는 시스템에서 열려 있는 포트의 수를 줄임으로써 가능합니다. 예를 들어, 외부 Remote Desktop Protocol (RDP, port 3389) 연결을 허용하면 정당한 사용자가 사내가 아닌 위치에서도 기업 네트워크에 접속할 수 있습니다. 그럼에도 불구하고 위협 행위자에게는, RDP 포트가 열려 있는 대상을 찾아 적극적으로 악용할 수 있는 기회를 제공합니다.

포트(Ports)는 무엇인가요?

정의와 목적

포트는 특정 서비스와 애플리케이션에 대한 네트워크 트래픽을 수용하는 가상 출입구로 볼 수 있습니다. 각 포트는 서로 구분하기 위해 고유한 번호로 식별됩니다. 이러한 포트는 지정된 관리자가 관리할 수 있으며, 관리자는 특정 유형의 트래픽을 허용하거나 차단하기 위해 포트를 열거나 닫을 수 있습니다. 예를 들어 웹 트래픽은 80번과 443번 포트에 의존합니다. 외부 사용자용 웹 애플리케이션을 호스팅하는 서버가 있다면, 해당 사용자들이 접근할 수 있도록 이 포트들을 열어야 합니다. 사용하지 않는 모든 포트는 닫아야 합니다.

포트의 종류: TCP와 UDP

포트 번호와 함께 가장 흔히 사용되는 전송 프로토콜은 전송 제어 프로토콜(Transmission Control Protocol, TCP)과 사용자 데이터그램 프로토콜(User Datagram Protocol, UDP)입니다. 소프트웨어와 서비스는 TCP 또는 UDP를 사용하도록 설계되며, 지정된 포트 번호가 할당됩니다.

• TCP 는 재전송과 오류 복구 기능이 내장된 연결 지향형 프로토콜입니다. TCP는 보통 더 신뢰할 수 있는 프로토콜입니다.
• UDP  는 연결 없는 프로토콜로, 메시지 오류를 복구하거나 수정하지 않습니다. 흔히 best effort(최선의 노력) 프로토콜로 알려져 있습니다.

포트의 상태

TCP 및 UDP 포트는 필요에 따라 다음 세 가지 상태 중 하나에 있습니다:

• 열림 — 포트가 연결 요청에 응답합니다.
• 닫힘 — 포트에 연결할 수 없으며, 실행 중인 해당 서비스가 없음을 의미합니다.
• 필터링됨 — 방화벽이 트래픽을 모니터링하고 특정 포트 연결 요청을 차단합니다.

열려 있는 포트와 관련된 보안 위험

위협 행위자는 열린 포트를 사용해 공격을 수행하고 취약점을 악용합니다. 아래에서는 악의적인 공격자가 활용하는 몇 가지 일반적인 익스플로잇과 공격을 공유한 다음, 열린 포트의 취약점을 통해 발생한 두 가지 유명한 공격을 자세히 설명하겠습니다.

일반적인 익스플로잇 및 공격

• 열려 있는 RDP 연결 은 서버에 액세스하거나 랜섬웨어 페이로드를 전달하기 위해 자격 증명 스터핑(credential-stuffing) 공격을 시작하는 데 악용될 수 있습니다.
• 서비스 거부(DoS) 공격 은 여러 대의 기기에서 특정 서비스의 작동을 방해하기 위해 많은 연결 요청을 보냅니다. 대표적인 예로 웹 서버의 웹 포트를 대상으로 공격해 대역폭과 리소스를 소모하게 함으로써, 정당한 사용자가 해당 서비스에 접속하지 못하게 만드는 경우를 들 수 있습니다.
• 웹 서비스 포트 는 애플리케이션 자체의 취약점을 악용하기 위해 SQL 인젝션 및 크로스 사이트 요청 위조와 같은 공격을 시작하는 진입 지점으로 흔히 사용됩니다.
• 중간자(man-in-the-middle) 공격 은 널리 알려진 포트에서 암호화되지 않은 데이터 트래픽을 가로채 민감 정보를 수집하는 데 사용할 수 있습니다. 예를 들어, 데이터 트래픽을 우회(re-routing)해 이메일 트래픽을 가로채는 경우가 있습니다.

사례 연구: WannaCry, RDP Pipe Plumbing

가장 유명한 공격 중 하나는 WannaCry Ransomware attack 2017년에 시작된 공격입니다. 이 공격은 전 세계적으로 수행되었으며, 150개 국가에 걸쳐 30만 대가 넘는 컴퓨터에 영향을 미쳤습니다. 공격은 445 포트의 SMB 프로토콜에 존재하는 취약점을 악용했습니다. 공격자가 조직에 침투한 후 파일을 암호화하고 몸값(랜섬) 지급을 요구했습니다.

RDP Pipe Plumbing은 Remote Desktop Protocol 에서 Windows 명명 파이프(Windows-named pipes)를 악용하는 취약점입니다. 공격자는 정당한 파이프와 동일한 이름의 가짜 파이프 서버 인스턴스를 생성하기 위해 RDP 3389 포트를 노립니다. 그런 다음 이러한 위조 파이프를 사용해 RDP 클라이언트와 서버 간의 통신을 가로챕니다. 이 중간자(Man-in-the-middle) 공격을 통해 클립보드 내용과 파일 전송을 포함한 민감한 데이터에 대한 무단 액세스가 가능해집니다.

취약한 포트와 그 위험

아래는 열린 포트의 취약점 목록입니다. 어떤 항목이 악용에 가장 취약한지 알아보려면 계속 읽어보세요.

포트 21 취약점 (FTP)

파일 전송 프로토콜(File Transfer Protocol, FTP)은 포트 21이 할당되어 있습니다. FTP는 사용자가 서버와의 통신에서 암호화되지 않은 전송 방식으로 파일을 주고받을 수 있게 해줍니다. FTP는 오래되었고 보안상 취약하다고 간주되므로, 특히 민감한 데이터를 포함한 파일 전송에 대해서는 어떤 경우에도 사용하지 말아야 합니다. FTP는 다음 방법 중 하나로 쉽게 악용될 수 있습니다:

• 비밀번호 무차별 대입 공격
• 익명 인증(사용자 이름과 비밀번호에 “anonymous”를 입력하여 FTP 포트에 로그인하는 것이 가능합니다)
• 교차 사이트 스크립팅
• 디렉터리 트래버설 공격
• 중간자 공격(Man-in-the-middle)

22번 포트 취약점(SSH)

22번 포트는 Secure Shell 연결에 일반적으로 사용됩니다. 연결이 암호화되기 때문에 Telnet보다 선호됩니다. 원격 관리를 위해 자주 사용되는 22번 포트는 안전한 원격 액세스를 보장하는 TCP 포트입니다. 보안이 강화되어 있음에도 불구하고 여전히 몇 가지 기본적인 취약점이 존재합니다:

• 유출된 SSH 키. SSH 키가 제대로 보호되지 않으면 공격자가 해당 키에 접근해 필요한 비밀번호 없이도 무단으로 진입할 수 있습니다.
• 자격 증명 무차별 대입(Brute-forcing)。열려 있는 SSH 포트는 쉽게 식별되므로 공격자가 사용자 이름과 비밀번호 조합을 추측할 수 있습니다.

포트 23 취약점(Telnet)

Telnet은 포트 23을 사용하는 TCP 프로토콜입니다. 스위치, 라우터, 서버 같은 명령줄 인터페이스를 사용하는 원격 장치에 연결합니다. FTP와 마찬가지로 Telnet은 암호화되지 않아 오래되었으며 보안상 취약하다고 간주됩니다. Telnet은 SSH로 대체되었습니다. 그중 일반적인 취약점으로는 다음이 있습니다:

• 자격 증명 무차별 대입 공격. 공격자는 열린 포트의 취약점을 악용해 노출된 서비스에 대해 반복적인 로그인 시도를 수행하며, 자격 증명을 추측해 무단 액세스를 얻고자 합니다.
• 스푸핑 및 자격 증명 가로채기(스니핑). 열린 포트는 공격자에게 서비스를 노출할 수 있으며, 공격자는 이를 악용해 데이터 전송 중에 합법적인 주체인 것처럼 위장함으로써 자격 증명을 가로채고 훔칠 수 있습니다.

포트 25 취약점(SMTP)

포트 25는 이메일을 송수신하기 위해 Simple Mail Transfer Protocol (SMTP)에서 사용합니다. SMTP는 사이버 보안이 중요한 우려 사항이 아니던 시기에 개발되었기 때문에, 제3자 보안 솔루션이 없어도 쉽게 악용될 수 있습니다. 적절한 구성과 보호가 없으면 이 TCP 포트는 다음과 같은 위협에 취약합니다:

• 스푸핑. 공격자는 이메일 헤더를 위조해 메시지가 신뢰할 수 있는 출처에서 온 것처럼 보이게 만들 수 있습니다.
• 스팸 발송. 보호되지 않은 SMTP 서버는 악의적으로 악용되어 대량의 원치 않는 이메일을 전송하는 데 사용될 수 있으며, 이로 인해 시스템이 마비되거나 멀웨어가 확산되는 경우가 많습니다.
• 중간자 공격(Man-in-the-middle), 특히 이메일 자체가 평문(암호화되지 않은 형태)으로 전송되는 경우에 더욱 그렇습니다.

포트 53 취약점

포트 53은 Domain Name System (DNS)에 사용되며, facebook.com 또는 linkedin.com 같은 사람이 읽을 수 있는 도메인 이름을 IP 주소로 변환합니다. DNS는 인터넷 트래픽에 필수이며, 질의와 전송에 각각 UDP와 TCP를 사용하여 동작합니다. 이 포트는 특히 Distributed Denial of Service (DDoS) 공격에 취약한데, 공격자가 대량의 요청으로 DNS 서버를 압도해 서비스가 중단될 수 있습니다.

• DDoS 공격. 이는 공격자가 대량의 패킷を 서버로 보내 서비스 중단을 유발하려고 시도하는 흔한 공격입니다. 이러한 공격 기법에는 몇 가지 유형이 있는데, dDoS（distributed denial of service）와 DNS 증폭 공격이 있습니다.

포트 137 및 139（NetBIOS over TCP）와 445（SMB） 취약점

포트 137 및 139（NetBIOS over TCP）와 445（SMB）는 Windows 환경에서 파일 공유 및 네트워크 통신과 흔히 연결됩니다. 하지만 이 포트들은 여러 보안 위협에 취약한 것으로도 알려져 있습니다:

• EternalBlue 익스플로잇。이 공격은 오래된 버전의 Microsoft 컴퓨터에 존재하는 SMBv1 취약점을 악용합니다。2017년에 전 세계 규모で 발생한 WannaCry 랜섬웨어 공격 이후 널리 알려지게 되었습니다.
• NTLM 해시 캡처. 공격자는 NTLM 해시를 가로채 캡처한 다음 이를 사용해 합법적인 사용자로 인증받을 수 있습니다.
• SMB 로그인 자격 증명 무차별 대입(Brute-Forcing). 공격자는 올바른 자격 증명을 찾을 때까지 다양한 사용자 이름과 비밀번호 조합을 체계적으로 대입해 액세스 권한을 얻으려 시도할 수 있습니다.

포트 80, 443, 8080, 8443의 취약점(HTTP 및 HTTPS)

웹 페이지를 방문한 사람은 누구나 웹 브라우저에서 HTTP 또는 HTTPS 프로토콜을 사용했습니다. 앞서 언급했듯이 웹 포트는 쿠키, 토큰, 데이터 등을 탈취하기 위한 다양한 유형의 공격을 포함해 많은 공격에서 공격자들이 흔히 노리는 대상입니다.

• 교차 사이트 스크립팅. 공격자는 웹 페이지와 애플리케이션에 악성 스크립트를 삽입해 쿠키, 토큰 또는 데이터를 탈취합니다.
• SQL 인젝션. 공격자는 입력 필드에 악성 SQL 코드를 삽입해 데이터베이스를 조작합니다.
• 사이트 간 요청 위조. 공격자는 사용자의 웹 브라우저와 웹 애플리케이션 간의 신뢰를 악용해, 사용자가 자신의 지식이나 동의 없이 웹사이트에서 작업을 수행하도록 속입니다.
• DDoS 공격

포트 1433, 1434, 3306 취약점(데이터베이스에서 사용)

이는 SQL Server와 MySQL의 기본 포트입니다. 이 포트들은 다음을 포함해 다양한 악의적 행위를 수행하는 데 사용됩니다:

• 악성코드 배포. 공격자는 열린 포트를 사용해 네트워크에 침투하고, 시스템을 손상시키거나 데이터를 탈취하거나 인프라를 파괴할 수 있는 악성 소프트웨어를 배포합니다.
• DDoS 시나리오. 오픈 포트의 취약점이 악용되어 분산 서비스 거부(Distributed Denial of Service, DDoS) 공격에서 대량 트래픽으로 서비스를 압도함으로써 시스템을 사용 불가능하게 만듭니다.
• 악용 가능한 기본 구성을 가진 보호되지 않은 데이터베이스 찾기. 열린 포트는 약한 설정 또는 기본 설정이 적용된 데이터베이스를 노출할 수 있으며, 공격자가 이를 효율적으로 악용해 무단 액세스를 얻고 민감한 정보를 조작하거나 탈취하도록 합니다.

포트 3389 취약점(원격 데스크톱)

• 원격 데스크톱 프로토콜(Remote Desktop Protocol) 취약점은 RDP를 무차별 대입(Brute force) 공격과 중간자(Man-in-the-middle) 공격에 노출시킵니다.

• BlueKeep 취약점(CVE-2019-0708)은 Windows 7 및 Windows Server 2008 같은 이전 Microsoft 운영 체제에서 발견되는 RDP 취약점입니다. BlueKeep은 사용자 개입 없이도 조직 전반에 악성코드를 확산하는 데 악용될 수 있습니다.

열려 있는 포트를 안전하게 보호하는 단계

암호화된 포트를 사용하고, 암호화되지 않은 포트는 피하세요

IP 기반 환경에서 사용되는 대부분의 일반 서비스는 이제 기존의 평문(원래) 프로토콜에 대한 암호화 버전을 갖추고 있습니다. 정보가 전선을 통해 전송되는 동안 데이터가 유출되지 않도록 암호화 버전으로 전환하는 것이 좋은 방법입니다.

정기적인 패치 및 업데이트

패치는 시스템과 방화벽을 최신 상태로 유지하는 데 도움이 됩니다. 공급업체는 정기적으로 패치를 배포해 사이버 범죄자가 시스템과 데이터에 대한 전체 액세스를 획득하는 데 악용할 수 있는 자사 제품의 취약점과 결함을 수정합니다.

포트 스캐닝 도구

또한 포트를 정기적으로 스캔하고 확인해야 합니다. 이를 수행하는 주요 방법은 세 가지입니다:

• 명령줄 도구. 직접 포트를 스캔하고 확인할 시간이 있다면, 명령줄 도구를 사용해 열려 있는 포트를 찾아 스캔하십시오. 예로는 Netstat과 Network Mapper가 있으며, Windows와 Linux를 포함한 다양한 운영 체제에 설치할 수 있습니다.
• 포트 스캐너. 더 빠른 결과를 원한다면 포트 스캐너를 사용하는 방법을 고려해 보십시오. 컴퓨터 프로그램이 포트가 열려 있는지, 닫혀 있는지, 또는 필터링되어 있는지 확인합니다. 과정은 간단합니다. 스캐너가 특정 포트에 연결하기 위한 네트워크 요청을 전송하고 응답을 캡처합니다.
• 취약점 스캐닝 도구. 취약점 스캐닝 도구는 서버, 데스크톱, 네트워크 장치와 같은 IT 자산을 식별하고 목록화하여 보안 약점을 탐지하는 자동화 애플리케이션입니다. 이 도구는 잘못된 설정이나 결함 있는 프로그래밍으로 인해 발생하는 알려진 취약점을 스캔합니다. 이러한 스캔 결과는 조직의 위험 수준에 대한 유용한 통찰을 제공하며, 효과적인 완화(대응) 전략을 권장하는 데 활용할 수 있습니다.

서비스 구성 변경 사항 모니터링

서버, 방화벽, 스위치, 라우터 및 기타 네트워크 장치에 대해 이루어지는 모든 구성 변경 사항을 최신 상태로 파악하는 것은 중요합니다. 이러한 변경은 취약점을 유발할 수 있기 때문입니다. 이러한 수정은 실수로 또는 의도적으로 발생할 수 있습니다. Netwrix Change Tracker를 사용하면 무단 변경 및 기타 의심스러운 활동을 추적하여 시스템을 강화할 수 있습니다. 특히 다음과 같은 기능을 제공합니다:

• 구성 변경에 대한 실행 가능한 알림
• 모든 변경 사항을 자동으로 기록, 분석, 검증 및 확인
• 실시간 변경 모니터링
• 지속적인 애플리케이션 취약점 모니터링

침입 탐지 및 방지 시스템(IDP 및 IPS) 사용

IDS는 네트워크 트래픽을 모니터링하여 의심스러운 활동 또는 알려진 위협의 징후를 탐지하는 반면, IPS는 한 단계 더 나아가 탐지된 위협을 차단합니다. 둘 다 SQL 인젝션, DDoS 공격 및 기타 사이버 위협을 포함해 열려 있는 포트를 대상으로 하는 일반적인 익스플로잇을 예방할 수 있습니다.

SSH 키 구현

SSH 키는 무차별 대입 공격, 피싱, 그리고 인간의 실수에 더 취약하지 않습니다. 이러한 암호화된 키는 사용자가 비밀번호를 기억하고 입력할 필요가 없게 해 주므로, 열린 포트를 통해 무단 액세스가 발생할 가능성을 줄여줍니다. SSH 키에는 두 가지 유형이 있습니다:

• 사용자를 식별하고 액세스 권한을 부여하는 개인 키(또는 신원 키)
• 누가 시스템에 액세스할 수 있는지 결정하는 공개 키(또는 인증 키)

침투 테스트 및 취약점 평가 수행

침투 테스트와 취약점 평가는 각기 다른 방식이지만, IT 인프라에서 취약점을 식별하는 데 사용해야 합니다. 침투 테스트(펜 테스트)는 보안 전문가가 컴퓨터 시스템이나 네트워크에 대한 사이버 공격을 시뮬레이션하여 취약점을 찾아내고 악용하기 위해 수행합니다. 이는 공격이 실제로 어떻게 네트워크에 침투할 수 있는지를 보여줍니다. 반면 취약점 평가는 알려진 취약점을 식별하고 우선순위를 매기는 자동화된 스캔입니다. 함께 수행하면 포트 취약점에 대한 종합적인 요약을 제공할 수 있습니다.

포트 보안 모범 사례

• 외부 공격 표면을 평가합니다. 공격자가 악용할 수 있는 공개(오픈) 포트를 식별하고 보안 조치함으로써 네트워크가 외부 위협에 노출된 정도를 정기적으로 평가해야 합니다. 모든 오픈 포트가 반드시 필요한지 확인하세요. 더 이상 사용되지 않는(Deprecated) 애플리케이션 또는 서비스와 관련된 포트는 즉시 닫으십시오.
• 새롭게 부상하는 위험에 대한 지속적 모니터링. 지속적이고 광범위한 모니터링 을 구현하여 오픈 포트와 관련된 신규 취약점 및 위협을 탐지하십시오. 필요 시 적시에 대응하고 완화 조치를 수행하세요.
• 오픈 포트의 성능을 평가합니다. 모든 오픈 포트의 보안 및 기능을 정기적으로 검토하고 평가하세요. 오픈 포트가 지정된 내부 대상에 적절히 매핑되어 있는지, 그리고 적용 가능한 모든 리소스에 최소 권한이 적용되도록 하십시오.
• 일관된 패치 일정을 준수합니다. 정기적인 패치는 큰 보안 효과로 이어질 수 있습니다. 보안과 관련된 모든 패치는 배포(릴리스) 즉시 적용되도록 하십시오.
• 잘못 구성되었고, 패치되지 않았으며, 취약한 서비스입니다. 패치되지 않았거나 잘못 구성된 시스템은 침해된 시스템으로 이어질 수 있습니다. 모든 구성이 모범 보안 사례를 따르도록 확인하세요. 구성 변경이 발생하면 네트워크 지원 담당자에게 알릴 수 있도록 모니터링 시스템을 구현하십시오.

결론

열린 포트는 양날의 검과 같습니다. 한편으로는 웹 페이지, 애플리케이션, 서비스가 동작할 수 있도록 비즈니스 운영에 필수적입니다. 다른 한편으로는 위협 행위자가 침투해 네트워크를 악용할 수 있는 기회를 제공합니다. 따라서 열린 포트를 관리하고 모니터링하는 일은 네트워크 보안에서 매우 중요한 요소이며 아무리 강조해도 지나치지 않습니다. 조직에는 모든 열린 포트를 보안하기 위한 절차와 모든 시스템 및 소프트웨어를 정기적으로 업데이트하도록 보장하는 정책이 있어야 합니다. Telnet 및 FTP와 같은 안전하지 않은 포트는 더 이상 사용하지 말고, 최신 보안 기술을 활용하는 현대적인 솔루션으로 교체해야 합니다. 정기적인 점검을 수행하여 모든 열린 포트가 반드시 필요한지 확인하고, 구성이 모범 사례를 준수하는지 확인하세요. 기술이 발전함에 따라 포트 요구 사항도 함께 바뀐다는 점을 기억하십시오. 적절한 전략과 집중을 통해 열린 포트는 비즈니스를 더 큰 위험에 노출시키는 취약점이 아니라, 정상적으로 작동하는 자산으로 유지될 수 있습니다.

열린 포트는 네트워크가 작동하도록 하는 요소입니다. 웹 서버가 트래픽을 수락하고 원격 관리자가 연결하며 비즈니스 애플리케이션이 통신할 수 있게 합니다. 또한 위협 행위자가 가장 먼저 스캔하는 대상이기도 합니다.

열린 포트는 운영에 필수적입니다. 중요한 것은 어떤 포트가 위험을 내포하는지, 어떤 공격을 가능하게 하는지, 그리고 노출을 어떻게 제어할지 이해하는 것입니다. 이 가이드는 일반적으로 사용되는 가장 취약한 포트, 이를 겨냥한 공격 기법, 그리고 공격 표면을 줄이는 방법을 다룹니다.

열린 포트란 무엇인가요?

공격자는 자동화 도구를 사용하여 인터넷에서 노출된 서비스를 탐색합니다. 패치되지 않은 서비스가 실행 중인 포트, 잘못 구성된 프로토콜 또는 약한 자격 증명을 찾으면 네트워크 내부로 직접 진입할 수 있습니다. Verizon 2026 Data Breach Investigations Report에 따르면, 초기 접근 벡터로서 취약점 악용이 전년 대비 55% 증가하여 전체 침해 사고의 31%를 차지했습니다.

포트 유형

TCP와 UDP는 포트가 사용하는 두 가지 전송 프로토콜입니다. 차이를 이해하는 것은 네트워크 노출을 평가하고 제어하는 데 중요합니다.

TCP

포트는 네트워크 트래픽을 장치의 적절한 서비스나 애플리케이션으로 라우팅하는 가상 통신 지점입니다. 모든 네트워크 장치는 각각 번호로 식별되는 최대 65,535개의 TCP 포트와 65,535개의 UDP 포트를 가집니다. 관리자는 합법적인 서비스에 필요한 포트만 열고 나머지는 닫거나 필터링하여 어떤 포트가 수신 연결을 허용할지 제어합니다.

포트 80은 HTTP 웹 트래픽을 처리합니다. 포트 443은 HTTPS를 처리합니다. 포트 22는 SSH 연결을 처리합니다. 서비스가 실행 중이고 포트가 열려 있으면, 네트워크 내의 모든 장치 또는 포트가 외부에 노출된 경우 인터넷상의 장치가 연결을 시도할 수 있습니다.

UDP

포트 상태 유형

TCP는 연결 지향적입니다. 데이터 전송 전에 검증된 연결을 설정하며, 내장된 오류 감지 및 재전송 기능을 포함하고 전달을 보장합니다. 웹 브라우징, 파일 전송, 원격 접속 등 신뢰성이 필요한 대부분의 서비스는 TCP를 통해 실행됩니다.

TCP 및 UDP 포트는 세 가지 상태 중 하나에 있습니다:

UDP는 연결 지향적이지 않습니다. 전달 확인 없이 데이터를 전송하여 오버헤드를 줄이고 속도를 향상시킵니다. DNS 조회, 스트리밍, VoIP 등 성능을 우선시하는 서비스에서 일반적으로 UDP를 사용합니다.

• 열림: 포트가 연결 요청을 수락하며 서비스가 활성 상태로 대기 중입니다.
• 필터링됨: 방화벽이 연결 시도를 차단하여 요청자에게 응답이 도달하지 않습니다.

열린 포트가 보안 위험인 이유

• 닫힘: 포트는 도달 가능하지만 서비스가 실행 중이지 않습니다. 운영 체제는 여전히 TCP RST(재설정) 패킷으로 응답하여 시도에 대해 명시적 거부를 전달하며 침묵하지 않습니다.

닫힌 포트는 알려진 수치입니다. 필터링된 포트는 공격자에게 아무것도 드러내지 않습니다. 위험은 잘못된 서비스가 연결된 열린 포트에 있습니다.

열린 포트는 인터넷에서 인프라에서 실행 중인 서비스로 직접 연결되는 통신 채널입니다. 위험은 측정 가능하고 증가하며 재무 결과와 직접 연결되어 있습니다.

공격자는 열린 포트를 지속적으로 스캔합니다

포트 악용이 증가하고 있습니다

약한 포트 상태는 침해 위험을 직접 예측합니다

열린 포트 취약점 사례 연구

자동화된 스캐닝 도구는 몇 시간 내에 전체 IPv4 주소 공간을 조사합니다. Shodan 및 Censys와 같은 플랫폼은 노출된 서비스를 지속적으로 인덱싱하므로, 방화벽 제한 없이 열린 포트는 몇 분 내에 발견될 수 있습니다. 공격자는 특정 조직을 목표로 삼을 필요가 없습니다. 대규모로 스캔하여 취약한 버전을 실행하는 서비스를 식별하고 응답하는 모든 IP를 공격합니다. 다음 예정된 감사에서 발견되는 잘못 구성된 포트는 이미 수천 건의 무단 연결 시도를 겪었을 수 있습니다.

Bitsight의 연구에 따르면, 개방 포트 등급이 낮은 조직은 강력한 포트 제어를 가진 조직보다 데이터 유출을 경험할 확률이 두 배 이상 높습니다. 재정적 노출은 현실입니다. Netwrix Cybersecurity Trends Report 2025에 따르면 75%의 조직이 보안 공격으로 인한 재정적 피해를 보고했으며, 13%는 20만 달러 이상의 손실을 추정했습니다.

WannaCry: SMB 포트 445와 패치되지 않은 취약점의 비용

RDP Pipe Plumbing: 포트 3389를 통한 중간자 공격

실제 사례들은 적절한 통제 없이 인터넷에 노출된 패치되지 않은 서비스가 있는 열린 포트에서 어떤 일이 발생하는지 보여줍니다. 포트 445와 3389에 대한 두 번의 공격은 네트워크 보안에서 가장 많이 언급되는 사례 중 하나입니다.

네트워크 서비스를 대상으로 한 공격이 증가하고 있습니다. Netwrix Cybersecurity Trends Report 2025에 따르면, 지난 1년간 28%의 조직이 온프레미스 인프라에 대한 표적 공격을 경험했으며, 2023년의 19%에서 증가했습니다. 더 넓게 보면, 51%가 지난 12개월 동안 보안 팀의 전담 대응이 필요한 보안 사고를 확인했습니다. attack surface를 줄이려면 어떤 서비스에 접근할 수 있는지 통제하고 각 서비스가 패치되고 올바르게 구성되었는지 확인하는 것부터 시작해야 합니다.

취약한 열린 포트 및 관련 위험

포트 21 (FTP)

RDP Pipe Plumbing은 포트 3389를 통해 Windows named pipes를 악용합니다. 공격자는 합법적인 이름과 일치하는 가짜 파이프 서버 인스턴스를 생성한 후 RDP 통신을 가로채 클립보드 내용 및 파일 전송을 포함한 데이터를 캡처합니다. 이 중간자 공격 기법은 실행을 위해 접근 가능한 RDP 포트만 필요합니다.

다음 포트들은 공격 데이터에서 지속적으로 고위험 노출 지점으로 나타납니다. 각 포트가 하는 일, 취약한 이유, 그리고 이를 겨냥한 특정 공격 방법을 설명합니다.

2017년 5월의 WannaCry 랜섬웨어 공격은 열린 포트 악용의 가장 중대한 사례 중 하나로 남아 있습니다. 공격자들은 EternalBlue 익스플로잇을 사용해 포트 445의 SMBv1을 타겟으로 삼아, 사용자 상호작용 없이 150개국 30만 개 이상의 시스템에 랜섬웨어를 퍼뜨렸습니다. 피해가 가능했던 이유는 노출된 SMB 포트가 인터넷에서 접근 가능했고, 기본 프로토콜에 패치되지 않은 치명적 취약점이 있었기 때문입니다.

파일 전송 프로토콜은 제어 명령에 포트 21을, 데이터 전송에 포트 20을 사용합니다. FTP는 자격 증명을 포함한 모든 데이터를 암호화나 서버 검증 없이 평문으로 전송합니다. 이는 구식으로 간주되며, 아직 FTP를 사용하는 조직은 SFTP 또는 FTPS로 전환해야 합니다.

• 무차별 대입 공격: 자동화 도구가 FTP 서비스에 대해 사용자 이름과 비밀번호 조합을 체계적으로 시도하여 유효한 자격 증명을 찾을 때까지 반복합니다.
• 자격 증명 가로채기: FTP는 사용자 이름과 비밀번호를 평문으로 전송합니다. 네트워크 트래픽에 접근할 수 있는 공격자는 활성 공격 없이도 자격 증명을 캡처할 수 있습니다.
• 익명 인증 남용: 많은 FTP 서버가 기본적으로 사용자 이름과 비밀번호 모두에 "anonymous"를 허용하여 인증되지 않은 파일 액세스를 제공합니다.

포트 22 (SSH)

• 디렉터리 탐색: 공격자는 FTP 루트 디렉터리 외부로 이동하고 기본 시스템의 파일에 접근하기 위해 조작된 파일 경로 요청을 제출합니다.

포트 23 (Telnet)

• SSH 키 도난: 도난당했거나 부적절하게 저장된 개인 키는 해당 공개 키를 신뢰하는 모든 시스템에 비밀번호 없이 완전한 액세스 권한을 부여합니다.
• SSH 터널링 남용: 초기 접근 권한을 가진 공격자가 SSH 포트 포워딩을 사용하여 방화벽 제어를 우회하는 암호화된 터널을 생성하여 데이터 유출 또는 내부 시스템으로의 측면 이동을 가능하게 합니다.
• 무차별 대입 공격: 비밀번호 인증이 활성화된 열린 SSH 포트는 지속적인 공격 대상입니다. 자동화 도구가 포트 22에 대해 분당 수천 건의 로그인 시도를 수행합니다.

Secure Shell은 암호화된 원격 액세스 및 파일 전송을 위해 포트 22를 사용하며, secure remote access를 서버 및 네트워크 장치에 지원합니다. SSH는 원격 시스템 관리를 위한 표준으로 Telnet을 대체했습니다. 암호화는 전송 중인 데이터를 보호하지만, 잘못 구성된 SSH는 두 가지 잘 알려진 공격 표면을 만듭니다.

Telnet은 TCP 포트 23에서 작동하며 라우터, 스위치 및 서버를 포함한 원격 장치에 명령줄 액세스를 제공합니다. FTP와 마찬가지로 Telnet은 자격 증명을 포함한 모든 데이터를 평문으로 전송합니다. SSH가 Telnet을 안전한 대안으로 대체했으며, 인터넷에 노출된 시스템에서의 Telnet 서비스는 완전히 피할 수 있는 위험입니다.

포트 25 (SMTP)

• 무차별 대입 공격: 자동화 도구가 기본 자격 증명을 유지하는 라우터 및 스위치를 대상으로 대량 로그인 시도로 열린 Telnet 포트를 공격합니다.
• 자격 증명 가로채기: Telnet은 사용자 이름과 비밀번호를 평문으로 전송합니다. 클라이언트와 서버 사이에 위치한 공격자는 적극적인 공격 없이 자격 증명을 캡처할 수 있습니다.

포트 25는 서버 간 이메일 중계 표준인 Simple Mail Transfer Protocol을 처리합니다. SMTP는 현대 보안 요구 사항 이전에 만들어졌으며, 적절한 구성 없이는 세 가지 잘 알려진 취약점을 만듭니다.

• 이메일 스푸핑: 공격자는 발신자 헤더를 위조하여 메시지가 신뢰할 수 있는 도메인에서 온 것처럼 보이게 하여 기본 발신자 평판 필터를 우회하는 피싱 캠페인을 가능하게 합니다.

포트 53 (DNS)

• 오픈 릴레이 악용: 릴레이 제한이 없는 보호되지 않은 SMTP 서버가 모든 발신자를 대신해 이메일을 전송하여 대량 스팸 및 악성코드 배포 플랫폼이 됩니다.
• STARTTLS 다운그레이드 공격: 메일 서버가 STARTTLS를 적용하지 않으면 공격자가 연결 협상을 가로채 암호화되지 않은 세션을 강제하여 이메일 내용과 자격 증명이 전송 중에 노출됩니다.
• DNS 터널링: 공격자는 DNS 쿼리 및 응답 내에 데이터 페이로드를 인코딩하여 정보를 유출하거나 DNS 트래픽을 허용하는 방화벽을 통해 명령 및 제어 통신을 유지합니다.

포트 53은 도메인 이름 시스템 쿼리를 처리하여 도메인 이름을 인터넷 트래픽용 IP 주소로 변환합니다. DNS는 표준 쿼리에 UDP를, 영역 전송에는 TCP를 사용합니다. 거의 모든 네트워크 작업이 DNS에 의존하기 때문에, 이는 높은 가치의 공격 대상이며 경계 제어에서 자주 제한 없이 허용되는 프로토콜입니다.

• DNS 증폭 공격: 공격자는 위조된 출발지 IP로 작은 쿼리를 열린 리졸버에 보냅니다. 리졸버는 피해자에게 훨씬 큰 응답을 반환하여 DDoS 공격에서 불균형한 트래픽 양을 생성합니다.

포트 137, 139 및 445 (NetBIOS 및 SMB)

포트 137과 139는 TCP를 통한 NetBIOS를 처리합니다. 포트 445는 파일 공유, 프린터 공유 및 네트워크 통신을 위한 Windows 프로토콜인 Server Message Block(SMB)을 처리합니다. 모든 시스템에서 SMBv1을 비활성화하세요. 암호화가 활성화된 SMBv2 및 SMBv3가 현재 표준입니다.

• DNS 캐시 중독: 공격자가 위조된 DNS 응답을 리졸버의 캐시에 주입하여 사용자가 모르는 사이에 정상 도메인에서 공격자 제어 주소로 리디렉션합니다. 무단 변경에 대한 DNS 레코드 모니터링 은 이 기술에 대한 핵심 통제입니다.

포트 80, 443, 8080 및 8443 (HTTP 및 HTTPS)

• NTLM 릴레이 공격: 공격자는 SMB를 통해 NTLM 인증 요청을 가로채 네트워크 내 다른 시스템으로 중계하여, 비밀번호를 복구하지 않고도 정당한 사용자로 인증합니다.
• 무차별 대입 공격: 자동화 도구가 노출된 SMB 포트를 대상으로 대량 로그인 시도를 하며, 특히 약하거나 기본 자격 증명을 사용하는 시스템을 노립니다.
• EternalBlue 익스플로잇: 이 공격은 SMBv1의 치명적인 취약점을 노려 인증이나 사용자 상호작용 없이 원격 코드 실행을 가능하게 합니다. EternalBlue는 WannaCry와 NotPetya 공격에 사용되었으며 현재도 활발히 사용 중입니다.
• Cross-site scripting (XSS): 공격자가 사용자 브라우저에서 실행되는 악성 스크립트를 웹 페이지에 주입하여 세션 탈취 및 자격 증명 도용을 가능하게 합니다.

대부분의 조직이 기능하려면 웹 포트가 열려 있고 외부에서 접근 가능해야 하므로 지속적인 공격 대상이 됩니다. HTTP(80)와 그 대체 포트(8080)는 데이터를 평문으로 전송합니다. HTTPS(443, 8443)는 전송 계층을 암호화하지만 애플리케이션 계층 공격을 방어하지는 않습니다.

포트 1433, 1434 및 3306 (데이터베이스 포트)

• SQL 인젝션: 공격자는 웹 애플리케이션 입력 필드에 악성 SQL 문을 삽입하여 기본 데이터베이스를 조작하거나 민감한 데이터를 추출하거나 레코드를 수정합니다.
• 교차 사이트 요청 위조(CSRF): 공격자는 인증된 사용자의 활성 세션을 이용해 웹 애플리케이션에 무단 요청을 제출하여 사용자가 시작하지 않은 작업을 실행하게 만듭니다.
• DDoS 공격: 공격자가 트래픽으로 웹 포트를 마비시켜 서버 자원을 고갈시키고 정상 사용자를 위해 애플리케이션을 오프라인 상태로 만듭니다.

포트 3389 (RDP)

• 무차별 대입 및 자격 증명 공격: 노출된 데이터베이스 포트는 직접 로그인 시도를 허용합니다. 자동화 도구는 SQL Server 및 MySQL 인스턴스의 기본 자격 증명과 약한 비밀번호를 대상으로 합니다.

포트 1433은 Microsoft SQL Server의 기본 포트이며, 포트 1434는 SQL Server Browser 서비스용, 포트 3306은 MySQL용입니다. 이 포트들은 데이터베이스 서비스에 직접 접근할 수 있게 합니다. 데이터베이스는 애플리케이션 계층 뒤에 위치해야 하며 인터넷에서 접근할 수 없어야 합니다. 노출된 데이터베이스 포트는 잘못된 구성에서 직접 발생합니다.

• 직접 SQL 인젝션: 공격자가 노출된 데이터베이스 포트에 직접 연결하여 애플리케이션 계층을 거치지 않고 SQL 명령을 실행하여 웹 애플리케이션 방화벽 제어를 완전히 우회합니다.
• 알려진 서비스 취약점 악용: 패치되지 않은 SQL Server 및 MySQL 인스턴스는 데이터베이스 포트에 접근할 수 있게 되면 공격자가 악용하는 CVE를 포함하고 있어 원격 코드 실행 또는 데이터베이스 호스트에서 권한 상승을 가능하게 합니다.

포트 3389는 Remote Desktop Protocol을 처리하며 Windows 시스템에 대한 그래픽 원격 액세스를 제공합니다. RDP는 원격 관리, 헬프데스크 지원 및 가상 데스크톱 인프라를 위해 기업 환경에서 널리 사용됩니다. 이러한 보편성 때문에 인터넷에서 가장 많이 공격받는 포트 중 하나입니다.

포트 5900 (VNC)

• BlueKeep (CVE-2019-0708): Windows 7 및 Windows Server 2008 R2에서 인증이나 사용자 상호작용 없이 원격 코드 실행을 허용하는 웜형 취약점입니다. 공격자는 노출된 포트 3389를 대상으로 네트워크 전반에 악성코드를 자동으로 확산시킬 수 있습니다.
• 무차별 대입 및 자격 증명 채우기 공격: 열린 RDP 포트는 지속적인 자동 로그인 시도에 직면합니다. 자격 증명 채우기는 이전 침해에서 얻은 사용자 이름-비밀번호 쌍을 노출된 RDP 서비스에 직접 재생합니다.
• CVE-2024-38077: Windows Remote Desktop Licensing Service의 심각한 RCE 취약점(CVSS 9.8). 인증되지 않은 공격자가 사용자 상호작용 없이 특수 제작된 네트워크 패킷을 전송하여 임의 코드를 실행합니다. 이 서비스를 운영하는 조직은 즉시 패치 우선순위로 처리해야 합니다.
• 평문 세션 가로채기: 이전 VNC 구현은 세션 데이터를 평문으로 전송합니다. 네트워크 트래픽을 가로채는 공격자는 키 입력과 화면 내용을 포함한 전체 그래픽 세션을 탈취할 수 있습니다.

포트 5900은 IT 지원 및 관리 환경에서 일반적인 원격 데스크톱 공유 시스템인 Virtual Network Computing의 기본 포트입니다. VNC는 RDP와 유사한 그래픽 액세스를 제공하지만, 약한 인증 기본값과 구현 간 일관되지 않은 암호화와 관련된 고유한 위험이 있습니다.

MITRE ATT&CK에 대한 포트 공격 매핑

• 무차별 대입 공격: 많은 VNC 배포는 단일 공유 암호를 사용하며 계정 잠금 정책이 없어 포트 5900이 자동 자격 증명 열거의 쉬운 대상이 됩니다.

위의 기술들은 보안 팀이 이미 추적하고 있는 확립된 ATT&CK 항목과 일치합니다:

• 기본 자격 증명 악용: 공격자는 정기적으로 열린 포트 5900을 스캔하고 일반적으로 알려진 기본 VNC 암호를 사용하여 접근을 시도합니다. 기본 암호를 변경하지 않고 배포된 시스템은 열린 포트를 찾는 누구나 접근할 수 있습니다.
• 초기 접근 및 악용: EternalBlue 및 유사한 패치되지 않은 서비스 공격은 원격 서비스 악용(Exploit of Remote Services, T1210)에 해당합니다.
• 자격 증명 액세스: SSH, RDP, VNC 및 데이터베이스 포트에 대한 무차별 대입 및 자격 증명 채우기 공격은 Brute Force (T1110)입니다.
• 측면 이동: 유효하거나 도난당한 자격 증명을 사용하여 시스템 간 이동에 사용되는 RDP, SSH 및 SMB 로그인이 Remote Services (T1021)에 해당합니다.
• Man-in-the-middle: NTLM 중계 및 RDP Pipe Plumbing은 Adversary-in-the-Middle (T1557)에 해당합니다.
• 외부 정찰 및 내부 탐색: 공격자가 인터넷에서 열린 포트를 스캔하는 행위로, Shodan 및 Censys 인덱싱을 주도하는 행동은 Active Scanning (T1595). 네트워크 내부에 들어가면, 측면 이동을 위해 다른 접근 가능한 서비스를 스캔하는 것은 별도의 기술인 Network Service Discovery (T1046)입니다.

열린 포트 스캔 방법

• 명령 및 제어와 회피: 공격자가 열린 포트를 사용하여 손상된 호스트를 통해 트래픽을 리디렉션하거나 중계하는 경우 Proxy (T1090)에 해당하며, 이는 사용자가 표시한 "리디렉션" 사례의 기술입니다. DNS 터널링은 Protocol Tunneling (T1572)입니다.

명령줄 도구

열린 포트를 보호하기 전에 어떤 포트가 노출되어 있는지 알아야 합니다. 세 가지 주요 접근 방식이 이러한 가시성을 제공합니다:

포트 스캐너

취약점 스캐너

전용 포트 스캐닝 도구는 네트워크 세그먼트 전반에 걸친 탐색을 자동화합니다. 이들은 연결 요청을 보내고, 응답을 열림, 닫힘 또는 필터링됨으로 분류하며, 서비스 목록을 생성합니다. 많은 도구가 취약점 데이터베이스와 통합되어 발견된 서비스의 알려진 위험을 표시합니다.

Windows와 Linux에서 사용할 수 있는 netstat 명령은 로컬 시스템의 활성 연결 및 수신 대기 포트를 보여줍니다. netstat -an을 실행하면 모든 연결과 해당 주소가 표시됩니다. 네트워크 전체 가시성을 위해 표준 도구는 Nmap입니다. nmap -sV <target> 명령은 대상 IP 또는 범위를 스캔하여 열린 포트를 식별하고 각 포트의 서비스 버전을 감지하는데, 이는 오래된 소프트웨어를 식별하는 데 중요합니다.

열린 포트를 보호하는 방법

취약점 스캐닝 도구는 포트 탐색과 CVE 데이터베이스 매칭을 결합합니다. 이 도구들은 열린 포트를 식별하고 각 포트에서 실행 중인 서비스를 감지하며, 서비스 버전을 알려진 취약점과 교차 확인합니다. 출력 결과에는 위험 등급과 수정 지침이 포함됩니다. 일회성 평가가 아닌 정기적인 스캔을 통해 구성 변경 시 지속적인 가시성을 제공합니다.

열린 포트 위험을 줄이려면 단일 제어만으로는 부족합니다. 아래 단계는 구식 프로토콜과 패치되지 않은 서비스부터 모니터링 및 액세스 관리의 공백까지 가장 흔한 노출 원인을 다룹니다.

암호화된 프로토콜을 사용하세요

정기적으로 패치와 업데이트를 적용하세요

방화벽 및 ACL로 접근 제한

포트 스캐닝 도구 사용

패치되지 않은 서비스는 열린 포트에서 손상된 시스템으로 가는 가장 직접적인 경로입니다. WannaCry를 구동한 EternalBlue 익스플로잇은 Microsoft가 이미 패치한 취약점을 노렸습니다. Microsoft는 CVE-2024-38077을 널리 악용되기 전에 패치했습니다. 출시 직후 신속하게 적용되는 일관된 패치 주기는 공격자가 행동하기 전에 대부분의 알려진 취약점을 제거합니다.

가능한 경우 평문 프로토콜을 암호화된 동등 프로토콜로 교체하십시오. FTP는 SFTP 또는 FTPS로 전환됩니다. Telnet은 SSH로 전환됩니다. HTTP는 HTTPS로 리디렉션됩니다. 암호화되지 않은 연결을 통해 자격 증명을 전송하는 모든 서비스는 피할 수 있는 위험을 내포합니다. 이 결정을 지배하는 네트워크 보안 모범 사례는 잘 확립되어 있습니다: 암호화된 프로토콜 버전이 존재하는 경우 이를 사용하십시오.

포트 스캐닝을 반복적인 운영 작업으로 간주하세요. Nmap과 같은 도구를 사용한 예약 스캔은 감사 사이에 네트워크에 새로 나타난 서비스를 식별합니다. 알려진 승인된 서비스에 매핑되지 않은 모든 열린 포트는 즉각적인 조사가 필요한 발견 사항입니다. 인터넷 노출과 내부 접근 가능한 서비스를 모두 포착하기 위해 외부 스캔과 내부 스캔을 결합하세요.

서비스 구성 변경 모니터링

호스트 방화벽, 네트워크 방화벽 및 스위치 ACL 계층에서 특정 포트에 접근할 수 있는 소스 IP 및 네트워크 세그먼트를 제한하세요. 애플리케이션 서버만 필요한 데이터베이스 포트는 해당 서버의 IP에서만 접근 가능해야 하며, 전체 서브넷에서는 접근할 수 없어야 합니다.

서버, 방화벽 및 네트워크 장치에 대한 구성 변경은 종종 새로운 포트 노출을 초래합니다. 예를 들어, 제거되지 않은 임시 방화벽 규칙, 문제 해결 중 활성화되어 계속 실행 중인 서비스, 강화 없이 배포된 기본 구성 등이 있습니다.

SSH 키 인증 구현

IDS 및 IPS 배포

Netwrix Change Tracker는 인프라의 구성 변화를 실시간으로 모니터링하며, 방화벽 규칙, 서비스 구성 및 시스템 설정 변경 사항을 추적합니다. 변경 전후 상태를 모두 기록하고, 특정 계정 및 출처 시스템에 귀속시키며, 구성이 승인된 기준에서 벗어날 경우 경고를 발생시킵니다. 보안 팀은 무엇이 언제 누가 변경했는지 알 수 있어, 주기적 스캔 중에만 새로운 노출을 발견하는 일이 없습니다.

침투 테스트 및 취약점 평가 수행

SSH 키는 포트 22의 서비스에 대해 비밀번호보다 강력한 인증을 제공합니다. 개인 키는 계산적으로 무차별 대입 공격이 불가능합니다. 키 기반 인증을 구현하고 SSH에서 비밀번호 기반 로그인을 비활성화하면 가장 큰 SSH 공격 범주를 제거할 수 있습니다. 개인 키를 암호문구로 보호하고 안전하게 저장하며, 접근 권한을 가진 직원이 조직을 떠날 때 키를 교체하세요.

침입 탐지 시스템은 열린 포트를 대상으로 하는 의심스러운 활동의 징후를 네트워크 트래픽에서 모니터링합니다. 침입 방지 시스템은 감지된 공격 패턴을 적극적으로 차단하여 한 단계 더 나아갑니다. 두 시스템 모두 SQL 인젝션, DDoS 공격, 무차별 로그인 시도 등 일반적인 포트 기반 공격으로부터 방어합니다. IDS와 IPS는 패치 적용 및 포트 차단을 보완하여 열린 포트와 성공적인 침입 사이에 탐지 및 차단 계층을 추가합니다.

열린 포트 보안 모범 사례

침투 테스트는 보안 전문가가 실제 공격을 시뮬레이션하여 열린 포트를 통해 취약점을 적극적으로 악용함으로써 공격자가 얼마나 깊게 침투할 수 있는지를 보여줍니다. 이 둘은 자동화된 광범위한 커버리지와 가장 위험한 경로에 대한 수동 검증을 함께 제공합니다.

침투 테스트와 취약점 평가는 다양한 각도에서 열린 포트 위험을 다룹니다. 취약점 평가는 인프라 전반의 알려진 약점을 식별하기 위해 자동 스캔을 실행하고 우선 순위가 지정된 수정 목록을 생성합니다.

열린 포트를 보호하려면 패치 및 스캔 이상의 조치가 필요합니다. 다음 운영 관행은 일관된 포트 보안의 기준을 형성합니다.

Netwrix가 열린 포트 위험을 모니터링하는 데 어떻게 도움이 되는지

• 중요 패치를 즉시 적용하세요: 취약점 공개와 실제 공격 사이의 시간이 단축되었습니다. RDP에 영향을 미치는 9.8 등급의 CVE-2024-38077과 같이 열린 포트의 서비스를 겨냥한 고위험 CVE는 공개 후 며칠 내에 공개된 개념 증명 코드를 받습니다. 열린 포트 서비스에 대한 중요 패치 릴리스는 즉각적인 조치가 필요합니다.
• 모든 열린 포트를 소유자에게 매핑하세요: 각 열린 포트에는 해당 서비스에 책임이 있는 문서화된 소유자가 있어야 합니다. 사용 중단된 서비스의 열린 포트는 관리되지 않는 노출의 가장 흔한 원인 중 하나입니다. 서비스를 폐기할 때는 폐기 체크리스트에 해당 포트 닫기를 포함하세요.
• 외부 공격 표면을 정기적으로 평가하세요: 인터넷에서 보이는 모든 열린 포트는 잠재적인 초기 접근 지점입니다. SANS 2025 Attack Surface Management Survey 는 알려지지 않은 자산과 서비스를 보안 팀의 주요 과제로 확인하며, 주기적이 아닌 지속적인 탐색의 필요성을 강조합니다. 활성화되고 문서화된 비즈니스 정당성이 없는 포트는 닫거나 제한하세요.
• 네트워크 접근에 최소 권한 원칙을 적용하세요: 서비스는 필요한 IP 주소와 네트워크 구간에서만 접근할 수 있어야 합니다. 애플리케이션 서버만 접근해야 하는 데이터베이스 포트는 해당 서버의 IP 주소에서만 접근 가능해야 합니다. 이러한 제한은 공격자가 다른 경로로 네트워크에 침입했을 때 피해를 줄여줍니다.

실시간 구성 변경 감지

자동화된 구성 변경 알림

• 구성 변동 모니터링: 예약된 스캔 간 포트 노출 변경. 패치 스크립트, 개발자 테스트 환경 또는 잘못 구성된 보안 그룹이 공식 변경 요청 없이 새 포트를 열 수 있습니다. 지속적인 file integrity and configuration monitoring tools 가 이러한 변경 사항을 거의 실시간으로 감지하여 다음 감사 주기까지 미감지 노출이 지속되는 것을 방지합니다.

구성이 감지 없이 변경되면 열린 포트 보안이 실패합니다. 임시 프로젝트를 위해 방화벽 규칙이 추가되고 제거되지 않습니다. 문제 해결 중에 서비스가 활성화되어 계속 실행됩니다. 기본 구성이 강화 없이 배포됩니다. 각각은 수동 감사가 주기 사이에 놓치는 노출 지점을 만듭니다.

규정 준수 준비 보고서

Netwrix Change Tracker는 서버, 네트워크 장치 및 방화벽 구성을 지속적으로 모니터링합니다. 새로운 서비스 시작, 방화벽 규칙 변경, 포트 열림과 같은 변경이 발생하면 변경 전후 상태를 캡처하고, 시간과 출처를 기록하며, 경고를 트리거합니다. 보안 팀은 승인된 기준선에서 구성이 벗어날 때 즉시 알림을 받아 주기적 스캔의 공백을 메웁니다.

Netwrix Change Tracker는 현재 인프라 상태를 승인된 구성 기준선과 비교하고 편차를 표시합니다. 열린 포트 관리를 위해 승인된 상태에서 벗어난 모든 서비스 또는 포트 구성은 구체적인 변경 세부 정보가 포함된 실행 가능한 경고를 생성하여 팀이 공격자가 노출을 발견하기 전에 조사하고 수정할 수 있도록 합니다.

데모 요청하여 Netwrix가 공격자보다 먼저 열린 포트 인프라의 구성 변경을 감지하는 데 어떻게 도움이 되는지 확인하세요.

열린 포트 제어의 준수를 입증하려면 단순히 제어가 존재하는 것 이상이 필요합니다. 감사자는 해당 제어가 일관되게 적용되고 있다는 문서화된 증거가 필요합니다. Netwrix Auditor는 PCI DSS, NIST 800-53, HIPAA 및 CMMC에 대한 사전 구축된 준수 보고서 매핑을 제공하며, 네트워크 대상 인프라에 대한 변경 제어 및 접근 모니터링 요구사항을 포함합니다. Windows 감사 정책 설정은 로깅 기준선을 설정하며; Netwrix Auditor는 해당 로그 데이터를 감사 준비가 된 보고서로 구성하여 누가 언제 어떤 시스템에서 무엇을 변경했는지 문서화하여 준수 검토에 필요한 증거 추적을 제공합니다.